Probe für den Ernstfall: So setzen Sie die erste Krisenübung der Geschäftsleitung auf

Tobias Mogk

Managing Director, Cyber Resilience

Ein Notfallplan, der nie geprobt wurde, besteht aus Annahmen: dass die Telefonnummern stimmen, dass die Vertretung ihre Befugnisse kennt, dass jemand an die Meldefristen denkt. Eine Übung prüft diese Annahmen, solange ein Fehler noch nichts kostet. Dieser Beitrag beschreibt, wie Sie eine erste Übung für die Geschäftsleitung aufsetzen: mit einem Erpressungsszenario, in etwa drei Stunden und ohne dass ein IT-System angefasst wird. Voraussetzung ist ein schriftlicher Notfallplan der Geschäftsführung, und sei er noch so knapp.

Welche Übungsform für den Anfang passt

Der BSI-Standard 200-4 unterscheidet fünf Übungsarten. In einer Planbesprechung wird ein Plan anhand einer Ausgangslage am Tisch durchgesprochen; der Standard nennt dafür typischerweise zwei bis vier Stunden. In einer Stabsübung arbeitet der Krisenstab ein Szenario ab, in das während der Übung neue Informationen eingespielt werden. Die Stabsrahmenübung bezieht zusätzlich weitere Teams ein, etwa die IT oder einen Fachbereich. Die Alarmierungsübung prüft, ob die Alarmierung funktioniert, und der Funktionstest, ob eine technische Maßnahme tatsächlich greift.

Was im Englischen „Tabletop" heißt, liegt zwischen Planbesprechung und Stabsübung. Für die erste Übung einer Geschäftsleitung empfehlen wir eine kleine Stabsübung mit wenigen Einlagen, vorbereitet durch eine kurze Alarmierungsübung. Wer zum ersten Mal übt, braucht kein ausgefeiltes Drehbuch. Er braucht ein Szenario, das zu Entscheidungen zwingt.

Vorher: die Alarmierung testen

Bevor Sie den Stab an einen Tisch setzen, prüfen Sie, ob Sie ihn überhaupt zusammenbekommen. Lösen Sie die Alarmierung so aus, wie es im Plan steht, und messen Sie, wie lange es dauert, bis alle Rollen und Vertretungen geantwortet haben. Der BSI-Standard nennt als Beispiel für ein solches Übungsziel 30 Minuten, bis alle erforderlichen Rolleninhaber den Alarm bestätigt haben. Er empfiehlt außerdem, Alarmierungen gelegentlich zu ungünstigen Zeiten zu testen, etwa nach Feierabend oder am Wochenende, und Betriebsrat und IT vorher zu informieren.

Schon dieser Test bringt meist die ersten Erkenntnisse: veraltete Nummern, eine Vertretung, die nicht weiß, dass sie eine ist, eine Kontaktliste, die nur auf dem Fileserver liegt.

Das Szenario: eine Erpressung, drei Einlagen

Für drei Stunden reichen eine Ausgangslage und drei Einlagen. Einlagen sind Informationen, die die Übungsleitung während der Übung einspielt. Ein Beispiel:

• Ausgangslage: Am Dienstagmorgen meldet die IT verschlüsselte Dateien auf mehreren Servern und eine Forderung mit dem Link zu einem Chat. Die Produktion läuft noch, das ERP-System ist nicht erreichbar.
• Einlage 1: Die Angreifer schreiben, sie hätten Kunden- und Personaldaten kopiert, und setzen eine Frist. Damit liegen Meldepflicht, Datenschutz und die Frage nach dem Lösegeld auf dem Tisch.
• Einlage 2: Ein Großkunde ruft im Vertrieb an, er habe von dem Vorfall gehört, und fragt, ob seine Lieferung kommt. Kurz darauf meldet sich die Lokalzeitung.
• Einlage 3: Die IT meldet, dass auch Teile der Backups verschlüsselt sind und die Wiederherstellung deutlich länger dauern wird als geplant.

Jede Einlage zielt auf eine Entscheidung, die im Plan geregelt sein sollte. Der BSI-Standard rät, ein Szenario so zu bauen, dass jede Funktion im Stab mindestens eine Aufgabe bekommt, ohne eine einzelne Person zum Flaschenhals zu machen. In diesem Beispiel hat die Kommunikation mit Einlage 2 zu tun, Datenschutz und Recht mit Einlage 1, die IT und die Produktionsleitung mit Einlage 3.

Wer welche Rolle übernimmt

Neben den Übenden, also den Mitgliedern des Krisenstabs, braucht es drei weitere Rollen. Die Übungsleitung steuert den Ablauf, spielt die Einlagen ein und darf vom Zeitplan abweichen oder die Übung abbrechen. Die Übungsprotokollierung hält fest, was passiert. Sie ist nicht dasselbe wie das Protokoll, das der Stab selbst führt. Optional beobachten eine oder zwei Personen neutral und greifen nicht ein.

Da die Geschäftsführung selbst übt, sollte jemand anderes die Übung leiten. Das kann eine Person aus dem Unternehmen mit Erfahrung im Notfallmanagement sein oder ein externer Moderator. Entscheidend ist, dass sie die Übung auch gegenüber der Geschäftsführung steuern darf, etwa wenn eine Diskussion zu lange dauert.

Ablauf in drei Stunden

1. Einweisung: Ziel der Übung, Spielregeln, keine Kommunikation nach außen. Das Szenario wird nicht infrage gestellt, auch wenn es an einer Stelle unrealistisch wirkt.
2. Ausgangslage und erste Lagefeststellung. Halten Sie fest, wann der Stab den Notfall ausruft; der BSI-Standard empfiehlt, diese Zeit zu messen.
3. Die drei Einlagen im Abstand von etwa 30 bis 40 Minuten.
4. Offizielles Ende durch die Übungsleitung. Der Standard betont, dass ein klares Ende wichtig ist, weil Übungen emotional werden können und danach die Übungsregeln nicht mehr gelten.
5. Auswertungsrunde: zuerst die Übenden, danach Protokoll und Beobachtung.

Worauf die Beobachtung achtet

Gute Beobachtung bewertet keine Personen, sondern den Plan und die Zusammenarbeit. Hilfreich sind wenige, konkrete Fragen:

• Wer hat welche Entscheidung getroffen, und war die Person dazu befugt?
• Welche Information fehlte im Moment der Entscheidung, etwa eine Telefonnummer, die Policennummer oder eine Vertragsklausel?
• Wann hat jemand an die Meldefristen gedacht, und wer hatte die Uhr im Blick?
• Wurde zwischen gesichertem Wissen und Vermutung unterschieden?
• Ließe sich der Verlauf anhand des Stabsprotokolls später nachvollziehen?

Was erste Übungen typischerweise zeigen

In ersten Übungen tauchen bestimmte Lücken immer wieder auf. Die Kontaktliste liegt auf einem System, das im Szenario verschlüsselt ist. Niemand weiß, wo die Police der Cyberversicherung liegt und wer dort anruft. Die Entscheidung, Standorte vom Netz zu trennen, wird vertagt, weil unklar ist, wer sie treffen darf. Und bei Einlage 2 hat der Vertrieb dem Kunden schon geantwortet, bevor der Stab sich auf eine Sprachregelung geeinigt hat. Keiner dieser Punkte ist schwer zu beheben, wenn er einmal sichtbar ist.

Nach der Übung

Das Ergebnis ist ein kurzer Übungsbericht mit Korrekturbedarfen, jeweils mit verantwortlicher Person und Termin. Der BSI-Standard stellt klar, dass eine fehlerfreie Übung kein Erfolgskriterium ist. Erfolgreich ist eine Übung, wenn sie Lerneffekte bringt und die erkannten Lücken anschließend geschlossen werden. Wie Sie Erkenntnisse sauber formulieren und priorisieren, beschreiben wir im Beitrag zur Tabletop-Übung für Incident Response und BCM.

Planen Sie die nächste Übung gleich mit. Der BSI-Standard nennt als Beispiel eine mindestens jährliche Stabsübung für alle Mitglieder des Krisenstabs und ihre Vertretungen. Wenn Sie die erste Übung lieber moderieren lassen möchten, finden Sie unser Format unter Crisis Management und Tabletop-Übungen.