15. Wiederherstellung eines CMS nach einem Cyberangriff

Mit Wiederherstellung ist nicht lediglich gemeint, eine Sicherungskopie wieder einzuspielen. Gemeint ist die kontrollierte Rückführung des CMS in einen sicheren und vertrauenswürdigen Betriebszustand.

Dazu gehören insbesondere:

• betroffene Systeme isolieren
• Angriff und Eintrittsweg untersuchen
• Schadsoftware und Hintertüren identifizieren
• Beweise und Protokolle sichern
• Zugangsdaten und Schlüssel ändern
• Systeme gegebenenfalls vollständig neu aufsetzen
• Sicherheitslücken schließen
• saubere Daten und Inhalte aus geprüften Backups wiederherstellen
• Integrität der Daten kontrollieren
• Funktionen und Berechtigungen testen
• System überwacht wieder in Betrieb nehmen
• Melde- und Informationspflichten prüfen

Ein Backup gilt nur dann als geeignete Wiederherstellungsquelle, wenn es:

• vor der Kompromittierung erstellt wurde
• nicht ebenfalls manipuliert ist
• vollständig ist
• technisch wiederherstellbar ist
• regelmäßig getestet wurde

Das BSI empfiehlt bei Sicherheitsvorfällen ein strukturiertes Vorgehen mit Eindämmung, Analyse, Bereinigung, Wiederherstellung und Nachbereitung.