„Ich habe in 3 Wochen 11 Kilo abgenommen“ – Tim Brown, CISO von SolarWinds

Kontext:

Dieses Interview wurde mit Tim Brown geführt, CISO von SolarWinds vor dem Sunburst-Vorfall, während des Krisenmanagements und auch danach weiterhin im Amt. Das Gespräch umfasst drei zentrale Phasen:

• Vor dem Vorfall: wie das Sicherheitsprogramm und die bereichsübergreifenden Beziehungen strukturiert waren

• Während des Vorfalls: wie die Kompromittierung entdeckt, die Reaktion organisiert wurde und wie sich die Rolle des CISO unter Druck veränderte

• Nach dem Vorfall: was sich änderte, um von einem „angemessenen“ zu einem „vorbildlichen“ Programm zu gelangen, und wie das Vertrauen wiederhergestellt wurde

Ein auf Threatlink veröffentlichter Artikel beschreibt den Cyberangriff im Detail hier

Ziel dieses Artikels ist es, die wichtigsten Punkte zusammenzufassen. Für weitere Details lohnt sich ein Blick in das Video.

1) Incident Response auf Menschen und Beziehungen aufbauen, nicht nur auf Prozessen

Ein Plan auf dem Papier allein reicht nicht aus, um einen schwerwiegenden Vorfall zu bewältigen. Die Wirksamkeit der Reaktion beruhte auf:

• Bereits etablierten Arbeitsbeziehungen zwischen Engineering, Rechtsabteilung, Marketing, Kommunikation, Produkt und Geschäftsleitung

• Regelmäßigem Austausch mit der Führungsebene und dem Vorstand

• Routine, die durch die Behandlung kleinerer Vorfälle als echte Vorfälle gewonnen wurde

  
  

Schwerwiegende Vorfälle scheitern oft daran, dass Teams unter hohem Druck zum ersten Mal zusammenarbeiten müssen. Eine vorherige Abstimmung hat dieses Risiko verringert.

2) „Kleine“ Probleme als Vorfälle behandeln, um auf den Ernstfall vorbereitet zu sein

Von Kunden gemeldete Schwachstellen wurden als Vorfälle behandelt und von der Meldung bis zur Lösung nachverfolgt. Begrenztere Ereignisse (zum Beispiel gestohlene Geräte oder länderspezifische Meldepflichten) wurden über dieselben Abläufe bearbeitet, die später im großen Maßstab zum Einsatz kamen.

So entstanden wiederholbare Reflexe: wen man anruft, wie man eskaliert und wie man Rechtsabteilung und Kommunikation koordiniert.

3) Die Reaktion schnell strukturieren, Verantwortlichkeiten klar verteilen und nicht alles infrage stellen

Die Entdeckung erfolgte abrupt am 12. Dezember, mit rund 24 Stunden Vorbereitungszeit bis zum Bekanntwerden in der Öffentlichkeit. Die Reaktion funktionierte dank einer klaren Aufteilung der Verantwortlichkeiten:

• Kommunikation: gesteuert vom Marketingteam

• Recht: verantwortet von der Rechtsabteilung, einschließlich des Austauschs mit den Strafverfolgungsbehörden

• Engineering: konzentriert auf die Kompromittierung des Build-Prozesses

• IT: fokussiert auf die Eintrittsvektoren und die Instrumentierung

Eine externe Krisenkoordination half dabei, die Meetings zu moderieren, die Arbeitsstränge zu organisieren und die Umsetzung aufrechtzuerhalten. Die Handlungsgeschwindigkeit beruhte auf dem Vertrauen in die Verantwortlichen der einzelnen Arbeitsstränge statt auf ständigem Hinterfragen.

4) Die Rolle des CISO als Übersetzer, Vermittler und Problemlöser definieren

In einer Krise dieses Ausmaßes übernahm der CEO die Führung, denn es stand das Unternehmen selbst auf dem Spiel.

Das Krisenmanagement und die Koordination des Incident-Response-Teams wurden von der Anwaltskanzlei DLA Piper gesteuert. Angesichts des Ausmaßes und der Auswirkungen des Angriffs war es entscheidend, sich auf externe Experten mit der nötigen Erfahrung und den richtigen Reflexen zu stützen, insbesondere um den Austausch mit den Behörden (FBI, NSA) und verschiedenen Regierungen zu koordinieren.

Tims Rolle entwickelte sich daraufhin hin zu:

• Der Übersetzung technischer Sachverhalte in umsetzbare Entscheidungen für das Management

• Der Freigabe dessen, was öffentlich kommuniziert werden konnte

• Der Pflege wichtiger externer Beziehungen, insbesondere zur CISA

• Dem Austausch mit Regierungen und Großkunden, die mit dem CISO sprechen wollten

• Der Beseitigung operativer Blockaden, die die Behebung verlangsamen konnten

Die personelle Tiefe des Sicherheitsteams war entscheidend, denn der laufende Betrieb musste weitergehen, während die Führung durch die Krise gebunden war.

5) Von „angemessener“ zu „vorbildlicher“ Sicherheit übergehen und das Vertrauen mit Fakten wiederherstellen

Ein „angemessenes“ Sicherheitsprogramm reicht gegen einen staatlichen Angreifer nicht aus. Nach dem Vorfall beruhten die Weiterentwicklungen auf der Annahme einer Kompromittierung und auf der Begrenzung der Auswirkungen eines einzelnen Akteurs, insbesondere durch:

• Eine dreifache Build-Umgebung

• Mehrfache Redundanzkontrollen

• Mechanismen, die mehrere interne Personen erfordern, um Builds zu beeinflussen

Die Wiederherstellung des Vertrauens wurde anhand der Kundenverlängerungsraten gemessen:

• Rund 92 % vor dem Vorfall

• Ein Rückgang auf rund 80 % während der Krise

• Ein Anstieg auf 98 % in einem späteren veröffentlichten Quartal

Transparenz und kontinuierliche Kommunikation lieferten den Kunden die sachlichen Argumente, um ihr Festhalten an SolarWinds zu rechtfertigen.

Fazit

SolarWinds ist zu einem Paradebeispiel dafür geworden, wie man mit einem Cyberangriff durch einen anderen Staat umgeht. Durch seine Entscheidung für Transparenz ermöglicht Tim der gesamten Cyber-Community, daraus zu lernen: ein Fall, in dem die tägliche Vorbereitung durch konsequente Disziplin im Incident Management, eine schnelle und klare Rollenverteilung in der Krise und eine architektonische Härtung nach dem Vorfall die Wiederherstellung ermöglicht haben.

Er blickt zudem auf KI als nächsten Wendepunkt, an dem Resilienz eine Neuarchitektur der Systeme erfordern könnte, die über das hinausgeht, was allein von Menschen beherrschbar ist.