15. Wiederherstellung eines CMS nach einem Cyberangriff

Mit Wiederherstellung ist nicht lediglich gemeint, eine Sicherungskopie wieder einzuspielen. Gemeint ist die kontrollierte Rückführung des CMS in einen sicheren und vertrauenswürdigen Betriebszustand.

Dazu gehören insbesondere:

• betroffene Systeme isolieren
• Angriff und Eintrittsweg untersuchen
• Schadsoftware und Hintertüren identifizieren
• Beweise und Protokolle sichern
• Zugangsdaten und Schlüssel ändern
• Systeme gegebenenfalls vollständig neu aufsetzen
• Sicherheitslücken schließen
• saubere Daten und Inhalte aus geprüften Backups wiederherstellen
• Integrität der Daten kontrollieren
• Funktionen und Berechtigungen testen
• System überwacht wieder in Betrieb nehmen
• Melde- und Informationspflichten prüfen

Meldepflichten

Sind personenbezogene Daten betroffen, ist die Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art. 33 DSGVO). Bei einem voraussichtlich hohen Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO).

Gehört der Betreiber zu den besonders wichtigen oder wichtigen Einrichtungen im Sinne des BSI-Gesetzes, gelten seit dem 06.12.2025 außerdem die Meldepflichten gegenüber dem BSI nach § 32 BSIG: eine erste Meldung spätestens nach 24 Stunden, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach.

Anforderungen an das Backup

Ein Backup gilt nur dann als geeignete Wiederherstellungsquelle, wenn es:

• vor der Kompromittierung erstellt wurde
• nicht ebenfalls manipuliert ist
• vollständig ist
• technisch wiederherstellbar ist
• regelmäßig getestet wurde

Das BSI behandelt den Umgang mit Sicherheitsvorfällen im IT-Grundschutz-Kompendium, insbesondere im Baustein DER.2.1 „Behandlung von Sicherheitsvorfällen“. Es empfiehlt ein strukturiertes und vorab geplantes Vorgehen, das von der Eindämmung über Analyse und Bereinigung bis zur Wiederherstellung und Nachbereitung reicht.