Manöver im Sturm
Improvisation ist kein Notfallplan.
Die Vorbereitung
Wer das Manöver kennt, führt es aus.
Die Frage ist nicht mehr ob ein Angriff kommt. Die Frage ist: Werde ich es bemerken — und bin ich dann noch handlungsfähig?
Wer in diesem Moment nicht vorbereitet ist, verliert Zeit mit Fragen, die eigentlich schon beantwortet sein sollten. Was tun wir jetzt? Wen rufen wir an? Wie kommunizieren wir miteinander, wenn alle vertrauten Werkzeuge abrupt nicht mehr zur Verfügung stehen?
Qberos denkt diesen Fall mit. Nicht weil es unvermeidlich ist — sondern weil Vorbereitung der einzige Weg ist, im Ernstfall ruhig zu bleiben. Wer das Manöver kennt, führt es aus. Wer es nicht kennt, ist gezwungen zu improvisieren — und es ist wissenschaftlich nachgewiesen, dass Kreativität und Entscheidungsfähigkeit unter Stress massiv eingeschränkt sind. Unsere Empfehlung ist eindeutig: Vorbereitung.
Das Ziel ist nicht, den Sturm zu verhindern — das ist nicht möglich. Das Ziel ist, das Schiff sicher durch den Sturm zu manövrieren: trotz kritischer Augenblicke, Zweifel und Schock. Am Ende fest am Steuer zu stehen — das eigene Schiff ist auf Kurs, nicht mit Mann und Maus gekentert.
Der Lotse haftet nicht für den Sturm. Aber er verlässt das Schiff nicht, wenn er aufzieht.
Die Bausteine
Was an Bord sein muss, bevor der Sturm kommt.
Wer unter Druck improvisiert, verliert zweierlei: Zeit und Überblick. Aus eigener Beobachtung wissen wir, dass in kritischen Momenten genau die Dinge fehlen, die vorher niemand für notwendig hielt — ein funktionierender Kommunikationskanal, ein klarer Ansprechpartner, ein getestetes Backup. Was im Ernstfall nicht vorbereitet ist, wird nicht in Ruhe nachgeholt. Es wird unter Stress, mit eingeschränktem Urteilsvermögen und gegen die Uhr gesucht. Das ist ein Spiel, das man nicht gewinnen kann — außer man hat vorher gespielt.
Krisenkommunikation
Eigener Kanal für den Ernstfall
Wenn ein Vorfall eintritt, ist die erste Frage keine technische — es ist eine menschliche: Wer weiß was? Wer koordiniert? Wer spricht mit wem?
Genau in diesem Moment kann es passieren, dass die gewohnten Kanäle nicht mehr verfügbar sind. E-Mail kompromittiert, Telefonie über die gleiche Infrastruktur, Messenger auf dem betroffenen Gerät. Wer dann erst anfängt, nach einer Lösung zu suchen, verliert die wertvollste Ressource im Ernstfall: Zeit.
Ein unabhängiger Kommunikationskanal steht bereit, bevor er gebraucht wird — verschlüsselt, außerhalb der betroffenen Infrastruktur, für alle Beteiligten erreichbar. Damit die Koordination läuft, auch wenn alles andere steht.
Dezentrales, Ende-zu-Ende-verschlüsseltes Nachrichtensystem — selbst gehostet, unabhängig von der Kundeninfrastruktur, kein US-Cloud-Anbieter. Für die Krisenkoordination zwischen Kunde, Qberos und externen Partnern. Funktioniert auch, wenn E-Mail, VoIP und die reguläre IT-Infrastruktur ausgefallen oder kompromittiert sind. Zugangsdaten und Einrichtung erfolgen vor dem Ernstfall — nicht währenddessen.
Eskalation
Wenn spezialisierte Hilfe gebraucht wird
Manche Vorfälle übersteigen das, was ein MSSP allein stemmen kann — und das sagen wir offen. Nicht jeder Sturm ist gleich. Ein gezielter, komplexer Angriff auf kritische Systeme braucht spezialisierte Einsatzteams mit forensischen Mitteln, juristischer Erfahrung und direkten Behördenkontakten.
Qberos hält diese Verbindungen vor — und übernimmt die Koordination. Du hast eine Anlaufstelle, nicht drei. Wir übergeben nicht einfach weiter — wir bleiben dabei.
Koordinierter Zugang zu spezialisierten Incident-Response-Teams für schwere Vorfälle: forensische Tiefenanalyse, Kommunikation bei Ransomware-Vorfällen, Behördenkommunikation (BSI, LKA) und versicherungsrelevante Dokumentation. Qberos übernimmt die Koordination, bleibt Ansprechpartner und stellt sicher, dass alle Beteiligten auf demselben Stand sind — auch externe Partner.
Analyse
Was ist passiert — und wie?
Sobald die unmittelbare Lage unter Kontrolle ist, beginnt die eigentlich entscheidende Arbeit: verstehen, was passiert ist. Welcher Weg wurde genommen? Was wurde erreicht? Was ist möglicherweise abgeflossen?
Ohne diese Analyse bleibt die Lücke offen. Eine Wiederherstellung ohne Ursachenklärung ist kein Neuanfang — es ist eine Einladung zur Wiederholung. Die Analyse ist auch die Grundlage für Meldepflichten, Versicherungsnachweise und die Entscheidung, was als nächstes zu tun ist.
Die Protokollhistorie aller betreuten Systeme bildet die Grundlage für die forensische Aufarbeitung: Rekonstruktion des Angriffswegs, Zeitstempel-Analyse, betroffene Konten und Identitäten, laterale Bewegungen im Netz. Ergebnis ist ein dokumentierter Vorfallsbericht — als Grundlage für behördliche Meldepflichten (BSI, Datenschutzbehörde), Versicherungsnachweise und die strukturierte Wiederherstellung.
Wiederherstellung
Datensicherung & Wiederherstellung
Am Ende des Manövers steht die Rückkehr. Nicht sofort in den Vollbetrieb — sondern Schritt für Schritt: zuerst Notbetrieb, dann Regelbetrieb. Was das möglich macht, wurde lange vorher entschieden: ein Backup, das nicht nur existiert, sondern funktioniert. Das regelmäßig getestet wurde. Das außerhalb der betroffenen Infrastruktur liegt — und das im entscheidenden Moment abrufbar ist.
Ein Backup, das nie getestet wurde, ist eine Hoffnung. Ein getestetes Backup ist ein Plan.
Agenten- und imagebasierte Datensicherung für physische und virtuelle Systeme — mit gezielter Wiederherstellung einzelner Dateien oder vollständiger Systemabbilder. Verschlüsselte Sicherungskopien an externem Standort (Offsite), automatisierte Wiederherstellungstests und Schutz vor Ransomware durch unveränderliche Datensicherung (Write-Once-Speicher). Wiederherstellungsszenarien werden vor dem Ernstfall definiert — Notbetrieb und Regelbetrieb als separate Zielzustände.
Der Selbstcheck
Frag Dich selbst.
Weißt Du, wen Du in den ersten dreißig Minuten eines Vorfalls erreichst — und wie Du mit allen relevanten Entscheidern in Verbindung bleibst, wenn E-Mail, Telefonie und Videokonferenz gleichzeitig nicht zur Verfügung stehen?
Gibt es ein Notfall-Handbuch — eine aktuelle, physische Übersicht aller wichtigen Zugangsdaten, Ansprechpartner und Abläufe, die auch dann greifbar ist, wenn kein einziges digitales System mehr verfügbar ist?
Wurde Dein letztes Backup je wiederhergestellt — als Test, nicht im Ernstfall?
Weißt Du, ob Du im Falle eines Datenlecks meldepflichtig bist — und wenn ja, bis wann?
Und die letzte, ehrlichste Frage: Hast Du diese Fragen bisher mit Ja beantwortet — oder weißt Du jetzt, wo es Lücken oder Unklarheiten gibt?
Ein Einblick
Was Du wissen solltest.
Die meisten Angriffe werden nicht sofort bemerkt. Der Median zwischen erstem Eindringen und Entdeckung liegt bei mehreren Wochen — manchmal Monaten. In dieser Zeit können an unterschiedlichen Stellen Vorbereitungen getroffen oder weitere Verbindungen etabliert werden, Daten unerkannt abfließen oder andere ungewollte Aktivitäten stattfinden.
Eine Datensicherung ist die allerletzte Möglichkeit, einen Zustand zu erhalten und wieder verfügbar zu machen. Vor diesem Hintergrund ist es unerlässlich zu überprüfen, ob sie wiederhergestellt werden kann — und ob sie regelmäßig ausgeführt wird. Ohne diese Gewissheit bleibt es eine Annahme — ein Funken Hoffnung, dass alles gut wird. Wenn sie unweigerlich benötigt wird und der Wiederherstellungsprozess scheitert, ist alles verloren. Wir empfehlen dringend, Prüfverfahren und regelmäßige Tests einzuführen — bevor der Ernstfall das übernimmt.
Kommunikation in einer Krise ist für sich genommen schon eine Herausforderung. Technisch eine Alternative zur Verfügung zu haben — einen Plan B, wenn die Standard-Werkzeuge nicht mehr nutzbar sind — ist in der Praxis eine seltene Vorbereitung. Wer einen unabhängigen Kanal hat, kann ohne große Zeitverluste zurück ins Handeln kommen. Wer keinen hat, ist gezwungen, genau dann eine Lösung zu finden, wenn der Kopf am wenigsten frei ist.
Wer während eines Vorfalls Zeit und Schritte dokumentiert, schafft mehr als Ordnung — er schafft Grundlage. Ausfallzeiten multipliziert mit dem internen Verrechnungssatz je Mitarbeitenden sind die Sprache, die Versicherungen verstehen. Ein Protokoll ist der Unterschied zwischen einem belegbaren Schaden und einer Geschichte, die niemand prüfen kann.
Eine Meldepflicht nach DSGVO besteht innerhalb von 72 Stunden nach Bekanntwerden eines Datenlecks — nicht nach dessen Bestätigung. Die Uhr läuft, auch wenn noch nicht alles geklärt ist. Wer das nicht weiß, meldet zu spät — und trägt dafür die Konsequenzen, unabhängig vom eigentlichen Vorfall.
Das Notfall-Handbuch ist das einzige Dokument, das funktioniert, wenn nichts anderes mehr funktioniert. Es existiert auf Papier, liegt an einem bekannten Ort, ist aktuell — und enthält alles, was im Ernstfall gebraucht wird: Zugangsdaten, Ansprechpartner, Abläufe. Wer es nicht hat, improvisiert unter Druck. Wer es hat, handelt.
Ein Sturm zieht auf.
Bevor der Ernstfall eintritt, ist der richtige Zeitpunkt.