Grundlagen der Incident-Response-Prozesse: vom Alarm zur belastbaren Entscheidung

Das Wichtigste im Überblick

• Das bekannte Vier-Phasen-Modell ist überholt. NIST hat mit SP 800-61 Revision 3 vom 3. April 2025 das Phasenmodell aus dem Jahr 2012 aufgegeben und Incident Response entlang der sechs Funktionen des Cybersecurity Framework 2.0 in das Cyber-Risikomanagement eingebettet.
   
• Drei Uhren können gleichzeitig laufen. 24 Stunden nach § 32 BSIG, 72 Stunden nach Art. 33 DSGVO, vier Stunden nach DORA; bei einem einzigen Vorfall, an drei verschiedene Adressaten.
   
• Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Der Kreis regulierter Einrichtungen wächst von rund 4.500 auf etwa 29.500. Die Registrierungsfrist ist abgelaufen; das BSI fordert nicht registrierte Einrichtungen zur unverzüglichen Nachholung auf.
   
• Rollenklarheit ist normativ gefordert, nicht optional. ISO/IEC 27001:2022 Control 5.24, BSI-Baustein DER.2.1 Anforderung A3 und NIST SP 800-61r3 Abschnitt 2.3 verlangen sie ausdrücklich, einschließlich der Befugnis, Systeme abzuschalten.
   
• Der Faktor Zeit ist bezifferbar. In Deutschland vergehen laut IBM 160 Tage von der Datenschutzverletzung bis zur Eindämmung; die mediane Verweildauer eines Angreifers liegt laut Mandiant global bei 14 Tagen.

Was gilt heute als Sicherheitsvorfall und wo verläuft die Grenze zum Ereignis?

Die in Deutschland und international gebräuchliche Definition stammt aus dem US-Recht und wird von NIST übernommen: ein Vorkommnis, das die Integrität, Vertraulichkeit oder Verfügbarkeit von Informationen oder eines Informationssystems tatsächlich oder unmittelbar bevorstehend ohne rechtmäßige Befugnis gefährdet oder eine Verletzung von Gesetzen, Sicherheitsrichtlinien oder Nutzungsvorgaben darstellt, beziehungsweise unmittelbar droht.

Praktisch wichtiger als die Definition ist die Abgrenzung. Ein Ereignis ist jede beobachtbare Begebenheit in einem System. Ein Vorfall ist ein Ereignis mit sicherheitsrelevanter Wirkung. Und ein erheblicher Sicherheitsvorfall im Sinne des BSIG ist ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere Personen erheblich schädigen kann.

Diese drei Stufen sauber zu unterscheiden ist wichtig: An der zweiten Stufe hängt der Prozess, an der dritten die Meldepflicht. Der BSI-Baustein DER.2.1 macht daher die Definition eines Sicherheitsvorfalls zur ersten Basis-Anforderung überhaupt und die Einstufung zur eigenen Standard-Anforderung.

Welche Phasenmodelle gibt es und welches gilt noch?

Es kursieren vier Modelle. Zwei davon sind aktuell, eines ist überholt, eines gilt eher als Merkhilfe.

Die Änderung bei NIST ist relevant. Revision 3 trägt den Titel „Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile" und begründet den Bruch mit dem alten Modell ausdrücklich:

Incident Response ist damit kein abgegrenzter Prozess eines separaten Teams mehr, sondern eine Fähigkeit, die von Governance über Prävention bis zur Wiederherstellung durchgängig verankert ist. Die 2024 neu hinzugekommene CSF-Funktion GOVERN ist dabei der Anker für Geschäftsleitungsverantwortung und damit die Brücke zu § 38 BSIG.

Das PICERL-Modell wird häufig „dem SANS Institute" als Standard zugeschrieben. Tatsächlich stammt es aus dem „Incident Handler's Handbook" von Patrick Kral, einer GIAC-Gold-Arbeit aus dem Jahr 2011, veröffentlicht 2012. Es ist eine etablierte Merkhilfe, kein Normendokument.

Wie hängen ISO 27001, ISO 27035 und der BSI-Grundschutz zusammen?

Die drei Werke beschreiben dasselbe Vorgehen auf unterschiedlichen Verbindlichkeitsstufen.

ISO/IEC 27001:2022 ist die zertifizierbare Norm. Die einschlägigen Controls im Anhang A sind

• 5.24 „Information security incident management planning and preparation",
• 5.25 „Assessment and decision on information security events",
• 5.26 „Response to information security incidents",
• 5.27 „Learning from information security incidents" und
• 5.28 „Collection of evidence".

Sie bilden das Phasenmodell im Managementsystem ab, einschließlich der Beweissicherung, die als eigenes Control geführt wird.

ISO/IEC 27035 ist die zugehörige Leitlinie in vier Teilen: Teil 1 (Prinzipien und Prozess, 2023), Teil 2 (Planung und Vorbereitung, 2023), Teil 3 (IKT-Reaktionsbetrieb, 2020) und Teil 4 (Koordination, 2024).

Der BSI-IT-Grundschutz liefert mit dem Baustein DER.2.1 „Behandlung von Sicherheitsvorfällen" die deutsche Umsetzungsvorlage. Das aktuelle IT-Grundschutz-Kompendium ist die Edition 2023.

Für die Anbindung an das Notfall- und Krisenmanagement gilt der BSI-Standard 200-4 zum Business Continuity Management, seit Juni 2023 in finaler Fassung.

Wer macht was: SOC, CSIRT oder beides?

Die ENISA trennt die beiden Funktionen klar. Ein SOC erbringt einen Erkennungsdienst, indem es technische Ereignisse in Netzen und Systemen beobachtet und kann auch für Reaktion und Behandlung zuständig sein. Ein CSIRT ist ein Team, das Sicherheitsvorfälle behandelt, häufig einschließlich Erkennung, Analyse und praktischer Behebung, dazu Lageerfassung, Wissenstransfer und Schwachstellenmanagement.

FIRST formuliert es in seinem CSIRT Services Framework in Version 2.1 als organisatorische Einheit oder Fähigkeit, die einer definierten Zielgruppe Dienste zur Verhinderung, Erkennung, Behandlung und Reaktion auf Sicherheitsvorfälle bereitstellt.

In der Praxis heißt das:

• In kleineren Organisationen fallen SOC und CSIRT zusammen. Das ist unproblematisch, solange die unterschiedlichen Aufgaben benannt sind.
• In großen Organisationen trennt man Dauerbetrieb und Fallbearbeitung: Das SOC überwacht rund um die Uhr, das CSIRT übernimmt bei bestätigten Vorfällen die Untersuchung, die Forensik und die Koordination mit externen Stellen.
• Der Begriff CERT ist eine geschützte Marke der Carnegie Mellon University. CSIRT ist der neutrale Gattungsbegriff, auch wenn viele deutsche Teams CERT als Eigennamen führen.

Eine Rolle wird regelmäßig vergessen: der Incident Commander. Er oder sie trifft im Vorfall die Entscheidungen, koordiniert Beteiligte und hält die Uhr im Blick. Ohne diese Rolle verteilt sich Verantwortung auf alle Anwesenden.

Tipp: Zur Dokumentation der Rollenverteilung eignet sich eine RACI-Matrix. Dies ist eine Managementtechnik, mit der die normativ geforderte Rollenklarheit festgehalten wird.

Welche Meldefristen gelten in Deutschland und ab wann läuft die Uhr?

BSIG

Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Das BSI-Portal für Registrierung und Meldungen ist seit dem 6. Januar 2026 verfügbar; § 32 BSIG sieht vor:

1. Frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung, mit Angabe, ob ein Verdacht auf rechtswidrige oder böswillige Handlungen beziehungsweise auf grenzüberschreitende Auswirkungen besteht
2. Meldung binnen 72 Stunden, mit Bestätigung oder Aktualisierung, erster Bewertung, Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren
3. Zwischenmeldung auf Ersuchen des BSI
4. Abschlussmeldung spätestens einen Monat nach der Meldung nach Nummer 2; dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle

Wer betroffen ist, regelt § 28 BSIG. Vereinfacht: besonders wichtige Einrichtungen sind unter anderem Betreiber kritischer Anlagen sowie Einrichtungen der Anlage-1-Sektoren ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme; wichtige Einrichtungen sind Einrichtungen der Anlage-1- und Anlage-2-Sektoren ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme.

Zum Umsetzungsstand: Das BSI weist für den Stichtag 30. Juni 2026 insgesamt 17.729 registrierte Unternehmen aus, 11.501 wichtige und 6.215 besonders wichtige Einrichtungen sowie 13 Einrichtungen nach dem Energiewirtschaftsgesetz; unter den besonders wichtigen Einrichtungen sind 1.342 KRITIS-Betreiber. Einschließlich 216 registrierter grenzüberschreitender Zweigstellen kommt das BSI auf 17.945 Registrierungen. Erfasst wurden bis dahin 692 Erstmeldungen und 1.659 NIS-2-Meldungen insgesamt. Bei rund 29.500 erwarteten Einrichtungen bleibt eine erhebliche Lücke. Verstöße gegen die Registrierungspflicht können nach § 65 BSIG mit Bußgeldern geahndet werden.

DSGVO

Artikel 33 Absatz 1 verlangt die Meldung an die Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde", bei Überschreitung mit Begründung der Verzögerung. Artikel 34 verlangt die Benachrichtigung betroffener Personen bei hohem Risiko, unverzüglich und ohne Stundenfrist.

DORA

Für Finanzunternehmen gilt nach Artikel 5 der Delegierten Verordnung (EU) 2025/301 die Erstmeldung „so früh wie möglich, in jedem Fall aber binnen vier Stunden ab der Klassifizierung" als schwerwiegender IKT-bezogener Vorfall und spätestens 24 Stunden ab Kenntnis. Zwischenbericht binnen 72 Stunden nach der Erstmeldung, Abschlussbericht spätestens einen Monat danach.

KRITIS-Dachgesetz

Seit dem 17. März 2026 in Kraft, zuständig für die physische Resilienz kritischer Infrastrukturen; Erstmeldung binnen 24 Stunden, Abschlussbericht binnen eines Monats. Die Meldeplattform betreiben BBK und BSI gemeinsam. Die praktische Konsequenz aus allen vier Regimen: Die Klassifizierungsentscheidung ist der zeitkritische Faktor. Sie gehört vordefiniert ins Playbook, mit benannter Rolle und Vertretung.

Was gehört in einen Incident-Response-Plan?

Aus NIST SP 800-61r3 Abschnitt 2.3, dem BSI-Baustein DER.2.1 und ISO/IEC 27001 Controls 5.24 bis 5.28 ergibt sich ein belastbarer Mindestinhalt:

• Bekenntnis der Geschäftsleitung, Zweck, Ziele und Geltungsbereich
• Definitionen von Ereignis, Vorfall und Untersuchung als die Grundlage jeder Einstufung
• Rollen, Verantwortlichkeiten und Befugnisse, ausdrücklich einschließlich der Befugnis, Systeme zu beschlagnahmen oder abzuschalten. Genau an diesem Punkt scheitern Pläne in der Praxis: Niemand traut sich, ein produktives System vom Netz zu nehmen, weil unklar ist, wer das darf.
• Einstufung und Priorisierung mit Schweregraden und Kriterien für die Wiederanlaufentscheidung
• Meldewege und Eskalationsstrategie, inklusive der Schwelle zur Krise
• Benachrichtigung betroffener Stellen: intern, gegenüber Kunden, gegenüber Behörden
• Beweissicherung: Erheben, Sichern und Aufbewahren nach definierten Verfahren, mit lückenloser Nachweiskette
• Dokumentation und Nachbereitung mit strukturierten Erkenntnissen
• Leistungskennzahlen zur regelmäßigen Bewertung des Programms

„Ein Notfallplan, der nur im verschlüsselten Dateiablagesystem liegt, ist im Ernstfall nicht vorhanden. Deshalb raten wir zu zwei Dingen: einer Erreichbarkeitsliste außerhalb der betroffenen Systeme und einer vorbereiteten Kommunikationslinie – wer spricht mit Kunden, wer mit der Presse, wer mit dem Betriebsrat?" Joachim Schuster, Orange Cyberdefense Germany

Wie bereitet man sich am besten auf den Ernstfall vor?

Üben

NIST führt Verbesserungen aus Sicherheitstests und Übungen, einschließlich solcher in Abstimmung mit Lieferanten und Dritten, als hoch priorisierte Kategorie und hält fest, dass Übungen sowohl der Programmbewertung dienen als auch Personal und beteiligte Dritte auf künftige Vorfälle vorbereiten. Eine Tabletop-Übung mit Geschäftsleitung, Recht, Kommunikation und IT deckt in zwei Stunden regelmäßig mehr Lücken auf als eine quartalsweise Evaluierung.

Forensik-Bereitschaft herstellen

Die Beweissicherung ist in ISO/IEC 27001:2022 als eigene Maßnahme in Anhang A verankert (A.5.28, „Sammlung von Beweismaterial"). Auch das NIST Cybersecurity Framework 2.0 fordert, Vorfallsdaten nach festgelegten Verfahren zu erheben und aufzubewahren und dabei Integrität und Herkunft der Aufzeichnungen zu sichern (RS.AN-06, RS.AN-07). Praktisch bedeutet das dreierlei: eine ausreichende Protokollierung mit angemessener Aufbewahrungsdauer, eine klar zugewiesene Zuständigkeit für Speicherabbilder und die frühzeitige Klärung, ob die Beweismittel gerichtsverwertbar sein müssen.

Externe Unterstützung vorab klären

NIST formuliert zurückhaltend, dass Dritte vertraglich zur Unterstützung eingebunden sein können und die Verantwortlichkeiten im Vertrag klar zu regeln sind. Ein Retainer ist damit keine Normanforderung, sondern die Marktpraxis, die diese Klarheit vorab herstellt, anstatt am Tag des Vorfalls Support zu verhandeln.

Reifegrad messen

Zwei Kennzahlen genügen für den Anfang: die Verweildauer eines Angreifers bis zur Entdeckung und der Anteil intern erkannter Vorfälle. Als Vergleichsmaßstab dienen 14 Tage globaler Median und 52 Prozent interne Erkennung nach Mandiant M-Trends 2026. Für die Kostenseite: 4,25 Millionen Euro durchschnittlicher Schaden je Datenleck in Deutschland und 160 Tage bis zur Eindämmung laut IBM.

Fazit: Ein Incident-Response-Prozess ist eine geübte Fähigkeit

Die Rahmenwerke haben sich 2025 spürbar bewegt: NIST hat das vertraute Phasenmodell aufgegeben und Incident Response ins Risikomanagement eingebettet, der deutsche Gesetzgeber hat mit dem NIS-2-Umsetzungsgesetz Fristen, Nachweispflichten und persönliche Verantwortung der Geschäftsleitung verbindlich gemacht.

Was in der Praxis den Ausschlag gibt, ist unspektakulär: eine Person, die im Vorfall entscheidet; ein Kriterium, ab wann eskaliert wird; die Befugnis, ein System abzuschalten; und eine Uhr, die jemand im Blick hat. Diese vier Punkte kosten kein Budget, sondern eine Entscheidung.

Wie sehen die nächsten Schritte aus?

1. Definitionen festschreiben. Ereignis, Vorfall, erheblicher Sicherheitsvorfall mit Beispielen aus der eigenen Umgebung.
2. Befugnisse klären und schriftlich freigeben lassen. Insbesondere: Wer darf ein produktives System vom Netz nehmen, ohne vorher zu fragen?
3. Meldepflichten kartieren. Welche Regime gelten für Ihre Organisation, wer klassifiziert, wer meldet, wer vertritt?
4. Registrierungsstatus prüfen. Sind Sie eine besonders wichtige oder wichtige Einrichtung und noch nicht im BSI-Portal registriert, holen Sie das unverzüglich nach.
5. Eine Tabletop-Übung terminieren. Zwei Stunden, Geschäftsleitung dabei, Szenario: Ausfall eines kritischen Dienstleisters.
6. Erreichbarkeit im Ernstfall sichern. Kontaktliste und Notfallplan außerhalb der betroffenen Systeme verfügbar halten.

Orange Cyberdefense unterstützt bei akuten Vorfällen über die Incident Response Hotline rund um die Uhr; für die regulatorische Seite gibt es ein eigenes NIS2-Beratungsangebot inklusive Schulung für Geschäftsleitungen.

Wenn die Grundlagen stehen, beantworten die weiterführenden Beiträge dieses Themenbereichs die nächsten Fragen: ob Ihre Abwehr einem realistischen Angriff standhält (TLPT und CTEM), ob Ihre Erkennung schnell genug skaliert (Cyber SOC mit Agentic AI) und wie reale Angriffe tatsächlich ablaufen (Ransomware-Kampagnen im Deep-Dive).