Krisenübung: den Cyber-Ernstfall trainieren
Was ist eine Krisenübung?
Eine Krisenübung trainiert, wie eine Organisation auf eine Lage reagiert, die sich mit den normalen Abläufen nicht mehr bewältigen lässt. Bei der Cyber-Krisenübung ist das ein schwerer Cybervorfall. Sie verbindet die technische Sicht (Incident Response) mit der Führungssicht (Krisenmanagement), denn eine Cyberkrise ist immer auch eine Unternehmenskrise. Meist wird sie als diskussionsbasierte Tabletop Exercise durchgeführt, wie sie auch in Übungsprogrammen nach NIST SP 800-84 beschrieben ist.
Krisenübung, Krisenstabsübung, Notfallübung: Was ist der Unterschied?
Die Begriffe überschneiden sich, setzen aber unterschiedliche Schwerpunkte. Die Krisenübung ist der Oberbegriff für das Training der gesamten Krisenorganisation. Die Krisenstabsübung konzentriert sich auf das Führungsgremium. Die Notfallübung prüft konkrete Notfallpläne. Vereinfacht gesagt: Für einen Notfall gibt es einen vorbereiteten Plan. In einer Krise müssen Sie Entscheidungen treffen, auf die kein Plan ganz passt.
| Begriff | Wer übt? | Schwerpunkt | Typische Form |
|---|---|---|---|
| Krisenübung | Führung, Krisenstab, Fachbereiche, IT, Kommunikation | Bewältigung einer Krise, die das ganze Unternehmen betrifft, z. B. nach einem Cyberangriff | Tabletop-Übung bis Vollübung |
| Krisenstabsübung | der Krisenstab als Gremium | Stabsarbeit: Lagebild, Führungszyklus, Entscheidungen, Protokoll | Stabsübung, Stabsrahmenübung |
| Notfallübung | Notfallorganisation, IT, Planverantwortliche | Funktionieren Notfallpläne, Alarmierung und Wiederanlauf? | Planbesprechung, Alarmierungsübung, Funktionstest |
| Krisensimulation | Geschäftsführung und Führungskräfte | das Szenario aus Sicht der Führung, Entscheidungen unter Unsicherheit | meist Tabletop-Übung |
Die Übungsarten Planbesprechung, Stabsübung, Stabsrahmenübung, Alarmierungsübung und Funktionstest stammen aus dem BSI-Standard 200-4. Die Cyber Tabletop Exercise beschreibt das Format, in dem die meisten dieser Übungen stattfinden. Auf dieser Seite geht es um die praktische Durchführung einer Krisenübung mit Cyber-Szenario.
Wie bereitet man eine Krisenübung vor?
- Übungsziele festlegen, zum Beispiel für die Meldekette, die Entscheidungswege oder die Kommunikation.
- Szenario & Drehbuch (MSEL) wählen und die Injects vorbereiten.
- Rollen besetzen nach ECSF: Geschäftsführung, IT und Security, Incident Response, Recht, Kommunikation.
- Moderation bestimmen. Sie führt durch das Szenario und protokolliert, ohne Personen zu bewerten.
In SecDrills sind Szenario und Injects schon vorbereitet, und das Protokoll entsteht während der Übung. Ihre Vorbereitung beschränkt sich auf Ziele, Rollen und einen Termin.
Wie läuft die Übung ab?
In diesem Format dauert eine Krisenübung etwa 60 bis 90 Minuten:
| Phase | Inhalt | Dauer |
|---|---|---|
| Briefing | Ziele, Spielregeln und Rollen klären und dem Team kurz Zeit geben, anzukommen. | 10 Min. |
| Szenario & Injects | Der Vorfall entwickelt sich über neue Lagemeldungen, die Injects. | 40–60 Min. |
| Entscheidungen & Meldekette | Das Team entscheidet unter Zeitdruck, eskaliert und übt die Meldung. | laufend |
| Hotwash | Eine kurze Nachbesprechung direkt im Anschluss, solange die Eindrücke frisch sind. | 10–15 Min. |
| After-Action-Report | Die Auswertung mit Maßnahmen. In SecDrills entsteht der Report automatisch und lässt sich im Audit vorlegen. | im Anschluss |
Wer nimmt teil?
Am Tisch sitzen alle, die im Ernstfall gebraucht werden: Geschäftsführung, IT und Security, Incident Response, Recht und Datenschutz, Kommunikation und die betroffenen Fachbereiche. SecDrills ordnet die Rollen nach dem ECSF zu. Alle üben in der Funktion, die sie auch im Ernstfall haben. Die Teilnehmenden brauchen dafür nur einen Browser und den Einladungslink, kein eigenes Konto.
Wie oft sollte man üben?
NIS2 verlangt die Aufrechterhaltung des Betriebs samt Krisenmanagement (Art. 21 Abs. 2 lit. c). DORA verpflichtet Finanzunternehmen, ihre IKT-Reaktions- und Wiederherstellungspläne mindestens jährlich zu testen und ihre Krisenkommunikationspläne zu erproben (Art. 11 Abs. 6). Der BSI-Standard 200-4 nennt als Beispiel eine mindestens jährliche Stabsübung. In der Praxis heißt das: mindestens einmal im Jahr üben, besser halb- bis vierteljährlich. Jede Übung liefert dabei den dokumentierten Nachweis. Ausgewertet wird sie in einem After-Action Review.
Mit externer Moderation zu meist 5.000 bis 15.000 Euro pro Übung wird das schnell teuer. In SecDrills sind weitere Übungen im Jahrespaket schon bezahlt, ab € 1.490 netto im Jahr.
Welche Szenarien eignen sich?
Gute Szenarien sind glaubwürdig und passen zu Ihrem Unternehmen: ein Ransomware-Angriff, der die wichtigsten Systeme lahmlegt, ein Datenabfluss mit Meldepflicht, ein kompromittierter Dienstleister in der Lieferkette oder der Ausfall einer geschäftskritischen Anwendung. Die technische Tiefe ist zweitrangig. Wichtig ist, dass Entscheidungen, Meldewege und Kommunikation unter Zeitdruck geübt werden. Weitere Beispiele finden Sie unter Tabletop-Szenarien.
Nachbereitung: aus der Übung lernen
Die wichtigste Arbeit beginnt, wenn das Szenario vorbei ist. Im After-Action Review vergleicht das Team Soll und Ist anhand von vier Fragen: Was sollte passieren? Was ist tatsächlich passiert? Warum gab es Abweichungen? Was verbessern wir konkret? Aus jeder Erkenntnis wird eine Maßnahme mit verantwortlicher Person und Frist. Sie fließt zurück in die Playbooks, den Incident-Response-Plan und die nächste Übung. So hat jede Übung Folgen, und die nächste setzt dort an, wo die letzte aufgehört hat.
Typische Stolpersteine
- Nur die IT übt. Geschäftsführung, Recht und Kommunikation fehlen am Tisch, obwohl die Krise sie genauso trifft.
- Das Szenario ist zu unrealistisch oder zu technisch für die Rollen, die mitspielen.
- Es gibt keinen Zeitdruck. Dann bleiben die Entscheidungswege ungetestet.
- Aus den Erkenntnissen werden keine verbindlichen Maßnahmen mit Termin.
- Es bleibt bei einer einzigen Übung. So entsteht keine Routine.
- Hinterher fehlt der Nachweis. Das Protokoll ist lückenhaft, und im Audit lässt sich nicht mehr zeigen, wer was entschieden hat.
Häufige Fragen
Was ist eine Krisenübung?
Eine Krisenübung ist ein geplantes Training, in dem Führung, Krisenstab und beteiligte Fachbereiche die Bewältigung einer schweren Krise an einem realistischen Szenario durchspielen. Geübt werden Entscheidungen unter Unsicherheit, Eskalation und Kommunikation. Bei der Cyber-Krisenübung ist das Szenario ein schwerer Cybervorfall. Meist wird sie als Tabletop-Übung durchgeführt.
Wer sollte an einer Krisenübung teilnehmen?
Neben IT und Incident Response gehören Geschäftsführung, Recht, Kommunikation und die betroffenen Fachbereiche dazu. Eine Krise ist nie rein technisch. Sie betrifft das ganze Unternehmen.
Wie oft sollte man eine Krisenübung durchführen?
Mindestens jährlich, besser halb- bis vierteljährlich und zusätzlich nach größeren Änderungen an Systemen, Team oder Plänen. Wer regelmäßig übt, hält Meldeketten und Zuständigkeiten auf dem aktuellen Stand und kann für NIS2 und DORA laufend Nachweise vorlegen.
Was ist der Unterschied zwischen Krisenübung und Notfallübung?
Die Notfallübung prüft, ob vorbereitete Notfallpläne funktionieren, etwa Alarmierung, Wiederanlauf oder Restore. Die Krisenübung trainiert die Führung für Lagen, auf die kein Plan ganz passt und in denen sie unter Unsicherheit entscheiden muss.