Security Incident Response: Vom Sicherheitsvorfall zur kontrollierten Wiederherstellung.

NIS2 verlangt eine dreistufige Meldepflicht bei erheblichen Sicherheitsvorfällen. Stufe 1: Innerhalb von 24 Stunden nach Erkennung muss eine Erstmeldung (Early Warning) an das BSI erfolgen – auch wenn noch wenige Details bekannt sind. Stufe 2: Innerhalb von 72 Stunden folgt ein detaillierter Bericht mit Schweregrad, Auswirkungen und Kompromittierungsindikatoren. Stufe 3: Spätestens nach einem Monat ist ein Abschlussbericht mit Ursachenanalyse und ergriffenen Maßnahmen einzureichen. Laut BSI müssen betroffene Einrichtungen außerdem eine 24/7-erreichbare Kontaktstelle benennen. Bei Verstoß gegen die Meldepflicht drohen Bußgelder bis 10 Millionen Euro. Pexon Consulting baut Ihre Meldekette so auf, dass alle drei Stufen mit vorbereiteten Vorlagen und Eskalationswegen abgedeckt sind.

SIEM (Security Information and Event Management) ist die Technologie, die Sicherheitsereignisse aus verschiedenen Quellen sammelt, korreliert und Alarme auslöst – also die Erkennung. Incident Response ist der operative Prozess, der beginnt, wenn ein Alarm ausgelöst wird: Eindämmung, Bereinigung, Wiederherstellung und Nachbereitung. SIEM beantwortet die Frage ‚Was passiert gerade?‘ – Incident Response beantwortet ‚Was tun wir jetzt?‘. Pexon Consulting implementiert beides: Microsoft Sentinel als SIEM für die Erkennung und strukturierte Incident-Response-Prozesse mit Playbooks für die Reaktion. Beide Disziplinen sind Teil unseres Security-Angebots unter /security/.

Ein professioneller Incident-Response-Prozess folgt vier Phasen nach dem NIST Cybersecurity Framework. Phase 1 – Erkennung: Automatisierte Systeme wie Microsoft Sentinel identifizieren und klassifizieren den Vorfall. Phase 2 – Eindämmung: Betroffene Systeme werden isoliert, kompromittierte Konten gesperrt, Angriffswege geschlossen. Phase 3 – Bereinigung: Schadcode wird entfernt, Schwachstellen gepatcht, Backdoors beseitigt. Phase 4 – Wiederherstellung: Systeme werden aus gesicherten Backups wiederhergestellt, schrittweise in Produktion genommen und überwacht. Parallel dazu laufen die NIS2-Meldepflichten und die Kommunikation mit Stakeholdern. Pexon Consulting liefert für jede Phase dokumentierte Playbooks mit konkreten Handlungsschritten.

Ja. Ein Security Operations Center (SOC) überwacht und erkennt Bedrohungen – das ist die erste Hälfte. Incident Response definiert, was nach der Erkennung passiert: Wer entscheidet über Systemabschaltungen? Wer kommuniziert mit dem BSI innerhalb von 24 Stunden? Wer führt die Forensik durch? Laut Palo Alto Networks Unit 42 Report 2026 scheitern über 90 Prozent der Vorfallsreaktionen an organisatorischen Lücken – nicht an fehlender Erkennung. Pexon Consulting ergänzt Ihr SOC um strukturierte Incident-Response-Prozesse, getestete Playbooks und eine NIS2-konforme Meldekette.