„Co-opetition“ für schnelle und kompetente Notfallhilfe

DIRT ist ein deutschlandweites Team, das auf die schnelle Reaktion und Bewältigung von Sicherheitsvorfällen spezialisiert ist. Das „Deutsche Incident Response Team“ (DIRT) besteht derzeit aus sieben IT-Systemhäusern. Sie koordinieren Maßnahmen bei Cyberangriffen, führen forensische Untersuchungen durch und unterstützen ihre Kunden gemeinsam bei der Wiederherstellung ihrer Systeme. Die Gruppe verfügt über mehr als 50 BSI-Vorfallexperten und einem breiten Erfahrungsschatz im Cybersecurity-Bereich.

Wie die Arbeit im DIRT-Netzwerk seit der Gründung im Jahr 2022 angelaufen ist und welche Pläne zum Ausbau der Zusammenarbeit geschmiedet werden, das berichteten der Datenforensiker Mike Beckert (SHD) und Marcel Sievers, Geschäftsleiter Cybersecurity bei pco, am Rand der SHD IT-Convention 2025 in Dresden.

Herr Beckert, wie haben Sie die Hochlauf-Phase von DIRT erlebt?

Mike Beckert: Die erste Vorstellung des DIRT-Netzwerks war auf dem Deutschen IT Security Kongress im September 2022, wo wir auf großes Interesse stießen. Auch auf der it-sa 2024 haben wir viel positives Feedback erhalten. Im Netzwerk tauschen wir uns intensiv aus. Ich habe die Security-Spezialisten aus den anderen Unternehmen kennengelernt. Heute weiß ich, wer welches technologische Spezialwissen beisteuern kann. Es gibt einfach zu viele Technologien, als dass ein Forensiker überall Bescheid wissen kann. Da unterstützen wir uns jetzt unternehmensübergreifend und deutschlandweit.

Marcel Sievers: Auf der it-sa haben wir erstmals die Cyber-Notfallnummer 0800 1010310 bekannt gemacht. Sie ist für mittelständische Unternehmen mit mindestens 50 IT-Arbeitsplätzen gedacht, die eine akute Cyberkrise oder einen akuten Hackerangriff haben. Wenn das Telefon klingelt, wird sofort gecheckt: Von wo wird angerufen? Dann gibt es eine Zuordnung zum betreuenden DIRT-Partner, denn wir wollen ja möglichst zeitnah dann auch im betroffenen Unternehmen vor Ort sein. Dafür haben wir eine Ressourcenplanung mit den einzelnen DIRT-Häusern durchgeführt. Jetzt wissen wir, wie viele Analysten, wie viele Forensiker, Krisenmanager und technische Experten wir zur Verfügung haben. Daraus können wir ableiten, wie viele Fälle wir als Gruppe stemmen können. Es geht auch um Bereitschaftsdienste. Erfahrungsgemäß erfolgen zu Feiertagen wie etwa an Ostern verstärkt Angriffe auf Unternehmensnetzwerke. Da müssen wir dann mehr Leute in die Rufbereitschaft versetzen.

Für wen ist die Hotline und wie muss man sich das vorstellen?

Die Hotline ist für Unternehmen – vor allem für Mittelständler ab ca. 50 IT-Arbeitsplätzen aufwärts und sie kommt zum Einsatz, wenn es um Cyberattacken geht. Wir sitzen allerdings nicht nur da und warten, bis jemand anruft. Wir führen mit unseren Kunden zum Beispiel Sicherheitschecks durch, die wir standardisiert haben. Wir haben untereinander Kooperationsverträge geschlossen, um zum Beispiel SOC-Services (SOC=Security Operations Center) anzubieten.

Warum schafft das ein Dienstleister nicht allein?

Beckert: Wir haben beispielsweise Kunden, die wir in Dresden betreuen. Die haben aber auch Niederlassungen in NRW. Wir sichern ja zu, dass wir in vier Stunden vor Ort sind und das können wir von Sachsen aus im Einzelfall gar nicht schaffen. Also brauchen wir Kooperationspartner, die beispielsweise im Rheinland tätig sind und entsprechend schnell vor Ort sein können.

Sievers: Wenn die erste Notlage erstmal durch den Vor-Ort-Partner in Klärung ist, kann man im zweiten Schritt sondieren, welchen Experten man dann wann an welcher Stelle benötigt. Diesen Experten kann man dann aus dem DIRT-Netzwerk holen. Wir von pco würden dann beispielweise anfragen: Wir haben hier eine Sophos-Firewall, könnt ihr von SHD uns dabei unterstützen, diese wieder aufzubauen? Mit der Mitgliedschaft bei DIRT ist die Verpflichtung verbunden, solchen Anfragen nachzukommen und auch, die Aktivitäten der Gruppe weiterzuentwickeln.

Welche Aktivitäten gibt es derzeit, um das DIRT-Netzwerk umfassend handlungsfähig zu machen?

Sievers: Wir sind seit letztem Jahr als Verbundpartner beim BSI registriert. Viele von uns sind bereits zertifizierte BSI Vorfall-Experten. Im nächsten Schritt bilden wir nun weitere BSI-Vorfall-Praktiker und BSI-Vorfall-Experten selbst aus.

Beckert: Das ist die höchste Zertifizierung, die man beim BSI erlangen kann. Laufende Fortbildungen im Cybersecurity-Bereich sind sehr wichtig, denn hier entstehen immer neue Angriffsszenarien und Risiken. Wir müssen hier up-to-date bleiben. Es wird auch wieder gemeinsame Messeauftritte geben, um DIRT weiter bekannt zu machen. Wir arbeiten auch eng mit dem Cybersicherheitsnetzwerk Deutschland und mit vielen andere Stellen zusammen, auch in der Politik.

Eigentlich sind die DIRT-Partner doch auch untereinander Mitbewerber. Wo liegt der Mehrwert für die einzelnen DIRT-Partner?

Sievers: Unternehmen, die sich mit Incident Response und Digital Forensic beschäftigen, schießen derzeit wie Pilze aus dem Boden. Durch die DIRT-Gruppe wollen wir eine gewisse Standardisierung auf diesem Gebiet herstellen, um uns im Ernstfall schnell unterstützen zu können. Unsere Zusammenarbeit nennen wir „co-opetition“, denn man kann bei diesen Aufgaben nur im Team erfolgreich sein. DIRT ist auch keine geschlossene Gruppe, sondern wir wollen auch weitere Verbundpartner aufnehmen. Wir senden die Botschaft in den Markt, dass Unternehmen, die einen Sicherheitsvorfall haben, bei uns gut aufgehoben sind. Davon profitiert jedes einzelne Mitglied des Netzwerks. Unsere Kunden sehen wir im deutschen Mittelstand. Die sprechen wir gezielt mit den Angeboten der DIRT-Gruppe an. Und auch wir selbst wollen nicht zu großen Konzernen werden, sondern mittelständische Unternehmen bleiben. Durch die enge Kooperation bei DIRT erhält der Kunde die Vielfalt der Anbieter von Dienstleistungen zu Incident Response und Digital Forensic quasi aus einer Hand.

Bild: SHD/Dirk Sukow