Incident Response: Was tun bei einem Sicherheitsvorfall?

Ein geklickter Phishing-Link, ein verschlüsselter Server, ein unbekannter Zugriff auf das E-Mail-Konto der Geschäftsführung: Spätestens dann stellt sich die Frage nicht mehr, ob ein Sicherheitsvorfall passieren kann, sondern wie gut das Unternehmen darauf reagiert. Der Unterschied zwischen einem kontrollierbaren Schaden und einer existenziellen Krise liegt selten in der Technik. Er liegt darin, ob in den ersten Stunden klare Entscheidungen fallen – und ob vorher festgelegt wurde, wer sie trifft.

Was zählt als Sicherheitsvorfall?

Nicht jede Virenwarnung ist ein Vorfall. Ein Sicherheitsvorfall liegt vor, wenn die berechtigte Vermutung besteht, dass Vertraulichkeit, Integrität oder Verfügbarkeit von Daten oder Systemen beeinträchtigt wurden. Typische Beispiele: Ransomware hat Dateien verschlüsselt, ein Angreifer hat sich Zugang zu E-Mail-Konten verschafft, Daten wurden abgezogen, ein Notebook mit Kundendaten ist verloren gegangen.

Wichtig ist die Unterscheidung zwischen Ereignis und Vorfall. Eine blockierte Phishing-Mail ist ein Ereignis, das im Alltag vorkommt. Hat ein Mitarbeiter den Link geöffnet und Zugangsdaten eingegeben, wird daraus ein Vorfall. Im Zweifel gilt: Behandeln Sie den Fall zunächst als Vorfall. Eine Herunterstufung ist jederzeit möglich, eine verschlafene Eskalation nicht.

Die ersten Schritte: eindämmen statt aufräumen

Die größten Fehler passieren unmittelbar nach der Entdeckung. Wer sofort neu installiert, Dateien löscht oder den betroffenen Rechner ausschaltet, vernichtet Informationen, die später fehlen.

Isolieren Sie betroffene Systeme vom Netzwerk, indem Sie das Kabel ziehen oder das WLAN deaktivieren. Schalten Sie das Gerät nicht vorschnell aus: Im Arbeitsspeicher liegen Spuren, die für die Analyse wichtig sein können. Eine Ausnahme gilt, wenn sichtbar gerade eine Verschlüsselung läuft – dann kann ein sofortiges Ausschalten den Schaden begrenzen. Diese Abwägung sollte im Notfallplan vorab beschrieben sein.

Sperren Sie betroffene Benutzerkonten und ändern Sie Kennwörter – von einem Gerät, das nachweislich nicht betroffen ist. Kommunizieren Sie nicht über möglicherweise kompromittierte Kanäle: Wenn das E-Mail-System betroffen ist, stimmen Sie sich telefonisch ab. Und beginnen Sie sofort mit einem Stundenbuch: Wer hat wann was bemerkt, welche Maßnahmen wurden ergriffen, wer wurde informiert. Diese Aufzeichnung ist später Gold wert – für die Versicherung, für Behörden und für die eigene Nachbereitung.

Wer handelt? Rollen und Zuständigkeiten

Ein Sicherheitsvorfall ist kein reines IT-Thema. Es braucht eine Person, die den Vorfall leitet und die Befugnis hat, auch unangenehme Entscheidungen zu treffen – etwa, einen produktiven Server vom Netz zu nehmen. In kleinen Unternehmen ist das häufig die Geschäftsführung zusammen mit der IT-Verantwortung. Die Geschäftsführung muss früh informiert werden, denn Entscheidungen über Kundenkommunikation, Betriebsunterbrechung oder eine etwaige Lösegeldforderung sind Unternehmensentscheidungen, keine technischen.

Klären Sie vorab, welche Rolle ein externer IT-Dienstleister übernimmt. Konkrete Fragen an den Anbieter: Gibt es einen Notfallkontakt außerhalb der Geschäftszeiten? Wie schnell ist im Ernstfall Hilfe verfügbar? Gibt es Erfahrung mit der Analyse von Sicherheitsvorfällen, oder wird dafür ein Spezialist hinzugezogen? Wer koordiniert die Maßnahmen, und welche Entscheidungen darf der Dienstleister selbst treffen? Wer diese Fragen erst während eines laufenden Angriffs stellt, verliert Zeit, die er nicht hat.

Beweissicherung vor Wiederherstellung

Der Impuls, schnell wieder arbeitsfähig zu werden, ist verständlich – und gefährlich. Bevor Systeme neu aufgesetzt werden, sollten Beweise gesichert sein: Screenshots von Fehlermeldungen und Erpresserschreiben, gesicherte Logdateien, die Dokumentation des zeitlichen Ablaufs. Bei größeren Vorfällen lohnt sich eine forensische Sicherung der betroffenen Systeme, bevor sie bereinigt werden.

Das ist keine Formalität. Ohne Analyse lässt sich nicht beurteilen, ob Daten abgeflossen sind – und genau davon hängt ab, ob Meldepflichten ausgelöst werden. Außerdem verlangen Cyberversicherungen häufig eine nachvollziehbare Dokumentation, und für eine Strafanzeige sind gesicherte Spuren hilfreich.

Meldepflichten, Versicherung und Strafanzeige

Sind personenbezogene Daten betroffen, besteht nach der Datenschutz-Grundverordnung eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde; unter bestimmten Voraussetzungen müssen auch die betroffenen Personen informiert werden. Die Einschätzung, ob eine Meldung erforderlich ist, sollte mit dem Datenschutzbeauftragten oder einem Fachanwalt erfolgen – nicht aus dem Bauch heraus.

Je nach Branche und Unternehmensgröße können weitere Pflichten greifen. Mit NIS2 wurden die Anforderungen an viele Branchen erweitert, und Betreiber kritischer Infrastrukturen melden Vorfälle zusätzlich an das Bundesamt für Sicherheit in der Informationstechnik. Prüfen Sie in ruhigen Zeiten, welche Regelungen für Ihr Unternehmen gelten.

Zwei weitere Punkte werden oft vergessen: Cyberversicherungen verlangen in der Regel eine unverzügliche Meldung und arbeiten mit festen Dienstleistern – wer erst aufräumt und dann meldet, riskiert die Deckung. Und eine Strafanzeige bei der Polizei ist kein Eingeständnis eigener Fehler, sondern sichert rechtliche Optionen und wird von Versicherern häufig erwartet.

Wiederherstellung und Nachbereitung

Backups erst zurückspielen, wenn zwei Fragen beantwortet sind: Wie ist der Angreifer hereingekommen, und ist dieser Weg geschlossen? Wer ein System aus dem Backup wiederherstellt, während die Lücke offen ist, erlebt den zweiten Angriff kurz darauf. Prüfen Sie außerdem, ob die Backups selbst sauber sind – Angreifer versuchen regelmäßig, auch Sicherungen zu verschlüsseln oder zu manipulieren.

Stellen Sie Systeme in der Reihenfolge ihrer Bedeutung für den Betrieb wieder her und testen Sie sie, bevor sie ans Netz gehen. Wenn der Alltag zurückkehrt, folgt der wichtigste Schritt: die Nachbesprechung. Was hat funktioniert, wo gab es Verzögerungen, welche Kontakte fehlten? Aus jeder Nachbesprechung sollten konkrete Änderungen am Notfallplan und an der technischen Absicherung resultieren.

Wie viel Vorbereitung ist angemessen – und wann ist es zu viel?

Ehrlichkeit gehört dazu: Nicht jedes Unternehmen braucht ein ausgewachsenes Incident-Response-Programm. Für ein kleines Unternehmen ohne besonders sensible Daten ist ein umfangreiches Handbuch mit regelmäßigen Simulationen überdimensioniert. Ebenso ist eine aufwendige forensische Untersuchung nicht immer verhältnismäßig: Wenn ein einzelner Phishing-Klick ohne weitere Auffälligkeiten bleibt, können das Zurücksetzen der Zugangsdaten und eine engmaschige Beobachtung der Konten ausreichen.

Was sich dagegen nie lohnt, ist gar keine Vorbereitung. Das Minimum, das jedes Unternehmen braucht, ist kompakt: eine aktuelle Kontaktliste mit Geschäftsführung, IT und Dienstleister, die beschriebenen Erstmaßnahmen zum Isolieren und Sperren, die Festlegung, wer im Ernstfall entscheidet, und die Gewissheit, dass die Datensicherung funktioniert und getestet wird. Aufwendigere Übungen und vertraglich zugesicherte Reaktionszeiten sind dann sinnvoll, wenn regulatorische Pflichten bestehen, besonders schützenswerte Daten verarbeitet werden oder ein längerer Betriebsstillstand existenzbedrohend wäre.

Ein Sicherheitsvorfall ist Stress. Ein vorbereitetes Unternehmen verwandelt diesen Stress in ein abgearbeitetes Verfahren – und genau das ist der Unterschied zwischen einem schlechten Tag und einer Krise.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.