Der Notfallplan, den niemand geprobt hat
Viele Unternehmen haben einen Incident-Response-Plan. Die wenigsten haben ihn je unter Druck geprobt. Genau dieser Unterschied entscheidet im Ernstfall: Organisationen, die ihren Plan regelmäßig testen und ein eingespieltes Team haben, tragen laut IBM deutlich niedrigere Schadenskosten als die, deren Plan im Ordner liegt. Der Plan ist die Theorie, die Tabletop-Übung ist die Generalprobe.
Das Wichtigste in Kürze
- Der ungeprobte Plan ist eine Annahme. Ein Dokument, das nie unter Zeitdruck durchgespielt wurde, beschreibt einen Wunschzustand. Wo die Übung fehlt, zeigt sich die erste Lücke erst im echten Vorfall.
- Die Tabletop-Übung deckt die teuren Lücken auf. Unklare Entscheidungsbefugnis, fehlende Eskalationswege und die Frage, wer mit Behörden und Presse spricht, kosten im Ernstfall Stunden. In der Probe kosten sie ein paar Minuten.
- Üben senkt die Schadenskosten. Laut IBM tragen Organisationen mit getestetem Plan und eingespieltem Team deutlich niedrigere Breach-Kosten. Die Übung ist damit eine der günstigsten Sicherheitsinvestitionen überhaupt.
Verwandt:Security Awareness: die Klickrate misst das Falsche / Backup gegen Ransomware: 3-2-1-1-0 statt 3-2-1
Was ist eine Tabletop-Übung? Eine Tabletop-Übung ist eine moderierte Trockenübung, in der das Krisenteam ein realistisches Angriffsszenario am Tisch durchspielt, ohne echte Systeme anzufassen. Die Teilnehmer treffen Entscheidungen unter Zeitdruck, decken Lücken im Incident-Response-Plan auf und üben die Zusammenarbeit, bevor der Ernstfall sie dazu zwingt.
Der Plan im Ordner trifft auf 03:40 Uhr
Ein Incident-Response-Plan liest sich am Schreibtisch sauber. Rollen sind benannt, Schritte nummeriert, Kontaktlisten gepflegt. Dann klingelt um 03:40 Uhr das Telefon, die halbe Kontaktliste ist im Urlaub, niemand weiß, ob die Entscheidung zum Abschalten der Produktion beim Diensthabenden oder beim CISO liegt. Genau hier zeigt sich, ob der Plan ein Werkzeug oder ein Beruhigungsmittel war.
Die Lücke sitzt selten im Dokument selbst, sondern in den Annahmen darüber, wie Menschen unter Stress handeln. Ein Plan unterstellt klare Köpfe, verfügbare Ansprechpartner und eindeutige Zuständigkeiten. Der Ernstfall liefert das Gegenteil. Eine Übung schließt diese Lücke, weil sie genau die Reibung erzeugt, die das Dokument ausblendet.
Was die Übung wirklich aufdeckt
Die wertvollsten Erkenntnisse einer Tabletop-Übung stehen in keinem Plan. Wer darf die Produktion stoppen, ohne drei Eskalationsstufen abzuwarten? Wer spricht mit der Aufsichtsbehörde, wer mit der Presse und wer hält beide auseinander? Ab wann wird aus einem IT-Vorfall ein Vorstandsthema? Solche Fragen klären sich in der Probe in Minuten, im echten Vorfall kosten sie Stunden, in denen der Schaden weiterläuft.
Eine gute Übung bringt zudem die richtigen Leute an einen Tisch, die sich sonst nie treffen: IT-Sicherheit, Recht, Kommunikation, Personal und Geschäftsleitung. Im Ernstfall müssen diese Funktionen in Minuten zusammenarbeiten. Wenn sie sich in der Übung zum ersten Mal abstimmen, ist viel gewonnen, lange bevor ein Angreifer im Netz steht.
Die Lücken, die immer wieder auftauchen
Über viele Übungen hinweg wiederholen sich dieselben Schwachstellen. Erstens die Entscheidungsbefugnis: Niemand traut sich, die teure Entscheidung allein zu treffen, also wandert sie nach oben und verliert Zeit. Zweitens die Kommunikation nach außen, die unter NIS2 an Fristen gebunden ist und trotzdem oft ungeklärt bleibt. Drittens die Abhängigkeit von einzelnen Personen, deren Wissen niemand sonst hat.
Hinzu kommt die Schnittstelle zur Wiederherstellung. Ein Krisenteam kann sauber kommunizieren und trotzdem scheitern, wenn das Backup nie auf echten Restore getestet wurde. Tabletop-Übung und Restore-Test gehören deshalb zusammen: Die eine prüft die Entscheidungen, die andere prüft, ob die Technik die Entscheidungen überhaupt tragen kann. Auch die Meldewege aus der Belegschaft gehören in dasselbe Drehbuch.
Der DACH-Faktor: NIS2 macht die Uhr scharf
In Deutschland steht über der Krisenkommunikation eine harte Frist. NIS2 verlangt von betroffenen Einrichtungen eine erste Meldung an das BSI binnen 24 Stunden nach Kenntnis eines erheblichen Vorfalls, gefolgt von einer ausführlicheren Meldung binnen 72 Stunden. Wer in diesem Fenster erst klärt, wer überhaupt melden darf und welche Informationen die Meldung enthält, hat die Frist meist schon verloren. Eine Tabletop-Übung mit eingebauter Meldeuhr macht diese 24 Stunden greifbar.
Hinzu kommt der Krisenstab als Gremium. In vielen DACH-Häusern existiert er auf dem Papier, hat sich aber nie zusammengesetzt. Die Mitbestimmung spielt mit hinein, sobald personenbezogene Daten oder arbeitsrechtliche Folgen im Raum stehen. Wer diese Beteiligten erst im Ernstfall an einen Tisch holt, verliert Zeit, die die Meldefrist nicht hergibt.
Wie die erste Übung in den nächsten 90 Tagen gelingt
Der Einstieg braucht keine teure Simulationsumgebung. Es genügt ein realistisches Szenario, etwa eine Ransomware-Infektion mit verschlüsselten Produktivsystemen, ein Moderator und zwei Stunden mit den richtigen Funktionen im Raum: IT-Sicherheit, Recht, Kommunikation, Personal und ein Mitglied der Geschäftsleitung. Das Szenario wird Schritt für Schritt eskaliert, jede Entscheidung wird laut getroffen und protokolliert. Am Ende steht keine Note, sondern eine Liste der Lücken, die der Plan nicht abgedeckt hat. Diese Liste ist das eigentliche Ergebnis. Wer sie abarbeitet und in zwei bis drei Übungen pro Jahr nachschärft, verwandelt den Plan im Ordner in eine Fähigkeit, die im Ernstfall trägt.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Wie oft sollte ein Incident-Response-Plan geübt werden?
Als Faustregel zwei- bis dreimal pro Jahr, ergänzt nach größeren Änderungen an Systemen, Organisation oder Regulierung. Wichtiger als die reine Frequenz ist, dass jede Übung mit einer Lückenliste endet und diese Liste vor der nächsten Übung abgearbeitet wird. So wird aus dem Üben ein Verbesserungszyklus statt einer Pflichtübung.
Was unterscheidet eine Tabletop-Übung von einem echten Penetrationstest?
Eine Tabletop-Übung prüft Entscheidungen, Rollen und Kommunikation am Tisch, ohne in Systeme einzugreifen. Ein Penetrationstest prüft die technische Verwundbarkeit der Systeme selbst. Beide ergänzen sich: Der Pentest zeigt, wie ein Angreifer hereinkommt, die Tabletop-Übung zeigt, ob die Organisation den Vorfall danach beherrscht.
Wer gehört in eine Tabletop-Übung?
Mehr als nur die IT. Neben IT-Sicherheit gehören Recht, Unternehmenskommunikation, Personal und ein Mitglied der Geschäftsleitung an den Tisch. Genau an diesen Schnittstellen entstehen im Ernstfall die teuren Verzögerungen und genau diese Zusammenarbeit lässt sich nur gemeinsam üben.
Welche Rolle spielt NIS2 bei der Incident-Response-Übung?
NIS2 verlangt von betroffenen Einrichtungen eine erste Meldung an das BSI binnen 24 Stunden nach Kenntnis eines erheblichen Vorfalls. Eine Übung mit eingebauter Meldeuhr stellt sicher, dass im Ernstfall klar ist, wer meldet, was gemeldet wird und wann die Uhr zu laufen beginnt.
Was ist das wichtigste Ergebnis einer Übung?
Die Liste der aufgedeckten Lücken. Ein gutes Gefühl ist noch keine Vorbereitung. Eine Übung, die keine Schwachstelle findet, war meist zu einfach gestellt. Der Wert entsteht erst, wenn die Lücken danach geschlossen werden und die nächste Übung an einem härteren Szenario ansetzt.
Lesetipps der Redaktion
LesetippSecurity Awareness: die Klickrate misst das FalscheLesetippBackup gegen Ransomware: 3-2-1-1-0 statt 3-2-1LesetippZero Trust beim Energieversorger: Was die NIS2-Audits jetzt aufdecken
Mehr aus dem MBF Media Netzwerk
cloudmagazinCloud-Repatriation: Wann sich Rückholen rechnetDigital ChiefsBuild, Buy oder Partner: die Rechnung davorMyBusinessFutureWenn das Update selbst zum Einfallstor wird
