Incident-Response-Plan: Aufbau, Phasen und Test
Kostenlose Vorlage: Incident-Response-Plan für KMU
Anpassbare Vorlage nach NIST SP 800-61 mit Rollen und Verantwortlichkeiten, Schweregrad-Stufen, Melde- und Eskalationskette (mit NIS2- und DSGVO-Fristen), Phasen-Checklisten, Playbook-Skelett und After-Action-Review. Im Browser öffnen und direkt als PDF speichern.
Vorlage öffnen & als PDF speichernWas ist ein Incident-Response-Plan?
Ein Incident-Response-Plan (IR-Plan) ist der dokumentierte Handlungsrahmen für den Umgang mit Sicherheitsvorfällen. Er sorgt dafür, dass im Ernstfall niemand improvisieren muss. Alle Beteiligten wissen, was zu tun ist, stimmen sich ab und halten fest, was sie entschieden haben.
Was ist ein Informationssicherheitsvorfall?
Vereinfacht gesagt: Ein Informationssicherheitsvorfall liegt vor, wenn Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen tatsächlich beeinträchtigt oder unmittelbar bedroht sind. Nicht jedes Sicherheitsereignis ist ein Vorfall. Die meisten Alarme erweisen sich nach Prüfung als harmlos. Mit dieser Bewertung läuft der Incident-Response-Plan an. Man unterscheidet drei Stufen:
- Sicherheitsereignis: ein beobachtbares Vorkommnis mit möglicher Sicherheitsrelevanz, etwa fehlgeschlagene Anmeldungen, ein Virenscanner-Alarm oder ein gemeldeter Phishing-Klick. Es wird geprüft, bleibt aber oft folgenlos.
- Sicherheitsvorfall: ein oder mehrere Ereignisse, bei denen sich bestätigt, dass Schutzziele verletzt oder unmittelbar gefährdet sind, etwa ein kompromittiertes Konto oder verschlüsselte Server. Ab hier greift der IR-Plan.
- Erheblicher Sicherheitsvorfall (NIS2): ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere Personen erheblich schädigt oder schädigen kann (Art. 23 Abs. 3 NIS2). Nur er löst die NIS2-Meldefristen aus.
NIST SP 800-61 Rev. 3 zieht dieselbe Linie: Ereignisse sind alle beobachtbaren Vorkommnisse, und oft ist zusätzliche Analyse nötig, um festzustellen, ob ein Vorfall vorliegt. Legen Sie im Plan deshalb fest, wer diese Bewertung trifft, nach welchen Kriterien und wie schnell.
Die Phasen nach NIST
Das verbreitete Phasenmodell aus NIST SP 800-61 gliedert die Incident Response in vier Phasen. Die aktuelle Fassung (NIST SP 800-61 Rev. 3, 2025) ordnet diese Phasen den sechs Funktionen des NIST Cybersecurity Framework 2.0 zu und überlässt die Wahl des Modells ausdrücklich der Organisation:
1. Vorbereitung
Rollen, Playbooks, Tools, Kontakte und Meldewege festlegen und das Team in Übungen vorbereiten.
2. Erkennung & Analyse
Vorfälle erkennen, einordnen und ihre Tragweite bewerten (Scope, betroffene Systeme, Schweregrad).
3. Eindämmung, Beseitigung & Wiederherstellung
Ausbreitung stoppen, Ursache beseitigen und Systeme kontrolliert wieder in Betrieb nehmen.
4. Nachbereitung
Lessons Learned dokumentieren, Maßnahmen ableiten und den Plan verbessern.
Pflichtbestandteile eines wirksamen Plans
- Rollen & Verantwortlichkeiten: wer entscheidet, wer eskaliert, wer kommuniziert.
- Eskalationswege: feste Schwellenwerte und Ansprechpartner, die rund um die Uhr erreichbar sind.
- Kommunikationsplan: intern, an Kunden, Öffentlichkeit und Behörden.
- Meldepflichten: u. a. NIS2 Art. 23 (24/72 Stunden) und DSGVO Art. 33 (72 Stunden).
- Playbooks: Abläufe für einzelne Szenarien wie Ransomware, Datenleck oder Supply-Chain-Angriff.
Welche ISO-27001-Controls deckt der Incident-Response-Plan ab?
Ein Incident-Response-Plan deckt in ISO/IEC 27001:2022 vor allem die fünf Controls A.5.24 bis A.5.28 aus Anhang A ab. Im Audit legen Sie für diese Controls zuerst den Plan vor. Die Übungsprotokolle belegen, dass er auch angewendet wird.
| Control | Titel | Abdeckung im IR-Plan |
|---|---|---|
| A.5.24 | Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen | Rollen, Kontakte, Eskalationswege, Playbooks |
| A.5.25 | Beurteilung und Entscheidung über Informationssicherheitsereignisse | Kriterien und Schweregrade: Wann wird aus einem Ereignis ein Vorfall? |
| A.5.26 | Reaktion auf Informationssicherheitsvorfälle | Eindämmung, Beseitigung, Wiederherstellung, Kommunikation, Meldung |
| A.5.27 | Erkenntnisse aus Informationssicherheitsvorfällen | Nachbereitung, Lessons Learned, Maßnahmenverfolgung |
| A.5.28 | Sammeln von Beweismaterial | Verfahren zur Sicherung von Logs, Images und Aufzeichnungen |
A.5.27 verbindet den Plan mit dem Managementsystem: Erkenntnisse aus Vorfällen und Übungen fließen in die fortlaufende Verbesserung nach Klausel 10.1 ein. Wie die Controls ins Gesamtsystem passen, zeigt der Überblick zur ISO 27001.
Incident-Response-Plan oder IT-Notfallplan?
Beide Pläne werden oft verwechselt, verfolgen aber unterschiedliche Ziele. Der Incident-Response-Plan bekämpft einen Sicherheitsvorfall. Der IT-Notfallplan bringt den IT-Betrieb nach einem schweren Ausfall zurück, egal ob Angriff, Defekt oder Stromausfall die Ursache ist. Bei Ransomware laufen beide parallel.
| Kriterium | Incident-Response-Plan | IT-Notfallplan |
|---|---|---|
| Auslöser | Sicherheitsvorfall (Angriff, Datenabfluss, Missbrauch) | Schwerer IT-Ausfall, gleich welcher Ursache |
| Ziel | Angreifer eindämmen, Ursache beseitigen, Beweise sichern | Kritische IT-Services in festgelegter Reihenfolge wieder in Betrieb nehmen |
| Leitfrage | Was passiert gerade, und wie stoppen wir es? | Was muss wann wieder laufen? |
| Kennzahlen | Zeit bis Erkennung, Eindämmung und Meldung | RTO und RPO aus der Business Impact Analyse |
| ISO 27001 | A.5.24 bis A.5.28 | A.5.29 und A.5.30 |
| Referenz | NIST SP 800-61 | BSI-Standard 200-4 (Notfallhandbuch) |
Achten Sie auf die Schnittstelle: Beide Pläne sollten dieselben Eskalationsstufen, Kontakte und Kommunikationswege nutzen. Was in den zweiten Plan gehört, erklärt der Beitrag IT-Notfallplan. Auch dort gibt es eine kostenlose Vorlage.
Häufige Schwachstellen
Typische Probleme sind veraltete Kontaktdaten, unklare Zuständigkeiten, eine nicht eingeübte Meldekette und Pläne, die nur in der Schublade existieren. Eine Übung bringt solche Lücken ans Licht, solange noch kein echter Vorfall läuft.
Incident-Response-Plan testen: vom Walkthrough zur Tabletop-Übung
Ein IR-Plan ist nur so gut wie seine letzte Übung. Getestet wird er am besten in drei Stufen mit steigendem Realitätsgrad. NIST SP 800-84 beschreibt Tabletop- und funktionale Übungen als Formate eines Test-, Trainings- und Übungsprogramms.
- Walkthrough: Das IR-Team geht den Plan gemeinsam Abschnitt für Abschnitt durch. Stimmen Kontakte, Rollen und Schwellenwerte? So finden Sie vor allem Lücken im Dokument.
- Tabletop-Übung: Das Team spielt ein realistisches Szenario durch, jede Person in der Rolle, die sie auch im Ernstfall hat. Es trifft Entscheidungen unter Zeitdruck und übt die Meldekette. Hier zeigt sich, ob Eskalation und Zusammenarbeit mit Führung und Kommunikation tragen. Mehr zur Methode unter Cyber Tabletop Exercise.
- Funktionale Übung: Einzelne Abläufe werden real ausgeführt, etwa das Isolieren eines Systems, die Beweissicherung oder ein Restore aus dem Backup.
Wie eine IR-Übung konkret abläuft, zeigt die Seite Incident-Response-Übung. Die Sicht des Teams beschreibt SecDrills für IR-Teams. Jede Übung endet mit einem After-Action-Report, dessen Maßnahmen in den Plan zurückfließen. Damit weisen Sie A.5.27 in der Praxis nach.
Häufige Fragen
Was ist ein Incident-Response-Plan?
Ein Incident-Response-Plan ist ein dokumentierter Handlungsrahmen, der festlegt, wie eine Organisation Sicherheitsvorfälle erkennt, eindämmt, beseitigt und nachbereitet. Er regelt Rollen, Eskalation, Kommunikation und Meldepflichten.
Welche Phasen hat ein Incident-Response-Plan?
Nach dem klassischen NIST-Modell (SP 800-61) gibt es vier Phasen: Vorbereitung; Erkennung & Analyse; Eindämmung, Beseitigung & Wiederherstellung; sowie die Nachbereitung mit Lessons Learned.
Wie oft sollte man den Incident-Response-Plan testen?
Mindestens jährlich, besser halb- bis vierteljährlich sowie nach größeren Änderungen. Tabletop-Übungen sind dafür eine effiziente Methode und liefern zugleich einen Nachweis für NIS2 und DORA.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.