Security & Compliance

Incident Response (Reaktion auf Sicherheitsvorfälle)

Overview

Incident Response (IR) beschreibt, wie eine Organisation auf Sicherheitsvorfälle wie Ransomware, Kontoübernahmen oder Datenabfluss reagiert. Es ist nicht dasselbe wie das Incident Management nach ITIL, das allgemeine Störungen im IT-Betrieb behandelt, auch wenn beide Prozesse Schnittstellen haben.

Rechtlich relevant sind Meldepflichten mit festen Fristen. Nach DSGVO ist eine Datenpanne innerhalb von 72 Stunden der Aufsichtsbehörde zu melden. Für NIS2-Einrichtungen gilt seit 6. Dezember 2025 nach § 32 BSIG ein gestuftes Verfahren beim BSI: Frühwarnung innerhalb von 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat. Beide Pflichten können beim selben Vorfall gleichzeitig greifen.

Ein vorbereiteter IR-Plan spart im Ernstfall die wertvollsten Stunden, weil Rollen, Befugnisse und Kontakte nicht erst unter Druck geklärt werden müssen.

How it works

Gängige Modelle wie das Rahmenwerk des NIST gliedern den Ablauf in Phasen:

  1. Vorbereitung: IR-Plan, Playbooks, Rollen mit Vertretung, Kontaktlisten (Dienstleister, Versicherung, Anwalt, Behörden), Protokollierung und Übungen.
  2. Erkennung und Analyse: Warnungen bewerten, Umfang und Schwere feststellen, Meldepflicht prüfen.
  3. Eindämmung: Konten sperren, Sitzungen widerrufen, Geräte isolieren, Verbindungen trennen.
  4. Beseitigung und Wiederherstellung: Ursache entfernen, Systeme bereinigen oder neu aufsetzen, aus sauberen Backups zurückspielen.
  5. Nachbereitung: Ursachen dokumentieren, Maßnahmen ableiten, Abschlussbericht erstellen.

Beweise werden gesichert, bevor Systeme bereinigt werden. Microsoft Defender XDR und Microsoft Sentinel unterstützen mit Korrelation zu Incidents, automatischer Untersuchung, Attack Disruption und Playbooks auf Basis von Azure Logic Apps.

Benefits

  • Schnellere Eindämmung, weil Rollen und Schritte vorab geklärt sind
  • Geringerer Schaden durch frühe Isolation betroffener Konten und Systeme
  • Gesetzliche Meldefristen aus DSGVO und NIS2 werden eingehalten
  • Nachbereitung verhindert, dass derselbe Angriffsweg zweimal funktioniert

Practical example

Ein Dienstleister mit 90 Mitarbeitenden bemerkt, dass ein Postfach nach einem Phishing-Klick Weiterleitungsregeln nach extern angelegt hat. Das Team folgt seinem Playbook: Konto sperren, Sitzungen widerrufen, Regeln entfernen, abgeflossene Mails auswerten und Geschäftsführung sowie Datenschutzbeauftragte informieren. Weil Kundendaten betroffen sind, geht innerhalb von 72 Stunden eine Meldung an die Aufsichtsbehörde. Die Nachbereitung führt zu phishingresistenter MFA für alle Konten.

Things to keep in mind

  • Den IR-Plan offline und außerhalb der betroffenen Systeme verfügbar halten
  • Beweise sichern, bevor Systeme neu aufgesetzt werden, sonst gehen Spuren verloren
  • Meldefristen aus DSGVO und BSIG, Ansprechpartner und Meldewege vorab festlegen
  • Rollen mit Vertretung besetzen und einen IR-Dienstleister vorab vertraglich binden
  • Tabletop-Übungen durchführen, damit der Plan im Ernstfall nicht zum ersten Mal gelesen wird

Conclusion

Incident Response entscheidet im Ernstfall über Stunden und Schaden. Beginne mit einem kurzen, geübten Plan für die drei wahrscheinlichsten Szenarien und erweitere ihn schrittweise.

Further reading

Related articles