NIS2-Compliance braucht krisenfeste Kommunikation

Warum sichere Out-of-Band-Kanäle über Handlungsfähigkeit, Meldefähigkeit und Resilienz im Cybernotfall entscheiden.

Formale Compliance reicht nicht aus: Fällt die primäre IT-Infrastruktur aus, entscheidet die Qualität sicherer Out-of-Band-Kommunikationswege über die Handlungsfähigkeit von Organisationen.

Mit der Umsetzung der europäischen NIS2-Richtlinie stehen tausende Unternehmen in Deutschland vor der Aufgabe, ihre Cybersicherheit auf ein gesetzlich gefordertes Niveau zu heben. Registrierungspflichten, Risikomanagement und dokumentierte Sicherheitsrichtlinien bilden die Basis. In der Praxis zeigt sich jedoch eine deutliche Trennlinie zwischen der Erfüllung regulatorischer Vorgaben und der tatsächlichen Handlungsfähigkeit im Ernstfall. Cyberangriffe verlaufen selten nach vorgefertigten Schemata. Verschlüsselt Ransomware die Netzwerke, fallen E-Mail-Server aus oder werden zentrale Identitätsdienste kompromittiert, stößt rein dokumentarische Compliance schnell an ihre Grenzen.

Der Zeitdruck der Pflichten trifft auf die Realität des Angriffs

Im Zentrum von NIS2 stehen strengere Meldepflichten bei erheblichen Sicherheitsvorfällen. Diese Reaktionsfenster setzen ein funktionierendes Zusammenspiel aller Beteiligten voraus – selbst unter extremen Bedingungen.

Für Benjamin Schilz, CEO von Wire, ist entscheidend, ob ein Sicherheitsvorfall erkannt und innerhalb enger Fristen bewertet werden kann. Insbesondere sei ausschlaggebend, ob die Organisation auch unter Druck kontrolliert handlungsfähig bleibt. “Das funktioniert nur, wenn Zuständigkeiten, Meldewege und Kommunikationskanäle vorher geklärt und ausreichend etabliert wurden.“

In vielen Organisationen wiegt die erfolgreiche Absolvierung von Audits jedoch in einer trügerischen Sicherheit. Ein Audit prüft meist dokumentierte Soll-Zustände, während ein realer Incident durch Chaos und Unwägbarkeiten geprägt ist. „Auf dem Papier sind viele Organisationen gut vorbereitet. Im Idealfall wissen Verantwortliche wer wann über welche Kanäle aktiv wird. Ein realer Angriff folgt jedoch selten dem Ablauf eines Audits“, betont Schilz.

Schatten-IT unter Krisendruck

Fällt die primäre Kommunikationsinfrastruktur aus, weichen Teams intuitiv auf Ausweichkanäle aus. Fehlen hierfür etablierte, sichere Alternativen, entsteht genau im kritischen Moment eines Angriffs ein gravierendes Zusatzrisiko.

„Ist das E-Mail-System betroffen, wechseln Teams auf Messenger. Kann ein externer Berater nicht auf die interne Plattform zugreifen, erhält er Dateien über einen kurzfristig eingerichteten Link. Muss die Geschäftsführung schnell entscheiden, entsteht eine neue Chatgruppe auf privaten Geräten. Genau hier zeigt sich die eigentliche Lücke.”

In einer von Wire in Auftrag gegebenen Erhebung gaben 48 Prozent an, sensible Informationen zumindest gelegentlich über ungeeignete Kanäle zu teilen. Bei 61 Prozent blieben Zugriffsberechtigungen auf gemeinsam genutzte Dateien länger aktiv als vorgesehen.

„Viele Unternehmen reagieren auf unsichere Kommunikationswege mit neuen Richtlinien und zusätzlichen Schulungen. Das ist verständlich, löst aber nicht das grundlegende Problem“, erklärt Schilz. Striktere Vorgaben allein verhindern jedoch keine Umgehungstatbestände, wenn die bereitgestellten Tools im Alltag versagen. Schatten-IT im Krisenfall ist selten das Resultat mutwilliger Regelverstöße, sondern das Ergebnis mangelnder Praxistauglichkeit der Notfallsysteme.

„Mitarbeitende greifen häufig auf private Messenger, persönliche E-Mail-Konten oder frei verfügbare Dateidienste zurück, wenn die offiziellen Lösungen ihre Arbeit erschweren. Das betrifft vor allem die Zusammenarbeit mit externen Beteiligten, mobile Teams und Situationen mit hohem Zeitdruck. Ein System, das im normalen Arbeitsalltag als zu kompliziert empfunden wird, setzt sich in einer Krise nicht plötzlich durch. Das gilt auch für Notfallkanäle, die zwar dokumentiert, aber nie praktisch erprobt wurden. Schatten-IT ist deshalb nicht immer ein Zeichen fehlender Sensibilität. Sie kann darauf hinweisen, dass Sicherheitsvorgaben und Arbeitsabläufe nicht zusammenpassen.“

Out-of-Band-Kommunikation als Rückgrat des Krisenstabs

Damit eine Organisation im Ernstfall steuerungsfähig bleibt, benötigt sie eine dedizierte Kommunikationsinfrastruktur, die vollständig getrennt vom regulären Unternehmensnetzwerk operiert (Out-of-Band). Sind Exchange-Server, Microsoft 365 oder das zentrale Active Directory kompromittiert, muss der Informationsfluss ohne Unterbrechung auf einer unangreifbaren Ausweichplattform fortgesetzt werden können.

„Ein Krisenstab braucht einen vertrauenswürdigen Raum, in dem Entscheidungen vorbereitet, Informationen bewertet und Aufgaben verteilt werden. Die Geschäftsleitung muss erreichbar bleiben. IT, Recht, Kommunikation und externe Spezialisten müssen kollaborieren können, ohne auf eine möglicherweise kompromittierte Infrastruktur angewiesen zu sein. Fehlt diese Möglichkeit, verzögern sich Entscheidungen. Informationen lassen sich schlechter überprüfen, und sensible Inhalte wandern auf Kanäle, die sich nicht mehr zentral kontrollieren lassen.“

Best Practices: Von Papier-Compliance zu echter Resilienz

Um den Anforderungen von NIS2 gerecht zu werden und die operative Resilienz sicherzustellen, sollten Unternehmen folgende Best Practices im Bereich der Krisenkommunikation verankern:

1. Unabhängige Out-of-Band-Architektur: Etablierung einer Ende-zu-Ende-verschlüsselten Kommunikationsplattform, die infrastrukturell vollkommen unabhängig von den regulären Unternehmensnetzwerken und zentralen Identitätsdiensten arbeitet.
2. Standardisierte Einbindung externer Akteure: Vorab definierte und technisch abgesicherte Prozesse zur schnellen Integration externer Incident-Response-Teams, Rechtsberater und PR-Spezialisten, ohne die IT-Sicherheitsarchitektur aufzuweichen.
3. Regelmäßige Belastungstests: Notfall-Kommunikationskanäle müssen im Rahmen realistischer Simulationen (z. B. vollständiger Ausfall des Active Directory und der Primärmessenger) praktisch erprobt werden.
4. Fokus auf Usability: Die genutzten Notfallkanäle müssen in puncto Benutzerfreundlichkeit mit gängigen Verbraucher-Apps konkurrieren können, damit Mitarbeitende unter Stress nicht auf ungesicherte private Alternativen ausweichen.

Die Bewertung des eigenen Sicherheitsniveaus erfordert daher den Blick über rein administrative Maßnahmen hinaus. „Der entscheidende Praxistest beginnt dort, wo die gewohnten Systeme nicht mehr verfügbar oder vertrauenswürdig sind”

Schilz empfiehlt für den Praxistest die Beantwortung folgender Fragen:

• Wie kommt der Krisenstab zusammen?
• Wie werden externe Fachleute eingebunden?
• Wie lassen sich Identitäten überprüfen, Informationen schützen und Entscheidungen dokumentieren?
• Und gelingt all das, ohne dass Mitarbeitende auf private Kanäle ausweichen?

Der Vollzug von NIS2 verlangt von Unternehmen einen klaren Paradigmenwechsel: Die Erfüllung rechtlicher Vorgaben ist lediglich der Startpunkt. Echte Resilienz bemisst sich daran, ob die Steuerungs- und Kommunikationskanäle auch dann noch standhalten, wenn die primäre IT-Landschaft bereits ausgefallen ist.