Incident Response

Bei der Identifizierung geht es um die schnelle Erkennung von Sicherheitsvorfällen, um eine zügige Reaktion zu ermöglichen und dadurch Kosten sowie Schäden zu minimieren. Dafür sammelt und bewertet das IT-Personal Informationen aus Protokolldateien, Fehlermeldungen, Intrusion-Detection-Systemen, Firewalls und Überwachungs- bzw. Sicherheitstools wie SIEM (Security Information and Event Management), SOAR (Security Orchestration, Automation and Response) und EDR (Endpoint Detection and Response).

Nach einer gründlichen Untersuchung und Analyse der bestehenden Sicherheitsverletzung erfolgt die Dokumentation der Ergebnisse. Dazu gehören Informationen zum Urheber des Angriffs, zur verwendeten Angriffsmethode und den angegriffenen Zielen. In dieser Phase ist es auch entscheidend, die relevanten Parteien zu informieren und die nächsten Schritte transparent zu kommunizieren. 

Nach der Eindämmung folgt die Phase der effektiven Incident Response, in der sich das IT Security Team auf die vollständige Entfernung der Sicherheitsbedrohung konzentriert. Dies umfasst aktive Schritte zur Beseitigung der Bedrohung, das Ausschließen nicht autorisierter oder schädlicher Benutzer aus dem Netzwerk und die gründliche Überprüfung aller betroffenen und nicht betroffenen Systeme. Das Ziel ist, sicherzustellen, dass keinerlei Spuren der Sicherheitsverletzung verbleiben, um einer erneuten Infizierung vorzubeugen. Dabei hält das Team weiterhin alle Beteiligten auf dem neuesten Stand.

Nachdem das Incident Response-Team überzeugt ist, dass die Sicherheitsbedrohung vollständig eliminiert wurde, erfolgt die Wiederherstellung des regulären Betriebs der betroffenen Systeme. Dieser Prozess umfasst die zeitnahe Bereitstellung von Patches, die Wiederherstellung von Systemzuständen mittels Backups sowie die Wiederinbetriebnahme von korrigierten Systemen und Geräten. Diese Schritte dienen nicht nur der Behebung von Sicherheitsverletzungen, sondern auch der Wahrung der Systemintegrität und dem Schutz vor zukünftigen Vorfällen. Die transparente Kommunikation dieses Wiederherstellungsprozesses trägt schließlich dazu bei, das Vertrauen von Stakeholdern zu stärken und die reibungslose Fortsetzung des regulären Betriebs zu gewährleisten.

Nach erfolgreicher Bewältigung des Sicherheitsvorfalls analysiert das Team die Geschehnisse und identifiziert potenzielle Verbesserungsmöglichkeiten im Prozess. Die gewonnenen Erkenntnisse dienen dazu, die gesamte Sicherheitsabwehr im Unternehmen zu stärken.

Abhängig von den Umständen der Sicherheitsverletzung kann auch eine Einbindung der Strafverfolgungsbehörden in die nachfolgende Untersuchung in Betracht gezogen werden.