Incident-Response-Übung und -Training: IR-Drills für IR- und SOC-Teams
Was ist eine Incident-Response-Übung?
Eine Incident-Response-Übung spielt einen Sicherheitsvorfall durch, damit das Team sieht, wo seine Reaktion hakt, und das behebt, bevor es ernst wird. Ein Penetrationstest prüft die Technik. Hier geht es um Menschen, Abläufe und Entscheidungen: Wer bemerkt was, wer entscheidet, wer informiert wen? Methodisch gehört sie zu den Test-, Trainings- und Übungsprogrammen, wie sie NIST SP 800-84 beschreibt; die inhaltliche Messlatte liefern die Incident-Response-Empfehlungen der NIST SP 800-61 Rev. 3.
Incident-Response-Training, -Übung oder -Drill?
Ein Training vermittelt Wissen. Eine Übung prüft, ob dieses Wissen unter Zeitdruck abrufbar ist. Ein Drill schleift einen einzelnen Ablauf durch Wiederholung ein. Im Alltag gehen die Begriffe oft durcheinander. Wenn Sie ein Übungsprogramm planen, lohnt es sich, sie zu trennen:
| Format | Ziel | Form | Ergebnis |
|---|---|---|---|
| Schulung / Training | Wissen vermitteln: Rollen, Prozesse, Meldepflichten, Werkzeuge | Vortrag, E-Learning oder Schulungstag | Das Team weiß, was zu tun ist |
| Workshop | Plan und Playbooks gemeinsam erarbeiten oder überarbeiten | Moderierte Arbeitssitzung | Abgestimmtes Dokument |
| Tabletop-Übung | Prüfen, ob Rollen, Entscheidungen und Meldekette unter Druck halten | Szenario mit Injects, diskutiert in den Rollen aus dem Ernstfall | Findings und Maßnahmenplan |
| Drill | Einen einzelnen Ablauf durch Wiederholung einschleifen | Kurz und auf einen Ablauf beschränkt, z. B. Alarmierung oder Isolation eines Systems | Messbare Reaktionszeit |
| Simulation / funktionale Übung | Technische Schritte tatsächlich ausführen | Echte Systeme oder Testumgebung | Nachweis, dass es technisch funktioniert |
Am meisten bringt die Kombination: Die Schulung legt die Grundlage, die Tabletop-Übung zeigt die Lücken, und kurze Drills festigen genau die Abläufe, die dabei gehakt haben.
Was wird trainiert?
Geübt wird entlang der Phasen eines Incident-Response-Plans:
- Erkennung & Analyse: Wie schnell ordnet das Team den Vorfall richtig ein und erkennt, dass er meldepflichtig ist?
- Eindämmung & Wiederherstellung: Greifen die Runbooks? Ist klar, wer was freigibt?
- Kommunikation & Meldung: Werden die Fristen eingehalten (z. B. NIS2 Art. 23: 24 h/72 h, DSGVO Art. 33: 72 h)?
- Eskalation: Klappt die Übergabe zwischen IR-Team, Führung und Fachbereichen?
Welche Szenarien eignen sich für IR-Übungen?
| Szenario | Ausgangslage | Trainierter Schwerpunkt |
|---|---|---|
| Ransomware | Zentrale Systeme sind verschlüsselt, eine Erpressung liegt vor, der Wiederanlauf muss aus Backups kommen | Eindämmung, Priorisierung, Entscheidung über eine Lösegeldzahlung |
| Datenabfluss | Kunden- oder Beschäftigtendaten wurden abgezogen | DSGVO-Meldung binnen 72 h, Information der Betroffenen, Forensik |
| Kompromittierter Dienstleister | Angriff über die Lieferkette, etwa über den MSP oder ein Software-Update | Abhängigkeiten klären, mit Vertragspartnern kommunizieren, Systeme isolieren |
| Business E-Mail Compromise | Ein Postfach ist übernommen, betrügerische Zahlungsanweisungen sind unterwegs | Erkennung, interne Alarmierung, Absicherung der Finanzprozesse |
Wählen Sie Szenarien dort, wo Ihr Team verwundbar ist. Wo die Abwehr ohnehin stark ist, lernt niemand etwas Neues. Gute Hinweise für die Auswahl liefern frühere Vorfälle, Pentest-Ergebnisse und Ihre Risikoanalyse.
Wie läuft die Übung ab?
Die Übung läuft als Tabletop Exercise: Ein Szenario entwickelt sich über Injects, das Team entscheidet in den Rollen, die es auch im Ernstfall hat, und die Moderation protokolliert wertfrei. Am Ende steht ein After-Action-Report mit konkreten Verbesserungsmaßnahmen. Der Aufwand ist überschaubar: 60–90 Minuten Übung, kein Eingriff in produktive Systeme, keine wochenlange Vorbereitung. Mit SecDrills wählen Sie ein fertiges Szenario und schicken Ihrem Team einen Link. Installiert wird nichts, und SecDrills braucht keinen Zugriff auf Ihre Systeme oder Netze. Was IR-Teams im Einzelnen davon haben, steht unter SecDrills für IR-Teams.
Incident Response Tabletop Exercise: Ablauf in 90 Minuten
In 90 Minuten lässt sich eine Incident Response Tabletop Exercise sauber durchführen, wenn die Zeit in feste Blöcke geteilt ist. Diese Agenda hat sich bewährt:
| Zeit | Block | Inhalt |
|---|---|---|
| 0–10 Min. | Briefing | Ziele, Spielregeln, Rollen und Ausgangslage des Szenarios |
| 10–25 Min. | Erkennung & Analyse | Erste Injects, Einordnung, Schweregrad, Aktivierung des IR-Teams |
| 25–50 Min. | Eindämmung & Eskalation | Isolationsentscheidung, Einbindung der Führung, Prüfung der Meldepflicht |
| 50–70 Min. | Wiederherstellung & Kommunikation | Wiederanlauf-Prioritäten, interne und externe Kommunikation, Behördenmeldung |
| 70–85 Min. | Hot Wash | Erste Auswertung: Was hat gehalten, wo gab es Reibung? |
| 85–90 Min. | Abschluss | Maßnahmen mit Verantwortlichen und Fristen festhalten |
Für einen Drill zu einem einzelnen Ablauf reicht weniger Zeit. Eine kurze Übung mit SecDrills dauert 30 Minuten, eine ausführliche bis zu drei Stunden. Wie Injects über die Übungszeit geplant und getaktet werden, erklärt die Master Scenario Events List (MSEL).
Wie sehen Injects in einer IR-Übung aus?
Injects sind Lagemeldungen, die während der Übung eingespielt werden und das Team zu einer Entscheidung zwingen. Vier Beispiele aus einem Ransomware-Szenario:
| Zeitpunkt | Inject | Erwartete Entscheidung |
|---|---|---|
| T+0 | Das SOC meldet: Der EDR schlägt auf drei Dateiservern mit Ransomware-Verhalten an, Dateiendungen ändern sich. | Schweregrad festlegen, Isolation entscheiden, IR-Lead aktivieren |
| T+20 | Der Service Desk meldet VPN-Ausfälle, E-Mails kommen verzögert an, Mitarbeitende rufen massenhaft an. | Ersatzkanal aktivieren, Belegschaft informieren, Lagebild aktualisieren |
| T+40 | In einem Leak-Forum taucht ein Screenshot mit Kundendaten auf. Eine Journalistin fragt an. | Datenabfluss bewerten, Meldepflichten (NIS2, DSGVO) prüfen, Sprachregelung freigeben |
| T+60 | Das Backup-Team meldet: Die letzte saubere Vollsicherung ist fünf Tage alt. | Datenverlust gegen Wiederanlaufzeit abwägen, Entscheidung durch die Geschäftsleitung |
Ein guter Inject hat keine eindeutig richtige Antwort. Das Team muss abwägen, bei T+60 etwa zwischen fünf Tagen Datenverlust und einem schnelleren Wiederanlauf. Ausgearbeitete Szenarien mit Injects für verschiedene Angriffsarten finden Sie unter Tabletop-Szenarien.
Woran erkennt man eine wirksame IR-Übung?
- Es gibt Zeitdruck: Die Injects kommen getaktet wie im Ernstfall. Wer im Seminartempo übt, merkt nicht, wo es eng wird.
- Entscheidungen werden festgehalten: Wer hat wann was entschieden? Ohne Protokoll gibt es nichts auszuwerten.
- Die Meldekette wird zu Ende gespielt: bis zu der Frage, wer die 24-Stunden-Frühwarnung tatsächlich absetzt, und über welchen Kanal, wenn die E-Mail ausgefallen ist.
- Aus Erkenntnissen werden Maßnahmen: Jede Lücke bekommt eine verantwortliche Person und einen Termin und fließt zurück in Playbooks und IR-Plan.
Wie misst man den Erfolg?
Ohne Messung bleibt von einer Übung nur ein Eindruck. Drei Größen sagen am meisten: die Zeit bis zur richtigen Einordnung des Vorfalls (hätte die Meldefrist gehalten?), der Erfüllungsgrad je Inject (welche Entscheidungen wurden getroffen, welche blieben liegen?) und der Vergleich zur letzten Übung (tauchen dieselben Lücken wieder auf, oder haben die Maßnahmen gewirkt?). SecDrills bewertet jeden Inject nach der ENISA-Methodik und zeigt diese Entwicklung über mehrere Übungen hinweg.
Der Nachweis
NIS2 und DORA verlangen, dass Sie Ihre Pläne erproben und bewerten, ob sie wirken. Im Audit kommt deshalb die Frage, wann Sie zuletzt geübt haben und wo das dokumentiert ist. Der After-Action-Report aus SecDrills hält Szenario, Beteiligte, Entscheidungen und Maßnahmen mit Zeitstempeln fest. Sie legen ihn im Audit vor und sehen bei der nächsten Übung, ob Ihr Team schneller und sicherer reagiert.
Eine extern moderierte Übung kostet meist 5.000 bis 15.000 Euro. Das Jahrespaket Essentials für drei Teilnehmende kostet € 1.490 im Jahr, weitere Übungen sind darin schon bezahlt. Für Teams mit bis zu zehn Teilnehmenden gibt es Professional für € 4.900 im Jahr. Alle Preise netto.
Häufige Fragen
Was ist eine Incident-Response-Übung?
Eine Incident-Response-Übung trainiert, wie ein IR- oder SOC-Team auf einen Sicherheitsvorfall reagiert: Erkennung, Eindämmung, Wiederherstellung und Meldung. Geübt wird an einem realistischen Szenario und unter Zeitdruck, ohne produktive Systeme zu gefährden.
Wie unterscheidet sich die Übung vom Incident-Response-Plan?
Der Incident-Response-Plan ist das Dokument, die Übung ist der Test. Erst in der Übung zeigt sich, ob der Plan im Ernstfall hält: ob Rollen, Eskalation und Meldekette tatsächlich funktionieren.
Wie oft sollte ein IR-Team üben?
Bewährt hat sich ein fester Takt: mindestens ein bis zwei moderierte Übungen pro Jahr für das gesamte Team. Dazu kommen kurze, szenariobasierte Drills nach jeder wesentlichen Änderung an Systemen, Playbooks oder Personal. NIS2 und DORA verlangen die regelmäßige Erprobung ohnehin.