2 Incident Handling und Meldung von Sicherheitsvorfällen

Operativer Kernprozess für Erkennung, Bewertung, Eindämmung, Wiederherstellung, Meldeaufbereitung und Nachweisführung

Hinweis:

Dieses Kapitel beschreibt Incident Handling als wiederholbaren Organisationsprozess. Es liefert die fachliche Sachverhaltsaufbereitung, Dokumentationslogik und Übergabe an Rechts-, Datenschutz-, Kommunikations- und Review-Prozesse. Verbindliche rechtliche Prüfung von Meldepflichten nach NISG 2026 und NIS2, Fristen, Behördenwegen, Sanktionen und Datenschutzfolgen bleibt dem Register „Rechtsgrundlagen“ vorbehalten; vollständige Vorlagen werden in Register „Arbeitshilfen“ geführt.

Dieses Kapitel bildet den operativen Kern dieses Registers. Es behandelt Sicherheitsereignisse nicht als rein technische Störung, sondern als steuerbaren Ablauf mit klaren Rollen, Zeitpunkten, Entscheidungen, Nachweisen und Schnittstellen. Ein Vorfallprozess muss in kurzer Zeit zwei Ziele verbinden: Schaden begrenzen und gleichzeitig so dokumentieren, dass spätere Entscheidungen, Meldeprüfungen, Wiederherstellung und Verbesserungen nachvollziehbar bleiben.

Incident Handling fokussiert auf Annahme, Analyse, Eindämmung und Wiederherstellung des betroffenen Systems oder Dienstes. Wenn kritische Geschäftsprozesse, Notbetrieb oder zentrale Leitungsentscheidungen betroffen sind, schließt das Business Continuity Management und die Krisenorganisation an.

Für die ersten Entscheidungen nutzt das Incident-Team vor allem die Asset-Übersicht, das Risikoregister, die Lieferantenliste, das Backup-Konzept und relevante Richtlinien aus dem Register „Cybersicherheits-Risikomanagement“. Diese Unterlagen zeigen, welche Systeme kritisch sind, welche Dienstleister einzubinden sind und welche Wiederherstellungs- oder Kommunikationswege priorisiert werden müssen.

Das Kapitel folgt dem praktischen Ablauf eines Vorfalls. Die Unterkapitel führen von Leitprinzipien, Vorbereitung, Erkennung und Triage über Analyse, Eindämmung, Beseitigung und Wiederherstellung bis zur Meldeaufbereitung und Übergabe in den Post-Incident Review. Der Schwerpunkt liegt auf eigener Erläuterung und Anwendung im Unternehmen; Normen, Leitlinien und Rechtsquellen dienen als Prüfanker.

Unterkapitel	Arbeitsfrage	Ergebnis für die Praxis
2.1 Kapitelüberblick und Leitprinzipien	Wie wird Incident Handling als Prozess verstanden?	Gemeinsames Verständnis von Vorbereitung, Erkennung, Reaktion, Wiederherstellung und Verbesserung
2.2 Vorbereitung: Rollen, Incident Response Team und Bereitschaft	Wer entscheidet, wer reagiert und wer wird eingebunden?	Incident-Response-Rollenmatrix, Bereitschaftslogik, Kontakt- und Eskalationswege
2.3 Erkennung, interne Meldung und Erstbewertung	Wie wird aus einer Beobachtung eine verwertbare Erstmeldung?	Mindestinformationen, Zeitstempel, Vertraulichkeit und Übergabe an die Triage
2.4 Triage, Klassifikation und Schweregradentscheidung	Welche Lage liegt vor und wie dringend ist sie?	Unterscheidung von Ereignis, Verdacht, Sicherheitsvorfall, Notfall und Krise
2.5 Analyse, Eindämmung und Beweissicherung	Wie wird Schaden begrenzt, ohne Spuren unnötig zu zerstören?	Analysehypothese, Sofortmaßnahmen, forensische Mindestdokumentation und Entscheidungsprotokoll
2.6 Beseitigung, Wiederherstellung und technische Freigabe	Wann dürfen Systeme wieder produktiv genutzt werden?	Bereinigungs-, Wiederherstellungs-, Integritäts- und Freigabenachweise
2.7 Meldeprüfung und Schnittstelle zu Behörden, CSIRT und Datenschutz	Welche Informationen werden für mögliche Meldeentscheidungen benötigt?	Sachverhalt, Zeitpunkte, Auswirkungen und Entscheidungsgrundlagen für Rechts- und Datenschutzprüfung
2.8 Dokumentation, Nachweise und Übergabe in den Review	Wie bleibt der gesamte Vorfall prüfbar?	Incident-Log, Maßnahmenprotokoll und Kommunikationsnachweise