Incident Response (IR) ist der strukturierte Ablauf bei Sicherheitsvorfällen — Erkennung, Eindämmung, Analyse, Beseitigung, Wiederherstellung und Lessons Learned — statt Panik und improvisiertem Löschen von Beweisen.
Was bedeutet Incident Response?
Phasen: Prepare (Plan, Kontakte), Detect (Alerts, Meldungen), Contain (Netz trennen, Konten sperren), Eradicate (Malware entfernen, Lücken schließen), Recover (Restore), Post-Incident (Report, DSGVO-Meldung wenn nötig).
KMU ohne SOC nutzen MSP und Defender-Alerts. Wichtig: wer entscheidet Lösegeld? Wer spricht mit Behörde? Vorab klären.
Forensik: Logs sichern bevor Rotation löscht. Entscheidung Lösegeld: vorab mit Versicherung und Anwalt — nicht um 3 Uhr nachts neu erfinden. Kommunikation extern koordinieren — ein Sprecher.
Legen Sie fest, wer Entscheidung Lösegeld vorbereitet — Versicherung, Anwalt, GF — und wer technisch isoliert. Telefonnummern offline. Nach jedem Vorfall 30-Minuten-Retrospektive ohne Schuldzuweisung.
Incident Response definiert Rollen: wer isoliert Systeme, wer informiert Datenschutz, wer spricht mit Versicherung, wer dokumentiert Timeline. Bei Verdacht auf Ransomware gilt oft: nicht sofort alles abschalten, sondern kontrolliert isolieren und Beweise sichern.
Warum ist Incident Response relevant für KMU?
Erste Stunden entscheiden über Ausbreitung und Beweissicherung — falsches Herunterfahren zerstört Forensik.
Meldepflichtige Datenpanne hat 72-Stunden-Frist — IR-Plan integriert Datenschutz.
Meldepflicht NIS-2 und DSGVO parallel möglich — IR-Plan mit Datenschutz abstimmen. Eine Timeline für alle Behörden und Betroffenen spart Doppelarbeit und Fristfehler.
72-Stunden-Meldefristen und Presse laufen unabhängig von IT-Fertigstellung — IR koordiniert beides. Geübte Abläufe sparen Bußgelder und Nerven.
Presse und Social Media — wer spricht? Keine voreiligen Details nach außen. Beweise für Strafanzeige sichern wenn sinnvoll. Post-Mortem ohne Schuldzuweisung — Prozess verbessern.
Ohne Rollen und Reihenfolge verlieren KMU in der ersten Stunde — Isolieren, Beweise sichern, Versicherung informieren. Ein einseitiger IR-Plan mit Telefonnummern offline reicht oft; Übung zeigt Lücken, bevor ein echter Vorfall sie offenlegt.
Abstimmung mit Datenschutz verhindert widersprüchliche Meldungen an Behörden und Betroffene — ein gemeinsamer Ablauf spart Nerven unter Zeitdruck.
Typische Fehler
- Sofort alles neu installieren — Täter noch im Netz
- Keine Protokollierung wer was wann tat
- PR und Technik widersprechen sich nach außen
- Kein externer IR-Dienst in schweren Fällen eingeplant
Praxisbeispiel
Phishing-Kompromittierung bei Kanzlei — IR-Plan: Postfach isolieren, Passwort-Reset erzwingen, Mail-Trace, MFA prüfen. Kein Lateral Move, Mandanteninfo nach 24 Stunden — Vorfall dokumentiert für Versicherung.
Verdacht auf Bürgschaftsbetrug per E-Mail: GF ruft laut IR-Plan den Mandanten zurück, Zahlung stoppt. IT sichert Header und Anhänge, entfernt Schadmail aus Postfächern. Nachbesprechung aktualisiert Phishing-Schulung und verschärft Freigabe für Überweisungen über 5.000 Euro.
Verwandte Begriffe
Persönliche IT-Betreuung
Sie brauchen einen festen Ansprechpartner statt Einzel-Lösungen? Tim unterstützt Unternehmen bis 25 Mitarbeiter verständlich und persönlich.
Externe IT-Betreuung anfragen