Vorbereitung: IR-Pläne, Playbooks und Teams

Der Lebenszyklus der Reaktion auf Sicherheitsvorfälle nach NIST umfasst vier Phasen: Vorbereitung, Erkennung und Analyse, Eindämmung/Beseitigung/Wiederherstellung sowie Aktivitäten nach dem Vorfall. Die Vorbereitung ist die wichtigste Phase – alles, was ein Unternehmen vor einem Vorfall unternimmt, bestimmt, wie wirksam es während des Vorfalls reagieren kann. Unternehmen, die in Vorbereitung investieren, entdecken Sicherheitsverletzungen schneller, grenzen sie rascher ein und geben für die Wiederherstellung deutlich weniger aus. Der durchschnittliche Kostenunterschied zwischen hoher und geringer Vorbereitung auf die Reaktion auf Sicherheitsvorfälle beträgt pro Vorfall mehrere Millionen Dollar.

Ein Incident-Response-Plan (IRP) ist das maßgebliche Dokument, das den Umgang einer Organisation mit Sicherheitsvorfällen festlegt. Ein umfassender IRP enthält: Auftrag und Geltungsbereich, Rollen und Kontaktdaten des Teams, Definitionen dessen, was als Vorfall gilt, Kriterien für die Einstufung des Schweregrads, Eskalationsverfahren, Vorlagen für die Kommunikation, gesetzliche und regulatorische Meldepflichten sowie Verweise auf technische Playbooks. Der IRP muss von der obersten Führungsebene genehmigt und mindestens einmal jährlich überprüft werden.

Das CSIRT ist das Team, das für die Umsetzung des IRP verantwortlich ist. Zu den wichtigsten Rollen gehören: der Incident Commander (übergreifende Koordination und Entscheidungsfindung), Security Analysts (technische Untersuchung und Beweiserhebung), der Communications Lead (Kommunikation mit Stakeholdern, Kunden und Medien), der Legal Counsel (Einhaltung regulatorischer Vorgaben und Schnittstelle zu Strafverfolgungsbehörden) sowie der Executive Sponsor (Genehmigung wesentlicher Maßnahmen zur Behebung). Klar definierte Rollen verhindern Verwirrung und stellen sicher, dass keine kritische Aufgabe übersehen wird.

Die Einstufung des Schweregrads bestimmt die Dringlichkeit der Reaktion, den Eskalationsweg und die Meldepflichten. Ein typisches Modell mit vier Stufen: P1/Critical — aktiver Sicherheits breach mit Datenabfluss oder erheblichen Auswirkungen auf das Geschäft, erfordert eine sofortige Reaktion rund um die Uhr; P2/High — bestätigte Kompromittierung ohne bestätigten Datenverlust; P3/Medium — verdächtige Aktivität, die untersucht wird; P4/Low — Verstöße gegen Richtlinien oder geringfügige Anomalien. Fehler bei der Einstufung — etwa einen P1 als P3 zu behandeln — ermöglichen es Sicherheitsverletzungen, sich auszubreiten, während sich die Reaktion verzögert.

Während der IRP strategische Leitlinien vorgibt, bieten Playbooks taktische, schrittweise Verfahren für den Umgang mit bestimmten Vorfallarten. Ein Ransomware-Playbook könnte Folgendes vorgeben: betroffene Systeme isolieren (Schritt 1), vor jeglicher Bereinigung forensische Abbilder erstellen (Schritt 2), prüfen, ob die Variante bekannt ist und Entschlüsselungsprogramme existieren (Schritt 3), das Führungsteam benachrichtigen (Schritt 4), eine externe IR-Firma hinzuziehen (Schritt 5). Playbooks verringern die kognitive Belastung bei Vorfällen mit hohem Stress, bei denen Einsatzkräfte andernfalls kritische Schritte übersehen könnten.

Die technische Vorbereitung umfasst die Einführung und Konfiguration der Tools, die Einsatzkräfte während eines Vorfalls benötigen. Unverzichtbares IR-Toolkit: SIEM zur Zusammenführung und Korrelation von Logs, EDR für Transparenz und Eindämmung auf Endgeräten, Forensic imaging tools (FTK, dd, Magnet AXIOM), Memory acquisition (Magnet RAM Capture, WinPmem), Network packet capture (Wireshark, Zeek) sowie Out-of-band communication-Kanäle (falls die primäre E-Mail-Kommunikation während des Vorfalls kompromittiert ist).

Viele Organisationen schließen Retainer-Vereinbarungen mit spezialisierten Incident-Response-Firmen ab (Mandiant, CrowdStrike, Palo Alto Unit 42). Ein Retainer garantiert im Falle eines Vorfalls eine Reaktion mit Priorität – zu vorab vereinbarten Tarifen und mit festgelegten SLAs (z. B. Einsatzkraft innerhalb von 4 Stunden nach der Benachrichtigung vor Ort). Ohne Retainer kann die Beauftragung einer IR-Firma während eines schwerwiegenden Sicherheits breachs Tage dauern und hohe Aufschläge verursachen. Retainer-Firmen bieten außerdem die Moderation von Tabletop-Übungen, Threat Hunting und Bewertungen vor einem Sicherheits breach an.

Tabletop-Übungen simulieren Vorfallszenarien in Form einer Diskussion im Besprechungsraum, ohne Produktivsysteme zu berühren. Die Teilnehmenden gehen ein sich entwickelndes Szenario durch — einen Ransomware-Angriff, eine CEO-Betrugs-E-Mail oder eine Kompromittierung von Zugangsdaten — und besprechen, wie sie an jedem Entscheidungspunkt vorgehen würden. Tabletop-Übungen machen Lücken in Playbooks, unklare Zuständigkeiten und ungeprüfte Annahmen sichtbar, bevor ein echter Vorfall sie offenlegt. Für das CSIRT sollten sie vierteljährlich und für Führungskräfte jährlich durchgeführt werden.

Die Kommunikation während eines Vorfalls muss im Voraus geplant werden. Wichtige Aspekte sind: Fristen für regulatorische Meldungen (die DSGVO verlangt eine Meldung von Datenschutzverletzungen innerhalb von 72 Stunden, HIPAA innerhalb von 60 Tagen; die einzelstaatlichen Meldegesetze unterscheiden sich), Vorlagen für die Benachrichtigung von Kunden, Kriterien für die Benachrichtigung von Strafverfolgungsbehörden (FBI bei Ransomware, Secret Service bei Finanzbetrug), die Kommunikation der Öffentlichkeitsarbeit sowie die interne Kommunikation mit den Mitarbeitenden. Entscheidend ist, dass die Kommunikation während eines Vorfalls über Out-of-band-Kanäle erfolgt – der Angreifer könnte die Unternehmens-E-Mail überwachen.

Zur Vorbereitung gehört die Einrichtung von Verfahren für die Beweiserhebung, die die rechtliche Verwertbarkeit sicherstellen. Zu den wichtigsten Anforderungen gehören: die Reihenfolge der Flüchtigkeit dokumentieren, beim Erstellen von Datenträgerabbildern Write-Blocker verwenden und die kryptografischen Hashes aller Beweismittel (SHA-256) erfassen sowie die Beweismittelkette von der Erhebung bis zur Aufbewahrung dokumentieren. Beweismittel, deren Authentizität nicht nachgewiesen werden kann — weil die Verfahren nicht eingehalten wurden — sind in Gerichtsverfahren gegen Angreifer oder Mitarbeitende möglicherweise nicht zulässig.

Organisationen ohne ausgereifte IR-Vorbereitung machen bei Sicherheits breaches regelmäßig kostspielige Fehler: Einsatzkräfte setzen Systeme neu auf, bevor sie forensische Beweise sichern (wodurch die Möglichkeit zerstört wird, den Vorfall zu verstehen), kommunizieren über kompromittierte Kanäle (und warnen dadurch die Angreifer), eskalieren zu langsam, weil die Einstufung des Schweregrads unklar ist, verfügen nicht über die Befugnis, Eindämmungsentscheidungen zu treffen (und benötigen dafür stundenlange Genehmigungen) und können betroffene Systeme nicht identifizieren, weil das Asset-Inventar unvollständig ist. Jeder dieser Fehler lässt sich durch Vorbereitung verhindern.

Testen Sie Ihr Verständnis der CompTIA Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Der IRP ist das maßgebliche Dokument, das Rollen, Schweregradeinstufungen und Kommunikationsverfahren festlegt, Playbooks bieten taktische, schrittweise Anleitungen für bestimmte Vorfallarten und Tabletop-Übungen sowie Retainer-Vereinbarungen bereiten Teams darauf vor, sich wirksam zu reagieren, bevor ein echter Vorfall eintritt. Als Nächstes befassen wir uns mit Erkennung und Analyse: der Identifizierung echter Vorfälle.