Welche Phasen hat Incident Response?
Das bekannteste Modell hat sechs: Vorbereitung, Identifizierung, Eindämmung, Beseitigung, Wiederherstellung und Lessons Learned, aus dem Handbuch für Incident Handler des SANS Institute. Der frühere Leitfaden von NIST, SP 800-61 Revision 2, fasste dieselbe Arbeit in vier Phasen zusammen. Im April 2025 ersetzte NIST ihn durch SP 800-61 Revision 3, die Incident Response an die sechs Funktionen des Cybersecurity Framework 2.0 bindet: Govern, Identify, Protect, Detect, Respond und Recover. Alle sagen dasselbe: Der größte Teil der Arbeit liegt vor dem Vorfall, in der Vorbereitung, und danach, in der Verbesserung. Für ein kleines Unternehmen ist die praktische Reihenfolge einfach: bemerken, Schaden begrenzen, Ursache entfernen, sicher weiterarbeiten und ändern, was den Vorfall ermöglicht hat. Diese Abfolge für die eigenen Systeme aufzuschreiben, ist der nützlichste erste Schritt.