{"id":34245,"date":"2026-11-11T20:09:15","date_gmt":"2026-11-11T19:09:15","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/incident-response\/"},"modified":"2026-11-12T10:43:01","modified_gmt":"2026-11-12T09:43:01","slug":"incident-response","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/security-operations\/incident-response\/","title":{"rendered":"Incident Response"},"content":{"rendered":"

Was ist Incident Response?<\/h2>\n

Nach NIST SP 800-61 Revision 3 ist Incident Response ein kritischer Teil des Cybersicherheits-Risikomanagements und sollte organisationsweit in die Abl\u00e4ufe integriert werden. Finanzunternehmen bestimmen nach Artikel 17 Absatz 1 DORA einen Prozess f\u00fcr die Behandlung IKT-bezogener Vorf\u00e4lle<\/strong>, um sie zu erkennen, zu behandeln und zu melden. Ein m\u00f6glicher Ablauf, der keine feste Regel ist: Nach dem BSI-Kriterienkatalog C5 f\u00fcr Cloud-Anbieter geh\u00f6rt zu den Funktionen eines SIEM-Systems die Echtzeit-Alarmierung, um das Incident-Response-Team \u00fcber kritische Ereignisse zu informieren, und die sp\u00e4tere Meldung neuer, f\u00fcr ein Ereignis relevanter Informationen. Ein SOC erkennt Sicherheitsvorf\u00e4lle und kann je nach Aufgabenverteilung auch Ma\u00dfnahmen zur Eind\u00e4mmung einleiten.<\/p>\n

Ein unter DORA fallender Versicherer pr\u00fcft Hinweise auf Sicherheitsvorf\u00e4lle, d\u00e4mmt best\u00e4tigte Vorf\u00e4lle ein und stellt betroffene Dienste wieder her, w\u00e4hrend er schwerwiegende IKT-bezogene Vorf\u00e4lle nach Artikel 19 DORA<\/strong> der zust\u00e4ndigen Beh\u00f6rde meldet. Zur Abgrenzung: Die Meldepflicht f\u00fcr erhebliche Sicherheitsvorf\u00e4lle in \u00a7 32 BSIG gilt nach \u00a7 28 Absatz 6 Nummer 1 BSIG nicht f\u00fcr Finanzunternehmen nach Artikel 2 Absatz 2 DORA.<\/p>\n

Wie l\u00e4uft Incident Response ab?<\/h2>\n

Nach dem BSI-Baustein DER.2.1 m\u00fcssen die Zust\u00e4ndigen bei einem Sicherheitsvorfall zun\u00e4chst das Problem eingrenzen und die Ursache finden, damit er erfolgreich behoben werden kann. Parallel dazu sollte entschieden werden, ob es wichtiger ist, den entstandenen Schaden einzud\u00e4mmen oder den Vorfall aufzukl\u00e4ren.<\/p>\n

Die aktuelle Revision 3 von NIST SP 800-61 ersetzt die Revision 2 und ordnet Incident Response den Funktionen von NIST CSF 2.0 zu: Detect, Respond und Recover<\/strong> bilden die Incident Response selbst, w\u00e4hrend die Vorbereitung durch Govern, Identify und Protect nicht dazu z\u00e4hlt. Das fr\u00fchere Phasenmodell der Revision 2 wird in Revision 3 in einer Tabelle den entsprechenden CSF-Funktionen zugeordnet, die das Dokument verwendet. Revision 3 begr\u00fcndet ihren ge\u00e4nderten Umfang damit, dass sich die Einzelheiten der Ma\u00dfnahmen so h\u00e4ufig \u00e4ndern und so stark zwischen Technologien, Umgebungen und Organisationen variieren, dass sie sich nicht mehr in einer einzigen statischen Ver\u00f6ffentlichung festhalten lassen.<\/p>\n

Incident Response im Vergleich<\/h2>\n

Incident Management meint im Baustein DER.2.1 die St\u00f6rungs- und Fehlerbehebung, Incident Response dagegen die Behandlung von Sicherheitsvorf\u00e4llen aus Sicht der Informationstechnik. Das Einstufungsverfahren f\u00fcr Sicherheitsvorf\u00e4lle sollte zwischen Sicherheitsmanagement und der St\u00f6rungs- und Fehlerbehebung abgestimmt sein; beide Verfahren sind also aufeinander bezogen, aber nicht dasselbe. F\u00e4llt etwa ein Kundenportal aus, stellt der IT-Betrieb im Rahmen des Incident Managements die Verf\u00fcgbarkeit wieder her, w\u00e4hrend ein Sicherheitsteam bei einem Sicherheitsvorfall die Ursache sucht und weitere Sch\u00e4den begrenzt<\/strong>.<\/p>\n

W\u00e4hrend ein SOC Vorf\u00e4lle erkennt und je nach Aufgabenverteilung auch eingreifen kann, ist Incident Response das Verfahren zur Behandlung erkannter Vorf\u00e4lle. In gro\u00dfen Unternehmen konzentrieren sich SOCs nach ENISA mitunter nur auf \u00dcberwachung und Erkennung und \u00fcbergeben die Bearbeitung an ein separates CSIRT, in kleineren Organisationen gelten CSIRT und SOC dagegen oft als gleichbedeutend.<\/p>\n

Wann wird Incident Response ausgel\u00f6st?<\/h2>\n

Nach dem Baustein DER.2.1 beginnt die Bearbeitung eines Sicherheitsvorfalls, sobald ein Vorfall erkannt ist, und setzt die Anforderungen an die Detektion aus dem Baustein DER.1 voraus. Ob ein Vorfall zus\u00e4tzlich eine Meldung an die Beh\u00f6rde ausl\u00f6st, ist eine zweite Frage: Finanzunternehmen klassifizieren IKT-bezogene Vorf\u00e4lle nach Artikel 18 DORA und melden schwerwiegende IKT-bezogene Vorf\u00e4lle nach Artikel 19 Absatz 1 DORA der zust\u00e4ndigen Beh\u00f6rde. Dabei gilt DORA nach Artikel 2 Absatz 3 Buchstabe b nicht f\u00fcr Versicherungs- und R\u00fcckversicherungsunternehmen im Sinne von Artikel 4 der Richtlinie 2009\/138\/EG; Versicherungs- und R\u00fcckversicherungsunternehmen als solche z\u00e4hlen nach Artikel 2 Absatz 1 Buchstabe n DORA zu den Unternehmen, f\u00fcr die die Verordnung gilt. Diese Ausnahme betrifft die Geltung der Verordnung insgesamt und damit auch die Meldepflicht.<\/p>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Die Sicherheitsvorfallsbehandlung muss ihre Verfahren und Regelungen dokumentieren, so verlangt es eine Grundschutz-Checkliste des BSI zur Incident Response (REA.1.1.1).<\/li>\n
  • Nach einem analysierten Sicherheitsvorfall sollte untersucht werden, ob die Prozesse und Abl\u00e4ufe der Behandlung von Sicherheitsvorf\u00e4llen ge\u00e4ndert oder weiterentwickelt werden m\u00fcssen (Baustein DER.2.1).<\/li>\n
  • Bei der Behandlung von Sicherheitsvorf\u00e4llen m\u00fcssen nach dem Baustein DER.2.1 die Meldepflichten f\u00fcr Beh\u00f6rden und regulierte Branchen ber\u00fccksichtigt werden.<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Nach einem Sicherheitsvorfall die betroffenen Komponenten vom Netz nehmen und alle erforderlichen Daten sichern, die Aufschluss \u00fcber Art und Ursache des Problems geben k\u00f6nnten (Baustein DER.2.1).<\/li>\n
    • Das unter DORA fallende Finanzunternehmen klassifiziert den Vorfall nach Artikel 18 DORA und stellt damit fest, ob es sich um einen schwerwiegenden IKT-bezogenen Vorfall handelt.<\/li>\n
    • Stuft das Finanzunternehmen den Vorfall als schwerwiegenden IKT-bezogenen Vorfall ein, meldet es ihn nach Artikel 19 Absatz 1 DORA der zust\u00e4ndigen Beh\u00f6rde; hat der schwerwiegende Vorfall Auswirkungen auf die finanziellen Interessen von Kunden, unterrichtet es diese nach Artikel 19 Absatz 3 DORA unverz\u00fcglich, sobald es davon Kenntnis erlangt hat, \u00fcber den Vorfall und die Ma\u00dfnahmen, die ergriffen wurden, um die nachteiligen Auswirkungen zu mindern.<\/li>\n
    • Nach Artikel 19 Absatz 4 DORA legt das Finanzunternehmen der zust\u00e4ndigen Beh\u00f6rde eine Erstmeldung, eine Zwischenmeldung und eine Abschlussmeldung vor.<\/li>\n
    • Unverz\u00fcglich die speziellen Pl\u00e4ne aktivieren, die Eind\u00e4mmungsma\u00dfnahmen, Prozesse und Technologien f\u00fcr alle Arten IKT-bezogener Vorf\u00e4lle erm\u00f6glichen und weitere Sch\u00e4den vermeiden, sowie die ma\u00dfgeschneiderten Verfahren zur Reaktion und Wiederherstellung gem\u00e4\u00df Artikel 12 (Artikel 11 Absatz 2 Buchstabe c DORA).<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[431,432,393],"class_list":["post-34245","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-security-operations","glossary_intl_topic-incident-handling-csirt","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Incident Response: Verfahren, mit dem eine Organisation erkannte Sicherheitsvorf\u00e4lle bearbeitet und Sch\u00e4den begrenzt.","nav_theme":"Security Operations","nav_subtheme":"Incident Handling & CSIRT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Incident Response beschreibt das Vorgehen bei Sicherheitsvorf\u00e4llen: Ein in der Organisation vorgegebenes und erprobtes Verfahren dient dazu, erkannte Vorf\u00e4lle schnell und effizient zu bearbeiten, um Sch\u00e4den zu begrenzen und weitere Sch\u00e4den zu vermeiden.","at_a_glance":[{"bullet":"Die interne Bearbeitung eines Vorfalls und die Meldung an eine Beh\u00f6rde sind getrennte Schritte."},{"bullet":"Eine Meldepflicht f\u00fcr schwerwiegende IKT-bezogene Vorf\u00e4lle besteht nach DORA nur f\u00fcr Finanzunternehmen, f\u00fcr die DORA gilt."},{"bullet":"Das NIST ordnet Incident Response in der Revision 3 den CSF-Funktionen Detect, Respond und Recover zu."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Team grenzt einen Sicherheitsvorfall ein, sucht die Ursache und entscheidet parallel, ob zun\u00e4chst der entstandene Schaden einged\u00e4mmt oder der Vorfall aufgekl\u00e4rt werden soll."},{"example":"Eine Organisation l\u00e4sst ihre Sicherheitsvorfallsbehandlung eine automatische Erstreaktion aktivieren, wie es die Grundschutz-Checkliste zur Incident Response als M\u00f6glichkeit vorsieht (REA.2.2)."},{"example":"F\u00e4llt das Kundenportal eines unter DORA fallenden Versicherers aus, kann er den Vorfall zun\u00e4chst intern bearbeiten und seine Auswirkungen beurteilen; stuft er ihn als schwerwiegenden IKT-bezogenen Vorfall ein, meldet er ihn der zust\u00e4ndigen Beh\u00f6rde. Der Ausfall allein legt das Ergebnis der Einstufung nicht fest."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34255,34243,34259],"pillar_link":null,"sources":[{"publisher":"","name":"Verordnung (EU) 2022\/2554 (DORA), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/0caf473a-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"DER.2.1 Behandlung von Sicherheitsvorf\u00e4llen","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/05_DER_Detektion_und_Reaktion\/DER_2_1_Behandlung_von_Sicherheitsvorfaellen_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"},{"publisher":"","name":"Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile","url":"https:\/\/nvlpubs.nist.gov\/nistpubs\/SpecialPublications\/NIST.SP.800-61r3.pdf","doc_type":"2025","group":"used"},{"publisher":"","name":"How to Setup up CSIRT and SOC \u2013 Good Practice Guide","url":"https:\/\/www.enisa.europa.eu\/sites\/default\/files\/publications\/ENISA%20Report%20-%20How%20to%20setup%20CSIRT%20and%20SOC.pdf","doc_type":"","group":"used"},{"publisher":"","name":"Anforderungen an die Bew\u00e4ltigung von Sicherheitsvorf\u00e4llen (Incident Response) gem\u00e4\u00df den aktuellen Grundschutz-Praktiken","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/NIS-2\/nis-2-incident-response_grundschutz-checkliste.pdf?__blob=publicationFile&v=2","doc_type":"2025","group":"used"},{"publisher":"","name":"Cloud Computing Compliance Kriterienkatalog (C5:2026)","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/CloudComputing\/Anforderungskatalog\/2026\/C5_2026.pdf?__blob=publicationFile&v=13","doc_type":"","group":"used"},{"publisher":"","name":"\u00a7 28 BSIG","url":"https:\/\/www.gesetze-im-internet.de\/bsig_2025\/__28.html","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t