Phoenix-Protokoll: Nach einem Cyberangriff aus der Asche auferstehen

Bei Cybervorfällen geht es um aktive Angreifer und versteckte Infektionen. Recovery muss umsichtig und verifiziert erfolgen, um eine erneute Infektion zu vermeiden. 

Es handelt sich um das Recovery-Framework von Commvault für die Zeit nach einem Angriff, das auf Commvault AirGap, isolierter Wiederherstellung, einem Cyber-Recovery-Plan und Chaos-Tests basiert. 

Viele planen oder üben Recovery nicht. Unvorbereitete Teams ergreifen oft fragmentierte Maßnahmen, die die Infektion verbreiten und die Wiederherstellung verzögern. 

Chaos-Tests simulieren den Druck in der Praxis und helfen Teams dabei, Prozesse zu validieren und die Koordination zu verbessern, bevor ein tatsächlicher Vorfall eintritt. 

Sie tragen dazu bei, Manipulationen zu verhindern, und ermöglichen eine sichere Analyse und Wiederherstellung von unversehrten Systemen, ohne das Risiko einer erneuten Infektion einzugehen. 

Bitte sehen Sie sich hier das Video mit dem zeitgestempelten Transkript an

Willkommen zur heutigen Folge des SHIFT-Podcasts: „Das Phoenix-Protokoll – Wie man sich nach einem Cyberangriff aus der Asche
erhebt“. 

Ich bin Chris Dirado und heute bei mir ist Michael Stempf. 

Michael, vielen Dank, dass du heute bei mir bist. Ich freue mich sehr auf unser Gespräch. 

Danke, Chris. 

Wenn ein Cyberangriff zuschlägt, kann Recovery überwältigend erscheinen, aber es ist auch ein Moment, um stärker wieder aufzustehen
. 

In diesem Gespräch werden wir das „Phoenix-Protokoll“ näher beleuchten und erläutern, wie unsere vier Säulen hier bei
Commvault Ihnen helfen können, aus der Asche wieder aufzuerstehen. 

AirGap Protect, eine isolierte Recovery-Umgebung, ein Cyber-Recovery-Plan und vor
allem das Testen im Chaos. 

Gemeinsam werden wir uns ansehen, wie Unternehmen diese Krise in eine
Chance zur Erneuerung verwandeln können und wie sie gestärkt aus einem Angriff hervorgehen können. 

Also, Michael, was sind einige der häufigsten Fehler, die Unternehmen bei der Wiederherstellung
nach einem Cyberangriff machen? 

Das ist eine Fangfrage. 

Das häufigste Problem bei der Recovery ist, dass man erst dann damit plant, wenn die
Recovery tatsächlich stattfinden muss. 

Man muss vorbereitet sein, oder? 

Das große Ereignis – wir nennen es gerne „Bang“ – und die Leute denken darüber nach, was unmittelbar nach
dem Ereignis passiert. 

Aber wenn man nicht geplant hat, wenn man nicht geübt hat, wenn man nicht die mentale
Stärke aufgebaut hat, indem man die Situation immer wieder durchgespielt und mit seinen Teams daran gearbeitet hat, 

um daraus eine Teambuilding-Erfahrung zu machen, dann wirst du nicht vorbereitet sein. 

Im Nachhinein haben wir oft erlebt, dass die Leute ehrlich versuchen, ihr Bestes zu geben. 

Da gibt es zum Beispiel einen Windows-Administrator, der einfach nur helfen und seine Server wieder zum
Laufen bringen will, und deshalb handelt er quasi auf eigene Faust, betreibt „Shadow-IT“ und richtet seine eigenen 

Systeme in Betrieb. 

Und wir haben immer wieder erlebt, dass sie, wenn sie solche Dinge tun, einfach
einen neuen Bereich neu infizieren, in dem der Angreifer noch nicht war, 

und dann muss man sich erneut damit befassen. 

Man perpetuiert also das Problem, indem man versucht, seine Arbeit bestmöglich zu erledigen. 

Und ohne diese Übung, ohne Tests unter den chaotischen Bedingungen, von denen du gesprochen hast,
werden sie das tatsächliche Ausmaß an Komplexität und Raffinesse nicht verstehen, das diese 

Angreifer gegen uns einsetzen. 

Und du sprichst da einen wirklich guten Punkt an, dass die Leute ja nur versuchen zu helfen, aber
manchmal … 

übertreiben sie es ein bisschen, oder? 

Sie leiten Recovery-Maßnahmen ein, bevor wir tatsächlich bereit dafür sind. 

Und ich weiß aus meiner Erfahrung und auch aus deiner, dass wir schon viele solcher Recovery-Szenarien
durchlebt haben. 

Manchmal arbeitet man 60, 70 oder 80 Stunden pro Woche. 

Der schlechteste Zeitpunkt, etwas zu tun, das kein gutes Ergebnis bringt, ist, wenn man ohnehin schon
am Limit ist und auf Hochtouren läuft, oder? 

Bei meiner nächsten Frage möchte ich also über einige der Irrtümer sprechen, die … 

na ja, bei denen wir glauben, wir wären geschützt, aber in Wirklichkeit sind das nur
Irrtümer, und sie helfen uns letztendlich nicht wirklich weiter. 

Könntest du mir ein paar Beispiele für solche Irrtümer nennen? 

Ja, ich denke, an erster Stelle steht, dass jeder einen Recovery-Plan hat. 

Die gibt es schon seit Jahren. 

Sie haben sie jahrelang getestet. 

Und Cyberangriffe sind einfach nur eine weitere Katastrophe – so glauben sie zumindest. 

Das Problem dabei ist, dass es bei der Recovery vor allem um Geschwindigkeit und Kapazität geht. 

Richtig. 

Es kann sich um eine Naturkatastrophe handeln, 

Tornado, Hurrikan – was auch immer es sein mag. 

Und es liegt keine böswillige Absicht vor. 

Und wenn man sich mit Cyberangriffen befasst, bedeuten Geschwindigkeit und Ablauf einfach nur, dass man die Umgebung erneut
infiziert. 

Man muss langsam vorgehen, man muss methodisch vorgehen, man muss an diese böswillige Absicht denken,
daran, dass sich dort ein böswilliger Akteur befindet. 

Und wenn man also einen Plan anwendet, der speziell darauf ausgelegt ist, den Betrieb so
schnell wie möglich wiederherzustellen, führt das nur zu Problemen. 

Man muss also einen Gang zurückschalten und tief durchatmen. 

Man braucht einen Cyber-Recovery-Plan, der im Kern vielleicht viel mit der
Notfall-Recovery gemeinsam hat, dessen oberstes Ziel jedoch ist, wie man sauber wieder zum Betrieb zurückkehrt – und nicht, wie man 

so schnell wie möglich wieder in Betrieb zu kommen. 

Das ist also wirklich das Wichtigste. 

Aber damit gehen noch so viele weitere Aspekte einher. 

Wissen Sie, in erster Linie habe ich bei Cyberangriffen
tatsächlich schon so ziemlich alles zerstört gesehen, was man sich nur vorstellen kann. 

Und eine der Voraussetzungen dafür ist, dass heute alles 

heutzutage mit einem Identitätsmanagementsystem verbunden ist, zum Beispiel mit Active Directory. 

Aktuellen Statistiken zufolge ist Active Directory in 98 % aller Unternehmen im Einsatz und bei
92 % aller Cyberangriffe das Ziel. 

Das ist doch klar, oder? 

Sobald man sich in Active Directory befindet, hat man überall Zugang. 

Es ist der Schlüssel zum Königreich. 

Deshalb empfehle ich immer unter anderem, die letzte Verteidigungslinie zu ziehen und Ihr Datenschutzsystem aus Active Directory herauszulösen
, 

denn das ist eine der gängigen Vorgehensweisen von Angreifern: Sie wissen, dass die Wahrscheinlichkeit groß ist, dass Sie nicht zahlen, wenn Ihr Datenschutz
den Angriff übersteht. 

So entgeht man der Zahlung. 

Absolut. 

Einer unserer Ratschläge lautet: Trennen Sie Ihr Datenschutzsystem vom Active Directory, machen
Sie es eigenständig, trennen Sie es ab und isolieren Sie es so weit wie möglich. 

So wird es auch dann noch bestehen bleiben, wenn ein Großteil Ihres Unternehmens zerstört wird. 

Noch eine kurze Anmerkung: Michael hat da einen guten 

guten Hinweis auf einen Cyber-Recovery-Plan. 

In einigen der Schulungen, die ich durchgeführt habe, habe ich festgestellt, dass viele Teilnehmer keine Cyber-Recovery-Pläne
hatten. 

Nun, bei Commvault haben wir dafür eine Lösung parat. 

Wenn Sie unsere Readiness-Plattform aufrufen und nach einem Cyber-Recovery-Plan suchen, können Sie unsere Vorlage herunterladen und an
Ihre Bedürfnisse anpassen. 

Und wie Michael bereits sagte, sind einige dieser Punkte bereits in Ihrem DR-Plan enthalten. 

Nehmen Sie diese Elemente ruhig übernehmen, oder? 

Einfach kopieren und einfügen. 

Aber ein Cyber-Recovery-Plan ist wirklich das, was Ihnen helfen wird, sich aus der Patsche zu befreien, sobald Sie in eines dieser Szenarien geraten
. 

Michael, wie haben sich die Erwartungen an die Recovery verändert – weg vom bloßen Wiederherstellen von Daten hin zur Recovery unseres
Geschäftsbetriebs? 

Gute Frage. 

Also, wissen Sie, die meisten Leute planen Wiederherstellungen vom Typ „One Z“ oder „Two Z“. 

Ich habe hier ein paar Dateien. 

Ich habe hier einen Server. 

Und das lässt sich planen, oder? 

Das ist doch sehr mathematisch, oder? 

Für eine Notfallwiederherstellung (DR). 

Ich habe eine Etage. 

Ich habe einen Server. 

Ich habe ein Gebäude. 

Ich muss wissen, wie viele Daten vorhanden sind, wie viel Bandbreite ich zum nächsten 

Standort, einem geografisch verteilten Standort, zur Verfügung steht, und ich kann dazu den ganzen Tag lang Szenarien durchspielen. 

Das Problem bei einem Cybervorfall ist, dass ich das Ausmaß nicht kenne, oder? 

Wie viele Server wurden in dieser Organisation angegriffen? 

Wie viele Standorte waren betroffen? 

Ich hatte einen Kunden, der angegriffen wurde. 

Er hatte weltweit 99 Standorte, und der Angreifer hat weltweit 99 Standorte zerstört. 

Jede einzelne Datenkopie, die sie irgendwo hatten, wurde also vollständig zerstört. 

Sich damit auseinanderzusetzen, ein Konzept zu entwickeln, es durchzuspielen und zu üben, gehört hier wirklich zu
den wichtigsten Dingen – man muss also sicherstellen, dass man die Situation anders behandelt 

dass man die Situation anders betrachtet und die Ergebnisse immer unterschiedlich ausfallen werden. 

Und da sprichst du einen wirklich wichtigen Punkt an. 

Es gibt drei deutlich voneinander unterscheidbare Arten von Recovery-Maßnahmen, die wir richtig planen. 

Betriebsrecovery, Notfallrecovery und Cyber-Recovery. 

Können Sie zu jeder dieser Arten etwas näher erläutern, worin die Unterschiede bestehen und wie
 

tatsächlich verhindert, dass Kunden bei einem Cybervorfall nicht wiederhergestellt werden können? 

Klar. 

Operative Recovery – das ist der typische Fall: Ich habe eine Datei gelöscht, man hat eine lokale Kopie, aus der
man sie wiederherstellen kann – superschnell, einfach durchzuführen, an den meisten Orten automatisiert; man muss einfach nur 

und… 

Ich wollte gerade sagen: Hier bei Commvault haben wir alle die Möglichkeit, auf
unseren Laptops selbst Recoverys durchzuführen. 

Ich bin mir sicher, dass das in den meisten Unternehmen ganz einfach ist, oder? 

Einfaches Verfahren. 

Absolut. 

The disaster recovery for natural disasters 

und das ist sehr ausgereift. 

Wir machen das schon seit über 30 Jahren und testen es an den meisten Standorten vierteljährlich. 

Tatsächlich haben wir das so oft gemacht, dass die Leute in Sachen Notfallwiederherstellung nachlässig geworden sind. 

Sie testen eigentlich gar nicht mehr. 

Was sie jetzt typischerweise tun, ist, ihr Rechenzentrum alle sechs Monate von einem Standort auf einen anderen
umzuschalten und zu sagen: „Hey, wir laufen im Produktivbetrieb.“ 

Das ist ein guter Test. 

Aber bei diesem letzten Punkt, nämlich der Cybersicherheit, sind einige spezifische Maßnahmen erforderlich. 

Erstens – und das ist meiner Meinung nach das Wichtigste – eine tertiäre Kopie der Daten. 

Eine dritte Kopie der Daten, die sich in der Infrastruktur eines Dritten befindet, denn, wie Sie wissen, werden die
Angreifer Zugriff auf Active Directory haben, sie werden Ihre gesamte Umgebung unter Kontrolle haben, 

und sie werden alle Ihre Cloud-Zugangsdaten haben. 

Nur diese zweite Kopie der Daten zu haben, die man normalerweise geografisch verteilt
, reicht als Schutz nicht aus. 

Man muss also sicherstellen, dass diese Kopie hinter der Infrastruktur eines Dritten liegt, dass sie unveränderlich und unauslöschbar ist
. 

„Indelible“ sorgt durch entsprechende Governance dafür, dass 

niemand – nicht einmal mit erweiterten Anmeldedaten, die er möglicherweise aus dem AD erhalten hat – diese Daten ändern
oder löschen kann. 

Das sind die Daten, die uns retten werden, sobald wir angegriffen werden. 

Wir wissen, dass sie im entscheidenden Moment da sein werden, denn sie können, wie du gesagt hast, nicht gelöscht werden, sie
können nicht verändert werden und müssen strenge Anforderungen erfüllen. 

Und damit ein Angreifer an diese Daten herankommt, müsste er nicht nur in Ihre
Organisation eindringen, sondern auch in unsere eigene, richtig? 

Es handelt sich also tatsächlich um einen zweigleisigen Angriff, den er erst einmal durchführen müsste. 

Damit … 

wissen wir, dass wir über eine sichere Kopie der Daten verfügen. 

Wo sollten wir diese Daten im Falle eines Cyberangriffs wiederherstellen? 

Das ist der Punkt, an den niemand jemals denkt, oder? 

Etwa 17 % aller Angriffe sind zerstörerische Angriffe, bei denen die Angreifer in die Firmware und
das BIOS der Server eindringen, sodass eine Wiederherstellung auf diesen Systemen nicht mehr möglich ist. 

Aber das ist in jedem Plan vorgesehen. 

Ich werde genau dorthin zurückkehren, woher es ursprünglich kam. 

Und heutzutage, auch wenn diese 17 % eine relativ kleine Zahl sind, sagen die meisten CISOs 

– weil man nicht weiß, ob es sich um einen zerstörerischen Angriff handelte – denken: „Ich muss davon ausgehen, dass er
zerstörerisch war.“ 

Daher haben die meisten Unternehmen keinen Plan, bei dem 50 Server auf dem Lagerplatz bereitstehen und
sofort einsatzbereit sind. 

In der heutigen Umgebung muss man daher über eine isolierte Recovery-Umgebung verfügen. 

Erstens ist es ein sicherer Ort, an den ich eine Wiederherstellung durchführen kann, und zweitens ist es ein Ort, von dem aus ich in die Produktion hochfahren
kann und von dem ich weiß, dass der Angreifer dort keinen Zugriff hat. 

Als einer der Schlüsselbereiche, von denen Sie zuvor gesprochen haben, 

ist eine isolierte Recovery-Umgebung – wir nennen unsere „Clean Room“ – für die Cyber-Resilienz
unverzichtbar. 

Sicher, jetzt haben wir also eine gute Lösung: Wir wissen, dass wir Kopien unserer Daten haben, sicher und geschützt, und jetzt
haben wir einen Ort, an dem wir diese Daten ablegen können, und wie Sie zuvor angemerkt haben, können wir 

und bereinigen, bevor wir sie in die Produktion verschieben. 

Und eines der Features, die meiner Meinung nach hier bei Commvault nicht genug Beachtung finden, ist unsere
„Any-to-Any“-Portabilität, richtig? 

Denn wie du gesagt hast: Es kann zu einem zerstörerischen Angriff vor Ort kommen – und dann muss man umschwenken
, richtig? 

Man muss… 

…muss man woanders hin, wie lange dauert es, bis man neue Hardware bekommt? 

Vielleicht sechs Wochen? 

Man kann nicht sechs Wochen lang ohne Produktionsserver auskommen. 

Sie können Ihre Workloads auf den Cloud-Anbieter Ihrer Wahl oder einen anderen Hypervisor verlagern, und
das gibt Ihnen wirklich die Flexibilität, sich nach einem solchen Angriff wieder zu erholen. 

Das ist tatsächlich einer der wichtigsten Bereiche, über den nie wirklich gesprochen wird und in dem Commvault seinen Mitbewerbern überlegen ist
: die Tatsache, dass wir schon seit Jahren „Any-to-Any“ anbieten. 

Wenn Sie also … 

eine lokale VMware-Umgebung haben und diese dann in eine AWS-EC2-Umgebung verlagern möchten, läuft das alles
automatisch. 

Das geschieht bei der Wiederherstellung – ich muss mir darüber keinerlei Gedanken machen. 

Und die Bandbreite der verschiedenen „Any-to-Any“-Varianten, die wir von einer Plattform zur
anderen anbieten, ist absolut unglaublich und stellt einfach jeden anderen in der Branche in den Schatten. 

Ja, wir bieten unseren Kunden in dieser Hinsicht
wirklich alle Optionen, die sie sich nur wünschen können, oder? 

Absolut. 

Okay, wechseln wir nun das Thema. 

Welche Herausforderungen sehen Sie derzeit am häufigsten im Zusammenhang mit diesen Cyberangriffen? 

Das größte Problem ist die mangelnde Vorbereitung. 

Man behandelt das Ganze wie eine Katastrophe. 

Wenn man von einer Notfall-Recovery und der Bewältigung einer solchen Situation spricht, gibt
es normalerweise einen Backup-Administrator, oder? 

Und diese Person würde in diesem Fall 

– ich nenne sie immer so – als eine Art Gott angesehen, oder? 

Wenn es dann zur Disaster Recovery kommt, heißt es: Halte dich von dieser Person fern,
geh ihr nicht zu nahe, gib ihr einfach ab und zu etwas zu essen und zu trinken und lass sie in Ruhe, 

denn sie hat den Plan schon seit Ewigkeiten ausgearbeitet. 

Und die Verantwortung lag ganz bei ihr. 

Das Problem ist, dass diese Person bei einem Cyberangriff fast keine Verantwortung trägt. 

Sie kann nicht einfach mit der Wiederherstellung beginnen, da sie sonst eine erneute Infektionsphase auslösen würde. 

Man muss mit den Sicherheitsteams, den IT-Teams, der Rechtsabteilung und den Kommunikationsteams zusammenarbeiten –
all diese Leute müssen zusammenarbeiten, und das haben sie noch nie zuvor getan. 

Und ich scherze immer gerne, dass sich Ihr Sicherheitsteam und Ihr IT-Team
wahrscheinlich das letzte Mal getroffen haben, als sie bei einer Firmenveranstaltung in einem Baseballspiel gegeneinander antraten 

Veranstaltung gegeneinander gespielt haben. 

Sie stehen sich immer gegenüber, sind nie im selben Team. 

Aber wenn es zu einem Cybervorfall kommt und ich der Stellvertreter bin, dann … 

habe ich keine Befugnis, eine Recovery durchzuführen, bis mir jemand aus dem Sicherheitsbereich die Anweisung dazu
gibt. 

Und die Sicherheitsleute können nicht das tun, was sie tun müssen, bis jemand aus der IT-Abteilung den Anstoß dazu gibt
. 

Es geht also um dieses Prinzip der gegenseitigen Kontrolle, das bei der
Recovery vor Cybervorfällen ein völlig fremdes Konzept ist. 

Ja, und weißt du, was ich lustig finde: Denk mal an das letzte Mal zurück, als du mit einem Backup-Administrator zu tun hattest
, oder? 

Wahrscheinlich war es so: „Hey, ich habe eine E-Mail oder eine Tabelle verloren“, und was haben die gemacht? 

Er hat es innerhalb von Minuten wiederhergestellt, oder? 

Nun, um auf deinen Punkt zurückzukommen: Das können sie nicht. 

Das können sie nicht einfach so machen, weil man nicht weiß, was infiziert ist. 

Man weiß nicht, ob ein Dutzend Server betroffen sind oder die gesamte ESX-Farm, und man
kann nicht einfach anfangen, Daten wiederherzustellen – das würde einen nur wieder genau dorthin zurückbringen, wo man angefangen hat. 

Das muss wirklich eine Teamleistung sein, oder? 

Alle müssen endlich an einen Strang ziehen, zusammenarbeiten und sich einbringen, um den Betrieb der Organisation
wieder in Gang zu bringen. 

Da stimme ich zu. 

Was sind also einige der wichtigsten Erkenntnisse, die Unternehmen nach einem
Cyberangriff gewonnen haben? 

Die gewonnenen Erkenntnisse variieren. 

Sie sind sehr unterschiedlich. 

Ich denke, das Wichtigste ist – und das wird meist erst nach dem zweiten Angriff klar, wobei
es durchaus üblich ist, dass es bis zu vier Angriffe pro Jahr gibt –, dass sich so etwas nicht wirklich planen lässt. 

Man wird keine Szenarien entwerfen können, die genau so eintreten, wie man
es sich vorstellt, wenn ein solcher Cybervorfall eintritt. 

Es gibt einfach zu viele verschiedene Variablen. 

Die Sache ist die: Bei der Disaster Recovery ist es sehr einfach, sich auf einen Tornado vorzubereiten. 

Ein Tornado wird wahrscheinlich ein Gebäude zerstören. 

Eine Überschwemmung kann … 

vielleicht die unteren Stockwerke eines Gebäudes zerstören, aber das lässt sich planen und proben – ich kann hingehen und es umsetzen
. 

Bei Cyberangriffen gibt es so viele verschiedene Möglichkeiten, wie sie angreifen können. 

So viele verschiedene Wege, auf denen sie eindringen können, so viele Möglichkeiten, Informationen zu zerstören. 

Verdammt, heutzutage geht es nicht einmal mehr so sehr um Ransomware, oder? 

Es gibt Angriffe, die nur deshalb stattfinden, weil jemand einen Konkurrenten ausschalten will oder eine
Regierung eine andere Regierung ausschalten will. 

Das ist reine böswillige Absicht, ohne dass es im Hintergrund einen Gewinn gibt – außer der Zerstörung
des Feindes. 

Darauf kann man sich nur schwer vorbereiten. 

Sicher. 

Und deshalb müssen wir bei unseren Tests die Chaostheorie wirklich stärker einbeziehen. 

Eine der üblichen Vorgehensweisen, die ich immer gerne anwende, ist: Wenn ich an diesen Tests teilnehme, gibt es
immer eine vordefinierte Liste der angegriffenen Ziele, richtig? 

Sie wissen immer genau, um welche Server es geht, und das Schöne daran ist, dass immer alle Verantwortlichen
für diese Server an den Besprechungen mit uns teilnehmen. 

Absolut. 

Und eine Sache, die ich immer gerne mache, ist, die Namen der Server auf die
Rückseite von Spielkarten zu schreiben, 

und diese Karten dann gegen die Wand zu werfen – und welche auch immer mit der Vorderseite nach oben landen, das sind dann die
, die gerade getroffen wurden. 

Das ist also eine großartige Möglichkeit, diese Chaos-Methodik hier einzubringen, damit man testen kann. 

Und wenn man erst einmal auf so viele verschiedene chaotische Arten getestet hat, will ich nicht behaupten, dass man auf diesen Angriff vorbereitet ist
, aber man hat eine Vorstellung und ein Verständnis davon, welche Auswirkungen 

und wie man sich dann besser davon erholen kann. 

Ja, und du kennst deinen Wendepunkt, oder? 

Hey, wenn ich weiß, dass X passiert, wechsle ich zu Y, richtig? 

Wenn ich weiß, dass ich Y mache und es nicht funktioniert, wechsle ich zu Z. 

Und ich glaube, man kann nicht auf all diese Szenarien vorbereitet sein, aber je mehr davon man
im Ernstfall abdeckt, desto mehr ist es diese Art von Muskelgedächtnis, oder? 

So nach dem Motto: „Hey, ich weiß, dass wir das schaffen werden, weil ich mich darauf vorbereitet habe – ich
habe mich auf all diese Situationen vorbereitet.“ 

Ich weiß, dass das FBI vor ein paar Jahren immer gesagt hat: „Hey, wenn ihr von einem Cyberangriff getroffen werdet,
müsst ihr diese Abläufe befolgen.“ 

Und ein Jahr später änderten sie es in: 

Wenn du von einem Cyberangriff getroffen wirst, musst du das tun. 

Und dieses Jahr sagen sie nun: Angesichts der Häufigkeit, mit der man von Cyberangriffen
getroffen wird, muss man bereit sein, man muss vorbereitet sein. 

Können Sie etwas näher darauf eingehen, wie diese Vorbereitung konkret aussieht? 

Ja, es kommt häufig vor, und daher denke ich, dass das Wichtigste bei der Vorsorge darin besteht, die eigene Denkweise zu ändern
. 

Und bei dieser Denkweise geht es nicht um „ob“, „wann“ oder „wie oft“, sondern darum, dass man wirklich davon ausgehen muss
, dass man bereits angegriffen wurde. 

Wissen Sie, wir scherzen immer gerne, dass es zwei Arten von Unternehmen auf dieser Welt gibt. 

Diejenigen, die wissen, dass sie gehackt wurden, und diejenigen, die nicht wissen, dass sie gehackt wurden. 

Und auch wenn das nicht ganz stimmt – seien wir mal ehrlich: Letztes Jahr waren
in Amerika nur 60 % der Unternehmen von einem Datenleck betroffen, oder? 

Man hatte also eine Chance – eine 40-prozentige Chance –, dass man nicht gehackt wurde, aber das war nur ein
Jahr. 

Ja, Glück. 

Aber wenn man von der Annahme ausgeht, dass es zu einem Datenleck gekommen ist, 

wenn ich morgen zur Arbeit gehe, werde ich andere Entscheidungen treffen. 

Ich werde die Dinge anders betrachten, ich werde sie anders analysieren, und ich werde
hoffentlich damit beginnen, den Teamzusammenhalt zu stärken, die IT-Abteilung und die Rechtsabteilung einzubeziehen und 

über Dinge zu sprechen, die ich normalerweise nicht mit ihnen besprochen hätte. 

Also, wissen Sie, es ist schon komisch: Sie haben gesagt, dass 60 % der Unternehmen bereits Opfer eines Datenlecks geworden sind. 

Die Sache ist die: Ich habe neulich eine Statistik gelesen, wonach es im Jahr 2025 alle
14 Sekunden zu einem Cyberangriff kommen wird. 

Diese Zahl ist für mich einfach unfassbar. 

Eine weitere Zahl, die wirklich erschütternd war: Die Cyberkriminalität wird in diesem Jahr voraussichtlich 10,5
Billionen Dollar erreichen. 

Auch wenn es vielleicht nur 60 % der Unternehmen in den Vereinigten Staaten waren – man erreicht
10 Billionen Dollar nicht, ohne es auf alle abzusehen, oder? 

Es ist ja nicht so, dass sie nur das eine Prozent der Großkonzerne ins Visier nehmen, oder? 

Sie nehmen es auf alle ab. 

Um das hier einmal zu verdeutlichen: 10 Billionen Dollar – betrachtet man das aus der Perspektive des BIP verschiedener
Länder weltweit, wäre das das drittgrößte Land der Welt. 

Das ist unglaublich. 

Cyberkriminalität – das drittgrößte Land der Welt. 

Das ist unglaublich. 

Okay, ich denke, es ist jetzt an der Zeit, das Thema zu wechseln, oder? 

Wir haben also viel über die negativen Aspekte und die vielen Herausforderungen gesprochen. 

Lassen Sie uns darüber sprechen, wie wir diesen Zeitrahmen von 24 Tagen verkürzen können. 

Lassen Sie uns darüber sprechen, was Kunden tun können, um sich nicht nur von diesen Angriffen zu erholen, sondern darauf zu reagieren
und vielleicht sogar gestärkt daraus hervorzugehen. 

Wir nennen das unsere vier Säulen. 

Das ist sehr wichtig. 

Zuallererst müssen Sie also über eine tertiäre Kopie Ihrer Daten verfügen, die auf der Infrastruktur eines Drittanbieters
gespeichert ist. 

So verfügen Sie nun über eine gute, saubere Kopie, die unveränderlich und unauslöschlich ist. 

Man braucht einen Ort, an den man die Daten wiederherstellen kann – eine isolierte Recovery-Umgebung. 

Wir nennen unsere „Clean Room“. 

Das ermöglicht es Ihnen, Tests durchzuführen, was oberste Priorität hat. 

Wir werden die 24 Tage nicht verkürzen können, selbst wenn wir diese Methoden anwenden, wenn wir keine Tests
damit durchführen. 

Man braucht also einen Ort, an dem man testen kann, da man den Produktionsbetrieb nicht unterbrechen darf. 

Dort kann man auch forensische Analysen durchführen. 

Oftmals – nehmen wir mal an, es liegt gar kein Angriff vor – führt man ein neues
Cybersicherheits-Tool ein und möchte es in der eigenen Organisation testen. 

Man möchte nicht einfach Malware in der Organisation freisetzen, um zu sehen, ob sie erkannt wird. 

Und man möchte auch nicht in eine sterile Umgebung gehen, die weder
optisch noch vom Gefühl her Ihrer Produktionsumgebung ähnelt. 

Mit Commvault Cleanroom kann ich also meine Umgebung an einem sicheren Ort wiederherstellen, 

und dort Malware freisetzen, um zu sehen, wie sich die Cybersicherheitslösung verhält. 

Andererseits, wenn man angegriffen wird – wie ich es einmal erlebt habe, als es sich nicht um einen
zerstörerischen Angriff handelte –, erhielten wir die Freigabe, konnten mit der Wiederherstellung fortfahren, und die Regierung der Vereinigten 

US-Regierung schaltete sich ein und erklärte: „Sie dürfen die Daten derzeit nicht wiederherstellen.“ 

Wir haben diesen Angreifer noch nie gesehen und diese Art von Angriff noch nie erlebt. 

Deshalb wollten sie ihre eigene forensische Analyse durchführen. 

Ganz kurz: Wie sah deren SLA in diesem Fall aus? 

Ja, die haben die … 

Ja, natürlich, oder? 

Es gibt kein SLA, wenn die Regierung das macht. 

Nein, überhaupt nicht. 

Wir haben zwei Wochen gebraucht. 

Zwei Wochen, bis die Regierung ihre Nachforschungen abgeschlossen hatte. 

Wäre es also nicht toll gewesen, wenn ich Commvault Cleanroom gehabt hätte und diese Rechner in diesem Zustand wiederherstellen
und sagen könnte: „Hey, nehmt euch so viel Zeit, wie ihr wollt. 

Macht ruhig eure Bewertungen, klärt eure Angelegenheiten. 

Wir machen einfach weiter wie bisher.“ 

Ja, super. 

Wirklich großartig. 

Also habe ich dann gute Daten. 

Ich habe einen übersichtlichen Ort, an den ich die Daten übertragen kann. 

Der nächste und wichtigste Punkt ist der Cyber-Recovery-Plan, über den wir bereits gesprochen haben – das
ist großartig. 

Darin wird alles detailliert beschrieben, aber es gibt einige Dinge, die in diesen Cyber-Recovery-Plan
aufgenommen werden müssen, die sich von selbst nur sehr schwer ermitteln lassen. 

Das betrifft also die Erfassung Ihrer gesamten Anwendungszuordnungen. 

Wenn ich nur ein paar Dateien von einem Dateiserver wiederherstelle, ist mir das eigentlich egal. 

Wenn ich aber beispielsweise „Epic“ für eine Einrichtung im Gesundheitswesen wiederherstelle, das aus 32
verschiedenen Servern besteht, die alle miteinander interagieren, dann 

muss ich sie alle wiederherstellen. 

Ich muss sie alle in einem konsistenten Zustand wiederherstellen. 

Und ich hoffe, Sie haben eine Bestandsaufnahme durchgeführt, um das herauszufinden und Ihre Anwendungszuordnung zu erstellen. 

Es gibt einige Tools, die Ihnen dabei helfen, aber um ehrlich zu sein, ist das ein sehr schwieriger
Prozess. 

Ja, wie findet man heraus, dass 32 Server eine Maschine versorgen, oder? 

Und die meisten Leute sagen dann: „Na ja, das wissen wir, weil wir unsere Tier-1-Server wieder in Betrieb nehmen
werden.“ 

Das Problem ist jedoch, dass ein Tier-1-Server nur dann funktionsfähig ist, wenn man eine Reihe von Tier-3-
und Tier-4-Servern hat, die ihm tatsächlich die Daten zuführen, 

die er benötigt. 

Und der einzige Weg, das zu erreichen, ist dieser vierte Schritt: das Testen unter Chaosbedingungen. 

Ich muss in den Reinraum. 

Ich muss sicherstellen, dass ich Recoverys durchführe, diese zufällig gestalten, beobachten, was passiert, und prüfen, was nach dieser Zufallsanordnung funktioniert
und was nicht. 

Na gut, vielleicht waren nur 32 Rechner betroffen, aber ich werde 142
wiederherstellen müssen, wegen all der dort bestehenden Abhängigkeiten. 

Das sind im Grunde die vier Dinge: die Luftspaltsicherung, der Reinraum oder die isolierte Recovery-Umgebung
, 

ein Cyber-Recovery-Plan und schließlich das Testen all dessen – denn ein Cyber-Recovery-Plan ist nur ein
Stück Papier, bis man ihn tatsächlich auf die Probe stellt. 

Absolut richtig. 

Es ist nur ein Dokument, bis man es auf Herz und Nieren geprüft hat. 

Und einige der Tests, für die ich mich einsetzen würde, sollten die Kunden selbst durchführen, zum Beispiel Tabletop-Übungen
: Man setzt sich in den Sitzungssaal und bespricht, was passiert, wenn wir von Ransomware befallen werden, und was 

wir als Erstes, Zweites und Drittes tun würden? 

Wann werden wir unseren Cyber-Recovery-Plan überhaupt in Kraft setzen? 

Aber ich würde sogar noch einen Schritt weiter gehen, oder? 

Man sollte tatsächlich eine praktische Cyber-Recovery durchführen. 

Absolut. 

Hey, ich habe dieses Tool namens „AirGap Protect“, ich habe dieses Tool namens „Cleanroom“ – nun
wollen wir es mal ausprobieren, denn die Praxis ist der beste Beweis, oder? 

Stellen wir sicher, dass wir diese Workloads aus dieser tertiären Datenkopie in diesen
„Cleanroom“ wiederherstellen können, denn das ist der eigentliche Test, oder? 

Ich kann mein Unternehmen wieder zum Laufen bringen. 

Und das bringt mich zu meiner nächsten Frage: Wie legen Unternehmen überhaupt fest, was sie
für die zweite und dritte Stufe wiederherstellen wollen? 

Ich habe diesen Begriff – „Minimum Viability“ – schon oft gehört. 

Ich gehe davon aus, dass das für jede Organisation anders aussieht. 

Wie passt das zu diesen vier Säulen? 

Das ist für jede Organisation unterschiedlich, richtig, je nachdem, in welcher Branche man tätig ist
. 

Und das lässt sich nur durch Tests herausfinden. 

Ohne diese Tests bleibt es ein Rätsel. 

So oft glauben die Leute, sie wüssten, was wohin und wie gehören. 

Und ohne diese Tests, die wir jahrelang für die Recovery-Wiederherstellung durchgeführt haben – wir haben also den
Prozess. 

Wir haben ihn nur noch nicht angewendet. 

Ich meine, das ist das Verrückte daran. 

Seit Jahren, seit 30 Jahren, führen wir vierteljährliche Tests für die Recovery-Wiederherstellung und Recovery-Pläne
durch, doch weniger als 1 % aller jemals existierenden Unternehmen haben jemals eine 

Katastrophe gemeldet, und wie wir bereits sagten, hatten 60 % aller Unternehmen in Amerika im letzten Jahr
eine Sicherheitsverletzung, und niemand testet darauf. 

Niemand testet das, weil es so hochkomplex ist, oder? 

Man braucht einen Doktortitel, um den Unterschied zwischen Cyber-Recovery und Disaster Recovery zu verstehen – was heutzutage doch jeder kann
. 

Sicher. 

Ja, und es ist fast so, als würde man sich fragen: „Hey, woher soll ich überhaupt wissen, was ich bei einem Cyber-Recovery-Vorfall
teste?“, oder? 

Und ich denke, dass unsere Kunden hier bei Commvault wirklich Glück haben. 

Wir haben jetzt diesen neuen Dienst eingeführt, den „Guardian“-Dienst, und wir verstehen, dass so etwas
nicht von heute auf morgen passiert, oder? 

Wenn wir schon morgen cyberresilient sein wollten, wären wir es auch, aber so einfach ist das nun mal nicht,
oder? 

Es ist ein Prozess. 

Das braucht Zeit. 

In vielen Fällen wird man meistens Hilfe benötigen. 

Und ich denke, dieser neue Service zielt darauf ab, Kunden wirklich dabei zu helfen, 

diesen nächsten Schritt auf ihrem Weg zur Cyberresilienz zu gehen. 

Nun, und dank unseres „readi verse“ – da so viele Menschen nicht wissen, wie man eine
ordnungsgemäße Tabletop-Übung durchführt – bieten wir nun sowohl einen Führungskräfte- als auch einen technischen Teil einer 

Tabletop-Übung rund um Cybervorfälle an. 

Aber wie Sie schon sagten, ist das nur der erste Schritt. 

Jetzt muss man es tatsächlich in der Praxis umsetzen. 

Beim Militär nannten wir das einen OODA-Zyklus: Beobachten, Orientieren, Entscheiden und Handeln. 

Dabei handelt es sich um einen wiederholten Prozess, 

etwas ständig zu testen, zu bewerten, anzupassen und erneut zu testen. 

Auf diese Weise ist man besser vorbereitet, wenn tatsächlich etwas passiert. 

Nun, man hat schon so viele Zyklen aus Tests, Änderungen und Vorgehensweisen
durchlaufen, dass es für einen fast schon nur noch ein weiterer Test ist. 

Klar. 

Und so kommt man wirklich wieder auf die Beine, oder? 

Also mit diesen vier Säulen: dem Luftspalt-Schutz, dem Reinraum, dem Cyber-Recovery-Plan und dann dem Testen unter Chaosbedingungen,
richtig? 

Und wir haben… 

Wir richten uns perfekt danach aus, wie du gesagt hast. 

Wir haben sichere Kopien unserer Daten. 

Wir haben den Ort, an den unsere Daten zurückgespielt werden. 

Ach was, wenn Sie einen Cyber-Recovery-Plan benötigen, laden Sie ihn sich einfach aus dem Readiverse herunter, wie ich
bereits erwähnt habe, und passen Sie ihn an Ihre Bedürfnisse an. 

Und zu guter Letzt: Wenn du dabei Hilfe brauchst, stehen wir dir mit dem Guardian-Service zur Seite
. 

Michael, vielen Dank für deine Zeit heute. 

Das war wirklich aufschlussreich. 

Danke, Chris. 

Damit ist unser Gespräch über das Phoenix-Protokoll und darüber, wie die vier
Säulen der Cyber-Resilienz von Commvault Kunden wirklich dabei helfen, nach einem Cyberangriff 

Angriff wieder auf die Beine zu kommen.