Übungsaufgaben zum Notfallmanagement

Bei einem Ransomwareangriff gelangt Schadsoftware (Ransomware, Erpressungssoftware) in das Netz der Schule, meist über einen Mailanhang oder eine Schwachstelle (1 Punkt). Sie verschlüsselt Dateien und Datenbanken, sodass Verwaltung und Lehrkräfte nicht mehr darauf zugreifen können (1 Punkt). Die Angreifenden fordern ein Lösegeld (englisch ransom), meist in einer Kryptowährung, für den Schlüssel und drohen oft zusätzlich, vorher kopierte Daten zu veröffentlichen (1 Punkt).

Bewertung: je Zeile 1 Punkt für die Phase und 1 Punkt für eine passende, konkrete Maßnahme. Für Zeile 2 sind „Rechteausweitung“ und „Ausbreitung“ gleichwertig.

Bewertung: Zuordnung je Phase 1 Punkt (beide Maßnahmen richtig), weitere Maßnahme je Phase 1 Punkt. Die Datenerhebung in Maßnahme 2 ist die Business-Impact-Analyse.

Je Inhalt 3 Punkte (Nennung 1 Punkt, Erläuterung mit Bezug zur Schule 2 Punkte), z. B.:

• Zuständigkeiten und Notfallstab: Das Handbuch legt fest, wer den Notfall ausruft und entscheidet (Schulleitung), wer die Technik koordiniert (Schul-IT OWL) und wer vertritt. So muss im Ernstfall niemand erst klären, wer handeln darf – das Problem aus Beobachtung 4 entfällt.

• Alarmierungs- und Kommunikationsplan: Telefonliste mit Rufbereitschaft der Schul-IT OWL, Datenschutzbeauftragter und Schulträger sowie vorbereitete Texte für Lehrkräfte, Eltern und Ausbildungsbetriebe. Die Liste liegt ausgedruckt vor, weil E-Mail und Server im Notfall nicht verfügbar sein können.

• Notbetrieb: wie Anwesenheiten, Noten und Zeugnisse ohne Verwaltungssoftware weiter erfasst werden (Papierformulare, Notfall-Notebook ohne Netzverbindung), damit der Schulbetrieb weiterläuft.

• Wiederanlaufplan: Reihenfolge, in der Netz, Server und Verwaltungssoftware aus der Offline-Sicherung wiederhergestellt und geprüft werden, mit Zielzeiten.

Je Inhalt 1 Punkt, z. B.:

• Rollen und Verantwortlichkeiten im Incident-Response-Team
• Arten von Sicherheitsvorfällen und ihre Einstufung nach Schweregrad
• Reaktionsverfahren und Checklisten je Vorfallsart (z. B. Ransomware, kompromittiertes Konto)
• Regeln für interne und externe Kommunikation
• Kontaktdaten (Dienstleister, Polizei, Aufsichtsbehörde)
• Melde- und Dokumentationspflichten

Möglichst binnen 72 Stunden nach Bekanntwerden (1 Punkt) an die zuständige Datenschutzaufsichtsbehörde, in Nordrhein-Westfalen die Landesbeauftragte für Datenschutz und Informationsfreiheit (1 Punkt; Art. 33 DSGVO). Bei hohem Risiko für die Betroffenen müssen auch Schüler*innen bzw. Eltern benachrichtigt werden (Art. 34 DSGVO).

Verfügbarkeit (2 Punkte): Ausfälle des MES lassen sich trotz Schutzmaßnahmen nicht vollständig verhindern (Hardwaredefekt, Softwarefehler, Angriff). Ob das System die geforderte Verfügbarkeit erreicht, hängt deshalb wesentlich davon ab, wie schnell es nach einem Ausfall mit korrekten Daten wieder bereitsteht.

Geschäftsbetrieb (2 Punkte): Ohne MES erhalten die Zellen keine Aufträge, die Fertigung steht, Personal- und Maschinenkosten laufen weiter. Individualrahmen werden später fertig, CSB-Rad kann die zugesagte Lieferzeit von 6–8 Wochen nicht halten, Kundschaft storniert oder bewertet schlecht, und es drohen Vertragsstrafen gegenüber Händlern oder öffentlichen Auftraggebern.

• RTO (2 Punkte): die Zeit, die vom Ausfall bis zum wieder lauffähigen System höchstens vergehen darf. Spätestens 4 Stunden nach dem Ausfall muss das MES wieder Aufträge verteilen.

• RPO (2 Punkte): der höchstens hinnehmbare Datenverlust, gemessen als Zeitraum vor dem Ausfall. Nach der Wiederherstellung dürfen höchstens die Rückmeldungen der letzten Stunde fehlen; der Datenstand darf also höchstens eine Stunde alt sein.

• Begründung (1 Punkt): Nach dem technischen Wiederanlauf braucht es Zeit, um fehlende Rückmeldungen nachzuerfassen, den Stand mit dem ERP abzugleichen und die Zellen wieder anzufahren. Diese Zeit muss innerhalb der maximal tolerierbaren Ausfallzeit des Prozesses bleiben.

• RPO nicht eingehalten (2 Punkte): Fällt der Server kurz vor 22 Uhr aus, fehlen fast 24 Stunden Rückmeldungen – fast das Vierundzwanzigfache des RPO von 1 Stunde. Verbesserung (1 Punkt): Sicherung des Transaktionsprotokolls der MES-Datenbank mindestens stündlich oder laufende Replikation auf einen zweiten Server.

• RTO nicht eingehalten (2 Punkte): Schon das Zurückspielen dauert 6 Stunden statt höchstens 4; ohne Ersatzhardware kommt ein Arbeitstag Lieferzeit hinzu, sodass sogar die maximal tolerierbare Ausfallzeit von 8 Stunden überschritten wird. Verbesserung (1 Punkt): vorgehaltener Ersatzserver oder virtuelle Maschine auf einem zweiten Host, auf die per Failover umgeschaltet wird (Wiederanlauf in Minuten), oder schnellere Wiederherstellung durch Snapshots.

Zusatz (ohne Punkte): Das NAS im selben Schrank fällt bei Brand, Wasser oder Ransomware gemeinsam mit dem Server aus; eine zweite Kopie gehört an einen anderen Ort und offline (3-2-1-Regel).

Je Maßnahme 2 Punkte (Nennung 1 Punkt, Beschreibung der Wirkung 1 Punkt), z. B.:

• Monitoring: mes01, die OPC-UA-Verbindungen und die Sicherungsjobs werden laufend überwacht; bei Fehlern (z. B. Festplatte meldet Fehler, Sicherung fehlgeschlagen) wird sofort alarmiert, sodass Probleme erkannt werden, bevor ein Totalausfall eintritt.

• Regelmäßige Wiederherstellungstests: Mindestens vierteljährlich wird die Sicherung auf Testhardware zurückgespielt und die Zeit gemessen. So ist sicher, dass die Sicherung vollständig ist und der Ablauf im Ernstfall funktioniert.

• Wiederanlaufplan: eine schriftliche Schritt-für-Schritt-Anleitung mit Reihenfolge, Zugangsdaten (sicher verwahrt) und Verantwortlichen, auch ausgedruckt, damit auch eine Vertretung den Wiederanlauf durchführen kann.

• Integritätsprüfung: Prüfsummen bzw. Hashwerte der Sicherungsdateien werden bei jeder Sicherung erzeugt und vor dem Zurückspielen verglichen; so wird keine beschädigte oder manipulierte Sicherung eingespielt.

• Redundante Komponenten: zwei Netzteile, gespiegelte Festplatten (RAID 1/10), USV – sie verhindern, dass ein einzelner Defekt überhaupt eine Wiederherstellung nötig macht.

Reihenfolge (3 Punkte):

1. Betriebssystem und Netzwerkkonfiguration des Servers wiederherstellen, damit er Verzeichnisdienst und Lizenzserver erreicht.
2. Die MES-Datenbank aus der letzten konsistenten Vollsicherung zurückspielen und alle danach gesicherten Transaktionsprotokolle nachspielen.
3. Die MES-Anwendung erst starten, wenn die Prüfung der Datenbank fehlerfrei war.
4. Die Fertigungszellen einzeln wieder verbinden und prüfen, ob jede ihren aktuellen Zustand meldet.
5. Die offenen Aufträge im MES mit denen im ERP vergleichen und Unterschiede korrigieren, bevor neue Aufträge freigegeben werden.

Erläuterung (2 Punkte): Zwischen der letzten Sicherung und dem Ausfall können Aufträge im ERP neu angelegt, geändert oder storniert worden sein, und Zellen können Arbeitsschritte erledigt haben, deren Rückmeldung verloren ging. Ohne Abgleich würden Rahmen doppelt oder gar nicht gefertigt oder mit veralteten Daten (z. B. falscher Farbe) produziert.

• Lösung A entspricht einer Hot Site (laufend synchronisiert), Lösung B einer Warm Site (Infrastruktur vorhanden, Daten müssen eingespielt werden). (2 Punkte)

• Beurteilung (2 Punkte): Lösung A erfüllt RPO (höchstens 5 Minuten Datenverlust ≤ 1 Stunde) und RTO (Start der replizierten Maschine in Minuten). Lösung B verfehlt beides: Bereitstellung 2 Stunden plus Einspielen 6 Stunden = 8 Stunden > RTO 4 Stunden, und mit der nächtlichen Sicherung bis zu 24 Stunden Datenverlust > RPO 1 Stunde. Empfehlung: Lösung A; zusätzlich muss geklärt werden, ob die Fertigungszellen in Gütersloh die Maschine in Sennestadt über die Standortverbindung erreichen.

Je Maßnahme 2 Punkte (Nennung 1 Punkt, Beschreibung mit Wirkung 1 Punkt), z. B.:

• Redundanter Server mit Failover: Das LVS läuft auf zwei Servern bzw. als virtuelle Maschine in einem Cluster; fällt einer aus, übernimmt der andere automatisch, und die Lagerplatzdaten bleiben verfügbar.

• USV und Netzersatz: Server, Switches und Access Points hängen an einer unterbrechungsfreien Stromversorgung, sodass ein kurzer Stromausfall den Betrieb nicht unterbricht und Server bei längeren Ausfällen geordnet herunterfahren.

• Redundantes WLAN: überlappende Funkzellen mehrerer Access Points, damit MDE-Geräte und FTS bei Ausfall eines Access Points weiterarbeiten.

• Plausibilitätsprüfung und Sensoren: Waage oder Lichtschranke am Lagerplatz bzw. Pflichtscan des Lagerplatz-Codes bestätigen, dass ein Teil wirklich am zugewiesenen Platz liegt; Fehleinlagerungen werden sofort erkannt.

• Monitoring: Überwachung von LVS, Datenbank, Akkuständen der MDE-Geräte und FTS mit Alarm, bevor ein Ausfall eintritt.

Je Bestandteil 2 Punkte, z. B.:

• Zuständigkeiten und Alarmierung: wer bei einem LVS-Ausfall entscheidet (Bastian Ludwig als Lagerleitung), wer die IT alarmiert, wie die Rufbereitschaft erreichbar ist und wann der Notfall ausgerufen wird.

• Notbetrieb: Das LVS erzeugt laufend (z. B. stündlich) eine Lagerplatzliste als PDF, die auch ohne Server lesbar ist (ausgedruckt oder auf einem Notebook offline). Damit können Teile im Notfall manuell gefunden werden; neue Einlagerungen werden auf Papier mit Platz und Teilenummer notiert.

• Wiederanlaufplan: Reihenfolge der Wiederherstellung (Netz, Datenbank, LVS, MDE-Geräte, FTS) mit Zielzeiten und den Schritten zur Nacherfassung der im Notbetrieb notierten Bewegungen.

• Maßnahmenplan für typische Fehler: Checklisten, z. B. für den Ausfall eines Access Points, des FTS oder der Datenbank.

• Kommunikation: wer Montage, Versand und Kundschaft über Verzögerungen informiert.

1. Lokal puffern: Das Rad speichert die Meldungen während der Unterbrechung in einem nichtflüchtigen Speicher, jeweils mit Zeitstempel und fortlaufender Nummer, damit nichts verloren geht.
2. Lücke erkennen: Nach dem Wiederverbinden vergleicht der Server die zuletzt empfangene Nummer mit der aktuellen und stellt fest, welche Meldungen fehlen.
3. Nachübertragen: Das Rad sendet die gepufferten Meldungen (älteste zuerst); erst wenn der Server den Empfang bestätigt, löscht das Rad sie aus dem Puffer.
4. Abgleichen: Der Server sortiert die Meldungen nach Nummer bzw. Zeitstempel ein und verwirft Dubletten; der aktuelle Zustand (z. B. Schloss geschlossen) wird aus der neuesten Meldung gebildet.
5. Prüfen: Abschließend wird geprüft, ob die Nummernfolge lückenlos und die Werte plausibel sind (Integritätsprüfung).

Bewertung: mindestens drei sinnvolle Schritte in richtiger Reihenfolge, je Schritt 2 Punkte (Benennung und Erläuterung).

• Es fehlt die Meldung 2044 (1 Punkt); der Server fordert sie erneut an.
• Doppelt kam die Meldung 2042 (1 Punkt); die zweite wird verworfen.
• Gespeicherte Reihenfolge: 2041, 2042, 2043, (2044 nach Nachlieferung), 2045, 2046, 2047 (1 Punkt).

Bewertung: je Tätigkeit 1 Punkt für Phase und Platz. Auch die Reihenfolge B vor D ist richtig, wenn begründet wird, dass das sofortige Trennen die Ausbreitung stoppt und die Analyse danach erfolgt; die erste Analyse beginnt in der Praxis meist schon mit der Meldung.

• NIS-2/BSIG (2 Punkte): Die Meldepflichten an das BSI gelten für besonders wichtige und wichtige Einrichtungen bestimmter Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz (und Jahresbilanzsumme). Als Fahrradhersteller gehört CSB-Rad grundsätzlich zu einem erfassten Sektor (verarbeitendes Gewerbe, sonstiger Fahrzeugbau, NACE C30; NIS-2-Richtlinie Anhang II bzw. Anlage 2 BSIG), ausgeschlossen wird die Pflicht nur durch die Größe: CSB-Rad liegt mit 38 Beschäftigten und 9,6 Mio. € darunter und ist daher voraussichtlich nicht meldepflichtig; eine freiwillige Meldung an das BSI ist möglich.

• DSGVO (2 Punkte): Auf dem PC wurden personenbezogene Daten der Kundschaft verarbeitet. Kann ein Zugriff oder Abfluss nicht ausgeschlossen werden, liegt eine Verletzung des Schutzes personenbezogener Daten vor. CSB-Rad muss sie möglichst binnen 72 Stunden nach Bekanntwerden der Datenschutzaufsichtsbehörde (in NRW der Landesbeauftragten für Datenschutz und Informationsfreiheit) melden (Art. 33 DSGVO), außer der Vorfall führt voraussichtlich nicht zu einem Risiko für die Betroffenen; bei hohem Risiko auch die Kundschaft benachrichtigen (Art. 34 DSGVO).

Zusatz (ohne Punkte): Eine Anzeige bei der Polizei (Zentrale Ansprechstelle Cybercrime) und die Information der Cyberversicherung sind sinnvoll.