Was ist ein Incident-Response-Playbook?
Zuletzt aktualisiert:
Kurz erklärt: Ein Incident-Response-Playbook (auch Runbook) ist die szenariospezifische Schritt-für-Schritt-Anleitung für einen konkreten Vorfallstyp wie Ransomware, Phishing oder Datenabfluss. Während der Incident-Response-Plan den übergreifenden Ablauf und die Rollen festlegt, beschreibt das Playbook für eine bestimmte Bedrohung die konkreten Handlungsschritte — welches System zuerst isoliert wird, wer informiert wird, welche Logs gesichert werden. Playbooks machen die Reaktion schnell, wiederholbar und unabhängig davon, wer gerade Dienst hat.
Ein Incident-Response-Playbook — auch Runbook — ist die szenariospezifische Schritt-für-Schritt-Anleitung für einen konkreten Vorfallstyp. Wo der Incident-Response-Plan den übergreifenden Ablauf und die Rollen festlegt, beantwortet das Playbook für eine bestimmte Bedrohung — etwa Ransomware — die operative Frage: Was genau tun wir jetzt, in welcher Reihenfolge, und wer?
Foundational Facts
- Bedeutung: Incident-Response-Playbook / Runbook
- Verhältnis zum Plan: ein Plan, mehrere Playbooks (je Vorfallstyp)
- Charakter: konkret, ausführbar, wiederholbar
- Orientierung: Angriffstechniken nach MITRE ATT&CK
- Automatisierbar: über SOAR-Workflows (teilweise)
Plan vs. Playbook
Der Unterschied ist eine Frage der Flughöhe:
| Incident-Response-Plan | Playbook | |
|---|---|---|
| Geltungsbereich | alle Vorfälle | ein Vorfallstyp |
| Inhalt | Phasen, Rollen, Eskalation | konkrete Handlungsschritte |
| Frage | Wer? Wann? | Was genau? Wie? |
| Anzahl | einer | mehrere |
Ein Playbook ohne Plan ist orientierungslos, ein Plan ohne Playbooks bleibt abstrakt — erst zusammen ergeben sie eine handlungsfähige Reaktion.
Aufbau eines Playbooks
Ein brauchbares Playbook enthält für sein Szenario typischerweise:
- Erkennungsmerkmale — woran der Vorfall erkennbar ist (Symptome, Logs, Alarme aus dem SIEM).
- Sofortmaßnahmen — was in den ersten Minuten passiert (isolieren, Konten sperren, Beweise sichern).
- Eskalation — ab wann der Krisenstab und die Geschäftsleitung einzubinden sind.
- Eindämmung & Beseitigung — die technischen Schritte zur Schadensbegrenzung.
- Kommunikation & Meldung — interne Information, Kundenkommunikation, Behördenmeldung.
- Wiederherstellung & Abschluss — Rückkehr zum Normalbetrieb und Übergabe an die Nachbereitung.
Vom Playbook zur Automatisierung
Viele dieser Schritte sind eindeutig und wiederkehrend — und damit Kandidaten für Automatisierung. SOAR-Plattformen (Security Orchestration, Automation and Response) hinterlegen Playbooks als ausführbare Workflows: Ein Alarm löst automatisch die Anreicherung mit Bedrohungsdaten, die Kontosperre oder die Isolation eines Endpunkts aus. Das verkürzt die Reaktionszeit drastisch — die Entscheidungen mit Ermessensspielraum bleiben aber bewusst beim Menschen.
Bedeutung für den Mittelstand
Für KMU sind Playbooks der pragmatische Hebel, um auch ohne große Sicherheitsabteilung schnell und konsistent zu reagieren. Wer für die vier wahrscheinlichsten Szenarien — Ransomware, Phishing, Business E-Mail Compromise und Datenabfluss — je ein knappes Playbook bereithält, reagiert im Ernstfall unabhängig davon, wer gerade Dienst hat. Geprüft werden die Playbooks am besten in einer Tabletop Exercise.
Weiterführende Links
Häufige Fragen
- Was ist der Unterschied zwischen Incident-Response-Plan und Playbook?
- Der Incident-Response-Plan ist das übergreifende Rahmenwerk — er definiert Phasen, Rollen, Eskalationswege und Meldepflichten für alle Vorfälle. Ein Playbook ist die Detailanleitung für genau einen Vorfallstyp, etwa Ransomware. Ein Unternehmen hat in der Regel einen Plan und mehrere Playbooks. Das Playbook beantwortet das Wie im konkreten Fall, der Plan das Wer und Wann grundsätzlich.
- Welche Playbooks sollte ein KMU mindestens haben?
- Sinnvoll ist, mit den wahrscheinlichsten und schädlichsten Szenarien zu beginnen; Ransomware, Phishing beziehungsweise kompromittierte Zugangsdaten, Business E-Mail Compromise und Datenabfluss mit Meldepflicht. Diese vier decken den Großteil realer KMU-Vorfälle ab. Weitere Playbooks — etwa für DDoS oder Lieferketten-Vorfälle — kommen hinzu, sobald die Grundlagen stehen.
- Wie hängen Playbooks mit MITRE ATT&CK zusammen?
- MITRE ATT&CK katalogisiert die Techniken realer Angreifer. Gute Playbooks orientieren sich daran, indem sie die Erkennungs- und Reaktionsschritte an konkreten Angriffstechniken ausrichten — etwa welche Spuren ein bestimmter Verschlüsselungs-Trojaner hinterlässt und wie man ihn eindämmt. So wird aus einer abstrakten Anleitung eine an realen Bedrohungen geprüfte Handlungsfolge.
- Lassen sich Playbooks automatisieren?
- Teilweise ja. Wiederkehrende, eindeutige Schritte — ein Konto sperren, ein System isolieren, IOCs anreichern — lassen sich über SOAR-Plattformen automatisieren, die Playbooks als ausführbare Workflows hinterlegen. Entscheidungen mit Ermessensspielraum, etwa die Frage einer Behördenmeldung, bleiben beim Menschen. Automatisierung beschleunigt die Routine, ersetzt aber nicht das Urteil im Krisenstab.