Incident Response Plan: Vorlage und Schritte für den Ernstfall
Schritt-für-Schritt-Anleitung für einen praxistauglichen Incident Response Plan im KMU – mit Vorlage, Checklisten und NIS-2/DSGVO-Meldepflichten.
Incident Response Plan: Vorlage und Schritte für den Ernstfall
Key Takeaways
- Ohne schriftlichen IR-Plan verlieren Teams im Ernstfall wertvolle Stunden mit Abstimmung statt Eindämmung.
- Die 72-Stunden-Frist der DSGVO und die 24-Stunden-Erstmeldung nach NIS-2 laufen ab dem Moment der Kenntnisnahme – nicht ab der Entdeckung.
- Ein IR-Plan ist kein ISMS-Dokument für die Schublade: Er muss getestet, aktuell gehalten und von allen Beteiligten verinnerlicht sein.
- Dieser Artikel liefert ein praxistaugliches Grundgerüst, das Sie direkt in Ihre Umgebung übertragen können.
Warum der Ernstfall ohne Plan zum Chaos wird
Ein Ransomware-Befall um 02:47 Uhr. Der erste Anruf geht beim Geschäftsführer ein, der zweite beim IT-Leiter – der gerade im Urlaub ist. Niemand weiß, wen man als Nächstes informiert, welche Systeme isoliert werden müssen oder ob die Lösegeldforderung überhaupt gelesen werden darf. Drei Stunden später werden die ersten hektischen Entscheidungen getroffen, die die forensische Spurensicherung dauerhaft kompromittieren.
Dieses Szenario ist keine Ausnahme. Es ist der Normalfall bei Unternehmen, die keinen dokumentierten Incident Response Plan (IR-Plan) haben. Die technische Antwort auf einen Angriff ist lösbar – die organisatorische Lücke zwischen „Alarm erkannt
Häufige Fragen
Was muss ein Incident Response Plan mindestens enthalten?
Ein IR-Plan muss mindestens sechs Elemente enthalten: eine klare Rollenverteilung (wer entscheidet was), eine Klassifizierungsmatrix für Schweregrade, dokumentierte Erstmaßnahmen je Vorfalltyp, Kommunikationswege intern und extern, die konkreten Meldepflichten nach DSGVO Art. 33 und NIS-2 sowie einen strukturierten Lessons-Learned-Prozess. Ohne diese Elemente ist das Dokument in der Praxis wertlos.
Binnen welcher Frist muss ein Datenschutzvorfall gemeldet werden?
Nach DSGVO Art. 33 müssen Datenpannen mit Risiko für betroffene Personen innerhalb von 72 Stunden an die zuständige Datenschutzbehörde gemeldet werden – gerechnet ab dem Moment, an dem die verantwortliche Stelle Kenntnis erlangt. NIS-2 sieht für betroffene Einrichtungen eine Erstmeldung an das BSI bereits innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls vor. Beide Fristen laufen parallel, wenn ein Angriff sowohl personenbezogene Daten als auch kritische Dienste betrifft.
Wie oft sollte ein IR-Plan getestet werden?
Mindestens einmal jährlich als Tischübung (Tabletop Exercise) und nach jedem größeren Vorfall oder wesentlichen Infrastrukturwechsel. Neue Mitarbeitende in Schlüsselrollen sollten den Plan innerhalb der ersten 30 Tage durcharbeiten. Ohne regelmäßige Tests ist ein IR-Plan ein Dokument, das im Ernstfall niemand kennt.