Sicherheitsvorfallsbehandlung

Sicherheitsvorfallsbehandlung bezeichnet das koordinierte Erkennen, Bewerten und Bewältigen eines Sicherheitsvorfalls. Häufig wird dafür der englische Begriff Incident Response verwendet. Ziel ist es, Auswirkungen zu begrenzen, Ursachen zu klären, einen sicheren Betrieb wiederherzustellen und aus dem Vorfall zu lernen. Dazu gehören technische Maßnahmen ebenso wie Zuständigkeiten, Dokumentation, Kommunikation und die Prüfung von Meldepflichten.

Erste Schritte nach den Empfehlungen des BSI

Für Beschäftigte gibt die IT-Notfallkarte des BSI eine einfache Orientierung: ruhig bleiben, die zuständige Notfallstelle informieren, am betroffenen System zunächst nicht weiterarbeiten, Beobachtungen festhalten und weitere Maßnahmen mit den Verantwortlichen abstimmen. Zur Meldung gehören das betroffene System und sein Standort, die bisherige Tätigkeit sowie Zeitpunkt und Art der Beobachtung.

Die organisatorische Checkliste des BSI ergänzt die Einbindung von IT-Betrieb, Informationssicherheit, Geschäftsleitung und gegebenenfalls Datenschutz. Ein Vorfallteam oder Krisenstab braucht klare Entscheidungsbefugnisse, Aufgaben und ein gemeinsames Lagebild. Die Unternehmensleitung sollte frühzeitig klären, welche externe Unterstützung benötigt wird.

Typischer Ablauf

Die folgenden Arbeitsschritte können sich überlappen und müssen bei neuen Erkenntnissen erneut durchlaufen werden. Die SANS-Darstellung von Incident Response unterscheidet Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung.

Vorbereiten: Ansprechpartner, Vertretungen, Erreichbarkeit, Entscheidungskompetenzen, Notfallpläne, Sicherungskopien und Übungen festlegen. Kontaktlisten und sichere Kommunikationsmöglichkeiten sollten auch bei ausgefallener Unternehmens-IT verfügbar sein.
Erkennen und bewerten: Meldungen und Informationssicherheitsereignisse untersuchen, den Umfang eingrenzen und die Dringlichkeit bewerten.
Eindämmen: Weitere Ausbreitung und Schäden begrenzen, etwa durch die fachlich abgestimmte Isolation betroffener Systeme oder Sperrung kompromittierter Konten. Auswirkungen auf wichtige Geschäftsprozesse berücksichtigen.
Untersuchen und beseitigen: Ursache, Zugangsweg und betroffene Informationen klären, Beweismittel sichern und schädliche Komponenten sowie ausgenutzte Sicherheitslücken beseitigen.
Sicher wiederherstellen: Systeme und Daten aus überprüften Sicherungen oder einer vertrauenswürdigen Neuinstallation wiederherstellen, Funktion und Sicherheit testen und auf erneute Auffälligkeiten überwachen.
Nachbereiten: Entscheidungen, Wirksamkeit der Maßnahmen und verbleibende Risiken auswerten. Pläne, Schutzmaßnahmen und Schulungen anhand der Erkenntnisse verbessern.

NIST: Bestandteil des laufenden Risikomanagements

NIST SP 800-61 Rev. 3 von April 2025 ordnet Incident Response in das Cybersecurity Framework 2.0 ein. Die Reaktion umfasst dort Detect, Respond und Recover. Govern, Identify und Protect schaffen unter anderem die organisatorischen und technischen Voraussetzungen. Verbesserungen aus erkannten Schwächen und Vorfällen fließen fortlaufend zurück in das Risikomanagement. Die zuvor häufig zitierte Revision 2 ist durch Revision 3 ersetzt; deren älteres Phasenmodell sollte nicht als neues NIST-Modell ausgegeben werden.

Dokumentation, Kommunikation und typische Fehler

Festzuhalten sind insbesondere Beobachtungen, Zeiten, betroffene Systeme, gesicherte Spuren, Entscheidungen und durchgeführte Maßnahmen. Unkoordinierte Lösch-, Neustart- oder Reparaturversuche können Spuren vernichten oder Schäden vergrößern. Ob ein System isoliert, weiter betrieben oder abgeschaltet werden muss, entscheidet das verantwortliche Team anhand der Lage; bei laufender Verschlüsselung oder unmittelbaren Gefahren kann schnelle Eindämmung Vorrang haben.

Interne und externe Kommunikation sollte abgestimmt, verständlich und auf gesicherte Erkenntnisse gestützt sein. Vorbereitete Notfallpläne und ein Team aus den beteiligten Fachbereichen helfen, den Vorfall zügig einzudämmen, Aufgaben zu koordinieren und betroffene Beschäftigte zu unterstützen. Nach der Bewältigung sollten die Maßnahmen ausgewertet und die Abläufe verbessert werden. Panik, verzögerte Reaktion und das Ignorieren rechtlicher Pflichten erschweren die Bewältigung. Bei Ransomware bietet eine Lösegeldzahlung keine Gewähr für eine erfolgreiche Wiederherstellung oder die Löschung entwendeter Daten.

Meldepflichten werden parallel zur technischen Bewältigung geprüft. Bei einem erheblichen Sicherheitsvorfall einer besonders wichtigen oder wichtigen Einrichtung sieht § 32 BSIG eine frühe Erstmeldung unverzüglich, spätestens nach 24 Stunden ab Kenntniserlangung vor; die weitere Meldung folgt unverzüglich, spätestens nach 72 Stunden. Eine Abschlussmeldung ist grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung vorgesehen; bei fortdauernder Bearbeitung ist stattdessen eine Fortschrittsmeldung erforderlich. Datenschutzrechtliche Pflichten haben eigene Voraussetzungen und können zusätzlich gelten. Eine Meldung darf nicht allein deshalb aufgeschoben werden, weil die Ursachenanalyse noch läuft.

Quellen und weiterführende Informationen

Cyber-Security-Glossar