CSIRT: Aufgaben, Aufbau und Unterschied zu CERT und SOC

Was ist ein CSIRT?

Ein CSIRT ist das Notfallteam für Cyberangriffe und andere Sicherheitsvorfälle. Es weiß, was im Ernstfall zu tun ist, wer informiert werden muss und wer welche Entscheidungen trifft. So wird aus einem chaotischen Angriff ein geordneter Ablauf.

Ein Beispiel: Am Montagmorgen sind viele Dateien verschlüsselt, auf den Bildschirmen steht eine Lösegeldforderung. Ohne Plan rufen alle durcheinander, und wichtige Spuren gehen verloren. Ein CSIRT trennt die betroffenen Systeme vom Netz, sichert Beweise, informiert die Geschäftsführung und prüft die Meldepflichten. Parallel plant es mit der IT die Wiederherstellung aus den Backups.

Ein CSIRT kann für ein einzelnes Unternehmen zuständig sein, für eine Branche, für die Kunden eines Herstellers oder für ein ganzes Land.

CSIRT, CERT und SOC

• CSIRT: der allgemeine Begriff. Ihn verwendet zum Beispiel die EU in ihren Richtlinien zur Cybersicherheit.
• CERT: steht für Computer Emergency Response Team. Das erste CERT entstand 1988 an der Carnegie Mellon University, nachdem der Morris-Wurm viele Rechner im damaligen Internet lahmgelegt hatte. CERT ist dort als Marke geschützt. Viele Teams tragen den Namen mit Erlaubnis.
• SOC: ein Security Operations Center überwacht die IT laufend und erkennt Auffälligkeiten. Das CSIRT übernimmt, wenn daraus ein ernster Vorfall wird.

Arten von CSIRTs

• Internes CSIRT: zuständig für die eigene Organisation, etwa ein Unternehmen oder eine Hochschule.
• Nationales CSIRT: zuständig für ein Land. In Deutschland übernimmt das CERT-Bund beim BSI diese Rolle.
• Sektorales CSIRT: zuständig für eine Branche, etwa Banken, Energie oder Gesundheit.
• PSIRT: das Product Security Incident Response Team eines Herstellers. Es kümmert sich um Schwachstellen in den eigenen Produkten.
• Dienstleister: externe Teams, die im Auftrag mehrerer Kunden bei Vorfällen helfen.

In der EU arbeiten die nationalen CSIRTs in einem eigenen Netzwerk zusammen. Weltweit sind viele Teams in der Vereinigung FIRST (Forum of Incident Response and Security Teams) organisiert. Über solche Netzwerke tauschen die Teams Warnungen, Werkzeuge und Erfahrungen aus.

Aufgaben eines CSIRT

Reaktive Aufgaben

• Meldungen zu Vorfällen annehmen und bewerten
• Vorfälle analysieren und den Angriff eindämmen
• Betroffene Systeme bereinigen und den Betrieb wiederherstellen
• Interne und externe Kommunikation koordinieren
• Beweise sichern und mit Forensik-Fachleuten zusammenarbeiten

Vorbeugende Aufgaben

• Warnungen zu neuen Bedrohungen und Schwachstellen herausgeben
• Den Incident-Response-Plan pflegen
• Übungen durchführen, etwa Planspiele am Tisch (Tabletop-Übungen)
• Mitarbeitende schulen und das Meldewesen bekannt machen

So arbeitet ein CSIRT: die Phasen eines Vorfalls

Viele Teams folgen einem Ablauf in vier Phasen. Bekannt wurde er durch den Leitfaden SP 800-61 (Revision 2) des US-amerikanischen NIST:

1. Vorbereitung: Rollen, Pläne, Werkzeuge und Kontakte stehen bereit, bevor etwas passiert.
2. Erkennung und Analyse: Ein Hinweis kommt herein, etwa vom SOC. Das Team prüft, ob es ein echter Vorfall ist und wie schwer er wiegt.
3. Eindämmung, Beseitigung und Wiederherstellung: Betroffene Systeme werden isoliert, der Angreifer wird entfernt und der Betrieb läuft wieder an.
4. Nachbereitung: Das Team klärt mit einer Root Cause Analysis die Ursache und leitet Verbesserungen ab.

Mehr zum gesamten Ablauf lesen Sie unter Incident-Response-Management.

Rollen im CSIRT

• Leitung: koordiniert den Einsatz und trifft Entscheidungen, oft in Abstimmung mit der Geschäftsführung.
• Analysten: werten Hinweise aus und untersuchen betroffene Systeme.
• Forensik: sichert Spuren gerichtsfest. Siehe Forensik.
• IT-Betrieb: setzt technische Maßnahmen um, etwa das Sperren von Konten.
• Kommunikation: informiert Mitarbeitende, Kunden und gegebenenfalls die Presse.
• Recht und Datenschutz: prüfen Meldepflichten, etwa an die Datenschutzbehörde oder nach NIS-2 an das BSI.

CSIRT und NIS-2

Die NIS-2-Richtlinie verpflichtet die EU-Staaten, nationale CSIRTs zu benennen. Betroffene Unternehmen müssen erhebliche Sicherheitsvorfälle in festen Fristen melden: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Ein eigenes CSIRT oder zumindest klare Zuständigkeiten sind dafür die Grundlage.

Ein CSIRT aufbauen

1. Auftrag festlegen: Für welche Systeme und Vorfälle ist das Team zuständig, und was darf es entscheiden?
2. Rollen besetzen: intern, extern oder gemischt. Für jede Rolle gibt es eine Vertretung.
3. Erreichbarkeit sichern: Notfallnummern und Meldewege, die auch funktionieren, wenn E-Mail und Netz ausfallen.
4. Pläne und Checklisten: für typische Fälle wie Ransomware, Phishing oder Datenabfluss.
5. Üben: mindestens einmal im Jahr einen Ernstfall durchspielen.
6. Partner vorab klären: externe Dienstleister, Rechtsberatung und Versicherung, bevor es brennt.

Kleinere Unternehmen brauchen dafür keine eigene Abteilung. Oft reicht ein virtuelles Team aus IT, Geschäftsführung und Datenschutz, ergänzt durch einen externen Incident-Response-Dienstleister.

Fazit

Ein CSIRT sorgt dafür, dass ein Sicherheitsvorfall nicht im Chaos endet. Es erkennt, analysiert und stoppt Angriffe, stellt den Betrieb wieder her und sorgt dafür, dass Lehren gezogen werden. Ob als eigene Abteilung, virtuelles Team oder mit externer Hilfe: Entscheidend sind klare Zuständigkeiten, geübte Abläufe und kurze Wege.