DiewandelndeInnenwand

Der Anruf kam, als die Lage schon alt war

Der Klinikverbund rief an, weil ein Domain-Controller plötzlich nachts Verbindungen zu einem Ziel in einem Nachbarland zeigte. Wir hatten den Verkehr drei Wochen zuvor in der wöchentlichen Differenzliste benannt und als „möglicher Herstellerkanal“ markiert. Niemand hatte ihn zugeordnet. Die Markierung war der beste Hinweis, den das Haus hatte — sie wurde in einem Meeting verhandelt und verschwand im Protokoll eines Gremiums, das niemanden zum Handeln verpflichtete.

Das ist der Punkt, an dem Forensik anfängt, bevor ein Angreifer da ist: Nicht die Frage „Wer war es“, sondern „Welche Zeichen hat das Haus schon gesehen, und wohin hat es sie gelegt?“ Eine Organisation, die gute Zeichen in schlechte Ablagen legt, braucht keine neue Sensorik. Sie braucht eine Regel, die Zeichen an Personen bindet.

Was die Beweiskette getragen hat

Wir haben den Zugang über vier Quellen zusammengebaut: Gateway-Logs, die ihn seit 2019 sehen, ein Ticketsystem, das drei Wartungsfenster kennt, ein Identitätsverzeichnis, in dem die Gruppe „Vendor-Op“ seit 2021 Mitgliederwechsel hat, und das Schichtbuch des SOC, das zwei Anrufe wegen dieses Ziels nennt. Jede Quelle hat einen Eigentümer, jede Abfrage ein Protokoll mit Zeitstempel. Die Kette ist deshalb belastbar, weil sie aus Belegen besteht, die das Haus selbst schreibt — nicht aus Exporten, die wir bei Bedarf erzeugen.

Der Zugang wurde nicht gesperrt, das hätte den Betrieb zweier Häuser gestoppt. Er wurde auf ein Zeitfenster gesetzt, mitbenutzbar nur mit Ticketnummer, und die Grundrate wurde auf null gedreht: Jede Nutzung außerhalb des Fensters ist seither ein Alarm mit Namen. Das ist eine Entscheidung, die ein Betrieb tragen kann, weil sie den Nutzen erhält und das Risiko sichtbar macht.

Die Lehre für den Meldeplan

Zeichen brauchen eine Adresse. Wir haben für den Verbund eine Pflicht eingeführt, die in jedem SOC-Vertrag steht: Jede Markierung, die eine Lage berührt, bekommt innerhalb von 24 Stunden eine Person und eine Frist. Die Frist darf lauten „nächste Sitzung“, dann steht sie mit Datum im Register. Was keine Person findet, wird gelöscht, und die Löschung steht im Register. Das ist die ganze Mechanik, und sie ist unbeliebt, weil sie Arbeit macht.