Seminar Incident Response Intensiv: Ransomware und Krisenmanagement

Ransomware verlangt gleichzeitig technische Entscheidungen und betriebliche Führung. Das Intensivseminar bündelt die Fachseminare zu Ransomware und Krisenmanagement in einer gemeinsamen Übung. Technische Untersuchung und Krisenstab verwenden denselben Lage- und Ereignisstand. Dadurch werden Übergabeverluste, widersprüchliche Aussagen und unklare Freigaben unmittelbar sichtbar.

Die praktische Arbeit umfasst eine kontrollierte Vorfallsimulation, die Untersuchung vorbereiteter Spuren und den Wiederaufbau eines abgegrenzten Dienstes. Parallel werden Entscheidungen über Betriebsunterbrechung, Kommunikation und Wiederanlauf vorbereitet. Die vier Tage verdichten fünf Tage Fachseminare durch eine gemeinsame Lageaufnahme und Auswertung. Technische Bedienung wird vorausgesetzt; Führungskräfte benötigen für die Laboranteile entsprechende IT-Kenntnisse.

Lernziele

• Technische Maßnahmen und Krisenstabsarbeit auf denselben Lagebildstand ausrichten.
• Eindämmung, Spurensicherung und Wiederherstellungsplanung gleichzeitig koordinieren.
• Ausfallfolgen und Datenbetroffenheit mit ihren Unsicherheiten darstellen.
• Kommunikation und Meldebewertung über klare Freigaben organisieren.
• Einen Dienst technisch prüfen und seinen Wiederanlauf begründet freigeben.

Inhaltsverzeichnis

1. Lageaufnahme und Einsatzstruktur
2. Eindämmung und Spurensicherung
3. Reichweite und Datenbetroffenheit
4. Entscheidungen, Kommunikation und Meldebewertung
5. Wiederherstellungsumgebung und Backups
6. Praktischer Dienstwiederanlauf
7. Verbundene Krisen- und Technikübung
8. Nachkontrolle und Maßnahmenverfolgung

Seminarinhalte

Lageaufnahme und Einsatzstruktur

• Betroffene Dienste, bedrohte Backups und kritische Identitäten erfassen.
• Technische Einsatzleitung und Krisenstabsrollen zusammenführen.
• Lagezyklus, Protokollführung und unabhängige Kommunikation festlegen.

Eindämmung und Spurensicherung

• Geräte-, Netz- und Kontenmaßnahmen nach Schadenswirkung priorisieren.
• Flüchtige und kurz aufbewahrte Informationen kontrolliert sichern.
• Maßnahmenfolgen für Betrieb und Analyse an den Krisenstab zurückmelden.

Reichweite und Datenbetroffenheit

• Vorbereitete Host-, Identitäts- und Netzwerkspuren korrelieren.
• Weitere Betroffenheit und möglichen Datenabfluss getrennt bewerten.
• Eine technische Lage mit bestätigten Fakten und offenen Fragen erstellen.

Entscheidungen, Kommunikation und Meldebewertung

• Handlungsoptionen zu Ausfall, Dienstleistern und Wiederanlauf bewerten.
• Empfänger, Prüffunktionen und Informationsstände für Meldeprozesse festhalten.
• Interne und externe Textentwürfe mit konsistentem Faktenstand erarbeiten.

Wiederherstellungsumgebung und Backups

• Sicherungen auf Verfügbarkeit, Integrität und mögliche Betroffenheit prüfen.
• Wiederanlaufreihenfolge und vertrauenswürdige Administrationswege planen.
• Eine isolierte Wiederherstellungsumgebung vorbereiten.

Praktischer Dienstwiederanlauf

• Einen Dienst aus geprüften Quellen und Sicherungsdaten wiederherstellen.
• Berechtigungen, Geheimnisse, Funktion und Sicherheitszustand prüfen.
• Freigabe und Rückfalloption mit der Einsatzleitung abstimmen.

Verbundene Krisen- und Technikübung

• Neue Hinweise und externe Nachfragen während des Wiederanlaufs bearbeiten.
• Technische Kontrolle, Lagebericht und Kommunikation synchron halten.
• Eine stufenweise Wiederinbetriebnahme mit dokumentierten Entscheidungen durchspielen.

Nachkontrolle und Maßnahmenverfolgung

• Weitere Beobachtung und neue Auffälligkeiten in die Fallführung einbinden.
• Ursachenbezogene technische und organisatorische Änderungen priorisieren.
• Verantwortung und überprüfbare Erledigung offener Maßnahmen festlegen.

Praxisübungen

Praxisfall: Ransomware-Krise mit bedrohten Sicherungen, Dienstausfall und abgestimmtem Wiederanlauf

1. Technische Lage und Krisenstabsstruktur für das vorbereitete Szenario aufbauen.
2. Eindämmungs- und Sicherungsmaßnahmen umsetzen und ihre Betriebsfolgen dokumentieren.
3. Reichweite und Datenbetroffenheit untersuchen und die Kommunikation aktualisieren.
4. Einen Dienst isoliert wiederherstellen und technische sowie fachliche Freigabetests durchführen.
5. Die Wiederanlaufentscheidung protokollieren und Nachkontrolle sowie Folgeaufgaben festlegen.

Schulungsumgebung

Isoliertes Labornetz, vorbereitete Vorfallsdaten, Test-Backups, Wiederherstellungsumgebung und simulierte Krisenkommunikation; ungefährliche Szenarien ohne Kontakt zu realen externen Empfängern.

Enthaltene fachliche Schwerpunkte

• Incident Response: Ransomware eindämmen und Wiederanlauf steuern
• Incident Response: Krisenmanagement, Kommunikation und Meldeprozesse