Incident Response: Hilfe, Wiederanlauf und Kosten
Incident Response koordiniert die technische Bewältigung eines Sicherheitsvorfalls. Dazu können Ersteinschätzung, Eindämmung, Ursachenanalyse und Wiederanlauf gehören. Vorbereitung oder Bereitschaft sind eigene Leistungen. Bei einem laufenden Angriff sollten die zuständigen IT-Verantwortlichen sofort eingebunden werden; eine Offertenanfrage garantiert keinen unmittelbaren Notfalleinsatz.
Aktuelle Lage vor dem Leistungspaket benennen
Unterscheiden Sie einen Verdacht, einen laufenden Vorfall, bereits eingedämmte Schäden und die spätere Nachbereitung. Eine verdächtige Meldung beweist noch keine vollständige Kompromittierung. Umgekehrt bedeutet ein wieder laufender Computer nicht, dass alle Zugänge sauber sind.
Die erste fachliche Einschätzung soll Dringlichkeit, bekannte Auswirkungen und verfügbare Informationen ordnen. Vereinbaren Sie, wer den Einsatz leitet und Entscheidungen freigibt. Bereits vorhandene Unterstützung muss berücksichtigt werden.
Betroffene Bereiche und erste Aufgabe abgrenzen
Ein Vorfall kann Geräte, Server, Benutzerkonten, Cloud-Dienste und Netzwerkkomponenten zugleich betreffen. Geben Sie den bekannten Umfang an, ohne nicht betroffene Systeme sicher auszuschliessen. Die Untersuchung kann den Umfang später ändern.
| Arbeit | Erwartetes Ziel |
|---|---|
| Ersteinschätzung | Verdacht, Auswirkungen und nächste Schritte ordnen |
| Eindämmung | Weitere Ausbreitung oder schädlichen Zugriff begrenzen |
| Bereinigung | Ursache und fortbestehende Angriffsmöglichkeiten bearbeiten |
| Wiederanlauf | Systeme und Daten kontrolliert nutzbar machen |
| Nachbereitung | Befunde, verbleibende Risiken und Verbesserungen dokumentieren |
Beweiserhalt und Betriebsbedarf gemeinsam planen
Protokolle und andere Spuren können für Ursache, Umfang und weitere Entscheidungen wichtig sein. Abstimmung vor Neuinstallation oder unkoordinierten Neustarts verhindert vermeidbaren Verlust. Welche Sicherung sinnvoll ist, hängt von Zustand und Prioritäten ab.
Erlaubte Eingriffe, Zeitpunkt und Wirkung müssen dokumentiert werden. Vertiefte Forensik ist nicht automatisch in jeder Soforthilfe enthalten. Klären Sie früh, ob zusätzlich ein nachvollziehbarer Untersuchungsbericht benötigt wird.
Entscheidungen und Kommunikation organisieren
Benennen Sie erreichbare Ansprechpartner und erlaubte Eingriffe. Kontensperren, Netztrennung oder Abschaltung können auch legitime Arbeit unterbrechen. Zuständigkeiten für Freigaben, Lieferanten und interne Information müssen klar sein.
Prüfen Sie mit den passenden Verantwortlichen mögliche Melde-, Vertrags- und Informationspflichten. Diese hängen von Organisation und Vorfall ab; nicht jeder Fall hat dieselben Fristen. Eine technische Einsatzleitung ersetzt keine notwendige rechtliche Beurteilung.
Wiederherstellung als kontrollierten Schritt beauftragen
Eine Rücksicherung allein beseitigt weder den ursprünglichen Zugangsweg noch kompromittierte Berechtigungen. Vertrauenswürdige Systeme, geeignete Sicherungen und korrigierte Zugänge müssen zusammen geprüft werden. Priorisieren Sie die für den Betrieb wichtigsten Abhängigkeiten.
Vereinbaren Sie Funktionsprüfungen und Beobachtung nach dem Wiederanlauf. Halten Sie fest, welche Fragen offenbleiben und wer weitere Korrekturen übernimmt. Eine erfolgreich startende Anwendung beweist keine vollständige Sicherheit.
Bereitschaft und tatsächlichen Einsatz getrennt vergleichen
Ein Bereitschaftsvertrag kann Zugang zu Hilfe vorbereiten, deckt aber nicht zwingend die gesamte Bearbeitung ab. Vergleichen Sie Reaktionsbedingungen, Einsatzzeiten, Mindestabrechnung, Reise und zusätzliche Spezialisten. Keine allgemeine Sofortverfügbarkeit unterstellen.
Der tatsächliche Aufwand richtet sich nach Umfang, Zugriffsmöglichkeiten, Datenlage und Wiederherstellungsbedarf. Vereinbaren Sie etappenweise Freigaben statt eines unbegrenzten Auftrags. Bericht, Forensik, Speicher und Nachbegleitung müssen erkennbar enthalten oder ausgeschlossen sein.
| Kostenpunkt | Vertrag konkretisieren |
|---|---|
| Vorbereitung / Bereitschaft | Einbindung, Bedingungen und enthaltene Arbeit |
| Ersteinsatz | Zeiten, Mindestabrechnung und zuständige Fachleute |
| Untersuchung | Quellen, Umfang und Zusatzforensik |
| Wiederanlauf | Systeme, Daten und Abnahme |
| Nachbegleitung | Beobachtung, Bericht und weitere Änderungen |
Eine kurze nutzbare Anfrage formulieren
Für die Vermittlung reichen Vorfallstatus, betroffene Bereiche, bekannte Mengen, Betriebsauswirkung und gewünschte Hilfe. Beschreiben Sie bereits erledigte Arbeiten im gemeinsamen Text. Keine echten Protokolle, Opfernamen, Kennwörter oder Angreiferkommunikation einfügen.
Nach Auswahl erfolgt geschützter Informationsaustausch und ein klar begrenzter Auftrag. Zum Abschluss sollten Massnahmen, Ergebnis, offene Punkte und weitere Zuständigkeiten übergeben werden. Bei Vorbereitung ohne Vorfall können Ablauf und Erreichbarkeit in einer sicheren Übung geprüft werden.
Häufige Fragen
Ist die Offertenanfrage ein garantierter Notfallkanal?
Nein. Ein sofortiger Einsatz muss ausdrücklich mit erreichbaren Fachleuten vereinbart werden. Binden Sie bei einem laufenden Angriff die zuständigen IT-Verantwortlichen umgehend ein.
Genügt ein Verdacht für eine Anfrage?
Ja. Geben Sie ihn als Verdacht an. Die fachliche Ersteinschätzung klärt den nächsten Schritt ohne vorweggenommene Diagnose.
Ist Forensik automatisch enthalten?
Nein. Tiefe Untersuchung, Beweissicherung und spezielle Berichte müssen im Auftrag beschrieben sein.
Reicht eine Rücksicherung aus?
Nicht automatisch. Ursache, Zugänge und Vertrauenswürdigkeit der Systeme müssen beim Wiederanlauf berücksichtigt werden.
Kann man Incident Response vorbereiten?
Ja. Rollen, Eskalation, Zugriffsvoraussetzungen und Übungen können vor einem Vorfall vereinbart werden.
Sind alle Vorfälle meldepflichtig?
Eine pauschale Aussage ist nicht möglich. Prüfen Sie die konkreten Pflichten anhand Organisation, Daten und Vorfall mit den zuständigen Verantwortlichen.
