Incident-Response-Plan

Version 1.0 — Stand: März 2026

Dieser Incident-Response-Plan (nachfolgend „IRP") legt verbindliche Verfahren für CONPORT Services GmbH, Alte Benninghofer Str. 24, 44263 Dortmund (Geschäftsführer: Benjamin Schowe) als Anbieterin der SaaS-Plattform „Aldric" fest. Er gilt für alle Mitarbeiterinnen und Mitarbeiter sowie beauftragten Dienstleister, die mit der Aldric- Infrastruktur oder Kundendaten in Berührung kommen.

§ 1 Zweck

Dieser Plan verfolgt drei zentrale Ziele:

Klare, einübbare Verfahren für den Umgang mit Sicherheitsvorfällen etablieren, sodass alle Beteiligten im Ernstfall ohne Abstimmungsaufwand handeln können.
Einhaltung der gesetzlichen Meldepflichten nach DSGVO Art. 33 (Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden) und Art. 34 (Benachrichtigung betroffener Personen) sicherstellen.
Schaden für Kunden, Sub-Mandanten und das Unternehmen durch schnelle Eindämmung minimieren.

§ 2 Geltungsbereich

Der Plan gilt für alle Sicherheitsvorfälle, die die Aldric-Plattform, die zugrundeliegende Infrastruktur oder Kundendaten betreffen. Dazu zählen insbesondere:

Unbefugter Zugriff auf personenbezogene Daten oder Mandantendaten
Datenverlust oder -korruption
Kompromittierung von Zugangsdaten oder Systemen
Vollständige oder teilweise Dienstunterbrechungen durch Angriffe
Erkannte Angriffs- oder Eindringversuche (auch erfolglose)
Verstöße gegen interne Sicherheitsrichtlinien

Technische Störungen ohne Sicherheitsrelevanz (z. B. Infrastrukturausfälle durch Hardwaredefekte) fallen unter das Service Level Agreement, nicht unter diesen Plan.

§ 3 Incident-Klassifizierung

Jeder Vorfall wird unmittelbar nach Ersterkennung einer Prioritätsstufe zugeordnet. Die Einstufung bestimmt Reaktionszeit und Eskalationsweg.

Priorität	Beschreibung	Reaktionszeit	Eskalation
P1 — Kritisch	Datenpanne mit Wirkung auf mehrere Mandanten; vollständiger Systemausfall; aktive Ausnutzung einer Schwachstelle (laufender Angriff)	Sofort (24/7)	Incident Lead + GF sofort; Aufsichtsbehörde innerhalb 72 h
P2 — Hoch	Datenpanne mit Wirkung auf einzelnen Mandanten; erhebliche Beeinträchtigung des Dienstes; vermuteter Einbruch (unbestätigt)	Innerhalb 1 Stunde	Incident Lead innerhalb 1 h; GF innerhalb 2 h
P3 — Mittel	Geringfügige Dienstunterbrechung mit Sicherheitsbezug; erkannter, gescheiterter Angriffsversuch; Richtlinienverstoß ohne Datenpanne	Innerhalb 4 Stunden	Incident Lead innerhalb 4 h; GF bei Bedarf
P4 — Niedrig	Informationell; erkannte Anomalie ohne unmittelbaren Schaden; Verbesserungsbedarf im Prozess identifiziert	Nächster Werktag	Incident Lead zur Kenntnis; Dokumentation

Die Einstufung kann jederzeit angehoben werden, wenn neue Informationen dies erfordern. Eine Herabstufung ist erst nach Bestätigung der Eindämmung zulässig.

§ 4 Meldekette (72-Stunden-Frist nach DSGVO Art. 33)

Bei jedem Vorfall mit möglicher Wirkung auf personenbezogene Daten läuft ab dem Zeitpunkt der Ersterkennung eine 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde. Die folgende Zeitleiste ist verbindlich:

Zeitfenster	Maßnahme
0 – 1 h	Ersterkennung und initiale Bewertung; Incident Lead benennen; Priorität festlegen; Incident-Kanal eröffnen
1 – 4 h	Sofortmaßnahmen zur Eindämmung einleiten; initiale Schadensausmaß-Abschätzung; Betroffene Systeme und Datenkategorien vorläufig eingrenzen
4 – 24 h	Detaillierte Untersuchung; feststellen ob personenbezogene Daten betroffen sind und in welchem Umfang; forensische Sicherung
24 – 48 h	Meldung an die Aufsichtsbehörde vorbereiten (Art. 33 DSGVO); Benachrichtigung betroffener Kunden vorbereiten
48 – 72 h	Meldung an LDI NRW einreichen (soweit personenbezogene Daten betroffen); betroffene Personen benachrichtigen, wenn hohes Risiko besteht (Art. 34 DSGVO)

Sicherheitsvorfälle werden gemeldet an:
Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW)
Online-Meldeportal: www.ldi.nrw.de

Interner Sicherheitskontakt: security@conport.services

§ 5 Provider-Kaskade (Provider Edition)

Die Aldric-Plattform wird auch als Provider Edition betrieben, bei der Kunden (Provider) ihrerseits Sub-Mandanten verwalten. Für diese Konstellation gilt folgende Kaskade:

CONPORT informiert den Provider-Kunden innerhalb von 24 Stunden nach Bestätigung eines Vorfalls mit Wirkung auf dessen Mandantenumgebung — unabhängig davon, ob die 72-Stunden-Frist noch läuft.
Der Provider ist eigenverantwortlich für die Weiterleitung der Information an seine Sub-Mandanten gemäß seiner eigenen Datenschutzverpflichtungen.
CONPORT stellt dem Provider alle Informationen bereit, die für nachgelagerte Meldungen benötigt werden: Zeitstempel, betroffene Datenkategorien, Betroffenenkreis (soweit ermittelbar), eingeleitete Maßnahmen.
Provider-Kunden erhalten auf Anfrage Vorlagen für Betroffenenbenachrichtigungen (Art. 34 DSGVO), die an ihre Sub-Mandanten und deren Endnutzer angepasst werden können.

Die Verantwortlichkeiten zwischen CONPORT und dem Provider sind im Auftragsverarbeitungsvertrag (AVV) geregelt.

§ 6 Incident-Response-Team

Das Incident-Response-Team setzt sich aus folgenden Rollen zusammen. Für jede Rolle wird eine Vertretung benannt und im internen Verzeichnis gepflegt.

Rolle	Aufgabe
Incident Lead	Gesamtkoordination; Geschäftsführung oder benannte Vertretung; entscheidet über Eskalation und externe Meldung
Technical Lead	Technische Untersuchung und Eindämmung; Entwickler oder Ops-Bereitschaft; forensische Sicherung
Legal / Compliance	Rechtliche Bewertung; Datenschutzbeauftragter (soweit bestellt); prüft Meldepflicht und formuliert Meldungen
Communications	Kundenkommunikation; Statusseite; interne Updates; koordiniert Presseaussagen falls erforderlich

§ 7 Eindämmung und Behebung

7.1 Sofortmaßnahmen (0 – 4 Stunden)

Betroffene Systeme oder Mandantenbereiche isolieren (Netzwerksegmentierung, Deaktivierung von Zugängen)
Kompromittierte Zugangsdaten sofort sperren und rotieren
Systemzustand sichern (Snapshots, Logs) zur forensischen Nachvollziehbarkeit
Keine Löschung von Logdaten bis zur Freigabe durch den Incident Lead

7.2 Kurzfristige Maßnahmen (4 – 48 Stunden)

Schwachstelle schließen (Patch, Konfigurationsänderung, temporäre Abschaltung)
Wiederherstellung aus validiertem Backup, soweit Datenverlust eingetreten
Überwachung der betroffenen Systeme auf Folgeaktivität verstärken
Betroffene Kunden über Statusseite und direkte E-Mail informieren

7.3 Langfristige Maßnahmen (nach Eindämmung)

Root-Cause-Analyse durchführen und dokumentieren
Dauerhafte Behebung implementieren und testen
Sicherheitsmaßnahmen anpassen (siehe auch Sicherheitsrichtlinie)
Diesen Plan aktualisieren, falls Lücken identifiziert wurden

§ 8 Kommunikation

8.1 Intern

Sofort nach Klassifizierung: dedizierten Incident-Kanal eröffnen (z. B. gesicherter Chat-Kanal)
Bei P1 und P2: Statusupdates alle 2 Stunden innerhalb des Incident-Teams
Vollständige Dokumentation aller Entscheidungen, Maßnahmen und Zeitstempel

8.2 Kunden

Statusseite (status.aldric.app) wird unverzüglich aktualisiert
Direkte E-Mail-Benachrichtigung an betroffene Mandanten-Admins
Abschlussbenachrichtigung nach Behebung mit Zusammenfassung der Maßnahmen

8.3 Aufsichtsbehörde

Meldung an LDI NRW nach Art. 33 DSGVO, soweit personenbezogene Daten betroffen (Vorlage siehe § 9.1)
Ggf. Ergänzungsmeldung, wenn nach der Erstmeldung neue Erkenntnisse vorliegen

8.4 Öffentlichkeit

Öffentliche Aussagen nur, wenn gesetzlich erforderlich oder nach Abwägung kommunikativ geboten
Freigabe durch Incident Lead und rechtliche Prüfung vor Veröffentlichung

§ 9 Template-Meldungen

9.1 Meldung an die Aufsichtsbehörde (Art. 33 DSGVO)

An: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW

Art der Verletzung: [Beschreibung, z. B. unbefugter Zugriff auf verschlüsselte Kundendaten]
Zeitpunkt der Ersterkennung: [Datum, Uhrzeit]
Betroffene Datenkategorien: [z. B. E-Mail-Adressen, Vertragsdaten]
Betroffener Personenkreis (ca.): [Anzahl Betroffene / Mandanten]
Mögliche Folgen: [z. B. Identitätsdiebstahl, Reputationsschaden]
Ergriffene Maßnahmen: [z. B. Zugang gesperrt, Passwort-Reset, Patch eingespielt]
Ansprechpartner: CONPORT Services GmbH, Benjamin Schowe, security@conport.services

9.2 Benachrichtigung betroffener Personen (Art. 34 DSGVO)

Betreff: Wichtige Sicherheitsmitteilung zu Ihrem Aldric-Konto

Sehr geehrte Damen und Herren,

wir müssen Sie über einen Sicherheitsvorfall informieren, von dem auch Ihre Daten betroffen sein können.

Was ist passiert: [Kurze, verständliche Beschreibung]
Welche Daten betroffen sind: [Datenkategorien]
Was wir unternommen haben: [Maßnahmen]
Was Sie tun sollten: [z. B. Passwort ändern, verdächtige Aktivitäten melden]

Bei Fragen erreichen Sie uns unter security@conport.services.

CONPORT Services GmbH, Alte Benninghofer Str. 24, 44263 Dortmund

§ 10 Nachbereitung

Jeder Vorfall ab Priorität P3 wird innerhalb von 5 Werktagen nach Abschluss in einem Post-Incident-Review aufgearbeitet. Das Review umfasst:

Vollständige Root-Cause-Analyse: Was hat den Vorfall ausgelöst?
Zeitleiste des Vorfalls und Bewertung der Reaktionsgeschwindigkeit
Lessons Learned: Was lief gut, was muss verbessert werden?
Maßnahmenplan mit Verantwortlichen und Fristen
Aktualisierung der Sicherheitsrichtlinie und ggf. dieses Plans

Das Review-Dokument wird intern archiviert und ist auf Anfrage der Aufsichtsbehörde vorzulegen (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht).

§ 11 Übung und Tests

Ein ungetesteter Incident-Response-Plan ist kein Plan. CONPORT verpflichtet sich zu folgenden regelmäßigen Übungen:

Jährliche Tabletop-Übung: Simuliertes Szenario (z. B. Datenpanne P1) mit dem vollständigen Incident-Response-Team; Dauer ca. 2 Stunden; Ergebnisse werden dokumentiert und in Plan-Aktualisierungen eingearbeitet.
Halbjährlicher Test der Meldekette: Prüfung, ob alle Kontaktdaten aktuell sind und alle Teammitglieder erreichbar sind; Test der Kommunikationskanäle.
Jährliche Plan-Revision: Vollständige Überprüfung und ggf. Aktualisierung dieses Plans; Anpassung an geänderte Infrastruktur, gesetzliche Anforderungen oder Erkenntnisse aus Vorfällen.