Incident Response und Recovery
Betroffene Endpunkte eindämmen, Beweise erhalten und einen verifizierten Wiederanlauf steuern.
Lehrtext · 3 Abschnitte · zuletzt geprüft: 2026-07-30
Die Betriebsfrage
Bei einem verdächtigen Endpunkt konkurrieren Geschwindigkeit, Beweiserhalt und Geschäftsbetrieb. Remote-Aktionen müssen aus einem bestätigten Signal, einer dokumentierten Zuständigkeit und einem klaren Wiederanlaufpfad folgen.
LernzielDu kannst Containment, Untersuchung und Wiederinbetriebnahme so ordnen, dass der Ausfallradius begrenzt und die Entscheidung nachvollziehbar bleibt.
Incident-Kette
Signal und betroffene Identität validieren→Containment nach Freigabe und Dringlichkeit durchführen→Artefakte, Ursache und Umfang untersuchen→Gerät nach Recoverykriterien neu aufbauen oder freigeben
- Isolieren
- Begrenzt Kommunikation; Ausnahmen und Auswirkung auf Fernzugriff vorab verstehen.
- Wipe oder Retire
- Entfernt je nach Aktion Daten oder Managementbeziehung und ist kein Ersatz für Forensik.
- Reprovisioning
- Baut einen überprüfbaren Baselinezustand wieder auf und verlangt eine neue Vertrauensentscheidung.
Sicherheitsgeländer
BetriebsregelBei möglicher Beweisrelevanz nicht reflexartig löschen oder neu aufsetzen. Die Incident-Lead-Entscheidung und die geltenden Forensikverfahren gehen vor.
Ein wieder erreichbares Gerät ist nicht automatisch wieder vertrauenswürdig. Freigabe verlangt den Nachweis von Ursache, Schutzbasis und benötigten Geschäftsverbindungen.
Jetzt anwenden
Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.
Zum Modul →