Einen Incident-Report verfassen

Ein Incident Report dokumentiert, was passiert ist, welche Auswirkungen der Vorfall hatte, welche Maßnahmen ergriffen wurden und welche Empfehlungen sich daraus ergeben. Er richtet sich an juristische, regulatorische, organisatorische und technische Zielgruppen. Ein gut geschriebener Bericht zeigt Kompetenz und ermöglicht das Lernen innerhalb der Organisation.

Standardabschnitte eines Incident Reports:

1. Zusammenfassung für die Führungsebene
2. Zeitleiste der Ereignisse
3. Technische Analyse
4. Auswirkungsanalyse
5. Ergriffene Maßnahmen
6. Ursachenanalyse
7. Empfehlungen
8. Anhänge (Beweismittel, IOCs)

Die Zusammenfassung für die Führungsebene richtet sich an nicht technisch versierte Führungskräfte. Sie sollte in 1–2 Absätzen folgende Fragen beantworten:

• Was ist wann passiert?
• Was war betroffen?
• Was wurde dagegen unternommen?
• Wie ist der aktuelle Status?

Verzichten Sie auf Fachjargon. Quantifizieren Sie die Auswirkungen (X Datensätze, Y Stunden Ausfallzeit, Kosten in Höhe von $Z).

Die Zeitleiste bildet das faktische Rückgrat des Berichts. Führen Sie Folgendes auf:

• Zeitstempel (UTC, Zeitzone angeben)
• Was passiert ist (beobachtbare Tatsache)
• Informationsquelle (Logreferenz, Tool, Zeuge)

Trennen Sie Fakten klar von Interpretationen. Beispiel: "14:32 UTC — IDS-Warnung auf Host 10.0.1.5 ausgelöst (Referenz: SIEM-Ereignis-ID 8842)"

Der technische Abschnitt dokumentiert die TTPs des Angreifers:

• Methode des Erstzugriffs (Phishing, Exploit, Diebstahl von Zugangsdaten)
• Verwendete Tools und Schadsoftware (mit Hashes)
• Schritte der lateralen Bewegung
• Aufgerufene oder exfiltrierte Daten
• Installierte Persistenzmechanismen

Ordnen Sie die Aktivitäten dem MITRE-ATT&CK-Framework zu, um eine standardisierte Kommunikation zu ermöglichen.

Quantifizieren Sie die Auswirkungen anhand der CIA-Triade:

• Confidentiality: Auf welche Daten wurde zugegriffen oder welche wurden gestohlen? Personenbezogene Daten, geistiges Eigentum, Finanzdaten?
• Integrity: Wurden Daten verändert?
• Availability: Wie lange dauerte der Ausfall?
• Finanziell: direkte Kosten, regulatorische Bußgelder, Kundenabwanderung
• Reputation: öffentliche Bekanntgabe, Medienberichterstattung

Nehmen Sie alle Indicators of Compromise zur Abwehr auf:

Die Ursache sollte konkret benannt werden: "Der Angreifer erlangte über eine Phishing-E-Mail Erstzugriff, die aufgrund der fehlenden DMARC-Durchsetzung für die Domain des Opfers die E-Mail-Filterung umging." Empfehlungen sollten konkret und priorisiert sein sowie Verantwortlichen mit Fristen zugewiesen werden.

Viele Vorfälle lösen eine verpflichtende Meldung aus:

• GDPR: Benachrichtigung der Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls
• HIPAA: Benachrichtigung des HHS innerhalb von 60 Tagen (betroffene Personen innerhalb von 60 Tagen)
• PCI-DSS: Benachrichtigung der Kartenorganisationen innerhalb von 24 Stunden nach einem vermuteten Sicherheitsvorfall

Klassifizieren Sie den Bericht angemessen — er enthält vertrauliche Informationen über Schwachstellen und die TTPs von Angreifern. Verteilen Sie ihn nur nach dem Need-to-know-Prinzip. Vor jeder externen Weitergabe sollte die Rechtsabteilung den Bericht prüfen. Für interne Kopien sollte eine Zugriffsprotokollierung aktiviert sein.

Die Empfehlungen aus dem Bericht müssen bis zu ihrer Umsetzung nachverfolgt werden. Weisen Sie jeder Empfehlung einen Verantwortlichen, ein Fälligkeitsdatum und eine Priorität zu. Verfolgen Sie den Status in Ihrem Issue-Tracking-System. Überprüfen Sie ihn nach 30, 60 und 90 Tagen erneut. Nicht umgesetzte Empfehlungen werden bei künftigen Vorfällen zu einem Haftungsrisiko.

Worauf sollte sich die Zusammenfassung für die Führungsebene eines Incident Reports hauptsächlich konzentrieren?

Ein Incident Report dokumentiert, was passiert ist (Zeitleiste), wie es passiert ist (technische Analyse), welche Auswirkungen es hatte (CIA-Triade), was unternommen wurde (Maßnahmen) und was behoben werden muss (Empfehlungen). Die Zusammenfassung für die Führungsebene ist nicht technisch. IOCs werden zur späteren defensiven Wiederverwendung dokumentiert. Die Fristen für regulatorische Meldungen müssen eingehalten werden. Damit Empfehlungen umsetzbar sind, benötigen sie Verantwortliche und Fälligkeitsdaten.