Reaktion auf Sicherheitsvorfälle (Incident Response)
Vorfälle erkennen, einordnen, eindämmen, beseitigen und abschließen.
Incident Response beginnt nicht erst mit dem Alarm
NIST SP 800-61 Rev. 3 (2025) integriert Incident Response ausdrücklich in das gesamte Cybersecurity-Risikomanagement und richtet die Empfehlungen am NIST Cybersecurity Framework (CSF) 2.0 aus. Für die Praxis lässt sich daraus eine einfache Lernkette ableiten.
Beispiel: Ein Administratorkonto meldet sich ungewöhnlich an
Rollen, Logs, Kontaktwege, Assetkontext und notwendige Zugriffe müssen vorher vorhanden sein.
Ist das Ereignis plausibel, welche Identität und welche Systeme sind betroffen?
Sitzungen, Tokens und Zugriffe kontrolliert begrenzen, ohne unnötig Evidence zu zerstören.
Vertrauenswürdigen Zustand herstellen, Auswirkungen prüfen und Verbesserungen zurück in Controls und Detection geben.
Vertiefung: NIST SP 800-61 Rev. 3 – Incident Response Recommendations.
Der Alarm ist nur der Anfang
Incident Response benötigt vor dem Vorfall Rollen, Kommunikationswege, Assetkontext und Recovery.
Vom Signal zur kontrollierten Reaktion
Signal plausibilisieren.
Assets/Identitäten/Leistung.
Schaden begrenzen.
Ursache entfernen.
Betrieb herstellen/verbessern.
Ein ungewöhnlicher Admin-Login
Bei kompromittiertem Admin-Konto werden Sitzungen, Tokens, Zielsysteme und Folgeaktionen geprüft.