Die Wiederherstellung war am Sonntagabend abgeschlossen. Am Dienstag sind die Hauptbücher wieder offen, die Verträge liegen in ihren Ordnern, und die Finanzleitung sitzt in einem Call mit der Revisionsstelle. Die Revisionsstelle stellt die eine Frage, die die Backup-Software nicht beantworten kann: Woher wissen wir, dass diese Dateien dieselben sind, die Sie vor dem Vorfall hatten?
Ein Backup zeigt, was Sie jetzt haben. Es zeigt nicht, dass sich zwischen der letzten sauberen Kopie und der wiederhergestellten nichts verändert hat. Wenn jemand schon Tage vor Beginn der Verschlüsselung im Netzwerk war, kann eine wiederhergestellte Datei bereits eine Änderung tragen, die niemand bemerkt hat.
Was eine wiederhergestellte Datei allein nicht beweisen kann
Ein aus dem Backup geholtes PDF trägt ein Änderungsdatum, das der Computer geschrieben hat, der es zuletzt gespeichert hat. Dieses Datum lässt sich auf jeden beliebigen Wert setzen. Die Datei enthält keine Aufzeichnung darüber, wie sie letzten Monat aussah, und kein Dritter stand damals hinter ihr. Ihr Wort, dass sie übereinstimmt, ist der ganze Fall.
Das Schweizer Buchführungsrecht erwartet mehr. Artikel 3 der Geschäftsbücherverordnung (GeBüV) verlangt, dass Geschäftsbücher und Buchungsbelege so aufbewahrt werden, dass sie nicht geändert werden können, ohne dass sich dies feststellen lässt. Artikel 9 Absatz 1 Buchstabe b lässt veränderbare Informationsträger zu, sofern technische Verfahren die Integrität der gespeicherten Informationen sichern und der Zeitpunkt der Speicherung unverfälschbar nachweisbar ist; die Verordnung nennt digitale Signaturverfahren und Zeitstempel selbst als Beispiele. Artikel 10 ergänzt regelmässige Prüfungen der Informationsträger auf Integrität und Lesbarkeit sowie ein Protokoll jeder Migration, das zusammen mit den Daten aufbewahrt wird.
Eine Wiederherstellung verschiebt Daten von einem Träger auf einen anderen, und der Massstab in Artikel 10 ist der, den Ihre Revisionsstelle anlegen wird: Wurden die Daten vollständig und richtig übernommen, und können Sie das zeigen?
Was ein Siegel hinzufügt
Wird ein Dokument auf Swiss Trust Layer versiegelt, wird ein kryptografischer Fingerabdruck der Datei berechnet. Dieser Fingerabdruck, nicht die Datei, geht an Swisscom Trust Services, den qualifizierten Vertrauensdiensteanbieter, der ihn mit einem Schlüssel signiert, der seine Hardware nie verlässt. Die Signatur trägt einen Zeitstempel nach RFC 3161 und wird in das PDF eingebettet. Die Originaldatei wird nicht verändert. Jede versiegelte Ordnerversion erhält zudem ein Nachweiszertifikat, das jede Datei mit ihrem Fingerabdruck und der Versiegelungszeit in UTC auflistet.
Nach Artikel 41 Absatz 2 der eIDAS-Verordnung gilt für einen qualifizierten elektronischen Zeitstempel die Vermutung, dass das angegebene Datum und die angegebene Uhrzeit richtig sind und die Integrität der Daten, mit denen sie verbunden sind, gewahrt ist. Der Zeitstempel beweist, dass genau diese Datei zu diesem Zeitpunkt existierte und sich seither nicht verändert hat. Er beweist nicht, wer sie geschrieben hat, ob ihr Inhalt stimmt oder wer die Rechte daran hält. Für eine Integritätsfrage nach einer Wiederherstellung ist dieser enge Anspruch genau der, den Sie brauchen.
Die Prüfung nach der Wiederherstellung
Nehmen Sie die wiederhergestellte Kopie eines versiegelten PDF und laden Sie sie im öffentlichen Validator unter swisstrustlayer.com/validate hoch. Kein Konto, keine Registrierung. Er prüft die Signaturkette, die ausstellende Zertifizierungsstelle, den Ablauf des Zertifikats und die Integrität des Zeitstempels und meldet dann, wer wann mit welchem Zertifikat signiert hat und ob der Inhalt nach der Signatur verändert wurde. Er verarbeitet die Signatur-Metadaten und speichert das Dokument nicht.
Ist die wiederhergestellte Datei unberührt, sagt der Validator das, und der Zeitstempel datiert diesen Zustand auf die Zeit vor dem Vorfall. Hat sich etwas verändert, stimmt der Fingerabdruck nicht mehr, und der Validator meldet eine Änderung nach der Signatur. So oder so beruht die Antwort nicht auf Ihrer eigenen Zusicherung, und eine Bank, ein Versicherer, eine Gegenpartei oder eine Revisionsstelle kann dieselbe Prüfung auf dem eigenen Rechner durchführen.
Die Grenze, klar benannt
Das hilft bei Dateien, die vor dem Vorfall versiegelt wurden. Bei nichts anderem.
Eine Datei nach der Wiederherstellung zu versiegeln beweist, wie diese Datei am Tag der Versiegelung aussah, und zeigt jede Änderung von diesem Tag an. Über die Wochen davor sagt es nichts. Wurde ein Dokument während des Eindringens verändert und dann auf dem sauberen System versiegelt, hält das Siegel die veränderte Version fest. Ein Zeitstempel lässt sich nicht rückwirkend setzen. Für alles, was nicht früher versiegelt wurde, bleiben Ihnen Ihr eigenes Wort und die Backup-Protokolle, und der vernünftige Schritt ist, jetzt mit dem Versiegeln zu beginnen.
Welche Unterlagen versiegeln, und wann
Alles zu versiegeln ist nicht der Punkt. Die Unterlagen, nach denen eine Revisionsstelle oder eine Gegenpartei fragen wird, ergeben eine kurze Liste, und die meisten davon schliessen nach Kalender:
- Abschlussbücher und die Exporte dahinter, zu jedem Monats-, Quartals- und Jahresende.
- Unterzeichnete Verträge, sobald die letzte Unterschrift vorliegt.
- Verwaltungsratsprotokolle, sobald sie vom Vorsitz und von der protokollführenden Person unterzeichnet sind.
- Richtlinien und Verfahren, bei jeder genehmigten Überarbeitung.
- Backup-Manifeste, das Inventar dessen, was jeder Backup-Lauf enthält. Nach einer Wiederherstellung zeigt ein versiegeltes Manifest, welches Backup-Set Sie verwendet haben und dass sein Inventar seither nicht bearbeitet wurde.
Jeder versiegelte Ordner auf Swiss Trust Layer führt eine Versionshistorie. Eine neue Version kann hinzugefügt und separat versiegelt werden, mit eigenem Zertifikat und einer Notiz, sodass ein Monatsabschluss-Ordner bis zum Jahresende zwölf versiegelte Versionen enthalten kann.
Das versiegelte Original an einem zweiten Ort aufbewahren
Das Siegel deckt einen Fingerabdruck Ihres Dokuments ab, also müssen die versiegelte Datei und ihr Zertifikat den Vorfall ebenfalls überstehen. Erreicht die Ransomware den Ordner, in dem die versiegelten PDFs liegen, kann der Fingerabdruck sie nicht wiederherstellen. Bewahren Sie beides an einem zweiten Ort auf, fern von den Systemen, die am ehesten getroffen werden.
Das Portal bietet ESCROW Storage als optionale Speicherwahl an, in der Schweiz gehostet und an die verifizierte Identität des Kontoinhabers gebunden. Dort hinterlegte versiegelte Ordner erhalten eine ESCROW ID für die Wiederherstellung. Swisscom Trust Services stellt den Speicher bereit, ProLitteris betreibt das Escrow, Swiss Trust Layer liefert die Technologie. Gehen bei dem Vorfall alle Zugangsdaten verloren, kann die Identität erneut verifiziert werden, online oder persönlich über einen KYC-Agenten, und der Zugang wird wiederhergestellt.
Ein Schritt diese Woche
Artikel 10 verlangt regelmässige Integritätsprüfungen und ein Protokoll jeder Migration. Lassen Sie nach jeder Wiederherstellung die versiegelten Dateien durch den Validator laufen, halten Sie die Ergebnisse fest und bewahren Sie diese Aufzeichnung zusammen mit den Daten auf.
Wählen Sie dann das eine Dokument, das Sie am wenigsten aus dem Gedächtnis verteidigen möchten. Das letzte Abschlussbuch ist ein guter Kandidat. Versiegeln Sie es, legen Sie die versiegelte Datei und ihr Zertifikat dorthin, wo der nächste Vorfall nicht hinkommt, und tragen Sie das nächste Monatsende in den Kalender ein. Der vollständige Mechanismus steht unter So funktioniert es.
Versiegeln Sie Ihr erstes Dokument auf Swiss Trust Layer und geben Sie der nächsten Frage eine Antwort.
