Microsoft 365-Ausfall: Den Betrieb aufrechterhalten, wenn die umgebenden Systeme ausfallen

Bei BlackBerry steht ein Grundsatz über allen anderen. Regierungen und Betreiber kritischer Infrastrukturen müssen sicherstellen, dass ihre Abläufe auch bei Angriffen, Ausfällen und Krisen weiterlaufen, ohne die Kontrolle an Dritte abzugeben. 

Der Microsoft-365-Ausfall, der am 12. November begann, war ein weiteres Beispiel dafür, warum das so ist. Der Ausfall hat nicht nur die Geschäftssysteme lahmgelegt, sondern auch Notfallkommunikations- und Koordinationssysteme außer Betrieb. Microsoft gibt an, keine Hinweise auf böswillige Aktivitäten zu haben. Allerdings ist die Ursache weniger wichtig als das Muster: Wenn Kommunikation und Koordination an einem einzigen Ort gebündelt sind, fallen sie gemeinsam aus – oft genau in dem Moment, in dem sie am dringendsten benötigt werden. 

Die Lehre daraus ist einfach: Ein einziger Anbieter sollte nicht Ihre gesamte Kommunikation abwickeln. Die Aufrechterhaltung des Betriebs hängt von einem separaten Kanal ab, der auch dann noch funktioniert, wenn Ihre primäre Plattform ausfällt, damit Führungskräfte ihre Mitarbeiter weiterhin erreichen und die Maßnahmen leiten können, wenn die Hauptplattform ausfällt. 

Plan für den Notbetrieb 

Viele Kontinuitätspläne konzentrieren sich darauf, wie schnell der Betrieb wieder aufgenommen werden kann. Pläne zur Aufrechterhaltung der Betriebsfähigkeit müssen jedoch auch sicherstellen, dass der Betrieb weiterläuft, während Systeme ausgefallen sind oder das Netzwerk – unabhängig von der Ursache – nicht erreichbar, unterbrochen, unregelmäßig oder eingeschränkt ist. Ein Ausfall beim primären Anbieter führt innerhalb der Organisation zu genau dieser Situation, ohne dass ein Angreifer beteiligt ist. Die Frage ist in jedem Szenario dieselbe: Wenn die Plattform, auf der Sie arbeiten, ausfällt, was funktioniert dann weiterhin? 

Pläne scheitern, wenn die Backup-Lösung auf derselben Plattform wie die Primärlösung betrieben wird. Wenn Notrufe, Mitarbeiterbenachrichtigungen, Kontaktlisten und Anmeldecodes alle über einen einzigen Anbieter laufen,scheitert derNotfallplan zusammen mit der Primärlösung.

Um diese Lücke zu schließen, braucht es mehr als nur eine zweite Plattform. Ein Ausweichplan, der den Fortbestand der Mission gewährleistet, muss eine Reihe von Anforderungen erfüllen, und jede einzelne davon muss auch dann noch gelten, wenn die primäre Lösung ausfällt. 

Was ein Plan zur Aufrechterhaltung des Betriebs leisten muss 

• Führungskräfte benötigen eine verifizierte Identität im Notfall. Wenn offizielle Tools ausfallen, greifen Mitarbeiter auf private E-Mail-Konten und Verbraucher-Apps zurück, bei denen keine Identitätsprüfungen stattfinden und keine Aufzeichnungen geführt werden.  

• Sichere Sprach- und Nachrichtenübermittlung sollte auf den eigenen Servern der Organisation oder in einer nationalen Cloud stattfinden. Das System muss außerdem Informationen darüber schützen, wer mit wem gesprochen hat, da dieses Muster für einen Gegner als nachrichtendienstliche Information genutzt werden kann.

• Das Backup-System darf keine Anmeldedaten, Verwaltungstools oder Geräte mit dem Primärsystem gemeinsam nutzen. Ist dies der Fall, führt ein Ausfall zum Ausfall beider Systeme, einschließlich der Benachrichtigungen, die per E-Mail oder über Kollaborationstools versendet werden. 

• Benachrichtigungen müssen jeden Kanal und jedes Gerät erreichen und zurückmelden, wer sie erhalten hat. Die Einsatzleitung muss sehen, wer in Sicherheit ist, und die Maßnahmen auf dieser Grundlage koordinieren. 

• Sicherheitsaussagen müssen durch unabhängige Stellen belegt werden, wie beispielsweise die NIAP-Zertifizierung nach den Common Criteria, die Aufnahme in die CSfC-Komponentenliste der NSA und die FedRAMP-Zulassung für Cloud-Dienste. Nutzer außerhalb der USA sollten nach den in ihrem jeweiligen Rechtsraum geltenden Zertifizierungen fragen. 

• Für die Koordination ist mehr als nur eine Route erforderlich. Sprach- und Nachrichtenübertragung, die sich an verschiedene Netzbetreiber, WLAN, Telefonanlagen und internationale Netzwerke anpasst, funktioniert auch dann weiter, wenn eine Verbindung ausfällt, und die Alarmierung vor Ort oder über isolierte Systeme funktioniert innerhalb der Enklave weiterhin, selbst wenn die Verbindung nach außen unterbrochen ist. 

Damit wird von den Organisationen keineswegs verlangt, die äußerst zuverlässige Primärplattform aufzugeben. Es geht vielmehr um die Trennung. Ein von der Organisation kontrollierter Ausweichpfad – sei es vor Ort, in einer nationalen Cloud oder in einer Air-Gap-Umgebung – kann aus anderen Gründen als die Primärplattform ausfallen , und genau dieser Unterschied gewährleistet die Aufrechterhaltung des Betriebs. 

Wo soll man anfangen? 

Der nächste Schritt ist überschaubar. Erstellen Sie eine Liste der kritischen Arbeitsabläufe, die von der primären Plattform abhängig sind, einschließlich der damit verbundenen Anmelde- und Verwaltungstools. Führen Sie anschließend eine Simulationsübung durch, bei der davon ausgegangen wird, dass die primäre Plattform 24 Stunden lang ausfällt, und notieren Sie jeden Schritt, der dadurch ins Stocken gerät. 

Beantworten Sie anhand der Übung folgende Fragen: 

• Wurde Ihr Notfallplan für den Notbetrieb getestet, oder geht er davon aus, dass die Hauptplattform verfügbar ist? 

• Wie informieren Sie die Mitarbeiter, und können Sie nachweisen, wer die Nachricht erhalten hat? 

• Nutzt Ihr Backup-Share dieselben Anmelde- oder Verwaltungstools oder Geräte wie der Primärserver? 

• Wie kommunizieren Ihre Führungskräfte sicher, wenn das Hauptnetz ausgefallen ist? 

Die Voraussetzung für eine Finanzierung ist sehr eng gefasst. Die Verantwortlichen für kritische Betriebsabläufe benötigen einen Ausfallweg, der bei einem Ausfall des Primärsystems nicht versagt, damit die Mission unabhängig vom Zustand der umgebenden Systeme weiterläuft. 

Beginnen Sie mit der Planung für einen effektiven Betrieb im Notbetrieb.