Was ist ein Incident-Response-Plan und wer braucht ihn?
Ein Incident-Response-Plan beschreibt, wie Ihr Unternehmen auf einen IT-Sicherheitsvorfall reagiert: Ransomware, übernommene Konten, Datenabfluss, ein missbrauchter Fernzugriff. Er ist kein Handbuch für jede denkbare Lage, sondern ein Entscheidungsrahmen mit klaren Zuständigkeiten, Checklisten und Kontaktdaten. Er ergänzt das Notfallhandbuch für Wiederanlauf und Backups, das der BSI-Standard 200-4 zum Business Continuity Management beschreibt. International orientieren sich viele Pläne an NIST SP 800-61. Die seit April 2025 gültige Revision 3 ordnet die Vorfallbehandlung den sechs Funktionen des NIST Cybersecurity Framework 2.0 zu und löst das bekannte Vier-Phasen-Modell der Vorgängerversion ab.
Für besonders wichtige und wichtige Einrichtungen nach NIS2 ist die Bewältigung von Sicherheitsvorfällen eine ausdrückliche Pflicht (§ 30 Abs. 2 Nr. 2 BSIG), siehe auch NIS2-Risikomanagementmaßnahmen. Unabhängig davon verlangt Art. 33 DSGVO, Datenschutzverletzungen in der Regel binnen 72 Stunden zu melden, und Cyberversicherungen fragen häufig nach einem Notfallplan. Den größten Nutzen merken Sie aber in den ersten Stunden eines Angriffs, in denen ohne Plan niemand weiß, wer entscheidet.
Mustergliederung: diese Kapitel gehören in den Plan
Die folgende Gliederung hat sich bewährt. ISB steht für Informationssicherheitsbeauftragte oder Informationssicherheitsbeauftragter; in kleineren Unternehmen übernimmt das oft die IT-Leitung.
| Kapitel | Inhalt | Verantwortlich |
|---|---|---|
| Geltungsbereich und Ziele | Standorte, Systeme, Vorfallarten, Verhältnis zum Notfallhandbuch | Geschäftsleitung, ISB |
| Rollen und Kontakte | Incident-Leitung, Krisenstab, Stellvertretungen, Nummern auch außerhalb der Geschäftszeiten, externe Partner | ISB |
| Erkennung und Bewertung | Meldeweg für Mitarbeitende, Kriterien für Schweregrade, Entscheidung „Vorfall ja oder nein“ | IT-Leitung |
| Eskalationsstufen | Wer bei welcher Stufe informiert wird und entscheidet, mit Höchstzeiten | Incident-Leitung |
| Sofortmaßnahmen | Checklisten für Ransomware, übernommenes Konto, Phishing, Datenabfluss | IT-Betrieb |
| Beweissicherung | Was gesichert wird, von wem, wie dokumentiert | IT-Sicherheit, Forensik-Partner |
| Meldepflichten | BSI, Datenschutzaufsicht, Versicherung, Polizei, Vertragspartner, mit Fristen und Vorlagen | Recht, Datenschutz |
| Kommunikation | Mitarbeitende, Kunden, Presse, Sprachregelung, Ausweichkanäle | Geschäftsleitung, Kommunikation |
| Wiederherstellung | Reihenfolge des Wiederanlaufs, Prüfung der Backups, Freigabe | IT-Leitung |
| Nachbereitung und Übungen | Abschlussbericht, Lehren aus dem Vorfall, Übungsplan | ISB |
Im Ernstfall greifen alle zuerst zu den Checklisten für Sofortmaßnahmen. Sie sollten so kurz sein, dass sie unter Stress funktionieren. Ein Beispiel für ein übernommenes E-Mail-Konto:
- Konto sperren, alle aktiven Sitzungen beenden, Passwort zurücksetzen, registrierte MFA-Methoden und App-Berechtigungen prüfen.
- Weiterleitungs- und Posteingangsregeln prüfen, die der Angreifer angelegt haben könnte.
- Anmeldeprotokolle sichern: Zeitpunkte, Herkunft, genutzte Geräte.
- Prüfen, welche Nachrichten versendet und welche Daten abgerufen wurden.
- Empfänger möglicher Betrugsmails warnen, Datenschutzbewertung anstoßen.
Rollen und Eskalation: wer entscheidet was?
- Incident-Leitung: koordiniert die technische Reaktion, führt das Vorfallprotokoll und ist einzige Ansprechperson für den Krisenstab. Benennen Sie eine Stellvertretung.
- Krisenstab: Geschäftsleitung plus IT-Leitung, Recht, Datenschutz und Kommunikation. Er entscheidet über Abschaltungen, Meldungen, externe Hilfe und Lösegeldforderungen. Unter NIS2 muss die Geschäftsleitung die Sicherheitsmaßnahmen umsetzen und überwachen und haftet bei schuldhaften Pflichtverletzungen (§ 38 BSIG), siehe NIS2: Haftung der Geschäftsleitung.
- IT-Betrieb und IT-Sicherheit: isolieren, analysieren, sichern Spuren und stellen wieder her.
- Datenschutzbeauftragte: bewerten, ob personenbezogene Daten betroffen sind und eine Meldung nötig ist.
- Externe Partner: IT-Dienstleister, Forensik, Cyberversicherung, Rechtsberatung und die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei Ihres Bundeslandes. Verträge und Nummern gehören vor dem Ernstfall in den Plan.
Für die Eskalation reichen meist drei Stufen: Ereignis (Auffälligkeit, die IT prüft), Sicherheitsvorfall (bestätigt, die Incident-Leitung übernimmt, die Geschäftsleitung wird informiert) und Krise (Geschäftsbetrieb oder Meldepflicht betroffen, der Krisenstab tritt zusammen). Legen Sie für jede Stufe Kriterien und eine Höchstzeit bis zur Eskalation fest.
Die ersten 24 Stunden nach einem Cyberangriff
- Stunde 0 bis 1, erkennen und melden: Wer etwas Verdächtiges bemerkt, meldet es sofort an die festgelegte Stelle, ohne selbst einzugreifen. Die IT bewertet, eröffnet ein Vorfallprotokoll mit Uhrzeiten und benennt die Incident-Leitung.
- Stunde 1 bis 4, eindämmen: Betroffene Systeme vom Netz trennen, nicht ausschalten. Übernommene Konten sperren, Fernzugriffe und Verbindungen zu anderen Standorten bei Bedarf kappen. Prüfen, ob die Backups intakt und vom Netz getrennt sind.
- Stunde 2 bis 6, Krisenstab und Ausweichkanäle: Den Krisenstab einberufen. Gehen Sie davon aus, dass Angreifer E-Mail und Chat mitlesen, und nutzen Sie vorher festgelegte Ausweichkanäle wie Mobilnummern oder eine separate Messenger-Gruppe.
- Stunde 4 bis 12, Lage klären: Umfang, Einfallstor, betroffene Daten und Zeitpunkt des ersten Zugriffs eingrenzen. Forensik und Versicherung hinzuziehen, bevor Systeme neu aufgesetzt werden.
- Bis Stunde 24, melden und informieren: Als NIS2-Einrichtung bei einem erheblichen Sicherheitsvorfall die frühe Erstmeldung an das BSI abgeben, die Datenschutzbewertung abschließen, Mitarbeitende mit einer klaren Sprachregelung informieren, eine Anzeige bei der Polizei prüfen.
Die Zeiten sind Orientierungswerte, wichtiger ist die Reihenfolge. Die wichtigsten Verhaltensregeln für alle Mitarbeitenden fasst die IT-Notfallkarte des BSI zusammen, die Sie mit Ihrer eigenen Notfallnummer aushängen können.
Meldepflichten: NIS2, DSGVO und Versicherung
| Meldung | Frist | Empfänger |
|---|---|---|
| NIS2: frühe Erstmeldung | Unverzüglich, spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls | BSI |
| NIS2: Meldung mit erster Bewertung | Spätestens 72 Stunden nach Kenntnis | BSI |
| NIS2: Zwischenmeldung | Nur auf Ersuchen des BSI | BSI |
| NIS2: Abschlussmeldung | Spätestens einen Monat nach der Meldung, bei andauerndem Vorfall stattdessen eine Fortschrittsmeldung | BSI |
| DSGVO: Verletzung des Schutzes personenbezogener Daten | Unverzüglich, möglichst binnen 72 Stunden, außer bei voraussichtlich keinem Risiko | Zuständige Datenschutzaufsicht |
| DSGVO: Benachrichtigung Betroffener | Unverzüglich bei voraussichtlich hohem Risiko | Betroffene Personen |
| Cyberversicherung | Laut Vertrag, meist unverzüglich | Versicherer, Schadenhotline |
Die NIS2-Fristen stehen in § 32 BSIG, der mit dem NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 gilt. Registrierte Einrichtungen melden über das BSI-Portal. Wer dort noch nicht registriert ist, nutzt nach Angaben des BSI das Online-Formular im Melde- und Informationsportal, Betreiber kritischer Anlagen behalten übergangsweise ihren bisherigen Meldeweg. Das BSI betont auf seiner Seite zur NIS-2-Meldepflicht den Grundsatz „Schnelligkeit vor Vollständigkeit“. Angaben lassen sich mit Folgemeldungen ergänzen und korrigieren. Ob Ihr Unternehmen registriert sein muss, klärt unser Beitrag NIS2-Registrierung verpasst.
Offen ist, wie sich das EU-Paket „Digital-Omnibus“ auswirkt. Die EU-Kommission hat im November 2025 unter anderem eine gemeinsame Meldestelle für mehrere Regelwerke und für die DSGVO eine Meldefrist von 96 statt 72 Stunden vorgeschlagen. Stand November 2026 ist das nicht beschlossen, es gelten die oben genannten Fristen. Prüfen Sie den Stand vor jeder Überarbeitung Ihres Plans. Dieser Artikel ersetzt keine Rechtsberatung.
Beweise sichern und richtig kommunizieren
Der häufigste Fehler in der ersten Stunde ist gut gemeint: Systeme werden ausgeschaltet, neu aufgesetzt oder aufgeräumt. Damit gehen Spuren verloren, die zeigen, wie der Angreifer hereinkam und ob er noch im Netz ist. Beachten Sie:
- Netzwerk trennen statt Strom ziehen. Der Arbeitsspeicher enthält oft Schlüssel, laufende Prozesse und Verbindungen.
- Protokolle von Firewall, VPN, Active Directory, E-Mail und Endpunktschutz sofort sichern. Viele Systeme überschreiben sie nach wenigen Tagen.
- Jede Maßnahme mit Uhrzeit, Person und Grund im Vorfallprotokoll festhalten.
- Abbilder von Festplatten und Arbeitsspeicher von Fachleuten erstellen lassen und jede Übergabe dokumentieren, damit die Beweise für Strafanzeige und Versicherung verwertbar bleiben.
- Eine einheitliche Zeitquelle für alle Systeme nutzen, sonst lassen sich Ereignisse kaum zuordnen.
Bei der Kommunikation gilt: eine Stimme nach außen, Fakten statt Vermutungen, vorbereitete Vorlagen für Mitarbeitende, Kunden und Partner. Sagen Sie, was Sie wissen, was Sie tun und wann Sie sich wieder melden. Ob auf eine Lösegeldforderung eingegangen wird, entscheidet die Geschäftsleitung mit Rechtsberatung und Ermittlungsbehörden. BSI und Polizei raten grundsätzlich davon ab, zu zahlen.
Üben: nur ein getesteter Plan funktioniert
Pläne scheitern im Ernstfall an Kleinigkeiten: Die Telefonliste liegt auf dem verschlüsselten Server, die Stellvertretung kennt ihre Rolle nicht, das Backup lässt sich nicht in vertretbarer Zeit zurückspielen. Für Einrichtungen bestimmter digitaler Sektoren, etwa Managed Service Provider und Rechenzentrumsbetreiber, verlangt die Durchführungsverordnung (EU) 2024/2690 ausdrücklich, Rollen und Verfahren der Vorfallbewältigung in geplanten Abständen und nach erheblichen Vorfällen zu testen. Sinnvoll ist das für jedes Unternehmen. Bewährt hat sich:
- ein Planspiel am Tisch, zwei bis drei Stunden mit vollständigem Krisenstab und einem realistischen Szenario wie Ransomware am Freitagabend, mindestens einmal im Jahr,
- ein Wiederherstellungstest, bei dem ein kritisches System vollständig aus dem Backup zurückgespielt und die Zeit gemessen wird, ebenfalls mindestens jährlich,
- eine Prüfung der Kontaktliste und der Ausweichkanäle, vierteljährlich,
- eine Nachbereitung nach jedem echten Vorfall, deren Lehren in den Plan einfließen.
Ein Penetrationstest zeigt zusätzlich, ob Angriffe überhaupt bemerkt werden. Mehr dazu unter Penetrationstest: Kosten, Ablauf und Arten.
Wie Unite2Link Sie unterstützt
Unser Team erarbeitet mit Ihnen einen Incident-Response-Plan, der zu Ihrer Größe passt: Rollen, Eskalationsstufen, Checklisten für die häufigsten Vorfälle und Vorlagen für Meldungen. Wir prüfen Backups und Wiederanlauf, schulen Mitarbeitende und testen mit Penetrationstests, ob Angriffe erkannt würden. Im Ernstfall unterstützen wir bei Eindämmung und Wiederaufbau, mit Reaktionszeiten nach vereinbartem SLA, ohne SLA Montag bis Freitag von 9 bis 17 Uhr. Mehr zu unseren Leistungen in der IT-Sicherheit.