Was ist ein Incident-Response-Plan (IRP)?
Zuletzt aktualisiert:
Kurz erklärt: Ein Incident-Response-Plan (IRP), auf Deutsch Notfallreaktionsplan, ist das dokumentierte Vorgehen, mit dem ein Unternehmen auf einen Cybersicherheitsvorfall reagiert. Er strukturiert die Reaktion in klare Phasen — Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung — und legt fest, wer welche Entscheidung trifft und wen er informiert. Ein IRP ist eine direkte Anforderung aus NISG 2026 § 32 und NIS2 Art. 21 (Bewältigung von Cybersicherheitsvorfällen) und der Plan, den eine Tabletop Exercise auf seine Praxistauglichkeit prüft.
Ein Incident-Response-Plan (IRP) — auf Deutsch Notfallreaktionsplan — ist das dokumentierte Vorgehen, mit dem ein Unternehmen auf einen Cybersicherheitsvorfall reagiert: von der Erkennung über die Eindämmung bis zur Wiederherstellung. Er beantwortet die Fragen, für die im Ernstfall keine Zeit zum Nachdenken bleibt — wer entscheidet, wer wird informiert, welche Sofortmaßnahmen greifen zuerst. Damit ist er das Herzstück des Notfallhandbuchs und genau der Plan, den eine Tabletop Exercise auf seine Praxistauglichkeit prüft.
Foundational Facts
- Bedeutung: Incident-Response-Plan / Notfallreaktionsplan
- Zweck: strukturierte Reaktion auf Sicherheitsvorfälle
- Etabliertes Modell: NIST SP 800-61 (sechs Phasen)
- Rechtlicher Bezug: NISG 2026 § 32 Abs. 4 lit. b (Bewältigung von Cybersicherheitsvorfällen)
- Verwandte Norm: ISO/IEC 27035 (Information Security Incident Management)
Die Phasen eines Incident-Response-Plans
Das verbreitetste Modell stammt aus dem NIST-Leitfaden und gliedert die Reaktion in sechs Phasen:
| Phase | Inhalt |
|---|---|
| Vorbereitung | Rollen, Werkzeuge, Kontakte, Schulung |
| Erkennung & Analyse | Vorfall identifizieren, Schwere einstufen |
| Eindämmung | Ausbreitung stoppen, Systeme isolieren |
| Beseitigung | Ursache entfernen, Schadsoftware bereinigen |
| Wiederherstellung | Betrieb kontrolliert wieder aufnehmen |
| Nachbereitung | Lessons Learned, Plan aktualisieren |
Jede Phase braucht klare Verantwortliche — sonst entsteht im Ernstfall genau die Lähmung, die der Plan verhindern soll.
Plan, Playbook und Team
Ein Incident-Response-Plan beschreibt den übergreifenden Ablauf. Für einzelne Vorfallstypen — Ransomware, Phishing, Datenabfluss — konkretisieren ihn detaillierte Incident-Response-Playbooks mit Schritt-für-Schritt-Anweisungen. Umgesetzt wird der Plan von einem benannten Reaktionsteam, oft unter Beteiligung eines SOC und eines CERT bzw. eines externen Dienstleisters.
Bezug zu NIS2 und den Meldepflichten
NISG 2026 § 32 (Umsetzung von NIS2 Art. 21) macht die Bewältigung von Cybersicherheitsvorfällen zur Pflicht. Ein IRP ist die organisatorische Antwort darauf — und er muss die gestaffelten Meldefristen abbilden, die NIS2 nach einem erheblichen Vorfall vorschreibt: eine Frühwarnung binnen 24 Stunden, eine Vorfallmeldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Wer diese Fristen erst im Vorfall nachschlägt, verliert sie bereits.
Warum ein ungetesteter Plan wertlos ist
Der häufigste Fehler ist nicht ein fehlender Plan, sondern ein ungeübter: veraltete Kontaktdaten, unklare Entscheidungsbefugnisse, niemand kennt den Ablauf. Deshalb gehört zu jedem Incident-Response-Plan die regelmäßige Übung — eine Tabletop Exercise als günstigster Einstieg, um den Plan unter Druck zu prüfen, bevor es ernst wird.
Weiterführende Links
Häufige Fragen
- Was ist der Unterschied zwischen einem Incident-Response-Plan und einem Notfallhandbuch?
- Der Incident-Response-Plan beschreibt das Vorgehen bei einem Sicherheitsvorfall — die Phasen, Entscheidungen und Eskalationswege. Das Notfallhandbuch ist der breitere Ordner, der diesen Plan zusammen mit Kontaktlisten, Playbooks, Kommunikationsvorlagen und Business-Continuity-Unterlagen bündelt. Der IRP ist also ein zentraler Bestandteil des Notfallhandbuchs, nicht dessen Ersatz.
- Welche Phasen hat ein Incident-Response-Plan?
- Etabliert ist das sechsstufige Modell aus dem NIST-Leitfaden SP 800-61; Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung, Wiederherstellung und die abschließende Nachbereitung mit Lessons Learned. Manche Modelle fassen Eindämmung, Beseitigung und Wiederherstellung zusammen. Entscheidend ist nicht die genaue Zahl der Phasen, sondern dass jede Phase mit klaren Verantwortlichkeiten hinterlegt ist.
- Verlangt NIS2 einen Incident-Response-Plan?
- Ja, sinngemäß. NISG 2026 § 32 Abs. 4 lit. b nennt die Bewältigung von Cybersicherheitsvorfällen ausdrücklich als verpflichtende Risikomanagement-Maßnahme — das ist die rechtliche Grundlage für einen Incident-Response-Plan. Hinzu kommen die Meldepflichten nach einem erheblichen Vorfall, die der Plan organisatorisch abbilden muss; eine Frühwarnung innerhalb von 24 Stunden, eine Meldung binnen 72 Stunden.
- Wie stellt man sicher, dass ein Incident-Response-Plan im Ernstfall funktioniert?
- Indem man ihn übt. Ein Plan, der nur in der Schublade liegt, scheitert im Ernstfall an unklaren Zuständigkeiten oder veralteten Kontaktdaten. Eine regelmäßige Tabletop Exercise spielt den Plan anhand eines realistischen Szenarios durch und deckt Lücken auf, bevor ein echter Angriff sie aufdeckt. NISG 2026 verlangt ohnehin eine fortlaufende Bewertung der Wirksamkeit.