After-Action-Review (AAR): Ablauf, Vorlage und Maßnahmenplan

Was ist ein After-Action-Review?

Ein After-Action-Review (AAR) ist eine Nachbesprechung mit festem Ablauf. Es wertet eine Übung oder einen realen Vorfall aus und hält fest, was das Team daraus ändert. Die Methode stammt aus dem militärischen Kontext (US Army, TC 25-20) und gehört heute in Krisenmanagement und Cybersicherheit zum Standard. Im Kern vergleicht das Team Soll und Ist: Was war geplant, was ist passiert, warum, und was ändern wir? Mit einer lockeren Manöverkritik nach dem Muster „Wie war's?“ hat das wenig zu tun. Ein AAR wird moderiert, folgt einem festen Ablauf und endet mit dokumentierten Maßnahmen, für die jeweils eine Person verantwortlich ist. In der IT-Notfallplanung ist es fest verankert: Die NIST SP 800-84 (Guide to Test, Training, and Exercise Programs) sieht die Auswertung mit Verbesserungsplan als festen Bestandteil jedes Übungsprogramms vor.

After-Action-Review oder After-Action-Report?

Beide werden mit AAR abgekürzt, meinen aber zwei verschiedene Dinge. Das After-Action-Review ist der Prozess, also die moderierte Auswertung mit dem Team. Der After-Action-Report ist das Dokument, das die Ergebnisse festhält. Mit ihm arbeiten die Maßnahmenverantwortlichen, er informiert die Leitung, und er ist der Beleg, den Sie im Audit vorlegen. Die NIST SP 800-84 beschreibt den After-Action-Report als Ergebnis der Auswertungsphase: Er enthält Hintergrund zur Übung (Zweck, Ziele, Teilnehmende, Szenario), die Beobachtungen von Moderation und Beobachtern sowie Empfehlungen zur Verbesserung des geübten Plans. Die Bewertungskriterien sollten schon vor der Übung feststehen, damit die Beobachtenden wissen, worauf sie achten sollen.

Wie schreibe ich einen After-Action-Report?

Schreiben Sie den After-Action-Report direkt nach dem formalen AAR, solange alle noch wissen, wer wann was gesagt hat. Grundlage sind die Notizen von Moderation und Beobachtenden und die erwarteten Reaktionen aus der MSEL. In der Praxis funktioniert diese Gliederung in fünf Teilen:

1. Zusammenfassung: eine halbe Seite für die Geschäftsleitung. Welches Szenario wurde geübt, was hat gut funktioniert, wo liegen die größten Lücken, welche Maßnahmen sind am dringendsten?
2. Kontext und Übungsziele: Zweck, Szenario, Datum, Teilnehmende, Übungsform und die Bewertungskriterien, die vorab festgelegt wurden.
3. Ablauf und Beobachtungen: je Inject oder Themenbereich, was erwartet war und was tatsächlich passiert ist. Wertfrei und mit Uhrzeit.
4. Bewertung und Ursachen: zu jeder Abweichung die Ursache, nicht nur das Symptom. Halten Sie ausdrücklich auch fest, was gut funktioniert hat.
5. Maßnahmenplan und Freigabe: jede Erkenntnis als Maßnahme mit verantwortlicher Person, Frist und Wirksamkeitsprüfung. Die Leitung gibt den Plan frei, der Termin der Folgeübung steht schon drin.

Schreiben Sie Beobachtungen als Tatsachen, die sich prüfen lassen: „Die Meldung an die Behörde erfolgte nach 2,5 Stunden.“ Ein Urteil wie „Die Kommunikation war schlecht“ bringt niemanden weiter. Die kostenlose Vorlage oben enthält die Teile 2 bis 5 schon als Abschnitte zum Ausfüllen.

Welche Fragen beantwortet ein After-Action-Review?

Ein AAR beantwortet vier Leitfragen, und zwar in dieser Reihenfolge:

1. Was sollte passieren?
2. Was ist tatsächlich passiert?
3. Warum gab es Abweichungen?
4. Was verbessern wir konkret, und wer ist verantwortlich?

Bleibt die Diskussion an der Oberfläche, helfen Detailfragen: Welche Information fehlte zu welchem Zeitpunkt? Wer hat wann was entschieden, und auf welcher Grundlage? Welche Annahme im Plan hat sich als falsch erwiesen? Und was hat gut funktioniert und soll genau so bleiben?

AAR oder Lessons Learned: Wo ist der Unterschied?

Die beiden Begriffe werden oft gleichbedeutend verwendet. Das AAR ist die Sitzung direkt nach der Übung. Lessons Learned sind das, was danach bleibt: aufbereitete Erkenntnisse, die geteilt werden und in Prozesse einfließen.

Wie läuft ein After-Action-Review ab?

Bewährt hat sich ein Vorgehen in zwei Stufen. Direkt nach der Übung kommt eine kurze Nachbesprechung (Hot Wash), solange alle Eindrücke frisch sind. Ein paar Tage später folgt das formale AAR. Eine neutrale Moderation führt durch die vier Leitfragen, hält Beobachtungen wertfrei fest und trennt Symptome von Ursachen. Nach einer Tabletop Exercise ist der Maßstab schon vorhanden: In der MSEL steht zu jedem Inject die erwartete Reaktion. Daran messen Sie, was das Team tatsächlich getan hat. So sehen Sie Stärken und Lücken schwarz auf weiß, und jede Erkenntnis wird zu einer Maßnahme mit verantwortlicher Person und Frist.

Wie aus Findings ein Maßnahmenplan wird

Im Maßnahmenplan wird jedes Finding zu einer Aufgabe mit verantwortlicher Person, Frist und Priorität. Gleich beim Anlegen legen Sie auch fest, wie Sie die Wirksamkeit prüfen. Fehlt diese letzte Spalte, weiß später niemand, ob die Lücke geschlossen ist. So kann ein Maßnahmenplan nach einer Ransomware-Übung aussehen (Beispielzeilen):

• Eine verantwortliche Person pro Maßnahme: ein Name, kein Team.
• Frist als Datum: „zeitnah“ kann niemand nachhalten.
• Priorität nach Risiko: Was im Ernstfall den größten Schaden anrichtet, kommt zuerst.
• Status nachhalten: Überfällige Maßnahmen gehören in den Bericht an die Geschäftsleitung.
• Wirksamkeitsprüfung vorab festlegen: Woran erkennen Sie, dass die Maßnahme wirkt?

Lessons Learned richtig formulieren

Eine brauchbare Lesson Learned beschreibt eine beobachtete Tatsache, ihre Ursache und was daraus folgt. Schuld verteilt sie nicht. Mit einem Satz wie „Die Kommunikation war schlecht“ kann niemand arbeiten, und prüfen lässt er sich auch nicht. Die Beispiele zeigen den Unterschied:

Faustregel: Wenn niemand aus einer Lesson eine Maßnahme ableiten kann, ist sie zu allgemein. Wie Sie die Wiederanlaufplanung aufbauen, zeigt der Beitrag zum IT-Notfallplan.

Wie prüfen Sie, ob Maßnahmen wirken?

Mit einer Folgeübung, die genau die geschlossene Lücke testet. Dass eine Maßnahme erledigt ist, heißt nur, dass jemand etwas getan hat. Ob es im Ernstfall hält, zeigt erst die nächste Übung. So gehen Sie vor:

1. Legen Sie das Prüfkriterium schon im Maßnahmenplan fest, z. B.: Die Stellvertretung löst die Meldung innerhalb der vorgesehenen Frist aus.
2. Planen Sie in der nächsten Übung einen Inject ein, der genau diese Schwachstelle trifft. Das kann dasselbe Szenario sein oder eine Variante davon.
3. Messen Sie das Ergebnis und vergleichen Sie es mit der Vorübung: Wie lange hat die Eskalation diesmal gedauert? Taucht dasselbe Finding wieder auf?
4. Schließen Sie die Maßnahme erst, wenn das Kriterium erfüllt ist. Sonst leiten Sie eine neue Maßnahme ab.

Genau das verlangt auch ISO/IEC 27001: Control A.5.27 (Erkenntnisse aus Informationssicherheitsvorfällen) fordert, Erkenntnisse zur Verbesserung der Sicherheitsmaßnahmen zu nutzen; Abschnitt 10.2 (Nichtkonformität und Korrekturmaßnahmen) verlangt, die Wirksamkeit ergriffener Korrekturmaßnahmen zu überprüfen. Wie ein vollständiger Übungsnachweis für das Audit aussieht, zeigt unser Leitfaden ISO 27001 Notfallmanagement.

AAR nach einem realen Vorfall

Nach einem realen Sicherheitsvorfall gehört die Nachbereitung genauso fest dazu. Die NIST SP 800-61 Rev. 3 stellt die „Post-Incident“-Aktivität, also Lessons Learned und Verbesserung, als eigene Phase des Incident-Response-Zyklus heraus. Das AAR nach einem Vorfall folgt denselben vier Leitfragen wie nach einer Übung. Die Ergebnisse fließen zurück in den Incident-Response-Plan, in die Playbooks und in die nächste Übung.

Was SecDrills Ihnen beim After-Action-Report abnimmt

Wer schon einmal nach einer Übung aus drei Notizblöcken und einem Chatverlauf einen Report zusammengesetzt hat, kennt den Aufwand. In SecDrills entsteht der After-Action-Report während der Übung: Jede Einschätzung und jede Entscheidung wird mit Rolle und Zeitstempel festgehalten. Nach der letzten Entscheidung enthält der Report Scores pro Themenbereich, eine Ampelübersicht (RAG), die Zuordnung zu NIS2 und DORA und priorisierte Maßnahmen. Sie exportieren ihn als PDF, Word oder HTML. Über mehrere Übungen hinweg entsteht ein Trend, mit dem Sie Geschäftsführung und Auditoren zeigen, dass Ihr Team besser wird.

Eine extern moderierte Übung kostet meist 5.000 bis 15.000 Euro. Bei SecDrills enthält der Drill Pass für € 490 eine Übung im Solo-Modus, den Report können Sie 30 Tage lang exportieren. Für Übungen im Team gibt es das Jahrespaket Essentials ab € 1.490 im Jahr. Wenn Sie Übung und Nachbesprechung lieber moderieren lassen, buchen Sie die Guided Exercise für € 3.900 dazu: Scoping-Workshop vorab, Live-Moderation, Nachbesprechung und AAR-Review durch unser Team. Alle Preise netto. Im kostenlosen Demo-Drill sehen Sie den Ablauf, einen Report-Export gibt es dort nicht.

Häufige Fragen