Erklärung
Ein Sicherheitsvorfall verlangt Entscheidungen unter Zeitdruck: Was ist betroffen, wie wird die Ausbreitung gestoppt, wer wird informiert, welche Spuren sind zu sichern? Incident Response beschreibt dafür Rollen, Abläufe und Kommunikationswege, idealerweise vorab festgelegt und geübt. Gängige Modelle gliedern den Prozess in Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Nachbereitung. Eine ausführliche Darstellung bietet das NIST in seinen Empfehlungen zur Reaktion auf Sicherheitsvorfälle.
Zwischen schneller Wiederherstellung und sorgfältiger Beweissicherung besteht oft ein Zielkonflikt. Wer Systeme sofort neu aufsetzt, beseitigt auch Spuren. Eine gute Vorbereitung legt deshalb fest, wann gesichert wird, bevor bereinigt wird (digitale Beweissicherung), und wer entscheidet. Hinzu kommen rechtliche Pflichten, zum Beispiel Meldefristen bei Datenschutzverletzungen oder gegenüber Versicherern. Welche im Einzelfall gelten, ist rechtlich zu klären.
Typisches Beispiel (schematisch)
Ein Mitarbeiter meldet eine verdächtige Zahlungsanweisung. Das Team prüft, isoliert das betroffene Konto, sichert Protokolle und Postfachdaten, informiert die Bank und die Geschäftsleitung und dokumentiert alle Schritte.
Bedeutung für Forensik und Ermittlungen
Forensik liefert in der Analysephase Antworten auf die Fragen nach Einstieg, Umfang und Auswirkung und stützt Entscheidungen über Eindämmung und Meldung.
Erkennung und Prävention
Ein Notfallplan mit Ansprechpartnern, Kontaktwegen außerhalb der betroffenen Systeme und regelmäßigen Übungen verkürzt die Reaktionszeit. Siehe auch Logdateien.
Auch gesucht als Incident Handling, Vorfallsbehandlung, Vorfallbearbeitung, Cyber Incident Response, IR, Notfallreaktion, Sicherheitsvorfall-Management, Reaktion auf Sicherheitsvorfälle