Incident Response als Teil des Risikomanagements
Das NIST empfiehlt in seiner 2025 überarbeiteten Leitlinie, Incident Response nicht als getrennte Tätigkeit zu sehen, sondern in das gesamte Cybersicherheits-Risikomanagement einzubetten; Ziel ist, besser vorbereitet zu sein, Zahl und Auswirkung von Vorfällen zu senken und Erkennung, Reaktion und Wiederherstellung effizienter zu machen.[1]
Ablauf
| Phase | Was passiert |
|---|---|
| Vorbereitung | Notfallplan, Kontakte, Zuständigkeiten, Backups, Übungen |
| Erkennung und Bewertung | Ist es ein Vorfall? Wie schwer? Was ist betroffen? |
| Eindämmung | Geräte isolieren, Konten sperren, Verbindungen trennen |
| Beseitigung | Schadsoftware entfernen, Zugänge schließen, Ursache finden |
| Wiederherstellung | Systeme aus sauberen Backups zurückholen, überwacht in Betrieb nehmen |
| Nachbereitung | Was lief gut, was nicht, welche Maßnahmen folgen? |
Meldepflichten
- DSGVO: Verletzungen des Schutzes personenbezogener Daten möglichst binnen 72 Stunden an die Datenschutzaufsicht.[2]
- NIS2: Erfasste Unternehmen melden erhebliche Sicherheitsvorfälle spätestens 24 Stunden nach Kenntnis erstmals beim BSI, gefolgt von weiteren Meldungen.[3]
- Versicherung: Cyberversicherungen verlangen eine sofortige Meldung.
Was vorab bereitliegen muss
| Vorbereitung | Warum |
|---|---|
| Notfallkontakte auf Papier | IT und Telefonanlage können ausgefallen sein |
| klare Entscheidungswege | wer darf Systeme abschalten |
| externer Dienstleister mit Bereitschaft | Fachleute schnell verfügbar |
| saubere Backups | Grundlage jeder Wiederherstellung |
| Vorlagen für Meldungen | Fristen sind kurz |
Beispiel aus der Praxis
An einem Freitagabend meldet der Endpoint-Schutz bei einem Logistiker verdächtige Aktivitäten auf einem Server. Der Bereitschaftstechniker isoliert den Server, sperrt das betroffene Administratorkonto und informiert die Geschäftsführung nach dem Notfallplan. Forensiker finden einen Fernzugriff über ein gestohlenes Passwort. Der Zugang wird geschlossen, der Server aus einem sauberen Backup neu aufgebaut, die Datenschutzaufsicht vorsorglich informiert. Am Montag läuft der Betrieb normal.
Kurz gesagt
Incident Response ist die geordnete Reaktion auf Sicherheitsvorfälle von der Erkennung bis zur Nachbereitung. Entscheidend sind Vorbereitung, schnelle Eindämmung, saubere Backups und die Einhaltung der Meldefristen.
Weiterlesen: Cyberangriff auf die Firma verhindern, Leitfaden für IT-Notfallübungen