Playbook-Serie · Incident Response
Incident-Playbooks für KMU.
Im Ernstfall entscheidet, was die Person am Bildschirm in den ersten Minuten tut. Das Handbuch im Ordner hilft ihr dabei nicht. Diese Serie gibt pro Vorfall eine A4-Seite: Sofortmaßnahmen, Meldeweg, typische Fehler.
Worum es geht
Der Notfallplan scheitert selten an der Technik.
Die meisten Vorfälle in kleinen und mittleren Unternehmen beginnen an einem Arbeitsplatz: ein angeklickter Link, ein verlorenes Gerät, eine Mail an den falschen Empfänger. Was in den nächsten fünfzehn Minuten passiert, entscheidet über den Schaden. Ein sechzigseitiger Notfallplan hilft in diesem Moment niemandem.
Diese Serie zerlegt den Notfallplan in 30 einzelne Vorfälle, gruppiert in sieben Bereiche. Jedes Playbook passt auf eine A4-Seite und folgt derselben Struktur: Situation, Sofortmaßnahmen, Melden, Nicht tun, Was danach passiert. Damit lässt sich das passende Blatt in Sekunden finden und ohne Vorwissen abarbeiten.
Die Serie erscheint schrittweise. Die vollständige Struktur steht bereits, veröffentlichte Playbooks sind verlinkt.
Die Serie
30 Playbooks in sieben Bereichen.
Die Kennung jedes Playbooks trägt ihren Bereich im Kürzel — DEV für Geräte, ACC für Konten, PHI für Phishing, DAT für Daten, MAL für Malware, CLD für Cloud, SUP für Lieferanten. Neue Fälle wachsen innerhalb ihres Bereichs weiter, ohne dass sich bestehende Nummern ändern.
Geräte & Datenträger
Verlorene, gestohlene, fremde oder private Geräte und Datenträger.
Konto & Identität
Zugangsdaten, Multi-Faktor-Authentifizierung und übernommene Konten.
- ACC-01 Passwort oder Zugangsdaten preisgegeben Ein Passwort ist in fremde Hände geraten. Es wurde auf einer nachgebauten Seite eingetippt, am Telefon genannt, in einem Chat geteilt oder lag sichtbar für andere zugänglich. Ob damit schon jemand angemeldet ist, weißt du nicht.
- ACC-02 MFA-Gerät verloren oder gewechselt Das Gerät mit der Authenticator-App oder dem Sicherheitsschlüssel ist weg, defekt oder wurde getauscht. Anmeldungen, die einen zweiten Faktor verlangen, sind damit blockiert. Bei Verlust oder Diebstahl kommt hinzu, dass ein Fremder das Gerät in der Hand hält.
- ACC-03 Verdacht auf Kontoübernahme Es gibt Anzeichen, dass jemand anderes Zugriff auf ein dienstliches Konto hat. Typisch sind Anmeldungen zu ungewöhnlichen Zeiten, Nachrichten, die du nie geschrieben hast, oder Einstellungen, die sich von selbst geändert haben.
- ACC-04 Unerwartete MFA-Anfragen Auf dem Handy erscheint eine Bestätigungsanfrage für eine Anmeldung, die du nicht ausgelöst hast. Manchmal einmal, manchmal in Serie und mitten in der Nacht. Jede dieser Anfragen bedeutet, dass jemand dein Passwort bereits kennt.
Phishing & Social Engineering
Manipulative Nachrichten, Links, Anhänge, Anrufe und QR-Codes.
- PHI-01 Verdächtige Nachricht erhalten Eine Mail oder Chat-Nachricht wirkt nicht echt. Sie drängt zur Eile, kommt von einem unerwarteten Absender oder verlangt eine Anmeldung, eine Zahlung oder die Weitergabe von Daten. Du hast noch nichts angeklickt und nichts eingegeben.
- PHI-02 Phishing-Link angeklickt Du hast einen Link aus einer Nachricht geöffnet und erst danach gemerkt, dass etwas nicht stimmt. Die Seite verlangt eine Anmeldung, einen Bestätigungscode oder einen Download. Vielleicht hast du schon etwas eingetippt.
- PHI-03 Verdächtigen Anhang geöffnet Du hast einen Anhang geöffnet und danach stimmt etwas nicht. Das Dokument verlangt, den Bearbeitungsschutz aufzuheben oder Inhalte zu aktivieren, es öffnet ein Fenster, das nach Zugangsdaten fragt, oder es bleibt leer, obwohl eine Rechnung angekündigt war.
- PHI-04 CEO-Fraud oder Rechnungsbetrug Eine Zahlung soll ausgelöst oder eine Bankverbindung geändert werden. Die Anweisung kommt scheinbar von der Geschäftsführung oder von einem bekannten Lieferanten, wirkt dringend und bittet um Vertraulichkeit oder darum, den üblichen Weg abzukürzen.
- PHI-05 Verdächtiger Anruf oder Identitätsbetrug Jemand ruft an und gibt sich als IT-Support, Bank, Behörde, Lieferant oder Kollege aus. Verlangt werden Zugangsdaten, ein Bestätigungscode, eine Fernwartungssitzung oder Auskunft über interne Abläufe. Der Anruf kommt unerwartet und drängt zur Eile.
- PHI-06 Verdächtiger QR-Code oder SMS-Link Ein QR-Code oder eine SMS führt auf eine Seite, die Zugangsdaten, eine Zahlung oder eine App-Installation verlangt. Beide Wege umgehen den Mail-Schutz des Unternehmens, weil sie am Handy und außerhalb des Postfachs ankommen.
Daten & Datenschutz
Fehlversand, unbeabsichtigte Freigaben und mögliche Datenschutzverletzungen.
- DAT-01 An falschen Empfänger gesendet Eine Nachricht, ein Dokument oder eine Datei ist bei einer Person gelandet, für die sie nicht bestimmt war. Oft liegt es an der automatischen Adressvervollständigung, einem falschen Verteiler oder einem verwechselten Anhang. Enthält die Sendung personenbezogene oder vertrauliche Daten, ist das ein Sicherheitsvorfall.
- DAT-02 Daten versehentlich öffentlich freigegeben Eine Datei, ein Ordner oder ein Dokument ist über einen Link oder eine Freigabe für mehr Personen zugänglich als vorgesehen, im schlimmsten Fall für alle im Internet. Typisch sind Cloud-Links, die für jeden mit dem Link funktionieren, oder Freigaben, die nach einem Projekt nie zurückgenommen wurden.
- DAT-03 Vertrauliches in öffentliche KI eingegeben Vertrauliche Unterlagen, Kundendaten oder interne Informationen wurden in einen KI-Dienst eingegeben, den das Unternehmen dafür nicht freigegeben hat. Je nach Dienst und Vertragsart können Eingaben gespeichert, vom Personal des Anbieters eingesehen oder zum Training verwendet werden.
- DAT-04 Vertrauliche Informationen veröffentlicht Interne oder vertrauliche Informationen sind öffentlich sichtbar geworden, etwa in einem Social-Media-Beitrag, auf der Website, in einer Präsentation oder auf einem Foto. Oft ist es ein Detail im Hintergrund: ein Whiteboard, ein Bildschirm, eine Liste an der Wand.
- DAT-05 Verdacht auf Datenschutzverletzung Personenbezogene Daten sind möglicherweise verloren gegangen, an Unbefugte gelangt, verändert worden oder nicht mehr verfügbar. Der Verdacht genügt für die Meldung. Die Bewertung übernehmen andere.
Malware & verdächtiges Verhalten
Virenmeldungen, auffällige Systeme, Ransomware und Erpressungsmeldungen.
- MAL-01 Virenmeldung oder Sicherheitswarnung Auf dem Bildschirm erscheint eine Warnung über einen Virus, eine Bedrohung oder ein Sicherheitsproblem. Unklar ist, ob die Meldung vom installierten Schutzprogramm stammt oder von einer Website, die eine Warnung nur nachbaut.
- MAL-02 Rechner verhält sich ungewöhnlich Das Gerät reagiert anders als sonst. Es wird ohne erkennbaren Grund langsam, der Lüfter läuft dauerhaft, Fenster öffnen sich von selbst, der Mauszeiger bewegt sich eigenständig oder Programme starten und beenden sich ohne Zutun.
- MAL-03 Verdacht auf Ransomware Dateien lassen sich nicht mehr öffnen, tragen plötzlich fremde Endungen oder es erscheint eine Erpressungsnachricht. Jede Minute zählt, weil die Verschlüsselung weiterläuft, solange das Gerät im Netzwerk hängt.
- MAL-04 Lösegeldforderung am Bildschirm Auf dem Bildschirm steht eine Forderung nach Zahlung, damit Dateien wieder zugänglich werden oder angeblich gestohlene Daten nicht veröffentlicht werden. Oft nennt sie eine Frist und einen Kontaktweg für die Verhandlung.
Cloud & Zusammenarbeit
Cloud-Konten, Kollaborationsplattformen und unsichere Netzwerke.
Lieferanten & Softwareentwicklung
Kompromittierte Lieferanten, Abhängigkeiten, Secrets und Entwicklungsumgebungen.
- SUP-01 Verdacht auf kompromittierten Lieferanten Ein Lieferant, Dienstleister oder Softwareanbieter meldet einen Sicherheitsvorfall, oder seine Kommunikation wirkt plötzlich auffällig. Der Angriff trifft ein anderes Unternehmen, die Auswirkungen landen trotzdem im eigenen Betrieb.
- SUP-02 Verdächtige Software oder Abhängigkeit Ein Programm, eine Bibliothek, ein Paket oder eine Erweiterung verhält sich anders als erwartet oder stammt aus einer zweifelhaften Quelle. Der Verdacht entsteht oft beim Installieren, beim Build oder durch eine Sicherheitswarnung zu einer Komponente, die bereits im Einsatz ist.
- SUP-03 Zugangsdaten oder Secrets veröffentlicht Ein Passwort, ein API-Schlüssel, ein Token oder ein privater Schlüssel ist an einer Stelle gelandet, die andere einsehen können. Typisch sind ein Commit im Repository, ein Ticket, ein Chatverlauf oder eine Konfigurationsdatei in einem geteilten Ordner.
- SUP-04 Repository versehentlich veröffentlicht Ein internes Code-Repository war oder ist öffentlich einsehbar, etwa nach einer geänderten Sichtbarkeit, durch einen öffentlichen Fork oder eine Kopie auf einer privaten Plattform. Damit können Quellcode, Konfiguration und darin enthaltene Zugangsdaten für Unbefugte sichtbar sein.
- SUP-05 Entwicklungsumgebung kompromittiert Es gibt Anzeichen, dass ein Entwicklerrechner, ein Build-Server oder eine Pipeline von Unbefugten genutzt oder verändert wurde. Über diese Systeme laufen Code, Zugangsdaten und Releases. Ein Eingriff kann damit bis in die Software reichen, die Kunden installieren.
Euer Teil
Was ihr selbst ergänzen müsst.
Die Playbooks nennen bewusst nur Rollen: IT-Verantwortliche, Datenschutz-Ansprechperson, Geschäftsführung. Wer das konkret ist und unter welcher Nummer diese Person um 22 Uhr erreichbar ist, weiß nur ihr.
Diese Angaben gehören auf ein einziges Blatt, das neben den Playbooks liegt. Ändert sich eine Zuständigkeit, wird ein Blatt getauscht statt 30 Dokumente.
-
Meldekontakte mit Rolle
Wer nimmt Meldungen an, mit Name, Rolle, Durchwahl und Mobilnummer. Dazu eine benannte Vertretung, damit der Meldeweg bei Urlaub nicht endet.
-
Erreichbarkeit außerhalb der Geschäftszeiten
Eine Nummer, die abends, am Wochenende und im Urlaub tatsächlich jemand abhebt. Vorfälle halten sich nicht an Bürozeiten.
-
IT-Dienstleister und Vertragsbasis
Ansprechpartner, Notfallnummer, Ticket-System und die vereinbarte Reaktionszeit. Im Ernstfall zählt, was im Vertrag steht.
-
Datenschutz-Ansprechperson
Wer die Bewertung nach Art. 33 DSGVO übernimmt und die 72-Stunden-Frist im Blick hat. Bei bestelltem Datenschutzbeauftragten dessen Kontaktdaten.
-
Cyber-Versicherung und Behörden
Polizzennummer und Schadenshotline, dazu die für euch zuständigen Meldestellen. Viele Versicherungen verlangen eine Meldung binnen weniger Stunden.
-
Wer nach außen spricht
Eine festgelegte Person für Kunden, Presse und Belegschaft. Ohne diese Festlegung antworten im Ernstfall fünf Personen unterschiedlich.
In Arbeit
Das Minimal-Notfallhandbuch.
Die Playbooks decken den Moment des Vorfalls ab. Was darüber hinaus dokumentiert sein muss, damit ein Unternehmen einen Ausfall übersteht, kommt als eigenes Dokument: Kontakte und Meldewege, ein minimales System- und Zugangsinventar, Wiederanlauf-Reihenfolge, Versicherungs- und Vertragsdaten sowie Kommunikationsvorlagen für Kunden und Belegschaft.
Bewusst schlank gehalten: alles, was man mindestens haben sollte, und nichts, was im Ernstfall niemand liest.
Erscheint nach Abschluss der Playbook-Serie unter /tools/it-notfallhandbuch/
FAQ
Häufige Fragen.
Für wen sind diese Playbooks gedacht?
Für alle Mitarbeitenden ohne IT-Hintergrund. Jedes Playbook beantwortet die Frage, was in den ersten Minuten zu tun ist und wohin die Meldung geht. Die technische Analyse, Eindämmung und Wiederherstellung bleibt bei der IT und gehört in separate Runbooks.
Ersetzen die Playbooks einen IT-Notfallplan?
Sie decken den Teil ab, der Mitarbeitende betrifft: Erkennen, Sofortmaßnahmen, Melden. Ein vollständiger IT-Notfallplan enthält darüber hinaus Wiederanlaufpläne, Systeminventar, Zuständigkeiten im Krisenstab und Kommunikationsvorlagen. Genau dafür entsteht ergänzend das Minimal-Notfallhandbuch.
Wie hängen die Playbooks mit ISO 27001 und NIS2 zusammen?
ISO/IEC 27001:2022 verlangt in Annex A definierte Meldewege und die Beurteilung von Sicherheitsereignissen. Das österreichische NISG 2026 verpflichtet wesentliche und wichtige Einrichtungen in § 34 zu Berichtspflichten mit einer 24- und 72-Stunden-Stufe. Beides funktioniert nur, wenn ein Vorfall intern überhaupt ankommt. Die Playbooks sind dieser erste Schritt.
Warum stehen keine Telefonnummern in den Playbooks?
Weil sie in jedem Unternehmen anders lauten. Die Playbooks nennen deshalb konsequent Rollen. Die konkreten Namen, Nummern und Meldewege trägst du einmalig ins Incident-Kontaktblatt ein, auf das jedes Playbook verweist.
Sind die Playbooks kostenlos nutzbar?
Ja. Alle Seiten und PDFs stehen ohne Anmeldung zur Verfügung und dürfen intern verteilt, ausgedruckt und im Onboarding verwendet werden. Den genauen Rahmen beschreibt der Abschnitt Nutzung der kostenlosen Vorlagen im Impressum.
Wie oft sollten Mitarbeitende das üben?
Ein Playbook wirkt erst, wenn es im Ernstfall erinnert wird. Bewährt hat sich eine kurze Tabletop-Übung ein- bis zweimal pro Jahr, in der ein Szenario entlang des passenden Playbooks durchgespielt wird. Mehr dazu in den Insights zu Übungen und Incident Response.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.