War-Room

Raumlocation

Es ist erschreckend, wie viele IT-Abteilungen neben dem Serverraum im Kellergeschoß platziert werden. Ohne Internet werden Sie dort aber auch keinen UMTS/LTE/5G-Empfang haben, den Sie zur Kommunikation brauchen. Vielleicht sollte der Raum doch besser in einer "freundlichen" Umgebung mit Tageslicht sein, in den aber auch externe Personen problemlos Zugang haben können.

Raumzugang

Es klingt vielleicht suspekt aber stellen Sie sicher, dass die Personen wissen, welcher Raum es ist und wie sie dort hinkommen. RFID-Leser funktioniere vielleicht nicht, mehr, wenn das Netzwerk gestört ist.

Denken Sie auch an den Wachschutz, der vielleicht auch spät abends noch Besucher hereinlassen muss. Er sollte gerade nicht die Alarmanlage überall scharf machen und es ist unglücklich, wenn der Spezialist an der Pforte nicht reinkommen, weil der Werkschutz gerade seine Runde über das Werksgelände dreht. Das ist alles schon passiert.

Catering / Pausenbereich

Mit dem Raum alleine ist es nicht getan. Sehr schnell sind einige Stunden vergangen, in der Mitarbeiter und Dienstleister konzentriert arbeiten. Denken Sie aber daran, dass Menschen auch Pausen brauchen. Das kann ein Spaziergang um den Block sein oder auch einfach nur ein Raumwechsel weg von dem Telefongebimmel, Tastaturklappern und dauernden Gesprächen.

Wenn der Ausfall, wie so oft, an Karfreitag, Heiligabend, 1. Mail oder einem Freitag erfolgt, dann sollte Wasser und "Brainfood" nicht ihr Problem sein. Räume beim Vorstand sind meist besser "versorgt" als die Teambesprechungsräume.

Etwas Ruhe mit der Gelegenheit etwas zu Trinken und zu Essen sind kein Luxus. Vielleicht sind es nur ein paar Müsliriegel oder Pizzataschen, die notfalls auch ein Taxifahrer besorgen kann.

Kommunikation

Haben Sie sich überlegt, wie sie aktuelle Malwarescanner, Tools o.ä. herunterladen wollen, wenn ihr Netzwerk und ihre Firewall "offline" ist oder wie externe Hilfe Sie z.B. per Teamviewer unterstützen soll? Was hindert Sie daran, einen "ConsumerDSL"-Anschluss vorbei an ihrer Firewall oder Telefontechnik in diesen Raum legen zu lassen. Er kann im Regelbetrieb einfach in Labore u.a. weitergeleitet werden, um Testszenarien wie VPN, Homeoffice etc. nachzustellen aber im Moment eines GAU wird er unbezahlbar. Insbesondere, wenn Sie noch zwei analoge Telefone und einen kleinen WLAN-AccessPoint bereitstellen können. Vielleicht können Sie ja mit ihrem TK-Provider hier eine Vereinbarung treffen, eingehende Anruf auf diese Nummern umzuleiten.

Ausstattung

Wir leben in einer digitalen Welt aber die ist vielleicht gerade nicht da. Aber selbst wenn, sind Whiteboards oder auch nur Klebezettel an Wand, Fenster und Tischen als analoges Kanban-Board oder Flipchats sehr hilfreich. Denken Sie vielleicht auch daran, einen Drucker mit lokaler Anschlussmöglichkeit per USB vorzuhalten. Manchmal ist die klassische "Liste" der Server zum Abhaken am effektivsten.

Transport

Irgendwann ist aber auch die maximale Arbeitszeit überschritten, die Mitarbeiter in der Firma verbinden sollten. Vermutlich wird niemand nach 12 Stunden sprichwörtlich den Hammer fallen lassen aber wenn jemand bis spät in die Nacht dabei war, dann sollte er nicht mehr selbst nach Hause fahren. Das Unfallrisiko ist einfach zu hoch, da zum einen der Kopf nicht frei ist und mit dem Wegfall der Anspannung die Müdigkeit zuschlägt.

Aufeinander achten

Bei der Lösung dieser Probleme sind es letztlich die Menschen und deren Wissen und nicht die Computer mit Software, die den aktiven Part übernehmen. Jeder Mensch geht anders mit Ausnahmesituationen um. Rechnen Sie vielleicht auch damit, dass jemand der Belastung nicht standhält und einen medizinischen Notfall erleidet. Achten Sie aufeinander.

Notfalllisten

Wenn Sie diese Seite durchgelesen haben, dann werden Sie vielleicht erste Checklisten anlegen, was wann zu tun ist. Diese Listen müssen Sie im Zugriff haben.

Kontaktdaten

Das können in der ersten Stufe die Geschäftsführung, Juristen, Datenschutzbeauftragte, Cyber-Versicherung, Administratoren aber auch Dienstleister sein. Irgendwann später werden Sie aber auch Abteilungsleiter und eventuell jeden einzelnen Mitarbeiter anrufen müssen, um z.B. ein neues Startkennwort zu übermitteln. Manchmal reicht auch eine SMS mit dem Hinweis, dass eine Meldung auf der Homepage hinterlegt ist. Denken Sie daran: Mail dürfte auch nicht mehr funktionieren.

Eskalation in beide Richtungen

Auch die Information über Dienstleister und deren Zugänge ist wichtig, um diese einzubinden. Denken Sie auch an Kunden, die mit ihnen per VPN oder WAN verbunden sind. Selbst wenn Sie die Verbindungen umgehend gekappt haben, kann der Angreifer schon weiter gewandert sein

Server und IP-Adressen

Sie glauben gar nicht, wie viele Administratoren sich auf ihre DNS-Dienste verlassen, die dann leider nicht mehr da sind. Es sind ja nicht nur Server sondern vielleicht auch Storage-Systeme u.a. deren Adressen Sie für direkte Zugriffe kennen müssen

Netzwerkpläne, Subnetze, DHCP-Einstellungen, VLANs

Kaum eine Firma hat heute noch "ein Subnetz", sondern betreiben viele Netzwerke, teils per VLAN auf dem Kabel separiert. Ich hoffe ihre Listen und Patch-Bezeichnungen sind aktuell, damit sie die richtigen Server und Verbindungen kappen.
Testfrage: Wüssten Sie auf Anhieb, welches Kabel sie ziehen müssen, um die externe Verbindung zum Internet oder auch zu Partnern zu kappen?

Zugangsdaten

Wenn sie schlau sind, dann haben Sie für jedes System nicht nur die "Domainzugänge" sondern auch lokale Zugangsdaten, die ohne Active Directory, Radius, LDAP o.ä. funktionieren.

Bitlocker-Schlüssel

Schön, wenn Sie alle Server verschlüsselt haben. Wenn Sie nun aber "offline" mit einer Software die Server auf Malware prüfen und ggfls. sichern oder reparieren wollen, dann brauchen Sie die Bitlocker-Keys. Das eigentliche Betriebssystem ist vielleicht nicht mehr bootfähig oder nicht vertrauenswürdig. Wer seine Schlüssel ins Active Directory "sichern" lässt, ist gut damit beraten, diese Werte zyklisch zu exportieren und im AD vielleicht zu entfernen. Siehe auch Get-BitlockerReport

LAPS-Kennworte

Gleiches gilt für die "Lokalen Admin-Kennworte", die sie so einfach per LAPS regelmäßig ändern lassen können und im AD hinterlegen. Besser wäre es, diese Daten zu exportieren und einem Angreifer dann nicht über das AD bereit zu stellen.

Zugang für die externe Webseite

Irgendwann müssen Sie Kunden, Mitarbeiter und die Öffentlichkeit informieren. Natürlich muss so eine Meldung mit dem Juristen abgestimmt sein, aber unbemerkt bleibt ihr Aussetzer sicher nicht. Gerade große Firmen hosten ihre Webseiten sogar selbst. Das sehe ich kritisch, da mit dem Kappen der Verbindung auch die Seite offline ist. Zumindest sollten Sie eine vorbereitet Seite haben, dass eine kleine Änderung eines DNS-Eintrags die Information der Kunden, Lieferanten und Mitarbeiter erlaubt.

Status-Seite für Mitarbeiter

Wenn Mailserver, die Kommunikation zum Mobilgeräte und Telefon nicht mehr funktionieren, und ein Ausweichen auf Facebook, Instagram, Whatapp etc. natürlich nicht ratsam ist, dann könnte eine exten unabhängig gehostete Statusseite von Vorteil sein, die Sie schon im Regelbetrieb auch mit der ein oder anderen Information für Mitarbeiter aktuell halten und in diesem Fehlerfall zur unidirektionalen Kommunikation nutzen können.