Rollen klären, Krisen führen

In den ersten Stunden einer IT-Krise ist nicht die Technik der knappste Faktor, sondern Klarheit. In fast jeder Lagebesprechung wird die Frage gestellt, wer entscheidet, wer meldet, wer den Dienstleister anruft und wer die Presse bedient. Zu oft wird sie erst dann beantwortet, wenn wertvolle Zeit verloren ist, die sich nicht zurückholen lässt. Die Telefonliste liegt auf dem verschlüsselten Fileserver, die Stellvertretung ist im Urlaub und die Zuständigkeit für die Meldung an die Aufsichtsbehörde ist zwar irgendwo geregelt, aber niemand weiß genau, wo. Genau hier setzt das Rollenregister an. Es ist ab sofort verfügbar und steht hier zum Download bereit:

Warum ein Rollenregister

Ein Notfallhandbuch beschreibt, was im Notfall zu tun ist. Ein Rollenregister beschreibt, wer diese Aufgaben übernimmt. Beide Aspekte gehören zusammen, und doch fehlt das Zweite erstaunlich oft oder bleibt auf der Ebene „Krisenstab plus IT“ stehen. Die Erfahrung aus realen Lagen und Übungen zeigt eindeutig: Die Bewältigungsfähigkeit entsteht nicht durch die Existenz von Plänen. Sie entsteht durch eindeutig zugeordnete Rollen, erreichbare Personen und benannte Stellvertretungen. Das Register macht diese Zuordnung vor dem Ereignis sichtbar, also zu einem Zeitpunkt, an dem sie noch mit Ruhe und ohne Zeitdruck getroffen werden kann.

Normbezug: international anschlussfähig, begrifflich nach BSI

Das Register ist an den einschlägigen Rahmenwerken ausgerichtet:

• NIST: Die NIST SP 800-61 Rev. 3 empfiehlt, sämtliche Rollen und Verantwortlichkeiten der Incident Response in den Richtlinien der Organisation zu dokumentieren (NIST SP 800-61r3).
• ENISA: Die technische Umsetzungsleitlinie der ENISA zur NIS-2-Richtlinie verlangt eine Richtlinie zur Vorfallbehandlung mit Rollen, Verantwortlichkeiten und Verfahren. Für Sicherheitsrollen fordert sie ausdrücklich die Erreichbarkeit im Vorfall (ENISA Technical Implementation Guidance).

Die Begriffe folgen jedoch konsequent dem BSI-Standard 200-4: Störung, Notfall und Krise, allgemeine und besondere Aufbauorganisation (AAO und BAO), Stab, Stabsassistenz und Bewältigungsteams. Diese Entscheidung ist bewusst getroffen. Wer im Ereignis mit Landes-CERT, BSI, Katastrophenschutz und Dienstleistern kommuniziert, braucht eine gemeinsame Sprache und keine Übersetzungsleistung unter Zeitdruck.

Für den Einsatz und für Übungen

Das Register ist für zwei Situationen vorgesehen: den Ernstfall und die Übung. In beiden Fällen gelten die gleichen Anforderungen. Es muss funktionieren, wenn die IT ausfällt und niemand vorgewarnt wurde. Deshalb ist es als druckfähiges Dokument angelegt. Es wird ausgefüllt, dem IT-Notfallhandbuch beigefügt und dort hinterlegt, wo der Stab zusammentritt. Eine Übung, bei der Netzwerk, E-Mail, Telefonanlage und Verzeichnisdienste ausgefallen sind, prüft genau diese Papierrückfallebene. Eine unangekündigte Übung zeigt, ob die eingetragenen Personen tatsächlich erreichbar sind und ihre Rolle kennen.

Aufbau: 112 Rollen auf vier Ebenen

Das Register umfasst 112 Rollen. Jede Rolle hat eine Kurzbeschreibung, die Aufgaben, Befugnisse und Schnittstellen verdichtet, sowie Felder für Name, Telefon und Mail. Die Rollen sind auf vier Ebenen verteilt.

Operativ-technische Ebene (41 Rollen). Hier wird der Vorfall bearbeitet. Das Bewältigungsteam IT ist nach Funktionen gegliedert:

• Führung, Steuerung, Dokumentation: Leitung Bewältigungsteam IT, Incident Manager/in, Service Desk, Technisches Einsatztagebuch, IT-Koordinator/in zum kommunalen Dienstleister
• Betrieb und Wiederherstellung: System-, Netzwerk- und Datenbankadministration bis hin zum Clean Build aus vertrauenswürdigen Quellen
• Detektion, Meldung, Analyse und Forensik: von SOC und Meldekopf bis zur Digitalen Forensik

Hinzu kommen weitere Bewältigungsteams, etwa für Bürgerservices, Kommunikation, Beschaffung und Vergabe, sowie operative Unterstützungs- und Hilfskräfte.

Strategisch-führende Ebene (24 Rollen). Dazu gehören:

• Hausleitung und Governance, darunter Hauptverwaltungsbeamte/r, CISO und Chief Resilience Officer
• die BC-Vorsorgeorganisation in der AAO
• der Verwaltungsstab als BAO mit seinen Stabsfunktionen
• die Stabsassistenz mit Protokollierung, Lagebild, Aufgabenkoordinierung und Backoffice

Spezialisierte Ergänzungsfunktion (24 Rollen). Diese Rollen werden lageabhängig hinzugezogen:

• Informationssicherheit, Datenschutz, Compliance und Risiko
• die situative Erweiterung des Stabs, etwa um Recht, Finanzen und psychosoziale Notfallversorgung
• institutionsspezifische Fachfunktionen wie Wahlamt, Leitstelle oder Jobcenter
• Mitbestimmung und Beteiligung

Externe Stellen und Behörden (23 Rollen). Dazu gehören:

• Cybersicherheits-, Datenschutz- und Fachaufsicht
• Strafverfolgung, Justiz und Nachrichtendienste
• Bevölkerungsschutz, Gefahrenabwehr und Bundeswehr
• Dienstleister, Lieferanten, Versicherer und Berater

Ausfüllen: intern, Dienstleister, Akteure

Das Register entfaltet seinen Wert erst im ausgefüllten Zustand. Für jede Rolle wird eine verantwortliche Person sowie mindestens eine Stellvertretung eingetragen. Damit wird die Forderung des BSI-Standards 200-4 nach mehreren Stellvertretungen in der Stabsleitung und je mindestens einer Stellvertretung für die Stabsmitglieder erfüllt. Wird eine Rolle nicht intern vorgehalten, wird der zuständige Dienstleister mit den vereinbarten SLAs eingetragen. Bei externen Akteuren wie dem Landes-CERT, der Zentralen Ansprechstelle Cybercrime, der Datenschutzaufsicht oder dem Versicherer genügt nicht die Institution. Es muss auch der konkrete Kontaktweg angegeben werden, der außerhalb der Dienstzeit und ohne die eigene IT funktioniert.

Worst Case als Planungsannahme

Es gibt zwei naheliegende Missverständnisse. Erstens werden nie alle 112 Rollen gleichzeitig aktiviert. Welche Rollen benötigt werden, hängt von der jeweiligen Situation ab. Zweitens muss nicht jede Rolle von einem eigenen Menschen besetzt werden. In einer kleinen Gemeinde fallen mehrere Rollen in einer Person zusammen. Entscheidend ist, dass diese Bündelung bewusst erfolgt, dokumentiert ist und keine unvereinbaren Funktionen vereint werden, etwa Durchführung und Kontrolle. Das Register geht vom Worst Case aus, also einem lang andauernden, mehrere Bereiche betreffenden Ereignis mit externer Beteiligung. Wer für diesen Fall vorgesorgt hat, kann die Maßnahmen für kleinere Lagen reduzieren. Der umgekehrte Weg funktioniert unter Druck nicht.

Bündelung nach Situationen

Auf der letzten Seite des Registers sind die Rollen nach drei Situationen, die in jeder Lage am Anfang stehen, gebündelt. „Notfall feststellen”, „Krise feststellen” und „Meldungen absetzen”. Für jede dieser Situationen ist erkennbar, wer entscheidet, wer durchführt, wer mitwirkt, wer berät und wer informiert wird. Die zugehörigen Abläufe sind ausgearbeitet und am BSI-Standard 200-4 ausgerichtet. Sie werden in einem der nächsten Beiträge vorgestellt.

KRITIS- und NIS-2-Rollen, Rechtsbezüge

Das Register enthält eigene Rollen für die Leitung regulierter Einrichtungen sowie für NIS-2-/KRITIS-Beauftragte bzw. registrierte Kontaktstellen. Diese Rollen sind ausdrücklich auf regulierte Einrichtungen beschränkt. Die kommunale Kernverwaltung fällt nicht unter das BSI-Gesetz. Kommunale Eigenbetriebe und Unternehmen können jedoch erfasst sein, wenn sie kritische Anlagen betreiben oder die Schwellenwerte überschreiten. Aus diesem Grund sind die BSI-Meldepflicht nach § 32 BSIG und die KRITIS-Rolle im Register mit den Einschränkungen „soweit anwendbar“ bzw. „für regulierte Einrichtungen“ versehen. Weitere Rechtsbezüge betreffen:

• die Meldung und Benachrichtigung nach Art. 33 und 34 DSGVO
• die Amtshilfe nach Art. 35 GG
• die förmliche Verpflichtung nicht beamteter Kräfte nach dem Verpflichtungsgesetz

Diese Angaben ersetzen keine juristische Prüfung im Einzelfall. Welche Pflichten für welche Einheit gelten, ist vor dem Ereignis zu klären und im Notfallhandbuch festzuhalten.

Verbindung zum Dialog für Cybersicherheit

Das Rollenregister ist eng mit der Arbeitsgruppe RESI im Dialog für Cybersicherheit des BSI verbunden. RESI steht für das „Cyberresilience-Framework. In IT-Krisen schneller agieren“. Die Arbeitsgruppe verfolgt das Ziel, Kommunen zu befähigen, im Falle eines Cyberangriffs schneller und wirksamer zu reagieren. Sie hat bislang zwei Handreichungen veröffentlicht: RESI 1 mit dem kommunalen Ransomware-Szenario und RESI 2 mit dem kommunalen DDoS-Szenario. Im Rollenmodell (RESI3) der AG RESI wird das Register ausführlich beschrieben. Dort werden die Rollen untereinander verknüpft und perspektivisch den Abläufen von RESI 1 und RESI 2 zugeordnet. So wird nachvollziehbar, welche Rolle in welcher Phase eines Szenarios mit wem zusammenarbeitet.

Der Erfa-Kreis auf Discord

Ein Register dieser Art ist nie fertig. Es lebt von Rückmeldungen aus der Praxis. Für diesen Austausch gibt es den Erfa-Kreis auf Discord: Erfa-Kreis Notbetrieb.

Der Name ist bewusst gewählt. Erfahrungsaustauschgruppen, kurz Erfa-Gruppen oder Erfa-Kreise, stammen aus der Unternehmenspraxis. Dort treffen sich Verantwortliche nicht miteinander konkurrierender Organisationen regelmäßig, um Erfahrungen und Probleme auszutauschen, die Isolation des Einzelnen zu überwinden und voneinander zu lernen. Kommunen konkurrieren nicht miteinander. Sie stehen aber vor denselben Fragen, und genau daraus entsteht der Wert des Austauschs.

Die Fachkanäle sind:

• #rollenregister
• #vereinbarungen
• #priorisierung
• #minimalbetrieb
• #ausweichverfahren
• #umfragen

Ergänzt werden sie durch Sprachkanäle für Blogmember und für Blogsupporter.

Viel Freude und gute Gespräche beim Ausfüllen

Das Rollenregister beantwortet die Frage nach dem „Wer“, bevor sie im Ereignis gestellt wird. Es ist international anschlussfähig, folgt in der Begrifflichkeit dem BSI-Standard 200-4 und ist für Einsatz und Übung gleichermaßen gebaut. Es steht unter CC BY-NC-SA kostenlos zur Verfügung. Hinweise, Ergänzungen und Erfahrungen aus der Anwendung sind ausdrücklich erwünscht.