Bereits Ende Februar 2022 hat das BSI einen „Maßnahmenkatalog Ransomware“ veröffentlicht, der Unternehmen die Prävention von Ransomware-Vorfällen erleichtern soll. Ein Blick in das kurzweilig lesbare Dokument empfiehlt sich – sowohl für IT wie auch für die Geschäftsführung.
Weitere Beiträge zum Thema IT-Sicherheit im Unternehmen:
- Wie Unternehmen mit Ransomware erpresst werden
- Ransomware: Soll man das Lösegeld zahlen?
- Ransomware: Eigene Strafbarkeit durch Zahlung? (demnächst)
- Haftung des Arbeitnehmers bei Installation von Malware
- Fahrlässige Tötung und Schadsoftware im Krankenhaus
- Cybersicherheit als Mangel im neuen Kaufrecht 2022
- Was tun nach einem Hackerangriff?
- Wie schützt man sich vor einem Hackerangriff?
- Haftung der Geschäftsführung für IT-Sicherheitslücken
- Einhaltung interner Sicherheits-/Compliance Vorgaben für Arbeitnehmer verpflichtend
Beachten Sie, dass wir als ausschließlich als Strafverteidiger tätig sind, allerdings Vorträge zu IT-Sicherheit, Strafrecht und Cybercrime anbieten!
Auf gut 20 Seiten erläutert das BSI, schrittweise aufgebaut, wie man vorgehen sollte. Dabei geht man nach einer einfachen und damit eingängigen Struktur vor:
- Was soll man auf Servern tun: Hier steht der Umgang mit Mails natürlich ganz oben, gefolgt von Ratschlägen wie proaktiver Prüfung welche Dienste/Ports freigegeben sind, ob die Admin-Zugänge im Blick sind und dass Remote-Zugänge abgesichert sind.
- Bei den Clients dann stehen die Mails etwas weiter unten, dafür kommen Aufgaben wie Prüfung des Umgangs mit Skripten, Installation von Updates und Virenschutz.
- Interessant wird es bei den weitergehenden Schutzmaßnahmen, die ausdrücklich zwar empfohlen werden, damit aber nicht als zwingend eingestuft sind.
In Teilen bin ich etwas überrascht, denn mit diesen Worten leitet das BSI den Abschnitt weitergehender Schutzmaßnahmen ein:
Weiterhin können folgende Punkte sinnvoll sein, um die Reaktion auf einen Vorfall zu verbessern, die Betroffenheit einzuschränken oder Schwachstellen zu erkennen
Wenn man dieses Arbeitspapier als zumindest faktische Standardisierung von IT-Sicherheitsmaßnahmen betrachtet, dann befinden sich in diesem Abschnitt die Dinge, die zwar nicht zwingend sind – aber die Grenze zur Fahrlässigkeit überschreiten können. Dabei ist teilweise überraschend, was hier als „nur empfohlen“ auftaucht:
- Zentrales Logging (HTTP-Proxy-Log, DNS-Logs, Sysmon)
- Systeme härten (Verweis auf SiSyPHuS Win10)
- Netzwerke segmentieren
- Erkennung von Ransomwareangriffen auf Fileservern (mit Verweis auf den Win-Ressourcen-Manager für Datei-Server)
- Anomalie-Detektion
- Schwachstellenscan und Penetrationstest
Gerade Penetrationstests gehören in kritischen oder sensiblen Umgebungen sicherlich schon jetzt zur best Practice, es dürfte kaum denkbar sein – solche Umgebungen unter Verzicht auf einen PenTest dauerhaft ohne erhöhtes Haftungsrisiko zu betreiben ist für mich nicht denkbar. Selbiges gilt für die Segmentierung von Netzwerken.
Unsere Kanzlei ist spezialisiert auf Strafverteidigung, Wirtschaftsstrafrecht, Unternehmenskrise und IT-Recht / Technologierecht. Beachten Sie unsere Tätigkeit im Steuerstrafrecht, Cybercrime & IT-Sicherheitsrecht sowie Softwarerecht.
- Schätzung hinterzogener Steuern bei Steuerhinterziehung - 23. September 2023
- Subventionsbetrug: Wann liegt Gestaltungsmissbrauch vor? - 23. September 2023
- Konkurrenzen bei Aufzucht von Marihuanapflanzen zum Zwecke des späteren gewinnbringenden Absatzes der geernteten Pflanzen - 23. September 2023