Grundschutz++ Sicherheitsvorfallsbehandlung: die Praktik REA erklärt
Grundschutz++ Sicherheitsvorfallsbehandlung: was die Praktik REA zu Triage, Forensik, Kommunikation und Nachbereitung verlangt und wie Sie vorsorgen.
Die Grundschutz++ Sicherheitsvorfallsbehandlung beschreibt, was passiert, nachdem ein Sicherheitsvorfall bemerkt wurde: ein gehacktes E-Mail-Postfach, ein Schadprogramm auf einem Rechner, ein Datenabfluss. Die Praktik «Sicherheitsvorfallsbehandlung» (Kürzel REA) im neuen IT-Grundschutz des BSI regelt, wie solche Vorfälle eingeordnet, untersucht, behoben und nachbereitet werden.
Warum das wichtig ist
Bei einem Vorfall zählt jede Stunde. Wer erst dann überlegt, wer zuständig ist, ob Behörden informiert werden müssen und welche Spuren zu sichern sind, verliert Zeit und macht Fehler. Ein vorbereitetes Vorgehen begrenzt den Schaden und hilft, gesetzliche Meldepflichten einzuhalten.
Was verbindlich ist
Verpflichtend ist ein festgelegtes Vorgehen zur Behandlung von Sicherheitsvorfällen, das aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft wird. Empfohlen sind unter anderem eine Einstufung jeder Meldung nach Dringlichkeit, eine Dokumentation des Vorfalls, rechtssichere Beweissicherung, ein Vorgehen zur Ursachenanalyse, eine geregelte Kommunikation einschließlich der Information zuständiger Behörden, eine Eskalationsleiter und das Lernen aus Vorfällen.
Der erste Schritt
Schreiben Sie auf einer Seite auf, wer bei einem Vorfall entscheidet, wer technisch hilft (intern oder Dienstleister), wann die Geschäftsleitung einbezogen wird und wer prüft, ob eine Meldung an Behörden nötig ist. Hängen Sie die Kontaktliste dazu, auch auf Papier.
Die Praktik «Sicherheitsvorfallsbehandlung» (REA) ist im Anwenderkatalog Grundschutz++ die reaktive Praktik für Informationssicherheitsvorfälle. Die Beschreibung der Grundschutz++ Sicherheitsvorfallsbehandlung beruht auf dem Katalogstand vom 22. Oktober 2026.
Ziel der Praktik
Der Katalog beschreibt das Ziel so: REA sorgt dafür, «dass Informationssicherheitsvorfälle effizient erkannt, gemeldet, analysiert und behoben werden, um Schäden zu minimieren und den Normalbetrieb so schnell wie möglich wiederherzustellen». Die Praktik ist ausdrücklich reaktiv. Präventiv wirken andere Praktiken, etwa Architektur, Personal und Sensibilisierung.
Die Grenzen zu den Nachbarpraktiken sind klar gezogen. Das Erkennen und Beurteilen von Ereignissen regelt die Detektion (DET). Umfassende Notfälle und Krisen, die über einen Sicherheitsvorfall hinausgehen, behandelt die Notfallplanung (NOT).
Aufbau: drei Gruppen, 23 Anforderungen
| Gruppe | Inhalt |
|---|---|
| REA.1 Grundlagen | Verfahren und Regelungen, Zuständigkeiten, Überprüfung, bei erhöhter Stufe Übungen zur Vorfallsbehandlung |
| REA.2 Reaktion | Triage und Erstreaktion, Dokumentation, Diagnosedaten, IT-Forensik und Beweissicherung, Ursachenanalyse und Behandlung, Kommunikation, Information von Behörden, Koordinierung, Eskalation |
| REA.3 Nachbereitung | Verbesserung durch Erkenntnisse, Dokumentation von Art, Umfang und Schäden |
Die verbindlichen MUSS-Anforderungen
REA.1.1 «Sicherheitsvorfallsbehandlung MUSS Verfahren und Regelungen zur Behandlung von Sicherheitsvorfällen verankern.»
REA.1.1.1 «Sicherheitsvorfallsbehandlung MUSS die Verfahren und Regelungen dokumentieren.»
REA.1.1.2 «Sicherheitsvorfallsbehandlung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
REA.1.1.3 «Sicherheitsvorfallsbehandlung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
REA.1.2 «Sicherheitsvorfallsbehandlung MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»
Wichtige SOLLTE-Anforderungen
SOLLTE bedeutet nach der BSI-Definition, dass eine Anforderung normalerweise erfüllt werden muss; Abweichungen sind sorgfältig abzuwägen und stichhaltig zu begründen.
REA.2.1 «Sicherheitsvorfallsbehandlung SOLLTE Meldungen einer Priorität zuweisen.»
REA.2.3 «Sicherheitsvorfallsbehandlung SOLLTE den Vorfall dokumentieren.»
REA.2.5.1 «Sicherheitsvorfallsbehandlung SOLLTE rechtlich relevante Beweise rechtssicher dokumentieren.»
REA.2.6 «Sicherheitsvorfallsbehandlung SOLLTE eine Vorgehensweise zur Ursachenanalyse und Behandlung verankern.»
REA.2.6.2 «Sicherheitsvorfallsbehandlung SOLLTE eine Vorgehensweise zur Kommunikation bei Vorfällen unter Berücksichtigung von Compliance-Verpflichtungen, Bedürfnissen der interessierten Parteien und der Geschäftsziele verankern.»
REA.2.6.2.1 «Sicherheitsvorfallsbehandlung SOLLTE bei Vorfällen die zuständigen Behörden im Einklang mit den Compliance-Verpflichtungen informieren.»
REA.2.6.5 «Sicherheitsvorfallsbehandlung SOLLTE eine Eskalationsleiter verankern.»
REA.3.1 «Sicherheitsvorfallsbehandlung SOLLTE bisherige Maßnahmen anhand von Erkenntnissen aus Informationssicherheitsvorfällen regelmäßig überprüfen.»
REA.2.6.2.1 begründet keine eigene Meldepflicht, sondern verweist auf die bestehenden Compliance-Verpflichtungen. Welche Meldepflichten gelten, etwa nach Datenschutzrecht oder für NIS-2-pflichtige Einrichtungen, ergibt sich aus dem jeweiligen Recht.
Normale und erhöhte Sicherheitsstufe
17 Anforderungen gehören zur Standard-Sicherheitsstufe «normal-SdT» (5 MUSS, 12 SOLLTE), 6 zur Stufe «erhöht». Eine davon ist als SOLLTE formuliert:
REA.2.5 «Sicherheitsvorfallsbehandlung SOLLTE eine forensische Analyse bei Vorfällen, die bestimmte Kriterien erfüllen, ausführen.»
Die rechtssichere Beweissicherung (REA.2.5.1) gehört dagegen schon zur Standard-Stufe.
Die übrigen fünf Anforderungen der erhöhten Stufe sind KANN-Anforderungen, also nach BSI je nach Situation und Risikoanalyse sinnvoll: Übungen zur Vorfallsbehandlung (REA.1.3), eine automatische Erstreaktion (REA.2.2), das Vier-Augen-Prinzip in der Forensik (REA.2.5.2), die vereinbarte Bereitschaft eines Forensik-Dienstleisters binnen einer Frist (REA.2.5.3) und Service Level (REA.2.6.4).
Typische Nachweise
- Behandlung von Sicherheitsvorfällen (14 Anforderungen): Vorfallsdokumentation, Priorisierung, Diagnose, Forensik, Kommunikation, Koordinierung, Eskalation, Erkenntnisse
- Prozess Behandlung von Sicherheitsvorfällen: das festgelegte Verfahren selbst (REA.1.1)
- außerdem IT-Betriebskonzept, Geschäftsverteilungsplan, Arbeitsanweisung zur Ursachenanalyse, Übungsplan, Übungs- und Prüfplan, Konfigurationshistorie (automatische Erstreaktion) und eine Liste der Hersteller und Dienstleister (Forensik-Dienstleister)
Betroffene Zielobjekte
Keine Anforderung der Praktik REA ist auf ein bestimmtes Zielobjekt eingeschränkt. Sie gelten für die Vorfallsbehandlung im gesamten Informationsverbund.
Bezug zum bisherigen IT-Grundschutz
Im Kompendium 2023 war die Vorfallsbehandlung vor allem im Baustein DER.2.1 Behandlung von Sicherheitsvorfällen beschrieben, die Forensik in DER.2.2 Vorsorge für die IT-Forensik. Der Mapping-Entwurf des BSI ordnet Anforderungen aus beiden Bausteinen der Praktik REA zu. REA ist im Grundschutz++ mit 23 Anforderungen eine der kompakteren Praktiken.
Grundschutz++ Sicherheitsvorfallsbehandlung im kleinen Unternehmen
- Verfahren auf einer Seite: Zuständige mit Vertretung, Meldeeingang (Verbindung zur Detektion), Kriterien für die Priorität, Entscheidungsbefugnisse, Kontaktliste. Das erfüllt die MUSS-Anforderungen im Kern.
- Prioritäten einfach halten: etwa drei Stufen, die sich daran orientieren, ob Geschäftsprozesse stehen, personenbezogene Daten betroffen sind oder ein Angreifer noch aktiv sein könnte.
- Vorfallsprotokoll vorbereiten: eine Vorlage mit Zeitpunkt, Meldendem, betroffenen Systemen, Maßnahmen und Entscheidungen. Im Ernstfall wird sie fortlaufend ausgefüllt.
- Beweise sichern: Grundregeln für Beschäftigte und Dienstleister festlegen, etwa betroffene Systeme vom Netz trennen statt ausschalten, nichts löschen, Protokolle sichern.
- Externe Hilfe klären: Welcher Dienstleister hilft im Vorfall? Gibt es eine Cyber-Versicherung mit Hotline? Eine vertraglich zugesicherte Reaktionszeit eines Forensik-Dienstleisters ist eine Option der erhöhten Stufe (REA.2.5.3).
- Meldepflichten vorab prüfen: wer entscheidet, ob eine Meldung an Datenschutzaufsicht oder BSI nötig ist, und welche Fristen gelten.
- Nachbereiten: nach jedem relevanten Vorfall kurz festhalten, was passiert ist, welcher Schaden entstand und welche Maßnahmen geändert werden.
Häufige Fragen
Was ist der Unterschied zwischen Sicherheitsvorfall und Notfall?
Der Katalog unterscheidet die Praktiken: REA behandelt Informationssicherheitsvorfälle operativ, NOT adressiert umfassende Notfälle und Krisen und ist strategisch und organisatorisch breiter. Ein schwerer Sicherheitsvorfall kann zum Notfall werden. Dann greifen beide Verfahren ineinander.
Müssen wir bei jedem Vorfall eine forensische Analyse durchführen?
Nein. REA.2.5 sieht eine forensische Analyse bei Vorfällen vor, die bestimmte Kriterien erfüllen, und ist der erhöhten Stufe zugeordnet. Die Kriterien legen Sie selbst fest. Rechtlich relevante Beweise rechtssicher zu dokumentieren (REA.2.5.1) gehört dagegen schon zur Standard-Stufe.
Wann müssen Behörden informiert werden?
REA.2.6.2.1 empfiehlt, die zuständigen Behörden im Einklang mit den Compliance-Verpflichtungen zu informieren. Die konkreten Pflichten und Fristen ergeben sich aus dem jeweils geltenden Recht, etwa dem Datenschutzrecht oder den Regelungen für NIS-2-pflichtige Einrichtungen.
Welche Unterlagen brauchen wir für REA?
Vor allem eine Prozessbeschreibung zur Behandlung von Sicherheitsvorfällen und die Dokumentation der einzelnen Vorfälle. Der Katalog nennt außerdem Geschäftsverteilungsplan, Arbeitsanweisung zur Ursachenanalyse und Übungs- und Prüfplan.
Quellen
- BSI: Grundschutz++
- BSI: Stand-der-Technik-Bibliothek auf GitHub (Anwenderkatalog Grundschutz++)
- BSI: Definition der Modalverben MUSS, SOLLTE, KANN (Stand-der-Technik-Bibliothek)
- BSI: Baustein DER.2.1 Behandlung von Sicherheitsvorfällen, Edition 2023 (PDF)
- BSI: IT-Sicherheitsvorfall, Hilfe für Unternehmen