Was ist ein IR-Retainer und wie unterscheidet er sich vom Managed SOC?
Ein IR-Retainer ist ein Baustein der Notfallvorsorge für Cyberangriffe: ein vorab abgeschlossener Vertrag mit einem Incident-Response-Dienstleister, der im Ernstfall kurzfristige Unterstützung durch ein Computer Incident Response Team (CIRT) garantiert. Ein solches Team besteht üblicherweise aus forensischen Analysten, technischen Incident Respondern und – je nach Schwere des Vorfalls – einer Person für die Krisenkommunikation. Ansprechpartner, Eskalationswege und grober Leistungsumfang stehen bereits fest, bevor überhaupt ein Vorfall eintritt: Niemand muss im Ernstfall erst einen Anbieter suchen, Verträge verhandeln und Freigaben einholen.
In der Praxis werden Retainer meist als Kontingent aus vorab vereinbarten Stunden abgeschlossen, die im Bedarfsfall abgerufen werden, häufig mit garantierter Reaktionszeit und teils mit der Möglichkeit, nicht genutzte Stunden auf andere Sicherheitsleistungen anzurechnen. Die genauen Konditionen unterscheiden sich von Anbieter zu Anbieter und gehören in den jeweiligen Vertrag.
Das Managed SOC ist davon konzeptionell getrennt: Es überwacht Systeme und Netzwerke fortlaufend, wertet Alarme aus und leitet im Rahmen der im Statement of Work (SOW) autorisierten Eingriffe erste Gegenmaßnahmen ein. Je nach Modell wird das SOC vollständig durch den Dienstleister betrieben (Full-Managed) oder in Zusammenarbeit mit dem internen Team des Kunden (Co-Managed).
Der IR-Retainer geht darüber hinaus: Er sichert vertraglich zu, dass bei einem schwerwiegenden Vorfall – etwa Ransomware oder Datenabfluss – ein CIRT mit definierter Reaktionszeit zur Verfügung steht, das forensisch analysiert, eindämmt und bei der Wiederherstellung unterstützt.
Wann lohnt sich ein IR-Retainer für Unternehmen?
Ein IR-Retainer lohnt sich vor allem, wenn im eigenen Haus keine Kapazitäten für forensische Analysen, Eindämmung und Krisenkommunikation nach einem Cyberangriff bestehen. Ein internes CIRT dauerhaft einsatzbereit zu halten, ist personell und finanziell aufwendig; viele mittelständische Unternehmen leisten sich das nicht. Wer im laufenden Vorfall erst ein Incident-Response-Team beauftragen muss, verliert wertvolle Zeit: für die Anbietersuche, für Vertragsverhandlungen und für die Einarbeitung des Teams in eine unbekannte Umgebung. Diese Zeit fehlt an anderer Stelle – etwa um eine Ausbreitung im Netzwerk frühzeitig zu stoppen oder Systeme schneller wieder betriebsbereit zu machen.
Auch regulatorische Anforderungen spielen eine Rolle, auch wenn ihre Geltungsbereiche unterschiedlich sind. Für viele Unternehmen ergeben sich Pflichten aus NIS2, der EU-Richtlinie zur Stärkung der Cybersicherheit, die derzeit in nationales Recht überführt wird. Für Betreiber kritischer Infrastrukturen in Deutschland gelten zusätzlich die Vorgaben der KRITIS-Regulierung, im Finanzsektor ergänzend DORA, die EU-Verordnung zur digitalen operationalen Resilienz. Unabhängig von gesetzlichen Pflichten orientieren sich viele Unternehmen freiwillig an ISO 27001 als Rahmenwerk für Informationssicherheit. Diese Einordnung ersetzt keine Rechtsberatung; welche Pflichten im Einzelfall greifen, hängt von Branche, Größe und Geschäftsmodell ab und sollte individuell geprüft werden.
Ein weiteres Signal: Wenn dein Unternehmen bereits ein Managed SOC nutzt, im SOW aber keine über die Standard-Servicezeit hinausgehende Notfallreaktion vereinbart ist, schließt ein IR-Retainer diese Lücke für den Akutfall.
Managed SOC und IR-Retainer: Wie ergänzen sich beide Leistungen?
Beide Leistungen decken unterschiedliche Phasen eines Sicherheitsvorfalls ab. Das SOC erkennt Auffälligkeiten, priorisiert Alarme und leitet autorisierte Erstmaßnahmen ein. Übersteigt ein Vorfall die vereinbarten Grenzen des SOC-Leistungsscheins – etwa bei einem großflächigen Ransomware-Befall mit Auswirkung auf mehrere Systeme –, übernimmt das im Retainer vereinbarte CIRT die tiefergehende Reaktion.
Wer beide Leistungen kombiniert, profitiert von kürzeren Übergabewegen: Das SOC-Team kennt die Umgebung bereits aus dem laufenden Monitoring und kann dem CIRT beim Übergang Logs, eine erste Timeline und die betroffenen Assets übergeben, statt dass sich das CIRT diese Informationen im Ernstfall erst selbst zusammensuchen muss. Die eigenständige vertragliche Grundlage des IR-Retainers ersetzt das aber nicht; ohne separaten Vertrag gibt es im Vorfall keine zugesicherte Reaktionszeit für die forensische Tiefenanalyse.
Wie läuft die Aktivierung eines IR-Retainers im Ernstfall ab?
Die Aktivierung folgt einem vorab festgelegten Ablauf, der im SOW beschrieben ist:
Meldung des Vorfalls über den vereinbarten Kontaktweg, häufig eine dedizierte Notfallnummer oder ein Eskalationskontakt.
Einschätzung der Lage und Entscheidung über den Umfang des CIRT-Einsatzes.
Forensische Analyse zur Rekonstruktion des Angriffswegs und der betroffenen Systeme. Dazu gehört auch die Sicherung von Beweismitteln, damit spätere rechtliche oder versicherungstechnische Schritte nicht durch Datenverlust erschwert werden.
Eindämmung, um eine weitere Ausbreitung im Netzwerk zu verhindern, etwa durch Isolation betroffener Systeme oder das Sperren kompromittierter Zugänge.
Unterstützung bei der Wiederherstellung von Systemen und Daten.
Begleitung bei der Kommunikation mit Behörden und Meldestellen, soweit im SOW vorgesehen. Dies ersetzt keine eigene rechtliche Bewertung der Meldepflichten.
Nachbereitung des Vorfalls: Welche Schwachstelle wurde ausgenutzt, welche Maßnahmen verhindern eine Wiederholung. Diese Lessons-Learned-Phase wird im laufenden Krisenmodus oft übersehen, ist für die langfristige Absicherung aber genauso wichtig wie die Akutreaktion.
Wie schnell die einzelnen Schritte greifen, legt der jeweilige Vertrag fest. Pauschale Reaktionszeiten ohne Bezug auf den konkreten Vertrag lassen sich seriös nicht angeben, weshalb wir darauf verzichten, feste Stundenwerte als allgemeine Regel zu nennen.
Worauf solltet ihr bei der Auswahl eines IR-Retainers achten?
Nicht jeder Retainer ist gleich aufgebaut. Bevor du dich für einen Anbieter entscheidest, lohnt sich ein Blick auf folgende Punkte:
Reaktionszeit-SLA: Wie schnell reagiert das Team nach Meldung, und gilt das rund um die Uhr oder nur zu Geschäftszeiten?
Umfang je Vorfallstyp: Deckt der Retainer nur bestimmte Angriffsarten ab, etwa Ransomware, oder auch Datenabfluss und Insider-Vorfälle?
Verfügbarkeit und Standort des Teams: Arbeitet das CIRT aus der DACH-Region, und in welcher Sprache läuft die Kommunikation im Ernstfall?
Berichtspflichten: Unterstützt der Dienstleister bei der Kommunikation mit Behörden und Meldestellen, und in welchem Umfang?
Abrechnungsmodell: Werden ungenutzte Stunden verfallen, übertragen oder auf andere Leistungen angerechnet?
Schnittstelle zu bestehenden Diensten: Wie gut lässt sich der Retainer mit einem bereits laufenden Managed SOC oder internen Monitoring verzahnen?
FAQ
Was kostet ein Incident-Response-Retainer?
Die Kosten richten sich nach Faktoren wie Unternehmensgröße, vereinbartem Stundenkontingent, Reaktionszeit-SLA und Umfang der abgedeckten Leistungen. Feste Pauschalpreise lassen sich ohne diese Angaben nicht seriös nennen; konkrete Konditionen klären wir im individuellen Angebot.
Brauchen wir einen IR-Retainer, wenn wir bereits ein Managed SOC nutzen?
Ein Managed SOC deckt laufende Überwachung und autorisierte Erstreaktion ab, nicht aber eine vertraglich zugesicherte Notfallkapazität für forensische Tiefenanalyse und Krisenmanagement bei Großvorfällen. Ein IR-Retainer schließt diese Lücke unabhängig davon, ob ein SOC im Einsatz ist, und beschleunigt im Ernstfall die Reaktion, weil Zuständigkeiten und Abläufe bereits vertraglich geklärt sind.
Wie schnell reagiert ein CIRT im Ernstfall nach einem Cyberangriff?
Reaktionszeiten werden vertraglich im SOW festgelegt und unterscheiden sich je nach Vertrag und vereinbartem Servicelevel. Eine allgemeingültige Zeitangabe ohne Bezug auf den konkreten Vertrag wäre nicht belastbar; wir stimmen die Reaktionsfenster individuell mit dir ab.
Welche Unternehmen profitieren am meisten von einem IR-Retainer?
Besonders profitieren Unternehmen ohne eigenes Incident-Response-Team, Organisationen mit erhöhtem regulatorischem Druck etwa im Umfeld von NIS2 oder KRITIS sowie Unternehmen, die bereits einen Cyberangriff erlebt haben und die Reaktionszeit beim nächsten Vorfall verkürzen wollen.
Wie unterscheidet sich ein IR-Retainer von einer spontan beauftragten Forensik-Firma im Akutfall?
Eine spontan beauftragte Forensik-Firma muss im Ernstfall erst gefunden, geprüft und beauftragt werden – Vertragsverhandlungen und Freigaben kosten dabei wertvolle Zeit. Beim IR-Retainer sind Vertragsbedingungen, Ansprechpartner und grober Ablauf bereits im Vorfeld fixiert, wodurch die eigentliche Reaktion früher beginnen kann.
Fazit
Ein IR-Retainer ersetzt kein Managed SOC und umgekehrt. Beide Leistungen greifen an unterschiedlichen Punkten der Vorfallskette. Wer beide kombiniert, schließt die Lücke zwischen laufender Überwachung und der forensischen Tiefenanalyse bei einem Großvorfall. Welche Reaktionszeiten, welcher Leistungsumfang und welches Abrechnungsmodell im Einzelfall passen, hängt von eurer Ausgangslage ab und sollte individuell besprochen werden.