Ein typischer Verlauf aus der Incident-Response-Praxis
Wenn ein Cyberangriff entdeckt wird, beginnt sofort die Abstimmung: Die IT informiert die Geschäftsführung, ein Krisenstab wird einberufen, externe Dienstleister, Rechtsberatung und Versicherer werden hinzugezogen. Fast immer läuft diese erste Kommunikation über die Kanäle, die im Alltag selbstverständlich sind: E-Mail, Teams-Chat, Videokonferenz, geteilte Dokumente in der Cloud.
Genau das kann zum Problem werden. Denn wer im Netzwerk ist, hat häufig auch Zugriff auf Postfächer, Chats und Kalender. Der folgende Verlauf ist aus wiederkehrenden Mustern in Incident-Response-Einsätzen zusammengesetzt, Details sind verfremdet. Er zeigt, warum Krisenkommunikation im Cybervorfall einen eigenen, unabhängigen Kanal braucht – und warum dieser Kanal vor dem Ernstfall stehen muss.
Der Verlauf: Der Krisenstab tagt – und der Angreifer liest mit
Ein mittelständisches Unternehmen mit rund 800 Mitarbeitenden bemerkt an einem Montagmorgen verschlüsselte Dateien auf mehreren Servern. Die IT reagiert schnell, isoliert betroffene Systeme und ruft einen Krisenstab zusammen. Die Abstimmung läuft über einen eigens angelegten Teams-Kanal und eine E-Mail-Verteilerliste: Lagebilder, Listen betroffener Systeme, der Stand der Backups, erste Überlegungen zur Lösegeldfrage, Entwürfe für die Kundeninformation.
Was zu diesem Zeitpunkt niemand weiß: Die Angreifer kontrollieren seit Tagen ein privilegiertes Konto im Verzeichnisdienst und damit auch den Zugang zur Microsoft-365-Umgebung. Eine unauffällige Weiterleitungsregel in einem Postfach der IT-Leitung schickt Kopien eingehender Nachrichten an eine externe Adresse.
Spätestens in den Verhandlungen wird das sichtbar. Die Angreifer zitieren aus internen Abstimmungen, kennen den Stand der Wiederherstellung und wissen, welche Backups als beschädigt gelten. Der Druck steigt, die Verhandlungsposition des Unternehmens ist geschwächt – und jede weitere Abstimmung über die bisherigen Kanäle verrät den nächsten Schritt.
Warum die gewohnten Kanäle im Ernstfall nicht vertrauenswürdig sind
Bei vielen Angriffen ist die Identitätsinfrastruktur einer der ersten Angriffspunkte. Wer administrative Rechte im Active Directory oder in Entra ID erlangt hat, kann in der Regel auch auf E-Mail, Chats, Kalender und Dateiablagen zugreifen. Typische Spuren sind:
- Weiterleitungs- und Posteingangsregeln, die Nachrichten verdeckt kopieren oder ausblenden
- zusätzliche Berechtigungen auf fremde Postfächer
- registrierte Anwendungen mit weitreichenden API-Berechtigungen
- neue MFA-Methoden oder Geräte, die Angreifern dauerhaften Zugang sichern
- gestohlene Sitzungstoken, die auch nach einem Passwortwechsel gültig bleiben
Solange nicht geklärt ist, ob die Kollaborationsumgebung betroffen ist, muss sie als kompromittiert gelten. Das betrifft nicht nur Inhalte, sondern auch Metadaten: Wer mit welchem Dienstleister, welcher Kanzlei oder welchem Versicherer kommuniziert, ist für Angreifer bereits eine wertvolle Information.
Der Wechsel auf einen unabhängigen Kanal
Nachdem der Verdacht bestätigt war, wurde die Krisenkommunikation vollständig aus der Unternehmensumgebung herausgelöst. Der Krisenstab arbeitete ab diesem Zeitpunkt mit getrennten Endgeräten, einer extern betriebenen Kommunikationsumgebung und einer Telefonkonferenzbrücke. Die Kontaktdaten aller Beteiligten mussten mühsam aus privaten Handys, alten Signaturen und Visitenkarten zusammengetragen werden, weil die einzige aktuelle Kontaktliste im kompromittierten SharePoint lag.
Parallel wurden die Spuren in der Identitätsumgebung systematisch untersucht: Weiterleitungsregeln entfernt, Sitzungen widerrufen, privilegierte Konten neu aufgesetzt, Anwendungsberechtigungen geprüft. Erst danach konnte schrittweise entschieden werden, welche internen Kanäle wieder vertrauenswürdig sind.
Der Wechsel kostete Zeit, die in der ersten Krisenphase besonders wertvoll ist. Und er kam zu spät, um bereits abgeflossene Informationen zurückzuholen.
Der eigentliche Knackpunkt: Niemand hatte den Ausfall der eigenen Kanäle eingeplant
In der Aufarbeitung wurde deutlich: Es gab einen Notfallplan, es gab Ansprechpartner, es gab sogar eine Telefonliste. Doch alle Dokumente lagen in genau der Umgebung, die angegriffen wurde. Ein Plan B für die Kommunikation selbst war nicht vorgesehen.
Diese Lücke ist weit verbreitet. Viele Notfallpläne beschreiben ausführlich, was technisch zu tun ist, setzen aber stillschweigend voraus, dass E-Mail, Chat und Dateiablage funktionieren und vertraulich bleiben. In einem größeren Cybervorfall ist häufig beides nicht der Fall.
Was Unternehmen daraus lernen sollten
Eine belastbare Krisenkommunikation lässt sich nicht im Ernstfall improvisieren. Sie muss vorbereitet sein – und zwar außerhalb der Systeme, die geschützt werden sollen. Dazu gehören:
- Ein definierter Out-of-Band-Kanal: eine vom Unternehmensnetz und von der eigenen Identitätsinfrastruktur unabhängige Umgebung für Chat, Telefon und Dokumentenaustausch, vorab eingerichtet und getestet.
- Offline verfügbare Kontaktlisten: Krisenstab, Dienstleister, Rechtsberatung, Versicherer, Behörden – ausgedruckt und an mehreren Orten hinterlegt, regelmäßig aktualisiert.
- Klare Regeln für den Wechsel: Wer entscheidet, ab wann die gewohnten Kanäle nicht mehr genutzt werden? Im Zweifel gilt: ab dem ersten begründeten Verdacht.
- Need-to-know im Krisenstab: Sensible Themen wie Lösegeldfragen, Verhandlungsstand oder Beweislage nur im kleinsten notwendigen Kreis und nur über den gesicherten Kanal.
- Frühe Prüfung der Identitätsumgebung: Postfachregeln, Berechtigungen, registrierte Anwendungen und aktive Sitzungen gehören zu den ersten forensischen Prüfpunkten.
- Regelmäßige Übung: Ein Tabletop-Szenario, in dem E-Mail und Chat ausdrücklich als kompromittiert gelten, deckt Lücken auf, bevor sie teuer werden.
Als Einstieg eignet sich unser kostenloser Out-of-Band-Kommunikationsplan (PDF) aus den Incident-Ready-Vorlagen. Wie sich ein solches Szenario realistisch durchspielen lässt, zeigen unsere Tabletop Exercises.
Fazit: Wer mitliest, verhandelt mit
Ein Cybervorfall wird nicht nur auf technischer Ebene entschieden, sondern auch in der Kommunikation: zwischen IT und Geschäftsführung, mit Dienstleistern, Versicherern und Behörden. Läuft diese Kommunikation über kompromittierte Systeme, sitzt der Angreifer mit am Tisch. Ein unabhängiger, vorbereiteter Kommunikationskanal gehört deshalb zu den wirksamsten und zugleich günstigsten Maßnahmen der Incident-Response-Vorbereitung.
Argos Security unterstützt Unternehmen dabei, Krisenkommunikation, Entscheidungswege und Notfallkanäle so vorzubereiten, dass sie im Ernstfall tragen. Im akuten Verdachtsfall erreichen Sie unser Incident-Response-Team über die Notfallseite und die IR-Hotline +49 89 45 24 24-112 – im Zweifel bereits von einem Telefon außerhalb Ihres Unternehmensnetzes.
Cybersecurity – Services and Solutions: Next-Gen SOC/MDR Services – Midmarket, Deutschland 2026
Marktanalyse, Quadrant, Anbieterprofil Argos Security - jetzt den Report anfordern:
