Incident Response

Wir ergänzen Ihre Detection & Response an den beiden Stellen, an denen es regelmäßig klemmt. Im Ernstfall bringen wir Ruhe und Struktur in eine hektische Lage, aus eigener Erfahrung mit Ransomware- und Insider-Vorfällen, und übernehmen Lagebild, Eindämmung und die Meldungen. Im Tagesgeschäft bearbeiten wir Ihre Alarme, wenn Ihr Team gerade nicht kann: in Stoßzeiten, an Wochenenden und nachts. Wenn es jetzt brennt, erreichen Sie uns oben rechts über die Schnelle Hilfe.

Erkennung ohne Reaktion ist ein Rauchmelder ohne Feuerwehr. Die meisten Organisationen, die bei uns anrufen, haben kein Erkennungsproblem: Die Alarme kommen an. Das Problem ist, wer sie bearbeitet, wenn sie freitags um 19 Uhr auflaufen, wenn zwei von drei Leuten im Urlaub sind oder wenn aus einem Alarm plötzlich ein echter Vorfall wird.

Genau dann verschieben sich die Anforderungen. Im Alarmbetrieb geht es um Triage und Geschwindigkeit. Im Vorfall geht es zusätzlich um Entscheidungen unter Unsicherheit, um Kommunikation nach innen und außen und um Fristen, die parallel zur technischen Bewältigung laufen. Beides braucht Menschen, die verfügbar sind und die Ihre Umgebung schon vorher kennen.

Das eigentliche Problem im Vorfall ist, dass alles gleichzeitig passiert. Deshalb arbeiten wir nicht nach Gefühl, sondern entlang eines Ablaufs, den die Praxis seit Jahren nutzt: der sechs Phasen des SANS-Institute, die auch der Zertifizierung GCIH zugrunde liegen. Ihr Wert liegt weniger in der Vollständigkeit als in der Reihenfolge.

Zwei Übergänge entscheiden über den Ausgang, und beide lassen sich nicht vorab in einem Dokument erledigen. Der erste liegt zwischen Identifikation und Eindämmung. Wer zu früh abschaltet, verliert die Information darüber, was der Angreifer eigentlich tut und wie weit er schon gekommen ist. Wer zu lange zusieht, lässt ihn weiterarbeiten. Diese Abwägung braucht jemanden, der sie in der Lage trifft und verantwortet, und zwar mit dem Kopf von jemandem, der so etwas nicht zum ersten Mal sieht.

Der zweite liegt zwischen Beseitigung und Wiederanlauf. Ein zu früher Wiederanlauf ist der häufigste Grund dafür, dass derselbe Vorfall ein zweites Mal passiert. Deshalb gehört dazu immer eine Phase erhöhter Beobachtung, in der gezielt nach genau der Technik gesucht wird, über die der Angreifer hereingekommen ist. Und deshalb ist die Aufarbeitung am Ende keine Fleißaufgabe, sondern die Stelle, an der aus einem teuren Vorfall wenigstens ein Fortschritt wird.

Parallel zu diesen sechs Phasen läuft etwas, das mit Technik nichts zu tun hat. Ab der Identifikation ticken je nach Betroffenheit mehrere Meldefristen gleichzeitig, und sie starten nicht am selben Punkt:

Zwei Fallen stecken darin. Erstens der Startpunkt: Das BSIG zählt ab der Kenntnis vom Vorfall, die DSGVO ab dem Bekanntwerden der Verletzung, DORA ab der Einstufung als schwerwiegend. Zweitens die Abschlussfrist, die sich auf die vorige Meldung bezieht und nicht auf den Vorfall. Wer das verwechselt, meldet formal zu spät, obwohl technisch längst alles erledigt ist.

Der praktische Kern: Die erste Meldung ist eine Entscheidung unter Unsicherheit. Nach vier oder 24 Stunden weiß niemand, was genau passiert ist, und das wird auch nicht verlangt. Gefordert ist eine belastbare erste Einschätzung, die später korrigiert werden darf. Dafür braucht es vorher festgelegte Kriterien und eine Person, die diese Entscheidung treffen darf.

Wir machen daraus keine Produktlandschaft. Es gibt zwei Arten, mit uns zu arbeiten, und sie lassen sich kombinieren:

Welche Alarme wir bearbeiten und wann eskaliert wird, legen wir vorher zusammen fest, orientiert an den Angreifern und Techniken, die für Sie realistisch sind. So entscheidet nicht das Bauchgefühl der diensthabenden Person, sondern ein Kriterium, dem Sie vorher zugestimmt haben.

Wir machen keine IT-Forensik. Nicht, weil wir das Thema nicht kennen, sondern weil eine rechtssichere Beweissicherung eigene Geräte, geeignete Räume und eine lückenlose Beweiskette verlangt. Wer das nebenbei anbietet, gefährdet genau die Verwertbarkeit, um die es dabei geht. Wenn Sie im Nachgang belastbare Beweise brauchen, etwa für Strafverfolgung, Versicherung oder Arbeitsrecht, gehört das in spezialisierte Hände.

Was wir stattdessen tun: Wir achten im laufenden Vorfall darauf, dass Spuren nicht zerstört werden, bevor jemand sie sichern kann. Wir ziehen forensische Dienstleister hinzu, steuern sie und übersetzen deren Ergebnisse in Entscheidungen. Und wir halten Ihnen den Rücken frei, während das läuft.

Ebenso wenig ersetzen wir Ihr SOC oder Ihre Detection & Response. Wenn Sie noch gar keine Erkennung haben, ist Incident Response nicht Ihr erstes Problem, dann sprechen wir zuerst darüber. Und wir verkaufen keine Bereitschaft an Organisationen, bei denen absehbar nie ein Alarm ankommt, weil niemand hinschaut.