Cloud & Zusammenarbeit · CLD-01
Verdacht auf kompromittiertes Cloud-Konto
In einem Cloud-Dienst wie Microsoft 365 oder Google Workspace passieren Dinge, die niemand veranlasst hat. Anders als bei einem einzelnen Postfach hängen daran Dateien, Freigaben und verbundene Anwendungen des gesamten Unternehmens.
Erste 15 Minuten
Sofortmaßnahmen.
- Dateien in SharePoint oder Drive plötzlich geändert oder verschwunden
- Unbekannte App hat Zugriff auf das Konto erhalten
- Neue Freigabelinks für Ordner, die niemand erstellt hat
- Anmeldung aus einem Land ohne Standort des Unternehmens
- 01
Passwort von einem anderen, sauberen Gerät aus ändern und alle aktiven Sitzungen im Konto abmelden.
- 02
In den Kontoeinstellungen die verbundenen Apps und erteilten Berechtigungen ansehen und Auffälliges notieren.
- 03
Neu entstandene Freigabelinks und Zugriffsrechte notieren, bevor sie entfernt werden.
- 04
Die lokale Synchronisierung pausieren, damit Änderungen aus der Cloud nicht weiter auf die Geräte gespielt werden.
- 05
Unverzüglich melden. Cloud-Vorfälle betreffen fast nie nur ein Konto.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister mit Administrationsrechten für den Cloud-Dienst. Bei Administratorkonten zusätzlich die Geschäftsführung.
Wie
Telefonisch über den Notfallkontakt aus dem Kontaktblatt. Nicht über den betroffenen Cloud-Dienst, also weder per Mail noch per Chat darin.
Was bereithalten
- Welcher Dienst und welches Konto betroffen sind
- Welche Auffälligkeit dir zuerst begegnet ist und wann
- Welche verbundenen Apps du gefunden hast
- Welche Ordner oder Dateien betroffen scheinen
- Ob das Konto Administrationsrechte hat
Häufige Fehler
Nicht tun.
-
Über den betroffenen Dienst selbst melden oder dort über den Vorfall chatten.
-
Verbundene Apps und Freigaben löschen, bevor sie festgehalten sind.
-
Dateien aus dem lokalen Ordner in die Cloud zurückspielen, um Änderungen zu reparieren.
-
Externe Empfänger von Freigabelinks eigenständig kontaktieren.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die Administration prüft die Anmelde- und Aktivitätsprotokolle des Mandanten und grenzt ein, welche Konten betroffen sind.
-
Erteilte App-Berechtigungen werden entzogen, Freigaben zurückgenommen und Anmeldedaten samt Multi-Faktor-Authentifizierung neu aufgesetzt.
-
Anhand der Protokolle wird bewertet, ob Daten abgeflossen sind und ob daraus eine Meldepflicht folgt.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Der Unterschied zum einzelnen gehackten Konto
Bei einem übernommenen Postfach ist der Schaden auf die Nachrichten dieses Kontos begrenzt. In einer Cloud-Umgebung hängt an derselben Anmeldung deutlich mehr: Dateiablagen mit Zugriff auf Teamordner, Freigabelinks, die auch ohne Anmeldung funktionieren, verbundene Anwendungen mit dauerhaften Berechtigungen und, bei Administratorkonten, die Verwaltung aller anderen Konten.
Deshalb ist der Meldeweg hier steiler als bei einem einzelnen Konto. Die entscheidende Frage in der ersten Meldung lautet: Hat das betroffene Konto Administrationsrechte? Von dieser Antwort hängt ab, ob die IT ein Konto zurücksetzt oder den gesamten Mandanten prüft.
Verbundene Apps überleben die Passwortänderung
Der am häufigsten übersehene Punkt: Eine Anwendung, der einmal Zugriff auf das Konto erteilt wurde, behält diesen Zugriff auch nach einer Passwortänderung. Ihre Berechtigung hängt nicht am Passwort, sondern an einem eigenen Token. Wer nur das Passwort ändert und die Sitzungen beendet, lässt genau diese Tür offen.
Angreifer nutzen das gezielt. Nach einem erfolgreichen Phishing wird eine unauffällig benannte App autorisiert, oft mit Leseberechtigung auf Mail und Dateien. Danach ist der ursprüngliche Zugang entbehrlich. Aus diesem Grund steht die Durchsicht der verbundenen Apps in diesem Playbook direkt neben der Passwortänderung.
Warum Synchronisierung pausiert gehört
Cloud-Speicher spiegeln Änderungen automatisch auf alle verbundenen Geräte. Löscht oder verschlüsselt jemand Dateien in der Cloud, wandert dieser Zustand innerhalb von Minuten auf die lokalen Rechner und überschreibt dort die letzten guten Stände.
Die Synchronisierung zu pausieren friert diesen Zustand ein und erhält lokale Kopien, die für die Wiederherstellung wertvoll sein können. Umgekehrt gilt: Lokale Ordner eigenmächtig in die Cloud zurückzuspielen erzeugt Versionskonflikte und macht der IT die Rekonstruktion schwerer.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo Ihr Unternehmen steht und welcher nächste Schritt sinnvoll ist.