Grenzerfahrungen: Wie zwei Sicherheitsvorfälle die suresecure geprägt haben

Zwei Sicherheitsvorfälle, die alles verändert haben: In dieser Folge sprechen Michael und Andreas offen über die wohl einschneidendsten Incidents in der Geschichte von suresecure. Was passiert, wenn plötzlich ein kompletter Industriebetrieb stillsteht? Wie koordiniert man weltweit den Wiederaufbau einer Hotelkette nach einem flächendeckenden Ransomware-Angriff – ohne Dokumentation, aber unter massivem Zeitdruck?

Andreas nimmt uns mit in die Realität eines Ersthelfers auf Executive-Level: improvisierte Krisenteams, 16-Stunden-Schichten, Netzwerkanalyse nachts im Rechenzentrum und das Gefühl, plötzlich mitten auf dem Schlachtfeld zu stehen – ohne Karte, aber mit klarem Ziel: Kontrolle zurückgewinnen.

Diese Folge zeigt nicht nur, wie aus reiner Reaktion belastbare Strukturen entstehen, sondern auch, warum Incident Response bei suresecure heute so funktioniert, wie sie funktioniert: pragmatisch, wirksam, gewachsen aus echter Erfahrung.

👉 Wer tiefer einsteigen möchte: In der begleitenden Serie mit Jona erklären wir Schritt für Schritt, wie ein Incident Response Management bei suresecure konkret abläuft – von den ersten 24 Stunden bis zur Phase nach mehreren Monaten.

Security Incident: Die ersten 24 Stunden - Ruhe bewahren und Pizza bestellen

Security Incident: Die ersten sieben Tage - Stabile Seitenlage durchgeführt, was nun?

Security Incident: Der erste Monat danach

Security Incident: Ein Jahr danach – Was hat sich verändert?

Möchtest du mehr über unseren Podcast wissen? Dann wirf einen Blick in unser Media Kit. Dort findest du alles Wichtige:

Cybersecurity Basement - Media Kit

Du findest uns auch auf:
(2) suresecure GmbH: Ihr Unternehmen | LinkedIn
@suresecure_de • Instagram-Fotos und -Videos
suresecure (@suresecure_de) | TikTok

Transcript

Michael:
Herzlich willkommen zu einer neuen Ausgabe vom Cybersecurity Basement, dem Podcast für echten Security Content. Heute setzen wir die Serie fort, die wir vor ein paar Wochen gestartet haben – ein Rückblick: Wo kommen wir eigentlich her? Wie hat alles begonnen? In der letzten Folge haben wir über Sicherheitsvorfälle und Incident Response gesprochen – mit einem Cliffhanger in Richtung Krisenkommunikation. Heute greifen wir das Thema etwas anders auf.

Ich verspreche: Dranbleiben lohnt sich! Und ich freue mich sehr, heute wieder einen ganz besonderen Gast begrüßen zu dürfen: Andreas Papadaniil, Gründer und CEO der suresecure GmbH. Andreas, schön, dass du da bist!

Andreas:
Sehr gerne – wie immer und regelmäßig. Es ist mir eine riesige Freude!

Michael:
Und das ist auch für uns immer eine Bereicherung. Ich glaube, die Hörerinnen und Hörer schätzen vor allem deine Erfahrung.

Andreas:
Ich hoffe, sie schätzen mich für meine Erfahrung – und nicht nur für mein loses Mundwerk. (lacht)

Michael:
Incident Response – da haben wir heute ein sattelfestes Produkt- und Serviceportfolio: Retainer, Workshops, Forensik, Krisenkommunikation. Das war früher nicht so. Jeder hatte mal seinen ersten Vorfall. Erinnerst du dich an deinen?

Andreas:
Es war nicht mein allererster Vorfall, aber der erste in dieser Größenordnung. Ein Industrieunternehmen mit über 10.000 Mitarbeitenden und Milliardenumsatz. Samstagabend saß ich beim Mexikaner, Mojito in der Hand, als eine Mail auf mein Postfach kam: „Bitte rufen Sie mich an. Wir brauchen dringend Ihre Unterstützung.“ Sie kam aus einem privaten E-Mail-Account, nicht von der Unternehmensdomäne. Ich wusste: Da ist was Ernstes.

Michael:
Und du hast sofort reagiert?

Andreas:
Ja. Ich hab mein Essen runtergeschluckt, mich ins Auto gesetzt, Köfferchen gepackt – und los. Ich hatte ein mulmiges Gefühl, weil mir schnell klar war: Das hier ist richtig groß. Verschlüsselungstrojaner, Multitool, komplette Produktion ausgefallen – tausende Menschen konnten nicht arbeiten. Ich hab angerufen, ein paar Infos bekommen und Jochen, der gerade neu bei uns war, hat während meiner Fahrt ins Darknet geschaut, um erste Hinweise zu finden.

Michael:
Und wie war es, als du angekommen bist?

Andreas:
Ein Raum mit rund 100 IT-Admins, alle erfahren, alle nervös. Das Führungsteam begrüßt mich mit: „Danke, dass Sie da sind. Wir haben auf Sie gewartet.“ Und ich dachte nur: Kein Druck. Ich bin kein klassischer Admin, ich komme aus der Security – und jetzt soll ich diesen Leuten sagen, was sie tun sollen. Aber es lief gut. Ich konnte Orientierung geben, weil ich einerseits technisch im Thema war und andererseits als Geschäftsführer klare Kommunikation gewohnt bin.

Michael:
Was war der entscheidende Moment, wo du gespürt hast: Jetzt kippt die Lage?

Andreas:
Als wir das Monitoring aufgesetzt hatten und endlich sahen, was im Netzwerk passiert. Ich hab geschrien: „Der Rechner! Der funkt zum Angreifer!“ Und alle ran. Plötzlich war es wie ein Fußballstadion: Wir sahen die Bewegungen des Gegners, konnten Maschinen gezielt trennen und systematisch zurückerobern. Euphorie pur – zum ersten Mal hatten wir die Kontrolle.

Michael:
Und ihr hattet kein SIEM, kein Logmanagement?

Andreas:
Nichts. Wir mussten Systeme stichprobenartig rausziehen, analysieren, alles improvisiert. Wir haben sieben Systeme in kürzester Zeit aufgesetzt, Netzwerkverkehr analysiert, Angriffsverhalten rekonstruiert. Und das alles ohne vorherige Planung. Aber wir hatten ein top-motiviertes Team und haben uns reingehängt. Nach drei bis vier Tagen lief die Produktion wieder.

Michael:
Wie lange hat der Wiederaufbau gedauert?

Andreas:
Ich war drei Monate vor Ort, bis wir sagen konnten: Regelbetrieb. Die IT-Abteilung hat danach bestimmt noch ein Jahr nachjustiert, weil im ersten Schritt alles nur „schnell schnell“ ging. Viele Dinge mussten später sauber nachgezogen werden.

Michael:
Gab es T-Shirts?

Andreas:
(lacht) Ja, tatsächlich. „Ich war dabei“ – kein Scherz. Die Leute haben richtig geackert. Das war außergewöhnlich. Kein Dienstleistervertrag, keine Notfallpläne, aber ein Team, das einfach gemacht hat. Und wir hatten Glück: Die richtigen Leute, die das kompensieren konnten, was auf dem Papier fehlte.

Michael:
Hältst du noch Kontakt?

Andreas:
Klar. Manchmal meldet man sich. Mit einigen war ich danach noch ein Bier trinken, um den Stress runterzuspülen. Diese Erfahrungen verbinden – man weiß, man kann sich aufeinander verlassen.

Michael:
Und dann kam ein zweiter Vorfall?

Andreas:
Ja, auch ein Mammutprojekt. Ich erzähl’s abstrahiert: Eine große internationale Hotelkette, 20 Hotels weltweit, komplett verschlüsselt. 200 Applikationen, ein Drittel davon Eigenentwicklungen von Firmen, die es nicht mehr gibt. Keine Doku. Und dann hieß es: In zwei Monaten muss Hotel 1 wieder Gäste empfangen.

Michael:
Und du so: Challenge accepted?

Andreas:
Natürlich. Ich hab gesagt: „Ich weiß nicht, ob das geht – aber wenn es jemand schafft, dann wir.“ Und wir haben’s geschafft. Erst ein Hotel, dann drei parallel, dann fünf. 24/7-Betrieb, Zeitzonen, Reporting für den Vorstand. Das Projekt wuchs auf über 30 Personen. Neun Monate hat der Wiederaufbau gedauert – in allen Hotels, weltweit. Ich glaube, das wird das größte Projekt meines Lebens bleiben.

Michael:
Was war deine Rolle?

Andreas:
Ich war einer der beiden zentralen Manager. Gemeinsam mit dem CEO des Kunden, der wirklich top war – immer lösungsorientiert, immer im Interesse des Unternehmens. Wir hatten ein Dreier-Leadership-Team, dazu je einen Verantwortlichen pro Hotel, viele Consultants. Und wir haben bei jedem Hotel nicht nur wiederaufgebaut, sondern auch gleich sicher gemacht. Schwachstellen beseitigt, neue Software eingeführt, Schulungen, Kommunikation gesteuert – das volle Programm.

Michael:
Und das Reporting?

Andreas:
War anfangs holprig. Die wollten Fortschritt sehen, keine Ausreden. Also haben wir unser Reporting angepasst, professionalisiert – und daraus resultieren bis heute unsere Boom-Reports. Diese Anforderung hat unsere Qualität stark geprägt.

Michael:
Hatte das Unternehmen eine gute Versicherung?

Andreas:
Kann ich nicht genau sagen, aber ich vermute eher nicht. In dieser Größenordnung brauchst du ein ganzes Team, das sich nur um Cyber Insurance kümmert. Und das bringt uns zum nächsten Thema …

Michael:
Genau! In der nächsten Folge sprechen wir über die Gründung der Securities – was uns dazu bewegt hat, einen eigenen Cyber Insurance Dienstleister ins Leben zu rufen. Andreas, vielen Dank für die zwei eindrucksvollen Fälle – und für deine Zeit.

Andreas:
Sehr gerne. Und ja, es waren zwei ganz besondere Fälle – für die Firma, aber auch für mich persönlich. Was man daran schön sehen kann: Unsere Services entstehen nicht aus Businessplänen, sondern aus echter Erfahrung. Alles, was wir anbieten, basiert auf dem, was wir beim Kunden gesehen und gelernt haben. Kein Schnickschnack, sondern das, was wirklich gebraucht wird.

Michael:
Wenn ihr mehr über unser Incident Response Management wissen wollt, schaut auf unsere Website – oder hört in unsere Folgenserie zu den ersten 24 Stunden, Monat 1, Monat 4 usw. rein. Verlinken wir in den Shownotes. Danke fürs Zuhören – und bis zum nächsten Mal. Bleibt sicher und gesund!

Andreas:
Tschüssi!