Eine Mail, auf die jemand geklickt hat
Eine Kollegin sagt: „Ich habe auf einen Link in einer Mail geklickt, und danach war die Seite seltsam.“
Der Link kam angeblich von der Bank. Jetzt ist sie unsicher, ob sie etwas eingegeben hat.
Was tun Sie als Erstes? Diese Lektion gibt Ihnen eine einfache Reihenfolge.
Am Ende dieser Lektion
Notiz
Ich kann sagen, welche ersten Schritte nach einem Sicherheitsvorfall folgen.
Schlüsselwörter
| Begriff | Was er bedeutet |
|---|---|
| Sicherheitsvorfall | Ein Ereignis, das Daten oder Systeme gefährdet oder schädigt (englisch: incident) |
| Melden | Das zuständige Team sofort informieren |
| Eindämmen | Verhindern, dass sich der Schaden ausbreitet (englisch: contain) |
| Protokoll | Eine Datei, in der ein System aufschreibt, was wann geschah (englisch: log) |
| Beweise sichern | Spuren erhalten, damit man später versteht, was passiert ist |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Schritt 1: sofort melden
Sagen Sie es sofort, auch wenn Sie nicht sicher sind. Ein Verdacht reicht.
Wissen Sie vorher, an wen Sie sich wenden: ein Telefon, ein Postfach, ein Chatkanal. In vielen Firmen steht es im Intranet.
Niemand erwartet, dass Sie den Vorfall allein lösen. Erwartet wird, dass Sie früh Bescheid geben.
Eigene Fehler melden
Tipp
Wer einen Fehler meldet, hilft dem Team. Wer ihn verschweigt, lässt den Schaden wachsen. Gute Teams danken für eine frühe Meldung, statt Schuld zu verteilen.
Schritt 2: eindämmen
Eindämmen heißt: den Schaden begrenzen, bevor man ihn versteht.
Bei einem verdächtigen Laptop trennt man ihn vom Netzwerk. Bei einem gestohlenen Passwort ändert man es. Bei einem gesperrten Konto wartet man auf das Team.
Schalten Sie den Rechner nicht aus und löschen Sie nichts, wenn das Team es nicht sagt. Sonst gehen Spuren verloren.
Protokolle erzählen, was geschah
Server, Anmeldungen und Programme schreiben Protokolle: Zeit, Ereignis, Person.
Im Vorfall helfen sie bei Fragen wie: Wann hat es angefangen? Welches Konto war betroffen? Was wurde noch berührt?
Deshalb sichert man Protokolle und verändert sie nicht.
Probieren Sie es aus: ein Anmeldeprotokoll durchsuchen
# Ein erfundenes Anmeldeprotokoll
echo "09:01 OK login user=mara" > anmeldung.log
echo "09:02 FAILED login user=jonas" >> anmeldung.log
echo "09:02 FAILED login user=jonas" >> anmeldung.log
echo "09:03 FAILED login user=jonas" >> anmeldung.log
echo "09:03 OK login user=selin" >> anmeldung.log
echo "09:04 FAILED login user=mara" >> anmeldung.log
echo "09:05 FAILED login user=jonas" >> anmeldung.log
# Nur die fehlgeschlagenen Anmeldungen
grep FAILED anmeldung.log
# Wie oft pro Person? sort gruppiert, uniq -c zählt
grep FAILED anmeldung.log | cut -d= -f2 | sort | uniq -c
# Wie viele Fehlversuche hatte Mara? Ändern Sie den Befehl.
Ein häufiger Fehler
Warnung
Viele wollen sofort „aufräumen“ und löschen Dateien oder setzen den Rechner zurück. Damit verschwinden die Spuren, die zeigen, was geschah und was noch betroffen ist. Melden Sie, dämmen Sie ein, und fragen Sie, bevor Sie etwas löschen.
Im Berufsalltag
Tipp
Schreiben Sie sich am ersten Arbeitstag auf, an wen Sie einen Verdacht melden. Wer das schon weiß, wenn es ernst wird, ist genau die Person, die ein Team gern einstellt.