Seminar Cyber Incident Response Intensiv – Organisation, Playbooks und Krisenführung

Die Schulung entwickelt eine zusammenhängende Reaktionsorganisation vom Eingang einer Erstmeldung bis zur Freigabe eines begrenzten Wiederanlaufs. Technische Erstentscheidungen werden mit Zuständigkeiten, Kommunikationswegen und geschäftlichen Prioritäten verbunden. Dadurch entsteht ein konsistenter Ablauf, den IT, Sicherheitsverantwortliche und Krisenleitung gemeinsam erproben können.

Das Intensivformat bündelt vier Fachseminare anhand eines durchgehenden Beispielbetriebs. Doppelte Einführungen entfallen; ausgewählte Planungs- und Übungsaufgaben greifen unmittelbar ineinander. Eine vollständige Organisationsaufnahme für ein konkretes Unternehmen wird dadurch nicht ersetzt. Organisationsspezifische Anpassungen werden als prüfbare Arbeitsaufträge festgehalten.

Schulungsziele

• Eine vollständige Reaktionskette mit Zuständigkeiten, Befugnissen und Übergaben entwerfen.
• Ausgewählte technische und organisatorische Playbooks anwendungsfähig ausarbeiten.
• Lageführung, Kommunikation und Wiederanlaufpriorisierung in einer Cyberkrise koordinieren.
• Die entworfenen Abläufe in einem umfangreichen Planspiel erproben und gezielt verbessern.

Zielgruppe

IT-Leitung, Informationssicherheitsverantwortliche, Incident-Response-Koordinatoren, Krisenstabsmitglieder und technische Teamleitungen.

Voraussetzungen

Grundkenntnisse der eigenen Geschäftsprozesse und IT-Dienste. Erfahrung in IT-Betrieb, Informationssicherheit oder Notfallmanagement ist hilfreich. Tiefe Forensikkenntnisse sind nicht erforderlich.

Seminarinhalte

Die folgenden Themen bilden den fachlichen Aufbau der Schulung.

• Grundlagen und betrieblicher Rahmen
• Erstmaßnahmen und Eskalation
• Notfallplan und technische Playbooks
• Krisenstab und gemeinsame Lageführung
• Kommunikation und Unterstützer
• Notbetrieb und Wiederanlaufsteuerung
• Durchgängiges Krisenplanspiel
• Überarbeitung und betriebliche Verankerung

1. Grundlagen und betrieblicher Rahmen

• Sicherheitsereignisse, bestätigte Vorfälle und geschäftliche Krisen mit ihren unterschiedlichen Entscheidungsebenen einordnen.
• Kritische Dienste, Abhängigkeiten und verantwortliche Rollen des Beispielbetriebs erfassen.
• Vorbereitung, technische Reaktion und Wiederherstellung in einen zusammenhängenden Ablauf überführen.

2. Erstmaßnahmen und Eskalation

• Alarmbewertung, Umfangsermittlung und kontrollierte Eindämmung anhand erster Fallmeldungen üben.
• Beweissicherung und Notfalländerungen mit klaren Befugnissen und Wirksamkeitskontrollen verbinden.
• Eskalationsschwellen, Bereitschaftsrollen und eine standardisierte Erstmeldung entwickeln.

3. Notfallplan und technische Playbooks

• Einen übergeordneten Reaktionsplan mit unabhängigen Zugängen und Kommunikationswegen ausarbeiten.
• Playbooks für Ransomware-Verdacht, Kontokompromittierung und möglichen Datenabfluss erstellen.
• Auslöser, Entscheidungspunkte, Voraussetzungen und Abbruchkriterien auf tatsächliche Ausführbarkeit prüfen.

4. Krisenstab und gemeinsame Lageführung

• Krisenstab, technische Einsatzleitung und Fachbereiche mit eindeutigen Entscheidungswegen organisieren.
• Lagebesprechungen, Arbeitsaufträge und Protokollierung auf einen wiederholbaren Arbeitsrhythmus ausrichten.
• Gesicherte Informationen, offene Fragen und notwendige Entscheidungen in einem gemeinsamen Lagebild pflegen.

5. Kommunikation und Unterstützer

• Interne Informationen und externe Kommunikationsentwürfe mit abgestimmten Freigaben erstellen.
• Zuständige Fachrollen für Meldepflichten, Datenschutz und Erpressungsfragen mit vollständigem Sachstand einbinden.
• Externe Unterstützung mit klaren Aufträgen, Zugriffsgrenzen und Übergaben koordinieren.

6. Notbetrieb und Wiederanlaufsteuerung

• Notbetrieb und Wiederherstellungsprioritäten anhand geschäftlicher Auswirkungen festlegen.
• Technische Freigabekriterien, fachliche Tests und Restrisikoentscheidungen miteinander verbinden.
• Abbruch, Rückfall und Rückkehr in den Regelbetrieb mit benannten Verantwortlichen planen.

7. Durchgängiges Krisenplanspiel

• Die erarbeiteten Unterlagen bei einer eskalierenden Lage mit wechselnden Befunden anwenden.
• Erstmeldung, technische Reaktion, Krisenaktivierung und Wiederanlaufentscheidung als zusammenhängenden Ablauf bearbeiten.
• Entscheidungen und Kommunikation durch vorbereitete Störungen und zusätzliche Informationsbedarfe erproben.

8. Überarbeitung und betriebliche Verankerung

• Beobachtete Probleme auf unklare Rollen, fehlende Informationen oder nicht ausführbare Schritte zurückführen.
• Pläne und Playbooks überarbeiten und konkrete betriebliche Anpassungsaufträge formulieren.
• Verantwortliche, Pflegeintervalle und eine nachfolgende Funktionsprüfung für die Unterlagen festlegen.

Praktische Fallbearbeitung

1. Für den Beispielbetrieb Rollen und kritische Dienste erfassen und eine Eskalationslogik definieren.
2. Ausgewählte Playbooks mit sicheren Erstmaßnahmen und kontrollierbaren Entscheidungspunkten erstellen.
3. Lageführung, Kommunikationsfreigaben und Wiederanlaufprioritäten in kurzen Teilübungen abstimmen.
4. Ein ganztägiges, mehrstufiges Planspiel mit den selbst erarbeiteten Unterlagen durchführen.
5. Die beobachteten Lücken in korrigierte Dokumente und konkrete betriebliche Arbeitsaufträge überführen.

Schulungsumgebung

Ein konsistenter Beispielbetrieb mit Inventar, Rollenprofilen, Lagekarten und bearbeitbaren Planvorlagen. Technische Erstmaßnahmen werden an ungefährlichen Demonstrationsfällen erläutert; Schwerpunkt sind Organisation, Entscheidungen und Zusammenarbeit.

Zusammengefasste Fachseminare

Die Kernthemen der folgenden Fachseminare werden in einem gemeinsamen Fall verdichtet. Die Einzelseminare bieten zusätzliche Übungszeit und eine größere fachliche Tiefe.

• Cyber Incident Response – Grundlagen und Erstmaßnahmen – 2 Tage
• Cyber Incident Response – Notfallpläne und Playbooks – 2 Tage
• Cyber Incident Response – Krisenstab und Kommunikation – 2 Tage
• Ransomware-Tabletop für Geschäftsführung und Krisenstab – 1 Tag

Passende Vertiefungen

Die weitere Auswahl richtet sich nach Aufgabenfeld und vorhandenen Kenntnissen.

• Cyber Incident Response Intensiv – Forensik und Threat Hunting – 5 Tage
• Ransomware Recovery Intensiv – Backup, Identitäten und Wiederanlauf – 5 Tage