72 Stunden
Freitag, 16:47 Uhr. Bei der Schlummermann Kugellager GmbH druckt der Drucker einen Erpresserbrief und hört nicht mehr auf. Der Chef steht auf dem Golfplatz, der Backup-Admin liegt auf Mallorca, und ab jetzt läuft die Uhr. Ihr seid der Krisenstab.
Jede Entscheidung kostet Zeit und verschiebt vier Werte: Betrieb, Beweise, Vertrauen und Nerven. Sind die Nerven bei null, ist das Spiel vorbei.
Die Meldefristen sind echt, und niemand erinnert euch daran. Die Meldeknöpfe stehen die ganze Zeit oben neben der Uhr. Abschicken müsst ihr selbst, während alle gleichzeitig etwas von euch wollen.
Dauert etwa fünf Minuten. Tasten 1 bis 4 wählen eine Antwort. Firma und Personen sind erfunden, die Fehler leider nicht.
Was an diesem Wochenende echt ist
- 24 Stunden, 72 Stunden, ein Monat: Wer unter NIS2 fällt, schickt nach Kenntnis eines erheblichen Sicherheitsvorfalls spätestens nach 24 Stunden eine Frühwarnung und spätestens nach 72 Stunden die Meldung. Die Abschlussmeldung folgt spätestens einen Monat danach (§ 32 BSIG). Maschinenbau gehört zu den erfassten Sektoren (Anlage 2 BSIG).
- Datenschutz läuft daneben: Sind personenbezogene Daten betroffen, gilt in der Regel auch: Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden (Art. 33 DSGVO). Bei hohem Risiko müssen auch die Betroffenen erfahren, was passiert ist (Art. 34 DSGVO).
- Kabel ziehen, nicht ausschalten, nicht zahlen: Das rät das BSI in seiner Ersten Hilfe bei einem schweren IT-Sicherheitsvorfall. Dort stehen auch Schichtplanung, Ersatzwege für die Kommunikation und „interne vor externer Kommunikation“.
- Patchen reicht manchmal nicht: Bei CitrixBleed (CVE-2023-4966) konnten Angreifer Sitzungen übernehmen und die Mehrfaktor-Anmeldung umgehen (CISA). NetScaler riet deshalb, nach dem Update alle aktiven Sitzungen zu beenden (NetScaler).
Wenn es wirklich brennt: Notfall-Seite, dort unter „Ganz ohne Satire“. Dieses Spiel ist keine Rechtsberatung. Ob und wann eure Firma melden muss, klärt im Ernstfall jemand, der das darf. Die Punktwerte sind frei erfunden, die Schlummermann Kugellager GmbH, der Achsenbau Nord und der Kugellager-Kurier ebenfalls. Im Spiel gilt der Erpresserbrief als Zeitpunkt der Kenntnis. Im echten Leben kann man darüber länger streiten als über alles andere an diesem Wochenende.