Vorfallsreaktion
faktoora betreibt einen strukturierten Vorfallsmanagement-Prozess gemäß den Anforderungen des DORA (Digital Operational Resilience Act). Diese Seite beschreibt, wie wir Sicherheitsvorfälle erkennen, klassifizieren, darauf reagieren und kommunizieren.
Erkennung
Wir setzen mehrere Überwachungsebenen und automatische Alarmierung ein, um Vorfälle frühzeitig in unserer Anwendung, Infrastruktur und Lieferkette zu erkennen.
Klassifizierung
Wenn ein Vorfall erkannt wird, wird er innerhalb von 30 Minuten bewertet und anhand folgender Kriterien klassifiziert:
| Faktor | Bewertung |
|---|---|
| Anzahl betroffener Kunden | Einzelner, Teilmenge oder alle Kunden |
| Dauer der Auswirkung | Vorübergehend, anhaltend oder fortlaufend |
| Datensensibilität | Öffentlich, intern, vertraulich oder eingeschränkt |
| Servicekritikalität | Kernplattform, unterstützender Dienst oder unkritisch |
| Wirtschaftliche Auswirkung | Umsatz-, vertragliche oder regulatorische Auswirkungen |
Schweregrade
| Schweregrad | Definition | Reaktionszeit |
|---|---|---|
| Kritisch | Kerndienst nicht verfügbar oder bestätigter Datenverstoß | Sofort — alle verfügbaren Kräfte |
| Hoch | Erhebliche nutzerseitige Auswirkungen oder potenzielle Datenexposition | Sofort während der Geschäftszeiten |
| Mittel | Begrenzte Auswirkungen, keine Daten gefährdet | Innerhalb von 1 Werktag |
| Niedrig | Geringfügiges Problem, keine Nutzerauswirkung | Innerhalb von 5 Werktagen |
Kundenkommunikation
| Schweregrad | Benachrichtigungszeitraum | Kanal |
|---|---|---|
| Kritisch | Innerhalb von 1 Stunde nach Klassifizierung, Updates alle 2 Stunden | E-Mail an betroffene Kunden |
| Hoch | Innerhalb von 4 Stunden bei Nutzerauswirkung | E-Mail an betroffene Kunden |
| Mittel | Auf Anfrage verfügbar | Über Support-Kanäle |
| Niedrig | Auf Anfrage verfügbar | Über Support-Kanäle |
Regulatorische Meldung
Für schwerwiegende Vorfälle, die regulatorische Schwellenwerte erreichen, folgen wir den Meldefristen gemäß DORA Art. 19:
| Bericht | Frist | Inhalt |
|---|---|---|
| Erstmeldung | Innerhalb von 4 Stunden nach Klassifizierung (spätestens 24 Stunden nach Erkennung) | Vorfallstyp, betroffene Dienste, Erkennungszeitpunkt, vorläufige Folgenabschätzung |
| Zwischenbericht | Innerhalb von 72 Stunden | Aktualisierte Folgenabschätzung, Ursache (falls bekannt), Eindämmungsmaßnahmen, betroffene Daten |
| Abschlussbericht | Innerhalb von 1 Monat | Vollständige Ursachenanalyse, Gesamtauswirkung, Abhilfemaßnahmen, Erkenntnisse |
Diese Fristen übertreffen die Anforderungen sowohl von DORA als auch von NIS2 (das eine Erstmeldung innerhalb von 24 Stunden verlangt).
Eindämmung und Wiederherstellung
Unser Vorfallsreaktionsprozess folgt diesen Phasen:
- Eindämmung — Betroffene Systeme isolieren, um weitere Auswirkungen zu verhindern
- Beweissicherung — Audit-Logs, Anwendungsprotokolle und Zugriffsprotokolle sichern
- Ursachenanalyse — Die zugrunde liegende Ursache identifizieren
- Behebung — Korrekturen implementieren und Behebung verifizieren
- Wiederherstellung — Normalbetrieb wiederherstellen und Stabilität bestätigen
Post-Incident-Review
Jeder Vorfall mit Schweregrad Hoch oder Kritisch wird innerhalb von 5 Werktagen nachbereitet:
- Vollständige Zeitleiste von Erkennung, Reaktion und Wiederherstellung
- Ursachenanalyse
- Folgenabschätzung (Kunden, Daten, Dienste)
- Bewertung der Reaktionseffektivität
- Präventivmaßnahmen zur Vermeidung von Wiederholungen
Gewonnene Erkenntnisse werden dokumentiert und in unsere Sicherheitskontrollen und -verfahren integriert.
Aufbewahrung von Vorfallsprotokollen
Alle Vorfallsprotokolle werden gemäß DORA-Anforderungen mindestens 5 Jahre aufbewahrt.
Vorfall melden
Wenn Sie einen Sicherheitsvorfall vermuten, der faktoora oder Ihre Daten betrifft:
- Sicherheitsvorfälle: security@faktoora.com
- Datenschutzvorfälle: privacy@faktoora.com
Für Schwachstellenmeldungen besuchen Sie unsere Seite Schwachstellenmeldung.