Incident Response (deutsch: Vorfallreaktion) ist der geplante, dokumentierte Ablauf, mit dem eine Organisation Sicherheitsvorfälle bewältigt – vom ersten Alarm über die Eindämmung des Angriffs bis zur Wiederherstellung und Nachbereitung. Ziel ist es, Schäden zu begrenzen, Beweise zu sichern und den Betrieb schnell wieder sicher hochzufahren.
Die sechs Phasen (PICERL)
Das verbreitete Modell des SANS Institute unterteilt Incident Response in sechs Phasen, bekannt unter dem Kürzel PICERL:
- Vorbereitung (Preparation): Pläne, Playbooks, Werkzeuge und Schulungen, damit das Team im Ernstfall sofort handeln kann.
- Erkennung (Identification): Vorfälle werden über SIEM-Alarme, Indicators of Compromise oder Nutzer-Meldungen erkannt und eingestuft.
- Eindämmung (Containment): Betroffene Systeme werden isoliert, Zugänge gesperrt und die weitere Ausbreitung des Angriffs gestoppt.
- Beseitigung (Eradication): Schadsoftware und Angreifer-Zugänge werden entfernt, Hintertüren geschlossen.
- Wiederherstellung (Recovery): Systeme werden aus sauberen Backups zurückgespielt, gehärtet und kontrolliert wieder in Betrieb genommen.
- Nachbereitung (Lessons Learned): Das Team analysiert den Vorfall, dokumentiert Erkenntnisse und verbessert Prozesse, damit sich der Vorfall nicht wiederholt.
Team und Organisation
Incident Response wird oft von einem speziellen Team durchgeführt – etwa einem CSIRT oder CERT. Bei größeren Vorfällen koordiniert ein Incident Commander die Beteiligten und trifft die prioritären Entscheidungen. Die gesetzlichen Meldefristen (etwa 72 Stunden nach DSGVO) machen klare Zuständigkeiten nötig.
Abgrenzung: Incident Management
Das allgemeine Incident Management aus dem ITIL-Umfeld behandelt Störungen des IT-Betriebs – von der ausgefallenen Website bis zum defekten Drucker. Incident Response ist der spezialisierte Prozess für Sicherheitsvorfälle, bei denen ein Angreifer im Spiel ist. Beide Prozesse greifen in der Praxis ineinander.
Verwandte Grundlagen: SOC, Patch Management, SIEM, IOC, Incident Commander.