Krisenstabsübung: Übungsarten, Ablauf und Durchführung
Was ist eine Krisenstabsübung?
Eine Krisenstabsübung prüft, ob der Krisenstab handlungsfähig ist, also das Gremium, das im Ernstfall die Lage bewertet, entscheidet und die Bewältigung steuert. Grundlage ist ein Drehbuch, das auf das Unternehmen zugeschnitten ist. Darüber erhält der Stab laufend neue Lagemeldungen („Injects“) zu einer realistischen Bedrohung, etwa einem Cyberangriff, einem Produktionsausfall oder einer Reputationskrise. Die Teilnehmenden übernehmen die Rollen, die sie auch im Ernstfall haben: Sie sammeln Informationen, bewerten die Lage und leiten Gegenmaßnahmen ein. Methodisch ist die Krisenstabsübung fester Bestandteil des Krisenmanagements, wie es der BSI-Standard 200-4 im Rahmen des Business Continuity Managements beschreibt.
Übungsarten: Planübung, Stabsrahmenübung, Vollübung
Die Übungsarten unterscheiden sich darin, wie nah sie an der Wirklichkeit sind und wie viel Aufwand sie machen. Drei Formen sind üblich:
| Übungsart | Beschreibung | Aufwand |
|---|---|---|
| Planübung (Tabletop) | Diskussion am Tisch: Der Krisenstab spielt ein Szenario gedanklich durch, umgesetzt wird dabei nichts. | Gering: 60–120 Min., kein Betriebsrisiko |
| Stabsrahmenübung | Simulation komplexer Abläufe mit internen und externen Schnittstellen, aber ohne physische Maßnahmen vor Ort. | Mittel: halber bis ganzer Tag |
| Vollübung | Reale Alarmierung, die Maßnahmen werden vor Ort umgesetzt, beteiligte Stellen sind eingebunden. | Hoch: aufwendige Vorbereitung, echte Ressourcen |
Für die meisten Unternehmen ist die Planübung als Tabletop-Übung der beste Einstieg. Sie kostet wenig Zeit, gefährdet den laufenden Betrieb nicht, und die Erkenntnisse lassen sich sofort umsetzen. Später können Sie daraus eine Stabsrahmen- oder Vollübung machen. Wie die Methode im Einzelnen funktioniert, erklärt die Seite zur Cyber Tabletop Exercise.
Wie läuft eine Krisenstabsübung ab?
- Übungsziele und Szenario festlegen, passend zu den Risiken, die Ihr Unternehmen tatsächlich hat.
- Drehbuch mit Injects erstellen: Es legt fest, wie sich die Krise Schritt für Schritt zuspitzt.
- Den Krisenstab in den Rollen aufstellen, die er auch im Ernstfall hat, und die Lage eröffnen.
- Injects einspielen. Der Stab bewertet, entscheidet und kommuniziert unter Zeitdruck.
- Alle Entscheidungen mit Zeitstempel protokollieren.
- Die Übung auswerten (After-Action-Review) und Maßnahmen mit Verantwortlichen und Fristen festlegen.
Wer gehört in den Krisenstab?
Eine Cyberkrise ist nie rein technisch. Deshalb bringt eine Krisenstabsübung nur etwas, wenn die richtigen Rollen am Tisch sitzen. Typische Besetzung:
| Rolle | Aufgabe in der Übung |
|---|---|
| Leitung des Krisenstabs | Entscheidet, setzt Prioritäten und gibt Maßnahmen frei. |
| Lagezentrum / Protokoll | Sammelt Informationen, hält das Lagebild aktuell und protokolliert die Entscheidungen so, dass sie im Audit nachvollziehbar sind. |
| IT & Security / Incident Response | Bewertet den technischen Vorfall, koordiniert Eindämmung und Wiederanlauf. |
| Kommunikation | Steuert die interne und externe Kommunikation und beantwortet Anfragen von Medien und Kunden. |
| Recht & Datenschutz | Prüft Meldepflichten (NIS2, DSGVO) und rechtliche Folgen. |
| Fachbereiche / Betrieb | Bewerten, was der Vorfall für Produktion, Lieferketten und Kernprozesse bedeutet. |
Krisenstabsübung bei Cyberangriffen
Cyberangriffe sind heute der häufigste Auslöser für Krisenstabsübungen. Ein Ransomware-Angriff verschlüsselt zum Beispiel die Systeme der Produktion, und der Stab muss entscheiden, ohne alles zu wissen: Systeme isolieren oder weiterlaufen lassen? Zahlen oder nicht? Wer meldet den Vorfall innerhalb der NIS2-Fristen (24/72 Stunden nach Art. 23), wer informiert Kunden und Medien? Um genau diese Entscheidungswege geht es in der Krisenstabsübung, weniger um die Technik. Die Krisensimulation betrachtet dasselbe Szenario aus Sicht der Führung, die Cyber-Krisenübung beschreibt die praktische Durchführung.
Wie oft sollte man üben?
Eine einzelne Übung zeigt den Stand an einem Tag. Routine entsteht erst durch Wiederholung. Üben Sie mindestens einmal im Jahr, besser halbjährlich, und zusätzlich nach größeren Änderungen an Organisation, Systemen oder Krisenplänen. NIS2 (Art. 21) verlangt ausdrücklich, die Wirksamkeit der Risikomaßnahmen zu bewerten. Regelmäßige Übungen sind dafür der einfachste Nachweis. Wenn Aufsicht oder Auditor danach fragen, zeigen Sie die Reports der letzten Übungen und die Maßnahmen, die daraus umgesetzt wurden.
Krisenstabsübung mit SecDrills
Mit SecDrills wählen Sie ein Szenario aus und schicken Ihrem Krisenstab einen Link. Alle öffnen ihn im Browser, auch auf dem Tablet. Teilnehmende brauchen kein Konto, installiert wird nichts, und SecDrills braucht keinen Zugriff auf Ihre Systeme. SecDrills führt durch die Übung und spielt die Injects ein. Die Rollen sind nach dem ECSF zugeordnet, sodass alle in der Funktion üben, die sie auch im Ernstfall haben. Eine kurze Übung dauert 30 Minuten, ein externer Moderator ist nicht nötig. Am Ende steht der After-Action-Report mit Rollen, Entscheidungen und Zeitstempeln bereit.
Eine extern moderierte Übung kostet meist 5.000 bis 15.000 Euro. Für einen Krisenstab mit bis zu zehn Personen passt das Jahrespaket Professional für € 4.900 im Jahr, und Sie üben so oft Sie wollen. Wenn Sie die erste Übung lieber von uns moderieren lassen, buchen Sie die Guided Exercise für € 3.900 dazu: Scoping-Workshop vorab, Live-Moderation und Nachbesprechung. Alle Preise netto. Die Perspektive der Leitungsebene vertiefen wir unter Cyber-Krisenbereitschaft für Führungskräfte.
Häufige Fragen
Was ist eine Krisenstabsübung?
Eine Krisenstabsübung ist eine Simulation, in der der Krisenstab eines Unternehmens einen schweren Vorfall unter realistischem Zeitdruck durchspielt. Getestet werden Entscheidungswege, Rollen, Eskalation und Kommunikation, ohne den Normalbetrieb zu gefährden.
Welche Arten von Krisenstabsübungen gibt es?
Üblich sind drei Formen: die Planübung (Tabletop, Diskussion am Tisch), die Stabsrahmenübung (Simulation komplexer Abläufe mit Schnittstellen) und die Vollübung (reale Alarmierung und physische Umsetzung). Für die meisten Organisationen ist die Tabletop-Variante der beste Einstieg.
Wie oft sollte ein Krisenstab üben?
Mindestens einmal im Jahr, besser halbjährlich, und zusätzlich nach größeren Änderungen an Organisation, Systemen oder Krisenplänen. Wer regelmäßig übt, hält Melde- und Entscheidungswege belastbar und hat zugleich den Nachweis für NIS2 und ISO 22301.
Wer nimmt an einer Krisenstabsübung teil?
Der Krisenstab, der auch im Ernstfall zusammenkommt: Leitung, Lagezentrum/Protokoll, IT und Incident Response, Kommunikation, Recht und Datenschutz sowie die betroffenen Fachbereiche. Wichtig ist, dass die Personen teilnehmen, die im Ernstfall entscheiden, und nicht nur ihre Stellvertretungen.