Zum Hauptinhalt springen
Annex A · Organisatorische Kontrolle

A.5.26 — Reaktion auf IS-Vorfälle

Aktualisiert am 3 Min. Geprüft von: Cenedril-Redaktion
A.5.26 ISO 27001ISO 27002BSI DER.2.1

Die Triage (A.5.25) hat einen kritischen Vorfall bestätigt: Unbefugter Zugriff auf die Kundendatenbank über ein kompromittiertes Dienstkonto. Ab jetzt zählt jede Minute. A.5.26 fordert, dass die Organisation nach dokumentierten Verfahren reagiert — Eindämmung, Beweissicherung, Beseitigung, Wiederherstellung und Kommunikation.

Was verlangt die Norm?

  • Dokumentierte Verfahren befolgen. Die Reaktion folgt den unter A.5.24 erstellten Plänen und Runbooks.
  • Vorfall eindämmen. Die Ausbreitung des Schadens wird schnellstmöglich gestoppt — betroffene Systeme isolieren, kompromittierte Konten sperren.
  • Beweise sichern. Vor jeder Veränderung am System werden forensische Beweise gesichert (A.5.28).
  • Intern und extern kommunizieren. Betroffene Parteien, Geschäftsführung, Behörden (A.5.5) und gegebenenfalls Kunden werden informiert.
  • Vorfall dokumentieren. Jede Handlung, Entscheidung und Beobachtung wird mit Zeitstempel dokumentiert.

In der Praxis

Sofortmaßnahmen nach Schweregrad. Definiere pro Schweregrad die Sofortmaßnahmen: Stufe 3 — betroffenes System isolieren, ISB informieren, Analyse starten. Stufe 4 — Krisenteam einberufen, Geschäftsführung informieren, externe Unterstützung aktivieren, Kommunikationsplan starten.

Eindämmung vor Analyse. Die natürliche Reaktion ist: erst verstehen, dann handeln. Bei aktiven Angriffen ist die richtige Reihenfolge umgekehrt: erst eindämmen (Netzwerksegment isolieren, Konto sperren), dann analysieren. Eine laufende Datenexfiltration verursacht pro Minute zusätzlichen Schaden.

Kommunikationsregeln einhalten. Im Vorfall gilt: Eine Person kommuniziert extern (Pressesprecher oder Geschäftsführung), eine Person koordiniert intern (ISB oder Incident Commander). Keine individuellen Aussagen an Medien oder Kunden. Textvorlagen aus dem Kommunikationsplan nutzen.

Wiederherstellung sicher gestalten. Vor der Wiederinbetriebnahme: Ist die Ursache beseitigt? Sind die Backdoors entfernt? Sind die Backups sauber? Ein zu früh wiederhergestelltes System kann sofort erneut kompromittiert werden.

Typische Audit-Nachweise

Auditoren erwarten bei A.5.26 typischerweise diese Nachweise:

  • Vorfallberichte — vollständige Dokumentation behandelter Vorfälle mit Timeline (→ Vorfallregister im Starter Kit)
  • Runbook-Nutzung — Nachweis, dass Runbooks bei der Reaktion verwendet wurden
  • Kommunikationsprotokolle — Nachweis der internen und externen Kommunikation
  • Eindämmungsmaßnahmen — Dokumentation der getroffenen Sofortmaßnahmen
  • Wiederherstellungsprotokolle — Nachweis der sicheren Wiederinbetriebnahme

KPI

% der IS-Vorfälle, die innerhalb definierter Reaktionszeiten behoben wurden

Gemessen am Vorfallregister: Für jeden Vorfall wird die SLA-Einhaltung geprüft — von der Erkennung bis zur Behebung. Ziel: über 90%. Kritische Vorfälle mit SLA-Überschreitung erfordern eine Root-Cause-Analyse.

Ergänzende KPIs:

  • Mittlere Zeit von Erkennung bis Eindämmung (MTTC)
  • Mittlere Zeit von Erkennung bis Behebung (MTTR)
  • Anzahl der Vorfälle pro Schweregrad und Quartal

BSI IT-Grundschutz

A.5.26 mappt auf den BSI-Kernbaustein zur Vorfallbehandlung:

  • DER.2.1 (Behandlung von Sicherheitsvorfällen) — enthält detaillierte Anforderungen an die operative Vorfallreaktion, einschließlich Sofortmaßnahmen, Analyse, Eskalation und Dokumentation.

Verwandte Kontrollen

A.5.26 ist das Herzstück des Vorfallmanagement-Blocks:

Quellen

Häufig gestellte Fragen

Was sind die Phasen der Vorfallreaktion?

Eindämmung (Schaden begrenzen, Ausbreitung stoppen), Beweissicherung (forensische Sicherung vor Veränderung), Beseitigung (Ursache beheben, Malware entfernen), Wiederherstellung (Systeme sicher zurück in Betrieb nehmen), Nachbereitung (Lessons Learned, A.5.27). Die Reihenfolge kann je nach Vorfall variieren.

Wann muss ich externe Hilfe hinzuziehen?

Bei Vorfällen, die dein Team fachlich oder kapazitiv überfordern: forensische Analyse bei komplexen Angriffen, Rechtsberatung bei potenziellen Straftatbeständen, spezialisierte IR-Dienstleister bei Ransomware, Krisenkommunikation bei öffentlichkeitswirksamen Vorfällen. Vereinbare Rahmenverträge vor dem Ernstfall.

Darf ich bei Ransomware das Lösegeld zahlen?

Rechtlich ist die Zahlung in Deutschland nicht verboten, wird aber von BSI und Strafverfolgungsbehörden dringend abgeraten. Zahlung garantiert keine Entschlüsselung, finanziert kriminelle Strukturen und macht dich zum bevorzugten Wiederholungsziel. Investiere in Backup-Strategien und Incident-Response-Vorbereitung.