Tabletop Exercise (Tabletop-Übung): Definition, Ablauf und Beispiele

Was ist eine Tabletop Exercise?

Die NIST SP 800-84 beschreibt Tabletop Exercises als diskussionsbasierte Übungen: Eine Moderation stellt ein Szenario vor und fragt die Teilnehmenden, wie sie vorgehen würden. Daraus entsteht eine Diskussion über Rollen, Zuständigkeiten, Koordination und Entscheidungen. Technik oder andere Ressourcen werden dabei nicht eingesetzt. Für Cybervorfälle passt das Format gut, weil dort vieles außerhalb der Technik entschieden wird. Wer darf die Produktion stoppen? Wer meldet bis wann an die Behörde? Was sagen Sie den Kunden, solange die Lage noch unklar ist? Wie Sie den Plan aufbauen, den die Übung prüft, steht im Beitrag zum Incident-Response-Plan.

Mit Tabletop Exercise, Krisensimulation, Cyber-Krisenübung und Krisenstabsübung ist meist dieselbe Methode gemeint. Die Begriffe setzen nur den Schwerpunkt anders: auf das Format, den Führungskontext, die praktische Durchführung oder den Krisenstab. Den Oberbegriff aus dem BCM mit allen Übungsarten erklärt der Beitrag zur Notfallübung.

Tabletop oder Table Top: Was ist richtig?

Beide Schreibweisen meinen dasselbe. Fachlich etabliert ist „Tabletop“ in einem Wort. So schreiben es NIST und die US-Behörde CISA, die mit den CISA Tabletop Exercise Packages fertige Übungspakete anbietet. Im Deutschen wird meist das deutsche Wort mit Bindestrich angehängt: Tabletop-Übung. „Table-Top-Übung“ oder „Table Top Übung“ sind verbreitet und werden verstanden. In Richtlinien und Auditunterlagen wirkt der Wechsel zwischen Schreibweisen aber unordentlich, also legen Sie sich auf eine fest. Wer ein deutsches Wort bevorzugt, sagt Planübung. Der BSI-Standard 200-4 spricht von Planbesprechung und Stabsübung.

Wie läuft eine Tabletop-Übung ab?

Jede Tabletop-Übung hat drei Teile: Vorbereitung, Durchführung und Auswertung. Im Einzelnen sind das sieben Schritte:

1. Ziele festlegen: Was soll die Übung prüfen, etwa die Meldekette oder die Entscheidung über den Wiederanlauf? Gute Ziele leiten sich aus Risiken und Controls ab.
2. Szenario und Injects vorbereiten: Eine kurze, glaubwürdige Ausgangslage und 4 bis 8 Injects, die den Druck erhöhen. Die Reihenfolge steht in der MSEL.
3. Rollen besetzen: Die Entscheider in den Funktionen, die sie auch im Ernstfall haben, dazu Moderation und Beobachtung.
4. Einweisung: Ziele, Spielregeln und Übungsgrenzen klären. Sagen Sie gleich zu Beginn: Getestet werden Pläne und Abläufe, nicht Personen.
5. Durchführung: Die Moderation spielt die Injects ein. Das Team bewertet, entscheidet und kommuniziert, und jede Entscheidung wird mit Zeitstempel protokolliert.
6. Hotwash: Direkt danach sammelt die Runde, was funktioniert hat und wo es gehakt hat, solange die Eindrücke frisch sind.
7. Auswertung: Ein After-Action-Report hält die Findings fest. Aus ihnen werden Maßnahmen mit Owner, Frist und Priorität.

Ausgearbeitete Szenarien mit Injects, Agenda und Moderationsfragen finden Sie unter Tabletop-Szenarien.

Wie oft sollte man Tabletop-Übungen durchführen?

Mindestens einmal im Jahr und zusätzlich immer dann, wenn sich etwas Wesentliches ändert. Der BSI-Standard 200-4 nennt als Beispielhäufigkeit für die Stabsübung „mindestens jährlich“, und zwar mit allen Stabsmitgliedern einschließlich der Stellvertretungen. Planbesprechungen empfiehlt er zeitnah nach der Erstellung eines Plans und nach wesentlichen Änderungen. Außerdem muss eine Jahresübungsplanung vorliegen, die mindestens zwölf Monate umfassen sollte.

ISO/IEC 27001 schreibt keine feste Übungsfrequenz vor. Controls wie A.5.24 (Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen) und A.5.29 (Informationssicherheit bei Störungen) setzen aber voraus, dass die vorbereiteten Abläufe funktionieren. Wie oft Sie das prüfen, legen Sie risikobasiert fest und belegen es über Überwachung und Messung (Klausel 9.1). Die NIS2-Richtlinie verlangt in Art. 21 Abs. 2 lit. f Konzepte und Verfahren, mit denen die Wirksamkeit der Risikomanagementmaßnahmen bewertet wird. Regelmäßige Übungen sind dafür ein naheliegender Beleg. Zusätzlich sollten Sie aus diesen Anlässen üben:

• nach einem Vorfall oder Beinahe-Vorfall,
• nach wesentlichen Änderungen an Organisation, Krisenstab oder Notfallplänen,
• bei neuen kritischen Dienstleistern, Cloud-Migrationen oder Standorten,
• wenn neue Pflichten greifen, etwa geänderte Meldewege unter NIS2.

Wie Sie daraus ein Übungsprogramm im Business Continuity Management ableiten, zeigt BCM testen mit der Tabletop-Übung.

Wer nimmt an einer Tabletop Exercise teil?

Am Tisch sitzen die Personen, die im Ernstfall entscheiden, dazu eine Moderation und mindestens eine Person, die beobachtet und protokolliert. Laden Sie auch die Stellvertretungen ein. Ein Angriff richtet sich nicht nach dem Dienstplan, und wenn er am Freitagabend beginnt, entscheidet, wer erreichbar ist. Außerdem ist ein Cybervorfall nie rein technisch. Es geht auch um Meldepflichten, Verträge und darum, was Sie Kunden und Belegschaft sagen. Eine typische Besetzung sieht so aus:

SecDrills ordnet die Rollen nach dem European Cybersecurity Skills Framework (ECSF) zu. Alle üben in der Funktion, die sie auch im Ernstfall haben. So trainieren Sie die eigene Fachaufgabe und gleichzeitig die Abstimmung zwischen IT und Geschäftsführung.

Was wird bei einer Tabletop-Übung dokumentiert?

Im Audit zählt eine Übung nur, wenn sie nachvollziehbar dokumentiert ist, vom Auftrag bis zur umgesetzten Maßnahme. Der Auditor fragt, wann Sie zuletzt geübt haben, wer dabei war und was sich seitdem geändert hat. Ein vollständiger Übungsnachweis besteht aus acht Dokumenten:

1. Übungsauftrag & Ziele: Welches Risiko oder welches Control die Übung prüft.
2. Szenario & Scope: Ausgangslage, Injects und die Grenzen der Übung.
3. Teilnehmende & Rollen: Wer in welcher Funktion mitgeübt hat.
4. Ablaufprotokoll: Jede Entscheidung mit Zeitstempel.
5. Beobachtungen / Findings: Was funktioniert hat und wo es gehakt hat.
6. After-Action-Report: Die schriftliche Auswertung der Übung.
7. Maßnahmenplan: Jede Maßnahme mit Owner, Frist und Priorität.
8. Nachweis der Umsetzung & Wirksamkeitsprüfung: In der Regel über eine Folgeübung.

Drei davon entstehen mit SecDrills während der Übung: die Liste der Teilnehmenden mit ihren Rollen, das Ablaufprotokoll mit Zeitstempeln und der After-Action-Report.

Diese Kette stützt die ISO-27001-Anforderungen an fortlaufende Verbesserung (10.1) und Korrekturmaßnahmen (10.2), liefert Input für die Managementbewertung (9.3) und zeigt, dass Controls wie A.5.24 und A.5.26 nicht nur auf dem Papier stehen. Welche Nachweise Auditoren konkret prüfen, erklärt ISO 27001: Übungen auditfest nachweisen.

Beispiele: drei typische Tabletop-Szenarien

Ransomware

Montagmorgen. ERP und Fileserver sind verschlüsselt, die Angreifer drohen damit, erbeutete Daten zu veröffentlichen. Kernfragen: Wer entscheidet, ob Systeme isoliert werden und die Produktion stoppt? Wer löst bei einem erheblichen Vorfall die NIS2-Frühwarnung innerhalb von 24 Stunden aus?

Supply-Chain-Angriff

Ein Softwarelieferant bestätigt ein manipuliertes Update, das auch bei Ihnen eingespielt wurde. Kernfragen: Wie grenzen Sie den Schaden ein, ohne den ganzen Betrieb anzuhalten? Was steht im Vertrag, und wer spricht mit dem Lieferanten?

Cloud-Ausfall

Ihr wichtigster SaaS-Anbieter ist seit Stunden nicht erreichbar, und mit ihm E-Mail und Dateiablage. Kernfragen: Wie erreichen sich die Mitglieder des Krisenstabs ohne die gewohnten Kanäle? Welche Prozesse überschreiten zuerst ihre maximal tolerierbare Ausfalldauer?

Diese drei und fünf weitere Szenarien mit allen Injects, Leitfragen und Beobachtungsbogen finden Sie unter Tabletop-Szenarien: 8 Beispiele mit Injects.

Tabletop vs. andere Übungsformen

Übungsformen unterscheiden sich darin, wie nah sie an der Wirklichkeit sind und wie viel Aufwand sie machen. Diskussionsbasierte Formate prüfen Entscheidungen und Abläufe. Operative und technische Formate prüfen, ob Maßnahmen und Systeme tatsächlich funktionieren:

Eine Tabletop-Übung ersetzt keinen technischen Test, und ein technischer Test ersetzt keine Tabletop-Übung. Ein Red-Team-Angriff zeigt, ob ein Angriff erkannt wird. Die Tabletop-Übung zeigt, ob danach richtig entschieden und gemeldet wird. Ausgereifte Übungsprogramme verbinden beides. Für den Einstieg ist die diskussionsbasierte Übung meist der schnellste Weg: Die Systeme sind keinem Risiko ausgesetzt, die Vorbereitung ist überschaubar, und die ersten Erkenntnisse haben Sie am selben Tag. Mehr zu TLPT lesen Sie unter DORA-Resilienztests und TLPT.

Welchen Nutzen bringt eine Tabletop-Übung?

• Sie finden die Lücken in Plänen, Rollen und Kommunikation, bevor ein Angreifer sie findet.
• Team und Leitung treffen Entscheidungen, die sie sonst zum ersten Mal unter Druck treffen müssten.
• Sie erhalten auditfähige Nachweise für ISO 27001, ISO 22301, TISAX und NIS2 (Art. 21 Abs. 2 lit. c: Aufrechterhaltung des Betriebs und Krisenmanagement).

Tabletop-Software oder ITSM-/GRC-Tool: Was brauchen Sie?

Für Tabletop Exercises kommen vier Arten von Werkzeugen in Frage: Office-Dokumente, Ticketing- und Wiki-Tools wie Jira und Confluence, ITSM-, GRC- und BCM-Plattformen wie ServiceNow sowie spezialisierte Tabletop-Software. Sie sind für unterschiedliche Aufgaben gebaut. ITSM- und GRC-Plattformen verwalten Aufgaben, Risiken und Maßnahmen. Sie können eine Übung als Vorgang planen und die Ergebnisse nachverfolgen, aber sie führen nicht durch die Übung. Dafür gibt es spezialisierte Tabletop-Software: Szenario, Injects, Rollen und Moderation laufen im geführten Ablauf, jede Entscheidung bekommt einen Zeitstempel, und daraus entsteht der After-Action-Report als Nachweis. ISMS-Verantwortliche müssen sich deshalb selten für das eine oder das andere Werkzeug entscheiden. Die Frage ist, welcher Teil wohin gehört: Übung und Nachweis in die Tabletop-Software, die Maßnahmen in das Ticket- oder GRC-System, das Sie ohnehin nutzen.

Die Angaben beschreiben, wie die Kategorien typischerweise eingesetzt werden. Was ein konkretes Produkt kann, hängt von Modul und Konfiguration ab.

Wann reicht ein ITSM- oder GRC-Tool?

• Sie üben selten, und eine erfahrene Moderation führt Szenario und Injects selbst.
• Die Plattform ist schon lizenziert und so eingerichtet, dass Übungen als Vorgänge mit Ergebnissen erfasst werden.
• Als Nachweis zählt bei Ihnen vor allem die Maßnahmenverfolgung, weniger das Ablaufprotokoll.

Wann lohnt sich spezialisierte Tabletop-Software?

• Sie wollen regelmäßig üben, mehrmals im Jahr, mit wechselnden Szenarien und Teams.
• Es gibt niemanden, der moderiert, oder Fachbereiche sollen üben können, ohne dass daraus ein Projekt wird.
• Der Auditor erwartet ein Protokoll mit Entscheidungen und Zeitstempeln und für jede Übung einen Report im gleichen Aufbau.
• Sie wollen die Ergebnisse mehrerer Übungen vergleichen und zeigen, dass Ihr Team besser wird.

Tabletop Exercise mit SecDrills

In SecDrills wählen Sie ein fertiges Szenario und schicken Ihrem Team einen Link. Alle öffnen ihn im Browser, auch auf dem Tablet, und sprechen wie gewohnt über Teams oder Google Meet. Die Injects kommen im geführten Ablauf, jede Einschätzung und jede Entscheidung wird mit Zeitstempel festgehalten. Nach der letzten Entscheidung steht der After-Action-Report bereit, als PDF, Word oder HTML. Eine kurze Übung dauert 30 Minuten, ein externer Moderator ist nicht nötig. Die Methodik folgt der Cybersecurity Exercise Methodology der ENISA, die Rollen sind nach dem ECSF zugeordnet.

Für die IT-Freigabe: Es wird nichts installiert, SecDrills braucht keinen Zugriff auf Ihre Systeme oder Netze, und Teilnehmende brauchen kein eigenes Konto. Gehostet wird in der EU, im Rechenzentrum Frankfurt.

Eine extern moderierte Übung kostet meist 5.000 bis 15.000 Euro. Das Jahrespaket Essentials kostet € 1.490 netto für 3 Teilnehmende. Professional kostet € 4.900 netto für bis zu 10 Teilnehmende und enthält zusätzlich Evidence Packs für ISO 27001 und NIS2. In beiden Paketen üben Sie so oft Sie wollen. Wenn Sie eine Übung lieber von uns moderieren lassen, buchen Sie die Guided Exercise für € 3.900 dazu: Scoping-Workshop vorab, Live-Moderation und danach Nachbesprechung und Review des Reports. Alle Pakete finden Sie unter Preise.

Häufige Fragen