Incident Response: Playbook für Sicherheitsvorfälle in KMU

NIST beschreibt, wie sich Vorfälle verändert haben: Sie sind häufiger und richten mehr Schaden an, die Wiederherstellung dauert oft Wochen oder Monate. Vorfallbehandlung gehört deshalb in das gesamte Risikomanagement (SP 800-61 Rev. 3, Abschnitt 2.1). Playbooks geben für typische Lagen umsetzbare Schritte vor; dokumentierte Abläufe lassen sich üben und helfen beim Einarbeiten neuer Personen (Abschnitt 2.3).

Dieses Playbook ist eine Empfehlung von TOMORIS für den allgemeinen Ablauf bei jeder Art von Sicherheitsvorfall. Sofortmaßnahmen bei Ransomware, das Notfallhandbuch für den Wiederanlauf und das Formular für die NIS2-Meldung stehen in eigenen Downloads.

Rev. 3 ordnet die Vorfallbehandlung den sechs Funktionen des NIST Cybersecurity Framework 2.0 zu: Govern, Identify und Protect bereiten vor, Detect, Respond und Recover sind die eigentliche Behandlung; Erkenntnisse fließen laufend über die Kategorie Improvement zurück. NIST überlässt es ausdrücklich jeder Organisation, das Modell zu verwenden, das zu ihr passt. Dieses Playbook nutzt die bekannten Phasen und nennt die Kennungen aus Rev. 3.

1. 1

   Meldung annehmen und prüfen

   Meldungen kommen über feste, vertrauenswürdige Wege (DER.2.1.A9), auch von Dritten (NIST RS.MA-02). Kurz prüfen, ob tatsächlich ein Sicherheitsvorfall vorliegt, Schwere und Dringlichkeit abschätzen (NIST RS.MA-02).

2. 2

   Vorfall feststellen, Leitung benennen

   Liegen die festgelegten Kriterien vor, den Vorfall erklären und eine verantwortliche Person benennen; bei Bedarf den IR-Dienstleister anfordern und andere Pläne wie den Notfallplan auslösen (NIST DE.AE-08, RS.MA-01).

3. 3

   Einstufen und priorisieren

   Art des Vorfalls bestimmen, etwa Datenabfluss, Ransomware, Kontoübernahme oder Dienstausfall, nach einem einheitlichen Verfahren einstufen und priorisieren (NIST RS.MA-03, DER.2.1.A11).

4. 4

   Protokollieren und Beweise sichern

   Jede Feststellung und Handlung mit Zeitpunkt festhalten, Aufzeichnungen vertraulich und unverändert aufbewahren; Daten sichern, die Art und Ursache erklären können (NIST RS.AN-06, RS.AN-07; DER.2.1.A6, A16).

5. 5

   Eindämmen

   Betroffene Systeme und Netzbereiche isolieren, unberechtigte Zugriffe sperren, Kennwörter, Schlüssel und Dienstkonten bei Verdacht wechseln, privilegierte Zugänge entziehen (CISA-Playbook, Containment). Auswirkungen auf den Betrieb und auf die Beweissicherung abwägen.

6. 6

   Ausmaß und Ursache ermitteln

   Ablauf rekonstruieren, Schwachstellen und Angriffswege bestimmen, auch auf nicht offensichtlich betroffenen Systemen nach Spuren und Hintertüren suchen (NIST RS.AN-03, RS.AN-08). Neue Spuren erweitern Analyse und Eindämmung (CISA-Playbook).

7. 7

   Beseitigen

   Alle betroffenen Systeme und Dienste erfassen, Schadsoftware entfernen, kompromittierte Konten sperren, ausgenutzte Schwachstellen schließen (NIST RS.MI-02); Maßnahmen vorher von der Leitung des IT-Betriebs freigeben lassen (DER.2.1.A5).

8. 8

   Wiederherstellen und bestätigen

   Sicherungen vor der Verwendung auf Integrität prüfen (NIST RC.RP-03), Systeme mit allen Patches wiederherstellen, alle Zugangsdaten ändern, Benutzende in Funktionstests einbeziehen und danach gezielt überwachen (DER.2.1.A6). Ende des Vorfalls nach Kriterien erklären (NIST RC.RP-06).

Angreifer nicht vorwarnen: Die CISA rät, Betroffene telefonisch statt per E-Mail zu informieren, für die Abstimmung einen Kanal außerhalb der möglicherweise kompromittierten Systeme zu nutzen und Schadsoftware-Proben nicht bei öffentlichen Analysediensten hochzuladen.

Erheblich ist ein Vorfall nach § 35 Abs. 1 NISG 2026, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann; die NISV 2026 legt dazu weitere Kriterien fest. Die DSGVO-Meldung entfällt nur, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Prüfen Sie beide Pflichten parallel und früh. Felder und Ablauf der NIS2-Meldung stehen in der Vorlage „NIS2-Vorfallmeldung“, die Pflichten im Leitfaden „NIS2-Meldepflichten“.

• Abschlussbericht erstellt: Vorfall, Maßnahmen zur Behandlung und Wiederherstellung, Lehren (NIST RC.RP-06).
• Ausgewertet: Wie schnell wurde der Vorfall erkannt und behoben, funktionierten die Meldewege, reichten die Informationen, wirkten Erkennung und Maßnahmen (DER.2.1.A17)?
• Alle Beteiligten haben ihre Erfahrungen berichtet; Prozesse und Abläufe angepasst (DER.2.1.A18).
• Ursache beseitigt, Schwachstellen in Infrastruktur und Abläufen erfasst, Rollen und Befugnisse geklärt, Schulungsbedarf und Werkzeuge verbessert (CISA, Post-Incident).
• Erkennung nachgeschärft: Regeln und Protokollierung für die beobachteten Angriffstechniken ergänzt, blinde Flecken geschlossen (CISA, Post-Incident).
• Geschäftsleitung informiert: jährlich über alle Vorfälle, bei sofortigem Handlungsbedarf umgehend (DER.2.1.A17).
• Handlungsanweisungen für vergleichbare Vorfälle erstellt und bekannt gemacht (DER.2.1.A17).
• Eskalationswege in Übungen erprobt (DER.2.1.A14), bei erhöhtem Schutzbedarf auch Planspiele (A22); Erkenntnisse aus Übungen eingearbeitet (NIST ID.IM-02).
• Playbook und Kontakte regelmäßig überprüft und aktualisiert (DER.2.1.A7, NIST ID.IM-04).