Wenn Minuten über den Schaden entscheiden: Wie schnell reagiert Ihr Unternehmen auf einen Cybervorfall?
02:17 Uhr. Ein Benutzerkonto verhält sich ungewöhnlich. Wenig später entstehen verdächtige Verbindungen zu weiteren Systemen.
Vielleicht handelt es sich um einen Fehlalarm. Vielleicht um den Beginn eines ernsthaften Cyberangriffs.
Die entscheidende Frage lautet jetzt nicht mehr, welche Firewall installiert ist oder welches Sicherheitsprodukt eingesetzt wird.
Die Frage lautet:
Wer erkennt den Vorfall – und was passiert danach?
Bei einem Cyberangriff kann zwischen der ersten Auffälligkeit und einer wirksamen Reaktion wertvolle Zeit verstreichen. Das gilt insbesondere dann, wenn Zuständigkeiten erst geklärt, Ansprechpartner gesucht oder Entscheidungen abgestimmt werden müssen.
Eine 2025 durchgeführte Befragung unter deutschen IT- und Security-Verantwortlichen zeigt deutliche Unterschiede bei der Reaktionsgeschwindigkeit: 28,2 Prozent gaben an, innerhalb von Minuten reagieren zu können. 47,5 Prozent benötigen mehrere Stunden. 17,3 Prozent reagieren innerhalb eines Tages, weitere Unternehmen erst nach mehreren Tagen.
Die Zahlen beziehen sich auf Deutschland. Die zugrunde liegende organisatorische Frage ist jedoch unabhängig vom Standort eines Unternehmens relevant:
Wie lange dauert es bei uns vom ersten Hinweis bis zu einer koordinierten Reaktion?
Erkennen allein reicht nicht
Cybersecurity wird häufig auf die Erkennung von Angriffen reduziert.
Ein Sicherheitssystem meldet eine Auffälligkeit. Eine Warnung erscheint. Ein verdächtiges Benutzerkonto wird erkannt.
Damit beginnt allerdings erst der operative Teil eines Sicherheitsvorfalls.
Jemand muss beurteilen, ob tatsächlich ein Angriff vorliegt. Anschließend müssen Maßnahmen beschlossen und umgesetzt werden. Je nach Vorfall können beispielsweise Benutzerkonten gesperrt, Systeme isoliert, externe Spezialisten eingebunden oder betroffene Geschäftsprozesse vorübergehend eingeschränkt werden.
Das Whitepaper von G DATA beschreibt Reaktionsgeschwindigkeit deshalb als einen wesentlichen Faktor bei der Eindämmung von Cybervorfällen. Es verweist zugleich darauf, dass hohe Arbeitsbelastung, Personalmangel und fehlende kontinuierliche Überwachung zu verzögerten Reaktionen beitragen können.
Die technische Erkennung ist somit nur ein Teil der Aufgabe.
Der andere Teil ist Organisation.
Was passiert um 02:17 Uhr?
Während der üblichen Arbeitszeit lässt sich manches improvisieren.
Der IT-Leiter ist erreichbar. Die Geschäftsführung sitzt im Haus. Der externe IT-Partner kann angerufen werden. Kollegen können sich kurzfristig abstimmen.
Ein echter Incident-Response-Prozess muss allerdings auch außerhalb dieses Idealzustands funktionieren.
Ein realistischer Test beginnt deshalb mit einfachen Fragen:
Wer erhält eine Sicherheitsmeldung außerhalb der Geschäftszeiten?
Wer beurteilt deren Kritikalität?
Wer darf einen Server, eine Produktionsanlage oder ein Benutzerkonto isolieren?
Wann muss die Geschäftsführung informiert werden?
Wer entscheidet über eine Betriebsunterbrechung?
Welche externen Partner werden eingebunden – und sind deren Kontaktdaten im Ernstfall verfügbar?
Wenn diese Fragen erst während eines laufenden Angriffs beantwortet werden, geht Zeit verloren.
Der Engpass ist häufig nicht die Technik
Unternehmen verfügen heute häufig über mehrere technische Sicherheitsmaßnahmen. Trotzdem können organisatorische Lücken eine schnelle Reaktion verhindern.
Das Whitepaper nennt im Zusammenhang mit fehlenden personellen Ressourcen unter anderem Versäumnisse bei Prozessen und Verfahren, eine unzureichende Auswertung sicherheitsrelevanter Informationen und langsames Patchen kritischer Systeme.
Daraus ergibt sich eine wichtige Unterscheidung:
Ein Security Alert ist noch keine Incident Response.
Ein Alarm muss eingeordnet werden. Zuständigkeiten müssen klar sein. Entscheidungskompetenzen müssen definiert sein. Technische Maßnahmen müssen vorbereitet und zulässig sein.
Gerade in mittelständischen Unternehmen hängt die tatsächliche Reaktionsfähigkeit daher häufig weniger davon ab, ob irgendein Sicherheitssystem einen Alarm erzeugen kann, sondern davon, ob die Organisation weiß, was mit diesem Alarm geschehen soll.
Wer darf im Ernstfall entscheiden?
Nehmen wir ein einfaches Beispiel.
Auf einem zentralen Server werden verdächtige Aktivitäten festgestellt. Eine sofortige Isolation könnte verhindern, dass sich ein Angriff weiter ausbreitet.
Gleichzeitig würde die Abschaltung möglicherweise einen wichtigen Geschäftsprozess unterbrechen.
Die Entscheidung ist damit nicht mehr ausschließlich technisch.
Die IT kann beurteilen, was technisch notwendig wäre. Die Geschäftsführung beziehungsweise die zuständigen Prozessverantwortlichen müssen jedoch wissen, welche betrieblichen Auswirkungen akzeptabel sind.
Genau deshalb gehören Rollen und Entscheidungskompetenzen bereits vor einem Sicherheitsvorfall geklärt.
Ein funktionierendes Incident-Response-Modell definiert beispielsweise:
- wer einen Vorfall bewertet und klassifiziert,
- wer bei welcher Eskalationsstufe informiert wird,
- welche Sofortmaßnahmen ohne zusätzliche Freigabe durchgeführt werden dürfen,
- wann Geschäftsführung oder Krisenstab eingebunden werden,
- welche externen Spezialisten und Dienstleister zur Verfügung stehen,
- wie Entscheidungen und Maßnahmen dokumentiert werden.
Authenta führt solche organisatorischen Strukturen im eigenen Dienstleistungskatalog unter anderem als Incident Response Governance & Krisen-Playbooks sowie im Rahmen eines Cybersecurity Target Operating Models. Dazu gehören definierte Eskalationsstufen, Alarmierungswege, Rollenmodelle und vorbereitete Reaktionsleitfäden für typische Angriffsszenarien.
Ein Notfallplan muss ausführbar sein
Ein dokumentierter Notfallplan allein reicht nicht.
Im Ernstfall muss bekannt sein:
- Wo liegt der Plan?
- Wer hat Zugriff darauf, wenn zentrale IT-Systeme nicht verfügbar sind?
- Sind Telefonnummern und Ansprechpartner aktuell?
- Sind Stellvertretungen geregelt?
- Ist klar, welche Systeme zuerst geschützt beziehungsweise wiederhergestellt werden müssen?
Vor allem aber:
Wurde der Ablauf jemals getestet?
Das Whitepaper zeigt, dass Notfallpläne und Übungen mit 55,6 Prozent zwar zu den häufiger genannten Vorbereitungsmaßnahmen gehören. Gleichzeitig verfügten lediglich 22,8 Prozent der Befragten über eine Rahmenvereinbarung beziehungsweise einen geregelten Austausch mit einem Incident-Response-Team.
Ein Papierdokument ersetzt daher keine vorbereitete Reaktionsfähigkeit.
Der 60-Sekunden-Incident-Response-Check
Geschäftsführung und IT sollten diese Fragen unmittelbar beantworten können:
- Wer erkennt und bewertet einen möglichen Sicherheitsvorfall?
- Wer wird außerhalb der Geschäftszeiten alarmiert?
- Wer darf betroffene Systeme oder Benutzerkonten isolieren?
- Welche Vorfälle müssen an die Geschäftsführung eskaliert werden?
- Welche Geschäftsprozesse dürfen kurzfristig unterbrochen werden?
- Welche externen Security- und IT-Partner stehen im Ernstfall zur Verfügung?
- Sind alle Kontaktdaten und Stellvertretungen aktuell dokumentiert?
- Wann wurde das Vorgehen zuletzt praktisch durchgespielt?
Wenn mehrere dieser Fragen erst diskutiert werden müssen, sobald ein Angriff läuft, ist das ein organisatorisches Risiko.
Vorbereitung verkürzt den Entscheidungsweg
Eine gute Incident-Response-Struktur versucht nicht, jeden denkbaren Cyberangriff vorherzusagen.
Sie sorgt dafür, dass im Ernstfall klar ist,
wer handelt, wer entscheidet, wer informiert wird und welche vorbereiteten Maßnahmen zur Verfügung stehen.
Authenta unterstützt Unternehmen dabei, diese Strukturen gemeinsam mit Geschäftsführung, interner IT und bestehenden IT-Partnern aufzubauen. Dazu gehören unter anderem Rollen- und Eskalationsmodelle, Incident-Response-Konzepte, Krisen-Playbooks und die organisatorische Vorbereitung auf Sicherheitsvorfälle.
Das Ziel ist keine hektische Reaktion auf den nächsten Alarm.
Das Ziel ist ein Unternehmen, das auch dann handlungsfähig bleibt, wenn tatsächlich etwas passiert.
Wie schnell könnte Ihr Unternehmen heute reagieren?
Wissen Sie, wer um 02:17 Uhr die erste Entscheidung trifft?
Prüfen Sie gemeinsam mit Authenta, ob Verantwortlichkeiten, Eskalationswege und Incident-Response-Prozesse für den Ernstfall ausreichend vorbereitet sind.
Wie gut ist Ihr Unternehmen auf einen Vorfall vorbereitet?
Wir unterstützen beim Aufbau von Zuständigkeiten, Eskalationswegen und Playbooks.