Die Reaktion auf Sicherheitsvorfälle umfasst die Bearbeitung von der Erkennung bis zur Wiederherstellung. Der Prozess folgt einem festgelegten Rahmen: Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und Auswertung der gewonnenen Erkenntnisse. Jede Phase birgt ihre eigenen Herausforderungen. Die Vorbereitung dient dem Aufbau des Teams, der Bereitstellung der Tools und der Entwicklung von Handlungsanweisungen. Die Identifizierung bestätigt, dass es sich um einen tatsächlichen Vorfall und nicht um einen Fehlalarm handelt. Die Eindämmung stoppt die Ausbreitung. Die Beseitigung entfernt den Zugriff des Angreifers. Die Wiederherstellung stellt den Normalbetrieb wieder her. Die Auswertung der gewonnenen Erkenntnisse verhindert zukünftige Vorfälle.

Geschwindigkeit ist in jedem Schritt entscheidend. Je länger ein Angreifer im System bleibt, desto größer ist der Schaden. Die durchschnittliche Verweildauer, also die Zeitspanne zwischen Kompromittierung und Entdeckung, hat sich zwar über die Jahre verkürzt, beträgt aber für viele Unternehmen immer noch mehrere Wochen. Ransomware-Gruppen agieren noch schneller. Sie exfiltrieren Daten und verschlüsseln Systeme innerhalb weniger Tage. Ein Reaktionsplan, dessen Aktivierung eine Woche dauert, ist angesichts dieses Zeitrahmens nutzlos. Die besten Incident-Response-Teams üben. Sie führen Planspiele durch, simulieren Sicherheitsvorfälle und trainieren die Kommunikation. Sie wissen, wer die Rechtsabteilung einschaltet, wer mit der Presse spricht und wer mit dem Angreifer verhandelt. Wenn es dann tatsächlich zu einem Vorfall kommt, tappen sie nicht im Dunkeln. Sie setzen einen Plan um, den sie bereits zuvor erfolgreich getestet haben.

Phasen der Vorfallsreaktion

• Vorbereitung – Team, Werkzeuge und Spielzüge
• Identifizierung – den Vorfall bestätigen und seinen Umfang festlegen.
• Eindämmung – Ausbreitung stoppen
• Beseitigung – Angreiferzugang entfernen
• Wiederherstellung – Wiederherstellung des Betriebs
• Was wir gelernt haben – beim nächsten Mal besser machen

Die Reaktion auf Zwischenfälle ist Teamarbeit. Die technische Arbeit ist nur die halbe Miete. Kommunikation und Koordination entscheiden über den Erfolg.