Vorfallerkannt. Plangreift.

1. 1

   Meldung annehmen und prüfen

   Meldungen kommen über feste, vertrauenswürdige Wege (DER.2.1.A9), auch von Dritten (NIST RS.MA-02). Kurz prüfen, ob tatsächlich ein Sicherheitsvorfall vorliegt, Schwere und Dringlichkeit abschätzen (NIST RS.MA-02).

2. 2

   Vorfall feststellen, Leitung benennen

   Liegen die festgelegten Kriterien vor, den Vorfall erklären und eine verantwortliche Person benennen; bei Bedarf den IR-Dienstleister anfordern und andere Pläne wie den Notfallplan auslösen (NIST DE.AE-08, RS.MA-01).

3. 3

   Einstufen und priorisieren

   Art des Vorfalls bestimmen, etwa Datenabfluss, Ransomware, Kontoübernahme oder Dienstausfall, nach einem einheitlichen Verfahren einstufen und priorisieren (NIST RS.MA-03, DER.2.1.A11).

4. 4

   Protokollieren und Beweise sichern

   Jede Feststellung und Handlung mit Zeitpunkt festhalten, Aufzeichnungen vertraulich und unverändert aufbewahren; Daten sichern, die Art und Ursache erklären können (NIST RS.AN-06, RS.AN-07; DER.2.1.A6, A16).

5. 5

   Eindämmen

   Betroffene Systeme und Netzbereiche isolieren, unberechtigte Zugriffe sperren, Kennwörter, Schlüssel und Dienstkonten bei Verdacht wechseln, privilegierte Zugänge entziehen (CISA-Playbook, Containment). Auswirkungen auf den Betrieb und auf die Beweissicherung abwägen.

6. 6

   Ausmaß und Ursache ermitteln

   Ablauf rekonstruieren, Schwachstellen und Angriffswege bestimmen, auch auf nicht offensichtlich betroffenen Systemen nach Spuren und Hintertüren suchen (NIST RS.AN-03, RS.AN-08). Neue Spuren erweitern Analyse und Eindämmung (CISA-Playbook).

7. 7

   Beseitigen

   Alle betroffenen Systeme und Dienste erfassen, Schadsoftware entfernen, kompromittierte Konten sperren, ausgenutzte Schwachstellen schließen (NIST RS.MI-02); Maßnahmen vorher von der Leitung des IT-Betriebs freigeben lassen (DER.2.1.A5).

8. 8

   Wiederherstellen und bestätigen

   Sicherungen vor der Verwendung auf Integrität prüfen (NIST RC.RP-03), Systeme mit allen Patches wiederherstellen, alle Zugangsdaten ändern, Benutzende in Funktionstests einbeziehen und danach gezielt überwachen (DER.2.1.A6). Ende des Vorfalls nach Kriterien erklären (NIST RC.RP-06).

Angreifer nicht vorwarnen: Die CISA rät, Betroffene telefonisch statt per E-Mail zu informieren, für die Abstimmung einen Kanal außerhalb der möglicherweise kompromittierten Systeme zu nutzen und Schadsoftware-Proben nicht bei öffentlichen Analysediensten hochzuladen.