Incident-Response-Handlungsleitfaden abgestimmt auf NIST SP 800-61r3 und NIS2

Ein praktischer Handlungsleitfaden zur Reaktion auf Vorfälle auf Basis von NIST SP 800-61r3 und NIS2 mit Rollen, einer Schweregrad-Matrix, Nachweisregeln und einem klaren Weg von der Erkennung bis zur Nachbetrachtung.

Dieser Handlungsleitfaden richtet sich an Organisationen, die einen praktikablen Vorfallreaktionsprozess benötigen. Das umfasst NIS2-Einrichtungen, Unternehmen, die sich auf eine ISO/IEC 27001-Zertifizierung vorbereiten, und MSPs, die die Vorfallreaktion für ihre Kunden übernehmen. Er folgt der Struktur von NIST SP 800-61r3 und behält die NIS2-Anforderungen im Blick. Am Ende verfügen Sie über die Grundstruktur eines Vorfallreaktionsplans, eine Schweregrad-Matrix, eine Rollenliste und die Nachweisregeln, die Ihre Einsatzkräfte benötigen. Regulatorische Meldung hat einen eigenen Handlungsleitfaden, den wir an den Entscheidungspunkten verlinken.

Bevor Sie beginnen

NISTs dritte Überarbeitung betrachtet die Vorfallreaktion anders. Sie ist kein eigenständiger Zyklus mehr, sondern Teil des gesamten Cybersicherheits-Risikomanagements. In den CSF-2.0-Funktionen unterstützen Govern, Identify und Protect die Vorbereitung. Detect, Respond und Recover bilden die eigentliche Reaktion. Die Kategorie Improvement (ID.IM) sammelt Erkenntnisse aus jeder Funktion – jederzeit, nicht nur nach Abschluss eines Vorfalls^[1]. Falls Sie bereits NIST CSF 2.0 nutzen, sollte Ihr Vorfallreaktionsplan auf diese Ergebnisse verweisen.

Benennen Sie die Kernrollen und jeweils einen Stellvertreter:

Rolle	Verantwortung	Typischer Inhaber
Incident Manager	Erklärt den Vorfall, legt den Schweregrad fest, leitet den Bridge-Call, verwaltet die Zeitleiste und das Entscheidungsprotokoll	Security Lead, SOC-Manager oder MSP-Lead
Technischer Leiter	Führt Analyse, Eindämmung und Beseitigung durch und leitet die IT- und Cloud-Teams	Senior Engineer oder externer DFIR-Anbieter
Rechtsberater	Berät zu Haftung, Verträgen, Strafverfolgung und Privilegien und überprüft externe Stellungnahmen	Interne Rechtsabteilung oder beauftragte Kanzlei
DSB	Bewertet die Auswirkungen auf personenbezogene Daten und leitet die Entscheidung über die DSGVO-Verletzungsmeldung	Datenschutzbeauftragter
Kommunikationsleiter	Verwaltet interne Updates, Kundenmitteilungen und Medienanfragen	Kommunikations- oder Marketing-Manager
Schirmherr	Genehmigt Entscheidungen mit hoher Auswirkung (Abschaltung von Diensten, Beauftragung externer Parteien, Ausgaben)	Mitglied des Leitungsorgans

NIST listet auch Personalwesen, Facilities, Asset-Eigentümer und Dritte wie MSSPs und Cloud-Anbieter auf. Ihre Rollen sollten in Verträge aufgenommen werden^[1].

Phase 1: Grundlagen schaffen

Vorbereitung entscheidet, wie die anderen Phasen ablaufen. NIS2 Artikel 21(2)(b) listet die Vorfallbehandlung als erforderliche Maßnahme auf^[3]. Für digitale Infrastruktur und digitale Anbieter geht der Anhang zur Durchführungsverordnung (EU) 2024/2690 ins Detail. Er umfasst eine Richtlinie zur Vorfallbehandlung, Überwachung und Protokollierung, Ereignismeldung, Ereignisbewertung und -klassifizierung, Vorfallreaktion und Nachbesprechungen nach Vorfällen^[4]. Einrichtungen in anderen Sektoren können ihn als fundierte Benchmark nutzen.

• Genehmigen Sie eine Richtlinie zur Vorfallreaktion und einen Plan auf Managementebene.
• Führen Sie ein aktuelles Bestandsverzeichnis und Netzwerkdiagramme mit den priorisierten kritischen Diensten.
• Stellen Sie sicher, dass Protokolle zentralisiert, zeitsynchronisiert und lange genug aufbewahrt werden, um Untersuchungen durchzuführen (mindestens 90 Tage online ist eine sinnvolle Grundlage).
• Richten Sie eine Out-of-Band-Kommunikation ein, z. B. einen separaten Chat oder eine Telefonkonferenz, falls E-Mail und Ihr Identitätsanbieter kompromittiert sind.
• Schließen Sie einen Retainer-Vertrag mit einem DFIR-Anbieter ab, prüfen Sie, was Ihre Cyber-Versicherung verlangt, und speichern Sie die Kontaktliste offline.

Phase 2: Erkennung und Triage

Ereignisse stammen aus vielen Quellen: EDR-Warnungen, SIEM-Regeln, Benutzerberichte, Lieferanten, das nationale CSIRT und manchmal der Angreifer. Die Triage entscheidet schnell, ob ein Ereignis ein Vorfall ist und wie schwerwiegend er ist.

• Öffnen Sie ein Ticket für jedes Ereignis und notieren Sie den Zeitpunkt der ersten Erkennung.
• Bestätigen Sie das Ereignis: Suchen Sie nach unterstützenden Protokollen und schließen Sie einen falschen Alarm oder geplante Wartung aus.
• Legen Sie den anfänglichen Geltungsbereich fest: Welche Konten, Hosts, Daten und Dienste sind betroffen.
• Erklären Sie einen Vorfall, wenn die Kriterien erfüllt sind. Der Zeitpunkt der Kenntnisnahme startet die behördlichen Fristen.

Phase 3: Schweregrad festlegen und mobilisieren

Eine gemeinsame Schweregrad-Skala teilt jedem mit, wie viele Personen zu benachrichtigen sind, wie schnell und wer informiert werden muss. Passen Sie die folgende Matrix an Ihre Dienste und Risikotoleranz an. Behandeln Sie sie als interne Skala: Die rechtliche Bedeutung unter NIS2, DORA oder der DSGVO ist ein separater Test.

Schweregrad	Typische Kriterien	Reaktion	Eskalation
SEV-1 Kritisch	Kritischer Dienst ausgefallen oder gefährdet; bestätigte Datenexfiltration; Ransomware; Angreifer mit Domain-Admin-Rechten	Konferenzschaltung innerhalb von 30 Minuten; 24/7 bis zur Eindämmung	Executive Sponsor, Legal und DPO sofort; Meldung prüfen
SEV-2 Hoch	Kompromittiertes privilegiertes Konto; Malware auf mehreren Hosts; personenbezogene Daten wahrscheinlich offengelegt	Konferenzschaltung innerhalb von 2 Stunden; erweiterte Arbeitszeiten	Incident Manager, Legal und DPO am selben Tag; Meldung prüfen
SEV-3 Mittel	Ein Endpunkt oder Benutzerkonto kompromittiert und eingedämmt; keine sensiblen Daten betroffen	Innerhalb eines Geschäftstages	Security Lead; wöchentliche Zusammenfassung
SEV-4 Niedrig	Blockierter Angriff, Richtlinienverletzung, Phishing gemeldet, aber nicht angeklickt	Standard-Warteschlange	Monatliche Metriken

Bei SEV-1 und SEV-2 startet der Incident Manager sofort die Meldungsentscheidung. Folgen Sie dem Handlungsleitfaden für Vorfallsmeldung bei NIS2, DORA, CRA und DSGVO, da die NIS2-Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme fällig ist^[3].

Phase 4: Eindämmung und Beweissicherung

Eindämmung stoppt die Ausbreitung und verschafft Zeit. Beweissicherung stellt sicher, dass Sie nachvollziehen können, was vorgefallen ist, und einen Versicherungsanspruch oder eine Strafanzeige unterstützen können. Erfassen Sie flüchtige Daten, bevor Sie Systeme ändern, wo dies möglich ist. RFC 3227 legt die Reihenfolge der Flüchtigkeit fest: Speicher und Netzwerkzustand kommen vor Festplatte.^[5].

• Kurzfristige Eindämmung: Isolieren Sie Hosts über EDR statt sie auszuschalten, blockieren Sie bösartige IPs und Domains, und deaktivieren Sie kompromittierte Konten und widerrufen Sie deren Sitzungen.
• Nachweise: erfassen Sie Speicher- und Festplattenabbilder von Schlüsselsystemen, exportieren Sie Cloud- und Identitätsprotokolle, bevor sie überschrieben werden, und hashen Sie jedes Artefakt.
• Beweiskette: dokumentieren Sie für jeden Gegenstand, wer ihn gesammelt hat, wann, wie, wo er gelagert wird und jeden Transfer.
• Langfristige Eindämmung: segmentieren Sie Netzwerke, rotieren Sie Anmeldedaten in Prioritätsreihenfolge, und überwachen Sie Systeme, die laufen bleiben müssen, eng.

Phase 5: Bedrohung beseitigen

Die Beseitigung entfernt die Basis des Angreifers, und Sie schließen sie nur ab, wenn Sie den Geltungsbereich verstanden haben. Wenn Sie beseitigen, bevor Sie verstehen, kommt der Angreifer durch einen Persistenzmechanismus zurück, den Sie nicht gesehen haben.

• Identifizieren Sie den Vektor des Erstzugriffs und jeden Persistenzmechanismus: Konten, geplante Aufgaben, OAuth-Berechtigungen, Web-Shells, Remote-Tools.
• Entfernen Sie Malware und nicht autorisierte Konten, und schließen Sie die ausgenutzte Sicherheitslücke.
• Setzen Sie Anmeldedaten in geplanter Reihenfolge zurück: zuerst privilegierte und Service-Konten, dann das Kerberos-KRBTGT-Konto zweimal, wenn Active Directory betroffen ist.
• Scannen Sie die gesamte Infrastruktur auf bekannte Kompromittierungsindikatoren, bevor Sie die Beseitigung für abgeschlossen erklären.

Phase 6: Dienste sicher wiederherstellen

Stellen Sie Dienste in der Reihenfolge Ihrer Geschäftsauswirkungsanalyse wieder her, aus bekanntermaßen sauberen Quellen, mit zusätzlicher Überwachung.

• Stellen Sie aus Sicherungen wieder her, von denen Sie überprüft haben, dass sie sauber sind. Vergleichen Sie das Wiederherstellungsdatum mit der frühesten bekannten Angreifer-Aktivität.
• Erstellen Sie kritische Systeme aus gehärteten Abbildern neu, wenn Sie sich ihrer Integrität nicht sicher sein können.
• Bitten Sie die Asset-Eigentümer, Funktionalität und Datenintegrität zu validieren, bevor Sie für Benutzer und Kunden wieder öffnen.
• Halten Sie die erhöhten Erkennungsregeln mindestens 30 Tage lang aktiv.

Phase 7: Überprüfung und Verbesserung

Der Anhang zur Durchführungsverordnung 2024/2690 erwartet Überprüfungen nach Vorfällen, die die Grundursache und gewonnene Erkenntnisse ermitteln. Außerdem erwartet er, dass die Ergebnisse in Sicherheitsmaßnahmen einfließen^[4]. NIST r3 behandelt Verbesserung als kontinuierlichen Prozess und nicht als abschließende Phase^[1].

• Führen Sie innerhalb von zwei Wochen nach Abschluss jedes SEV-1- und SEV-2-Vorfalls eine schuldfreie Nachbesprechung durch.
• Rekonstruieren Sie den Ablauf, ermitteln Sie, was funktioniert hat und was nicht, und weisen Sie Maßnahmen mit Fristen den Verantwortlichen zu.
• Aktualisieren Sie den Plan, die Handlungsleitfäden, die Erkennungsregeln und das Risikoregister.
• Stellen Sie sicher, dass die Fakten mit den endgültigen Aufsichtsberichten übereinstimmen.

Die begleitende Vorlage enthält einen vollständigen Incident-Response-Plan mit Rollenkarten, die Schweregradmatrix, Kommunikationsvorlagen, ein Nachweisregister und ein Formular für die Nachbesprechung nach Vorfällen. In Secrato werden der genehmigte Plan und Übungsberichte einmalig als Nachweise zu den Vorfallmanagement-Kontrollen gespeichert, und dieses eine Ergebnis zählt für NIS2, CyFun und ISO/IEC 27001.

Wie dies mit anderen Rahmenwerken verbunden ist

ISO/IEC 27001:2022 Annex A, Maßnahmen 5.24 bis 5.28, entsprechen fast eins-zu-eins den oben genannten Phasen: Planung, Bewertung, Reaktion, Lernen und Nachweiserhebung. CyFun umfasst Planung, Analyse und Verbesserung der Incident Response unter seinen Respond- und Recover-Funktionen. DORA Artikel 17 verpflichtet Finanzunternehmen, einen dokumentierten IKT-bezogenen Vorfallmanagement-Prozess mit Frühwarnindikatoren und Verfahren zur Erfassung, Klassifizierung und Eskalation von Vorfällen einzurichten. Ein einziger gut geführter Plan kann die Nachweise für all diese Anforderungen liefern – und für NIS2.

Häufig gestellte Fragen

Ist NIST SP 800-61r2 noch gültig?

NIST gibt an, dass Revision 3 Revision 2 ablöst^[2]. Sie können die praktische Phasenstruktur beibehalten, sollten aber die Verweise und Governance Ihres Plans an r3 und CSF 2.0 anpassen.

Benötigen wir einen separaten Plan für jeden Vorfalltyp?

Nein. Führen Sie einen Plan für den Prozess und die Rollen, und ergänzen Sie ihn um kurze Handlungsleitfäden für häufige Szenarien wie Ransomware, Phishing und Business-E-Mail-Kompromittierung. Jeder Handlungsleitfaden behandelt nur das, was vom Hauptplan abweicht.

Sollten wir infizierte Maschinen ausschalten?

Normalerweise nicht sofort. Die Isolierung einer Maschine über das Netzwerk oder EDR stoppt die Ausbreitung und bewahrt die Speicherbeweise. Schalten Sie die Maschine nur aus, wenn eine Isolierung nicht möglich ist und der Schaden andauert.

Wie oft sollten wir den Plan testen?

Mindestens einmal pro Jahr mit einer Planübung (Tabletop Exercise), an der das Management teilnimmt, und erneut nach größeren Änderungen. Verwenden Sie realistische Szenarien, einschließlich eines Szenarios, in dem E-Mail und der Identitätsanbieter nicht verfügbar sind.