Tabletop-Übung für Incident Response und BCM: von der Beobachtung zur priorisierten Maßnahme

Tobias Mogk

Managing Director, Cyber Resilience

Eine Tabletop-Übung ist schnell organisiert: ein Raum, ein Szenario, die richtigen Leute. Schwieriger ist, was danach kommt. Oft endet die Übung mit einer langen Liste von Beobachtungen, die niemand priorisiert und die im nächsten Jahr wieder auftauchen. Dieser Beitrag richtet sich an IT-Leitung, Informationssicherheit und BCM-Verantwortliche. Er zeigt, wie Sie eine Übung auf die Schnittstelle zwischen Incident Response (IR) und Business Continuity Management (BCM) ausrichten, Ziele messbar machen und aus den Ergebnissen eine priorisierte Maßnahmenliste ableiten.

Was sich am Tisch prüfen lässt und was nicht

Am Tisch lassen sich Entscheidungen, Rollen, Informationsflüsse und die Plausibilität von Plänen prüfen. Nicht prüfen lässt sich, ob eine Wiederherstellung tatsächlich in der geforderten Zeit gelingt. Dafür gibt es Funktionstests. Der BSI-Standard 200-4 beschreibt beide als aufeinander aufbauend: Zuerst wird in einer Planbesprechung geprüft, ob die beschriebenen Schritte schlüssig sind, danach in einem Funktionstest, ob sie in der Praxis funktionieren.

Für die Schnittstelle zwischen IR und BCM ist die Übung am Tisch besonders ergiebig. Der Standard beschreibt den typischen Verlauf eines Cyberangriffs: Er wird zunächst vom IT-Incident-Management bearbeitet, dann als schwerer Sicherheitsvorfall von der Informationssicherheit koordiniert. Wird der Geschäftsbetrieb massiv beeinträchtigt, kommt der Krisenstab dazu. An diesen Übergängen zeigen Übungen, wo Entscheidungswege unklar sind oder Zuständigkeiten fehlen.

Übungsziele, die sich auswerten lassen

„Krisenfähigkeit testen" ist kein Übungsziel, weil sich hinterher nicht sagen lässt, ob es erreicht wurde. Brauchbare Ziele beschreiben ein beobachtbares Ergebnis. Zum Beispiel:

• Die Übergabe vom IT-Incident-Management an den Krisenstab erfolgt anhand der im Plan festgelegten Kriterien.
• Der Stab stellt fest, ob ein meldepflichtiger Vorfall vorliegt, und dokumentiert die Entscheidung mit Uhrzeit.
• Die Reihenfolge des Wiederanlaufs folgt den Wiederanlaufzeiten aus der Business-Impact-Analyse.
• Die Zeit vom Beginn der Übung bis zum Ausrufen des Notfalls wird gemessen.

Der letzte Punkt geht auf eine Empfehlung des BSI-Standards zurück. Die Zeit bis zum Ausrufen des Notfalls ist Teil der Reaktionszeit, die von der maximal tolerierbaren Ausfallzeit eines Prozesses abgeht. Wer sie nie gemessen hat, plant mit einer Annahme.

Drei bis vier Ziele pro Übung reichen. Mehr lassen sich in einem halben Tag nicht sauber beobachten.

Szenario und Einlagen entlang der Übergänge

Bauen Sie das Szenario so, dass es die Übergänge durchläuft. Ein Beispiel: Ein Alarm aus der Endpoint-Erkennung (EDR) wird zunächst als Einzelfall behandelt. Dann melden Fachbereiche nicht erreichbare Dateiablagen, kurz darauf fällt das ERP-System aus. Eine weitere Einlage liefert Hinweise auf einen Datenabfluss, eine letzte betrifft einen Dienstleister, dessen Fernwartungszugang als Einfallstor infrage kommt.

Jede Einlage sollte mindestens ein Übungsziel bedienen. Ist Ihr IT-Betrieb ganz oder teilweise ausgelagert, gehört der Dienstleister an den Tisch oder wird durch eine Person vertreten, die seine Verträge und Ansprechpartner kennt. Der BSI-Standard empfiehlt bei Übungen mit Dienstleistern, gezielt nach Zielkonflikten zwischen den eigenen Plänen und denen des Dienstleisters zu suchen. Solche Konflikte finden sich häufig bei Wiederanlaufzeiten, die intern zugesagt, aber im Vertrag mit dem Dienstleister nie vereinbart wurden.

Beobachten und festhalten

Der Wert der Auswertung hängt an der Protokollierung. Trennen Sie das Übungsprotokoll, das den Verlauf aus neutraler Sicht festhält, vom Protokoll, das der Stab im Rahmen der Übung selbst führt. Beobachtende bekommen pro Übungsziel wenige Leitfragen und notieren Uhrzeiten. Ohne Zeitstempel lässt sich später nicht sagen, ob eine Frist im Ernstfall gehalten worden wäre.

Für die Auswertungsrunde direkt nach der Übung hält der BSI-Standard eine bestimmte Reihenfolge für hilfreich: zuerst die aktiven Teilnehmenden, danach Protokoll und Beobachtung. So kommen die Eindrücke der Übenden unverstellt auf den Tisch.

Findings formulieren

Ein brauchbares Finding hat vier Teile: die Beobachtung, ihre Auswirkung im Ernstfall, die vermutete Ursache und den Bezug zum Übungsziel. Für die Ursache genügen vier Kategorien. Der Plan fehlt, ist falsch oder veraltet. Eine Rolle ist unklar, doppelt besetzt oder ohne Vertretung. Eine Ressource fehlt, etwa ein Zugang, ein Werkzeug oder ein Kontakt. Oder der Plan ist richtig, aber den Beteiligten unbekannt, dann ist es ein Trainingsthema.

Ein Beispiel: Der Stab diskutierte lange, ob die Standortverbindungen getrennt werden dürfen. Im Ernstfall hätte sich Schadsoftware in dieser Zeit weiter ausbreiten können. Die Ursache liegt in der Rolle: Wer die Trennung freigeben darf, ist nirgends geregelt. Betroffen ist das Ziel, die Übergabe nach festgelegten Kriterien zu prüfen.

Der BSI-Standard unterscheidet zwischen Korrekturbedarfen und Verbesserungsmöglichkeiten. Die Unterscheidung lohnt sich: Ein Korrekturbedarf bedeutet, dass der Plan an dieser Stelle im Ernstfall nicht funktionieren würde. Eine Verbesserungsmöglichkeit macht ihn besser, ohne dass er ohne sie versagt.

Priorisieren mit drei Fragen

Für die Reihenfolge reichen drei Fragen je Finding:

1. Gefährdet die Lücke die Wiederanlaufzeit eines zeitkritischen Prozesses aus der Business-Impact-Analyse?
2. Gefährdet sie eine gesetzliche oder vertragliche Frist, etwa die Erstmeldung binnen 24 Stunden nach § 32 BSIG, die 72 Stunden nach Art. 33 DSGVO oder Informationspflichten aus Kundenverträgen?
3. Wie aufwendig ist die Behebung, und kann ein Bereich sie allein umsetzen?

Was bei Frage 1 oder 2 mit Ja beantwortet wird, kommt nach oben, unabhängig vom Aufwand. Kleine Punkte mit großer Wirkung, etwa eine aktualisierte Kontaktliste oder eine schriftliche Freigabe, erledigen Sie sofort. Größere Themen wie ein fehlender Wiederanlaufplan für das ERP-System bekommen einen eigenen Auftrag mit Termin. Alles andere wandert in den regulären Maßnahmenplan.

Vom Bericht zur Umsetzung

Der BSI-Standard verlangt für jede Übung einen Übungsbericht und sieht vor, dass die Ergebnisse in den Maßnahmenplan des BCM übernommen werden. In der Praxis scheitert es meist an zwei Stellen: Maßnahmen ohne verantwortliche Person und Berichte, die die Geschäftsleitung nie zu sehen bekommt. Ordnen Sie deshalb jedem Finding eine Person und einen Termin zu und stellen Sie die wichtigsten Punkte der Geschäftsleitung vor, mit der Frage, welche Entscheidungen oder Mittel Sie brauchen.

Für Unternehmen unter NIS2 hat der Bericht zusätzlich eine Nachweisfunktion. § 30 BSIG verlangt neben der Bewältigung von Sicherheitsvorfällen und dem Krisenmanagement auch Konzepte zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Ein dokumentierter Zyklus aus Übung, Bericht und Umsetzung ist dafür ein naheliegender Beleg. Wer nach ISO 22301 arbeitet, braucht ohnehin ein Übungsprogramm.

Nachtesten statt abhaken

Eine Maßnahme ist erst wirksam, wenn sie geprüft ist. Neue Kontaktlisten testen Sie mit einer Alarmierungsübung, einen überarbeiteten Wiederanlaufplan mit einem Funktionstest, eine neue Eskalationsregel in der nächsten Übung am Tisch. Der BSI-Standard empfiehlt eine Jahresübungsplanung über mindestens zwölf Monate, in der die Übungsarten aufeinander aufbauen. Wie Runbooks und Rollen gestaltet sein sollten, damit sie sich überhaupt testen lassen, beschreiben wir im Beitrag zu Runbooks und Rollen in Incident Response und BCM.

Der nächste Schritt

Starten Sie Ihre nächste Übung mit einem Szenario und drei bis vier messbaren Zielen statt mit einem umfassenden Drehbuch. Eine moderierte Übung mit Abschlussbericht und priorisierten Empfehlungen bieten wir unter Crisis Management und Tabletop-Übungen an. Weitere Übungsformate finden Sie auf unserer Seite zu Notfallübungen.