Breach-Response
Breach-Response bezeichnet das geordnete Vorgehen eines Unternehmens, nachdem Unbefugte in seine Computersysteme eingedrungen sind oder Daten gestohlen haben. Dazu gehören das Stoppen des Angriffs, die Aufklärung des Vorfalls, gesetzlich vorgeschriebene Meldungen und die Information der Betroffenen.
Wenn Fremde in die Computersysteme einer Firma eindringen und dort Daten kopieren, verändern oder blockieren, spricht man von einem Sicherheitsvorfall. Breach-Response ist alles, was die Firma danach tut. Der englische Begriff « breach » heißt Bruch oder Einbruch, « response » heißt Reaktion. Gemeint ist kein einzelner Handgriff, sondern ein festgelegter Ablauf: Angriff stoppen, Schaden begrenzen, Ursache finden, Behörden und Betroffene informieren, Lücke schließen. Fast jedes größere Unternehmen hat dafür einen schriftlichen Plan, der lange vor dem Ernstfall geschrieben wird. Denn im Ernstfall zählen Stunden, und niemand hat dann Zeit, sich Zuständigkeiten zu überlegen.
Was ein schlecht gemanagter Einbruch kostet
Der eigentliche Einbruch ist oft nicht der teuerste Teil. Teuer wird, was danach passiert oder eben nicht passiert. Wer eine Sicherheitslücke tagelang offen lässt, gibt Angreifern Zeit, sich tiefer im Netzwerk auszubreiten. Studien großer IT-Konzerne beziffern die durchschnittlichen Kosten einer Datenpanne seit Jahren auf mehrere Millionen Euro pro Fall.
Dazu kommt der rechtliche Druck. In der Europäischen Union gilt die Datenschutz-Grundverordnung, kurz DSGVO. Sie schreibt vor, dass eine Firma eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden der zuständigen Aufsichtsbehörde melden muss. Wer diese Frist reißt oder den Vorfall vertuscht, riskiert hohe Bußgelder. In den USA gelten je nach Bundesstaat und Branche eigene Meldepflichten, teils mit noch kürzeren Fristen.
Der dritte Kostenblock ist das Vertrauen. Kunden verzeihen einen Angriff eher als eine Vertuschung. Ein bekanntes Negativbeispiel ist der Fahrdienst Uber: Nach einem Datendiebstahl 2016 zahlte das Unternehmen den Angreifern Schweigegeld, statt den Vorfall zu melden. Als das Jahre später herauskam, folgten Ermittlungen und ein Strafverfahren gegen den damaligen Sicherheitschef.
Die Phasen vom Alarm bis zum Abschlussbericht
Der Ablauf ist in der Fachwelt weitgehend standardisiert. Zuerst kommt die Erkennung: Eine Überwachungssoftware, ein aufmerksamer Mitarbeiter oder eine Erpresser-Nachricht macht den Vorfall sichtbar. Danach folgt die Eindämmung. Betroffene Rechner werden vom Netz getrennt, Passwörter und Zugangsschlüssel werden zurückgezogen, verdächtige Konten gesperrt.
Dann untersucht ein Team die Spuren. Diese Arbeit heißt Forensik und funktioniert ähnlich wie Spurensicherung nach einem Einbruch in ein Gebäude. Aus Protokolldateien, sogenannten Logs, rekonstruieren Fachleute, wann der Angreifer hereinkam, welchen Weg er nahm und welche Daten er anfasste. Wichtig ist, dabei nichts zu überschreiben. Wer zu schnell aufräumt, vernichtet die Beweise, die er später für Behörden und Versicherung braucht.
Erst danach kommen Wiederherstellung und Kommunikation. Systeme werden aus geprüften Sicherungskopien neu aufgesetzt, die ausgenutzte Lücke wird geschlossen. Parallel gehen Meldungen an Behörden und, wenn ein hohes Risiko besteht, an die betroffenen Personen. Am Ende steht ein Abschlussbericht mit der Frage, was beim nächsten Mal besser laufen muss.
Breach-Response in Schlagzeilen und in KI-Systemen
In Wirtschaftsnachrichten taucht der Begriff meist in einer bestimmten Formulierung auf: Ein Konzern bestätigt einen Vorfall und erklärt, man habe « externe Sicherheitsexperten hinzugezogen ». Das ist Breach-Response im Gange. Spezialisierte Dienstleister und Cyberversicherungen leben von genau diesem Geschäft. Häufige Auslöser sind Ransomware, also Schadsoftware, die Daten verschlüsselt und Lösegeld fordert, sowie gestohlene Zugangsdaten von Mitarbeitern.
Auch KI-Anbieter sind betroffen, teilweise mit neuen Problemen. Chatverläufe mit einem Sprachmodell enthalten oft sehr persönliche oder geschäftliche Informationen. 2023 konnten Nutzer von ChatGPT wegen eines Softwarefehlers kurzzeitig Gesprächstitel fremder Konten sehen. Der Anbieter schaltete den Dienst ab, behob den Fehler und informierte die Betroffenen. Genau dieses Muster ist der Kern jeder Breach-Response.
Ein verbreiteter Irrtum ist, Breach-Response sei reine Technik. Tatsächlich sind Juristen, Pressestelle und Geschäftsführung von Anfang an beteiligt. Und man sollte den Begriff nicht mit Prävention verwechseln: Firewalls und Passwortregeln sollen den Einbruch verhindern. Breach-Response beginnt in dem Moment, in dem das nicht geklappt hat.