Drei Fälle aus diesem Sommer und drei Fragen, die sich jeder Krisenstab vorher stellen sollte.
Zwei Monate nach dem Cyberangriff auf einen Versorger steht fest, dass entgegen der ersten forensischen Einschätzung doch Daten abgeflossen sind. Betroffen sein können nach Angaben des Energieversorgungsunternehmens auch Personenbezogene Daten aus älteren Datensicherungen. Kurzzeitig waren die Daten im Darknet verfügbar.
Der Fall zeigt, was ein Cyberangriff bei einem EVU tatsächlich trifft.
Nicht die Versorgung: Strom und Wasser liefen durchgehend, der Entstördienst blieb rund um die Uhr erreichbar.
Getroffen wurde die Handlungsfähigkeit des EVU.
Alle internen Systeme gingen vorsorglich vom Netz, Kundenportal, App, Telefon und E-Mail waren ausgefallen, die Abschlagseinzüge zum Monatsersten nicht möglich.
Und eine Lagebeurteilung, die nach acht Wochen korrigiert werden musste.
Dieses Muster wiederholt sich in diesem Sommer mehrfach.
Bei einem anderen EVU wurden zentrale Server verschlüsselt.
Netzleittechnik und Versorgung blieben unberührt, zentrale Anwendungen waren zeitweise nicht erreichbar.
Und bei einem bundesweit tätigen Messdienstleister flossen Kundendaten mehrerer Netzbetreiber ab, allein in Norddeutschland geht es um mehr als 200.000 potenziell Betroffene.
Keiner dieser Netzbetreiber wurde selbst angegriffen. Die Betreiber der Energienetze erfuhren erst Tage später vom Angriff auf den Dienstleister und davon, dass auch eigene Kundendaten betroffen sein könnten.
Drei Fragen, die sich daraus für jeden Versorger ergeben:
1. Wie arbeitet der Krisenstab, wenn die eigenen Werkzeuge nicht mehr erreichbar sind?
Krisenhandbuch im Intranet, Kontaktlisten im Mailsystem, Protokoll auf dem Fileserver:
Geht die IT vorsorglich vom Netz, ist all das weg. Was bleiben soll, muss vorher offline verfügbar sein.
2. Wann beginnt die Meldefrist, wenn nicht das EVU, sondern dessen
Dienstleister angegriffen wird?
Die Meldepflichten nach NIS-2 laufen ab Kenntnisnahme, nicht ab Angriff. Wer erst Wochen später von der eigenen Betroffenheit erfährt, braucht einen Prozess, der genau dann greift.
3. Hält Ihre Kommunikation eine Korrektur aus?
Die erste Meldung ist selten die letzte Meldung. Wer nach Wochen korrigieren muss, braucht eine Kommunikationslinie, die das trägt, ohne Vertrauen zu verspielen.
Was Krisenstäbe konkret vorbereiten sollten, zeigt die Kachel.
Ein Cyberangriff legt selten das Netz lahm. Er legt das Unternehmen lahm, das es betreibt. Handlungsfähig bleibt, wer das vorher eingeplant hat.
➡️ Sprechen Sie uns an: www.ckk-consult.de
CKK Consult - Rat und Unterstützung für den Krisenfall
