Der dreigliedrige Ansatz von Jera-IT für die Reaktion auf Vorfälle und die Notfallwiederherstellung

Highlights der Fallstudie

Der Ransomware-Angriff „Akira“

Eines Morgens gingen beim Helpdesk von Jera-IT zahlreiche Support-Anfragen eines Kunden ein, da mehrere seiner Server ausgefallen waren. Bei der Diagnose stellte das Jera-IT-Team fest, dass der Kunde noch über viele Server verfügte, die online waren und einwandfrei funktionierten. Da das Team bereits Serveränderungen und -upgrades mit diesem Kunden besprochen hatte, ging man zunächst von einem Ausfall eines physischen Hosts aus.

Als das Jera-IT-Team jedoch das Problem eingehend untersuchte, um alle Server wieder online zu bringen, entdeckte es schnell Schäden an der Datenverschlüsselung sowie eine Textdatei mit dem Titel „Akira“, was darauf hindeutete, dass es sich um einen Cybervorfall handelte. „An diesem Punkt wurde ich zu einem Gespräch mit meinen Ingenieuren hinzugezogen, um sie zu unterstützen. Ich bin schon lange genug im Geschäft, um zu wissen, womit wir es zu tun hatten und was wir tun mussten“, erinnert sich Clark.

Bei weiteren Untersuchungen stellte das Jera-IT-Team fest, dass fast 90 % der Dienste des Kunden bis hinunter auf die Ebene des Betriebssystems und der virtuellen Maschinen (VMs) verschlüsselt waren. Die Hacker konnten jedoch nicht das gesamte Netzwerk kompromittieren, da Jera-IT einige der Server und Domänencontroller des Kunden an anderen Standorten installiert hatte.

„Wir gingen davon aus, dass alles im Netzwerk infiziert war, und leiteten einen umfassenden Notfallwiederherstellungsplan (Disaster Recovery, DR) ein. Wir trennten alle Geräte vom Internet und mussten sogar andere Wege finden, um miteinander zu kommunizieren“, sagt Clark.

IT-Umgebungen in Unternehmen entwickeln sich ständig weiter, wobei Wechselbeziehungen zwischen verschiedenen Abteilungen mittlerweile an der Tagesordnung sind. Wir bieten unseren Kunden eine zentrale Übersicht, mit der sie sich in dieser zunehmend komplexen Landschaft optimal und sicher zurechtfinden können. Datto ist für uns in dieser Hinsicht ein wertvoller Partner, der robuste Funktionen, Automatisierung und leistungsstarke Dienste bereitstellt, die uns dabei unterstützen.

Austen Clark, Direktor

Der dreigliedrige Ansatz

„Bei der Bewältigung dieser Situation hatten wir drei Ansätze, die jeweils aus einem eigenen Blickwinkel an die Situation herangingen“, erklärt Clark. „In erster Linie musste unser Kunde seinen Geschäftsbetrieb um jeden Preis aufrechterhalten. Zweitens versuchte ein Incident-Response-Unternehmen (IR), alles mit einem großen Klebeband abzusperren, auf dem stand: ‚Nicht anfassen.‘ Dann waren da noch wir – und das war wahrscheinlich die größte Herausforderung von allen –, die wir versuchten, dem Kunden bei der Wiederherstellung zu helfen und den Betrieb wieder in Gang zu bringen, während wir gleichzeitig diese drei Ansätze unter einen Hut bringen und eine Lösung finden mussten, die allen gerecht wird“, fügt er hinzu.

Als Jera-IT sich dieser Situation annahm, wandte sich das Unternehmen als Erstes an Datto. „Wir arbeiten schon seit Jahren mit diesem Kunden zusammen und setzen dabei Datto-Backups ein. Wir waren uns sicher, dass die Datto-Backups einwandfrei waren. Das war für uns tatsächlich die Rettung“, erklärt Clark.

Ergebnis: Wieder voll funktionsfähig

Dank der robusten Disaster-Recovery-Lösung von Datto konnte Jera-IT einige der cloudbasierten, geschäftskritischen Anwendungen des Kunden wiederherstellen, sodass dieser seinen Geschäftsbetrieb trotz des Chaos fortsetzen konnte. Anschließend gelang es dem Jera-IT-Team, das Problem einzudämmen und die Server kontrolliert wieder in Betrieb zu nehmen. Dabei setzte das Team hochentwickelte Tools ein, um zu ermitteln, wie der Angreifer in das Netzwerk eingedrungen war und welcher Schaden entstanden war.

Jeder Server wurde gereinigt und durch Passwörter, Firewalls und andere Kerndienste geschützt, bevor er wieder in Betrieb genommen wurde. Auf den Servern wurde ein Endpoint Detection and Response (EDR)-Dienst installiert, der zuvor noch nicht eingesetzt worden war. Innerhalb eines Monats waren alle Kundendienste wieder verfügbar.

„Um ehrlich zu sein, hat der Kunde keinen einzigen Produktionstag verloren, und einer der Hauptgründe dafür sind die Backups von Datto. Ohne diese hätten wir die Server in der Cloud niemals wiederherstellen und die Dienste für den Kunden nicht in der Weise wieder in Betrieb nehmen können, wie wir es getan haben“, betont Clark.

Wir hatten das große Glück, über sehr gute Backups von Datto zu verfügen. Wir haben uns während unserer Notfallwiederherstellung sofort an Datto gewandt, und die Unterstützung, die wir von ihnen erhielten, war hervorragend.

Austen Clark, Direktor

Die wichtigsten Erkenntnisse für MSPs und Unternehmen

Laut Clark gibt diese Geschichte sowohl dem MSP als auch der Wirtschaft Anlass zum Nachdenken.

„Immer wenn ich mit Entscheidungsträgern aus dem KMU-Bereich spreche, sagen diese oft, dass sie nicht über genügend Budget verfügen, um ihre Cybersicherheit zu stärken – aber es ist erstaunlich, wie dieses Budget plötzlich da ist, um die Folgen eines Cybervorfalls zu beheben, sobald dieser eintritt“, kommentiert Clark. „Zu Beginn dieses Vorfalls verfügte der Kunde noch nicht über eine EDR-Lösung, und hätte ich damals mit ihm über eine solche Lösung sprechen wollen, hätte ich garantiert nicht die Reaktion erhalten, die ich erwartet hätte. Heute jedoch hat er einen vollständigen EDR-Service implementiert. Es ist also interessant, warum Menschen auf solche Vorfälle warten, um ihre Cybersicherheit zu verbessern.“

Clark merkt ferner an, dass solche Cybersicherheitsvorfälle auch für MSPs ein großes Problem darstellen. Er fügt hinzu: „Zwar glauben MSPs, dass ein Geschäftskontinuitätsplan oder ein Notfallwiederherstellungsplan sie aus solchen Vorfällen herausholen würde, doch sind sie nicht auf die Auswirkungen vorbereitet, die diese Vorfälle auf ihr Geschäft haben könnten. Die meisten MSPs arbeiten zu 90 % auf Hochtouren, und ein solcher Cybervorfall wird ihre Belegschaft erheblich belasten.“

Clark erinnert uns daran, dass Cybersicherheit ein fortwährender Prozess ohne Endpunkt ist. „Für Unternehmer mag es schwer zu akzeptieren sein, aber die Debatte um Cybersicherheit wird sich im Laufe der Zeit ständig weiterentwickeln“, fasst er zusammen.