MHC-11 SOAR-basierte Tier-1-Automation und parallele Reaktions-Playbooks

Auf einen Blick

Operativer Nutzen

Bringt die Reaktion auf eindeutige Vorfälle von Stunden auf Minuten, indem die schnellen, klaren Eindämmungsschritte automatisch ablaufen — Menschen konzentrieren sich auf die mehrdeutigen und schwerwiegenden Fälle. Zielzustand ab Stufe Defined (teilautomatisiert) bzw. Managed (vollautomatisch).

Betroffene Richtlinie

Richtlinie zur Behandlung von Sicherheitsvorfällen (Incident Response).

Abhängigkeiten

setzt verlässliche Erkennung voraus (MHC-05 liefert die Signale); die Automatisierungsschicht selbst muss gehärtet werden.

Aufwandstreiber

hängt davon ab, ob eine SOAR-Plattform selbst betrieben oder als Dienst bezogen wird, und von der Zahl der Playbooks. Der konkrete Aufwand richtet sich nach den Ressourcen der Organisation.

Primäre Kennzahl

Zeit bis zur Eindämmung eines eindeutigen Vorfalls (Mean Time to Containment, MTTC).

Berührte Standards (ohne Erfüllungsanspruch)

ISO/IEC 27002 A.5.24/A.5.26; C5:2026 SIM-02/03; NIS2-DVO Nr. 3.5; DORA Art. 17; NIST SP 800-61 Rev. 3.

Control-Statement

Auf eindeutige Vorfälle reagiert die Organisation mit vordefinierten, SOAR-gestützt mindestens teilautomatisierten Abläufen (Playbooks), die die Eindämmung in unter 60 Minuten einleiten; mehrdeutige oder schwerwiegende Fälle gehen gezielt an Menschen. Die Automatisierungsschicht selbst wird abgesichert. Weiterführende Härtung (Stufe Managed): vollautomatische Eindämmung eindeutiger Vorfälle in unter 10 Minuten sowie regelmäßig geübte Bewältigung mehrerer gleichzeitiger Vorfälle — alternativ ein MDR-Dienst mit vertraglich zugesicherter Reaktionszeit.

Zweck und Bedrohungsbezug

AI-gestützte Angriffe laufen in Maschinengeschwindigkeit ab: Vom ersten Zugriff bis zum Schaden vergehen oft nur Minuten. Eine rein menschliche Reaktionskette — Alarm sichten, bewerten, eskalieren, handeln — ist dafür zu langsam. Zugleich führen Angreifer zunehmend mehrere Angriffe parallel, um die Reaktion zu überlasten. Schutzziel ist, die schnellen, eindeutigen Eindämmungsschritte zu automatisieren, damit sie in Minuten greifen, und auf mehrere gleichzeitige Vorfälle vorbereitet zu sein. Wichtig: Die Automatisierung wird selbst zum Angriffsziel und muss entsprechend geschützt werden.

Wirkung in den Regelwerken

Auf diese Controls und Anforderungen wirkt das MHC. Die Einstufung zeigt, wie stark das jeweilige Control unter KI-gestützten Angriffen an Wirkung verliert.

Alle 93 Controls in der Analysematrix · Alle 45 Controls in der Befundmatrix · Alle 23 Anforderungen der Bausteinfamilie

Reifegrad-Pfad

Initial

Reaktions-Playbooks dokumentiert; manuelle Ausführung.

Defined

SOAR mit teilautomatisierten Playbooks; Zeit bis zur Eindämmung unter 60 Minuten.

Managed

vollautomatische Eindämmung eindeutiger Vorfälle, Zeit unter 10 Minuten; halbjährliche Übungen mit mehreren gleichzeitigen Vorfällen — alternativ ein MDR-Dienst mit vertraglich zugesicherter Reaktionszeit.

Messung und Audit-Nachweis

Kennzahl

Zeit bis zur Eindämmung eines eindeutigen Vorfalls (MTTC; Richtwert: unter 10 Minuten bei hoher Eindeutigkeit).

Nachweis

Playbook-Definitionen und -Protokolle, Nachweis der Härtung der Automatisierungsschicht (Auslöser-Authentisierung, Audit-Trail, Freigaberegeln), Protokolle der Mehrfach-Vorfall-Übungen oder die Dienstleister-SLA.

Nachweislogik (in Anlehnung an ISO/IEC 27001, Clause 9)

dokumentiert? — Incident-Response-Richtlinie, Playbooks; verantwortlich? — Sicherheitsbetriebs-/SOC-Leitung; Häufigkeit? — fortlaufend, Übungen mindestens halbjährlich; Toleranz? — keine automatische Aktion mit großer Schadwirkung ohne menschliche Freigabe.

Typische Fehler

• Es wird breit automatisiert, ohne die Automatisierungsschicht zu schützen; nicht authentisierte Auslöser oder Fehlalarm-Fluten lösen ungewollte Eindämmungen aus.
• Weitreichende Aktionen laufen ohne menschliche Freigabe; ein Fehlalarm sperrt dann viele Konten oder isoliert ganze Netzbereiche.
• Es gibt Playbooks, aber keine Übung für mehrere gleichzeitige Vorfälle; im Ernstfall überlastet ein paralleler Angriff die Reaktion.
• Die Playbooks werden nicht wie Quellcode gepflegt (keine Versionierung, kein Review); Fehler und Manipulationen bleiben unbemerkt.

Abgrenzung und Restrisiko

Abgrenzung

betrifft die Reaktion auf erkannte Vorfälle; das Erkennen selbst behandelt MHC-05, die laufende Compliance-Prüfung MHC-10.

Restrisiko

Die Automatisierung kann zum Ziel werden — Angreifer können Auslösebedingungen erkunden, gezielt Fehlalarme provozieren oder Eindämmungsaktionen gegen die eigene Organisation richten; ohne die beschriebene Härtung ist die Maßnahme nicht wirksam.

Wirksamkeitsgrenze

SOAR ersetzt nicht belastbare Detection, Asset-Kontext und Incident-Governance. Automatisierung wirkt erst, wenn Auslöser, Datenqualität, Kritikalitätslogik, Freigaberegeln und Rückfallpfade definiert und getestet sind; Aktionen mit potenziell hoher Schadwirkung sehen standardmäßig menschliche Freigabe, Simulation oder gestufte Ausführung vor.

ISO/IEC 27002:2022

A.5.5 Kontakt mit Behörden; A.5.24 Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen; A.5.25 Beurteilung und Entscheidung über Informationssicherheitsereignisse; A.5.26 Reaktion auf Informationssicherheitsvorfälle.

Framework

C5:2026 SIM-02/03; NIS2-DVO Nr. 3.5; DORA Art. 17; NIST SP 800-61 Revision 3 (Vorfallsbehandlung, am CSF 2.0 ausgerichtet).

Umsetzung im Detail

Organisatorische und technische Umsetzung, Umsetzungsbeispiele und die Priorisierung im Gesamtprogramm beschreibt der Implementation Guide.

Implementation Guide (PDF)Zum MHC-Katalog

Quelle: MRIS Implementation Guide (ISO/IEC 27001), Fassung 2.0. Lizenz CC BY-SA 4.0. © 2026 Richard Peddi.