Auftrag und Lagebild gemeinsam schärfen
Zu Beginn werden Anlass, Auswirkungen, betroffene Systeme und verfügbare Ansprechpartner erfasst. Das erste Lagebild darf vorläufig sein, muss aber Beobachtungen von Annahmen trennen. Ebenso werden Arbeitsberechtigung, geschützte Kommunikation und verfügbare Informationen geklärt, damit technische Maßnahmen nicht ohne zuständigen Auftraggeber erfolgen.
Anschließend werden Ziele priorisiert: aktive Schäden begrenzen, wichtige Geschäftsprozesse erhalten und aussagekräftige Spuren sichern. Diese Ziele können sich gegenseitig beeinflussen. Deshalb braucht beispielsweise die Abschaltung eines zentralen Systems eine dokumentierte Abwägung und einen klar benannten Entscheider.
Untersuchen, eindämmen und wiederherstellen
Die Untersuchung richtet sich nach dem konkreten Verdacht. Ein übernommenes Mailkonto benötigt andere Daten als eine verschlüsselte Serverlandschaft. Der Arbeitsplan sollte überschaubare Schritte enthalten, deren Ergebnisse die nächste Entscheidung beeinflussen. Eine starre Maßnahmenliste kann wichtige Besonderheiten des Unternehmens übersehen.
Bereinigung und Wiederanlauf werden aufeinander abgestimmt. Vor einer Wiederherstellung ist zu klären, welche Umgebung und Datenstände vertrauenswürdig genug sind. Nach der Umsetzung werden relevante Funktionen und Schutzmaßnahmen geprüft. Offene Punkte erhalten einen Verantwortlichen, statt im allgemeinen Status ‚behoben‘ zu verschwinden.
Den Abschluss an nachvollziehbare Kriterien knüpfen
Ein Bericht sollte Umfang, Befunde, durchgeführte Maßnahmen und Grenzen der Untersuchung verständlich nennen. Geschäftsleitung und IT benötigen unterschiedliche Detailtiefe, aber dasselbe belastbare Ergebnis. Zeitangaben und Quellen ermöglichen später die Rückfrage, warum eine bestimmte Entscheidung getroffen wurde.
Nach dem Vorfall werden konkrete Verbesserungen in den Betrieb übernommen: etwa ein besserer Meldeweg, getestete Sicherungen oder klarere Zugriffsrechte. Für eine Anfrage beschreiben Sie Vorfall und Auswirkungen in wenigen Sätzen. Daraus lässt sich ein passender Untersuchungs- und Wiederherstellungsumfang ableiten, dessen Verfügbarkeit gesondert abgestimmt wird.
Ihre Checkliste für den nächsten Schritt
- Entscheider, Technikverantwortlichen und Kommunikationsweg festlegen.
- Beobachtungen, Maßnahmen und offene Fragen laufend dokumentieren.
- Abschlusskriterien für Betrieb und Sicherheit getrennt prüfen.
Häufige Fragen
Ist Incident Response nur eine technische Reparatur?
Nein. Geschäftsfolgen, Koordination und nachvollziehbare Entscheidungen gehören ebenso dazu wie die technische Bearbeitung.
Gibt es immer einen vollständigen Ursachennachweis?
Nicht zwingend. Datenlage und Vorfallsdauer können Grenzen setzen. Diese müssen im Ergebnis ausdrücklich sichtbar bleiben.
Quellen & weiterführende Informationen
NCSC: Cyber Incident Response Processes ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.