Was ist Incident Response?
Die Gesamtheit der Tätigkeiten, mit denen bei einem Sicherheitsvorfall wie einem Cyberangriff der Schaden entdeckt und seine Ausbreitung gestoppt, die Ursache beseitigt, der Betrieb wiederhergestellt und aus den Lehren für das nächste Mal gelernt wird. Die zweite Ausgabe (2012) von SP 800-61 des US-amerikanischen NIST beschreibt die vier Phasen Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Nachbereitung; die dritte Ausgabe von 2025 wurde an Version 2.0 des Cybersecurity Framework (CSF) angepasst und neu gegliedert. In der Organisation steht das CSIRT im Mittelpunkt und arbeitet mit SOC, Systemverantwortlichen, Rechtsabteilung, Öffentlichkeitsarbeit, Geschäftsleitung usw. zusammen.
Japanische Bezeichnung: インシデントレスポンス
„Incident Response“ kommt in 2 Übungsfragen aus 1 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis.
Fachgebiet: Cyberangriffe und Abwehr in der Praxis
Die Vorbereitung entscheidet über das Ergebnis
Wie schnell reagiert werden kann, hängt stark von der Vorbereitung vor einem Sicherheitsvorfall ab. Meldewege und Entscheidungsbefugnisse, Ablaufpläne (Playbooks), Sammlung und Aufbewahrung von Logs, Backups, Untersuchungswerkzeuge sowie Kontakte zu externen Fachanbietern, Polizei usw. werden vorab festgelegt und in Übungen wie Planspielen überprüft.
Eindämmung und Beweissicherung
Bei der Eindämmung, die die Ausbreitung des Schadens stoppt, werden Mittel wie das Trennen von Endgeräten vom Netzwerk, das Sperren von Konten und das Blockieren von Verbindungen eingesetzt. Wird jedoch sofort neu installiert oder ausgeschaltet, gehen Beweise (Arbeitsspeicherinhalt, Logs) verloren, mit denen sich der Eindringweg untersuchen ließe, und es droht ein erneutes Eindringen, weil die Ursache nicht beseitigt wurde. Die Reihenfolge von Untersuchung und Eindämmung wird je nach Lage entschieden.
Nachbereitung
Nach Abschluss der Reaktion wird zurückgeschaut, was geschehen ist, was gut lief und was fehlte, und zwar nicht, um Einzelne zur Verantwortung zu ziehen, sondern um die Abläufe zu verbessern. Die Ergebnisse fließen in die Überarbeitung von Erkennungsregeln, Ablaufplänen und Systemkonfiguration ein, und die Verbesserung wird mit Kennzahlen wie der mittleren Zeit bis zur Erkennung überprüft.
Häufige Fragen
Sind Incident Response und das Incident-Management im IT-Service-Management dasselbe?
Sie überschneiden sich, sind aber nicht dasselbe. Das Incident-Management nach ITIL u. a. soll nach Dienstunterbrechungen einschließlich Störungen so schnell wie möglich den Normalzustand wiederherstellen. Bei der Incident Response für Sicherheitsvorfälle kommen das Entfernen des Angreifers, die Beweissicherung und gesetzlich vorgeschriebene Meldungen hinzu; deshalb führt das CSIRT sie mit eigenen Abläufen durch.
Lässt sich nach einer Ransomware-Infektion durch Zahlung des Lösegelds schneller wiederherstellen?
Auch nach einer Zahlung gibt es keine Garantie für die Entschlüsselung und auch keine, dass das Versprechen eingehalten wird, gestohlene Daten nicht zu veröffentlichen. Die Zahlung finanziert weitere Angriffe und kann je nach Empfänger rechtliche Probleme verursachen. Viele Behörden empfehlen, nicht zu zahlen, und man bereitet sich darauf vor, aus vom Netzwerk getrennten Backups wiederherzustellen.