Wiper-Angriffe stellen eine besondere Form von Schadsoftware dar, deren Ziel nicht Erpressung, sondern dauerhafte Zerstörung ist. Im Gegensatz zu Ransomware können Wiper-Systeme innerhalb weniger Minuten oder Stunden vollständig funktionsunfähig machen, ohne dass eine Möglichkeit zur Verhandlung oder Entschlüsselung besteht.
Diese Bedrohungslage stellt höchste Anforderungen an die Geschwindigkeit der Erkennung, die Entscheidungsfindung und den Vorbereitungsgrad von Organisationen. Sobald ein Wiper-Angriff vollständig ausgeführt wurde, hängt die Wiederherstellungsfähigkeit ausschließlich von der Verfügbarkeit unbeschädigter und nicht kompromittierter Backups ab.
Wichtigste Reaktionsphasen
Das ZCB-Handbuch beschreibt einen strukturierten Reaktionsansatz mit Fokus auf Vorbereitung und schnelles, koordiniertes Handeln.
- Die Erkennung und erste Reaktion bilden die entscheidende Anfangsphase. Eine frühzeitige Identifikation erfordert kontinuierliche Überwachungs- und Warnmechanismen, um auffälliges Verhalten zu erkennen, bevor sich die Datenzerstörung weiter ausbreitet.
- Die Eindämmung und der Schutz kritischer Ressourcen zielen darauf ab, die weitere Ausbreitung des Angriffs zu verhindern. In dieser Phase hat der Schutz der Backup-Infrastruktur höchste Priorität, einschließlich der Isolation von betroffenen Umgebungen.
- Koordination und Krisenmanagement beruhen auf klaren Befehlsstrukturen, eindeutig definierten Entscheidungsbefugnissen und einer effektiven Kommunikation über mehrere Kanäle. Incident-Response-Teams, IT-Betrieb, Management und externe Stakeholder müssen dabei eng abgestimmt agieren.
- Die Wiederherstellung folgt, sobald der Angriff erfolgreich eingedämmt wurde. Der Fokus liegt auf der Wiederherstellung von Systemen aus vertrauenswürdigen Backups sowie auf der Wiederaufnahme essenzieller Dienste.
- Verbesserungen nach dem Vorfall schließen den Reaktionszyklus ab. Nach der Wiederherstellung sollten Organisationen umfassende Analysen durchführen, Verfahren aktualisieren und die gewonnenen Erkenntnisse in zukünftige Vorsorgemaßnahmen integrieren.
Wichtige Prioritäten
Das Playbook hebt mehrere kritische Erfolgsfaktoren hervor:
- Schnelle Reaktion von der Erkennung bis zur Eindämmung.
- Sofortige Isolierung und Schutz von Backups.
- Regelmäßige Übungen und getestete Verfahren.
- Effektive interne und externe Koordination.
- Kontinuierliche Verbesserung auf der Grundlage realer Vorfälle.