Incident Response & digitale Forensik

Rev. 3 (April 2025) ersetzt den vier Phasen umfassenden Lifecycle der Vorgängerversion von 2012 (Preparation; Detection & Analysis; Containment, Eradication & Recovery; Post-Incident Activity) durch ein Modell entlang der sechs Funktionen des NIST CSF 2.0. Govern, Identify und Protect bilden die Vorbereitung: Sie verhindern Vorfälle, reduzieren deren Auswirkungen und verankern Incident Response im Risikomanagement. Detect, Respond und Recover bilden die eigentliche Incident Response – vom Erkennen und Analysieren über Eindämmung und Beseitigung bis zur Wiederherstellung samt Meldungen und Kommunikation. Neu ist die Rolle der kontinuierlichen Verbesserung: Lessons Learned fließen über die Improvement-Kategorie (ID.IM) jederzeit in alle Funktionen zurück, nicht erst nach Abschluss des Vorfalls.

Incident Response gelingt nur mit klar verteilten Rollen: Die Leitungsebene steuert und entscheidet über einschneidende Maßnahmen wie das Abschalten oder den Neuaufbau kritischer Dienste; Incident Handler verifizieren den Vorfall, sammeln und analysieren Daten und Beweise, priorisieren Maßnahmen und begrenzen den Schaden. SP 800-61r3 betont, dass daneben viele interne und externe Parteien beteiligt sind – etwa Rechtsabteilung, Datenschutz, Kommunikation, Dienstleister und Cloud-Provider. Im deutschen Krisenmanagement hat sich dafür die besondere Aufbauorganisation (BAO) etabliert: ein vorab definierter Krisenstab mit eigenen Eskalations- und Entscheidungswegen, der die Linienorganisation im Ernstfall entlastet. Entscheidungsbefugnisse und Erreichbarkeiten müssen vor dem Vorfall festgelegt sein, nicht währenddessen.

Nach Art. 23 der NIS2-Richtlinie (EU) 2022/2555 melden wesentliche und wichtige Einrichtungen erhebliche Sicherheitsvorfälle in Stufen an das CSIRT bzw. die zuständige Behörde – in Deutschland an das BSI nach dem novellierten BSI-Gesetz: Frühwarnung binnen 24 Stunden nach Kenntnisnahme, Meldung mit erster Bewertung unverzüglich, in jedem Fall binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung; betroffene Empfänger der Dienste sind unverzüglich zu unterrichten. Sind personenbezogene Daten verletzt, verlangt Art. 33 DSGVO zusätzlich eine Meldung an die Datenschutz-Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden; bei voraussichtlich hohem Risiko sind nach Art. 34 DSGVO auch die Betroffenen unverzüglich zu benachrichtigen. Ein einziger Vorfall kann also mehrere Uhren gleichzeitig starten – Zuständigkeiten, Meldewege und Textbausteine gehören deshalb vorab ins Playbook.

ISO/IEC 27037:2012 beschreibt die vier Grundschritte des Umgangs mit potenziellen digitalen Beweismitteln: Identifikation, Sammlung, Erhebung und Bewahrung. Zentral sind Integrität und Nachvollziehbarkeit – Arbeitskopien statt Originale, kryptografische Hashwerte und eine lückenlose Chain of Custody, die dokumentiert, wer wann worauf zugegriffen hat. SP 800-61r3 stellt klar: Auch wenn keine Strafverfolgung beabsichtigt ist, gelten gesammelte Vorfalldaten als Beweismittel und sind nach den Beweissicherungs- und Aufbewahrungsverfahren der Organisation zu behandeln, wobei Integrität und Provenienz zu wahren sind. Praktisch heißt das: flüchtige Daten wie Arbeitsspeicher vor persistenten Datenträgern sichern – und kompromittierte Systeme nicht vorschnell neu aufsetzen, denn das zerstört Beweise und verhindert die Ursachenanalyse.

SP 800-61r3 nennt neben eigenen Teams ausdrücklich beauftragte Incident Handler, etwa ein an einen Managed-Security-Provider ausgelagertes SOC oder das IR-Team eines Cloud-Providers. Ein IR-Retainer regelt diesen Zugriff vorab vertraglich: definierte Reaktionszeiten, geklärte Vertraulichkeits- und Auftragsverarbeitungsfragen sowie ein Onboarding mit Ansprechpartnern, Umgebungswissen und vorbereiteten Zugängen – damit im Ernstfall keine Zeit mit Vertrags- und Zugangsfragen verloren geht. Playbooks übersetzen den IR-Plan in konkrete Handlungsschritte je Szenario, etwa Ransomware, kompromittierte Konten oder Datenabfluss; NIST verweist als Beispiel auf die Cybersecurity Incident & Vulnerability Response Playbooks der CISA (2021). Meldefristen, Entscheidungspunkte und Kommunikationswege gehören direkt in die Playbooks hinein.

Das CSF 2.0 verankert Übungen ausdrücklich im Verbesserungsprozess: Nach ID.IM-02 werden Verbesserungen aus Sicherheitstests und Übungen abgeleitet – auch gemeinsam mit Lieferanten und relevanten Dritten. Die Formate reichen von Tabletop-Diskussionen über Simulationen bis zu technischen Tests; methodische Grundlagen beschreibt NIST SP 800-84. Übungen prüfen unter realistischen Bedingungen, was auf dem Papier funktioniert: Erreichbarkeiten, Entscheidungswege der BAO, das Einhalten der 24- und 72-Stunden-Fristen und die Qualität der Playbooks. Die Ergebnisse fließen als Lessons Learned in Pläne, Playbooks und Schulungen zurück – so wird Incident-Response-Reife messbar und wächst mit jeder Iteration.