Incident Response beauftragen: Rahmenvertrag, Ablauf und Kosten im Ernstfall

Wer erst nach einem Angriff einen Incident-Response-Dienstleister sucht, verliert Stunden, die über die Schadenshöhe entscheiden können. Besser ist ein Rahmenvertrag mit definierter Reaktionszeit, der im Ernstfall abgerufen wird, oder ein Zugriff über die Cyberversicherung. Dieser Beitrag erklärt, welche Leistungen Incident Response umfasst, wie ein Rahmenvertrag aufgebaut sein sollte und wie die Kosten entstehen. Beträge sind Rechenbeispiele.

Was Incident Response umfasst

Incident Response (IR) bezeichnet den strukturierten Umgang mit Sicherheitsvorfällen. Dienstleister unterstützen typischerweise bei:

Erstbewertung (Triage): Was ist passiert, welche Systeme sind betroffen, läuft der Angriff noch?
Eindämmung: Betroffene Systeme isolieren, Zugänge sperren, weitere Ausbreitung verhindern.
Forensik: Spuren sichern, Angriffsweg und Umfang rekonstruieren, Beweise erhalten.
Beseitigung: Schadsoftware entfernen, Schwachstellen schließen, Zugangsdaten erneuern.
Wiederherstellung: Systeme aus sauberen Datensicherungen wiederaufbauen, Betrieb schrittweise aufnehmen.
Kommunikation: Unterstützung bei Meldungen an Behörden, Betroffene, Kunden und Medien.
Nachbereitung: Bericht, Lehren, Verbesserung der Abwehr.

Die erste Hilfe im Ernstfall beschreibt der Beitrag Ransomware: Die ersten Stunden.

Rahmenvertrag oder Ad-hoc-Beauftragung

Merkmal	Rahmenvertrag mit Kontingent	Ad-hoc im Ernstfall	Über die Cyberversicherung
Reaktionszeit	Vertraglich definiert	Ungewiss, abhängig von Auslastung	Je nach Police mit Partnernetz und Hotline
Kosten	Vorab bekannte Sätze, eventuell Grundgebühr	Oft höhere Sätze unter Zeitdruck	Je nach Bedingungen ganz oder teilweise übernommen
Vorbereitung	Anbieter kennt Ihre Umgebung	Einarbeitung kostet Zeit	Kennt Ihre Umgebung meist nicht
Vertragsprüfung	Ruhig im Voraus möglich	Unter Druck, Fehler wahrscheinlich	Bedingungen der Police prüfen
Datenschutz	AVV vorab geschlossen	Muss in der Krise nachgeholt werden	Je nach Versicherer geregelt

Viele Unternehmen kombinieren: Hotline der Versicherung und zusätzlich ein eigener Rahmenvertrag. Klären Sie vorher, ob die Police die Wahl des Dienstleisters beschränkt oder eine Zustimmung des Versicherers vor Beauftragung verlangt.

Inhalt eines Rahmenvertrags

Reaktionszeit: Zeit bis zur ersten Antwort und bis zum Beginn der Arbeit, getrennt für Geschäftszeiten und außerhalb davon.
Erreichbarkeit: Notfallnummer rund um die Uhr, Eskalationsstufen.
Kontingent: Zahl der Stunden oder Tage, die jährlich enthalten sind, und Sätze für Mehraufwand. Klären Sie, ob nicht genutzte Stunden für Übungen oder Vorsorge verwendet werden können.
Vorbereitung: Aufnahme Ihrer Umgebung, Kontaktlisten, Zugriffswege.
Datenschutz und Geheimhaltung: Auftragsverarbeitung vorab, siehe Verträge mit Dienstleistern.
Befugnisse: Welche Maßnahmen darf der Anbieter ohne Rückfrage ergreifen?
Berichte: Zwischenstände und Abschlussbericht, auch für Versicherer und Behörden.
Haftung und Versicherung des Anbieters.

Rechenbeispiel zu Vorsorge und Ernstfall (illustrativ)

Ein Unternehmen vergleicht zwei Wege. Variante A: Rahmenvertrag mit 20 Stunden Kontingent zu einem Beispielsatz von 180 Euro, also 3.600 Euro pro Jahr. Variante B: kein Vertrag, im Ernstfall Ad-hoc-Beauftragung zu einem angenommenen Satz von 250 Euro und 80 Stunden Aufwand, also 20.000 Euro.

Im Rechenmodell kostet die Vorsorge 3.600 Euro jährlich. Bei der Annahme einer Eintrittswahrscheinlichkeit von 5 Prozent pro Jahr ergeben sich erwartete Kosten von 1.000 Euro für Variante B, also weniger als die Vorsorge. Der Wert der Vorsorge liegt jedoch in der kürzeren Ausfallzeit: Verkürzt der Rahmenvertrag den Stillstand um zwei Tage und kostet ein Stillstandstag 15.000 Euro, entspricht das 30.000 Euro Einsparung im Ereignisfall. Die Zahlen sind frei gewählt. Prüfen Sie mit dem Investitionsrechner eigene Annahmen und beachten Sie, dass Wahrscheinlichkeiten Schätzungen sind.

Kosten im Ernstfall

Die Kosten setzen sich meist aus Personentagen, Forensik-Werkzeugen, Wiederherstellung, Rechtsberatung und Kommunikation zusammen. Sie hängen stark vom Umfang des Angriffs ab. Eine seriöse Angabe ohne Kenntnis des Vorfalls ist nicht möglich. Vereinbaren Sie Zwischenfreigaben, damit Sie Aufwand und Kosten laufend im Blick behalten.

Zusammenspiel mit Versicherung und Behörden

Versicherung informieren: Policen verlangen oft eine sofortige Meldung und die Abstimmung vor Beauftragung von Dienstleistern. Verstöße können Leistungen gefährden.
Polizei: Die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter nehmen Anzeigen auf und beraten.
Datenschutzaufsicht: Bei Verletzung des Schutzes personenbezogener Daten gilt grundsätzlich eine Meldung binnen 72 Stunden nach Art. 33 DSGVO, sofern ein Risiko für Betroffene besteht.
BSI: Betroffene Einrichtungen nach dem BSI-Gesetz haben Meldepflichten, siehe NIS2 in Deutschland.

Vorbereitung: Was Sie vor dem Vorfall tun sollten

Notfallkontakte auf Papier und offline griffbereit halten, da E-Mail und Telefonanlage ausfallen können.
Backups prüfen: Sind sie getrennt vom Netz, unveränderbar und wiederherstellbar? Üben Sie die Wiederherstellung.
Netzwerkpläne und Passwort-Tresor außerhalb der Hauptumgebung vorhalten.
Entscheidungswege klären: Wer darf Systeme abschalten, wer spricht mit Medien und Kunden?
Übung durchführen: Ein Tabletop-Szenario deckt Lücken auf, ohne dass etwas passiert.

Häufige Fehler

Systeme vorschnell neu aufsetzen und damit Spuren zerstören.
Den Angreifer durch hektische Aktivitäten warnen, bevor der Zugang gesperrt ist.
Zahlungen an Erpresser ohne Beratung leisten.
Die Versicherung zu spät informieren.

Wann Sie sich beraten lassen sollten

Bei einem akuten Vorfall holen Sie sofort Fachleute: IR-Dienstleister, Rechtsberatung für Meldepflichten und, falls vorhanden, Ihre Versicherung. Vorsorglich sollten Sie den Rahmenvertrag und die Police aufeinander abstimmen lassen.

Häufige Fragen

Brauche ich einen IR-Rahmenvertrag, wenn ich eine Cyberversicherung habe?

Nicht zwingend. Prüfen Sie, welche Leistungen die Police enthält, wie schnell Hilfe verfügbar ist und ob Sie den Dienstleister wählen dürfen.

Wie schnell muss ein Dienstleister reagieren?

Das legen Sie im Vertrag fest. Üblich sind Reaktionszeiten innerhalb von Stunden. Vergleichen Sie, wann die Arbeit tatsächlich beginnt.

Sollte ich Lösegeld zahlen?

Das ist eine schwierige Abwägung mit rechtlichen und praktischen Risiken. Holen Sie vorher fachlichen und rechtlichen Rat ein und sprechen Sie mit Strafverfolgungsbehörden.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — Hinweise zu Vorfallbewältigung und Meldungen
Zentrale Ansprechstelle Cybercrime beim Bundeskriminalamt — Kontakt zu den Polizeibehörden
Bundesbeauftragte für den Datenschutz und die Informationsfreiheit — Informationen zur Meldung von Datenpannen