IncidentResponsePlänen

Incident-Response-Pläne sind formale Dokumente, die Organisationen anleiten, Sicherheitsvorfälle systematisch zu erkennen, zu bewerten, zu begrenzen, zu beheben und den Normalbetrieb wiederherzustellen. Sie definieren Ziele, Verantwortlichkeiten und Kommunikationswege über alle betroffenen Bereiche hinweg.

Der Geltungsbereich umfasst IT-Systeme, Netzwerke, Daten und gegebenenfalls physische Sicherheitsaspekte. Ziel ist es, Auswirkungen zu minimieren, Compliance-Anforderungen zu erfüllen, Beweise zu sichern und das Vertrauen von Kunden, Partnern und Aufsichtsbehörden zu wahren.

Typische Bestandteile sind Rollen und Kontaktlisten, Klassifikations- und Eskalationsstufen, standardisierte Handlungsanweisungen für Erkennung, Containment, Beseitigung, Wiederherstellung, Kommunikationspläne sowie Verfahren zur Beweissicherung und Dokumentation.

Der incident response lifecycle umfasst Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung, Wiederherstellung sowie Nachbereitung und Lernprozesse. Übungen, Tischübungen und regelmäßige Aktualisierung der Pläne gewährleisten eine Anpassung an neue Bedrohungen.

Die Implementierung erfolgt in Verbindung mit Sicherheitsbetriebsprozessen, Governance und Compliance. Zusammenarbeit mit externen Stellen wie CERT/CSIRT, Rechts- und Kommunikationsabteilungen ist üblich. Regelmäßige Audits, Schulungen und Simulationen unterstützen die Wirksamkeit. Die Praxis wird oft durch Standards wie ISO/IEC 27035 oder NIST SP 800-61 gestützt.

Gängige Kennzahlen umfassen Zeit bis zur Erkennung, Zeit bis zur Behebung, Anzahl der registrierten Vorfälle sowie Ergebnisse der Nachbesprechung. Ein IR-Plan ist ein lebendiges Dokument, das kontinuierlich anhand neuer Risiken angepasst wird.