Kontaktieren Sie uns
Wir von accompio helfen Ihnen gerne.
02.09.2026
Ein Cyberangriff kündigt sich nicht immer mit einem lauten Alarm an. Häufig beginnt er unscheinbar: mit einem kompromittierten Benutzerkonto, einem verdächtigen Login oder einer einzelnen Phishing-Mail.
Bis ein Unternehmen erkennt, dass tatsächlich ein Sicherheitsvorfall vorliegt, können bereits wertvolle Stunden vergangen sein. Genau diese Zeit entscheidet jedoch häufig darüber, wie groß der Schaden am Ende ausfällt. Denn je länger ein Angreifer unentdeckt bleibt, desto mehr Möglichkeiten hat er, sich innerhalb der IT-Umgebung auszubreiten.
Incident Response bezeichnet die strukturierte Reaktion auf einen Sicherheitsvorfall. Die Vorbereitung ist dabei entscheidend: Auffälligkeiten müssen früh erkannt und im Ernstfall ohne Verzögerung bearbeitet werden.
Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec in der accompio Gruppe, erlebt in seiner täglichen Arbeit, wie entscheidend eine schnelle und strukturierte Reaktion auf Sicherheitsvorfälle ist. Im Experteninterview erklärt er, warum Unternehmen häufig zu spät reagieren, welche Fehler in den ersten Stunden eines Cyberangriffs passieren und wie sich die eigene Reaktionsfähigkeit gezielt verbessern lässt.
Im vollständigen Experteninterview spricht Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec (Teil der accompio Gruppe), über seine Erfahrungen mit Sicherheitsvorfällen und erklärt, worauf Unternehmen bei ihrer Incident Response besonders achten sollten.
Viele Unternehmen erkennen einen Angriff erst, wenn die Auswirkungen deutlich sichtbar werden. Thomas Ringhof sieht dafür zwei zentrale Ursachen: Es fehlt an technischer Sichtbarkeit und an klaren internen Abläufen. Sind relevante Log-Daten nicht verfügbar oder bleiben Zuständigkeiten ungeklärt, wird aus einer ersten Auffälligkeit schnell ein Vorfall, auf den niemand rechtzeitig reagiert.
Zu den typischen Ausgangspunkten gehören Phishing und Infostealer-Malware. Im Interview schildert Thomas Ringhof einen Fall, bei dem Angreifer Zugriff auf ein E-Mail-Postfach erhielten, eine bestehende Kommunikation mitlasen und eine Rechnung manipulierten. Das Unternehmen überwies daraufhin einen hohen Betrag auf das falsche Konto.
Ein kompromittiertes Benutzerkonto kann zunächst relativ unauffällig genutzt werden. Angreifer sichern ihren Zugang, schaffen Persistenz und vermeiden Aufmerksamkeit. Erst später führen sie Schadsoftware aus oder verursachen sichtbare Systemausfälle. Wenn der Vorfall dann erkannt wird, können die Angreifer bereits seit Tagen oder Wochen in der IT-Umgebung aktiv sein.
Auch der menschliche Faktor spielt eine Rolle. Ein ungewöhnlicher Login wird mitunter als harmloser Fehler bewertet, weil die erste plausible Erklärung beruhigt. Dieser Confirmation Bias kann dazu führen, dass Warnsignale nicht weiter untersucht und notwendige Eskalationen verzögert werden.
Deshalb beginnt Incident Response bereits mit der Incident Response Readiness. Unternehmen müssen verdächtige Aktivitäten früh erkennen, einordnen und über einen festgelegten Eskalationsweg weitergeben können. Dafür braucht es technische Sichtbarkeit, klare Prozesse und eindeutig benannte Verantwortliche.
Wird ein Sicherheitsvorfall erkannt, muss möglichst schnell geklärt werden: Was ist passiert? Welche Systeme sind betroffen? Welche Benutzerkonten wurden möglicherweise kompromittiert? Und wie weit konnte sich der Angreifer bereits ausbreiten?
In der Praxis entstehen hier häufig Verzögerungen. Verantwortlichkeiten sind nicht eindeutig geklärt, Informationen fehlen oder es ist unklar, welche Maßnahmen zuerst durchgeführt werden müssen. Der Weg von der ersten Beobachtung eines Mitarbeitenden über die IT-Administration bis zur Einstufung als Sicherheitsvorfall muss deshalb vorab definiert sein.
Ein vorbereiteter Incident-Response-Prozess schafft hier Handlungssicherheit. Playbooks legen für typische Szenarien fest, welche Informationen benötigt werden, wer entscheidet und welche Maßnahmen als Erstes erfolgen. Das gilt etwa für kompromittierte Benutzerkonten, verdächtige Logins, Phishing oder erkannte Malware.
So muss im Ernstfall nicht bei null begonnen werden.
Eine schnelle Incident Response setzt voraus, dass Unternehmen überhaupt erkennen können, was in ihrer IT-Umgebung passiert.
Der erste Schritt ist ein zentrales Log-Management. Dabei muss entschieden werden, welche Daten einfließen sollen. Reichen Anmeldedaten aus oder werden auch Ereignisse von Endgeräten, Servern und weiteren Host-Systemen benötigt? Je nach Umgebung kann ein SIEM dabei helfen, diese Informationen zusammenzuführen und Nutzeraktivitäten auszuwerten.
Monitoring macht Auffälligkeiten früh sichtbar. Historische Log-Daten sind außerdem für die digitale Forensik wichtig. Sie können zeigen, wann ein Angreifer erstmals aktiv wurde, welche Zugänge genutzt wurden und welche Systeme anschließend betroffen waren. Ohne diese Daten lässt sich ein Vorfall häufig nur unvollständig rekonstruieren.
Technologie allein reicht allerdings nicht aus. Ein Alarm ist zunächst nur ein Hinweis darauf, dass etwas Auffälliges passiert ist. Danach muss klar sein, wer den Vorfall bewertet, welche Maßnahmen eingeleitet werden und wer informiert werden muss.
Die Folgen eines Sicherheitsvorfalls hängen stark davon ab, wie früh ein Unternehmen reagiert. Die Unternehmensgröße bietet dabei keinen verlässlichen Schutz. Viele Angriffe laufen automatisiert ab und suchen große Adressbereiche nach erreichbaren und verwundbaren Systemen ab.
Ein einzelner kompromittierter Benutzer kann zunächst wie ein begrenztes Problem wirken. Kann der Angreifer den Zugang jedoch nutzen, um weitere Konten oder Systeme zu kompromittieren, wächst der Umfang des Vorfalls. Gleichzeitig wird die spätere Aufarbeitung aufwendiger und schwieriger.
„Wenn ich zu lange warte, dann steigen die Kosten nicht linear, sondern fast multiplikativ.“
Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec
Genau deshalb sollte ein Unternehmen nicht darauf warten, dass ein Angriff eindeutig erkennbar wird. Ziel muss sein, verdächtige Aktivitäten möglichst früh zu erkennen und schnell reagieren zu können.
Eine gute Incident Response beginnt lange vor dem eigentlichen Sicherheitsvorfall. Unternehmen sollten zunächst für ausreichende Sichtbarkeit sorgen und prüfen, welche Systeme und Aktivitäten überwacht werden und welche Log-Daten zur Verfügung stehen.
Darauf aufbauend sollten Verantwortlichkeiten und konkrete Abläufe definiert werden. Für typische Szenarien können Incident-Response-Playbooks festlegen, welche Informationen gesammelt, welche Ansprechpartner eingebunden und welche technischen Maßnahmen eingeleitet werden müssen.
Wichtig ist außerdem, die Prozesse regelmäßig praktisch zu überprüfen. Incident-Response-Simulationen zeigen, ob Meldewege und Entscheidungen im Ernstfall funktionieren. Penetrationstests können zusätzliche Schwachstellen und mögliche Angriffswege sichtbar machen. Die Ergebnisse fließen anschließend in Monitoring, Playbooks und technische Schutzmaßnahmen ein.
Vier Schritte schaffen eine belastbare Grundlage:
Künstliche Intelligenz und Automatisierung können große Mengen an Sicherheitsdaten schneller analysieren und Forensikern erste Leads liefern. Ein Modell kann beispielsweise auf auffällige Zusammenhänge hinweisen und so die erste Sichtung beschleunigen.
Die fachliche Bewertung bleibt entscheidend. Expertinnen und Experten prüfen die Hinweise, ordnen sie in den Unternehmenskontext ein und entscheiden über die nächsten Schritte. So reduziert Automatisierung den Lärm in den Daten und schafft mehr Zeit für die eigentliche Analyse.
Gleichzeitig entwickeln sich die Methoden der Angreifer weiter. Prozesse, Monitoring und Playbooks müssen daher regelmäßig überprüft und angepasst werden.
accompio hilft Unternehmen dabei, ihre IT-Umgebung auf einen Sicherheitsvorfall vorzubereiten.
Incident Response beginnt nicht erst in dem Moment, in dem ein Unternehmen einen Cyberangriff bestätigt. Sie beginnt bereits mit der Vorbereitung.
Wer seine IT-Umgebung überwacht, relevante Log-Daten verfügbar macht, Verantwortlichkeiten definiert und konkrete Szenarien vorbereitet, schafft eine deutlich bessere Grundlage für den Ernstfall.
Denn wenn ein Angriff tatsächlich stattfindet, bleibt keine Zeit für grundlegende Überlegungen.
Reagieren statt hoffen bedeutet deshalb vor allem: vorbereitet sein, sichtbar machen, was passiert, und im entscheidenden Moment handeln können.
Thomas Ringhof ist Incident Responder und digitaler Forensiker bei r-tec (Teil der accompio Gruppe) und bringt Erfahrung mit Sicherheitsvorfällen mit, um Unternehmen auf Cyberangriffe vorzubereiten.
Incident Response bezeichnet die strukturierte Reaktion eines Unternehmens auf einen IT-Sicherheitsvorfall. Ziel ist es, einen Angriff möglichst früh zu erkennen, seine Auswirkungen einzudämmen und den Vorfall anschließend zu untersuchen.
Je länger ein Angreifer unentdeckt bleibt, desto mehr Möglichkeiten hat er, weitere Konten und Systeme zu kompromittieren. Eine schnelle Reaktion kann deshalb helfen, den Umfang und die Auswirkungen eines Sicherheitsvorfalls zu begrenzen.
Ein Incident-Response-Playbook beschreibt konkrete Abläufe für bestimmte Sicherheitsvorfälle. Es legt beispielsweise fest, welche Informationen gesammelt werden müssen, wer verantwortlich ist und welche Maßnahmen als Nächstes erfolgen.
Monitoring und zentrale Log-Daten schaffen die notwendige Sichtbarkeit, um verdächtige Aktivitäten zu erkennen und Sicherheitsvorfälle später forensisch zu untersuchen. Ohne ausreichende Daten ist eine schnelle und fundierte Reaktion deutlich schwieriger.
Unternehmen sollten relevante Log-Daten zentral verfügbar machen, Verantwortlichkeiten eindeutig festlegen und Playbooks für typische Angriffsszenarien vorbereiten. Die Abläufe sollten anschließend regelmäßig praktisch getestet werden.
Häufige Ausgangspunkte sind Phishing, kompromittierte E-Mail-Postfächer und Infostealer-Malware. Angreifer nutzen erbeutete Zugangsdaten, um sich unauffällig in der IT-Umgebung zu bewegen und weitere Systeme oder Konten zu erreichen.
KI kann große Datenmengen analysieren, auffällige Zusammenhänge markieren und Forensikern erste Leads liefern. Die abschließende Bewertung und die Entscheidung über konkrete Maßnahmen bleiben bei den verantwortlichen Fachleuten.
