HiSolutions BCM-News November 2022 - Business Continuity Management aktuell
Top Themen: Im Fokus der Ransomware-Attacken: Lieferketten und Gesundheitswesen | Kommunen: Individuelle Notfallplanung für den Gasmangel | BSI-Standard 200-4: Zweiter Community Draft veröffentlicht | Nachsitzen in der Bayrischen Schulverwaltung: Weder Daten noch Server übrig
Auch wenn der der temperaturtechnisch bisher mild verlaufende Herbst das Thema Gasmangel etwas verblassen lässt, läuft ungeachtet dessen die Notfallplanung in Kommunen und Unternehmen auf Hochtouren: Gasverbräuche werden auf Biegen und Brechen gesenkt und sogar Leuchttürme kommen zur Anwendung. Nicht so mild verlaufen derweil Ransomware-Angriffe auf global agierende Unternehmen, die spürbare Auswirkungen auf Lieferketten auslösen. Neben Desastern in der Krisenkommunikation und fehlenden Backups von Schulservern gibt es jede Menge Learnings für das BCM.
BSI: Bericht der IT-Sicherheit in Deutschland 2022
Zusammenfassend kann man sagen: Es gab noch nie so viele Bedrohungen im Cyberraum wie jetzt. Als Ursachen für den Bedrohungsanstieg nennt das BSI unter anderem Ransomware-Attacken und den Angriffskrieg in der Ukraine.
Auch wenn es im Umfeld des Krieges in Deutschland bislang nur eine Ansammlung kleinerer Vorfälle und Hacktivismus-Kampagnen öffentlich bekannt wurden, bleibt die Lage bei den NATO-Partnern weiter angespannt und speziell in der Ukraine auch im Cyberraum immer noch existenzbedrohend. Denn beide Verfassungsschutzorgane warnen über stetig zunehmende Ausspähversuche auf allen Ebenen (z. B. Drohnenüberflüge über sensible KRITIS-Einrichtungen). Nach wie vor sollte daher das Thema der Lieferkettenresilienz im Rahmen des BCM eine wichtige Rolle spielen.
Für Unternehmen identifiziert das BSI Ransomware-Attacken, falsch oder offen konfigurierte Onlineserver und die IT-Supply-Chain als akuteste Bedrohung.
Als Handlungsempfehlung gibt das BSI unter anderem an, eine klare Backup-Strategie auszuarbeiten, um auf Ransomware-Angriffe vorbereitet zu sein. Bei der Prävention und Reaktion können die Strukturen des BCM hilfreich sein: Dieser Meinung ist auch Dr. Gerhard Schabhüser, Vizepräsident des BSI – denn die Frage ist nicht ob, sondern wann ein Angriff kommt.
https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html
Im Fokus der Ransomware-Attacken: Lieferketten und Gesundheitswesen
Die TrendMicro Studie von September 2022 zeigt, dass Ransomware-Attacken für 25 % der Cyberangriffe weltweit verantwortlich sind. Sie zeigt zudem, dass 52 % der globalen Unternehmen innerhalb der Lieferkette von einem Ransomware-Angriff betroffen waren.
Insbesondere im Gesundheitswesen gaben 57 % der 145 befragten Entscheidungstragenden an, in den letzten drei Jahren durch einen Ransomware-Angriff kompromittiert worden zu sein. Ein Viertel der betroffenen Unternehmen musste ihre Arbeit einstellen und es dauerte Tage (56 %) oder Wochen (24 %), um zum Status quo zurückzukehren. Nur 58 % der Gesundheitsanbieter geben an, sich für eine Ransomware-Attacke ausreichend vorbereitet zu fühlen. Auch hier können BCM-Prozesse wie die Geschäftsfortführungsplanung bereits in der Prävention helfen. Wirksame Notfallpläne, die im Falle eines Angriffs aktiviert werden, können die Aufrechterhaltung des Geschäftsbetriebs unterstützen.
https://www.trendmicro.com/explore/glrans
“Continuity & Resilience Report 2022” von BCI: Homeoffice nicht vergessen
Ein neuer globaler Bericht des BCI befragte 325 Teilnehmende aus 52 Ländern in 17 Sektoren. Die größte Gruppe unter ihnen sind 40 % Business-Continuity-Experten von Unternehmen mit über 1.000 Mitarbeitenden.
Eines der Hauptthemen: die Rolle von Homeoffice und Remote-Arbeitsplätzen im Kontext des BCM. Während die Resilienz an den Unternehmensstandorten selbst sich kontinuierlich verbessert, werden die peripheren Homeoffice-Bereiche oft vergessen. Zwar geben 96,7 % der Unternehmen an, ihren Mitarbeitenden eine hohe Flexibilität zu bieten, indem sie sowohl die Arbeit im Büro als auch im Homeoffice ermöglichen, aber nur 40,5 % der Mitarbeitenden im Homeoffice haben entsprechende technische Rückfallebenen in den eigenen vier Wänden. In nur 28,9 % der Fälle haben kritische Mitarbeitende Strom- und Kommunikationsredundanzen im Homeoffice. In Zukunft sollten hier die Notfallkommunikationssysteme und die Planung für Remote Arbeit insgesamt als wichtig eingeordnet werden.
https://www.thebci.org/resource/bci-continuity---resilience-report-2022.html
KPMG 2022 CEO-Outlook
Der CEO Outlook 2022 stützt sich auf die Sichtweisen und Einschätzungen von 1.325 globalen Führungskräften und zeichnet ein Stimmungsbild ihrer 3-Jahres-Prognose zur aktuellen Geschäftslage im Kontext weltweiter politischer und ökonomischer Entwicklungen.
Aus BCM-Sicht besonders interessant: In der Führungsebene werden Cyberangriffe zunehmend nicht mehr nur als IT-Problem betrachtet. Vielmehr ist Cybersicherheit eine grundlegende Notwendigkeit für den Geschäftsbetrieb geworden. Die Zunahme von Cyberangriffen in Verbindung mit der Schwierigkeit, einen Angriff rechtzeitig zu erkennen, erfordert innovative Lösungen zur Bewältigung von Cybervorfällen. Der BCM-Ansatz hilft IT-Themen im Unternehmen global zu denken, um so mitunter die Schwere eines Cyberangriffs zu mindern.[D1]
https://home.kpmg/xx/en/home/insights/2022/08/kpmg-2022-ceo-outlook.html
Porzellanhersteller Kahla sucht einen Gasversorger
Über 180 Jahre Betriebsgeschichte könnten am 01.01.2023 enden, wenn die Firma keinen Nachfolger für ihren Gasversorger findet. Der vorherige Versorger hat aufgrund des hohen Verbrauchs von 25 Mio. Kilowattstunden Gas pro Jahr den Vertrag gekündigt. Der Betrieb senkte seinen Verbrauch bereits um ein Drittel und ist bereit, sogar das Vierfache für Gas zu bezahlen. Dieses Beispiel zeigt, wie wichtig es ist, Ressourcenabhängigkeiten seiner Geschäftsprozesse zu kennen und genau zu beziffern. Business Impact Analysen als Teil des BCM können dabei helfen, konkrete Ressourcenbedarfe von Betriebsprozessen zu identifizieren.
Kommunen: Individuelle Notfallplanung für den Gasmangel
Die Städte Braunschweig, Hannover und Osnabrück erstellten jeweils einen Stufenplan zur Gasabschaltung je nach Einsparungsmenge und planen bei einer Abschaltung der Gaslieferung an Privathaushalte ebenfalls Krankenhäuser und Altenheime sowie Wärmeinseln weiter zu beheizen, so wie es der Notfallplan Gas der Bundesregierung vorsieht. Besonders interessant fällt hierbei die Notfallplanung auf Detailebene aus: Während Hannover plant, in Gasmangelphasen und Stromausfall mit Lautsprecherwagen der Feuerwehr entsprechende Bürgerinformationen zu verbreiten, setzt Oldenburg bei Stromverlust auf Leuchttürme des Katastrophenschutzes, die als Sammelpunkte zum Schutz der Bürgerinnen und Bürger dienen sollen.
BSI-Standard 200-4: Zweiter Community Draft veröffentlicht
Das Feedback zum Community Draft 1.0 mündete in der umfangreichen Überarbeitung des BSI-Standards 200-4. Der nun erschienene zweite Community Draft umfasst im Wesentlichen eine überarbeitete Kapitelstruktur, wobei die Methodik grundsätzlich unverändert blieb. Der Entwurf kann noch bis zum 30.11. kommentiert werden. Die wesentlichen Änderungen des BSI 200-4 im Detail sehen wie folgt aus:
- In der Voranalyse gibt es nun drei Vorgehensmodelle (Prozesse, Produkte oder Organisationseinheiten).
- Im Kapitel BIA wurde konkretisiert, dass der "worst case"-Ansatz (Gesamtbewertung über alle Schadensszenarien hinweg) nur eine Möglichkeit ist. Es kann auch weiterhin das bisherige Modell mit der Einzelbetrachtung der Schadensszenarien genutzt werden.
- Im Kapitel Wiederanlaufplan wurde dieser als obligatorisch und der Wiederherstellungsplan als optional deutlicher gekennzeichnet.
- Der gesamte Abschnitt zum BCM bei Outsourcing wurde in den Anhang verschoben und ist daher trotz Modalverben optional anzuwenden.
Durch die unmittelbare Beteiligung an der Erstellung des neuen BSI-Standards 200-4 erfolgt die Beratung von HiSolutions passgenau an den Standard, insbesondere hinsichtlich der neuen Anforderungen, Vorgehensweisen und Hilfsmittel.
Hipp-Hack
Der Babynahrungshersteller Hipp wurde Anfang Oktober gehackt. Das Ausmaß des Schadens, den die Angreifer verursachten, ist nicht vollständig bekannt. Was klar ist: Die interne Info-Mail wurde an die Medien weitergegeben. Darin stand auch, dass einige Services wie beispielweise der Elternservice nicht funktionierten. Aufgrund der Bekanntheit der Marke stürzten sich viele Medien auf diesen Fall, doch Hipp selbst nahm keine Stellung dazu. Im Rahmen des BCM sollte auch das Thema Krisenkommunikation betrachtet und weiterentwickelt werden. Für verschiedene Schadensszenarien können entsprechend vorbereitete Kommunikationsstrategien eine zielgerichtete Krisenkommunikation ermöglichen. Unabhängig vom Schadensszenario sollte jedoch zunächst intern offen und proaktiv an die eigenen Mitarbeitenden kommuniziert werden. Erst dann erfolgt eine sorgfältig erarbeitete Kommunikation an die wichtigsten Stakeholder und die Öffentlichkeit.
https://www.csoonline.com/de/a/hipp-gehackt,3674208
https://www.ict-channel.com/security/hacker-legen-hipp-lahm.128408.html
Und dann war die 112 weg
Als die Feuerwehr und die Leitstelle in Trier am 11. Oktober für einen möglichen Stromausfall im gesamten Gebäude übten, sprang das Notstromaggregat zwar wie erwartet an, aber die Telefonanlage hatte danach einen technischen Defekt. Die Bevölkerung wurde durch die (sozialen) Medien über den Ausfall der 112 in allen Landkreisen der Region Trier informiert. Insgesamt zwei Stunden war die Verbindung gestört. Der Vorfall kam überraschend, denn einige Wochen zuvor verlief die Übung reibungslos. Ddeshalb untersuchen jetzt Telekommunikationsfachfirmen den Defekt.
Dass die 112 ausfällt, passiert häufiger als man annimmt: Auch in Weißwasser musste erst im Oktober nach einem Unwetter auf die 110 umgeleitet werden.
https://www.swr.de/swraktuell/rheinland-pfalz/trier/ausfall-112-leitstelle-trier-100.html
BCM@work: Energieversorger Enercity
Enercity versorgt 1 Millionen Menschen vorwiegend im Raum Hannover mit Strom, Wärme, Erdgas und Trinkwasser und gehört laut eigener Aussage zu den zehn größten Energieversorgungsunternehmen Deutschlands. Das Handelsblatt berichtete, dass Enercity in einer Mail proaktiv über einen weitreichenden Cyberangriff informierte. Die Belieferung der Kunden ist weiterhin gesichert, doch Enercity bat bei Lieferanten um eine Mahnsperre, da sie die gelieferten Mengen aktuell nicht nachvollziehen und trotz Liquidität nicht bezahlen konnte. Auch die Kommunikationswege per Mail und Telefon waren zum Teil nicht einsatzfähig. Trotz des Hacks kann Enercity weiterhin die Rolle als Übertragungsnetzbetreiber wahrnehmen und so die Netzstabilität gewährleisten. Auch ihre zahlreichen Windparks sind nicht betroffen.
Hackerangriff bei Heilbronner Stimme resultiert in sechsseitiger Notausgabe
Wie ein transparenter Umgang in Sachen Notbetrieb aussehen kann, hat die Heilbronner Stimme gezeigt: Die Zeitung mit einer Auflage von rund 67.000 kämpfte in der Nacht zum Freitag den 14.10. mit einem folgenschweren Ransomware-Angriff. Am Samstag konnte die Zeitung nur eine sechsseitige Notausgabe veröffentlichen, da die Druckerpressen stillstanden, die Zeitung weder auf ihre E-Mails noch auf ihre Telefonsysteme zugreifen konnten und ein Großteil der lokalen Daten verschlüsselt wurde. Die Zeitung schaffte 80 neue Geräte an und baute eine parallele Infrastruktur auf. So konnte sie eine Woche nach dem Angriff das Blatt mit allen gewohnten Bestandteilen inklusive der Lokalzeitung veröffentlichen. Eine Rückkehr zum Normalbetrieb wird aber erst in sechs Monaten erwartet. Die Heilbronner Stimme steht mit dem Landesbeauftragten für Datenschutz im Austausch und beobachtet die einschlägigen Seiten, um zu sehen, ob Daten gestohlen wurden. Bisher scheint das noch nicht der Fall zu sein.
Nachsitzen in der Bayrischen Schulverwaltung: Weder Daten noch Server übrig
Der Angriff auf die Amtliche Schulverwaltung (ASV) mit Servern des Medienzentrums München-Land am 20.10.2022 wurde zwar nach wenigen Minuten entdeckt, doch die Schulen wurden erst vier Tage später informiert. Die guten Nachrichten: Weitere Bereiche des Medienzentrums sind nicht betroffen und das Landratsamt München wird die Aufforderung zur Kontaktaufnahme im Darknet ignorieren.
Die schlechten Nachrichten: Das Medienzentrum veröffentlichte, dass mit “sehr hoher Sicherheit keine Daten abgeflossen sind”, doch eine Verwaltungsmitarbeiterin berichtete eher das Gegenteil: So seien allerlei Daten sowohl von Schülerinnen und Schülern als auch von Lehrkräften betroffen. Zudem verfügt die ASV über kein Back-up und das eigentliche Speichermedium war zum Zeitpunkt des Angriffs mit den anderen Servern verbunden, um den monatlichen Report zu erstellen und wurde in diesem Zuge mit verschlüsselt. Es liegt nun an den Schulen selbst, verfügbare Sicherungen auf eigene Faust einzuspielen, denn das ASV kann zeitnah keine Server bereitstellen. Der Grund: Sie entsprechen nicht den Sicherheitsanforderungen. Hier hätte vermutlich ein zentral gemanagtes BCM zu einer übergreifenden Schadensbewältigung beitragen können. Im Rahmen einer BIA hätten beispielsweise der maximal zulässige Datenverlust ermittelt und darauf aufbauend angemessene Backup-Strategien entwickelt werden können.
https://www.landkreis-muenchen.de/artikel/ransomware-attacke-medienzentrums-server-gehackt/
Personalmangel und Corona: Probleme bei der Briefzustellung der Post
Wegen der Krankmeldung von 30 % des Personals in Hotspots in Berlin und Süddeutschland sowie allgemeinem Missmanagement konnte keine zeitnahe Briefzustellung realisiert werden. Zwischen Juli und September gingen 11.500 Beschwerden (2021 gesamt 15.100) bei der Bundesnetzagentur ein. Die vor zwei Jahren erstellten Notfallpläne wurden nicht kurzfristig genug von der Post aktiviert. Aufgabe des BCM ist es auch, auf veränderte Rahmenbedingungen und Anforderungen einzugehen. Dem BCM-Lifecycle entsprechend sollten Notfallpläne regelmäßig und anlassbezogen überprüft und angepasst werden.
https://www.deraktionaer.de/artikel/aktien/deutsche-post-20320266.html?feed=TRtvHrugxEKV2n-qR2P-ag
HiSolutions Know-how to go: Red Teaming - IT-Security im Stresstest
Red Teaming ist die hohe Kunst des Eindringens in die IT-Infrastruktur eines Unternehmens, bestenfalls ohne vor dem Erreichen des definierten Ziels entdeckt zu werden. Das Red Team greift auf ein breites Feld möglicher Angriffsvektoren zurück, wozu u. a. das Ausnutzen von Schwachstellen und Fehlkonfigurationen sowie Social Engineering zählen. Das Red Team aus qualifizierten Sicherheitsexperten nimmt die Angreiferperspektive ein. Demgegenüber steht eine Gruppe aus internen IT-Experten der Organisation des Auftraggebers, das sogenannte Blue Team, das für die IT-Sicherheit der Organisation zuständig ist und die Angriffe möglichst frühzeitig erkennt und verteidigt.
In unserem Wissensfrühstück erläutern unsere Spezialisten aus den Bereichen Penetrationstest und Incident Response anhand von Beispielen aus der Praxis, welche zum Teil sehr professionalisierten Angriffsvektoren dazu verwendet werden. Außerdem geben sie einen Einblick in die Durchführung von Phishing-Kampagnen sowie zu Angriffsvektoren gegen die physische Sicherheit einer Organisation. Des Weiteren wird der Frage nachgegangen, welche Voraussetzungen erfüllt sein müssen, damit ein Red Team Engagement das richtige Werkzeug ist, um das IT-Sicherheitsniveau der Organisation sukzessive anzuheben.
Die Veranstaltung findet am 24.11.2022 in unserem Berliner Büro statt und ist kostenfrei.
https://www.hisolutions.com/knowhow
IT-Sicherheit: Notfallplanung und Notfallübungen (05.-07.12.2022)
In diesem Seminar erarbeiten Sie kompakt und praxisnah Schritt für Schritt Ihren Leitfaden für eine professionelle IT-Notfallplanung inklusive der zur Überprüfung notwendigen IT-Notfallübungen:
- Überblick über die wichtigsten IT-Notfallmanagement-Standards,
- Ermittlung der Anforderungen an kritische IT-Systeme,
- Systematische Identifikation, Analyse, Bewertung und Behandlung von IT-Risiken,
- Aufbau IT-Notfalldokumentation, Wiederanlaufplanung,
- Etablieren einer reaktiven IT-Notfallorganisation inklusive Alarmierungs- und Eskalationsverfahren,
- Planung, Durchführung und Auswertung von IT-Notfallübungen und IT-Notfalltests.
https://www.hisolutions.com/security-consulting/academy#c2081
Workshop Hands-on KRITIS (06.-07.12.2022)
In diesem dreitägigen Training werden die Teilnehmer befähigt, im Falle von IT-Sicherheitsvorfällen schnell und effektiv reagieren und als Schnittstelle zu den Vorfall-Experten des Cyber-Sicherheitsnetzwerks beim Bundesamt für Sicherheit in der Informationstechnik (BSI) agieren zu können. Das Training vermittelt unter anderem die folgenden Kenntnisse und Fertigkeiten:
- Aufbau der Digitalen Rettungskette
- Aufgaben und Tätigkeit des Vorfall-Experten
- Vorgehen bei der Vorfall-Behandlung
- Häufig auftretende Schadensfälle
https://www.hisolutions.com/security-consulting/academy#c7488
Die nächsten HiSolutions BCM-News erscheinen Mitte Januar 2023!
Lesen Sie hier alle bisher erschienenen BCM-News.
Für Rückfragen und Anregungen kontaktieren Sie uns gern!