Incident Response (IR) ist der organisierte Prozess, sich auf Cybersicherheitsvorfälle vorzubereiten, sie zu erkennen, einzudämmen und zu bewältigen – und daraus zu lernen, damit sie sich nicht wiederholen.
Wie Incident Response funktioniert
Das bekannteste Rahmenwerk ist NIST SP 800-61, das 2025 an das NIST Cybersecurity Framework 2.0 angepasst wurde; in Deutschland bietet das BSI eigene Leitfäden. Der klassische Lebenszyklus umfasst, ähnlich wie das Sechs-Phasen-Modell des SANS:
- Vorbereitung – Pläne, Rollen, Kontakte, Werkzeuge, Protokollierung und Backups liegen bereit, bevor etwas passiert;
- Erkennung und Analyse – einen Vorfall bestätigen, Umfang und Schwere verstehen;
- Eindämmung – infizierte Rechner isolieren, Konten und Verkehr zu C2-Servern sperren;
- Beseitigung und Wiederherstellung – Malware und Backdoors entfernen, Systeme wiederherstellen und auf eine Rückkehr des Angreifers achten;
- Nachbereitung – Lessons Learned und verbesserte Abwehr.
Die digitale Forensik (zusammen DFIR) sichert Beweise: Speicherabbilder, Festplattenkopien sowie Logs aus SIEM und EDR.
Warum Incident Response wichtig ist
Ein vorbereitetes Team macht aus Chaos einen kontrollierten Prozess und verkürzt Ausfallzeiten – bei Ransomware zählt jede Stunde.
Es gibt auch gesetzliche Fristen:
- Nach der DSGVO müssen Datenschutzverletzungen binnen 72 Stunden der Aufsichtsbehörde gemeldet werden.
- Die EU-Richtlinie NIS2 verlangt für erhebliche Vorfälle eine Frühwarnung innerhalb von 24 Stunden, in Deutschland an das BSI.
Fehler wie vorschnelles Neuaufsetzen oder ein gewarnter Angreifer können Beweise vernichten oder eine schnellere Verschlüsselung auslösen.
Empfehlungen
- Erstellen Sie einen Incident-Response-Plan mit klaren Rollen und halten Sie Kontakte und Abläufe auch offline bereit.
- Üben Sie mit Planspielen (Tabletop-Übungen) unter Beteiligung von Geschäftsführung, Rechtsabteilung und Kommunikation.
- Schließen Sie einen Rahmenvertrag mit einem externen IR-Dienstleister ab, bevor Sie ihn brauchen.
- Bewahren Sie Logs und Backups so auf, dass der Angreifer sie nicht löschen kann.
