Kurzdefinition: Incident Response ist der geplante und geübte Prozess, mit dem ein Unternehmen Sicherheitsvorfälle erkennt, eindämmt, beseitigt und nachbereitet. Ob ein Vorfall zur Katastrophe wird oder beherrschbar bleibt, entscheidet sich oft in den ersten Stunden — und damit an der Qualität der Incident Response.
Was ist Incident Response?
Der strukturierte Umgang mit Sicherheitsvorfällen: erkennen, bewerten, eindämmen, beseitigen, wiederherstellen und aus dem Vorfall lernen. Ein guter Prozess ist vorab definiert und geübt.
Welche Phasen hat Incident Response?
Typisch sind Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. Jede Phase hat eigene Aufgaben und Verantwortliche.
Warum sind die ersten Stunden entscheidend?
Weil frühe Eindämmung die Ausbreitung stoppt und weil Meldefristen laufen. Wer erst im Vorfall improvisiert, verliert Zeit, Beweise und oft die Kontrolle.
Wie hängt Incident Response mit Meldepflichten zusammen?
Eng. Der Prozess muss die Bewertung ermöglichen, ob ein erheblicher Sicherheitsvorfall vorliegt, und die fristgerechte Meldung nach BSIG und ggf. DSGVO auslösen.
Was gehört zur Vorbereitung?
Ein Reaktionsplan, klare Rollen, Kontakte (intern, Dienstleister, Behörden), vorbereitete Kommunikation und regelmäßige Übungen. Vorbereitung ist der wirksamste Teil.
Häufige Fehlannahmen
- „Man kann im Vorfall improvisieren.“ Selten gut. Ohne Plan geht Zeit und Kontrolle verloren.
- „Incident Response ist nur Technik.“ Nein. Kommunikation, Recht und Meldung gehören dazu.
- „Ein Plan ohne Übung reicht.“ Nein. Nur geübte Pläne tragen im Ernstfall.
- „Meldefristen kann man später klären.“ Nein. Sie laufen ab der Kenntnis.
- „Nach der Wiederherstellung ist Schluss.“ Nein. Die Nachbereitung verhindert Wiederholung.
Was die Geschäftsleitung tun sollte
- Plan erstellen. Reaktionsprozess und Rollen definieren.
- Kontakte sichern. Dienstleister und Behördenwege vorab klären.
- Üben. Den Ernstfall regelmäßig proben.
- Meldung einbinden. Fristgerechte Meldung in den Prozess integrieren.
Für die Geschäftsleitung
Incident Response entscheidet in den ersten Stunden über Schadenshöhe, Wiederanlaufzeit und Fristeinhaltung. Wer einen geübten Reaktionsplan mit klaren Rollen und Meldewegen hat, behält im Ernstfall die Kontrolle.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
