Sofortantwort
Incident Response einfach erklärt
Der geübte Ablauf für den Ernstfall: erkennen, eindämmen, beheben, auswerten.
- Kurz gesagt
- Der Plan entsteht vor dem Vorfall – mitten darin ist keine Zeit, Zuständigkeiten zu klären
- Typischer Einsatz
- Datenabfluss, Ransomware, Kompromittierter Zugang
- Wichtig zu wissen
- Die Nachbereitung ist der einzige Teil, der den nächsten Vorfall billiger macht
Incident Response im Überblick
Ein Sicherheitsvorfall ist kein Wartungsfenster. Er kommt unangekündigt, oft nachts, und die ersten Entscheidungen fallen unter Zeitdruck mit halber Information. Incident Response nimmt genau diese Entscheidungen vorweg – solange niemand unter Druck steht.
Der in der Praxis verbreitete Ablauf hat vier Abschnitte:
Vorbereitung Rollen, Kontakte, Zugaenge, Uebung
Erkennung Alarm, Einordnung, Schweregrad
Eindaemmung Ausbreitung stoppen, Ursache beseitigen, Wiederanlauf
Nachbereitung Was hat gefehlt? Was aendern wir?Die Reihenfolge ist keine Formalität. Sie legt fest, was zuerst geschieht, wenn zwei sinnvolle Handlungen sich widersprechen.
Technisch betrachtet
Eindämmen geht vor Aufklären
Der häufigste Fehler in der ersten Stunde ist die Suche nach dem Wie, während der Zugriff noch offen steht. Wer erst versteht und dann handelt, gibt einem Angreifer die Zeit, sich weiter auszubreiten oder Spuren zu löschen.
Die Gegenausnahme gehört in den Plan: Manche Eindämmung zerstört genau die Beweise, die später gebraucht werden – ein neu aufgesetztes System sagt nichts mehr darüber, was auf dem alten geschehen ist. Ob ein Abbild gesichert wird, bevor jemand neu installiert, entscheidet man nicht um vier Uhr morgens.
Die Rollen stehen vorher fest
Ein Plan, der nur Schritte nennt, hilft wenig. Gebraucht werden Namen:
| Rolle | Entscheidet über |
|---|---|
| Einsatzleitung | Schweregrad, Eskalation, wann der Vorfall beendet ist |
| Technische Analyse | Umfang, betroffene Systeme, Ursache |
| Kommunikation | Was Kundschaft, Belegschaft und Aufsicht wann erfahren |
| Recht und Datenschutz | Meldepflichten und Fristen |
In kleinen Teams trägt eine Person mehrere Rollen. Das ist zulässig – unklar darf nur nicht sein, wer gerade welche hat.
Was die aktuelle NIST-Fassung geändert hat
Die vier Abschnitte oben stammen aus NIST SP 800-61 in der zweiten Fassung. Die dritte Fassung zeichnet Incident Response nicht mehr als eigenen Kreislauf, sondern ordnet die Empfehlungen entlang der Funktionen des Cybersecurity Framework 2.0 ein.
Dahinter steht ein anderer Blickwinkel, nicht nur eine andere Gliederung: Vorbereitung und Nachbereitung sind dort keine Randphasen einer Störung, sondern laufende Aufgaben des Risikomanagements. Wer nach dem Vier-Phasen-Bild arbeitet, macht nichts falsch – sollte aber wissen, dass die aktuelle Fassung es so nicht mehr darstellt.
Die Nachbereitung ist der Teil, den alle auslassen
Nach dem Wiederanlauf ist der Druck weg, und damit meist auch das Interesse. Genau dort entsteht aber der einzige bleibende Ertrag eines Vorfalls: die Antwort auf die Frage, was gefehlt hat.
Nützlich sind wenige, konkrete Punkte statt eines langen Berichts – welche Meldung zu spät kam, welcher Zugang breiter war als nötig, welcher Kontakt nicht erreichbar war. Jeder davon wird eine Änderung mit Zuständigkeit und Datum, sonst ist die Nachbereitung eine Erzählung.
Abgrenzung zu verwandten Begriffen
- Observability beantwortet, ob etwas nicht stimmt, und liefert die Signale. Incident Response beginnt bei der Frage, was daraufhin geschieht.
- Audit Logging liefert die Spur, an der ein Vorfall rekonstruiert wird. Ohne sie bleibt der Umfang eines Zugriffs eine Vermutung – und eine Meldepflicht lässt sich auf Vermutungen nicht erfüllen.
- IT-Sicherheit umfasst beides: die Maßnahmen, die einen Vorfall verhindern sollen, und die Vorbereitung darauf, dass eine davon versagt.