Ein verdächtiger Zugriff, ungewöhnliche Systemaktivitäten, verschlüsselte Daten oder der Verdacht auf Datenabfluss: Wenn ein Cybervorfall entdeckt wird, zählt nicht nur die technische Reaktion. Es zählt auch, ob ein Unternehmen schnell einschätzen kann, was passiert ist, welche Systeme betroffen sind und welche nächsten Schritte notwendig sind. In der Schweiz ist dieses Thema zusätzlich durch die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen in den Fokus gerückt. Betroffene Organisationen müssen bestimmte Cyberangriffe innerhalb von 24 Stunden nach Entdeckung beim Bundesamt für Cybersicherheit melden. Das betrifft nicht jedes Unternehmen in gleicher Weise, zeigt aber sehr deutlich: Cybervorfälle sind längst kein rein technisches Problem mehr. Sie verlangen klare Prozesse, belastbare Informationen und schnelle Entscheidungen. Aus unserer Sicht liegt die eigentliche Herausforderung dabei selten in der Meldung selbst. Kritisch ist die Frage, ob ein Unternehmen im Ernstfall überhaupt schnell genug weiss, was passiert ist und was zu tun ist.

Zu Beginn ist oft nicht klar, ob es sich um einen Fehlalarm, eine technische Störung oder einen ernsthaften Sicherheitsvorfall handelt. Gleichzeitig müssen IT, Geschäftsleitung, Datenschutz, Kommunikation und gegebenenfalls externe Partner abgestimmt handeln. Wer erst im Ernstfall klärt, wer entscheidet, wer informiert werden muss und welche technischen Daten verfügbar sind, verliert wertvolle Zeit. Unternehmen können mit einigen zentralen Fragen überprüfen, wie gut sie vorbereitet sind.

 

Der Readiness Check

Sind kritische Systeme und Daten bekannt?

Incident Readiness beginnt mit Transparenz. Unternehmen sollten wissen, welche Systeme für den Betrieb besonders wichtig sind, wo sensible Daten verarbeitet werden und welche Abhängigkeiten zu Cloud-, SaaS- oder externen Dienstleistern bestehen. Nur so lässt sich im Ernstfall beurteilen, wie schwer ein Vorfall wiegt.

Sind Zuständigkeiten klar geregelt?

Bei einem Cybervorfall muss sofort klar sein, wer die Lage bewertet, wer Entscheidungen trifft und wer die interne Koordination übernimmt. Dazu gehören auch Stellvertretungen, falls zentrale Personen nicht erreichbar sind.

Gibt es definierte Eskalations- und Meldewege?

Ein Sicherheitsvorfall betrifft selten nur die IT. Je nach Lage müssen Geschäftsleitung, Datenschutz, Rechtsabteilung, Kommunikation, externe Dienstleister oder Behörden eingebunden werden. Diese Wege sollten vorab festgelegt sein.

Sind technische Informationen schnell verfügbar?

Für eine belastbare Einschätzung braucht es verwertbare Daten: Logs, Asset-Informationen, Benutzeraktivitäten, Netzwerkdaten und Hinweise auf betroffene Systeme. Wir empfehlen, regelmässig zu prüfen, ob diese Daten im Ernstfall tatsächlich schnell verfügbar und auswertbar sind.

Ist klar, wann ein Vorfall kritisch ist?

Nicht jede Auffälligkeit ist meldepflichtig oder geschäftskritisch. Unternehmen brauchen Kriterien, um Sicherheitsereignisse einzuordnen: Welche Systeme sind besonders wichtig? Welche Daten sind sensibel? Welche Auswirkungen hätte ein Ausfall oder Datenabfluss?

Ist die externe Angriffsfläche bekannt?

Welche Systeme sind von aussen erreichbar? Welche Domains, Anwendungen, Schnittstellen oder Testumgebungen könnten übersehen werden? External Attack Surface Management (EASM), Schwachstellenscans oder Penetrationstests helfen, blinde Flecken frühzeitig sichtbar zu machen.

Sind privilegierte Zugriffe unter Kontrolle?

Benutzerkonten mit weitreichenden Rechten spielen bei vielen Angriffen eine zentrale Rolle. Deshalb sollte klar sein, welche Accounts besondere Berechtigungen haben, wie diese geschützt werden und ob Zugriffe nachvollziehbar protokolliert sind.

Wird strukturiert dokumentiert?

Zeitpunkt, betroffene Systeme, erste Beobachtungen, getroffene Massnahmen und offene Fragen sollten von Beginn an festgehalten werden. Das hilft bei der Analyse, bei internen Entscheidungen und bei möglichen externen Meldungen.

Gibt es einen Kommunikationsplan?

Im Ernstfall entstehen schnell Unsicherheit und Informationsdruck. Wer kommuniziert intern? Wer informiert Kunden oder Partner? Wer ist Ansprechpartner für Behörden? Vorbereitete Abläufe verhindern widersprüchliche Aussagen.

Wurde der Notfallplan getestet?

Ein Incident-Response-Plan ist nur so gut wie seine praktische Umsetzbarkeit. Wir empfehlen, solche Abläufe regelmässig zu üben. Erst im Test zeigt sich, ob Rollen, Prozesse und technische Grundlagen funktionieren oder ob Lücken bestehen.

 

Cybervorfälle lassen sich nie vollständig ausschliessen. Entscheidend ist aber, wie gut ein Unternehmen vorbereitet ist, wenn etwas passiert. Wer Zuständigkeiten, technische Grundlagen und Entscheidungswege im Vorfeld klärt, kann schneller reagieren, Schäden begrenzen und souveräner kommunizieren.

Wir unterstützen Sie dabei, Incident-Response-Prozesse, technische Erkennungsfähigkeiten und Sicherheitsarchitekturen realistisch zu überprüfen. So wird aus einer gesetzlichen Anforderung ein praktischer Schritt zu mehr Cyber-Resilienz für Ihr Unternehmen.