15 Oktober 2026

Incident Response bezeichnet die organisierte Reaktion auf Informations- und Cybersicherheitsvorfälle. Sie umfasst unter anderem die Bewertung von Hinweisen, die Eingrenzung von Auswirkungen, die Untersuchung und die koordinierte Wiederherstellung. In Produktionsumgebungen müssen diese Tätigkeiten mit den Verantwortlichen für Anlagen und physische Prozesse abgestimmt werden.

Was bedeutet Incident Response?

Ein Sicherheitsvorfall kann Verfügbarkeit, Integrität oder Vertraulichkeit von Systemen und Informationen beeinträchtigen. Mögliche Anzeichen sind unberechtigte Zugriffe, unerwartete Programmänderungen oder auffällige Datenübertragungen. Eine einzelne Meldung ist dabei zunächst ein Hinweis, dessen Bedeutung geprüft werden muss.

Incident Response verbindet technische Bearbeitung mit Entscheidungen und Kommunikation. Es geht nicht nur darum, eine Schadsoftware zu entfernen. Auch betroffene Identitäten, mögliche weitere Zugänge und die Verlässlichkeit von Daten können relevant sein. Der Umfang ergibt sich aus dem konkreten Vorfall.

NIST SP 800-61 Revision 3 wurde im April 2025 veröffentlicht. Der Leitfaden integriert Empfehlungen zur Vorfallreaktion in das Cybersicherheitsrisikomanagement nach dem NIST Cybersecurity Framework 2.0. Damit wird die Reaktion als fortlaufende organisatorische Fähigkeit betrachtet, die Vorbereitung und Lernen einschließt.

Ereignis, Alarm und Vorfall unterscheiden

Begriff	Bedeutung im Ablauf	Beispiel
Ereignis	Beobachteter Vorgang	Eine Anmeldung an einem System
Alarm	Hinweis auf eine prüfbedürftige Auffälligkeit	Eine Anmeldung außerhalb des erwarteten Zeitraums
Sicherheitsvorfall	Bestätigte oder entsprechend eingestufte sicherheitsrelevante Situation	Ein Konto wurde unberechtigt für Änderungen genutzt

Die konkreten Einstufungskriterien sollten im Unternehmen festgelegt sein. Nicht jeder Alarm erfordert dieselben Maßnahmen. Umgekehrt sollte eine Meldung nicht nur deshalb verworfen werden, weil noch keine sichtbare Betriebsstörung entstanden ist. Eine unberechtigte Änderung kann zunächst unauffällig bleiben und trotzdem erheblich sein.

Welche Aufgaben gehören zur Vorfallreaktion?

Hinweise bewerten und Umfang eingrenzen

Die zuständigen Personen prüfen, was bekannt ist und welche Unsicherheiten bestehen. Betroffene Systeme, Zeiträume und mögliche Auswirkungen werden nachvollziehbar erfasst. Eine belastbare Untersuchung trennt bestätigte Informationen von Annahmen und hält offen, wo weitere Prüfung erforderlich ist.

Auswirkungen begrenzen

Die Eingrenzung soll weitere Beeinträchtigungen verhindern oder verringern. Geeignete Maßnahmen hängen von der Umgebung ab. In der Produktion muss beispielsweise berücksichtigt werden, welche Folgen eine unterbrochene Verbindung für den Prozess hat. Technische und betriebliche Verantwortliche müssen solche Entscheidungen gemeinsam treffen.

Ursache und unerwünschte Veränderungen bearbeiten

Nach der ersten Eingrenzung ist zu klären, welche Zugänge oder Schwachstellen genutzt wurden und welche Veränderungen vorliegen. Die Behandlung muss zum Untersuchungsergebnis passen. Nur sichtbare Symptome zu beseitigen kann dazu führen, dass der Vorfall erneut auftritt oder weitere betroffene Bereiche unentdeckt bleiben.

Kontrolliert wiederherstellen

Die Rückkehr zum Betrieb benötigt vertrauenswürdige Systeme, passende Daten und notwendige Freigaben. Eine wieder erreichbare Anwendung ist nicht automatisch vollständig wiederhergestellt. Der vorgesehene Zustand und der erlaubte Leistungsumfang sollten ausdrücklich bestätigt werden.

Besonderheiten der Incident Response in der OT

In der OT-Security können digitale Veränderungen physische Auswirkungen besitzen. Ein allgemeines IT-Verfahren darf deshalb nicht ungeprüft auf jede Steuerung oder Anlage übertragen werden. Das BSI-ICS-Security-Kompendium weist auf die Notwendigkeit vorbereiteter Strategien und interdisziplinärer Zusammenarbeit bei Vorfällen in komplexen OT-Umgebungen hin.

Die Bearbeitung benötigt Informationen über Anlagenzustände und Abhängigkeiten. Ein Engineering-Rechner kann beispielsweise aktuell für einen notwendigen Wiederanlauf gebraucht werden. Andererseits kann gerade dieses System Gegenstand der Untersuchung sein. Solche Zielkonflikte müssen sichtbar gemacht und durch die zuständigen Personen entschieden werden.

Auch die Erhebung technischer Informationen muss zur Umgebung passen. Werkzeuge oder Untersuchungsverfahren können Ressourcen beanspruchen und Änderungen auslösen. Ihr Einsatz sollte deshalb abgestimmt, dokumentiert und auf die konkrete Fragestellung begrenzt sein.

Praxisbeispiel: Auffälliger Wartungszugriff

Das folgende Beispiel ist fiktiv. Eine Überwachung meldet einen Wartungszugriff außerhalb des vereinbarten Zeitfensters. Zunächst wird geprüft, ob ein genehmigter Einsatz vorliegt. Die zuständige Person findet keine passende Freigabe und veranlasst die weitere Bewertung nach dem vorgesehenen Ablauf.

IT-Security und Anlagenverantwortliche prüfen gemeinsam, welche Systeme erreichbar waren und ob Änderungen erkennbar sind. Maßnahmen zur Begrenzung des Zugangs werden mit dem aktuellen Anlagenzustand abgestimmt. Relevante Informationen zum Verlauf werden erhalten und nachvollziehbar dokumentiert.

Die Untersuchung zeigt im Beispiel, dass ein nicht mehr benötigtes Konto weiter aktiv war. Das Konto und die damit verbundenen Berechtigungen werden entsprechend dem abgestimmten Verfahren behandelt. Vor der Rückkehr zum normalen Wartungsbetrieb werden die betroffenen Konfigurationen und notwendigen Freigaben geprüft.

In der Nachbereitung wird nicht nur das einzelne Konto betrachtet. Der Betrieb verbessert auch die Übergabe bei Personal- oder Dienstleisterwechseln. So führt die Vorfallbearbeitung zu einer konkreten Änderung im laufenden Zugriffsmanagement.

Rollen und Kommunikation vorbereiten

Vorfallkoordination: Aufgaben, Informationen und Entscheidungen zusammenführen.
Technische Bearbeitung: Hinweise untersuchen und geeignete Maßnahmen umsetzen.
Anlagenverantwortung: Prozesszustand und betriebliche Auswirkungen bewerten.
Unternehmensleitung: Übergreifende Prioritäten und Ressourcen entscheiden.
Weitere Fachstellen: Je nach Lage Kommunikation, Datenschutz, Recht oder externe Unterstützung einbeziehen.

Die Rollen können in kleineren Unternehmen von weniger Personen wahrgenommen werden. Trotzdem müssen Zuständigkeiten, Vertretung und Entscheidungsbefugnisse klar sein. Kontakte und wichtige Unterlagen sollten auch bei Ausfall üblicher Systeme verfügbar bleiben.

Externe Mitteilungen und mögliche Meldeanforderungen sind nach den für den konkreten Fall geltenden Vorgaben zu behandeln. Incident Response stellt dafür einen abgestimmten Informationsfluss bereit. Pauschale Aussagen zu einer einzigen Meldefrist wären ohne Kenntnis von Unternehmen und Ereignis nicht ausreichend.

Zusammenhang mit Krisenmanagement und Business Continuity

Incident Response bearbeitet den Sicherheitsvorfall. Business Continuity unterstützt die Fortführung priorisierter Tätigkeiten bei einer Unterbrechung. Krisenmanagement kann zusätzlich erforderlich werden, wenn übergreifende Auswirkungen und Entscheidungen die normale Organisation übersteigen.

Diese Aufgaben müssen zusammenarbeiten, ohne ihre Zuständigkeiten zu vermischen. Ein Ersatzprozess kann den Betrieb unterstützen, während die technische Untersuchung weiterläuft. Die Wiederaufnahme einer Tätigkeit muss jedoch zu den bekannten Einschränkungen und dem verfügbaren Informationsstand passen.

Übungen, Nachbereitung und Kennzahlen

Übungen können prüfen, ob Meldungen die richtigen Personen erreichen und ob Entscheidungen unter Zeitdruck nachvollziehbar getroffen werden. Dabei sollten auch unvollständige Informationen und ausgefallene Kommunikationswege berücksichtigt werden. Ein erfolgreiches Planspiel ersetzt allerdings nicht jede technische Wiederherstellungsprüfung.

Für die Bewertung können Zeiten bis zur Einordnung oder bis zu definierten Wiederherstellungsschritten genutzt werden. Ihre Start- und Endpunkte müssen eindeutig sein. Eine schnelle Bearbeitung allein ist kein Qualitätsnachweis, wenn wichtige Auswirkungen übersehen oder Systeme voreilig freigegeben werden.

Die Nachbereitung sollte zu umsetzbaren Maßnahmen führen. Verantwortliche und Termine machen sichtbar, ob erkannte Schwächen tatsächlich behoben werden. Erkenntnisse können in Patch Management, Zugriffsregeln und Wiederherstellungspläne einfließen.

Häufige Fragen zu Incident Response

Ist jeder Alarm ein Sicherheitsvorfall?

Nein. Ein Alarm ist zunächst ein Hinweis, der eingeordnet werden muss. Er kann auf einen legitimen Vorgang, eine Fehlkonfiguration oder einen tatsächlichen Vorfall zurückgehen. Klare Kriterien und Zuständigkeiten unterstützen die Bewertung. Gleichzeitig sollte eine Meldung nicht allein wegen fehlender sichtbarer Schäden als bedeutungslos behandelt werden.

Sollten betroffene Anlagen sofort ausgeschaltet werden?

Eine pauschale Antwort ist für industrielle Prozesse ungeeignet. Ausschalten oder Trennen kann notwendige Funktionen beeinträchtigen und zusätzliche Risiken erzeugen. Maßnahmen müssen mit den Anlagenverantwortlichen und dem vorgesehenen Reaktionsplan abgestimmt werden. Entscheidend ist ein beherrschbarer Zustand, der sowohl den Sicherheitsvorfall als auch die physischen Auswirkungen berücksichtigt.

Reicht das Entfernen einer Schadsoftware aus?

Nicht unbedingt. Weitere Zugänge, veränderte Daten oder andere betroffene Systeme können bestehen bleiben. Die Untersuchung muss den relevanten Umfang und die Ursache berücksichtigen. Erst danach lässt sich eine geeignete Wiederherstellung beurteilen. Sichtbare Symptome zu beseitigen ist daher nicht automatisch gleichbedeutend mit dem Abschluss des Vorfalls.

Wer entscheidet über den Wiederanlauf?

Die Zuständigkeit muss im Unternehmen festgelegt sein. Technische Sicherheit, Anlagenzustand, Daten und betriebliche Voraussetzungen müssen zusammen bewertet werden. Je nach Tragweite sind weitere Fachstellen oder die Leitung einzubeziehen. Eine einzelne technische Erfolgsmeldung ersetzt keine abgestimmte Freigabe des vorgesehenen Produktionsbetriebs.

Warum ist Nachbereitung wichtig?

Sie macht Ursachen und Schwächen im Ablauf sichtbar und überführt Erkenntnisse in konkrete Verbesserungen. Dazu können geänderte Rechte, bessere Kontaktdaten oder überprüfte Wiederherstellungsabläufe gehören. Ohne Verantwortliche und Termine bleiben solche Erkenntnisse leicht folgenlos. Ziel ist, die nächste Reaktion und die laufende Vorsorge tatsächlich zu verbessern.

Quellen und fachliche Einordnung

NIST SP 800-61 Revision 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management, April 2025.
BSI: ICS-Security-Kompendium, Vorbereitung und Zusammenarbeit bei OT-Sicherheitsvorfällen.

Das Wartungsbeispiel und die Organisationsfragen sind eigenständige Erläuterungen. Stand: Oktober 2026.