Microsoft Cyber Defense Operations Center

Hilfestellung und Tipps für neue Bedrohungssituationen

In Zeiten einer erhöhten Bedrohungslage rückt das Thema IT-Sicherheit für viele Organisationen stärker in den Fokus. Einige Beispiele für Bedrohungen:

Zunehmende Cyberkriminalität

Organisationen aller Größen und Sparten sind immer häufiger Cyberbedrohungen ausgesetzt (einschließlich Hacktivismus).

Naturkatastrophen

Unwetterschäden oder Stromausfälle können Ihren Rechenzentrumsbetrieb und damit Systeme und Anlagen beeinträchtigen.

Politische Unruhen

Unvorhergesehene Entwicklungen in verschiedenen Ländern, von Streiks bis hin zu Kriegen, können sich auf Ihren Betrieb auswirken.

Tipps: Aktuelle Informationen zu beobachteten Cyberbedrohungen im Zusammenhang mit dem Krieg in der Ukraine finden Sie im globalen Microsoft Security Response Center Blog.

Ausführliche Analysen zu verschiedenen Bedrohungsszenarien können Sie dem jährlichen Microsoft Digital Defense Report entnehmen.

Unabhängig von der Art des konkreten Sicherheitsrisikos für die eigenen Systeme und Nutzer*innen gelten einige Grundregeln, die im Sinne einer ganzheitlichen Sicherheitsstrategie umgesetzt werden sollten. So können Sie potenzielle Bedrohungen souverän abwehren und die Risiken für Ihre Infrastruktur eindämmen:

  • Konzentrieren Sie sich auf Cybersecurity-Hygiene:
    Eine Kombination aus mehreren Maßnahmen sorgt dafür, Ihre Systeme umfassend abzusichern. Wir empfehlen Folgendes:
    • Multi-Faktor-Authentifizierung aktivieren
    • Zugriff mit geringstmöglichen Berechtigungen erteilen und sensible, privilegierte Anmeldeinformationen gesondert absichern
    • Remote-Authentifizierungsaktivitäten laufend überprüfen
    • Systeme durch aktuelles Patching absichern
    • Anti-Schadsoftware- und Workload-Schutztools einsetzen
    • Altsysteme isolieren
    • Protokollierung der Nutzung von Schlüsselfunktionen aktivieren
    • Backups validieren
    • Reaktionspläne für Sicherheitsvorfälle auf dem neuesten Stand halten
  • Nutzen Sie die Empfehlungen aus dem Microsoft Security-Team:
    Wir stellen für unsere Kundinnen und Kunden laufend Best Practices mit eindeutigen Anleitungen für sicherheitsbezogene Entscheidungen zur Verfügung. Mehr erfahren Sie unter: Microsoft Security Best Practices
  • Schützen Sie sich vor Ransomware und anderen Angriffen:
    Cyberangriffe können schwerwiegende Folgen für ein Unternehmen haben. Befolgen Sie unsere technischen Anti-Ransomware-Leitfäden, um Angriffe zu verhindern, potenziellen Schaden zu begrenzen und weitere Risiken zu umschiffen.

Zero Trust: Vertrauen ist gut, Kontrolle ist besser

Gute Sicherheitsstrategien und -praktiken helfen Ihnen, insbesondere bei neu entstehenden Bedrohungssituationen handlungsfähig zu bleiben. Jedes Sicherheitsteam sollte sich auf verschiedene Szenarien vorbereiten, Präventions- und Abwehrmaßnahmen etablieren, Systeme für eine Echtzeit-Überwachung einrichten und Wiederherstellungskapazitäten für Worst-Case-Szenarien und Notfälle vorhalten.

Ein bewährter Ansatz ist das Zero-Trust-Modell. Es vereint mehrere Cybersecurity-Paradigmen, bei denen der Fokus anstatt auf dem bisherigen statischen, rein netzwerkbasierten Perimeter nun auf Anwender*innen, Geräten und Ressourcen liegt.

In der Praxis bedeutet das, dass es kein implizites Vertrauen in Geräte oder Nutzerkonten gibt, mit denen auf Ihre Geschäftsdaten, Dateien und Systeme zugegriffen wird. Denn Cyberkriminelle finden ausgeklügelte Taktiken, um Anmeldeinformationen zu erbeuten und eine vermeintlich legitime Position im Netzwerk vorzuspiegeln.

Beim Zero-Trust-Modell ist also die reine Nutzung eines bestimmten Netzwerks keine ausreichende Sicherheitsebene mehr, um Zugang zu den dahinterliegenden Datenressourcen zu erhalten. Stattdessen wird der Zugriff an bestimmte Bedingungen gekoppelt:

Ilustration einer Prüfliste in einem Kreis
Explizite Kontrollen

Einbeziehung aller verfügbaren Datenpunkte in die Authentifizierung und Autorisierung: Identität, Standort-Plausibilität, Geräteintegrität, Datenklassifizierung, Anomalien, Dienst oder Workload

Ilustration von zwei zugewandten Pfeilen in einem Kreis
Prinzip der geringsten Berechtigung

Einschränkung des Nutzerzugriffs mit JIT/JEA (Just-in-Time-/Just-Enough-Access), risikobasierten adaptiven Richtlinien und Informationsschutz für Daten und Dateien

Ilustration einer unterbrochenen Verbindung von zwei Punkten in einem Kreis
Assume-Breach-Paradigma

Empfehlung, davon auszugehen, dass eine Datenschutzverletzung oder ein Sicherheitsverstoß jederzeit passieren kann, sowie Einsatz moderner Technologie, um Bedrohungen schon bei den ersten Anzeichen zu erkennen und Angriffe unmittelbar zu stoppen

Erwarten Sie das Unerwartete – und bereiten Sie sich vor

Im Folgenden finden Sie Vorschläge für eine Reihe von kurz-, mittel- und langfristigen Maßnahmen, die nach der Erfahrung von Microsoft eine umfassende Vorbereitung und Reaktion auf Bedrohungen und Sicherheitsvorfälle ermöglichen. Die Vorschläge sind nach verschiedenen Sicherheitsaspekten in typischen IT-Umgebungen kategorisiert.

Die Liste ist nicht abschließend, sondern soll Ihnen Impulse geben, wie Sie Situationen mit erhöhtem Risiko angehen können. Die Maßnahmen und Szenarien müssen natürlich individuell an Ihre aktuelle Unternehmenssituation, Ihre IT-Architektur und Sicherheitsstrategie und Ihre eigene Einschätzung der Risiko- und Bedrohungslandschaft angepasst werden. Einen guten Einstiegspunkt bietet auch diese Anleitung für einen Sicherheitsplan.

Drei Phasen der Vorbereitung und Reaktion

Phase 1: Kurzfristig Phase 2: Mittelfristig Phase 3: Langfristig
Phase 1: Kurzfristige Maßnahmen - Sofortige Umsetzung innerhalb der nächsten 24 bis 48 Stunden

Es gibt wichtige Sofortmaßnahmen in verschiedenen Kategorien, deren Umsetzung wir innerhalb der ersten 24 bis 48 Stunden empfehlen:

  • Nutzer*innen/Identitäten
    Geräte und Server
    • Patchen Sie alle Systeme mit bekannten ausgenutzten Schwachstellen.
    Überwachung und Incident-Response
    • Stellen Sie sicher, dass alle Benachrichtigungen und Warnmeldungen, die Sie von Ihrem Cloud-Anbieter und dem CERT-Verbund in Ihrem Land erhalten, umfassend bearbeitet werden.
      • Microsoft informiert globale Administrator*innen per Telefon und E-Mail über Nation State Notifications (NSNs). Bitte stellen Sie sicher, dass die entsprechenden Kontaktinformationen für Ihre globalen Administrator*innen korrekt und stets auf dem neuesten Stand sind.
      • Für Warnmeldungen in Azure:
        • Defender for Cloud (auch bei der kostenlosen Version):
          • Konfigurieren Sie die Kontaktdetails mithilfe dieses Skripts von GitHub. Die E-Mail-Adresse für die Owner-Rolle ist wichtig. Tipp: Richten Sie einen E-Mail-Verteiler mit den relevanten Rollen ein, den Sie kontinuierlich pflegen.
          • Defender Alerts: Überwachen Sie das Dashboard.
          • Defender Recommendations: Überwachen Sie das Dashboard.
        • Nutzen Sie das Service Health Dashboard.
          • Behalten Sie im Dashboard die Sicherheitsempfehlungen im Blick, die speziell für Ihre Abonnements ausgegeben werden.
          • Und konfigurieren Sie die für Sie relevanten Health Alerts.
        • Behalten Sie die Azure-Status-Webseite im Blick.
        • Stellen Sie sicher, dass die Kontaktinformationen der technischen Ansprechpartner*innen für Azure AD korrekt hinterlegt sind.
    • Stellen Sie sicher, dass Ihr Incident-Response-Team weiß, wie und wo es bei den Supportstellen Ihrer IT-Anbieter die Tickets für Anfragen/Fälle eröffnet.
      • Sie haben einen Supportvertrag mit Microsoft? Stellen Sie sicher, dass Ihr Incident-Response-Team weiß, wie und wo es Sev-A-Tickets eröffnen kann.
    • Überprüfen Sie, ob alle Kontaktinformationen in Ihren Response-Plänen sowie in Incident-relevanten Verträgen (z. B. Incident Response Retainer) auf dem neuesten Stand sind!
    Notfallwiederherstellung und Geschäftskontinuität
Zurück zu den Tabs