Plan nicht greifbar
Der Plan liegt auf dem Fileserver – genau dort, wo die Ransomware ihn verschlüsselt hat. Ohne Druck- oder Offline-Version fehlt er, wenn er gebraucht wird.
Incident Response & Forensik
Incident Response Plan und Playbooks für den Ernstfall
Klare Rollen, klare Wege, klare Entscheidungen.
Ein Cyberangriff lässt keine Zeit für Grundsatzfragen. Mit einem Incident Response Plan, der zu Ihrem Unternehmen passt, steht vorab fest, wer entscheidet, wer informiert wird und welche Schritte folgen – mit Playbooks für typische Angriffe und den Meldefristen aus DSGVO, NIS2 und DORA im Blick.
- Individuelles Angebot
- Unterstützung bei Meldepflichten
- Herstellerunabhängig
Definition
Was ist ein Incident Response Plan?
Ein Incident Response Plan (IR-Plan) legt verbindlich fest, wie Ihr Unternehmen mit IT-Sicherheitsvorfällen umgeht – von der ersten Warnmeldung über Eindämmung und Wiederherstellung bis zur Nachbereitung. Er regelt Rollen und Entscheidungsbefugnisse, Eskalations- und Meldewege sowie die Kommunikation nach innen und außen. Ergänzt wird er durch Incident Response Playbooks: kurze, handlungsorientierte Abläufe für konkrete Szenarien wie Ransomware oder eine Kontoübernahme.
Häufig ist auch vom IT-Notfallplan die Rede – mal für den Wiederanlauf nach IT-Ausfällen jeder Art, mal speziell für den Umgang mit Angriffen. Entscheidend ist, dass Vorfallbehandlung und Notfallmanagement ineinandergreifen: Ein schwerer Angriff ist immer auch ein Notfall für den Geschäftsbetrieb.
Im Ernstfall laufen Fristen: Meldepflichtige Datenschutzverletzungen sind nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, für erhebliche Sicherheitsvorfälle in NIS2-pflichtigen Einrichtungen ist sogar spätestens 24 Stunden nach Kenntnis eine frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK fällig. Wer erst im Vorfall klärt, wer bewertet, meldet und freigibt, verliert genau die Zeit, die für Eindämmung und Beweissicherung fehlt.
Auch Gesetze und Standards sehen diese Vorbereitung vor: NIS2 zählt in Art. 21 die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs und das Krisenmanagement ausdrücklich zu den Risikomanagementmaßnahmen, ISO/IEC 27001:2022 enthält in Anhang A Maßnahmen zur Planung und Vorbereitung des Vorfallmanagements, und der IT-Grundschutz des BSI widmet dem Thema den Baustein DER.2.1 „Behandlung von Sicherheitsvorfällen“.
Unser Vorgehen
So entsteht Ihr IT-Notfallplan für Sicherheitsvorfälle
Am Anfang steht eine Bestandsaufnahme: Welche Regelungen, Kontaktlisten und Dienstleisterverträge gibt es bereits? Welche Systeme und Prozesse sind geschäftskritisch? Und welche Vorgaben gelten für Sie – etwa aus DSGVO, NIS2 und DORA, von Ihren Kunden oder aus Ihrer Cyber-Police?
In Workshops mit Geschäftsleitung, IT, Datenschutz, Kommunikation und Fachbereichen entwickeln wir daraus Ihren Plan. Wir orientieren uns an anerkannten Rahmenwerken wie ISO/IEC 27035, dem BSI-Standard 200-4 zum Business Continuity Management und NIST SP 800-61 Rev. 3, bilden aber Ihre tatsächliche Organisation ab: Wer ist nachts erreichbar? Wer darf das Netz vom Internet trennen? Welcher Dienstleister hat welche Zugänge?
Jedes Playbook folgt den etablierten Phasen der Vorfallbehandlung und enthält klare Entscheidungspunkte, Hinweise zur Beweissicherung und passende Kommunikationsbausteine.
Typische Lücken
Woran Notfallpläne im Ernstfall scheitern
Unklare Entscheidungsbefugnisse
Darf die IT-Leitung die Produktion stoppen oder die Internetanbindung kappen? Fehlen klare Befugnisse, wird diskutiert statt gehandelt.
Veraltete Kontaktlisten
Ausgeschiedene Beschäftigte, alte Mobilnummern, keine Stellvertretungen – und der IT-Dienstleister ist nur zu Geschäftszeiten erreichbar.
Kein Ausweichkanal
E-Mail, Chat und Telefonie laufen über die kompromittierte Umgebung. Ohne unabhängigen Kommunikationsweg lesen Angreifer womöglich mit.
Meldepflichten ohne Zuständigkeit
Niemand weiß, wer prüft, ob Datenschutzaufsicht, die gemeinsame Meldestelle von BSI und BBK oder die BaFin informiert werden müssen, wer die Meldung verfasst und wer sie freigibt.
Vernichtete Spuren
Gut gemeinte Neustarts oder vorschnelles Neuaufsetzen zerstören Spuren, die für Aufklärung, Meldungen und Versicherung gebraucht werden.
Nie geübt
Ein Plan, den niemand kennt, wird unter Druck nicht angewendet. Erst die Übung zeigt, ob die Abläufe tragen.
Ausgangslagen
Der passende Einstieg für Ihren Reifegrad
Noch kein Plan
Neuaufbau
Bisher gibt es keine verbindlichen Regelungen für Sicherheitsvorfälle? Wir erarbeiten den Kernplan und die wichtigsten Playbooks – kompakt und praxistauglich.
- Rollen, Eskalation und Meldewege
- Playbooks für die wahrscheinlichsten Szenarien
- Notfallkarte für alle Beschäftigten
Plan vorhanden
Überarbeitung
Ihr Plan ist in die Jahre gekommen oder deckt neue Anforderungen nicht ab? Wir prüfen ihn gegen aktuelle Angriffsmuster und Pflichten und schließen die Lücken.
- Abgleich mit NIS2, DORA und ISO/IEC 27001:2022
- Aktualisierung von Kontakten, Systemen und Dienstleistern
- Ergänzung fehlender Playbooks
Lessons Learned
Nach einem Vorfall
Ein Sicherheitsvorfall hat Schwächen offengelegt? Wir überführen die Erkenntnisse in einen belastbaren Plan, damit der nächste Ernstfall geordneter verläuft.
- Auswertung des Vorfallverlaufs
- Gezielte Anpassung von Plan und Playbooks
- Verknüpfung mit den Ergebnissen der IT-Forensik
Ablauf
In sechs Schritten zum Incident Response Plan
Praxisnah und auf Ihre Organisation zugeschnitten – wie alle Leistungen im Bereich Incident Response & Forensik.
-
01
Erstgespräch & Angebot
Wir klären Ausgangslage, Ziele und Umfang. Auf dieser Basis erhalten Sie ein individuelles Angebot.
-
02
Bestandsaufnahme
Interviews und Dokumentensichtung zu vorhandenen Regelungen, kritischen Prozessen, Dienstleistern und regulatorischen Anforderungen.
-
03
Plan, Rollen & Meldewege
In Workshops definieren wir Klassifizierung, Rollen, Eskalationsstufen, Meldematrix und Kommunikationsplan.
-
04
Playbooks
Für die priorisierten Szenarien entstehen Abläufe entlang der Phasen Erkennung und Analyse, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung.
-
05
Freigabe & Einführung
Die Geschäftsleitung gibt den Plan frei. Wir stellen ihn den beteiligten Teams vor und sorgen dafür, dass er auch offline verfügbar ist.
-
06
Übung & Review
In einer Übung prüfen wir, ob der Plan trägt – etwa im Rahmen unserer Krisen- & Tabletop-Übungen. Anschließend legen wir einen Rhythmus für regelmäßige Überprüfungen fest.
Ergebnis
Ihr Notfallplan: kompakt, verständlich, praxistauglich
Sie erhalten keine Aktenordner, sondern Unterlagen, mit denen Ihr Team unter Druck arbeiten kann: kurz, eindeutig und auf Rollen zugeschnitten. Alle Dokumente stehen auch als Druck- und Offline-Version bereit – damit sie verfügbar bleiben, wenn Ihre IT es nicht ist.
- Incident Response Plan mit Klassifizierung und Aktivierungskriterien
- Verantwortlichkeitsmatrix inklusive Stellvertretungen
- Eskalations- und Meldematrix mit Fristen und Vorlagen
- Kommunikationsplan mit abgestimmten Textbausteinen
- Playbooks für Ihre priorisierten Szenarien
- Notfallkarte und Kontaktliste zum Ausdrucken
- Management Summary mit offenen Punkten und Empfehlungen
Bereit sein, bevor es ernst wird
Ein Plan verhindert keinen Angriff – aber er bestimmt maßgeblich, wie schnell und geordnet Sie danach wieder handlungsfähig sind. Lassen Sie uns über Ihre Ausgangslage sprechen.
FAQ
Häufige Fragen zum Incident Response Plan
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Was unterscheidet Incident Response Plan, IT-Notfallplan und BCM?
Der Incident Response Plan regelt den Umgang mit Sicherheitsvorfällen – von der Erkennung bis zur Nachbereitung. Der IT-Notfallplan im engeren Sinn sorgt dafür, dass IT-Services nach Ausfällen jeder Art wieder anlaufen, und das Business Continuity Management nach BSI-Standard 200-4 sichert zeitkritische Geschäftsprozesse auch bei schweren Störungen. Bei einem schweren Cyberangriff greifen alle drei ineinander; deshalb legen wir die Schnittstellen ausdrücklich fest.
Sind wir zu einem Incident Response Plan verpflichtet?
Das hängt von Branche und Größe ab. Für NIS2-pflichtige Einrichtungen gehören die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs und das Krisenmanagement zu den Mindestmaßnahmen nach § 30 des BSI-Gesetzes (BSIG); die Geschäftsleitung muss sie umsetzen und die Umsetzung überwachen (§ 38 BSIG). DORA verlangt von Finanzunternehmen unter anderem IKT-Reaktions- und Wiederherstellungspläne. Und auch ohne ausdrückliche Pflicht lassen sich die Meldefristen der DSGVO kaum ohne festgelegte Abläufe einhalten.
Welche Meldefristen muss der Plan abbilden?
Meldepflichtige Datenschutzverletzungen melden Sie unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde (Art. 33 DSGVO); bei voraussichtlich hohem Risiko für die Betroffenen benachrichtigen Sie diese zusätzlich unverzüglich (Art. 34 DSGVO). NIS2-pflichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK: frühe Erstmeldung spätestens 24 Stunden und Meldung spätestens 72 Stunden nach Kenntnis, Abschlussmeldung spätestens einen Monat nach der Meldung. Finanzunternehmen melden schwerwiegende IKT-bezogene Vorfälle nach DORA an die zuständige Aufsicht, meist die BaFin – die Erstmeldung grundsätzlich binnen vier Stunden nach Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis, danach folgen Zwischen- und Abschlussmeldung. Die rechtliche Bewertung im Einzelfall übernimmt Ihre Rechts- oder Datenschutzberatung.
Wie umfangreich sollte ein Playbook sein?
So kurz wie möglich, so konkret wie nötig. Ein gutes Playbook umfasst wenige Seiten: Auslöser, Sofortmaßnahmen, Entscheidungspunkte, Verantwortliche, Hinweise zur Beweissicherung, Kommunikation und Kriterien für die Wiederherstellung. Technische Details wie Befehlsfolgen oder Systemlisten gehören in Anhänge, die Ihr IT-Team pflegt.
Wie oft sollte der Plan überprüft werden?
Mindestens einmal im Jahr, nach wesentlichen Änderungen wie neuen Systemen oder einem Dienstleisterwechsel und nach jedem größeren Vorfall. Kontaktlisten sollten Sie deutlich häufiger aktualisieren. Für die meisten Finanzunternehmen schreibt DORA ohnehin mindestens jährliche Tests der IKT-Reaktions- und Wiederherstellungspläne vor – Übungen sind dafür ein bewährter Weg.
Wir haben gerade einen akuten Vorfall – was jetzt?
Dann hat die Planung Pause. Trennen Sie betroffene Systeme vom Netzwerk, schalten Sie sie aber nicht aus, und rufen Sie unsere 24/7-Notfall-Hotline unter +49 2932 465265-0 an oder nutzen Sie das Formular Notfall melden; weitere Sofortmaßnahmen finden Sie unter IT-Notfall & Soforthilfe. Den Plan erarbeiten wir gern, sobald sich die Lage stabilisiert hat – mit den Erkenntnissen aus dem Vorfall.
Weiterführende Seiten
Sprechen Sie mit uns über Ihren Notfallplan
Schildern Sie uns kurz Ihre Ausgangslage – ob Sie neu starten oder einen bestehenden Plan überarbeiten möchten. Wir stimmen die nächsten Schritte vertraulich mit Ihnen ab. Bei einem akuten Sicherheitsvorfall nutzen Sie bitte die 24/7-Notfall-Hotline +49 2932 465265-0 oder das Formular Notfall melden.