Zum Inhalt
TOMORISUNIVERSITYTraining anfragen

UNIVERSITY.GOVERNANCE, RISK & COMPLIANCE

Incident Response Plan erstellen und üben

Rollen, Schweregrade, Phasen, Playbooks, Meldepflichten und Übungen für KMU und IT-Dienstleister

Premium

Gratis-Vorschau startenInhouse für Ihr Team

Das lernen Sie

  • Einen Incident Response Plan mit allen notwendigen Dokumenten aufbauen und pflegen
  • Rollen, Vertretungen und Entscheidungsbefugnisse mit einer RACI-Matrix festlegen
  • Vorfälle einheitlich nach Schweregrad einstufen und eskalieren
  • Vorfälle strukturiert analysieren, Beweise gerichtsfest sichern und lückenlos protokollieren
  • Eindämmung, Beseitigung und Wiederherstellung geordnet durchführen und freigeben
  • Playbooks für Ransomware, Kontoübernahme, Phishing und Datenabfluss anwenden und erstellen
  • Melde- und Berichtspflichten nach DSGVO und NISG 2026 fristgerecht erfüllen
  • Tabletop-Übungen durchführen und den Plan mit Lessons Learned laufend verbessern

Beschreibung

Ein Sicherheitsvorfall entscheidet sich in den ersten Stunden. Wer dann erst klärt, wer entscheidet, wen man anruft und was gemeldet werden muss, verliert Zeit, Beweise und oft auch Geld. Dieser Kurs zeigt, wie kleine und mittlere Unternehmen und ihre IT-Dienstleister einen Incident Response Plan aufbauen, betreiben und regelmäßig üben.

Grundlagen und Aufbau: Begriffe, Ziele, Abgrenzung zum Notfallmanagement, NIST SP 800-61 Rev. 3 und ISO/IEC 27035 im Überblick, die Dokumente eines vollständigen Plans.

Rollen und Schweregrade: Kernrollen, RACI-Matrix, Zusammenarbeit mit IT-Dienstleister, Forensik, Versicherung und Rechtsberatung, Alarmierungskette mit Eskalationszeiten, ein fünfstufiges Modell mit Schweregrad-Matrix und Eskalationsregeln.

Erkennen und Analysieren: Meldewege, die erste Stunde, Lagebild, Beweissicherung, Cloud-Spuren aus Microsoft 365 und Entra ID und Vorfallprotokoll.

Eindämmen, Beseitigen, Wiederherstellen: Abwägungen bei der Eindämmung, Ursachenanalyse, Wiederherstellung mit RTO und RPO, Wiederanlaufreihenfolge und Freigabeprotokoll.

Playbooks: Phishing, Ransomware, kompromittiertes Konto und Business Email Compromise, Angriff über IT-Dienstleister und Lieferkette, Datenabfluss.

Kommunikation, Meldepflichten, Verbesserung: interne und externe Kommunikation mit Vorlagen für Mitarbeitende, Kunden, Datenschutzbehörde, CSIRT, Versicherer und Presse, DSGVO Art. 33 und 34, NIS2 und das österreichische NISG 2026, Tabletop-Übungen, Lessons Learned und Vorfallbericht.

Jedes Modul endet mit einer praktischen Übung, deren Ergebnis Sie direkt in Ihren eigenen Plan übernehmen können.

Aufbau

  1. Grundlagen und Aufbau eines Incident Response PlansGratis

    Wozu ein Incident Response Plan dient und welche Pflichten aus DSGVO und NISG 2026 dahinterstehen, wie er sich auf NIST SP 800-61 Rev. 3, ISO/IEC 27035 und die Durchführungsverordnung (EU) 2024/2690 abbilden lässt, aus welchen Dokumenten er besteht und wie Sie mit Notfallkarte, Kontaktliste und Notfallvollmacht schnell einsatzfähig werden. Ergebnis: Bestandsaufnahme, Notfallkarte und drei Maßnahmen.

    • Wozu ein Incident Response Plan dient (15 Min.)
    • NIST SP 800-61 Rev. 3 und ISO/IEC 27035 im Überblick (15 Min.)
    • Bausteine und Dokumente eines IRP (15 Min.)
    • Die Notfallkarte: Ihr Plan auf einer Seite (15 Min.)
    • Übung: Bestandsaufnahme Ihres Incident Response Plans (55 Min.)

  2. Rollen, Partner und SchweregradePremium

    Wer im Vorfall was entscheidet und ausführt: Kernrollen, RACI-Matrix, Partner mit Notfallvollmacht und Retainer, eine Alarmierungskette mit Eskalationszeiten und ein fünfstufiges Schweregradmodell mit Matrix, das direkt mit der Meldepflichtprüfung nach DSGVO und NISG 2026 verknüpft ist.

    • Rollen im Vorfallteam und RACI-Matrix (20 Min.)
    • Externe Partner: Dienstleister, Forensik, Versicherung, Recht (15 Min.)
    • Schweregrade und Eskalation (15 Min.)
    • Alarmierungskette und Erreichbarkeit (15 Min.)
    • Übung: Rollenmatrix ausfüllen und Szenarien einstufen (30 Min.)

  3. Erkennen, Analysieren und Beweise sichernPremium

    Vom ersten Hinweis zum belastbaren Lagebild: Meldewege, die erste Stunde im Minutenplan, strukturierte Analyse mit Zeitleiste und Hypothesen, Beweissicherung mit Beweiskette, Cloud-Spuren aus Microsoft 365 und Entra ID vor Ablauf der Aufbewahrung sichern und ein prüffestes Vorfallprotokoll.

    • Erkennung, Erstmeldung und die erste Stunde (15 Min.)
    • Analyse und Lagebild (15 Min.)
    • Beweissicherung und Vorfallprotokoll (15 Min.)
    • Cloud-Spuren sichern: Microsoft 365 und Entra ID (15 Min.)
    • Übung: Die erste Stunde dokumentieren (30 Min.)

  4. Eindämmen, Beseitigen und WiederherstellenPremium

    Den Angreifer stoppen, Ursachen sauber beseitigen und Systeme geordnet, geprüft und freigegeben in den Betrieb zurückführen: Eindämmungsentscheidungen, Persistenzsuche, Neuaufbau der Identität, Wiederherstellungspunkt, Wiederanlaufreihenfolge und Freigabeprotokoll.

    • Eindämmung: schnell, aber überlegt (15 Min.)
    • Beseitigung und Ursachenanalyse (15 Min.)
    • Wiederherstellung und Freigabe (15 Min.)
    • Übung: Wiederanlaufplan und Freigabeprotokoll (30 Min.)

  5. Playbooks für typische VorfällePremium

    Ausführliche Schrittlisten für Phishing, Ransomware, Kontoübernahme mit Business Email Compromise, Angriffe über IT-Dienstleister und Lieferkette sowie Datenabfluss, jeweils mit Auslösern, Ersteinstufung, Sofortmaßnahmen, Analyse, Meldepflichtprüfung und Abschlusskriterien.

    • Aufbau eines Playbooks und Playbook Phishing (15 Min.)
    • Playbook Ransomware (15 Min.)
    • Playbook kompromittiertes Konto und Business Email Compromise (15 Min.)
    • Playbook Angriff über IT-Dienstleister und Lieferkette (15 Min.)
    • Übung: Playbook Datenabfluss erstellen (40 Min.)

  6. Kommunikation, Meldepflichten und kontinuierliche VerbesserungPremium

    Richtig kommunizieren mit fertigen Vorlagen für Mitarbeitende, Kunden, Datenschutzbehörde, CSIRT, Versicherer und Presse, Melde- und Berichtspflichten nach DSGVO und NISG 2026 fristgerecht erfüllen, Übungen planen, Lessons Learned durchführen und den Vorfallbericht schreiben.

    • Kommunikation intern und extern (15 Min.)
    • Kommunikationsvorlagen für Mitarbeitende, Kunden, Behörden und Versicherer (15 Min.)
    • Meldepflichten in Österreich und der EU (15 Min.)
    • Üben, auswerten, verbessern (15 Min.)
    • Lessons Learned und Vorfallbericht (15 Min.)
    • Übung: 60-Minuten-Tabletop durchführen (60 Min.)

Voraussetzungen

Grundkenntnisse der IT-Infrastruktur eines Unternehmens (Verzeichnisdienst, E-Mail, Fileserver, Backup, Firewall) und der Grundbegriffe der Informationssicherheit. Für die Übungen hilft es, wenn Sie ein reales Unternehmen als Beispiel vor Augen haben.

Teilnahmebestätigung

Nach einem Live-, Vor-Ort- oder Inhouse-Training erhalten Sie eine Teilnahmebestätigung der TOMORIS UNIVERSITY als PDF per E-Mail. Sie nennt Kurstitel, Datum, Dauer und Inhalte.

Im E-Learning erstellen Sie Ihren Teilnahmenachweis selbst: Nach bestandenem Abschlussquiz steht er in Ihrem Lernkonto bereit, zum Speichern als PDF oder zum Drucken, mit Ergebnis, Datum, Umfang und Inhalten des Kurses.

Die Bestätigung belegt Ihre Teilnahme. Sie ist kein staatlich anerkannter Abschluss und keine Zertifizierung eines Herstellers wie Microsoft oder Fortinet. Prüfungen für Herstellerzertifikate legen Sie direkt beim Hersteller ab.

Offene Termine

Derzeit ist kein offener Termin geplant. Fragen Sie uns, auch als Inhouse-Training für Ihr Team