Sicherheitsereignisse

Zwischen „mir kam eine E-Mail komisch vor” und „unsere Kundendatenbank ist abgeflossen” liegen viele Stufen. Sicherheitsereignisse zu führen heißt, diese Stufen auseinanderzuhalten – und die unterste Schwelle so niedrig zu setzen, dass Menschen sie überhaupt melden.

Ereignis, Vorfall, Datenpanne

Drei Begriffe, die durcheinandergehen und unterschiedliche Folgen haben.

Ein Ereignis ist eine Beobachtung: ein verdächtiger Anhang, ein Anruf, der nach Betrug klingt, ein Konto, das sich seltsam verhält. Die meisten Ereignisse sind harmlos.

Ein Vorfall ist ein Ereignis mit Auswirkung auf die Sicherheit: ein erfolgreicher Zugriff, ein verlorenes Gerät, ein Ausfall.

Eine Verletzung des Schutzes personenbezogener Daten ist der Teilbereich, für den Art. 33 DSGVO gilt – mit der 72-Stunden-Frist. Sie wird als eigener Vorgang weitergeführt, siehe Vorfälle dokumentieren.

Der Weg führt von unten nach oben: Jede Datenpanne beginnt als Ereignis, das jemand bemerkt hat. Wo die unterste Stufe fehlt, beginnt die Zeitrechnung später – und die Frist ist ohnehin knapp.

Warum die Meldeschwelle niedrig sein muss

Der wirksamste Hebel in diesem Bereich ist kein technischer. Er lautet: Wer meldet, bekommt keine Rüge.

Die Minuten zwischen einem Klick auf einen Phishing-Link und der Meldung entscheiden über den Schaden. Wer eine Standpauke fürchtet, wartet ab und hofft, dass nichts passiert – und genau diese Stunden nutzt ein Angreifer. Das gehört in die Richtlinie für Mitarbeitende, und es gehört von der Leitung einmal deutlich gesagt.

Praktisch heißt das für das System: Der Meldeweg muss kurz sein, wenige Pflichtangaben haben und aus dem Arbeitsalltag erreichbar sein.

Was geführt wird

Zeitpunkt der Beobachtung und der Meldung, meldende Person, Einstufung, betroffene Systeme und Werte aus Systemlandschaft und Asset-Register, Bearbeitungsschritte, Ursache und Abschluss.

Zwei Punkte lohnen besondere Aufmerksamkeit:

Die Eskalation. Ab welcher Einstufung wer informiert wird – und dass diese Kette auch am Freitagabend funktioniert. Was dann greifen muss, steht im Notfallkonzept.

Die Aufarbeitung. Was war die Ursache, und was folgt daraus dauerhaft? Aus dieser Frage entsteht eine Maßnahme im Aufgabensystem oder ein neuer Eintrag im Risikoregister. Ein Vorfall ohne Folge wiederholt sich.

Mehrere Meldepflichten gleichzeitig

Bei erfassten Einrichtungen laufen neben der Frist aus Art. 33 die Meldewege aus NIS-2, teils aus dem Fachrecht – an verschiedene Stellen, mit verschiedenen Fristen. Welche im konkreten Fall greifen, gehört vorher festgelegt und im Vorgang hinterlegt, nicht im Ernstfall recherchiert.

Grenzen

Das ist kein Überwachungssystem. Ereignisse kommen von Menschen und aus anderen Werkzeugen; hier werden sie geführt, nicht erkannt. Technische Erkennung leistet Ihre Sicherheitsinfrastruktur.

Eine niedrige Meldeschwelle erzeugt Aufwand. Das ist beabsichtigt: Die Alternative ist keine Ruhe, sondern Unkenntnis.