Notfallübung: Übungsarten, Häufigkeit und Checkliste
Welche Arten von Notfallübungen gibt es?
Der BSI-Standard 200-4 unterscheidet in Kapitel 13 „Üben und Testen“ fünf Arten von Notfallübungen: Planbesprechung, Stabsübung, Stabsrahmenübung, Alarmierungsübung und Funktionstest. Sie unterscheiden sich darin, wer übt, wie real gehandelt wird und wie hoch Aufwand und Betriebsrisiko sind.
| Übungsart | Worum es geht | Aufwand (Richtwert) | Reaktiv-BCMS |
|---|---|---|---|
| Planbesprechung („Schreibtischtest“) | Moderierte Besprechung eines Notfallplans. Geprüft werden Plausibilität, Vollständigkeit, Korrektheit und Aktualität, ohne dass etwas real ausgeführt wird. | gering | empfohlen |
| Stabsübung | Praktisches Üben der Stabsarbeit an einem Notfallszenario: Führungszyklus, Lagebesprechungen, Protokollierung und Visualisierung der Lage. | mittel | muss |
| Stabsrahmenübung | Erweiterte Stabsübung, in die weitere Stellen eingebunden sind, etwa das Kommunikationsteam oder operative Teams. Sonderform: Vollübung mit allen Hierarchieebenen. | hoch | – |
| Alarmierungsübung | Die Alarmierungskette wird ausgelöst. Gemessen werden Erreichbarkeits- und Rückrufquote innerhalb eines festgelegten Zeitfensters. | gering | muss |
| Funktionstest | Ein Plan oder eine Maßnahme wird real ausgeführt, z. B. Umschalttest, Wiederanlauftest, Restore-Test, Lesbarkeitstest von Backups oder Test des Notfallarbeitsplatzes. | mittel bis hoch | empfohlen |
Im Reaktiv-BCMS, der Einstiegsstufe des Standards, müssen Stabsübung und Alarmierungsübung regelmäßig durchgeführt werden. Planbesprechung und Funktionstest werden empfohlen. Für jede Übung ist ein Übungskonzept zu erstellen, für Stabs- und Stabsrahmenübungen zusätzlich ein Übungsdrehbuch (BSI-Standard 200-4 als PDF).
Wo passt die Tabletop-Übung?
Eine Tabletop-Übung entspricht methodisch der Planbesprechung bzw. einer diskussionsbasierten Stabsübung am Szenario. Die Beteiligten sitzen in ihren realen Rollen zusammen und erhalten Schritt für Schritt neue Lageinformationen. Sie entscheiden, ohne dass Systeme tatsächlich umgeschaltet werden. NIST SP 800-84 beschreibt Tabletop- und Functional Exercises als Bausteine eines Übungsprogramms für IT-Pläne. Wie Sie eine solche Übung konkret aufsetzen, zeigt die Seite Cyber Tabletop Exercise.
Wie oft muss man Notfallübungen durchführen?
Eine gesetzlich feste Frequenz gibt es für die meisten Unternehmen nicht. Verlangt wird ein geplantes, risikobasiertes und nachweisbares Übungsprogramm. Der BSI-Standard 200-4 schreibt eine Jahresübungsplanung vor, die mindestens zwölf Monate umfassen sollte, und nennt als Orientierung diese Beispiel-Häufigkeiten:
- Planbesprechung: zeitnah nach der Erstellung eines Plans und nach jeder wesentlichen Änderung.
- Stabsübung: mindestens jährlich, mit allen Stabsmitgliedern einschließlich der Stellvertretungen.
- Funktionstest: mindestens jährlich für Prozesse und Ressourcen mit einer Wiederanlaufzeit (RTO) unter 24 Stunden, mindestens alle drei Jahre bei einem RTO unter fünf Tagen.
Die übrigen Regelwerke geben den Rahmen vor, aber keinen festen Takt:
- ISO/IEC 27001:2022 nennt keine feste Übungsfrequenz. Die Controls A.5.29 „Informationssicherheit bei Störungen“ und A.5.30 „IKT-Bereitschaft für Business Continuity“ verlangen, die Informationssicherheit bei Störungen zu planen und die IKT-Bereitschaft zu testen. Den Takt legen Sie risikobasiert fest. Übungsergebnisse belegen die Wirksamkeit (Klausel 9.1) und fließen in die Managementbewertung (9.3) und die fortlaufende Verbesserung (10.1) ein. Mehr unter ISO 27001.
- NIS2 verlangt in Art. 21 Abs. 2 die Aufrechterhaltung des Betriebs samt Krisenmanagement (lit. c) sowie Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen (lit. f). In Deutschland ist das in § 30 Abs. 2 Nr. 3 und 6 BSIG umgesetzt, in Österreich in § 32 Abs. 4 lit. c und f NISG 2026. Eine Übungsfrequenz nennt NIS2 nicht. Dokumentierte Übungen sind aber ein naheliegender Wirksamkeitsnachweis.
- DORA verpflichtet Finanzunternehmen, IKT-Geschäftsfortführungspläne sowie IKT-Reaktions- und Wiederherstellungspläne mindestens jährlich zu testen (Art. 11 Abs. 6).
Beispiel: Jahresübungsplan für den Mittelstand
Der folgende Plan ist ein Beispiel für ein mittelständisches Unternehmen, dessen BCM im Aufbau ist. Eine Normvorgabe ist er nicht. Passen Sie Übungsarten, Szenarien und Termine an Ihre Business Impact Analyse und Ihre Risiken an.
| Quartal | Übungsart | Inhalt | Teilnehmende |
|---|---|---|---|
| Q1 | Planbesprechung | Aktualisierten IT-Notfallplan bzw. das Notfallhandbuch auf Vollständigkeit und Aktualität prüfen: Kontakte, Zuständigkeiten, Dienstleister, Wiederanlaufreihenfolge. | Notfallbeauftragte, IT-Leitung, Planverantwortliche |
| Q2 | Alarmierungsübung | Alarmierungskette auslösen, möglichst auch außerhalb der Kernarbeitszeit. Erreichbarkeits- und Rückrufquote messen. | Krisenstab inkl. Stellvertretungen, IT-Bereitschaft |
| Q3 | Stabsübung als Tabletop | Szenario Ransomware mit Ausfall der Kernsysteme: Lagebild, Entscheidungen, Meldewege und Kommunikation unter Zeitdruck. | Geschäftsführung, Krisenstab, IT, Kommunikation, Recht/Datenschutz |
| Q4 | Funktionstest | Restore- oder Wiederanlauftest eines kritischen Systems mit kurzer Wiederanlaufzeit. Ergebnis mit RTO und RPO abgleichen. | IT-Betrieb, Systemverantwortliche, ggf. Dienstleister |
Am Jahresende gehören die gebündelten Ergebnisse in die Managementbewertung. Offene Maßnahmen, neue Risiken und geänderte Pläne bestimmen den Übungsplan des Folgejahres. Welche Pläne geübt werden, beschreibt der Beitrag zum IT-Notfallplan.
So läuft eine IT-Notfallübung ab
Eine IT-Notfallübung läuft in vier Schritten ab: Übungskonzept erstellen, Drehbuch mit Injects vorbereiten, die Übung durchführen und protokollieren, die Ergebnisse auswerten und in Maßnahmen überführen.
- Übungskonzept: Es legt Ziel, Übungsart, geprüften Plan, Scope, Teilnehmende, Rahmenbedingungen, Erfolgs- und Abbruchkriterien fest und wird von der Leitung freigegeben.
- Drehbuch und Injects: Das Übungsdrehbuch beschreibt Ausgangslage und zeitlichen Verlauf. Es enthält die Injects, also Lageinformationen, die das Szenario vorantreiben. Aufbau und Werkzeuge erklärt der Beitrag zur MSEL. Ideen für Szenarien finden Sie bei den Tabletop-Szenarien, eine Struktur in der Szenario-Vorlage.
- Durchführung: Die Übungsleitung eröffnet mit einem Briefing zu Zielen und Regeln. Die Moderation spielt die Injects ein, Beobachtende halten Entscheidungen, Zeitstempel und Abweichungen fest. Jede Kommunikation wird eindeutig als „Übung“ gekennzeichnet.
- Auswertung: Direkt im Anschluss folgt ein kurzer Hotwash, danach der After-Action-Review mit Soll-Ist-Vergleich und Maßnahmenplan. Die Umsetzung wird nachverfolgt und in einer Folgeübung auf Wirksamkeit geprüft.
Checkliste Notfallübung
Vorbereitung
- Übungsziel und zu prüfenden Plan festgelegt (z. B. IT-Notfallplan, Wiederanlaufplan, Alarmierungsplan)
- Übungsart passend zum Ziel und zum Reifegrad gewählt
- Übungskonzept erstellt und von der Leitung freigegeben
- Szenario und Drehbuch mit Injects vorbereitet (bei Stabs- und Stabsrahmenübungen)
- Teilnehmende inklusive Stellvertretungen eingeladen, Termin verbindlich blockiert
- Übungsleitung, Moderation und Beobachtende benannt, Beobachtungsbogen vorbereitet
- Abbruchkriterien definiert; betroffene Dienstleister und ggf. Betriebsrat vorab informiert
Durchführung
- Briefing: Ziele, Regeln, Rollen und Kennzeichnung als Übung
- Injects, Entscheidungen und Begründungen mit Zeitstempel protokolliert
- Messwerte erfasst (z. B. Alarmierungszeit, Erreichbarkeit, Wiederanlaufzeit)
- Abweichungen vom Plan notiert, statt sie während der Übung zu korrigieren
- Hotwash unmittelbar nach Übungsende
Nachbereitung
- After-Action-Report zeitnah erstellt und verteilt
- Maßnahmen mit verantwortlicher Person, Frist und Priorität erfasst
- Notfallpläne aktualisiert und die Änderungen per Planbesprechung geprüft
- Ergebnisse an das Management berichtet
- Umsetzung nachverfolgt, Wirksamkeit in der Folgeübung geprüft
- Jahresübungsplan fortgeschrieben
Was gehört ins Protokoll einer Notfallübung?
Das Protokoll muss belegen, was geübt wurde, wer beteiligt war, was entschieden wurde und welche Verbesserungen folgen. Für Auditoren zählt die geschlossene Kette vom Übungsziel über die Beobachtung bis zur umgesetzten Maßnahme.
| Feld | Inhalt |
|---|---|
| Stammdaten | Übungstitel, Übungsart, Datum, Beginn und Ende, Ort bzw. Format, Übungsleitung |
| Ziele und Bezug | Geprüfter Plan (z. B. Wiederanlaufplan), Übungsziele, Erfolgskriterien, Bezug zu Risiko oder Control (z. B. ISO 27001 A.5.30) |
| Szenario und Scope | Ausgangslage, betroffene Prozesse und Systeme, bewusste Ausschlüsse |
| Teilnehmende und Rollen | Funktionen und Rollen in der Übung, Beobachtende, fehlende Rollen oder Stellvertretungen |
| Ablaufprotokoll | Injects und Lageinformationen mit Zeitstempel, getroffene Entscheidungen mit Begründung und Verantwortlichen |
| Messwerte | z. B. Zeit bis zur Alarmierung, Erreichbarkeitsquote, Zeit bis zur ersten Lagebesprechung, erreichte Wiederanlaufzeit im Vergleich zum RTO |
| Beobachtungen und Abweichungen | Was lief wie geplant, wo wich das Vorgehen vom Plan ab, welche Informationen fehlten |
| Bewertung | Zielerreichung je Übungsziel: erreicht, teilweise erreicht, nicht erreicht |
| Maßnahmen | Beschreibung, verantwortliche Person, Frist, Priorität, Status der Nachverfolgung |
| Freigabe | Kenntnisnahme durch Übungsleitung und Management, Termin der Wirksamkeitsprüfung bzw. Folgeübung |
Eine druckfertige Struktur für die Auswertung bietet die After-Action-Review-Vorlage. Mit SecDrills entfällt das Nachtippen: Der auditierbare After-Action-Report entsteht direkt aus dem Übungsverlauf, mit Zeitstempeln, Entscheidungen und Maßnahmenplan.
Was unterscheidet Notfallübung, Räumungsübung und Krisenstabsübung?
Der Begriff Notfallübung wird in zwei Welten verwendet. Im Arbeits- und Brandschutz ist meist die Räumungs- oder Evakuierungsübung gemeint. Im IT- und BCM-Umfeld meint er die Übung von Notfallplänen.
- Räumungsübung: schützt Menschen im Gebäude. Es geht um Flucht- und Rettungswege, die Sammelstelle und die Brandschutzhelfer. Zuständig sind Arbeitssicherheit und Brandschutz.
- IT- bzw. BCM-Notfallübung: prüft, ob kritische Prozesse und IT nach einem Ausfall wie geplant weiterlaufen oder wieder anlaufen. Grundlage sind BSI-Standard 200-4, ISO 22301 und ISO 27001.
- Krisenstabsübung: trainiert das Führungsgremium für Lagen, die über einen einzelnen Notfallplan hinausgehen. Mehr dazu unter Krisenstabsübung und Krisenübung.
Häufige Fragen
Was ist eine Notfallübung?
Eine Notfallübung ist ein geplanter Probelauf, in dem eine Organisation ihre Notfallpläne, Alarmierungswege und Entscheidungsstrukturen an einem realistischen Szenario erprobt. Im IT- und BCM-Kontext geht es um Ausfälle wie Cyberangriffe, Rechenzentrums- oder Dienstleisterausfälle. Die Evakuierung eines Gebäudes ist damit nicht gemeint.
Wie oft muss man eine Notfallübung durchführen?
Für die meisten Unternehmen gibt es keine gesetzlich feste Frequenz. Der BSI-Standard 200-4 verlangt eine Jahresübungsplanung und nennt als Beispiel: Stabsübung mindestens jährlich, Funktionstests je nach Wiederanlaufzeit jährlich bis alle drei Jahre, Planbesprechungen nach wesentlichen Planänderungen. Finanzunternehmen müssen ihre IKT-Geschäftsfortführungspläne nach DORA mindestens jährlich testen.
Was ist der Unterschied zwischen Planbesprechung, Stabsübung und Stabsrahmenübung?
Die Planbesprechung prüft einen Notfallplan am Tisch auf Plausibilität, Vollständigkeit und Aktualität. Die Stabsübung trainiert die Stabsarbeit an einem Szenario. Die Stabsrahmenübung erweitert die Stabsübung um weitere Stellen wie Kommunikations- oder operative Teams; ihre Sonderform mit allen Hierarchieebenen heißt Vollübung.
Ist eine Tabletop-Übung eine Notfallübung?
Ja. Eine Tabletop-Übung entspricht methodisch der Planbesprechung bzw. einer diskussionsbasierten Stabsübung am Szenario im Sinne des BSI-Standards 200-4. Sie prüft Entscheidungen, Rollen und Meldewege ohne Eingriff in den laufenden Betrieb und eignet sich deshalb gut als Einstieg in ein Übungsprogramm.
Was gehört ins Protokoll einer Notfallübung?
Mindestens Übungsart, Datum, Ziele, Szenario, Teilnehmende und Rollen, ein Ablaufprotokoll mit Zeitstempeln und Entscheidungen, Messwerte, Abweichungen vom Plan, die Bewertung der Zielerreichung sowie Maßnahmen mit Verantwortlichen und Fristen.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.