Reagieren: ein Gerät isolieren

Erkennung zählt nur, wenn sie zu Handeln führt. Diese Lektion behandelt die ersten Minuten, nachdem Sie etwas Falsches bemerken: eine App, die sich verbindet, wo sie nicht sollte, ein Mac, der sich seltsam verhält, oder eine Warnung von jemandem, dem Sie vertrauen, dass Sie möglicherweise ins Visier genommen wurden. Das Ziel hier ist nicht, das zugrunde liegende Problem selbst zu beheben; es ist, zu verhindern, dass es schlimmer wird, und festzuhalten, was Sie brauchen werden, um echte Hilfe zu bekommen.

Erst isolieren, dann untersuchen

NISTs Leitfaden zur Behandlung von Computersicherheitsvorfällen (SP 800-61) beschreibt Eindämmung als eine Entscheidung, die schnell getroffen werden muss, und warnt, dass „ein Angreifer unbefugten Zugriff ausweiten oder andere Systeme kompromittieren könnte“, solange die Eindämmung verzögert wird. Auf einem Mac bedeutet Eindämmung, seinen Netzwerkzugriff zu kappen: WLAN ausschalten, ein Ethernet-Kabel abziehen, oder, falls verfügbar, den Flugmodus aktivieren, statt das Gerät normal weiterzunutzen, während Sie nachdenken. Das behebt für sich genommen nichts, stoppt aber eine laufende Verbindung zu einem Angreifer und verhindert, dass der Mac genutzt wird, um irgendetwas anderes zu erreichen, etwa ein anderes Gerät im selben Netzwerk oder ein Konto, bei dem Sie noch angemeldet sind.

• Vom Netzwerk trennen: WLAN aus, Ethernet abgezogen. Das ist die einzige nützlichste erste Handlung, da sie sowohl eingehende Anweisungen als auch ausgehende Daten zugleich kappt.
• Den Mac nicht herunterfahren oder neu starten, sofern nicht jemand, der Ihnen hilft, Sie dazu angewiesen hat. Ausschalten kann im Arbeitsspeicher gehaltene Informationen verlieren, die sonst helfen würden zu erklären, was geschah, und kann schädliche Software auslösen, die darauf ausgelegt ist, ein Herunterfahren zu bemerken und ihre Spuren zu verwischen.
• Die verdächtige App nicht deinstallieren, keine Dateien löschen, und nicht „aufräumen“, bevor Sie Hilfe erhalten. Es ist verlockend, zerstört aber die Beweise, die eine helfende Person bräuchte, um zu verstehen, was geschah.
• Wird der Mac beruflich genutzt, oder könnte der Vorfall die Daten einer anderen Person betreffen, informieren Sie sofort, wer dafür zuständig ist (die IT- oder Sicherheitsstelle eines Arbeitgebers, die Sicherheitsleitung einer Organisation), statt erst, nachdem Sie selbst nachgesehen haben.

Kurz festhalten, was Sie können

NISTs Leitfaden empfiehlt, „jeden Schritt vom Zeitpunkt der Erkennung des Vorfalls bis zu seiner endgültigen Lösung“ zu dokumentieren, mit Zeitstempel, idealerweise von jemand anderem als der technisch arbeitenden Person. Auf einem Mac, ohne formelles Team, kann das einfach sein: Notieren oder fotografieren Sie, was Sie wann gesehen haben (die App, das Ziel, die Uhrzeit), merken Sie sich, was Sie geändert haben (Netzwerk getrennt? Eine App geschlossen?), und bewahren Sie bereits gemachte Screenshots auf. Genau diese Art von Detail sind die Werkzeuge aus der vorigen Lektion, etwa ein App-Verbindungsprotokoll, nützlich festzuhalten, bevor Sie sich trennen.

Hilfe holen

Wen Sie kontaktieren, hängt davon ab, wer Sie sind und was auf dem Spiel steht. Für die meisten Menschen beginnt das bei wer auch immer das Gerät verwaltet, falls es nicht privat ist (ein Arbeitgeber, die IT einer Organisation), oder bei einer vertrauenswürdigen, technisch versierten Person, falls doch. Für Journalisten, Aktivisten, Menschenrechtsverteidiger und andere, die wegen ihrer Arbeit ins Visier genommen werden könnten, bieten zwei Organisationen genau diese Art von Unterstützung kostenlos an:

• Die Digital Security Helpline von Access Now bietet schnelle Hilfe, in mehreren Sprachen, für Gruppen der Zivilgesellschaft und Einzelpersonen, die sich für gefährdet oder bereits angegriffen halten, nach einem Prüfverfahren zur Bestätigung, dass sie in ihren Auftrag fallen.
• Die Freedom of the Press Foundation bietet Schulungen zu digitaler Sicherheit und individuelle Beratung für Journalisten und Redaktionen, einschließlich Hinweisen zu Gerätesicherheit und Quellenschutz.

Weder diese Organisationen noch diese Lektion können versprechen, dass irgendeine Abfolge von Schritten eine ins Visier genommene Person sicher macht; das ehrliche Ziel ist, das Risiko zu verringern und schnell eine kundige Person einzubeziehen, nicht es zu beseitigen.