Nationalstaatlicher APT auf Bürgerdienste

Die Bedrohung

Ein geduldiger, gut ausgestatteter Gegner wird in bürgernahen Systemen entdeckt. Die Zuordnung ist heikel, die Transparenzerwartung hoch, und jede Offenlegung hat politisches Gewicht.

Zentrale Injects

• 01Threat Intel ordnet den Angriff einer staatsnahen Gruppe zu.
• 02Ein Ministerbüro fordert sofort ein öffentliches Statement.
• 03Eine andere Behörde teilt einen überlappenden Indikator.
• 04Ein geleaktes Dokument zieht den Offenlegungszeitpunkt vor.

Was bewertet wird

• Umgang mit Attribution & Einstufungsdisziplin
• Behördenübergreifende Koordination unter Druck
• Transparenz vs. operative Sicherheit
• Management politischer Stakeholder

Übungsziele

• Zwischen Beobachten des Angreifers und sofortigem Rauswurf entscheiden, mit dokumentierter Abwägung.
• Jede öffentliche Aussage innerhalb der belastbaren Attributions-Konfidenz halten: kein Name ohne Evidenz.
• Trotz Einstufungsgrenzen mit Partnerbehörden und dem nationalen CSIRT koordinieren.
• Die Offenlegungsentscheidung bewusst treffen, bevor ein Leak sie Ihnen abnimmt.

Rollen am Tisch

• ●Krisenstabsleitung · Führt die Reaktion über Security, Fachverfahren und politische Ebene; wahrt das Need-to-know.
• ●SOC / Threat Intelligence · Verfolgt den Akteur, bewertet die Attributions-Konfidenz, plant den Rauswurf, ohne ihn zu warnen.
• ●Verfahrensverantwortung Bürgerdienste · Spricht für die betroffenen Dienste: Was bleibt online, was wird eingeschränkt, was sehen Bürger?
• ●Kommunikation / Pressestelle · Öffentliche und ministerielle Linien; hält Vertrauen, ohne Gewissheit vorzutäuschen.
• ●Recht · Offenlegungspflichten, Einstufungsregeln und Vereinbarungen zum Datenaustausch zwischen Behörden.
• ●Behördenleitung · Trägt die politische Schnittstelle und die finale Offenlegungsentscheidung.

Diskussionsfragen

• 01Den Angreifer beobachten und lernen, oder sofort rauswerfen und die Aufklärung verlieren? Wer entscheidet, nach welchen Kriterien?
• 02Threat Intel sagt „staatsnah, mittlere Konfidenz“. Das Ministerbüro will heute einen Namen. Was liefern Sie?
• 03Die Indikatoren einer anderen Behörde überlappen mit Ihren. Wie viel teilen Sie, wenn Ihr eigener Fall eingestuft ist?
• 04Ein geleaktes Dokument zieht die Offenlegung um eine Woche vor. Hat Ihr Plan den ersten Kontakt überlebt, und was ersetzt ihn?
• 05Bürger können nicht erkennen, ob ihre Daten betroffen sind. Was steht am ersten Tag auf dem Serviceportal?
• 06Was beschädigt das öffentliche Vertrauen mehr: eine Woche Schweigen oder zwei Korrekturen der eigenen Aussage in zwei Tagen?

Empfohlener Ablauf

• 00:00–00:30Stille Aufklärung: den Angriff eingrenzen, ohne den Akteur zu warnen
• 00:30–01:15Eindämmungsstrategie: beobachten vs. rauswerfen; Need-to-know festgelegt
• 01:15–02:00Behördenübergreifende Koordination und Attributionsdisziplin
• 02:00–02:40Offenlegung unter Druck: Leak-Reaktion, ministerielle und öffentliche Linien
• 02:40–03:00Hot Wash: Entscheidungsspur, Vertrauenswirkung, Härtungsprioritäten