Warum die Anbieterwahl vor den Ernstfall gehört
Ein Sicherheitsvorfall ist Stress unter Zeitdruck: Systeme sind verschlüsselt oder kompromittiert, die Kommunikation läuft womöglich nur noch über Mobiltelefone, und parallel laufen Meldepflichten. Wer in dieser Lage erst einen Forensik-Dienstleister sucht, Angebote vergleicht und einen Vertrag verhandelt, verliert genau die Zeit, in der sich ein Vorfall noch eingrenzen lässt.
Anerkannte Rahmenwerke behandeln die Vorbereitung deshalb als eigene Phase: Das NIST-Modell stellt die Vorbereitung (Preparation) an den Anfang des Incident-Response-Lebenszyklus, das BSI beschreibt die Vorfallbehandlung im IT-Grundschutz-Baustein DER.2.1. In der Praxis heißt das, den Dienstleister samt garantierter Reaktionszeit vorab auszuwählen und vertraglich zu binden, bevor etwas passiert.
Bewertungskriterien für IR-Dienstleister
Diese Kriterien haben sich für die Bewertung und den Vergleich von Incident-Response-Anbietern bewährt. Sie eignen sich direkt als Anforderungs- und Wertungsraster für eine Ausschreibung oder einen Angebotsvergleich.
Im fertigen Muster-LV sind alle Kriterien der Gruppen A bis E ausformuliert und im Detail ausgearbeitet, nicht nur die Überschriften wie hier. Inklusive Eignungsnachweisen und gestaffeltem Preisblatt, vergabekonform zum direkten Einsatz.
Zum Muster-LV: Incident-Response-Retainer →Retainer, Ad-hoc und Preismodelle
Der wichtigste Hebel ist die Frage, ob Sie Incident Response vorab vertraglich sichern (Retainer) oder erst im Ernstfall beauftragen (Ad-hoc). Beides hat klare Konsequenzen:
| Aspekt | IR-Retainer (vorab) | Ad-hoc (im Ernstfall) |
|---|---|---|
| Reaktionszeit | vertraglich garantiert | offen, Anbieter ggf. ausgelastet |
| Stundensätze | vorab vereinbart, meist vergünstigt | Notfallzuschläge möglich |
| Kenntnis Ihrer Umgebung | Onboarding vorab möglich | Einarbeitung kostet Zeit |
| Proaktive Leistungen | oft enthalten (Plan-Review, Übung) | keine |
Bei den Preismodellen lohnt der genaue Blick auf das Stundenkontingent: Wird ein nicht genutztes Kontingent am Jahresende verfällt es, oder lässt es sich in proaktive Leistungen wie Härtung, IR-Plan-Review oder eine Tabletop-Übung umwandeln? Letzteres bringt auch ohne Vorfall einen Gegenwert. Achten Sie zudem auf die Bemessung der Bereitstellungspauschale, die Gültigkeit der Stundensätze und darauf, ob ein Service-Level mit spürbarer Konsequenz hinterlegt ist.
BSI-APT-Qualifizierung nach § 3 BSIG
Das BSI führt eine öffentliche Liste qualifizierter APT-Response-Dienstleister im Sinne des § 3 BSIG. APT steht für Advanced Persistent Threats, also fortgeschrittene, gezielte Angriffe. Aufgenommen werden Dienstleister, die gegenüber dem BSI bestimmte Fähigkeiten und Qualitätsanforderungen für die Reaktion auf solche Angriffe nachgewiesen haben.
Für die Anbieterwahl ist diese Liste ein belastbares, unabhängiges Qualitätssignal, gerade bei komplexen oder zielgerichteten Vorfällen. Für Betreiber kritischer Infrastrukturen und Organisationen im erweiterten Pflichtenkreis ist die Nähe zum BSI ohnehin relevant. Sie können die Aufnahme in die Liste als Eignungs- oder Wertungskriterium nutzen, sollten aber prüfen, ob sie als zwingendes Muss-Kriterium den Wettbewerb zu stark einschränkt, oder besser als differenzierendes Wertungskriterium dient.
Zusammenspiel mit der Cyber-Versicherung
Eine Cyber-Versicherung deckt vor allem finanzielle Folgen eines Vorfalls ab und vermittelt im Schadenfall häufig eigene Incident-Response-Dienstleister über eine Schadenhotline und ein vorgegebenes Anbieter-Panel. Das ist hilfreich, ersetzt aber nicht zwingend einen selbst gewählten Retainer.
Freie Anbieterwahl, ein Partner, der Ihre Umgebung bereits kennt, und vorab vereinbarte Konditionen.
Schnelle Vermittlung und Kostenübernahme, aber ggf. festgelegte Dienstleister und Abläufe des Versicherers.
Wichtig ist, beides vor dem Ernstfall abzustimmen: Darf Ihr eigener Retainer-Anbieter im Schadenfall tätig werden, und übernimmt die Versicherung dessen Kosten? Klären Sie diese Frage bei Vertragsabschluss, damit es im Vorfall keinen Streit über Zuständigkeit und Kostenübernahme gibt. In der Praxis fahren viele Organisationen zweigleisig: ein eingespielter Retainer-Partner plus eine Versicherung, deren Bedingungen die Nutzung dieses Partners zulassen.
IR-Anbieterwahl & Marktübersicht aller Anbieter
Eine Übersicht von 95 Incident-Response-Dienstleistern mit Bezug zum deutschsprachigen Markt: Logo, Website, Hauptsitz und die Kennzeichnung, ob der Anbieter beim BSI als APT-Response-Dienstleister qualifiziert ist (§ 3 BSIG). Eine Orientierungshilfe ohne Wertung oder Empfehlung. Blättern Sie durch die Vorschau: über die IR-Anbieterwahl darunter erstellen Sie in einer Minute Ihr Anforderungsprofil und erhalten die vollständige Liste kostenfrei.
Wie wir helfen
Incident Response ist Teil einer Detektions- und Reaktionsstrategie. Für die zugehörigen Bausteine liefern wir vergabekonforme, herstellerneutrale Muster-Leistungsverzeichnisse, die Sie für Ausschreibung und Angebotsvergleich nutzen können.
Für Detektion und Reaktion als laufenden Service, inklusive Eskalation und Berichtswesen.
SOC-Muster ansehen →Für die endpunktseitige Erkennung und Reaktion, eine zentrale Datenquelle jeder IR-Analyse.
EDR-Muster ansehen →Über 20 IT-Vorlagen, plus eine branchenoffene Blanko-Vorlage für eigene Themen wie IR-Retainer.
Zum Katalog →Wir unterstützen bei Kriterien, Wertungsmatrix und neutralem Vergleich von IR-Angeboten.
Angebotsvergleich →Übrigens: Wir machen Organisationen auch selbst reaktionsfähig, von IR-Plänen über Tabletop-Übungen bis zur kuratierten Retainer-Auswahl. Mehr dazu auf unserer Seite Incident-Response-Readiness.
Quellen
- BSI: "Qualifizierte APT-Response-Dienstleister im Sinne § 3 BSIG", bsi.bund.de, 2025.
- BSI: "Qualifizierte Dienstleister", bsi.bund.de, 2025.
- NIST: "SP 800-61 Rev. 3: Incident Response Recommendations and Considerations", csrc.nist.gov, 2025.
- ENISA: "Incident management", enisa.europa.eu, 2025.
- BSI: "IT-Grundschutz-Kompendium (Edition 2023), Baustein DER.2.1 Behandlung von Sicherheitsvorfällen", bsi.bund.de, 2023.