How to act, when you’re hacked – Was tun, wenn man gehackt wurde?

Täglich entstehen in der digitalen Welt neue Gefahren. Oftmals bleiben diese Bedrohungen unbemerkt und dringen durch raffinierte Methoden in unsere Systeme ein. Doch was ist zu tun, wenn man plötzlich feststellt, dass man gehackt wurde? In diesem Blogbeitrag beschreiben wir, was in so einem Fall zu tun ist und wie man sich schützen kann.

1. Bedeutung von Sicherheit im digitalen Zeitalter

Laut einer weltweiten Umfrage aus dem Jahr 2023 haben rund 53 Prozent der befragten Unternehmen in den letzten 12 Monaten Cyber-Angriffe erlebt. In Deutschland waren es sogar etwa 58 Prozent. Die zunehmende Professionalisierung der TäterInnen, insbesondere von organisierten Kriminellen, und die Zunahme von „Advanced Persistent Threats“ tragen zur steigenden Bedrohung bei. Hackerangriffe werden immer raffinierter und sowohl von Kriminellen als auch von staatlichen Akteuren eingesetzt. Die Motivation hinter diesen Attacken kann finanzieller, politischer oder ideologischer Natur sein. Unternehmen und Organisationen weltweit sind davon betroffen und müssen sich mit verschiedenen Formen von Angriffen auseinandersetzen. Diese reichen von Ransomware-Angriffen, bei der Daten werden verschlüsselt und Lösegeld gefordert wird, bis hin zu Distributed Denial of Service (DDoS)-Angriffen, die darauf abzielen Dienste unzugänglich zu machen.

Hacker und ihre Vorgehensweisen

Beim Social Engineering versuchen Hacker gezielt, Menschen zu manipulieren, um an sensible Informationen zu gelangen. Dies kann durch verschiedene Methoden wie Phishing-E-Mails, CEO-Betrug oder Köderversuche (Baiting) geschehen. Oder sie suchen nach Schwachstellen in Systemen und Netzwerken, um unbefugten Zugriff zu erlangen. Ihr Ziel ist es, unentdeckt zu bleiben, indem sie strategisch vorgehen und nur wenig digitale Spuren hinterlassen. Im Allgemeinen vergehen durchschnittlich 207 Tage, bis eine Cyberattacke entdeckt wird. In dieser Zeit haben die Hacker genügend Zeit, um ihre Ziele zu erreichen, sei es das Ausspionieren von Geschäftsgeheimnissen oder die Manipulation von Finanzströmen.

Schwachstellen in Systemen – Mögliche Angriffspunkte

• Programmierfehler: Fehler im Code können es Hackern ermöglichen, Systeme zu infiltrieren oder Daten zu stehlen.
• Konfigurationsfehler: Unsichere Einstellungen, wie offene Ports oder falsch konfigurierte Dienste.
• Veraltete Software: Nicht aktualisierte Software kann bekannte Sicherheitslücken enthalten, die von Hackern ausgenutzt werden können. Einige der prominentesten Beispiele der vergangenen Jahre sind: Heartbleed (OpenSSL, 2014), Shellshock (Bash, 2014), Stagefright (Android, 2015), EternalBlue (Windows, 2017), BlueKeep (Windows, 2019). In 2022 waren einige der am häufigsten ausgenutzten Schwachstellen: Log4J (CVE-2021-44228), Code-Injektion bei Atlassian Confluence (CVE-2022-26134), ProxyShell (CVE-2021-34473, CVE-2021-31207, CVE-2021-34523). https://www.cisa.gov/report
• Schwache Passwörter: Einfache oder wiederverwendete Passwörter können leicht erraten oder durch Brute-Force-Angriffe geknackt werden.
• Fehlende Sicherheitsvorkehrungen: Unzureichende Verschlüsselung oder fehlende Zwei-Faktor-Authentifizierung
• Zero-Day-Schwachstellen: Dies sind bisher unbekannte Sicherheitslücken, für die es noch keine Patches gibt

2. Erste Schritte nach einem Hackerangriff: Sofortmaßnahmen

Im Falle eines Hackerangriffs ist schnelles Handeln unerlässlich.

Schritt 1: Krisenteam einberufen

Sobald ein Angriff erkannt wird, wird umgehend das Krisenteam bestehend aus den Mitgliedern der IT-Sicherheit, des Managements, der Rechtsabteilung und der Kommunikationsabteilung einberufen.

• Klare Verantwortlichkeiten sollten bereits im Vorfeld festgelegt und in regelmäßigen “Fire-Drills” der Ernstfall geprobt werden.
• Um im Falle einer kompletten Verschlüsselung handlungsfähig zu bleiben, sollten Kontaktdaten von MitarbeiterInnen sowie wichtigen Stakeholder stets aktuell und offline (unter Berücksichtigung des DSGVOs) verfügbar sein. Zudem sollte ein unabhängiger Kommunikationskanal explizit für den Ernstfall eingerichtet und etabliert sein.

Schritt 2: Bewertung des Vorfalls 

Das Team analysiert und bewertet den Umfang des Angriffs, identifiziert betroffene Systeme und ermittelt mögliche Kompromittierungen von Daten.

Schritt 3: Kommunikation

Eine klare und effektive Kommunikation innerhalb des Teams und mit externen Stakeholdern ist von entscheidender Bedeutung (Mehr dazu in Punkt 8). Dazu gehören interne Mitteilungen sowie, bei Bedarf, öffentliche Statements.

• Auf ein einheitliches Wording sollte dabei immer geachtet werden.
• Wir empfehlen klare Verantwortlichkeiten zu definieren und in regelmäßigen Meetings das Status Quo abzufragen und entsprechend ggf. zu kommunizieren.

Schritt 4: Eindämmung der Bedrohung

Das Team setzt alles daran, die Bedrohung einzudämmen, weitere Schäden zu verhindern und die Sicherheit der Systeme wiederherzustellen. Sofortige Maßnahmen wie das Trennen des betroffenen Systems vom Netzwerk und das Ändern aller Passwörter sind entscheidend.

 3. Kontaktieren der richtigen Stellen: Vorfall melden

Kontaktieren Sie die zuständigen Stellen, um den Vorfall zu melden und Unterstützung zu erhalten. Informieren Sie das IT-Sicherheitszentrum und Ihre Dienstleister, um gemeinsam Maßnahmen zur Schadensbegrenzung zu planen. Ein Forensiker-Team kann bei der Aufklärung und Eindämmung der Bedrohung helfen. Eine Anzeige bei der Polizei ist zu empfehlen, um so den Vorfall (z.B. auch der Versicherung) zu dokumentieren.

 4. Analyse des Schadens: Bestimmen, was genau gehackt wurde & Spurensicherung

Wichtig in dieser Situation ist die penible Identifizierung welche sensiblen Daten oder Systeme kompromittiert wurden, um gezielte Gegenmaßnahmen zu ergreifen. Eine genaue Analyse ist der erste Schritt zur Wiederherstellung der Sicherheit. Durchleuchten Sie jeden Winkel Ihres digitalen Universums, von Cloud-Daten bis hin zu Unternehmensnetzwerken.

Es ist außerdem wichtig, alle notwendigen Logfiles aufzubewahren, um alle Spuren zu sichern und mögliche Angriffsvektoren zu identifizieren. Diese können entscheidend sein, um den Vorfall zu rekonstruieren und Maßnahmen zur Verbesserung der Sicherheit zu ergreifen. Daher sollten Sie sicherstellen, dass alle relevanten Daten gesichert sind und keine wichtigen Informationen verloren gehen. Nur so können Sie die Sicherheit Ihrer Systeme effektiv wiederherstellen und zukünftige Angriffe verhindern.

5. Sicherheitslücken schließen: Stärken Sie Ihre Systeme

Nach einem Hackerangriff ist es unerlässlich, die Sicherheitslücken zu identifizieren und zu schließen.

Eine Kombination aus Netzwerksegmentierung, Firewalls, Deep Learning Prevention Software (z.B. Deep Instinct), EDR und PAM (z.B. FUDO) Lösungen können dazu beitragen diese zu schließen.

• Deep Learning Prevention Software: Die Lösung von Deep Instinct verhindert, dass Malware in die Organisation überhaupt eindringt. Sie blockiert schädlichen Code bereits, bevor er auf die Festplatte geschrieben wird.
• EDR: Hierbei werden die Endpunkte (wie Computer und mobile Geräte) kontinuierlich auf Anzeichen von Bedrohungen überwacht und automatische Aktionen ausgeführt, um diese einzudämmen.
• Privileged Acces Management: PAM von Fudo hilft dabei, den Zugriff auf kritische Systeme und Daten zu kontrollieren. Sie verwaltet und überwacht privilegierte Konten, um sicherzustellen, dass nur autorisierte Benutzer Zugriff auf sensible Ressourcen haben.
• Datensicherheit mit Varonis: Automatische Erkennung und Klassifizierung von Daten. Zugriffsintelligenz, Automatisierung des Last Privilege, Benutzer- und Entitätsverhaltensanalyse.

Wichtig ist, eine Kombination der Tools zu verwenden, um ein umfassendes Sicherheitsnetzwerk zu schaffen. Keine einzelne Lösung kann alle Sicherheitslücken abdecken, daher ist eine mehrschichtige Verteidigungsstrategie der Schlüssel zur Maximierung der Netzwerksicherheit. Es ist auch wichtig, regelmäßige Sicherheitsbewertungen und -updates durchzuführen, um sicherzustellen, dass Ihre Sicherheitsmaßnahmen auf dem neuesten Stand sind.

6. Passwort-Management: Erhöhen Sie die Security durch starke Passwörter

Stärken Sie Ihre Sicherheit durch ein effektives Passwort-Management. Nutzen Sie komplexe Kombinationen aus Zahlen, Buchstaben und Sonderzeichen, um Ihre Daten vor Bedrohungen zu schützen. Vermeiden Sie leicht erratbare Passwörter. Ändern Sie regelmäßig die Passwörter. Verwenden Sie einen Passwortmanager, um Passwörter sicher zu speichern und zu verwalten. Zwei-Faktor-Authentifizierung (2FA) ist eine weitere zusätzliche Sicherheitsmaßnahme, die eine zusätzliche Ebene des Schutzes zu Ihrem Konto hinzufügt.

7. Datenwiederherstellung: Versuchen Sie, verloren gegangene Daten wiederherzustellen

Im Falle eines Hackerangriffs ist die Datenwiederherstellung von entscheidender Bedeutung. Versuchen Sie mit Hilfe von professionellen Tools und Experten, Ihre verloren gegangenen Daten wiederherzustellen. Wir können die Lösung von Commvault empfehlen.

 8. Informieren Sie Ihre Kontakte: Teilen Sie mit, dass Sie gehackt wurden

Es ist von entscheidender Bedeutung, in Zeiten digitaler Bedrohungen transparent zu sein. Informieren Sie umgehend Ihre Kontakte über den Hack. Teilen Sie ihnen mit, dass Ihre Sicherheit beeinträchtigt wurde und potenziell auch ihre Daten gefährdet sind. Wie schon eingangs erwähnt, ist hierbei auf ein einheitliches Wording zu achten. Durch offene Kommunikation schafft man Vertrauen und ermöglicht es anderen, Vorsichtsmaßnahmen zu ergreifen. Informierte Kontakte können dazu beitragen, weitere Schäden zu verhindern. Je schneller und präziser gehandelt wird, desto besser können die möglichen Auswirkungen des Hacks eingedämmt werden.

 9. Prävention für die Zukunft: Schützen Sie sich vor erneuten Angriffen

Prävention für die Zukunft ist entscheidend in der digitalen Welt. Um sich vor erneuten Angriffen zu schützen, sollten Sie Ihre Sicherheitsmaßnahmen verstärken.

• Überprüfen Sie regelmäßig Ihre Systeme auf Sicherheitslücken und halten Sie diese stets auf dem neuesten Stand.
• Nutzen Sie neue Technologien und Produkte (Deep Instinct, Varonis, Fudo, etc.) die Ihre Daten vor Bedrohungen schützen können.
• Vermeiden Sie es, sensible Daten auf unsicheren Plattformen wie öffentlichen WLAN-Netzwerken preiszugeben.
• Regelmäßige Schulungen und Bewusstseinsbildung bei den Mitarbeitenden.
• Stellen Sie klare und leicht verständliche Sicherheitsrichtlinien und -verfahren zur Verfügung. Diese sollten Anweisungen für ein sicheres Verhalten enthalten, wie z.B. das Vermeiden von Phishing Mails, das sichere Surfen im Internet und der sichere Umgang mit sensiblen Daten.
• Incident Reporting: Fördern Sie eine Kultur, in der sich die Mitarbeitenden wohlfühlen, potenzielle Sicherheitsvorfälle zu melden.
• Regelmäßige Überprüfungen der Sicherheitspraktiken.
• Regelmäßige Fire-Drills, um den Ernstfall zu üben.

10. Fazit: Sicherheit geht vor – Handeln Sie schnell und bedacht, wenn Sie gehackt wurden

Wenn Sie Opfer eines Hackerangriffs geworden sind, zählt jede Minute. Schnelles und überlegtes Handeln ist entscheidend, um die Sicherheit Ihrer Daten zu gewährleisten. Informieren Sie umgehend die relevanten Stellen über den Vorfall und analysieren Sie gründlich, was genau gehackt wurde. Schließen Sie Sicherheitslücken und stärken Sie Ihre Systeme, um künftige Bedrohungen zu minimieren.