Incident Response ist das geordnete Vorgehen bei einem Sicherheitsvorfall, von der Erkennung bis zur Auswertung. Auf Deutsch spricht man von Vorfallsbehandlung oder Notfallmanagement.
- Incident Response
Das geordnete Vorgehen bei einem Sicherheitsvorfall, von der Erkennung bis zur Auswertung.
Beispiel: „Die Incident Response begann damit, die betroffenen Rechner vom Netz zu nehmen.“Auch: Das Team dafür heißt CSIRT oder CERT. Der Plan dahinter heißt Notfallplan oder Incident-Response-Plan.
Abgrenzung zur Wiederherstellung: Die Wiederherstellung bringt den Betrieb zurück. Die Incident Response klärt zusätzlich, was passiert ist, und sorgt dafür, dass der Weg geschlossen wird.
Welche Schritte zur Incident Response gehören
Vier, in dieser Reihenfolge: eingrenzen, beseitigen, wiederherstellen, auswerten. Eingrenzen heißt, die Ausbreitung zu stoppen, ohne Spuren zu vernichten; beseitigen heißt, den Zugang des Angreifers zu schließen, auch die nachträglich angelegten, siehe Backdoor. Erst danach kommt die Wiederherstellung, und zum Schluss die Frage, was anders laufen muss. Die bekannte Lehre mit fünf Phasen hat das NIST im April 2025 durch eine Einbettung in sein Rahmenwerk ersetzt; die Reihenfolge der Handgriffe ist dieselbe geblieben.
Welche Meldefristen gelten
Zwei Fristen, je nach Art des Vorfalls. Sind personenbezogene Daten betroffen, verlangt die Datenschutz-Grundverordnung eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Für Unternehmen, die unter das BSI-Gesetz fallen, kommt eine schärfere Staffel dazu: eine Erstmeldung „unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung“, eine Folgemeldung binnen 72 Stunden und ein Abschlussbericht spätestens einen Monat danach.
Was vorher geregelt sein muss
Wer entscheidet, wen man erreicht und wovon es eine Sicherung gibt. Mitten im Vorfall ist keine Zeit, Zuständigkeiten zu klären oder festzustellen, dass die Telefonliste im verschlüsselten Dateisystem liegt. Der Plan gehört deshalb auf Papier und einmal im Jahr durchgespielt. Dazu kommt die Entscheidung im Voraus, ab wann Strafanzeige erstattet und die Versicherung eingeschaltet wird.