Bei Cyberangriffen denken viele zuerst an die Mitarbeiterin, die auf eine Phishing-Mail klickt. Häufiger ist der Weg über ein bekanntes, aus dem Netz erreichbares, ungepatchtes System. Laut Mandiant M-Trends 2026 sind ausgenutzte Schwachstellen im sechsten Jahr in Folge der häufigste Erstzugang, zuletzt bei rund einem Drittel der untersuchten Vorfälle. Betroffen sind zunehmend internetseitige Geräte wie VPN-Gateways und Firewalls.

Neue Schwachstellen entstehen schneller, als Patches im Betrieb ausgerollt werden können. Assume Breach zieht daraus die Konsequenz und plant für den Fall, dass jemand durchkommt.

Ein Vorfall läuft in Phasen ab: Erkennung, Eindämmung, Beseitigung, Wiederherstellung. Wer Rollen, Abläufe und Meldewege vorher festgelegt und geübt hat, verliert im Ernstfall keine Stunden mit Zuständigkeitsfragen. Genau diese Stunden nutzt ein Angreifer, um Domain Controller, Backups und Fachverfahren zu übernehmen.

Der Landkreis Anhalt-Bitterfeld rief 2021 nach einem Ransomware-Angriff den ersten Cyber-Katastrophenfall der Bundesrepublik aus. Die Verwaltung stand rund sieben Monate im Katastrophenmodus, Sozial- und Unterhaltsleistungen konnten in dieser Zeit nicht regulär ausgezahlt werden.

Im Vorfall werden Protokolle mit Personennamen verarbeitet, forensische Abbilder erstellt und Angriffsindikatoren mit Bezug zur Verwaltung ausgewertet. Bei US-Plattformen unterliegen diese Daten dem US-amerikanischen CLOUD Act, auch wenn die Rechenzentren in Europa stehen. Für die öffentliche Hand ist eine in Deutschland entwickelte und betriebene Lösung damit ein Beschaffungskriterium.

Vorbereitung besteht aus fünf Schritten, die aufeinander aufbauen: Sichtbarkeit über die eigenen Systeme, regelmäßige Prüfung auf Schwachstellen, Erkennung laufender Angriffe, definierte Reaktion und der Nachweis gegenüber Aufsicht und Rechnungsprüfung. Enginsight bildet diese Kette als Unified Security Management in einer Plattform ab. Welche Schritte in Ihrem Haus tragen und welche fehlen, ordnen wir in der Session ein.