Notfallplan für den Fall, dass Ransomware Ihr Unternehmen trifft

Nicht genug Zeit, um den ganzen Artikel zu lesen? Hören Sie sich die Zusammenfassung in 2 Minuten an.

Wenn Sie mehr als nur Daten verlieren

Die Warteschlange ist nicht wegen eines defekten Geräts zum Stillstand gekommen. Sie blieb stehen, weil sich niemand anmelden konnte.

Die HMIs froren ein. Das MES verstummte. Auf der Hälfte der Bildschirme erschien eine Lösegeldnachricht. Die Bediener zogen Papierbögen heraus und versuchten, sich daran zu erinnern, wie man die Presse manuell bedient. Die Schichtleiter suchten nach jemandem, der wusste, was zu tun war.

Dies war keine IT-Panne. Es war ein Stromausfall in der Fabrik.

Ransomware in der Produktion ist anders. Man verliert nicht nur Dateien. Sie verlieren Zeit, Sicherheitstransparenz, Prozesskontrolle, Lieferantenkonnektivität und in manchen Fällen auch das Vertrauen der Kunden. Wenn Ihr gesamtes Werk von synchronisierten, digitalisierten Abläufen abhängt und diese plötzlich verschwinden, hilft auch Ihr ERP-Reaktionshandbuch nicht weiter.

Die Fabriken, die diese Angriffe überleben, sind nicht diejenigen, die über die teuerste Cybersicherheit verfügen.
Sie sind diejenigen, die einen klaren, praktizierten Plan haben, der IT, OT, die Rechtsabteilung, die Führungskräfte und die Mitarbeiter in Echtzeit und unter echtem Druck miteinander verbindet.

Wer entscheidet und wann?

In den ersten 60 Minuten nach einem Ransomware-Angriff müssen Entscheidungen schnell getroffen werden.

In den meisten Fertigungsunternehmen ist jedoch unklar, wer sie herstellen darf.

Die IT-Abteilung will die Systeme abschalten. Die Betriebsleitung will die Schicht schützen. Die Rechtsabteilung verlangt Stillschweigen. Die Zentrale fragt nach Zahlen zu den Auswirkungen. Die Werksleitung will nur, dass die Anlage sicher läuft.

Das ist der Punkt, an dem es bricht.

Viele Unternehmen verwenden standardmäßig einen IT-gesteuerten Reaktionsplan, aber in Fabriken müssen die Sicherheit der Anlagen, die Integrität der Rezepte und die Kontinuität der Produktion jeden Schritt bestimmen. Wenn Sie für dieses Szenario keine Entscheidungsbefugnisse zugewiesen haben, wird der Angriff dies in wenigen Minuten aufdecken.

Mindestens definieren:

• Wer einen werksweiten Cyber-Notfall ausruft
• Wer kontrolliert den Zugang zu OT-Umgebungen während der Wiederherstellung?
• Wer spricht mit Kunden, Gewerkschaften und Aufsichtsbehörden?
• Wer genehmigt den Neustart der Produktion?

Und wer übernimmt, wenn jemand im Urlaub ist.

Wenn die Führung abwesend, uneinig oder unter Druck ist, CE Interim kann einen Interims-Einsatzleiter mit OT-Kenntnissen einsetzen, der eine Brücke zwischen den Funktionen schlägt, die Reaktionsmaßnahmen abstimmt und den Einsatz leitet, bis das ständige Team wieder die Kontrolle übernimmt.

Die 5 Druckpunkte, an denen die meisten Fabriken zerbrechen

Die meisten Ransomware-Pläne konzentrieren sich auf Server und Dateien. Aber was verursacht eigentlich das Chaos in einer Fabrik?

Hier sind die fünf Druckpunkte, an denen sich echte Zwischenfälle abspielen:

I. Verlust der Sichtbarkeit - MES-Bildschirme, Verlaufsdaten und Chargenprotokolle verschwinden. Die Bediener sind blind.

II. Störung der Kommunikation - VoIP-Telefone, Outlook und sogar Funkgeräte fallen aus. Teams können nicht eskalieren.

III. Ungeprüfte Rezeptlogik - Ohne vertrauenswürdige Systeme besteht die Gefahr, dass die falschen Einstellungen in die Maschinen eingegeben werden.

IV. Sperre des Verkäufers - Der Remote-Support Ihres OEMs kann sich nicht einklinken, oder schlimmer noch, er könnte der Angriffsvektor sein.

V. Panik in der Belegschaft - Ohne Informationen breitet sich Angst aus. Die Schichtleiter verlieren an Autorität. Gerüchte verbreiten sich.

Man kann sie nicht wegtrainieren. Man kann das System nur so strukturieren, dass sie nicht alle auf einmal zusammenbrechen.

Können Sie noch liefern? Wie man im Dunkeln läuft

Die erste Frage, die sich die Gremien nach einem Angriff stellen, lautet:
Können wir noch versenden?

Die ehrliche Antwort: Es kommt darauf an.

Fabriken können manchmal mit manuellen Backups, gedruckten SOPs und guter Schichtüberwachung einen Teilbetrieb durchführen.

Das funktioniert aber nur, wenn:

• Sicherheitsverriegelungen sind physisch oder ausfallsicher
• Die Linie verlässt sich nicht auf Echtzeit-Rezept-Pushs
• Die Teams wissen, wie man auf manuell umschaltet, und haben es bereits getan.

Im Dunkeln zu laufen ist nicht mutig. Es ist gefährlich ohne Leitplanken.

Aus diesem Grund bauen viele erfolgreiche Hersteller eine Betriebskontinuitätsschiene in ihren Cyber-Reaktionsplan ein - ein Team, das sich nicht auf die Wiederherstellung der IT konzentriert, sondern auf die sichere Lieferung dessen, was geliefert werden kann, innerhalb von Stunden nach dem Angriff.

CE Interim stellt häufig eine Interims-Betriebsleiter um genau das zu tun: die Kernproduktion zu stabilisieren, die Kommunikation mit Zulieferern und Kunden zu managen und Umgehungsmaßnahmen auf Betriebsebene zu koordinieren, während die digitalen Systeme noch ausfallen.

Was zu sagen ist, intern und extern

Ein Ransomware-Vorfall ist teils ein Cyberangriff, teils eine Reputationskrise.

Sie müssen nicht alles sofort preisgeben. Aber es kommt darauf an, was Sie sagen und wann.

Im Inneren der AnlageMenschen brauchen Gewissheit. Schweigen erzeugt Panik.

Kommunizieren Sie innerhalb der ersten Schicht:

• Was geschah, im Klartext
• Was wird zum Schutz der Sicherheit und der Löhne getan?
• Wer trifft die Entscheidungen, und an wen sind sie zu eskalieren?

Für KundenTransparenz ist wichtig. Wenn Lieferungen betroffen sind, sagen Sie es frühzeitig. Versprechen Sie nur, was Sie bestätigen können. Käufer erinnern sich eher an Klarheit als an Verzögerungen.

Regulierungsbehörden und Gewerkschaften müssen informiert werden, wenn Systeme die Sicherheit, Arbeitsverträge oder Compliance-Prozesse betreffen. Vermeiden Sie es, die Sicherheitsverletzung herunterzuspielen, insbesondere wenn der Verdacht besteht, dass Daten gefährdet sind.

Lassen Sie sich schnell von der Rechtsabteilung, der PR-Abteilung und der Versicherung beraten.
Und denken Sie daran, dass die Zahlung des Lösegelds nach den Vorschriften des Vereinigten Königreichs und der EU zu einer zusätzlichen Haftung führen kann, insbesondere wenn sanktionierte Akteure beteiligt sind.

Von der Eindämmung zur Verhärtung, ohne Schuldzuweisungen

Sobald die Produktion wieder aufgenommen wird und das Forensikteam seinen Bericht fertiggestellt hat, beginnt die eigentliche Arbeit.

In der Wiederherstellungsphase geht es nicht um die Installation von Software-Patches. Es geht darum, das Vertrauen in das System - und in Ihre Führung - wiederherzustellen.

Das bedeutet:

• Nachweis von getesteten und wiederherstellbaren Backups
• Segmentierung von OT- und IT-Zonen, mit IEC 62443 als Ihr Wegweiser
• Sperren aller privilegierten Zugriffe mit verifizierter Identität
• Überprüfung und Neuformulierung der Fernzugriffsrichtlinien externer Anbieter
• Erfassung aller Vorgänge in einem lebenden Laufbuch mit Namen, Fristen und Verantwortlichkeiten

Der am meisten übersehene Vorteil in dieser Phase ist die Neutralität der Führung. Sie brauchen jemanden, der den Wiederaufbau leitet, ohne mit dem Finger auf andere zu zeigen.

Dies ist der Ort, an dem CE Interim kann einen Recovery-PMO-Leiter einsetzen, einen neutralen Experten, der für die Ausführung verantwortlich ist, die Systemhärtung überwacht, die Tests vorantreibt und sicherstellt, dass nichts in den Bereich "wir reparieren es später" abrutscht.

Letztes Wort: Reagieren Sie so, als würden Sie dafür verurteilt werden, denn das werden Sie

Ransomware stört nicht nur die Systeme. Sie stellt die Ausrichtung, die Entscheidungsfindung und die betriebliche Reife auf die Probe - und das alles auf einmal.

Kein Vorstand will hören, dass niemand zuständig war.
Kein Kunde möchte von einer dritten Partei über den Ausfall informiert werden.
Und kein Betriebsteam möchte das Gefühl haben, der Letzte zu sein, der weiß, was passiert.

Eine Cyberversicherung kann helfen, die Kosten zu decken. Backups können Dateien wiederherstellen.
Aber nur Führung, Bereitschaft und Schnelligkeit können das Vertrauen wiederherstellen.

Behandeln Sie Ihr Krisenreaktionsplan wie ein Produkt. Aktualisieren Sie es. Testen Sie es. Namen zuweisen. Drucken Sie es.
Führen Sie Simulationen durch, die den gesamten Betrieb einbeziehen, nicht nur die IT.

Denn wenn der nächste Angriff kommt - und das wird es auch - Ihre Fähigkeit, Menschen, Produktion und Ansehen zu schützen, wird von den ersten 30 Minuten abhängen.

Dieses Fenster wird nicht mit einer Warnung versehen sein.