Der Incident ist vorbei, die Systeme laufen wieder, und vor dir liegt ein Berg aus Notizen, die mitten in der Nacht entstanden sind. Uhrzeiten fehlen, Reihenfolgen stimmen nicht, und irgendwo steht nur noch „Server komisch, neu gestartet“. Genau hier setzt diese Anleitung an. Du lernst, wie du mit ChatGPT aus diesem Material eine saubere Timeline, eine Lückenanalyse, eine Management-Zusammenfassung, technische Berichte und Lessons Learned erstellst. Der Aufwand, der früher Stunden gedauert hat, schrumpft dabei auf wenige Minuten. Die Dokumentation bleibt trotzdem deine Aufgabe: Die KI strukturiert, prüfen musst du selbst.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
Wichtigste Erkenntnisse
- Dokumentation ist keine Kür. Versicherung, Compliance (DSGVO, NIS2), Rechtsabteilung und das eigene Team brauchen sie, und zwar nachvollziehbar.
- Unvollständige Rohnotizen sind ein brauchbarer Ausgangspunkt. Fehlende Zeitstempel markiert ChatGPT als „unbekannt“ oder „geschätzt“, statt sie zu erfinden.
- Präzise Prompts mit Rolle, Format und Kategorien liefern verwertbare Ergebnisse. Unscharfe Fragen liefern unscharfe Antworten.
- Lücken solltest du systematisch erfassen und schließen, bevor ein Report nach außen geht.
- Ein Report passt nicht für alle. Management, Security-Team, Compliance und Versicherung brauchen unterschiedliche Versionen aus demselben Material.
- Jede KI-Ausgabe musst du fachlich prüfen, bevor du sie weitergibst.
Schritt 1: Rohdaten sammeln
Der erste Schritt klingt banal, entscheidet aber über die Qualität des gesamten Reports. Sammle alles, was du zum Vorfall hast: deine Notizen, Chatverläufe, Auszüge aus Logs, Tickets, E-Mails und Screenshots von Alarmen. Schreibe alles in eine einzige Textdatei oder kopiere es in ein Dokument. Es spielt keine große Rolle, ob die Einträge sortiert oder vollständig sind. Ein Eintrag wie „Incident Dienstag, ca. 14 Uhr, Verdacht auf Ransomware-Aktivität auf dem Backup-Server“ ist für die KI wertvoller als gar keine Angabe. Achte nur darauf, keine Zugangsdaten, Passwörter oder unnötige personenbezogene Daten mitzukopieren.
Schritt 2: Den Timeline-Prompt richtig formulieren
Jetzt öffnest du ChatGPT und formulierst den Auftrag. Gib der KI eine Rolle, zum Beispiel „Du bist ein Incident-Response-Dokumentationsspezialist“. Danach beschreibst du die Aufgabe: Die Notizen sollen in eine professionelle, chronologisch sortierte Incident-Timeline überführt werden. Zeitstempel solltest du im ISO-Format anfordern und Schätzungen ausdrücklich als „geschätzt“ kennzeichnen lassen. Lege außerdem die Phasen fest, in die jeder Eintrag einzuordnen ist: Detection, Containment, Eradication und Recovery. Lücken sollen als „unbekannt“ oder „zu klären“ gekennzeichnet werden. Zum Schluss legst du das Ausgabeformat fest, etwa als Tabelle mit den Spalten Timestamp, Phase, Ergebnis und Akteur/Quelle. Je genauer dieser Teil ist, desto weniger Nacharbeit fällt später an.
Schritt 3: Notizen einfügen und Timeline prüfen
Füge im Anschluss deine gesammelten Notizen unter den Prompt ein und sende die Anfrage ab. Achte darauf, dass du wirklich die Notizen einfügst und nicht versehentlich eine andere Zwischenablage. Die Antwort kommt meist nach wenigen Sekunden. Du erhältst eine Tabelle, in der Einträge nach Zeit sortiert und den Phasen zugeordnet sind. Lies diese Timeline nicht nur oberflächlich durch. Vergleiche die wichtigsten Zeitpunkte mit deinen Logs und Erinnerungen. Die KI kennt deine Systeme nicht, sie ordnet nur das ein, was du ihr gegeben hast. Frage im Zweifel nach, wenn ein Eintrag unplausibel wirkt.
Schritt 4: Lücken gezielt aufdecken
Eine Timeline mit Lücken ist kein Fehler, sondern der eigentliche Mehrwert. Der nächste Prompt lautet sinngemäß: „Welche kritischen Informationen fehlen noch?“ Bitte die KI, die fehlenden Informationen nach ihrer Bedeutung zu sortieren. Dabei gibt es drei Stufen: erforderlich für den Incident-Report, wichtig für Lessons Learned und nice to have für die Vollständigkeit. Die Antwort ist eine konkrete Rechercheliste. Sie zeigt dir, wo der Report angreifbar wäre. Ohne diese Angaben ist eine interne Lagebesprechung in Ordnung, für Audit, Cyber-Versicherung oder eine rechtliche Bewertung reicht die Dokumentation aber nicht aus.
Schritt 5: Die Lücken priorisiert schließen
Die Liste mit den fehlenden Informationen ist deine Arbeitsgrundlage für die nächsten Stunden. Zu den erforderlichen Punkten gehören in der Regel der initiale Zugangsweg und die Angriffsphase, der Scope und die Auswirkungen, die Identität und die Rechte des Angreifers sowie Details zu einer möglichen Ransomware. Für die Lessons Learned brauchst du Angaben zur Detection, zu Reaktionszeiten, zu Prozessen und Verantwortlichkeiten, zu Backup und Recovery sowie zu den bestehenden Security Controls. Nice to have sind forensische Details, Threat Intelligence und Kommunikationsverläufe. Arbeite die Liste von oben nach unten ab und trage die Antworten nach, sobald du sie hast. Anschließend fügst du die ergänzten Informationen in den Prompt ein, damit die Timeline aktualisiert wird.
Schritt 6: Executive Summary für das Management erstellen
Das Management braucht keinen zehnseitigen Bericht, sondern eine kurze, verständliche Lagebeschreibung. Dafür formulierst du einen Prompt, der den Umfang und die Struktur klar vorgibt: etwa maximal 300 Wörter, keine technischen Details, sachlicher Ton. Die Gliederung kann lauten: Incident Overview, Business Impact, Response and Action, Current Status, Next Steps und Empfehlungen. Der Business Impact sollte konkret benannt werden: Welche Systeme waren betroffen, welche Geschäftsprozesse standen still, sind Daten abgeflossen? Sind die Auswirkungen noch nicht vollständig absehbar, sollte der Text das ehrlich sagen. Die Empfehlungen für die kommenden Monate, etwa zu Zugriffskontrolle, Überwachung und Backup-Strategien, lassen sich hier gleich mit aufnehmen.
Schritt 7: Den technischen Incident-Report erstellen
Für das Security-Team, Audits und Versicherer brauchst du eine technischere Fassung. Formuliere den Prompt als Auftrag für einen technischen Incident-Report auf Basis aller bisherigen Informationen. Lege die Struktur fest: Executive Summary, technische Timeline, Attack Analysis, Indicators of Compromise und Empfehlungen. Bitte außerdem um eine Zuordnung der Angriffstechniken zum MITRE-ATT&CK-Framework und um ein Markdown-Format mit klaren Überschriften. Die Attack Analysis umfasst typischerweise den initialen Zugriff, die Ausführung, die Persistenz, die Rechteausweitung und die Auswirkungen. Ist der Angriffsvektor noch unbekannt, sollte die KI dies als Hypothese mit Wahrscheinlichkeitsangabe kennzeichnen, etwa als möglichen Credential Compromise über ein Phishing-Konto. Prüfe auch hier jeden Punkt gegen deine Fakten, bevor der Bericht das Haus verlässt.
Schritt 8: Zielgruppenspezifische Varianten ableiten
Aus demselben Material lassen sich mehrere Berichte erzeugen, die jeweils auf eine Zielgruppe zugeschnitten sind. Für die Cyber-Versicherung brauchst du den zeitlichen Ablauf, die Schadensauswirkungen und die getroffenen Maßnahmen. Der Compliance-Report richtet sich an den Datenschutzbeauftragten oder an Auditoren und behandelt die DSGVO-Bewertung, den Datenfluss, die Meldepflichten und die Schutzmaßnahmen. Für die Geschäftsführung oder den Vorstand kannst du außerdem eine Präsentation mit Folien anfordern. Ebenso möglich sind eine Audit-Version etwa für ISO 27001 oder ein Threat-Modell für ein Red Team. Formuliere für jede Variante einen eigenen Prompt, der Zielgruppe, Umfang und Schwerpunkte nennt.
Schritt 9: Lessons Learned strukturiert festhalten
Der wichtigste Teil für die Zukunft ist oft der unscheinbarste. Bitte ChatGPT um eine Lessons-Learned-Analyse mit den Rubriken: Was lief gut? Was lief schlecht? Was hat gefehlt? Danach folgen Quick Wins und Action Items, jeweils mit Verantwortlichem (Owner) und Frist (Deadline). Gerade die Action Items sind wertvoll, weil sie aus Gesprächen eine nachverfolgbare Aufgabenliste machen. Diskutiere die Ergebnisse im Team, streiche unrealistische Punkte und ergänze, was die KI nicht wissen konnte. Erst dann ist die Analyse wirklich nützlich.
Zusammenfassung – Incident-Timeline mit ChatGPT erstellen: Report aus Notizchaos
Der Dokumentationsworkflow besteht aus wenigen klaren Schritten. Du sammelst zuerst alle Rohdaten, lässt daraus eine chronologische Timeline erstellen und identifizierst anschließend die Lücken. Diese schließt du so weit wie möglich, bevor du die Berichte erzeugst. Für jede Zielgruppe entsteht eine eigene Fassung: Die Executive Summary für das Management, der technische Report für das Security-Team, die Compliance-Version für Datenschutz und Audit und der Versicherungsreport für die Cyber-Versicherung. Zum Abschluss hältst du die Lessons Learned fest und machst daraus Action Items mit Verantwortlichen und Fristen. Die KI übernimmt dabei die Strukturierung, die Verantwortung für Inhalt und Richtigkeit bleibt bei dir.
FAQ
Darf ich echte Vorfalldaten in ChatGPT eingeben?Nur mit Vorsicht. Entferne Zugangsdaten, Kundendaten und unnötige personenbezogene Daten, bevor du Notizen einfügst. Prüfe außerdem die Nutzungsbedingungen und die internen Richtlinien deines Unternehmens. Bei sensiblen Inhalten lohnt sich eine Unternehmenslizenz mit klarer Datenschutzzusage.
Muss ich die Timeline nach der KI-Erstellung noch prüfen?Unbedingt. ChatGPT ordnet nur die Informationen, die du geliefert hast, und kennt deine Systeme nicht. Jeder Zeitstempel und jede Schlussfolgerung muss gegen Logs, Tickets und Zeugenaussagen geprüft werden.
Reicht eine KI-generierte Timeline für die Cyber-Versicherung?In der Regel nicht allein. Versicherer erwarten zusätzlich die Schadensauswirkungen, die getroffenen Maßnahmen und oft belastbare Nachweise. Nutze die Versicherungsvariante als Grundlage und kläre die genauen Anforderungen mit deinem Anbieter.
Welches Zeitformat sollte ich für die Timeline verwenden?Das ISO-8601-Format, etwa 2024-03-12T14:35:00+01:00, ist ideal, weil es eindeutig und maschinenlesbar ist. Unsichere Angaben kennzeichnest du als geschätzt, damit niemand sie für gesichert hält.
Wie oft sollte ich die Berichte aktualisieren?Immer dann, wenn neue Informationen vorliegen. Die Lückenliste ist dafür ein guter Anhaltspunkt. Bei jeder Aktualisierung solltest du die Versionen nummerieren und das Datum vermerken, damit der Verlauf nachvollziehbar bleibt.
