Heutzutage beginnen die meisten Cyberangriffe ohne den Einsatz von Malware, sondern mithilfe kompromittierter Zugangsdaten. In Konsequenz können sich Cyberkriminelle, trotz zahlreicher Sicherheitsmaßnahmen, leicht Zugriff auf Systeme verschaffen, um im nächsten Schritt beispielsweise Ransomware zu verbreiten, Daten zu verschlüsseln, sensible Daten zu exfiltrieren oder auch IT-Assets zu blockieren. Eine Cyber-Resilienz bzw. Cyber Recovery mit zuverlässigen und nachhaltigen Wiederherstellungsmöglichkeiten nach einem Angriff ist entscheidend, um sich rasch von dessen Effekten zu erholen und die Kontinuität der Geschäftsabläufe zu sichern.
Es gibt verschiedene Arten der Recovery – je nach Ausfallszenario. Gegen Angriffe von Cyberkriminellen hilft nur eine Cyber Recovery. Denn ein Hardware-Ausfall oder ein logischer Datenverlust verlangt eine andere Antwort als eine Verschlüsselung von Daten oder die erfolgreiche Infiltration der Hacker in das eigene Netz.
Operational Recovery, Disaster Recovery und Cyber Recovery
In der IT gibt es drei Arten der Wiederherstellung: Operational, Disaster und Cyber Recovery. Alle machen Daten, Systemen und Anwendungen nach einem Zwischenfall wieder verfügbar, haben jedoch unterschiedliche Aufgaben und Ziele:
- Operational Recovery bezieht sich auf bestimmte Komponenten des Systems, Dateien, Applikationen oder virtuelle Maschinen nach einem kleineren Zwischenfall oder Ausfall. Sie umfasst das Wiederherstellen versehentlich gelöschter Dateien, die Recovery nach Abstürzen oder Fehlern von Applikationen und das Reparieren beschädigter Daten.
- Disaster Recovery umfasst ganze Systeme und Infrastrukturen nach einem Großereignis wie einer Naturkatastrophe, größeren Hardwareausfällen, wie zum Beispiel nach einem Brand im Serverraum, oder längerfristigen Stromausfällen.
- Cyber Recovery zielt auf die Wiederverfügbarkeit speziell nach Cyberangriffen. Die Recovery kann dabei eine Teilmenge der Daten oder die gesamte Infrastruktur betreffen.
Weshalb ein Disaster-Recovery-Plan für die Cyber Recovery nicht ausreicht
Obwohl alle Recovery-Arten darauf abzielen, die Daten und den Betrieb wiederherzustellen, haben herkömmliche Disaster-Recovery-Pläne Schwierigkeiten, den differenzierten Risiken und der Komplexität von Cyberangriffen wirksam zu begegnen. Das hat folgende Gründe:
- Art der Gefahren: Im Gegensatz zu Naturkatastrophen oder Hardwareausfällen handelt es sich hier um vorsätzliche Angriffe. Cyberkriminelle nutzen aktiv Schwachstellen aus und haben es auf für das Unternehmen unerlässliche oder für sie monetarisierbare Daten abgesehen. Dies erfordert einen sorgfältigeren, stärker auf Datensicherheit ausgerichteten und ein Risikomanagement einschließenden Ansatz. Ein standardisierter, allein auf RPOs, RTOs und Abhängigkeiten beim Wiederherstellen einer IT-Infrastruktur ausgerichteter Disaster-Recovery-Plan greift zu kurz.
- Umfang und Schwerpunkt: Bei der Disaster Recovery geht es in erster Linie darum, Systeme und Daten wieder verfügbar zu machen und die Ausfallzeit zu minimieren. Ein gewisser Datenverlust ist zu verschmerzen und vielleicht nicht zu verhindern. Im Gegensatz dazu liegt der Schwerpunkt bei der Cyber Recovery darauf, den Angriff zu isolieren, eine Off-the-Land-Malware zu entfernen und das rückstandslose Wiedereinspielen der Daten vorzubereiten, bevor die Verantwortlichen für operative IT und IT-Sicherheit gemeinsam die Recovery einleiten und durchführen. Dazu gehören forensische Analysen, das Schließen von Schwachstellen und möglicherweise längere Sanierungsprozesse für eine verbesserte Sicherheitslage.
- Methoden und Werkzeuge: Die Disaster Recovery basiert in der Regel auf leicht verfügbaren Backups in Kombination mit Replikation und etablierten Verfahren für ein schnelles Rollback des Systems. Bei Cyberangriffen müssen jedoch die Verantwortlichen jedes Element der IT, von der Hardware über die Daten bis hin zu den Backups, vor der Wiederherstellung auf Infektionen untersuchen, da die Angreifer möglicherweise Malware versteckt oder die Backup-Dateien verändert haben. Für die Cyber Recovery sind spezielle Tools und Fachkenntnisse in den Bereichen Malware-Analyse, Incident Response, unveränderliche/unlesbare Backups, eine Reinraumumgebung für eine saubere Wiederherstellung, das Erkennen von Anomalien und sichere Datenextraktion erforderlich. Zusätzliche Kenntnisse, um etwa die IT- Schwachstellen zu beheben und die Umgebung abzusichern, sind entscheidend, um zukünftige Angriffe zu verhindern.
- Datenintegrität und Anfälligkeit: Cyberangriffe können Backups und bestimmte Daten in Systemen gefährden. Disaster-Recovery-Pläne sind jedoch nicht in der Lage, die letzten noch sauberen Backup-Sätze effektiv zu identifizieren und wiederherzustellen. Ist mit einem infizierten Backup auch die Malware oder der Zugang eines Hackers zum System wiederhergestellt, kann sich die Infektion wieder ausbreiten. Außerdem müssen die IT-Verantwortlichen während des Angriffs ausgenutzte Sicherheitslücken bedenken und vor dem Einspielen des sauberen Backups patchen, was die Rekonstruktion noch komplexer macht.
Digitale Reinräume als Schauplatz für Cyber Recovery
Obwohl Disaster-Recovery-Pläne eine Grundlage für die Reaktion auf Vorfälle darstellen, ist es alles andere als ausreichend, sich bei einem Cyberangriff auf sie zu verlassen. Ein dezidierter Cyber-Recovery-Plan, der spezialisierte Tools, Fachpersonal und kontinuierliche Tests umfasst, ist unerlässlich, um den eigenen Risiken und der Komplexität von Cyberangriffen zu begegnen.
Im Fall der Datenwiederherstellung ermöglicht es ein Cleanroom, der on Demand in der Cloud eine isolierte Recovery-Umgebung und Sandbox-Funktionen bereitstellt, saubere Versionen von Daten aus nicht infizierten Backup-Quellen oder aus dem Snapshot eines noch nicht angegriffenen Backups zu extrahieren, selbst wenn Informationen auf Produktionssystemen gefährdet sind.
Ein Cleanroom spielt zudem eine entscheidende Rolle als Schauplatz für sichere, kostengünstige und flexible Tests und bietet einen isolierten sowie sauberen Raum, um ausgenutzte Schwachstellen zu analysieren, Daten wiederherzustellen und Systeme zu sanieren.
Da ein solcher Reinraum erst bei Bedarf entsteht und nicht im Vornherein existiert, kann er durch Angriffe im Vorfeld nicht zu Schaden gekommen sein. Darüber hinaus können die Verantwortlichen Cyberangriffe simulieren und flexibel On-Demand ihre Notfallpläne testen, um potenzielle Schwachstellen zu erkennen und zu beheben. Nur mit regelmäßigen Testläufen können Sicherheits- und IT-Teams ihren Cyber-Recovery-Plan optimieren, damit dieser im Ernstfall wirksam ist.
Zudem bietet ein Cleanroom einen kontrollierten Raum für forensische Analysen, um die Ursache und den Verlauf eines Angriffs zu untersuchen sowie Folgeattacken verhindern zu helfen. Patches lassen sich ebenfalls hier testen.
Nachhaltige Sicherheit
Die an Komplexität zunehmenden Attacken der Cyberkriminellen verlangen eine nachhaltige, rückhaltlose Recovery von Systemen, Applikationen und Daten. Denn Hacker platzieren nicht nur Malware, sie sichern sich durch verschiedene Aktionen einen nachhaltigen Zugriff auf Opfersysteme, die sich später erneut aktivieren lassen. Nur ein vollständiger und validierter Wiederaufbau der Systeme und Daten sorgt für cyberresiliente Datensicherheit und Datensicherung für die Zukunft.
