STOP.LI · Berichte · Ereignisse
Post-Incident
Review.
Die Nachbetrachtung eines schwerwiegenden Vorfalls: Ursachen, Wirksamkeit der Reaktion und Verbesserungen mit Eigner und Termin, ohne Schuldzuweisung an Personen.
Auf einen
Blick.
AdressatCISO, Prozesseigner, GeschäftsleitungDie Geschäftsleitung erhält eine Zusammenfassung mit den Entscheiden; das Team arbeitet mit dem vollständigen Review.
ZeitpunktNach Abschluss des VorfallsWenn Wiederherstellung und forensische Analyse abgeschlossen sind, solange die Erinnerung frisch ist.
ZweckLernen statt beschuldigenGefragt wird, warum das System den Fehler zuliess, nicht wer ihn gemacht hat.
Aufbau
des Berichts.
| Abschnitt | Inhalt | Leitfrage |
|---|---|---|
| Zeitleiste | Erster Angriffsschritt, Entdeckung, Einstufung, Eskalation, Eindämmung, Wiederherstellung, Meldungen. | Wo ging Zeit verloren? |
| Ursachenanalyse | Direkte, beitragende und systemische Ursachen; Methode (z. B. 5-Why, Ursache-Wirkungs-Diagramm). | Warum konnte es passieren? |
| Reaktion bewertet | Schnelligkeit der Reaktion auf Warnungen, Qualität der Forensik, Eskalation, Kommunikation. | Haben die Verfahren funktioniert? |
| Was funktioniert hat | Kontrollen und Entscheide, die den Schaden begrenzt haben. | Was behalten wir bei? |
| Massnahmen | Verbesserung, Eigner, Termin, Kriterium für die Wirksamkeit. | Was ändern wir konkret? |
| Rückfluss | Anpassungen an Risikobewertung, Playbooks, Notfall- und Wiederanlaufplänen, Schulungen. | Wo fliesst die Erkenntnis ein? |
| Meldungen | Abschluss- oder Ursachenberichte an Behörden, Bezug zu diesem Review. | Ist der Abschluss gegenüber Behörden konsistent? |
Prüffragen
nach DORA.
DORA nennt unter anderem vier Punkte, an denen die Wirksamkeit der Reaktion gemessen wird. Sie eignen sich für jeden Post-Incident-Review.
| Prüfpunkt | Frage | Messgrösse |
|---|---|---|
| Reaktion auf Warnungen | Wie schnell wurde auf Sicherheitswarnungen reagiert und Auswirkung und Schwere bestimmt? | Zeit von der ersten Warnung bis zur Einstufung. |
| Forensik | Wie schnell und gut war die forensische Analyse, soweit zweckmässig? | Zeit bis zu belastbaren Antworten auf die Kernfragen. |
| Eskalation | Erreichte der Vorfall rechtzeitig die zuständigen Stellen? | Zeit bis zur Information von Krisenstab und Geschäftsleitung. |
| Kommunikation | War die interne und externe Kommunikation wirksam und konsistent? | Fristgerechte Meldungen, widerspruchsfreie Aussagen. |
Deutschland
und Schweiz.
Gemeinsamer Aufbau für beide Rechtsräume. Die Tabelle zeigt, welche Vorgaben den Bericht wo prägen; wo keine Vorgabe besteht, steht das ausdrücklich.
| Rechtsraum | Grundlage | Bedeutung für den Bericht | Fundstelle |
|---|---|---|---|
| FinanzD | Nach Störungen der Haupttätigkeiten infolge schwerwiegender IKT-bezogener Vorfälle sind nachträgliche Prüfungen vorgesehen, die Ursachen untersuchen und Verbesserungen identifizieren; Änderungen werden der Behörde auf Verlangen mitgeteilt. | Für FinanzD Pflicht; die vier Prüfpunkte oben stammen aus dieser Vorschrift und sind nicht abschliessend. | Art. 13 Abs. 2 DORA ↗ |
| FinanzD | Ursachen IKT-bezogener Vorfälle werden ermittelt, dokumentiert und angegangen, um Wiederholungen zu verhindern. | Ursachen im Review dokumentieren und Massnahmen nachverfolgen. | Art. 17 Abs. 2 DORA ↗ |
| Deutschland | Die Abschlussmeldung enthält die wahrscheinliche Ursache und die getroffenen und laufenden Abhilfemassnahmen. | Review vor Ablauf der Monatsfrist so weit abschliessen, dass die Abschlussmeldung belastbar ist. | § 32 Abs. 1 Nr. 4 BSIG ↗ |
| FinanzCH | Nach Abschluss der Fallbearbeitung wird der FINMA ein dem Schweregrad entsprechender abschliessender Ursachenbericht eingereicht; je höher der Schweregrad, desto mehr verlangt die FINMA, etwa Gründe für den Erfolg der Attacke, Auswirkungen und Minderungsmassnahmen. | Review als Grundlage des Ursachenberichts nutzen. | FINMA-RS 2023/1; FINMA-AM 05/2020 und 03/2024 ↗ |
| Norm | Erkenntnisse aus Vorfällen werden genutzt, um Massnahmen zu stärken und zu verbessern. | Review als festen Prozessschritt einführen. | ISO/IEC 27001:2022, Anhang A 5.27; NIST SP 800-61 Rev. 3 ↗ |
Häufige
Fehler.
FehlerSchuldsucheWer Personen beschuldigt, bekommt beim nächsten Vorfall weniger Informationen.
FehlerMassnahmen ohne EignerEine Verbesserung ohne Eigner und Termin wird nicht umgesetzt.
FehlerNur TechnikProzess, Entscheidungswege und Kommunikation sind häufiger Ursache als ein einzelnes System.
FehlerKeine WirksamkeitskontrolleOb eine Massnahme wirkt, zeigt erst der nächste Test oder Vorfall. Das Kriterium dafür gehört in den Review.
Passende
Werkzeuge.
Diese Werkzeugklassen liefern Daten oder Nachweise für den Bericht. Einordnung und Produktvergleich stehen auf den verlinkten Seiten.
WerkzeugIncident ResponseLiefert den Ablauf der Bearbeitung als Grundlage der Analyse.WerkzeugDetection EngineeringSetzt verbesserte Erkennungsregeln aus dem Review um.WerkzeugRecovery TestingBelegt, ob die nach dem Vorfall angepasste Wiederherstellung tatsächlich funktioniert.WerkzeugCrisis ManagementBildet Entscheidungen und Eskalation der Krisenorganisation ab.
Einordnung. Die Seite beschreibt Aufbau und Mindestinhalte des Berichts. Sie ersetzt keine Rechtsberatung; ob und in welcher Rolle ein Regelwerk gilt, hängt vom Geltungsbereich ab. Weiter: Incident Report →, Lessons Learned Report →, Werkzeuge Incident Response →.