Der Schwerpunkt in der Notfallplanung liegt häufig in den Verfahren für den Notbetrieb, dabei wird die Komplexität des Wiederanlaufs unterschätzt

In Schweden musste die große Supermarktkette hunderte von Läden nach einem erfolgreichen Ransomware-Angriff schließen. In einer Supply-Chain-Attacke wurde die Fernwartungssoftware VSA von Kaseya mit eine Ransomware kompromittiert. Über die Lücke in der Fernwartungssoftware konnten die Angreifer auf die Kassensysteme zugreifen und mit Hilfe des Verschlüsselungstrojaners REvil die Daten in den Kassensystemen verschlüsseln. Die Angreifer fordern 70 Millionen Dollar Lösegeld für die Herausgabe des Softwareschlüssels zum Entsperren der Daten. Über 1.000 Unternehmen sind von der Ransomware betroffen, darunter auch einige Unternehmen in Deutschland.

Der Ausfall der Kassensysteme führte zur Schließung von nahezu allen 800 Ladengeschäften von COOP. Zug um Zug konnten mittlerweile eine große Zahl an Geschäften mit der Umstellung auf Zahlung mittels der unternehmenseigenen Zahl-App “Scan&Pay” wieder geöffnet werden.

Die Kunden können mit Hilfe dieses Workarounds für die Kassensysteme wieder einkaufen und bezahlen, doch das dicke Ende kommt für COOP womöglich noch. Die Kassensysteme leisten mehr als die reine Bezahlfunktion. Sie sind an das Warenwirtschaftssystem angebunden und ermöglichen somit die Echtzeit-Überwachung und -Steuerung der Warenbestände in den Ladengeschäften und die Logistik aus den zentralen Warenlagern in die Geschäfte. Werden durch den Workaround mittels der Bezahl-App die Warenbestände nicht aktualisiert, gerät das Warenwirtschaftssystem in den Blindflug. Bei einem Wiederanlauf muss im schlimmsten Fall eine Inventur in jedem Ladengeschäft durchgeführt und die Bestände im Warenwirtschaftssystem aktualisiert werden. Und das bei laufendem Betrieb, in dem ständig neue Daten entstehen und aktualisiert werden. Mir ist leider nicht bekannt, wie dies bei COOP gelöst wird, aber der Fall zeigt deutlich, dass der Wiederanlauf aus dem Notbetrieb in den Normalbetrieb häufig komplexer als die Einleitung des Notbetriebs ist.

Laufen nach einem IT-Ausfall die IT-Systeme wieder an, kann die IT erst einmal durchatmen, für die Fachbereiche ist damit allerdings der Notfall noch lange nicht überstanden. Nach einem IT-Ausfall sind die zurückgespielten Daten in den IT-Anwendungen im schlimmsten Falle Tage oder nach einer Ransomware-Attacke womöglich Wochen alt. Batch-Programme sind nicht gelaufen, Schnittstellen zwischen IT-Anwendungen wurden nicht synchronisiert, Daten aus externen Datenquellen wurden nicht aktualisiert und auch keine Daten an externe Partner übertragen. Währenddessen haben sich während des Notbetriebs aber die Uhren weitergedreht. Mittels Workarounds wurden die kritischen Geschäftsprozesse am Laufen gehalten. Geschäfte wurden auf Papier oder in alternativen IT-Systemen abgewickelt, Lieferscheine und Frachtpapiere von Hand erstellt. Externe Datenbestände haben sich verändert. Je länger dieser Notbetrieb anhält, umso mehr Daten entstehen außerhalb der regulären IT-Anwendungen und verändern sich. Stehen diese nach der Wiederherstellung wieder zur Verfügung, beginnen die Herausforderungen erst von Neuem, um die Datenaktualität und -integrität wieder sicherzustellen. Daten müssen nacherfasst, Batch- und Schnittstellenprogramme nachgeholt und externe Datenanbindungen aktualisiert werden. Doch in welcher Reihenfolge, ohne die Integrität der Daten zu zerstören? Viele Systeme fordern zum Beispiel fortlaufende Nummerierungen von Geschäften und Transaktionen. Jetzt müssen die Transaktionen aus dem Notbetrieb nacherfasst werden während gleichzeitig die Transaktionen aus dem neuen Normalbetrieb in die Systeme kommen. Welche Batch-Läufe und Schnittstellenaktualisierungen müssen in welcher Reihenfolge nachgefahren werden? Alle Batch-Läufe nacheinander oder nur die letzte Aktualisierung? Die fachliche und technische Datenintegrität und -aktualität beim Wiederanlauf sicherzustellen kann eine sehr große Herausforderung darstellen. Diese Herausforderungen betreffen im Übrigen nicht nur die IT. In der Fliegerei mehren sich Flugfehler durch Piloten, die schon lange nicht mehr im Cockpit waren und hierdurch die Routine fehlt. Flugzeuge müssen aus dem wochenlangen Stillstand wieder in Betrieb genommen werden inklusive Probleme durch Schädlingsbefall in der Kabine. Gebäude und technische Anlagen müssen sorgfältig angefahren und überprüft werden, bevor sie wieder in den Normalbetrieb genommen werden können. In der Notfallplanung sollte daher neben dem Notbetrieb immer auch ein Schwerpunkt auf den Wiederanlauf und die Wiederherstellung gelegt werden. In Schreibtischtests werden die Herausforderungen im Wiederanlauf oftmals erst präsent. In Übungen und Tests sollten die Verfahren dann erprobt werden.

be prepared

Ihr

Matthias Hämmerle MBCI