Seminar EUDI Wallet – Incident Response und Krisenmanagement

Das Seminar bereitet Organisationen auf Sicherheits- und Betriebsereignisse im EUDI-Wallet-Ökosystem vor. Behandelt werden Erkennung, Triage, forensische Sicherung, Kommunikation, Sperr- und Widerrufsentscheidungen, koordinierte Reaktion über Wallet-Anbieter, Issuer, Relying Parties und Vertrauensdienste, Meldewege, Wiederherstellung sowie die Verbesserung von Architektur und Kontrollen nach einem Vorfall.

Zwei Seminartage sind notwendig, um Incident-Response-Grundlagen auf die verteilten Rollen und kryptografischen Abhängigkeiten des Wallet-Ökosystems zu übertragen und mehrere Tischübungen einschließlich Kommunikation, Eindämmung und Wiederanlauf durchzuführen.

Inhaltsübersicht

1. Vorfalltaxonomie und Vorbereitung
2. Erkennung, Triage und Lagebild
3. Eindämmung, Sperrung und Vertrauensentscheidungen
4. Forensik, Evidenzen und Datenschutz
5. Meldung, Kommunikation und Krisenführung
6. Wiederherstellung und Verbesserungsprogramm
7. Lernziele und Zielgruppe
8. Praxisanteil und Arbeitsunterlagen

Lernziele

• Wallet-spezifische Vorfallklassen und Auswirkungen erkennen.
• Triage, Eindämmung und Beweissicherung rollenübergreifend koordinieren.
• Sperr-, Widerrufs-, Vertrauens- und Kommunikationsentscheidungen strukturiert treffen.
• Melde-, Datenschutz- und Krisenprozesse miteinander verbinden.
• Wiederherstellung und Lessons Learned in konkrete Verbesserungen überführen.

Zielgruppe

CSIRT, SOC, Informationssicherheit, Betrieb, Wallet-, Issuer- und Verifier-Teams, Krisenmanagement, Datenschutz, Recht, Kommunikation, Compliance, Management und technische Dienstleister.

Voraussetzungen

Grundkenntnisse von Incident Response, IT-Betrieb und der EUDI-Wallet-Rollen. Vorhandene Notfall- oder Meldeprozesse können eingebracht werden.

Seminarinhalte

1. Vorfalltaxonomie und Vorbereitung

Klassifikation von kompromittierten Schlüsseln, gefälschten Nachweisen, fehlerhaften Issuern, kompromittierten Wallet Units, Relying-Party-Missbrauch, Datenabfluss und Verfügbarkeitsstörungen.

1. Schritt 1: kritische Assets, Rollen, Abhängigkeiten und mögliche Schadensbilder erfassen.
2. Schritt 2: Vorfallklassen mit Schweregrad, Zuständigkeit und Erstmaßnahmen definieren.
3. Schritt 3: Kontakt-, Eskalations- und Entscheidungsstrukturen über Organisationsgrenzen vorbereiten.
4. Schritt 4: Playbooks, Zugänge, Protokolle und Kommunikationskanäle auf Einsatzbereitschaft prüfen.

2. Erkennung, Triage und Lagebild

Zusammenführung technischer Alarme, fachlicher Auffälligkeiten, Nutzerhinweise, Vertrauensinformationen und externer Meldungen.

1. Schritt 1: Signalquellen und Mindestdaten für belastbare Erkennung festlegen.
2. Schritt 2: Ereignis validieren und betroffene Rollen, Nachweise, Schlüssel und Nutzergruppen eingrenzen.
3. Schritt 3: Auswirkung, Ausbreitung, Vertrauen und Zeitkritikalität bewerten.
4. Schritt 4: Lagebild mit gesicherten Fakten, Annahmen, offenen Fragen und Entscheidungen führen.

3. Eindämmung, Sperrung und Vertrauensentscheidungen

Technische und organisatorische Maßnahmen für Schlüssel, Zertifikate, Credentials, Issuing, Verification, Anwendungen und externe Verbindungen.

1. Schritt 1: sofortige Eindämmungsoptionen nach Wirkung, Nebenwirkung und Reversibilität bewerten.
2. Schritt 2: Sperr-, Widerrufs-, Deaktivierungs- und Blockierungsmaßnahmen rollenbezogen auslösen.
3. Schritt 3: Relying Parties und Issuer mit konsistenten Vertrauens- und Statusinformationen versorgen.
4. Schritt 4: Notbetrieb und Ausnahmen mit zeitlicher Begrenzung und erhöhter Kontrolle absichern.

4. Forensik, Evidenzen und Datenschutz

Reproduzierbare Sicherung relevanter Logs, Signaturen, Statusinformationen, Konfigurationen und Kommunikationsdaten bei minimaler zusätzlicher Verarbeitung.

1. Schritt 1: Beweisfragen und benötigte Evidenzquellen aus dem Lagebild ableiten.
2. Schritt 2: Integrität, Zeitbezug, Zugriff und Chain of Custody für Sicherungen festlegen.
3. Schritt 3: personenbezogene Daten und Geheimnisse auf das notwendige Maß begrenzen.
4. Schritt 4: Erkenntnisse mit Unsicherheiten und technischer Reproduzierbarkeit dokumentieren.

5. Meldung, Kommunikation und Krisenführung

Koordinierte interne und externe Kommunikation, regulatorische Meldungen, Nutzerinformation, Partnersteuerung und Managemententscheidungen.

1. Schritt 1: Meldepflichten, Fristen, Empfänger und Freigaben anhand des Vorfalls bestimmen.
2. Schritt 2: Botschaften für Betroffene, Partner, Aufsicht, Support und Öffentlichkeit abstimmen.
3. Schritt 3: Fakten, Handlungsanweisungen und Unsicherheiten konsistent kommunizieren.
4. Schritt 4: Entscheidungsprotokoll und Kommunikationslage fortlaufend mit dem technischen Lagebild synchronisieren.

6. Wiederherstellung und Verbesserungsprogramm

Sichere Wiederinbetriebnahme, Re-Issuing, Schlüsselwechsel, Vertrauenswiederaufbau, Nachkontrolle und nachhaltige Maßnahmen.

1. Schritt 1: sauberen Wiederherstellungspunkt und Voraussetzungen für Wiederanlauf definieren.
2. Schritt 2: Schlüssel, Zertifikate, Konfigurationen und betroffene Nachweise kontrolliert erneuern.
3. Schritt 3: Funktion, Sicherheit, Datenkonsistenz und Vertrauen vor Freigabe verifizieren.
4. Schritt 4: Ursachen und Kontrolllücken in priorisierte Architektur-, Prozess- und Trainingsmaßnahmen überführen.

Praxisanteil

• Tischübung zu einem kompromittierten Issuer-Schlüssel.
• Triage- und Kommunikationsübung bei missbräuchlichen Relying-Party-Anfragen.
• Entwicklung eines Recovery- und Verbesserungsplans nach einem Wallet-Vorfall.

Arbeitsunterlagen

Die Arbeitsunterlagen enthalten strukturierte Checklisten, Vorlagen und Referenzmodelle für die unmittelbare Weiterarbeit im Projekt. Im Seminar werden insbesondere folgende Artefakte erstellt oder vorbereitet:

• Wallet-Incident-Taxonomie und Readiness-Check
• Triage- und Lagebildvorlage
• Containment- und Trust-Decision-Plan
• Forensik- und Evidenzplan
• Melde- und Kommunikationsmatrix
• Recovery- und Lessons-Learned-Plan