Incident Response: Richtig reagieren auf einen Cyberangriff

Wie Incident Response abläuft

Ein bewährtes Modell stammt vom US-Standardisierungsinstitut NIST (SP 800-61). Es teilt die Reaktion in Phasen: Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. In der Praxis überlappen die Phasen, und oft springt man zurück, etwa wenn bei der Analyse weitere betroffene Systeme auftauchen.

Wichtig ist die Reihenfolge der Ziele: erst die Ausbreitung stoppen, dann Spuren sichern, dann bereinigen und erst danach wiederherstellen. Wer zu früh zurücksichert, holt den Angreifer womöglich mit zurück ins Netz.

Die Phasen im Überblick

Die Rolle der Datensicherung

Bei einem Ransomware-Angriff ist die Wiederherstellung aus Backups oft der einzige Weg zurück ohne Lösegeld. Dafür müssen die Sicherungen den Angriff überstanden haben, also unveränderlich, offline oder mit getrennten Zugängen gespeichert sein.

Ebenso wichtig ist der saubere Wiederherstellungspunkt: Angreifer sind oft Tage oder Wochen im Netz, bevor sie zuschlagen. Die Incident Response muss deshalb klären, ab wann ein Stand vertrauenswürdig ist. Ganze Server lassen sich dann gezielt auf saubere oder neue Hardware zurückholen, zum Beispiel mit Bare Metal Recovery.

Meldepflichten und Kommunikation

Neben der Technik läuft die Uhr für Meldungen: Einrichtungen unter NIS2 müssen einen erheblichen Sicherheitsvorfall spätestens 24 Stunden nach Kenntnis an die gemeinsame Meldestelle von BSI und BBK melden, eine ausführlichere Meldung folgt nach spätestens 72 Stunden. Bei Datenschutzverletzungen kommt nach Art. 33 DSGVO in der Regel die Meldung an die Datenschutzaufsicht binnen 72 Stunden hinzu. Wer meldet, wer mit Kunden, Mitarbeitenden und Presse spricht, gehört deshalb in den IT-Notfallplan.

Worauf es ankommt

Erstens der Plan: Zuständigkeiten, Entscheidungswege, Kontaktliste und Meldewege schriftlich festhalten, auch auf Papier, denn im Ernstfall sind E-Mail und Fileserver oft nicht erreichbar. Zweitens die Übung: Ein Planspiel pro Jahr zeigt Lücken, bevor es ernst wird. Drittens die Hilfe von außen: Ein Incident-Response-Dienstleister mit vereinbarten Reaktionszeiten (Retainer) spart im Ernstfall Stunden. Viertens die Sicherungen: Sie müssen geschützt sein und die Wiederherstellung muss geübt sein.

Incident Response, Notfallplan und Business Continuity

Incident Response kümmert sich um den Sicherheitsvorfall selbst: Angriff stoppen, Angreifer entfernen, Systeme sauber zurückholen. Der IT-Notfallplan regelt, wie die IT bei einem schweren Ausfall wieder anläuft, egal ob durch Angriff, Brand oder Hardwareschaden. Business Continuity schaut auf das ganze Unternehmen: Wie arbeiten wir weiter, während die IT eingeschränkt ist? Alle drei greifen ineinander.