Vorbereitet sein, bevor der Vorfall eintritt

Weil Erkennung und Reaktion dort aufhören, wo Forensik beginnt. Die Überwachung verpflichtet sich darauf, etwas zu finden, einzuschätzen und — wo Befugnis und Werkzeuge bestehen — einzudämmen. Was sie nicht abdeckt, ist die Arbeit danach: ein Gerät forensisch sichern und ordentlich untersuchen, feststellen, wie der Zugang gelang, ermitteln, welche Daten tatsächlich abgeflossen sind, und eine Untersuchung so führen, dass eine Behörde, ein Versicherer oder ein Gericht sie akzeptiert. Die Bereitschaft beseitigt zudem die größte Verzögerung eines Vorfalls, und die ist nicht technisch: mit einer Firma über Konditionen zu verhandeln, mit der Sie nie einen Vertrag hatten, während Ihre Systeme verschlüsselt werden.

Die Reaktionszusage steht in Ihrem Vertrag und nicht als eine Zahl für alle, denn sie hängt davon ab, was Sie kaufen und wo Sie sind. Haltbar wird jede Zahl durch die Vorbereitung, nicht durch das Versprechen: Wer einen Vorfall melden darf, ist vorab benannt, die Kanäle sind vereinbart, der Fernzugang ist eingerichtet, bevor irgendetwas passiert, und die Konditionen sind bereits unterschrieben. Wer ohne das anrückt, verbringt den ersten Tag mit Papier und Zugangsdaten — unabhängig davon, was im Angebot stand. Nennt Ihnen ein Anbieter eine feste Stundenzahl, fragen Sie, was geschieht, wenn er sie verfehlt.

Nein, und die Bereitschaft ist so gebaut, dass es das nicht ist. Bis zur Hälfte der ungenutzten Stunden eines Jahres wird ins nächste übertragen. Die Stunden sind auch nicht auf Vorfälle beschränkt — sie können in proaktive Arbeit fließen, etwa Purple Teaming oder Phishing-Tests. Und das Mandat läuft im Quartalsrhythmus, ob etwas passiert oder nicht: eine Durchsprache, die den Zeitraum durchgeht und die klein wirkenden Ereignisse auswählt, die eine richtige Untersuchung verdienen, dazu eine quartalsweise Bedrohungsberichterstattung. Im ruhigen Jahr entsteht die Routine — und genau die soll vor einem lauten Jahr bereits vorhanden sein.

Je nachdem, wo Sie sind: die eigenen Fachleute von Spirity oder die unseres Partners — das Team wird zum Kunden zusammengestellt und nicht aus einem Land entsandt. Bei der Inbetriebnahme erhalten Sie eine benannte Einsatzleitung als direkten Ansprechpartner, und ein Auftaktgespräch klärt, wer auf beiden Seiten beteiligt ist und wie man sich um zwei Uhr morgens erreicht. Die Arbeit ist bewusst fernzugriffsbasiert: Zugänge werden im Voraus eingerichtet, damit die Reaktion mit der Untersuchung beginnt und nicht mit einer Rechteanforderung.

Dafür gibt es Spezialisten, und es geschieht nur, wenn Sie uns darum bitten, für den konkreten Fall — nie als Voreinstellung. Wo es geschieht, ist der Zweck zuerst ein untersuchender: Was hat der Angreifer wirklich, was wurde tatsächlich mitgenommen, und welche Hinweise lassen sich aus dem Austausch gewinnen. Ob gezahlt wird, ist nicht unsere Entscheidung, und wir stellen sie auch nicht so dar. Das gehört Ihrer Geschäftsführung, gemeinsam mit Ihren Rechtsberatern und Ihrem Versicherer. Was die Bereitschaft liefert, ist das technische Bild, auf dem diese Entscheidung beruhen muss — an einem Punkt, an dem Sie sonst raten würden.

Vier Dinge, und sie sind die erste Phase des Mandats, kein Papierkram. Wer einen Vorfall melden darf und über welche Kanäle er erreichbar ist. Eine Begehung Ihrer Systeme und Sicherheitskonfiguration, schriftlich festgehalten, damit das Team am Tag X daraus arbeitet und sie nicht während des Vorfalls kennenlernt — und wenn dabei etwas auffällt, das geändert gehört, sagen wir das. Im Voraus eingerichteter Fernzugang. Und eine Beweismittelübung, in der wir mit Ihrer IT bestimmen, welche Nachweise tatsächlich verlangt werden, und prüfen, ob sie in brauchbarer Form herauskommen. Genau diese Übung lassen die meisten aus und bereuen es am häufigsten.

Zu allen drei Punkten ja — und die Untersuchung wird unter der Annahme geführt, dass sie von der Sachverständigen der Gegenseite gelesen wird. Das Team hat Erfahrung darin, eine Untersuchung vom ersten Sondierungsgespräch bis in ein Gerichtsverfahren zu tragen, einschließlich Zeugenaussage, und dem Partner hinter dieser Praxis vertrauen mehr als zwanzig Cyberversicherer diese Arbeit für ihre Versicherten an. Wir arbeiten neben Ihren Rechtsberatern und Ihrem Versicherer, nicht an ihnen vorbei — und das Einbinden anwaltlicher Vertretung klärt die Vorbereitung vor einem Vorfall, nicht mitten darin.

Sie werden isoliert gehalten. Abbilder werden in einen separaten, diesem Kunden zugeordneten Mandanten hochgeladen und dort ausgewertet — nicht zusammengelegt und nicht neben den Beweismitteln anderer. Die Auswertung selbst läuft in einer vorbereiteten forensischen Umgebung, die in unserer privaten Cloud liegen oder in Ihrer eigenen Umgebung aufgesetzt werden kann, wenn Ihnen lieber ist, dass die Beweismittel diese gar nicht erst verlassen. Die zweite Möglichkeit lohnt sich früh anzusprechen: In manchen Organisationen wird daraus ein kurzes Gespräch mit der eigenen Rechts- und Datenschutzabteilung statt eines schwierigen.

Es trägt bei; es erfüllt sie nicht. Beide Regelwerke erwarten dokumentierte und geübte Vorfallbehandlung, und eine Bereitschaft mit benannten Ansprechpartnern, vereinbarten Konditionen, vorab eingerichteten Zugängen, geprüften Nachweisen und einer Quartalsdurchsprache ist ein guter Beleg dafür, dass Sie vorbereitet sind. Was sie nicht ist: die Erfüllung selbst — und sie meldet nichts für Sie. Die Meldepflichten und ihre Fristen bleiben bei Ihnen, und ob sie überhaupt gelten, hängt von Branche und Einstufung ab. Wer Ihnen sagt, eine Bereitschaft mache Sie NIS2-konform, verkauft, statt zu beraten.

Das für das Jahr enthaltene Kontingent an Expertenstunden. Ein größeres Kontingent kostet mehr und macht jede weitere Stunde günstiger — die Wahl der Stufe ist also eine Einschätzung, wie viel Untersuchung Sie sich wünschen, und nicht nur, wie viele Vorfälle Sie erwarten. Die Laufzeit beträgt zwölf Monate, und die forensische Umgebung gehört zur Pauschale, statt bei jeder Nutzung gesondert berechnet zu werden.