IT-Ausfall üben, bevor niemand mehr entscheidet

Im Ausfall zählt die erste Stunde. Ungeübte Runden verlieren sie an Rollensuche. Der Jahresplan hält die Übungen im Kalender. Jede Runde dauert zwei Stunden, holt Geschäftsführung, IT und Fachbereich an den Tisch und endet mit einem Maßnahmenplan.

Verwandt: Ab wann die Meldefrist-Uhr wirklich tickt  ·  Welche Entscheidungsrechte des CISO schriftlich geregelt sein müssen

Was ein zweistündiger Tabletop trainiert

Ein IT-Ausfall im Mittelstand trifft zuerst die Arbeit, die am nächsten Werktag erledigt werden muss. Auftragsannahme, Warenausgang, Lohnabrechnung und Kundenhotline hängen an Systemen, die in ruhigen Wochen als selbstverständlich gelten. Fällt die Plattform aus, fordert die Geschäftsführung ein Lagebild, während Fachbereiche weiterliefern wollen. Die ersten Nachfragen kommen aus Vertrieb, Fertigung und Leitung, die Lieferfähigkeit und Haftung im Blick haben.

Wer in dieser Minute zum ersten Mal Rollen, Entscheidungswege und Sprachregelungen klärt, steuert den Vorfall nicht. Der Kreis, der steuern könnte, entsteht dann erst unter Druck. Der Tabletop zieht genau diesen Kreis vor den Ernstfall an einen Tisch. Die Übung bleibt analog und begrenzt. Karten, ein Szenariobogen, eine sichtbare Uhr und ein Protokoll genügen als Werkzeug.

Forensik, Patchstände und die Tiefe einzelner Protokolldateien haben in diesem Format keinen Platz. Jeder neue Informationshappen ändert Prioritäten. Die Runde muss bewerten, ob Systeme isoliert oder wieder angefahren werden, ob eine interne Sperre greift und ob Kunden oder Lieferanten eine erste Information erhalten.

Technische Wiederherstellung bleibt Sache der Wiederanlaufpläne und der Tests der Datensicherung. Der zweistündige Termin trainiert das gemeinsame Lagebild. Er macht sichtbar, wer unter Unsicherheit einen Auftrag formuliert.

Welche Rollen in zwei Stunden an den Tisch gehören

Ohne festgelegte Rollen zerfällt der Tabletop in eine Fachdiskussion ohne Beschluss. Am Tisch sitzt die Geschäftsführung als Instanz für Betrieb, Kosten und Außenwirkung. Sie gibt frei, ob Produktion angehalten, ein Standort geschlossen oder eine Notfallbeschaffung beim Dienstleister ausgelöst wird. Die IT-Leitung trägt Isolation, Wiederanlauf und die Bewertung technischer Optionen. Der oder die Sicherheitsverantwortliche hält den Schutzbedarf und die Abwehrlogik fest, damit Schnelligkeit nicht unkontrolliert Systeme wieder öffnet.

Der Datenschutz kommt hinzu, sobald personenbezogene Daten, Auskunftspflichten oder Inhalte von Mitarbeiter- und Kundenkommunikation berührt sind. Personal oder interne Kommunikation führt die Sprache zur Belegschaft und klärt, ob der Betriebsrat einzubinden ist. Ein Fachbereich mit einem kritischen Prozess hält die Übung an der Wertschöpfung und verhindert, dass der Tisch nur in der IT bleibt. Typische Anker sind Vertrieb, Fertigung, Logistik oder Buchhaltung, je nachdem welcher Prozess das Haus zuerst stoppt. Diese Rolle darf nicht an eine Person gehen, die den Prozess nur vom Hörensagen kennt.

Der externe IT-Dienstleister gehört an denselben Tisch, wenn Betrieb, Hosting oder der Wiederanlauf vertraglich bei ihm liegen. Ohne ihn übt das Unternehmen eine Lage, die es im Ernstfall nicht allein beherrscht. Ein Moderator hält die Zeit und zieht die Runde aus Technikdetails zurück auf Entscheidungen. Eine vom Fach getrennte Person schreibt das Protokoll. Sie hält Beschlüsse, offene Fragen und Sprachregelungen fest, bevor sie im Gespräch zerfasern.

Vertretungen sind Teil der Rollenkarte. Urlaub, Krankheit und parallele Termine sind im Mittelstand der Normalfall. Jede Rolle braucht eine namentlich benannte Vertretung und einen Kanal, der ohne das ausgefallene Primärsystem funktioniert. Mobilfunklisten, Papierausdrucke und eine erreichbare Geschäftsführung außerhalb des Firmennetzes klingen nüchtern. Im Ausfall entscheiden sie über das Tempo der ersten Stunde.

So wird das Szenario in zwei Stunden aufgesetzt

Das Szenario muss für das eigene Haus glaubwürdig sein. Ein Ausfall der zentralen Warenwirtschaft, eine Erpressungslage ohne technische Spielerei, ein Ausfall des Anmeldedienstes oder eine länger offene Verbindung zur Fertigung reichen als Gerüst. Je näher der Fall an einem Prozess liegt, den das Haus an einem normalen Werktag spürt, desto ehrlicher werden Prioritäten. Fernliegende Großlagen erzeugen Debatten. Nahe Lagen erzeugen Beschlüsse.

Das Szenario nennt den sichtbaren Effekt auf Prozesse. Es spekuliert nicht über Tätergruppen und es spielt keine Schadsoftware nach. Die Vorbereitung gehört in die Wochen vor dem Termin. IT-Leitung und Sicherheitsverantwortliche formulieren den Auslöser, wenige Informationshappen und das sichtbare Ziel am Ende der zwei Stunden. Ein solches Ziel kann eine Entscheidung zur Isolation sein, eine erste interne Meldung oder ein schriftlicher Auftrag an den Dienstleister.

Der Moderator kennt die Happen. Die übrigen Teilnehmenden kennen nur den Startzustand. Die zwei Stunden folgen einem groben Arbeitsrahmen. Zu Beginn stehen Ziel, Spielregeln und die Rollenkarte, danach der Startimpuls. In der Mitte liegen erneute Entscheidungsschleifen mit einem neuen Happen. Gegen Ende formuliert die Runde eine Sprachregelung und den nächsten konkreten Auftrag. Ein kurzer Rückblick schließt, solange die Eindrücke noch scharf sind.

Unterlagen bleiben knapp, der Teilnehmerkreis auch. Eine Seite Szenario, eine Seite Rollen, eine leere Vorlage für das Lagebild und eine Vorlage für die erste Mitteilung genügen. Wer Richtlinienordner auf den Tisch legt, liest. Papier und Stift bleiben zulässig, weil genau dieser Weg im echten Ausfall oft der einzige ist. Wer nur zuhören will, erhält das Protokoll und bleibt dem Tisch fern.

Wie die Runde Entscheidungen und Sprache unter Zeitdruck übt

Die sichtbare Uhr ist das eigentliche Übungsgerät. Ohne sie diskutiert der Tisch, als stünde eine ganze Nachtschicht zur Verfügung. Mit ihr wird jede offene Frage teuer, weil sie gegen die nächste Entscheidung gerechnet wird. Der Moderator stoppt Debatten, die keinen Beschluss erzeugen. Er fragt nach der Handlung, die in den nächsten Minuten in den Wiederanlauf oder nach außen wirkt.

Jede Entscheidung braucht einen Satz im Protokoll. Darin steht, was gilt, wer ausführt, bis wann ein Zwischenstand kommt und was bewusst offen bleibt. Unvollständigkeit ist der Normalzustand der ersten Stunde eines Ausfalls. Die Übung macht sichtbar, wer Unsicherheit in einen Auftrag verwandelt. Sie macht ebenso sichtbar, wer auf eine vollständige Faktenlage wartet, die in dieser Phase nicht eintrifft.

Kommunikation ist in diesem Format ein Liefergegenstand. Die Runde schreibt eine interne Erstinformation an die Belegschaft. Falls der Fachbereich den Außendruck für realistisch hält, entsteht zusätzlich eine zurückhaltende Formulierung für Kunden oder Lieferanten. Namen von Betroffenen, technische Ursachen und Schuldzuweisungen bleiben draußen. Der Datenschutz prüft, ob personenbezogene Daten oder gesetzliche Fristen die Sprache begrenzen. Die Geschäftsführung gibt die Aussage frei oder hält sie zurück.

E-Mail als einziger Kanal fällt aus, wenn das E-Mail-System Teil der Lage ist. Die Runde muss dann einen anderen Weg benennen, etwa Mobilfunk, einen unabhängigen Verteiler oder eine Durchsage vor Ort. Wer nach zwei Stunden keine schriftliche Aussage vorzeigen kann, hat die Lage nur besprochen. Der Ernstfall verlangt Sätze, die ein Mitarbeiter am Telefon halten kann, ohne zu spekulieren. Diese Sätze entstehen, wenn der Tisch sie als Auftrag behandelt.

Wie aus der Übung ein belastbarer Maßnahmenplan wird

Der Wert der zwei Stunden liegt im Maßnahmenplan, den die Runde noch im Raum skizziert. Jede Lücke, die im Spiel sichtbar wurde, wird zu einer Maßnahme mit einer verantwortlichen Person, einem Termin und einem erwarteten Nachweis. Typische Funde im Mittelstand betreffen Eskalationsketten ohne das Firmennetz, aktuelle Kontakte zum Dienstleister und Vertretungsregeln für die Geschäftsführung. Dazu kommen Vorlagen für Erstinformationen. Offen bleibt oft die Reihenfolge, in der Prozesse wirklich zuerst wieder laufen müssen.

Jede Maßnahme wird so klein geschnitten, dass sie ohne neues Großprojekt starten kann. Eine gedruckte Rollenkarte, ein getesteter Anrufweg außerhalb des Firmennetzes oder eine freigegebene Erstinformation sind belastbarer als eine Absichtserklärung. Der Plan gehört in den Tagen nach der Übung geschärft, solange die Reibungspunkte noch präsent sind. Die IT-Leitung prüft, was technisch und vertraglich umsetzbar ist. Die Geschäftsführung gibt frei, was Geld, Lieferanten oder Außenwirkung betrifft.

Maßnahmen ohne Termin oder ohne Namen verschwinden im Alltag. Maßnahmen mit Nachweis tauchen in der nächsten Übung als Prüfstein wieder auf. Der Plan bleibt kurz. Eine Übersicht mit wenigen Zeilen trägt im Tagesgeschäft besser als ein langes Dokument, das niemand öffnet.

Großangelegte Simulationsprogramme sind für diesen Zweck im Mittelstand nicht Voraussetzung. Die Abarbeitung gehört in die laufende Leitung. Ein fester Tagesordnungspunkt in den Wochen nach dem Tabletop verhindert, dass operative Arbeit die offenen Punkte überwächst. Was erledigt ist, wird abgehakt und im Protokoll der Leitung festgehalten. Was stockt, geht zurück an die Geschäftsführung mit der Frage, ob der Schutzbedarf oder der Termin falsch gesetzt war.

Welcher 12-Monats-Plan die Übung im Kalender hält

Ein einzelner Tabletop beruhigt kurz und veraltet schnell. Personal wechselt, Dienstleister ändern Ansprechpartner und Prozesse verschieben sich mit neuen Systemen. Der Jahresplan macht die Übung zu einer Führungsroutine. Das Jahr gliedert sich grob in Auftrag, erste Übung, Abarbeitung, zweite Übung und Jahresrückblick. Die Termine werden gelegt, bevor Urlaubswellen und der Jahresabschluss den Kalender schließen.

Zu Jahresbeginn holt die IT-Leitung den Auftrag der Geschäftsführung ein. Gemeinsam benennen sie die Prozesse, ohne die das Haus nicht liefern kann und die Systeme, an denen diese Prozesse hängen. In den folgenden Wochen entstehen Rollenkarte, Vertretungen, eine vom Firmennetz unabhängige Erreichbarkeit und das erste Szenario. Die erste zweistündige Übung liegt bewusst früh im Jahr. Nur so hat der Maßnahmenplan noch Laufzeit für Kontakte, Vorlagen, Eskalation und die Klärung mit dem Dienstleister.

Zur Jahresmitte reicht ein kurzer Stand in der Leitung mit den Spalten erledigt, verzögert und blockiert. Im zweiten Halbjahr wird das Szenario härter. Die zweite Übung prüft mit längerem Ausfall, fehlender Schlüsselperson oder parallelem Druck, ob der Plan aus dem Frühjahr trägt. Die zweite Übung dauert wieder zwei Stunden und nutzt dieselben Rollen. Geändert wird nur die Lage.

Der Jahresabschluss hält fest, welche Maßnahmen wirken, welche Rollen nachbesetzt werden müssen und welches Szenario im Folgejahr ansteht. Der Kalendereintrag selbst ist eine Sicherheitsmaßnahme. Wer die zwei Stunden nicht terminiert, wird sie im operativen Betrieb nicht finden. Wer sie terminiert und wiederholt, kann im Ausfall auf geübte Entscheidungen zurückgreifen. Er kann auf eine Sprache zurückgreifen, die schon einmal am Tisch entstanden ist.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Reichen zwei Stunden, wenn ein echter Ausfall viel länger dauern würde?

Die zwei Stunden trainieren die Führungsentscheidungen der ersten Stunde. Länger laufende Wiederherstellung bleibt Sache der Wiederanlaufpläne, der Tests der Datensicherung und der Arbeit mit dem Dienstleister. Der Tabletop macht sichtbar, ob diese Pläne anschlussfähig sind und ob die Runde unter Zeitdruck beschließen kann.

Muss der externe Dienstleister an den Tisch?

Sobald Betrieb, Hosting oder Wiederanlauf vertraglich bei ihm liegen, gehört er in die Übung. Sonst entscheidet das Unternehmen über Optionen, die es allein nicht ausführen kann. Die Rollenkarte nennt ihn mit Vertretung und mit einem Kontaktweg außerhalb des ausgefallenen Systems.

Brauchen wir ein teures Simulationsprogramm für den Jahresplan?

Für den Tabletop im Mittelstand reicht ein analoger Rahmen mit Szenariobogen, Rollenkarte und Protokoll. Großangelegte Simulationsprogramme sind keine Voraussetzung.

Lesetipps der Redaktion

LesetippDer Notfallplan, den niemand geprobt hatLesetippRansomware 2026: Incident Response in den ersten 60 MinutenLesetippWas ist Incident Response? Der Plan für den Ernstfall

Mehr aus dem MBF Media Netzwerk

cloudmagazinResilienz jenseits der Security-ToolchainMyBusinessFutureNIS2-Umsetzung: Checkliste für den Mittelstand jetztDigital ChiefsDORA zwingt zum Bruch mit alten BCM-Routinen

Bildquelle: KI-generiert (September 2026)