Incident Response: Der Plan muss funktionieren, bevor der Vorfall eintritt

Incident Response ist einer der deutlichsten Indikatoren für Cybersecurity-Reife. Die Frage ist nicht, ob ein Unternehmen ein Dokument namens Incident-Response-Plan besitzt. Die Frage ist, ob das Unternehmen ihn unter Druck tatsächlich ausführen kann.

Während eines Cybervorfalls verdichtet sich die Zeit. Technische Teams untersuchen, Rechtsteams prüfen Meldepflichten, die Geschäftsleitung muss Entscheidungen treffen, Kommunikationsteams bereiten Botschaften vor, Aufsichtsbehörden müssen möglicherweise informiert werden, Kunden können betroffen sein, und die Fachbereiche wollen, dass Services wiederhergestellt werden.

Eine starke Incident-Response-Fähigkeit definiert Rollen, Eskalationswege, Entscheidungsbefugnisse, Schweregrade, Kommunikationskanäle, den Umgang mit Beweismitteln, externe Unterstützung und die Koordination der Wiederherstellung. Sie sollte zudem mit Business Continuity, Disaster Recovery, Cyberversicherung, rechtlichem Privileg und Krisenkommunikation verzahnt sein.

Testen ist essenziell. Tabletop-Übungen, technische Simulationen, Ransomware-Szenarien, Übungen zu Lieferantenausfällen und Krisenproben auf Führungsebene decken Lücken auf, bevor ein echter Vorfall es tut.

Die häufigsten Schwachstellen sind unklare Verantwortlichkeiten, langsame Eskalation, mangelhaftes Logging, ungetestete Backups, unzureichende Kommunikation und Unsicherheit über regulatorische Meldefristen.

Incident Response sollte als operative Fähigkeit behandelt werden, nicht als Compliance-Dokument.

Kernaussage: Mitten in einem Cybervorfall ist der denkbar schlechteste Zeitpunkt, um festzustellen, dass niemand weiss, wer die Verantwortung trägt.