Security Incident Response Management: Erklärung und Tipps für die Umsetzung

Cyberangriffe nehmen rasant zu und sie können jedes Unternehmen treffen, unabhängig von Größe und Branche. Die möglichen Folgen reichen vom Verlust wertvoller Daten über Imageschäden bis hin zum Stillstand von Geschäftsprozessen.  

Ein effektives Security Incident Response Management schafft die Voraussetzungen dafür, dass Verantwortliche im Ernstfall schnell reagieren und effektive Gegenmaßnahmen treffen. So lässt sich das Schlimmste oftmals verhindern.

Als Security Incident Response Management, Security Incident Management oder nur Security Incident Response bezeichnet man einen organisierten und strukturierten Prozess, um IT-Sicherheitsvorfälle (Incidents) zu erkennen und zu beheben. Vorrangiges Ziel ist es, schnell den normalen Geschäftsbetrieb wiederherzustellen und Schäden zu minimieren.  

Dabei gibt es viele verschiedene Arten von Incidents, mit denen Unternehmen heute konfrontiert sind. 

Einige Beispiele: 

Diese Beispiele machen deutlich: Security Incidents sind vielfältig und sie gehen nicht immer auf Cyberkriminelle zurück. Ausschlaggebend kann auch ein Versehen oder eine fehlerhafte Einstellung sein.  

Eines haben alle Incidents gemeinsam: Eine schnelle, angemessene Reaktion ist entscheidend, um Schäden zu verhindern oder zu begrenzen. 

Am Anfang jedes erfolgreichen Security Incident Response Managements steht ein Bewusstsein für die Wichtigkeit des Themas. „Das Security Incident Response Management ist eine Prio-1-Aufgabe in der Informationssicherheit“, betont Thomas Kuhn.  

Bei der Umsetzung können sich Unternehmen an zwei Normen bzw. Standards orientieren: 

• ISO 27035 

• BSI IT-Grundschutz 

Das Herzstück eines erfolgreichen Security Incident Response Managements ist ein Incident-Response-Plan: ein Dokument, das sich an den oben aufgeführten fünf beziehungsweise sechs Phasen orientiert. „Üblicherweise“, erläutert Thomas Kuhn, „handelt es sich um ein Flussdiagramm mit Erläuterungen zu den einzelnen Phasen.“ Dafür eigne sich kein Plan von der Stange. „Jedes Unternehmen hat andere Prozesse, Verantwortlichkeiten und Strukturen. Daran muss es seinen Plan anpassen.“

Thomas Kuhn empfiehlt, das Security Incident Response Management nicht einfach einer vorhandenen IT-Abteilung als Zusatzaufgabe zu übertragen, sondern ein eigenes Incident Response Team (IRT) zu bilden. „Dieses kümmert sich dann um die Verdachtsfälle und Vorfälle. In großen Unternehmen sei es meist kein Problem, ein solches Team ins Leben zu rufen. Allerdings mache es sowohl für große als auch für kleine Unternehmen mit weniger Ressourcen Sinn, externe Partner hinzuzuziehen, um wirklich abgesichert zu sein. „Interne Teams kennen nie alle Angriffsvektoren.“  

In jedem Fall brauche es eine Person, die die Fäden in der Hand hält. Falls dafür keine Ressourcen im Unternehmen vorhanden sind, bieten sogenannte Security Operations Center (SOC) ein Komplettpaket (Managed Service) an.  

Aber: „Je mehr Know-how intern vorhanden ist und je mehr Verantwortlichkeit eine Person übernehmen kann, die in das Unternehmen integriert ist, desto besser ist es. Optimalerweise bauen Unternehmen möglichst viele Ressourcen intern auf und greifen nur bei ausgewählten Themen auf externe Unterstützung zurück.“

Den Kompetenzaufbau hält Thomas Kuhn für eine der zentralen Herausforderungen im Security Incident Response Management. Eine andere sei die Bereitstellung notwendiger Ressourcen: „Externe Unterstützung kostet Geld und manche Geschäftsführer sehen Security Incident Response immer noch vor allem als Kostenfaktor.“ 

Außerdem werde das Üben und Testen gerne vernachlässigt. „Oft gibt es zwar ein Dokument, in dem alle Maßnahmen und Abläufe festgehalten sind, aber diese wurden nie geprobt. Bei einem Security Incident müssen Verantwortliche dann erst nachlesen, wie sie richtig reagieren.“ Manchmal sei der Security-Incident-Response-Plan seit Jahren nicht mehr aktualisiert worden und seien einige darin genannte Personen gar nicht mehr im Unternehmen. 

Verhindern lassen sich solche Situationen durch praktische Übungen, am besten mindestens einmal im Jahr. „Unternehmen können zum Beispiel einen Phishing-Angriff oder einen Ransomware-Angriff simulieren. So können Mitarbeitende üben, wie sie in dieser Situation richtig reagieren und beispielsweise betroffene Konten sperren.“ Teilweise machen Cyberversicherungen diese Übungen sogar zur Voraussetzung, damit sie im Ernstfall eine bestimmte Schadenshöhe übernehmen.  

Ein gutes Security Incident Response Management ist mehr als eine optionale Zutat im Bereich Informationssicherheit. Angesichts fortschreitender Digitalisierung, zunehmender Cyberkriminalität und der schnellen Entwicklung von künstlicher Intelligenz trägt es entscheidend dazu bei, dass Unternehmen wettbewerbsfähig bleiben. 

Allerdings reicht es nicht aus, einen Security-Incident-Response-Plan zu erstellen und in einer Schublade abzulegen. Das Erkennen und Eindämmen von Sicherheitsvorfällen klappt nur dauerhaft, wenn Unternehmen systematisch Know-how aufbauen sowie erweitern und die Reaktion auf Vorfälle regelmäßig trainieren. Nur dann können Verantwortliche bei einem Security Incident umgehend die richtigen Maßnahmen ergreifen.