Krisensimulation: Cyber-Krisen realistisch üben
Was ist eine Krisensimulation?
Eine Krisensimulation ist eine geplante Übung, in der eine Organisation einen schweren Vorfall durchspielt, um ihre Reaktion zu testen und zu verbessern. Ein technischer Test prüft Systeme. Die Krisensimulation prüft die gesamte Krisenbewältigung: Führungsentscheidungen, Eskalation, Kommunikation nach innen und außen und die rechtlichen Pflichten. Im Cyber-Kontext geht es meist um Ransomware, Datenabfluss oder den Ausfall kritischer Systeme. Methodisch gehört die Krisensimulation zum Krisenmanagement, wie es etwa der BSI-Standard 200-4 im Rahmen des Business Continuity Managements beschreibt. Sie hängt deshalb eng mit dem Business Continuity Management zusammen und fragt zuerst, ob die Organisation als Ganzes handlungsfähig bleibt.
Warum ist Krisensimulation Chefsache?
Eine Cyberkrise ist eine Unternehmenskrise. Wenn ERP und Fertigung stillstehen, geht es um Umsatz, um Kunden, die Antworten wollen, und über Meldepflichten und Haftung auch um die Leitung selbst. NIS2 (Art. 20) verpflichtet die Leitungsorgane ausdrücklich, die Risikomanagement-Maßnahmen zu billigen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen. National umgesetzt ist das in § 38 BSIG (Deutschland, inklusive Haftung der Geschäftsleitung) und § 31 NISG 2026 (Österreich). In der Krisensimulation sitzt die Geschäftsführung selbst am Tisch und trifft die Entscheidungen, die sie im Ernstfall treffen müsste. Danach weiß sie, wo das Unternehmen steht und welche Fragen bisher niemand beantwortet hat. Mehr zur Sicht der Leitungsebene lesen Sie unter Cyber-Krisenbereitschaft für Führungskräfte.
Welche Krisen simuliert man?
Simuliert wird, was Ihr Unternehmen realistisch treffen kann. Typische Auslöser und wer jeweils mitüben sollte:
| Auslöser | Typisch beteiligte Ebenen |
|---|---|
| Ransomware / Betriebsunterbrechung | Geschäftsführung, IT, Kommunikation, Recht |
| Datenabfluss / Datenschutzvorfall | Geschäftsführung, Datenschutz, Recht, Kommunikation |
| Ausfall kritischer Dienstleister | Geschäftsführung, Einkauf, IT, Fachbereiche |
| Reputations- & Kommunikationskrise | Geschäftsführung, Kommunikation, Vorstand |
Wie läuft eine Krisensimulation ab?
- Szenario und Lernziele festlegen: Was soll die Leitung nach der Übung besser können?
- Den Krisenstab und alle weiteren Rollen besetzen, mit den Personen, die im Ernstfall entscheiden.
- Den Vorfall über Injects entwickeln. Jede neue Lagemeldung erhöht den Zeitdruck.
- Entscheiden, eskalieren und kommunizieren, so wie im Ernstfall.
- Auswerten: Was hat funktioniert, was nicht, und welche Maßnahmen folgen daraus?
In SecDrills sind Szenario und Injects fertig vorbereitet. Sie laden den Krisenstab per Link ein, die Übung läuft im Browser, und der Report mit Rollen, Entscheidungen und Zeitstempeln liegt vor, wenn die letzte Entscheidung gefallen ist.
Krisensimulation, Tabletop oder Cyber-Krisenübung?
Die Begriffe überschneiden sich. Die Cyber Tabletop Exercise beschreibt die Methode: diskussionsbasiert und moderiert. Die Cyber-Krisenübung steht für die praktische Durchführung. Die Krisensimulation betont die Führungs- und Krisenstabsperspektive. Umgesetzt wird sie meist als Tabletop-Übung, weil dieses Format für die meisten Organisationen das beste Verhältnis von Aufwand und Nutzen hat.
Was macht eine gute Krisensimulation aus?
- Realismus: Ein glaubwürdiges Szenario mit Zeitdruck, das Ihr Unternehmen tatsächlich treffen könnte.
- Die richtigen Personen: Wer im Ernstfall entscheidet, sitzt selbst am Tisch und schickt nicht nur die Vertretung. Sonst ändert sich nach der Übung wenig.
- Wertfreie Auswertung: Fehler in der Übung sind erwünscht, denn sie zeigen, was im Ernstfall schiefgehen würde. Die meisten Erkenntnisse bringt eine offene Nachbesprechung.
- Verbindliche Maßnahmen: Jede Lücke wird zu einer Aufgabe mit verantwortlicher Person und Frist.
- Auditfähige Dokumentation: Entscheidungen, Zeitstempel und Ergebnisse dienen als Nachweis für NIS2, DORA und ISO 22301.
Krisensimulation als fester Termin der Geschäftsführung
Eine einzelne Simulation zeigt den Stand an einem Tag. Routine entsteht erst durch Wiederholung. Wer regelmäßig übt, sieht, was besser geworden ist und wo neue Lücken entstanden sind, etwa nach einem Wechsel in der IT-Leitung oder mit einem neuen Dienstleister. Gegenüber Aufsicht, Auditoren und Vorstand kann die Geschäftsführung dann mit Reports aus mehreren Übungen belegen, wie sich die Krisenbereitschaft entwickelt. Deshalb gehört die Krisensimulation auf die Agenda der Leitung und nicht allein in die IT-Abteilung.
Mit einem externen Moderator kostet jede Übung meist 5.000 bis 15.000 Euro. Das bremst jede Wiederholung. In SecDrills sind weitere Übungen im Jahrespaket schon bezahlt, ab € 1.490 netto im Jahr. Eine kurze Übung dauert 30 Minuten und lässt sich an eine Sitzung der Geschäftsführung anhängen. Wie die Durchführung konkret aussieht, beschreibt die Cyber-Krisenübung.
Häufige Fragen
Was ist eine Krisensimulation?
Eine Krisensimulation spielt einen schweren Vorfall so realistisch wie möglich durch, um Krisenstab und Führung auf den Ernstfall vorzubereiten. Im Cyber-Kontext geht es meist um Angriffe wie Ransomware. Geübt werden Entscheidungen, Eskalation und Kommunikation unter Druck.
Worin unterscheidet sich eine Krisensimulation von einer Tabletop-Übung?
Die Tabletop-Übung ist die diskussionsbasierte Form der Krisensimulation und für die meisten Organisationen der beste Einstieg. Der Begriff Krisensimulation legt den Schwerpunkt stärker auf Führung und Krisenstab, über den technischen Vorfall hinaus.
Warum ist eine Krisensimulation Aufgabe der Geschäftsführung?
Weil eine Cyberkrise eine Unternehmenskrise ist: Sie betrifft Umsatz, Reputation und Haftung. NIS2 verpflichtet die Leitungsorgane ausdrücklich, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und selbst an Schulungen teilzunehmen.