Jedes Playbook für die Reaktion auf Vorfälle behandelt das Thema Isolierung. Das Netzwerk segmentieren. Den externen Zugriff unterbinden. Den Ausbreitungsradius eindämmen. Das sind die richtigen Reflexe.

Die Isolierung bringt jedoch ein zweites Problem mit sich, das in den meisten Vorgehensanleitungen als Aufgabe anderer betrachtet wird: Wie koordiniert sich Ihr Team, sobald Sie die betroffene Umgebung abgeschnitten haben? Wenn Ihre Telefone über das Netzwerk laufen, das Sie gerade isoliert haben, oder wenn der Angreifer die Telekommunikation unterbrochen hat, bevor Sie den Einbruch entdeckt haben, arbeitet Ihr Reaktionsteam gerade dann in völliger Stille, wenn es am schnellsten handeln müsste.

Die Szenarien der CISA für Infrastrukturstörungen berücksichtigen ausdrücklich Angriffe auf die Telekommunikation als eine Taktik zur Verstärkung der Wirkung, die nicht nur darauf abzielt, die Kommunikation zu beeinträchtigen, sondern auch die Reaktion zu verzögern, zu fragmentieren und in die falsche Richtung zu lenken. Die Angriffe auf Wasserversorgungsunternehmen im Juli 2026 bestätigten, was in diesen Szenarien beschrieben wird. Versorgungsunternehmen, die bereits im Vorfeld eine „Out-of-Band“-Koordination eingerichtet hatten, erholten sich schneller. Diejenigen, die dies nicht getan hatten, waren mit lang anhaltenden Störungen konfrontiert und verfügten über keine zuverlässige Möglichkeit zur standortübergreifenden Koordination, sobald die digitalen Systeme kompromittiert waren.

Im Folgenden wird erläutert, was eine Out-of-Band-Koordinationsschicht umfassen muss, wie sie unter den Bedingungen der ersten sechs Stunden funktionieren muss und wie man ihre Funktionsfähigkeit überprüfen kann, bevor ein Vorfall einen Nachweis erfordert.

Warum die ersten sechs Stunden am gefährlichsten sind

Der Zeitraum zwischen der ersten Erkennung und der vollständigen Mobilisierung des Teams birgt das größte Risiko. Die in diesem Zeitfenster getroffenen Entscheidungen bestimmen den gesamten Verlauf der Reaktion.

In diesem Zeitfenster treffen drei Bedingungen zusammen.

1. Das Ausmaß des Vorfalls ist unbekannt. Um festzustellen, ob es sich um einen begrenzten Angriff oder um eine koordinierte Kampagne handelt, ist eine standort-, funktions- und behördenübergreifende Kommunikation erforderlich – und man muss darauf vertrauen können, dass diese Kommunikationswege selbst nicht kompromittiert sind.
   

2. Die normale Kommunikationsinfrastruktur ist nicht mehr vertrauenswürdig. Wenn sich ein Angreifer bereits lange genug im Netzwerk befindet, um Zugang zu den Systemen der Betriebstechnik zu erlangen, kann nicht davon ausgegangen werden, dass interne Messaging-Dienste, E-Mail und Voice-over-IP noch sicher sind. Die Nutzung eines kompromittierten Kanals zur Koordination von Maßnahmen nach einem Sicherheitsvorfall ist eine nachgewiesene Technik von Angreifern, um die Wiederherstellung zu verlangsamen und in die falsche Richtung zu lenken.
   

3. Der Bedarf an externer Koordination steigt stark an. Die Fristen für behördliche Meldungen beginnen zu laufen. Partner im Rahmen der gegenseitigen Hilfe benötigen einen Überblick über die Lage. Strafverfolgungsbehörden und Bundesbehörden benötigen genaue und zeitnahe Informationen, um ihre Maßnahmen zu unterstützen. All dies muss über Kanäle erfolgen, die gleichzeitig verfügbar und vertrauenswürdig sind.

Die meisten Leitfäden befassen sich mit der ersten Bedingung. Weitaus weniger gehen auf die zweite und dritte Bedingung mit derselben Gründlichkeit ein wie auf die technische Eindämmung.

Was „Out of Band“ in der Praxis bedeutet

Der Begriff „Out-of-Band“ wurde in der Sicherheitsplanung so ungenau verwendet, dass er an Präzision verloren hat. Eine echte Out-of-Band-Koordinationsfähigkeit weist drei charakteristische Merkmale auf.

1. Es funktioniert unabhängig von der betroffenen Infrastruktur. Ein Kanal, der über dasselbe Netzwerk verläuft, das gerade isoliert wird, gilt nicht als „Out-of-Band“, unabhängig davon, wie er bezeichnet wird. Echte Unabhängigkeit bedeutet separate physische Pfade, separate Identitätsprüfung und eine separate Authentifizierungsinfrastruktur.
   

2. Dies muss bereits vor der Erkennung des Vorfalls gewährleistet sein. Im Krisenfall ist es zu spät, um herauszufinden, wer Zugriff hat, welche Geräte konfiguriert sind oder ob die Registrierung abgeschlossen ist. Die Betriebsbereitschaft der Geräte, die Konfiguration der Richtlinien und die Registrierung müssen im Vorfeld abgeschlossen und getestet worden sein.
   

3. Es ist vertrauenswürdig. Während eines aktiven Vorfalls ist die Identität jedes Teilnehmers an einer Koordinierungssitzung von entscheidender Bedeutung. Ein Angreifer, der die Struktur Ihres Einsatzteams kennt, kann einen nicht verifizierten Kanal ausnutzen, um falsche Informationen einzuschleusen oder Ressourcen umzuleiten. Jeder Teilnehmer muss kontinuierlich anhand eines bekannten, kontrollierten Identitätsspeichers überprüft werden.

Unabhängigkeit, Verfügbarkeit und Vertrauen bilden die Mindestanforderungen an die Auslegung einer Ausweichkommunikationsschicht.

Drei Designanforderungen für eine funktionsfähige Fallback-Kommunikationsschicht

Anforderung 1: Souveräne, netzwerkunabhängige Bereitstellung

Die Ausweichschicht muss dann zum Einsatz kommen, wenn die primäre Netzwerkinfrastruktur nicht verfügbar ist, nur eingeschränkt funktioniert oder aktiv feindlich agiert. Ihr Übertragungsmechanismus darf nicht dieselben Telekommunikationswege wie der Standardbetrieb nutzen und darf nicht von internen Servern abhängig sein, die möglicherweise isoliert, kompromittiert oder nicht erreichbar sind.

Zu den praktischen Optionen zählen vorab konfigurierte Mobilgeräte mit unabhängigen Datenpfaden, verschlüsselte Sprach- und Messaging-Anwendungen, die ohne Abhängigkeit von internen Servern funktionieren, sowie Bereitstellungskonfigurationen, die die Verfügbarkeit auch dann gewährleisten, wenn die primäre Infrastruktur nicht erreichbar ist. Die mobilfunkbasierte Bereitstellung bietet geografische Ausfallsicherheit und ist nicht von Ihrem primären Netzwerk abhängig. Für Umgebungen mit höchsten Sicherheitsanforderungen stellen Air-Gapped- oder On-Premises-Bereitstellungen sicher, dass die Koordinationsplattform außerhalb der Reichweite eines Angreifers bleibt, der Zugriff auf Ihre primäre Umgebung erlangt hat.

Bei der Bewertung von Lösungen für diese Anforderung sollten Sie Plattformen den Vorzug geben, die speziell für Hochsicherheitsumgebungen entwickelt wurden. Achten Sie auf eine vollständige End-to-End-Verschlüsselung mit Metadaten-Schutz sowohl für Sprach- als auch für Nachrichtenübertragung, Unterstützung für eine Bereitstellung vor Ort oder in einer isolierten Umgebung sowie eine Architektur, die den Koordinationskanal vollständig unabhängig von Ihrem primären Netzwerk hält. Wenn das primäre Netzwerk von einem Vorfall betroffen ist, muss der Out-of-Band-Kanal verfügbar und unbeeinträchtigt bleiben, unabhängig davon, was in der primären Infrastruktur geschieht.

Anforderung 2: Kontinuierliche Identitätsprüfung

Im Falle eines Vorfalls ist die Identität jeder Person, die an einer Koordinierungsbesprechung teilnimmt, eine operative und keine verfahrenstechnische Frage. Die Strukturen der Einsatzteams sind kein Geheimnis. Ein Angreifer, der über ausreichende Kenntnisse Ihrer Organisation verfügt, kann einen nicht verifizierten Kommunikationskanal ausnutzen, um sich als Mitarbeiter auszugeben, falsche Lageinformationen zu verbreiten oder Einsatzressourcen in einem kritischen Moment umzuleiten. Der Kommunikationskanal, über den Ihre Entscheidungen zur Wiederherstellung übermittelt werden, muss in der Lage sein, zu bestätigen, wer daran teilnimmt.

Die Fallback-Ebene muss eine kontinuierliche Identitätsüberprüfung gewährleisten, und zwar nicht nur bei der Anmeldung, sondern während der gesamten Sitzung. Jeder Teilnehmer muss anhand eines verbindlichen, aktuellen Identitätsspeichers, den Ihre Organisation kontrolliert, überprüft werden. Geräte müssen registriert, verwaltet und als vertrauenswürdig bestätigt werden, bevor sie an einer Krisensitzung teilnehmen können, und jedem Gerät, das nicht verifiziert werden kann, sollte automatisch der Zugriff verweigert werden.

Die Verwaltung mobiler Geräte in behördlichen Umgebungen muss über die Durchsetzung von Richtlinien im Normalbetrieb hinausgehen. Die Plattform, die die Geräte für die Krisenkoordination verwaltet, muss vor der Gewährung des Zugriffs den aktuellen Sicherheitsstatus überprüfen, jede Sitzung an eine bestätigte Benutzeridentität binden und die Fernverwaltung oder Außerbetriebnahme jedes Geräts unterstützen, das während eines aktiven Vorfalls verloren geht, gestohlen oder kompromittiert wird. Diese Governance-Ebene, die einheitlich auf alle Geräte in der Koordinationsumgebung angewendet wird, sorgt dafür, dass die kontinuierliche Identitätsüberprüfung nicht nur ein Wunschziel bleibt, sondern operativ zuverlässig funktioniert.

Anforderung 3: Einheitliches Lagebild

Die Krisenkoordination erfordert mehr als nur die Übermittlung von Informationen. Sie setzt ein gemeinsames Lagebewusstsein aller Teams voraus, die möglicherweise geografisch verstreut sind, mit unterschiedlichen Informationsgrundlagen arbeiten und auf sich ständig verändernde Bedingungen reagieren müssen. Ohne ein einheitliches Lagebild treffen Einsatzleiter Entscheidungen auf der Grundlage dessen, was ihnen zu Beginn des Vorfalls bekannt war, und nicht auf der Grundlage dessen, was vor Ort tatsächlich geschieht.

Die Fallback-Ebene muss mehr als nur Punkt-zu-Punkt-Kommunikation unterstützen. Sie muss ein gemeinsames Lagebild liefern: Wer reagiert, wo, mit welchen Ressourcen und angesichts welcher bestätigten oder vermuteten Sachverhalte. Warnmeldungen müssen die richtigen Personen über die richtigen Kanäle erreichen, einschließlich derjenigen, die sich möglicherweise nicht an ihrem Hauptarbeitsplatz befinden. Informationen aus dem Einsatzgebiet müssen in Echtzeit an die Einsatzleiter zurückfließen – strukturiert und zeitnah genug, um Entscheidungen zu unterstützen, anstatt die Informationsflut noch zu vergrößern.

Achten Sie bei der Bewertung von Plattformen für diese Anforderung auf Lösungen, die Multi-Channel-Alarmierung, die Nachverfolgung des Personalstatus, Geofencing und bidirektionale Kommunikation mit dem Einsatzort in einer einzigen operativen Übersicht vereinen. Das Ziel besteht darin, den Einsatzleitern in Echtzeit einen Überblick darüber zu verschaffen, wer bereits reagiert hat, wer noch nicht und wie die Lage vor Ort aussieht – und zwar ohne Abhängigkeit von der primären Kommunikationsinfrastruktur, die möglicherweise beeinträchtigt ist. Plattformen, die verbindliche, strukturierte Reaktionen mit Rückmeldeverfolgung unterstützen, sind besonders wertvoll: Sie wandeln Warnmeldungen in nachvollziehbare Maßnahmen um, anstatt sie als Rundsendungen zu versenden, die möglicherweise gesehen wurden oder auch nicht.

Eine effektive Fallback-Architektur erfüllt alle drei Anforderungen gleichzeitig: eine unabhängige Bereitstellung, die auch bei einem Ausfall des primären Netzwerks funktioniert, eine kontinuierliche Identitätsprüfung, die jeden Teilnehmer während der gesamten Sitzung verifiziert, sowie eine einheitliche Lageerfassung, die den Einsatzleitern einen Echtzeit-Überblick über alle eingesetzten Teams verschafft.

Die ersten sechs Stunden: Eine Schritt-für-Schritt-Anleitung

Erste Stunde: Erkennung und erste Eindämmung

Die Bediener stellen Abweichungen in der Ladder-Logik an mehreren Standorten fest. Die Untersuchung ergibt, dass Projektdateien auf den speicherprogrammierbaren Steuerungen verändert wurden. Der Einsatzleiter aktiviert den Notfallplan und leitet die Isolierung der betroffenen Systeme ein.

Wenn der primäre Koordinationskanal des Einsatzteams über das gerade isolierte Netzwerk verläuft, bricht die Kommunikation in diesem Moment ab. Hat das Team jedoch bereits im Voraus Out-of-Band-Geräte bereitgestellt, läuft die Koordination ohne Unterbrechung weiter. Eine mehrkanalige Alarmmeldung erreicht alle benannten Einsatzkräfte, bestätigt die Aktivierung und leitet das Personal zum Out-of-Band-Kanal weiter. Vor der Gewährung des Zugriffs auf die Sitzung wird der Gerätestatus jeder Einsatzkraft überprüft.

Stunde 2 und 3: Bewertung des Umfangs und Benachrichtigung externer Stellen

Das Einsatzteam arbeitet daran, das Ausmaß des Vorfalls über mehrere Standorte hinweg zu ermitteln. Die standortübergreifende Koordination ist unerlässlich und muss über einen Kanal erfolgen, der selbst nicht gefährdet ist.

Die Out-of-Band-Ebene unterstützt dies durch verschlüsselte Sprach- und Nachrichtenübertragung, die unabhängig vom betroffenen Netzwerk funktioniert. Gleichzeitig leitet der Einsatzleiter über vorkonfigurierte Out-of-Band-Workflows externe Benachrichtigungen an Aufsichtsbehörden und Bundesbehörden ein. Die Benachrichtigungsfristen werden eingehalten, ohne dass unter Zeitdruck eine manuelle Nachverfolgung erforderlich ist.

Stunde vier bis sechs: Räumung, Wiederherstellung und kontinuierliche Koordination

Während das Team von der Eindämmung zur Räumung und Wiederherstellung übergeht, verlagert sich der Koordinationsbedarf von einer schnellen Mobilisierung hin zu einer nachhaltigen, strukturierten Kommunikation. Das Einsatzpersonal meldet den Status über die „Out-of-Band“-Ebene und verwendet dabei das in Ihrem Einsatzplan festgelegte strukturierte Berichtsformat. Die Einsatzleiter sorgen für ein einheitliches Lagebild, indem sie die Berichte aus dem Einsatzgebiet zusammenführen, den Status des Personals verfolgen und die gemeinsame Lageübersicht entsprechend der sich entwickelnden Situation aktualisieren.

Während dieser gesamten Phase hängt die Integrität des Koordinationskanals davon ab, dass eine kontinuierliche Identitätsüberprüfung und die Kontrolle des Gerätestatus aufrechterhalten werden. Kein Teilnehmer sollte in der Lage sein, einer Sitzung beizutreten, ohne dass seine Identität bestätigt und überprüft wurde. Jedes Gerät, das eine Statusprüfung nicht besteht, sollte automatisch und unverzüglich den Zugriff verlieren.

Eine einstündige Tabletop-Übung: Kommunikation bei Störungen

Szenario-Vorbereitung (10 Minuten)

Informieren Sie die Teilnehmer über folgende Umstände: Ihr primäres internes Netzwerk wurde im Rahmen aktiver Maßnahmen zur Vorfallbewältigung isoliert. Die primären E-Mail-, VoIP- und internen Messaging-Dienste sind nicht verfügbar. Es besteht eine behördliche Meldepflicht mit einer Frist von vier Stunden. Ihre Out-of-Band-Kommunikationsmöglichkeiten sind aktiv.

Übung Phase 1: Erste Koordination (15 Minuten)

Aktivieren Sie den Out-of-Band-Kanal und überprüfen Sie, ob jeder der vorgesehenen Teilnehmer erreichbar ist. Halten Sie fest, wer den Kanal innerhalb von fünf Minuten erreicht hat, wer Unterstützung benötigte und wer nicht erreichbar war. Notieren Sie alle Geräte, bei denen die Sicherheitsüberprüfung fehlgeschlagen ist.

Zentrale Fragen: Wer ist befugt, den Out-of-Band-Kanal zu aktivieren? Ist das Aktivierungsverfahren dokumentiert und auch ohne Netzwerkzugang zugänglich? Kann sich jeder benannte Einsatzkraft von seinem aktuellen Standort aus authentifizieren?

Übung Phase 2: Situationsbewusstsein (15 Minuten)

Der Einsatzleiter wird angewiesen, ein gemeinsames Lagebild ausschließlich unter Verwendung der „Out-of-Band“-Ebene zu erstellen. Das Einsatzpersonal vor Ort meldet den Status. Der Einsatzleiter fasst den aktuellen Stand für eine simulierte Lagebesprechung auf Führungsebene zusammen.

Zentrale Fragen: Wie lange dauert es, bis ein gemeinsames Lagebild vorliegt? Welche Informationslücken bestehen nach 15 Minuten noch? Welche manuellen Schritte sind erforderlich, die im Normalbetrieb automatisiert wären?

Übung Phase 3: Externe Koordination (15 Minuten)

Simulieren Sie die behördliche Meldung und die Abstimmung mit Bundesbehörden, wobei Sie ausschließlich die Out-of-Band-Ebene und vorkonfigurierte Workflows nutzen.

Wichtige Fragen: Sind die Benachrichtigungsvorlagen bereits vorinstalliert und auch ohne Netzwerkzugang verfügbar? Kennt das Team die richtigen Ansprechpartner und Zeitpläne? Gibt es einen festgelegten Kommunikationsbeauftragten für die externe Koordination?

Nachbesprechung (5 Minuten)

Dokumentieren Sie drei konkrete Lücken und legen Sie fest, wer für deren Behebung verantwortlich ist. Planen Sie eine Wiederholung dieser Maßnahme innerhalb von 90 Tagen ein.

Aufbau einer Kommunikationskontinuität, die auch unter Druck standhält

Ein Ausweichkommunikationssystem sollte nicht erst während eines tatsächlichen Vorfalls zum ersten Mal getestet werden. Eine souveräne, kontinuierlich überprüfte Out-of-Band-Kommunikationsarchitektur, die auf eigens dafür entwickelten souveränen Plattformen basiert, bietet die Koordinierungsebene, die durch Isolierung allein nicht erreicht werden kann.

Die Herausforderung liegt selten in der Isolation an sich. Vielmehr geht es darum, die Koordination aufrechtzuerhalten, nachdem die Isolation die Systeme unterbrochen hat, auf die sich die Menschen normalerweise verlassen. Um dies zu gewährleisten, sind eine durchdachte Planung, Vorkehrungen im Vorfeld und verifizierte Tests erforderlich, bevor die Telefonverbindungen ausfallen.

Ein nützlicher Ausgangspunkt: Wenn das primäre Netzwerk heute ausfallen würde – wie würde sich Ihr Einsatzteam koordinieren, und wie sicher sind Sie, dass diese Kommunikationskanäle funktionieren würden? Diese eine Frage wird die meisten der in diesem Beitrag beschriebenen Lücken aufdecken. Nutzen Sie die oben beschriebene Tabletop-Übung als Ausgangspunkt, dokumentieren Sie Ihre Erkenntnisse, weisen Sie Verantwortlichkeiten zu und wiederholen Sie den Test innerhalb von 90 Tagen.

Weiterführende Literatur:
Lehren aus den Angriffen auf Wasserversorgungsunternehmen im Juli: Was die gemeinsame Empfehlung den Betreibern als nächste Schritte rät
Warum die Planung der OT-Isolierung eine lückenlose Kommunikation erfordert