Wenn der Stecker
gezogen werden muss
Warum BCM kein Papiertiger sein darf
Die kritische PHP-Sicherheitslücke „PHP2Shell“ hat Kliniken, Behörden und Hochschulen gezwungen, ihre Webseiten vom Netz zu nehmen. Ein Update schließt die Lücke – doch die eigentliche Lehre liegt in den Stunden davor. Ein Kommentar von Silke Menzel, BCM-Expertin bei HiScout.
Ein Kommentar von Silke Menzel, BCM-Expertin, HiScout GmbH.
In der vergangenen Woche mussten zahlreiche Organisationen ihre Webseiten vorsorglich abschalten, darunter die Berliner Charité, Feuerwehren, Behörden und Universitäten. Grund war „PHP2Shell“, eine kritische Lücke in PHP. Die Skriptsprache läuft unter einem großen Teil aller Webseiten, auch unter WordPress. Das BSI warnte eindringlich. Inzwischen schließt ein Update die Lücke. Die Lage scheint also im Griff.
HiScout und seine Fachexperten sehen das anders. Die eigentliche Lehre dieser Woche steckt nicht im Patch. Sie steckt in den Stunden davor.
Abschalten ist eine Entscheidung und kein Reflex
Eine Webseite vorsorglich vom Netz zu nehmen, ist richtig und verantwortungsvoll. Diese Entscheidung muss aber jemand treffen dürfen, und zwar schnell. Doch dieser „Jemand“ muss im Vorfeld als verantwortlich benannt worden sein. Und es muss vorher klar sein, was in so einem Szenario passiert und dann noch funktioniert. Wie erreichen Patientinnen und Patienten ihre Klinik? Wo finden Bürgerinnen und Bürger Notfallinformationen? Was passiert mit Terminbuchungen, Formularen und Schnittstellen, die an der Webseite hängen?
Genau hier zeigt sich, ob ein Business Continuity Management gelebt wird oder nur im Aktenordner steht. Viele Organisationen haben ein Notfallhandbuch. Deutlich weniger haben eines, das zur aktuellen IT-Landschaft passt, dessen Ansprechpartner noch im Haus sind und das jemals geübt wurde.
Präventiv: Wissen, was an der Webseite hängt
Ein wirksames BCM beginnt nicht mit der Krise, sondern mit der Business-Impact-Analyse. Welche Prozesse hängen an welchem System? Wie lange darf ein Dienst ausfallen, bevor Schaden entsteht? Welche Abhängigkeiten gibt es zu Dienstleistern, Hostern und Plugins? Wer diese Fragen beantwortet hat, weiß im Ernstfall sofort:
- welche Systeme betroffen sind,
- welche Ausweichlösungen greifen – etwa eine statische Notfallseite, alternative Kommunikationskanäle oder telefonische Erreichbarkeit,
- wer entscheidet, wer informiert und wer umsetzt.
Die Verknüpfung mit dem Informationssicherheitsmanagement ist dabei kein Nice-to-have. Schwachstellenmanagement, Patch-Prozesse und eine aktuelle Asset-Übersicht liefern die Grundlage, auf der ein Notfallplan überhaupt handlungsfähig wird.
Reaktiv: Der Plan muss im Kopf sein, nicht nur im Dokument
Und wenn der: „Was wäre Wenn…?“-Ernstfall eintritt, dann muss es schnell gehen und niemand liest jetzt erst einmal ein 80-seitiges Handbuch. Es braucht klare Alarmierungswege, vorbereitete Checklisten und eingeübte Rollen. Die Kommunikation muss stehen, nach innen wie nach außen. Und der Weg zurück in den Normalbetrieb muss geordnet sein: Nach dem Patch geht es nicht einfach wieder online. Erst muss geprüft werden, ob das System in der Zwischenzeit kompromittiert wurde.
All das funktioniert nur, wenn es regelmäßig geübt, überprüft und aktualisiert wird. Ein Notfallplan, der nie getestet wurde, ist eine Annahme und kein Plan.
Regulierung macht Pflicht daraus
Mit NIS-2, DORA und dem KRITIS-Dachgesetz ist Business Continuity nach BSI-200-4 oder nach der ISO 22301 für viele Organisationen keine Kür mehr. Gerade Kliniken, Behörden und Betreiber kritischer Dienstleistungen müssen nachweisen, dass sie handlungsfähig bleiben. Dieser Nachweis gelingt nur, wenn BCM als fortlaufender, gelebter Managementprozess verstanden wird und nicht als einmaliges Projekt.
Mein Fazit
Die PHP2Shell-Lücke war nicht die erste ihrer Art und wird nicht die letzte sein. Ein Ausfall lässt sich nicht immer verhindern. Ob er zur Krise wird, liegt aber in der Hand der Organisation. Wer in der vergangenen Woche ruhig und souverän reagiert hat, hatte kein Glück – sondern war vorbereitet.
Business Continuity Management ist kein Dokument. Es ist eine Fähigkeit.
Über die Autorin
Silke Menzel ist BCM-Expertin bei der HiScout GmbH und berät Organisationen beim Aufbau und Betrieb eines gelebten Business Continuity Managements nach BSI-Standard 200-4.
Silke Menzel, Produktmanagement, HiScout GmbH
