Wo der Vorfall zuerst ankommt

Der erste Hinweis auf einen Sicherheitsvorfall ist selten ein Alarm. Es ist ein Ticket. „Mein Rechner ist seit heute so langsam." „Ich komme nicht mehr in mein Postfach." „Da war eine komische Mail, ich habe draufgeklickt." Am Service-Desk laufen solche Meldungen jeden Tag auf, und die meisten sind harmlos. Aber genau dort entscheidet sich, ob die eine, die es nicht ist, rechtzeitig als das erkannt wird, was sie ist.

Die Uhr startet bei der Erkennung, nicht beim Alarm

Meldefristen wie die 24 Stunden aus NIS2 laufen ab Kenntnis des erheblichen Vorfalls. In der Praxis vergeht die meiste Zeit aber nicht zwischen Kenntnis und Meldung, sondern davor: zwischen dem ersten Ticket und dem Moment, in dem jemand die Häufung erkennt. Drei Tickets über gesperrte Konten in einer Stunde sind ein Muster. Wer sie in einem separaten Helpdesk-Tool liegen hat, das mit dem Sicherheitsprozess nichts teilt, sieht das Muster nicht, sondern drei Einzelfälle.

Übergaben zwischen Welten kosten die Zeit, die später fehlt

In vielen Häusern sind Service-Desk und Sicherheitsorganisation zwei Welten mit zwei Werkzeugen: Das Ticket lebt im Helpdesk, der Vorfall im ISMS, und dazwischen liegt ein manueller Übergang, oft per Mail. Jede dieser Übergaben kostet Kontext und Zeit. Und im Ernstfall fehlt beides doppelt, weil auch der Wiederanlauf auf Informationen angewiesen ist, die im Ticketverlauf stecken.

Ein Service-Desk auf derselben Plattform

Das ITSM-Modul in isidaten ist ein vollständiger Service-Desk nach ITIL 4: Tickets mit Kategorien, SLA-Definitionen mit Reaktions- und Lösungszeiten, Probleme, Changes, Releases, eine Wissensdatenbank und ein Self-Service-Portal mit Servicekatalog. Tickets kommen auch per E-Mail herein. Der Unterschied liegt im Unterbau: Das alles läuft auf derselben Plattform wie Vorfälle, NIS2-Meldewesen und Notfallmanagement. Ein Major Incident verknüpft direkt die betroffenen BCM-Wiederanlaufpläne, statt dass jemand sie in einem anderen System sucht. Aus einem verdächtigen Ticket wird ein Sicherheitsvorfall, ohne dass Informationen die Plattform wechseln müssen.

Mehr zeigt die ITSM-Modulseite. Wie die Meldekette nach dem Erkennen weiterläuft, führt das NIS2-Meldewesen auf, und warum der Wiederanlauf eine Reihenfolge ist, stand hier vor Kurzem.