VENTEXCONNECTSECURITAS EX VIGILANTIA
Live-DemoTrust Center
Connect öffnen
InsightsINS-12 / Incident Readiness

Incident Communication Plan: die Checkliste, die vor dem Vorfall fertig sein muss

Ein Kontaktverzeichnis ist noch kein Kommunikationsplan. Der Plan muss unter eingeschränktem Vertrauen aktivierbar, prüfbar und regelmäßig geübt sein.

12 MIN
Direkte Antwort

Ein vollständiger Incident Communication Plan definiert Aktivierungsbedingungen, Entscheidungsrollen, einen unabhängigen Kontaktbaum, Primär- und Ausweichkanäle, erlaubte Daten, ein festes Lageformat, Eskalationszeiten, Beweistrennung sowie Übungs- und Rückkehrverfahren.

Entscheidende Punkte
  • Aktivierung und Rückkehr haben einen benannten Entscheider und einen dokumentierten Zeitpunkt.
  • Jeder Primärkontakt besitzt einen außerhalb des Primärsystems erreichbaren Stellvertreter.
  • Kanalwahl berücksichtigt Ausfall und Kompromittierung als verschiedene Szenarien.
  • Der Plan wird als Zeitlinie geübt und nach jedem Test aktualisiert.
01

01 - Auslöser und Autorität

Der Plan nennt beobachtbare Aktivierungsbedingungen: Ausfall eines Identitätsdienstes, Verdacht auf Konto-Übernahme, Manipulationshinweis, Ransomware-Ereignis oder Entscheidung der Incident-Leitung. Vage Formulierungen wie 'bei Bedarf' verzögern den Wechsel.

Eine primäre und eine stellvertretende Rolle dürfen aktivieren. Zeitpunkt, Grund, betroffener Vertrauensbereich und nächster Review werden sofort protokolliert.

  • Aktivierungskriterien schriftlich und beobachtbar
  • Primäre sowie stellvertretende Entscheidungsrolle
  • Maximale Zeit von Auslöser bis erstem bestätigtem Update
  • Explizite Bedingung für Pause, Eskalation und Rückkehr
02

02 - Kontaktbaum außerhalb des Vorfalls

Kontaktdaten, die nur im betroffenen Verzeichnis oder Postfach liegen, sind im entscheidenden Moment wertlos. Der Plan hält einen minimalen, geschützten Offline- oder Out-of-Band-Kontaktbaum mit Stellvertretungen vor.

CISA empfiehlt Ersatzkontakte und ein Protokoll, wann von Primär- auf Backup-Kontakte gewechselt wird. Die Liste braucht Eigentümerschaft, einen Review-Rhythmus und einen dokumentierten letzten Test.

03

03 - Kanalleiter mit Vertrauensannahmen

Für jeden Kanal werden Zweck, Schutzgrenze und Ausschluss dokumentiert. Telefon kann zur Identitätsbestätigung dienen, ist aber ungeeignet für große Beweisdateien. Ein Messenger kann koordinieren, bleibt aber vom Zustand der Endgeräte und Identitäten abhängig.

Die Kanalleiter ordnet nicht nur nach Komfort, sondern nach verbleibendem Vertrauen: Primärkanal, unabhängiger Ausweichkanal, persönliche Rückfallebene und öffentlicher Statuskanal für freigegebene Kommunikation.

04

04 - Rollen, Freigaben und Updateformat

Für interne Technik, Management, Mitarbeitende, Kunden, Behörden und Medien gelten unterschiedliche Informationsbedürfnisse und Freigaben. Der Plan benennt für jede Zielgruppe Autor, Freigabe und Versandweg.

Ein Standardupdate mit Fakt, Einordnung, Entscheidung und nächstem Zeitpunkt ist schneller zu prüfen als freier Text. Es enthält keine Schuldzuweisung und keine unbestätigte Reichweite.

05

05 - Daten- und Nachweisgrenzen

Der Plan bestimmt, welche Datenklasse über welchen Kanal laufen darf. Zugangsdaten, Geheimnisse, besondere Kategorien personenbezogener Daten und unbereinigte forensische Artefakte benötigen eigene Regeln und gehören in vielen Szenarien nicht in einen allgemeinen Incident Room.

Entscheidungen werden zeitnah festgehalten. Originalbeweise bleiben in einer dafür vorgesehenen Ablage. Kommunikationsprotokoll und Beweisregister referenzieren einander, ohne unnötige Kopien zu erzeugen.

06

06 - Übung, Messung und Pflege

Mindestens einmal pro Jahr und nach wesentlichen Änderungen wird die Aktivierung praktisch geübt; für kritische Abläufe ist ein kürzerer Rhythmus sinnvoll. Gemessen werden Aktivierungszeit, Erreichbarkeit, Identitätsbestätigung, erstes korrektes Update und offene Blocker.

Nach jedem Test erhält jeder Befund Eigentümerschaft und Frist. Ein Plan ohne nachgehaltene Korrekturen ist lediglich dokumentierte Hoffnung.

  • Letzter Kontaktbaum-Test und Anteil erreichbarer Rollen
  • Zeit bis zum autoritativen Raum und ersten Lageupdate
  • Fehlende, falsche oder doppelte Teilnehmer
  • Erfolgreiche Rückkehr mit übernommenen Entscheidungen
FAQ / FACTS

FAQ

Ein Kontaktverzeichnis ist noch kein Kommunikationsplan. Der Plan muss unter eingeschränktem Vertrauen aktivierbar, prüfbar und regelmäßig geübt sein.

Mindestens nach wesentlichen Änderungen und regelmäßig nach dem Schutzbedarf. Kritische Kontakt- und Umschaltwege sollten deutlich häufiger als nur theoretisch geprüft werden.

Ja, aber mit getrennten Zielgruppen, Freigaben und Kanälen. Technische Detailkommunikation und öffentliche Aussagen dürfen nicht unkontrolliert vermischt werden.

Nein. Sie strukturiert die Kommunikationsfähigkeit und muss in das konkrete Incident-, Notfall- und Datenschutzmodell der Organisation eingebettet werden.