With the increasing digitization of critical infrastructures, highly organized threat actors pose significant threats to the confidentiality, integrity, and availability of IoT systems. While implementing security controls enhances cybersecurity, a residual risk persists. Driven by legal mandates, critical infrastructure operators must now address these residual risks through incident response measures. Given the heterogeneity and resource constraints of IoT systems, there is an urgent need for innovative incident response strategies. The NIST Incident Response Lifecycle provides a framework for this dissertation, which explores the application of digital twins in incident response for IoT systems. By adhering to the four phases of the NIST Incident Response Lifecycle, this dissertation advances three key areas: Digital Twins, Preparation & Detection, and Response & Learning. First, this dissertation extends the role of digital twins beyond mere incident response. Second, it addresses the Preparation & Detection phases of the NIST Incident Response Lifecycle, focusing on integrating smaller IoT devices and considering situational awareness in intrusion detection systems both in hosts and networks. Subsequently, this dissertation delves into the Containment, Eradication, Recovery, & Post-Incident phases, tailoring incident response processes to organizational IoT systems' nuances and automating reactive and proactive playbooks for security orchestration, automation, and response.
With the rise of new legal requirements and highly organized threat groups, this dissertation strives to contribute to more secure critical infrastructures with incident responses for IoT systems.

Mit der zunehmenden Digitalisierung kritischer Infrastrukturen stellen hochorganisierte Bedrohungsakteure eine erhebliche Gefahr für die Vertraulichkeit, Integrität und Verfügbarkeit von IoT-Systemen dar. Während die Implementierung von Sicherheitskontrollen die Cybersicherheit verbessert, bleibt ein Restrisiko bestehen. Aufgrund gesetzlicher Vorgaben sind Betreiber kritischer Infrastrukturen nun dazu verpflichtet, dieses Restrisiko durch Maßnahmen zur Reaktion auf Sicherheitsvorfälle zu adressieren. Angesichts der Heterogenität und begrenzten Ressourcen von IoT-Systemen besteht ein dringender Bedarf an innovativen Strategien für die Incident Response.

Der NIST Incident Response Lifecycle bildet den Rahmen dieser Dissertation, die den Einsatz digitaler Zwillinge in der Incident Response für IoT-Systeme untersucht. Entlang der vier Phasen des NIST Incident Response Lifecycle werden dabei drei zentrale Bereiche weiterentwickelt: Digitale Zwillinge, Vorbereitung & Erkennung sowie Reaktion & Lernen.

Erstens erweitert diese Dissertation die Rolle digitaler Zwillinge über ihre bisherige Anwendung in der Incident Response hinaus. Zweitens wird die Phase der Vorbereitung & Erkennung betrachtet, wobei insbesondere die Integration kleinerer IoT-Geräte sowie die Berücksichtigung von Situationsbewusstsein in Intrusion Detection Systemen auf Host- und Netzwerkebene im Fokus stehen. Anschließend wird auf die Phasen Eindämmung, Eliminierung, Wiederherstellung & Nachbearbeitung eingegangen, wobei Incident-Response-Prozesse an die Besonderheiten organisatorischer IoT-Systeme angepasst und sowohl reaktive als auch proaktive Playbooks für Security Orchestration, Automation und Response automatisiert werden.

Angesichts neuer gesetzlicher Anforderungen und hochorganisierter Bedrohungsgruppen leistet diese Dissertation einen Beitrag zur Verbesserung der Sicherheit kritischer Infrastrukturen durch Incident Response für IoT-Systeme.