Ein koordiniertes, dokumentiertes Set von Prozessen und Maßnahmen zur Erkennung, Analyse, Eindämmung, Beseitigung, Wiederherstellung und zum Lernen aus Sicherheitsvorfällen, die Informationssysteme, Assets oder den Betrieb betreffen.

Prinzip

Priorität auf schnelle Erkennung und Eindämmung legen, um Schaden zu begrenzen, Beweise für Untersuchungen und rechtliche Schritte zu bewahren, die Kontinuität kritischer Funktionen zu erhalten und Erkenntnisse zur Verbesserung der Abwehr zu nutzen.

Demonstration

Wenn Ransomware einen Aktenserver verschlüsselt, isoliert das Reaktionsteam betroffene Hosts, sichert forensische Images und Logs, informiert die Führung und Partner, stellt aus geprüften Backups wieder her und führt eine Nachbesprechung durch.

Fehlanwendung

Systeme neu zu installieren oder wiederherzustellen, ohne Logs und forensische Artefakte zu sichern, die Eindämmung zu verzögern, während man völlige Gewissheit sucht, oder die Koordination mit rechtlichen und ermittlerischen Stakeholdern zu unterlassen.

Konsequenz

Eine strukturierte Reaktion begrenzt Betriebsstörungen und Datenverlust, bewahrt Beweise für Strafverfolgung, verkürzt die Wiederherstellungszeit und verbessert die Abwehr durch Maßnahmen nach dem Vorfall.

Umkehrung

Ad-hoc- oder unkoordinierte Reaktionen, die Beweise vernichten, Ausfallzeiten verlängern, die Kompromittierung ausbreiten und inkonsistente Abhilfemaßnahmen in verschiedenen Einheiten erzeugen.

Abgrenzung

Umfasst Maßnahmen während und nach Vorfällen, schließt jedoch routinemäßige Wartung und Richtlinienverstöße aus, die nicht die Schwelle eines Vorfalls erreichen; die Zusammenarbeit mit externen Stellen kann durch Zuständigkeit und rechtliche Rahmen begrenzt sein.

Semantische Spannung

Spannung zwischen schnellen Eindämmungsmaßnahmen, die den Betrieb stören können, und den Ermittlungsbedürfnissen zur Beweissicherung; Incident Response überschneidet sich mit, ist aber von Krisenmanagement und Business Continuity zu unterscheiden.

Synthese

Die Reaktion auf Sicherheitsvorfälle im Polizeikontext ist eine organisierte Verbindung technischer, rechtlicher und leitender Schritte, um Schaden zu minimieren, Beweise zu sichern, Dienste wiederherzustellen und die künftige Resilienz zu stärken.