Wenn ein Vorfall passiert, ist die wichtigste Ressource nicht Technik, sondern Klarheit. Ein guter Incident-Plan sorgt dafür, dass Menschen wissen, was sie tun müssen, welche Informationen sie liefern und wie Entscheidungen dokumentiert werden. So entsteht aus Stress ein Ablauf, der Angriffsfolgen begrenzt und die Wiederherstellung beschleunigt.

1) Verantwortungen festlegen, bevor es brennt

Bevor Sie überhaupt über Tools sprechen, definieren Sie Rollen. In vielen Firmen scheitert Incident Response daran, dass Verantwortlichkeiten im Ernstfall unklar sind. Halten Sie Rollen möglichst klein und handlungsfähig:

  • Incident Lead: koordiniert, priorisiert, entscheidet über Eskalation.
  • IT/Security Kontakt: sammelt technische Indizien, führt erste Eindämmung durch.
  • Kommunikationsrolle: stimmt interne und externe Botschaften ab, vermeidet widersprüchliche Aussagen.
  • Datenschutz/Compliance Kontakt: bewertet Risiken für personenbezogene Daten und dokumentiert.

Wichtig: Legen Sie eine „No-Guess“-Regel fest. Wer nicht sicher ist, meldet früh und holt Feedback ein, statt stumm abzuwarten.

2) Meldung, Typisierung und ein eindeutiges Signal

Ein Vorfall startet selten mit einer lauten Warnmeldung. Häufig beginnt es mit einer E-Mail, einem Login-Alarm oder dem Gefühl „da stimmt was nicht“. Darum braucht es ein klares Signal, das alle verstehen.

  1. Auslöser melden: Wer etwas Verdächtiges bemerkt, meldet über einen fest definierten Kanal.
  2. Typ grob zuordnen: z. B. Phishing mit Postfach-Übernahme, kompromittierte Konten, Ransomware-Verdacht, Datenabfluss-Vermutung.
  3. Impact grob abschätzen: Welche Systeme sind betroffen, wie kritisch ist der Prozessbetrieb?

Die Typisierung muss nicht perfekt sein. Sie muss nur ausreichen, um die richtigen nächsten Schritte einzuleiten.

3) Erkunden ohne den Beweis zu zerstören

In der ersten Phase geht es um „was passiert gerade?“. Gleichzeitig dürfen Handlungen nicht alles verwischen. Binden Sie daher die wichtigsten Grundsätze in den Ablauf ein:

  • Dokumentation: Zeitpunkt, Beobachtungen, getroffene Maßnahmen.
  • Begrenztes Eingreifen: Erst Eindämmung, dann tiefere Analyse.
  • Beweissicherung nur wenn nötig: Logdaten, relevante Artefakte und Screenshots sichern.

Gerade bei kompromittierten Konten gilt: Ändern Sie Passwörter und Session-Zugänge nicht „in Aktionismus“. Arbeiten Sie nach Prioritäten und halten Sie Schritte fest.

4) Eindämmung: schnell, aber pragmatisch

Ziel der Eindämmung ist, die Ausbreitung zu stoppen. Für Schweizer KMU zählt ein Plan, der in der Realität funktioniert, nicht ein theoretisches Best-Case-Szenario. Leiten Sie Eindämmungsschritte nach dem Vorfalltyp ab:

  • Verdacht auf Phishing: betroffene Postfächer sperren/isolieren, Logins überprüfen, Token-Zugriffe entfernen, MFA-Nutzung kontrollieren.
  • Ransomware-Verdacht: betroffene Systeme isolieren, Netzsegment prüfen, Wiederherstellung erst nach validierter Bereinigung planen.
  • Datenabfluss-Vermutung: Zugriffsrechte prüfen, Exfiltrationsspuren bewerten, weitere Uploads blockieren, Kommunikation vorbereiten.

Behalten Sie den Betriebsbetrieb im Blick: Eindämmung darf nicht automatisch den gesamten Laden stilllegen. Priorisieren Sie die kritischsten Systeme zuerst.

5) Kommunikation: intern ruhig, extern abgestimmt

In vielen Vorfällen entstehen mehr Schäden durch Missverständnisse als durch die eigentliche Technik. Definieren Sie deshalb eine zentrale Kommunikationslinie:

  • Intern: Kurzstatus, was gemeldet werden soll und was nicht.
  • Extern: Nur abgestimmte Aussagen, insbesondere wenn Kunden- oder personenbezogene Daten betroffen sind.

Ein einfacher Status-Text (Was wissen wir? Was tun wir? Was wird als Nächstes geprüft?) verhindert Panik und Gerüchte.

6) Wiederherstellung: erst stabil, dann zurück

Nach der Eindämmung kommt die Rückkehr in den Normalbetrieb. Auch hier hilft ein klarer Ablauf:

  1. Bereinigung bestätigen: Ursachen und Wege der Kompromittierung schließen.
  2. Kontrollen aktivieren: Monitoring, Zugangskontrollen und Wiederanmeldeprozesse überprüfen.
  3. Wiederanlauf in Stufen: Systeme zunächst eingeschränkt, dann schrittweise hochfahren.

Dokumentieren Sie dabei bewusst, welche Änderungen vorgenommen wurden. Das ist später Gold wert, wenn die Frage „Warum hat das funktioniert?“ kommt.

7) Nachbereitung: aus dem Vorfall eine Trainingschance machen

Ein Incident-Plan ist nicht nur eine Reaktionsliste. Er wird besser, wenn Sie konsequent nach jeder Übung und jedem echten Vorfall nacharbeiten:

  • What went well / What can we improve: konkrete Punkte ohne Schuldzuweisung.
  • Lücken im Prozess: z. B. unklare Rollen, zu lange Eskalationswege, fehlende Logs.
  • Wissensübertragung: kurzes internes Update, passende Schulungen für betroffene Teams.

Gerade Schulungen verbessern die Widerstandsfähigkeit gegen Cyber-Angriffe, weil Mitarbeitende im Alltag schneller passende Hinweise geben. Das Zusammenspiel aus technischen Kontrollen und menschlicher Wachsamkeit reduziert Risiko spürbar.

Quickstart-Checkliste für den Ernstfall

Nutzen Sie diese kompakte Liste als Orientierungsanker im Tagesgeschäft:

  • Wer ist Incident Lead, und wie erreichen wir die Person 24/7?
  • Wo melden Mitarbeitende verdächtige Hinweise, und wer triagiert?
  • Welche Systeme isolieren wir zuerst, und wie dokumentieren wir die Schritte?
  • Welche Kommunikationsvorlage nutzen wir für einen internen Kurzstatus?
  • Wie prüfen wir, dass die Wiederherstellung stabil ist, bevor wir hochfahren?

Wenn Sie in Ihrem Unternehmen ein strukturiertes Vorgehen aufbauen möchten, starten Sie klein: Rollen klären, Meldeweg festlegen, ein kurzes Ablaufdiagramm erstellen, danach anhand einer Übung verbessern. Ein Incident-Plan, der gelebt wird, ist deutlich wirksamer als ein Dokument, das im Schrank liegt.

Hinweis: Dieser Artikel ersetzt keine individuelle Rechts- oder Sicherheitsberatung, er hilft jedoch dabei, Incident Response im KMU-Alltag verständlich aufzubauen.