Modul 9 - Vorfallmanagement & DORA-Meldefristen

Die 4-Stunden-Uhr beginnt

Es ist Sonntag, 21:47 Uhr. Im SOC der xbank klingelt der Bereitschafts- Handy. Tier-1 hat eine ungewöhnliche Lateral-Movement-Spur von einem Server in der Kreditabteilung Richtung interner Domain-Controller gesehen. Ein RAT-Indikator passt zur Threat-Intel-Liste, die das CSIRT letzte Woche gefiltert hatte.

22:15 Uhr — Der diensthabende CSIRT-Analyst übernimmt. Erste Forensik zeigt: ja, das ist ein bestätigter IS-Vorfall. Mehrere Konten kompromittiert. Bisher noch kein nachgewiesener Datenabfluss, aber das Risiko ist erheblich.

22:48 Uhr — Der Incident Manager der Bank weckt den CISO. Gemeinsam wird gegen die DORA-Klassifizierungskriterien geprüft. Die Bewertung: „schwerwiegender IKT-Vorfall” nach DORA Art. 18. Die Kreditabteilung ist eine kritische Funktion, das Konzentrationsrisiko auf einen Domain-Controller hoch.

23:15 Uhr — Klassifizierung steht. Damit beginnt die 4-Stunden-Uhr für die Erstmeldung an die BaFin. Sie endet um 03:15 Uhr Montag früh.

Was passiert in diesen vier Stunden? Wer schreibt was? An wen geht die Meldung, in welchem Format? Welche Inhalte sind Pflicht? Wer eskaliert an den Vorstand? Genau diese Workflow-Frage beantwortet Modul 9.

Drei Stufen der Klassifizierung

Vor allem anderen steht die Frage: Was haben wir hier eigentlich? ISO 27035 unterscheidet drei Stufen, mit klaren Übergangs-Kriterien:

Die Klassifizierung ist die wichtigste Audit-Entscheidung im gesamten Vorfallmanagement — sie löst die DORA-Meldepflicht aus, aktiviert die Eskalation an den Vorstand und schreibt den Krisenstab zwingend zusammen. Eine falsche oder verspätete Klassifizierung kann nachträglich zur Sanktion durch die Aufsicht führen.

Der ISO-27035-Prozess in 5 Phasen

Hinter jedem Vorfall steckt derselbe fünfphasige Lifecycle:

Wichtig ist: Phase 1 (Plan & Prepare) passiert vor jedem Vorfall — sie ist die Voraussetzung dafür, dass die anderen vier Phasen im Krisenfall überhaupt funktionieren. Eine Bank ohne Playbooks, ohne geübtem CSIRT, ohne klar definierte Schweregrade kann im Ernstfall nichts liefern.

Schweregrad-Matrix S1–S4

Innerhalb der Klassifizierungs-Phase wird einem Vorfall ein Schweregrad zugewiesen. In Banken hat sich die S1-S4-Skala etabliert:

Drei Dimensionen fließen in die Bewertung ein:

• CIA-Auswirkungen — Vertraulichkeit, Integrität, Verfügbarkeit
• Asset-Reichweite — Anzahl betroffener Systeme, Kritikalität, Ausbreitungsgrad
• Regulatorik-Trigger — DORA-Meldepflicht, DSGVO-Datenpanne, Reputationsrisiko

Die Matrix ist in jedem ISMS-Handbuch dokumentiert und im jährlichen Tabletop-Exercise geübt.

DORA-Meldefristen vertieft (Art. 17–23)

Wir hatten in Modul 6 die drei Meldestufen kurz gesehen. Hier die Detail-Ansicht, wie sie in der Praxis durchlaufen wird:

Wann beginnt die 4-Stunden-Uhr genau?

Die häufigste Audit-Falle in deutschen Banken. Die richtige Antwort:

• Nicht ab Erkennung des Vorfalls
• Nicht ab Eskalation an den CISO
• Sondern: ab Klassifizierung als „schwerwiegender IKT-Vorfall” im Sinne von DORA Art. 18.

Mit einer harten Obergrenze: Spätestens 24 Stunden nach Erkennung muss die Klassifizierungs-Entscheidung gefallen sein. Wer das hinauszögert, hat regulatorisch ein Problem — die Aufsicht wird nachträglich prüfen, ob die Klassifizierung „mit angemessener Sorgfalt” und „zeitnah” erfolgte.

Was muss in die Erstmeldung?

Die Erstmeldung wird über das BaFin-Meldeportal eingereicht. Pflichtinhalte nach RTS zur DORA-Meldung:

• Identifikation der Bank und Ansprechperson (typischerweise CISO)
• Zeitpunkt der Erkennung und Zeitpunkt der Klassifizierung
• Betroffene IKT-Systeme und Geschäftsfunktionen
• Vorläufige Bewertung der Auswirkungen auf Kunden, Geschäftsbetrieb, Markt
• Erste Eindämmungs- und Mitigationsmaßnahmen
• Stand der Ursachenermittlung (im Erstbericht oft noch unklar)
• Erste Bewertung der Außenkommunikation (sind Kunden zu informieren?)

Das CSIRT — fünf Rollen im Krisenstab

Im Ernstfall arbeitet das CSIRT nach einem klar definierten Rollen-Modell. In kleinen Banken in Personalunion, in größeren Häusern mit eigenen Personen besetzt:

Der Incident Manager ist die wichtigste Rolle — er/sie koordiniert alles, hält Kontakt zur 2L und entscheidet über Eskalation an den Vorstand. In den meisten Banken ist der Incident Manager nicht der CISO selbst (der wäre dann zu sehr im operativen Kleinklein), sondern ein erfahrener Senior aus dem CSIRT, der direkt an den CISO berichtet.

CSIRT in kleinen Banken — die virtuelle Rolle

In der Realität haben die wenigsten Förderbanken ein eigenständiges CSIRT mit eigenen Stellen. Sobald die Bank kleiner ist als ein paar hundert Mitarbeiter, lohnt sich der 24/7-Schichtbetrieb wirtschaftlich nicht — und damit ist das SOC fast immer an einen MSSP ausgelagert. Das CSIRT wird dann zur virtuellen Rolle: keine eigenen Köpfe mit dem Titel „CSIRT-Analyst”, sondern ein im Playbook festgeschriebenes Team aus IT-Leitung, ISB und MSSP-Liaison, das im Krisenfall zusammen die fünf CSIRT-Rollen abdeckt.

Wichtig zu verstehen: Die Verantwortung lässt sich nicht auslagern. Der MSSP übernimmt Detection und Tier-1/2-Reaktion, aber die Klassifizierung als „schwerwiegend” (4h-Uhr-Auslöser), die DORA-Meldung an die BaFin, die Krisenkommunikation und die Vorstandseskalation bleiben immer bei der Bank. Der MSSP liefert die technischen Inputs — die regulatorische Entscheidung trifft die 2. Linie.

Tabletop-Exercise — wie das geübt wird

DORA Art. 24-25 verlangt regelmäßige Tests — die wichtigste Übungsform fürs Vorfallmanagement ist das Tabletop-Exercise. Ein realistisches Szenario wird am Konferenztisch durchgespielt, ohne dass echte Systeme betroffen sind. Hier ein durchgespieltes Szenario:

Szenario: Kompromittierter VPN-Account einer Privilegierten

Ausgangslage — Montagmorgen, 09:30 Uhr.

Im SOC läuft ein Alarm: Aus einem ungewöhnlichen Land (Singapur) hat sich eine Mitarbeiterin der IT-Administration per VPN eingeloggt. Sie ist offiziell im Urlaub. MFA wurde korrekt absolviert — was möglich ist, wenn der Angreifer auch das Mobiltelefon kontrolliert.

Was lernen wir aus dem Tabletop?

• Die Klassifizierungs-Entscheidung ist der kritische Moment. Tier 2 wechselt von „Ereignis” zu „Vorfall” — das aktiviert das CSIRT.
• Die Zeit zwischen Eskalation und Klassifizierung muss kurz sein. Im Beispiel: 1 Stunde 30 Minuten.
• Compensating Controls (MFA-Re-Auth weltweit) sind oft die wichtigste Sofort-Maßnahme.
• Communication Lead und Legal arbeiten parallel zum technischen Strang — nicht erst, wenn die Technik fertig ist.

Bank-Beispiele aus Vorfallmanagement-Sicht

Bangladesh Bank 2016 — Hätte die 4h-Uhr geholfen?

Wir hatten in Modul 1 den Vorfall geschichtlich, in Modul 3 als Angriffsklasse behandelt. Aus Vorfallmanagement-Sicht ist das Interessante:

• Klassifizierung zog sich über mehrere Stunden hin — die Bank wusste erst nicht, ob es ein Vorfall oder schon ein Major Incident war.
• Eskalation an Vorstand kam zu spät — Stunden nach dem ersten SWIFT-Alarm der Federal Reserve.
• Externe Meldung an die Aufsicht erfolgte erst, nachdem die Presse bereits berichtete.

Hätte DORA damals gegolten, wäre die 4h-Uhr ab Klassifizierung gelaufen — und vermutlich wäre die Klassifizierungs-Entscheidung selbst zum Audit-Thema geworden.

ICBC Financial Services London 2023 — wie tatsächlich gemeldet wurde

Der LockBit-Angriff vom 8. November 2023 zwang die ICBC binnen Stunden zur Klassifizierung als schwerwiegend — das US-Treasury-Trading war betroffen, eine Markt-Auswirkung sofort gegeben. Was bekannt ist:

• Klassifizierung als „Major Incident” innerhalb von ~2 Stunden nach Detection.
• US-Treasury Department wurde durch die ICBC selbst informiert, parallel zur internen Meldung.
• Externe Forensik (Mandiant) wurde am selben Tag beauftragt.
• Vollständiger Wiederanlauf der Trading-Systeme: ~5 Tage.

ICBC ist als US-Bank-Niederlassung nicht direkt DORA-pflichtig, hatte aber vergleichbare Meldepflichten an SEC und FRB. Funktional sehr ähnlich.

Maersk / NotPetya 2017 — die fünfte Phase als Erfolgsstory

Maersk (siehe Modul 4) ist ein Lehrstück für die fünfte Phase „Learn”:

• Post-Incident-Review wurde sechs Wochen nach dem Vorfall mit externer Begleitung durchgeführt.
• Lessons Learned: BCM-Replikation muss segmentiert sein, Backup-Strategien müssen physisch trennen, Krisenstab-Playbook muss geprobt sein.
• Konkrete Maßnahmen: Maersk veröffentlichte einige Lessons öffentlich — ein Novum in der Branche, das Sicherheitskultur prägt (Vortrag des damaligen CISO Andy Powell auf DEF CON 27).

Maersk ist das positive Gegenstück zu Bangladesh: die ersten Phasen liefen schwach (Detection, Klassifizierung dauerten lang), die fünfte Phase war exzellent — und genau das hat das Unternehmen langfristig gerettet.

Verzahnung mit Modul 8 (Three Lines)

In jedem Vorfall greift der bekannte Eskalationspfad aus Modul 8:

• 1L erkennt (SOC), behandelt operativ (CSIRT) — das WIE
• 2L klassifiziert mit, eskaliert, meldet — das WAS-Auslösen
• 3L prüft nach Wochen, ob alles korrekt lief — das OB

Im Krisenfall ist die Trennung der Linien besonders wichtig: Die 1L soll handeln, die 2L soll bewerten und melden, die 3L soll später unabhängig prüfen. Wer im Krisenstab alle drei Rollen gleichzeitig hat, bekommt im Audit Probleme.

Die fünf Merksätze für Modul 9

• 1

  Die 4h-DORA-Uhr beginnt ab Klassifizierung, nicht ab Erkennung — mit harter Obergrenze von 24h zur Klassifizierungs-Entscheidung.

• 2

  Drei Stufen — Ereignis, Vorfall, Major Incident. Die Übergänge sind die kritischen Audit-Momente. Eine falsche Klassifizierung kann nachträglich zur Sanktion führen.

• 3

  Fünf ISO-27035-Phasen. Plan & Prepare passiert vor jedem Vorfall und ist die wichtigste Phase überhaupt. Ohne sie scheitern alle anderen.

• 4

  CSIRT mit fünf klar getrennten Rollen. In kleinen Banken in Personalunion, in großen mit eigenen Köpfen — aber funktional immer getrennt.

• 5

  Die fünfte Phase „Learn” ist nicht optional. Post-Incident-Review und RCA sind Pflicht (DORA Art. 13, 19) und das, was die Bank langfristig stärker macht. Maersk ist das positive Beispiel.