Informationssicherheitsvorfall

Was ist ein Informationssicherheitsvorfall

Ein Informationssicherheits-(IS-)Vorfall ist jedes unerwünschte oder unvorhergesehene Ereignis (oder eine Reihe davon), das bzw. die die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen und IT-Systemen verletzt oder die Gefahr einer Verletzung schafft. In einfachen Worten ist es ein Fall, in dem Ihre Daten in die falschen Hände geraten sind, unwiederbringlich verloren gegangen sind oder das System aufgehört hat zu funktionieren.

Es ist wichtig, einen Vorfall von einem Sicherheitsereignis zu unterscheiden. Ein Ereignis ist jede Änderung im System, die sowohl normal als auch verdächtig sein kann (z. B. hat ein Benutzer ein falsches Passwort eingegeben). Ein Vorfall ist ein Ereignis, das echten Schaden verursacht hat oder verursachen könnte (z. B. hat ein Angreifer ein Passwort geknackt und sich in das System eingeloggt, Daten gestohlen oder Dateien verschlüsselt).

Laut Statistik sehen sich mehr als 80 % der Unternehmen mindestens einem schwerwiegenden IS-Vorfall pro Jahr gegenüber. Die Kosten für die Beseitigung der Folgen eines Vorfalls betragen im Durchschnitt Millionen von Rubel, und die Wiederherstellung des Rufs kann Jahre dauern. Laut Kaspersky Lab betrugen die durchschnittlichen Kosten eines Vorfalls für russische Unternehmen im Jahr 2025 12,4 Millionen Rubel, und die Wiederherstellungszeit dauerte von mehreren Tagen bis zu mehreren Wochen. Lesen Sie über die Verhinderung solcher Situationen im Artikel Informationssicherheit.

Hauptarten von Vorfällen

Informationssicherheitsvorfälle werden nach der Art der Bedrohung und der Art der Auswirkung klassifiziert. Die häufigsten Arten:

• Schadsoftware: Infektion mit Viren, Ransomware (Verschlüsselungssoftware), Spyware, Trojanern, Würmern und Rootkits. Schadsoftware kann Daten stehlen, Dateien verschlüsseln, das System zu einem Teil eines Botnetzes machen oder es vollständig außer Betrieb setzen.
• Unbefugter Zugriff: Hackerangriffe, Passwort-Knacken, illegale Rechteausweitung, Kontodiebstahl, Nutzung von Schwachstellen, um Zugang zu Systemen zu erhalten. Unbefugter Zugriff ist eine der häufigsten Ursachen für Datenlecks.
• Datenlecks und Kompromittierung: Illegale Kopie, Löschung oder Veröffentlichung vertraulicher Dokumente, Kundendatenbanken, personenbezogener Daten, Geschäfts- oder Staatsgeheimnisse. Lecks können sowohl extern (Hacker) als auch intern (Insider) sein.
• Verletzung der Verfügbarkeit: DDoS-Angriffe (verteilte Denial-of-Service-Angriffe), Systemblockierung, Geräteschäden, Softwareausfälle, wodurch Mitarbeiter und Kunden keinen Zugang zu Diensten erhalten.
• Social Engineering: Erfolgreiche Phishing-Angriffe, wenn Mitarbeiter bösartigen Links folgen, infizierte Anhänge öffnen oder Angreifern Zugangsdaten und vertrauliche Dokumente unter dem Vorwand einer „Überprüfung" oder „offiziellen Anfrage" übergeben.
• Interne Verstöße (Insider-Bedrohungen): Vorsätzliche oder versehentliche Offenlegung von Daten durch Mitarbeiter, Senden vertraulicher Informationen an den falschen Empfänger, Übertragen von Daten auf persönliche Medien oder in Cloud-Speicher.

Lesen Sie mehr über Arten von Cyberangriffen im Artikel Cyberbetrug.

Lebenszyklus eines Vorfalls

Nach den Standards (z. B. NIST SP 800-61 und inländischen methodischen Empfehlungen) umfasst der klassische Prozess der Vorfallbehandlung folgende Phasen:

• Erkennung und Registrierung: Erkennung verdächtiger Aktivitäten im System. Dies kann ein Auslöser eines SIEM-Systems, EDR, Antivirenprogramms, eine Benutzerbeschwerde oder die Erkennung von Anomalien in Protokollen sein.
• Analyse: Bewertung des Ausmaßes der Bedrohung, Identifizierung betroffener Systeme, Bestimmung der Angriffsart und Suche nach seiner Quelle. SOC-Analysten führen eine Untersuchung mit Protokollen, Netzwerkverkehr und Forensik-Daten durch.
• Eindämmung und Reaktion: Blockierung des Angriffs und Verhinderung seiner Ausbreitung. Isolierung infizierter Systeme vom Netzwerk, Blockierung der IP-Adressen von Angreifern, Deaktivierung kompromittierter Konten.
• Behebung und Wiederherstellung: Entfernung von Schadsoftware, Datenwiederherstellung aus Backups (Backup-System), Wiederherstellung der Funktionsfähigkeit des Systems, Schließen der Schwachstellen, über die das Eindringen erfolgte.
• Vorfallanalyse (Post-Mortem): Identifizierung von Schwachstellen, Entwicklung von Maßnahmen zur Verhinderung ähnlicher Situationen in der Zukunft, Aktualisierung von Sicherheitsrichtlinien, Schulung der Mitarbeiter, Erstellung eines Berichts für das Management und die Regulierungsbehörden (falls erforderlich).

Lesen Sie über Methoden der Datenwiederherstellung im Artikel Datensicherung.

Wie man auf einen Vorfall reagiert

Die richtige Reaktion auf einen Vorfall ist entscheidend für die Schadensminimierung. Die empfohlene Reihenfolge der Maßnahmen:

• Infizierte Systeme sofort isolieren vom Netzwerk (vom lokalen Netzwerk und vom Internet trennen), um die Ausbreitung des Angriffs auf andere Geräte zu verhindern.
• Alle Protokolle und Beweise sichern für die Untersuchung: Systemprotokolle, Ereignisdateien, Speicherabbilder, Kopien infizierter Dateien. Löschen oder ändern Sie keine Daten, bis die Untersuchung abgeschlossen ist.
• Management und Sicherheitsdienst benachrichtigen gemäß dem internen Verfahren zur Reaktion auf Vorfälle.
• Spezialisten einbeziehen zur Untersuchung des Vorfalls (Forensik) für die professionelle Analyse und Beweissammlung.
• Regulierungsbehörden benachrichtigen (Roskomnadzor, FSTEC, Bank of Russia) in gesetzlich vorgesehenen Fällen (z. B. bei einem Leck personenbezogener Daten nach 152-FZ oder Vorfällen an Objekten der kritischen Informationsinfrastruktur). Die Benachrichtigungsfrist beträgt in der Regel 24 Stunden ab dem Erkennungszeitpunkt.

Lesen Sie über rechtliche Aspekte im Artikel Bundesgesetz 152-FZ.