Unklare Entscheidungsbefugnisse
Wer darf Systeme isolieren, das Netz vom Internet trennen oder die Produktion stoppen? Ohne klare Befugnisse vergeht wertvolle Zeit mit Abstimmungen.
Incident Response & Forensik
Krisen- & Tabletop-Übungen für den Cyber-Ernstfall
Üben, bevor es ernst wird.
In einer Tabletop-Übung spielt Ihr Team einen realistischen Cyberangriff Schritt für Schritt durch – von der ersten Warnmeldung bis zur Presseanfrage. Geschäftsleitung, IT, Kommunikation und Recht erleben, wo Abläufe und Zuständigkeiten tragen und wo nicht. Ohne Eingriff in Ihre Systeme und ohne Risiko für den Betrieb.
- Individuelles Angebot
- Szenarien nach Maß
- Auswertung mit Maßnahmenplan
Definition
Was ist eine Tabletop-Übung?
Eine Tabletop-Übung ist eine moderierte, diskussionsbasierte Krisenübung. Die Teilnehmenden bewältigen gemeinsam am Tisch ein fiktives, aber realistisches Szenario – etwa einen Ransomware-Angriff. Die Übungsleitung spielt nach einem Drehbuch schrittweise neue Informationen ein, sogenannte Injects; der BSI-Standard 200-4 spricht von Einlagen. Entschieden wird in den tatsächlichen Rollen, ohne dass Systeme angefasst werden.
Notfallpläne werden in Ruhe geschrieben, aber unter Druck angewendet. Die Übung zeigt, ob Rollen klar sind, ob Informationen rechtzeitig bei den Entscheidungstragenden ankommen und ob Meldefristen eingehalten würden. Jede Lücke, die Sie in der Übung finden und schließen, kostet Sie im Ernstfall keine Zeit mehr.
Auch regulatorisch gewinnt das Üben an Gewicht. Nach NIS2 – in Deutschland im BSI-Gesetz umgesetzt – müssen die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; zu diesen Maßnahmen zählen die Bewältigung von Sicherheitsvorfällen und das Krisenmanagement. DORA verlangt von Finanzunternehmen grundsätzlich, ihre IKT-Geschäftsfortführungspläne sowie ihre IKT-Reaktions- und Wiederherstellungspläne mindestens jährlich zu testen; auch ihre Krisenkommunikationspläne müssen sie testen.
Sinnvoll ist eine IT-Notfallübung nach der Einführung eines neuen Notfallplans, nach Umstrukturierungen oder einem Wechsel in der Geschäftsleitung, vor Audits – und gerade dann, wenn es noch gar keinen Plan gibt. Dann zeigt sie, wo Regelungen fehlen.
Unser Vorgehen
So bereiten wir Ihre Cyber-Krisenübung vor
Mit einem kleinen Planungsteam auf Ihrer Seite legen wir Übungsziele, Teilnehmende und Rahmen fest. Mögliche Leitfragen: Funktioniert die Eskalation bis zur Geschäftsleitung? Behält der Krisenstab die 72-Stunden-Frist der DSGVO im Blick? Hält der Kommunikationsplan dem Druck von außen stand? Das Szenario selbst kennt außer dem Planungsteam niemand.
Aus Interviews und Unterlagen entwickeln wir ein Szenario, das zu Ihrer Branche, Ihrer IT-Landschaft und Ihren Abhängigkeiten passt. Das Drehbuch legt fest, welche Injects wann eingespielt werden: ein Alarm des Virenschutzes, eine Erpressernachricht, der Anruf aus einer Redaktion, die Rückfrage eines Großkunden oder die Nachricht, dass Daten auf einer Leak-Seite aufgetaucht sind.
Am Übungstag moderieren wir, spielen die Injects ein und dokumentieren Entscheidungen, Zeitpunkte und offene Fragen. Direkt im Anschluss folgt eine erste gemeinsame Nachbesprechung, der sogenannte Hot Wash; die ausführliche Auswertung erhalten Sie schriftlich.
Typische Erkenntnisse
Was Krisenübungen regelmäßig ans Licht bringen
Fehlende Erreichbarkeit
Kontaktlisten sind veraltet, Stellvertretungen ungeklärt, und wichtige Dienstleister sind außerhalb der Geschäftszeiten nicht erreichbar.
Kommunikation über kompromittierte Kanäle
E-Mail und Chat laufen über die betroffene Umgebung, ein unabhängiger Ausweichkanal fehlt.
Meldefristen aus dem Blick
Niemand startet die Uhr für DSGVO- oder NIS2-Fristen, und offen bleibt, wer eine Meldung verfasst und freigibt.
Ungetestete Wiederherstellung
Backups sind vorhanden, doch Reihenfolge und Abhängigkeiten des Wiederanlaufs – etwa von Active Directory, DNS oder Lizenzservern – sind unklar.
Druck von außen
Kunden, Beschäftigte, Presse und Erpresser verlangen gleichzeitig Antworten; abgestimmte Sprachregelungen und Freigabewege fehlen.
Umgang mit Erpressung
Wie reagiert die Geschäftsleitung auf eine Lösegeldforderung samt Drohung, Daten zu veröffentlichen? Ohne vorab geklärte Grundsätze – etwa zur Einbindung von Polizei und Cyber-Versicherer – wird unter Zeitdruck entschieden.
Abhängigkeit von Dienstleistern
Verträge regeln nicht, was IT-Dienstleister oder Cloud-Anbieter im Vorfall leisten – und niemand kennt die Obliegenheiten aus der Cyber-Police.
Formate
Drei Formate für unterschiedliche Ziele
Diskussionsbasiert
Tabletop für den Krisenstab
Geschäftsleitung und Krisenstab bewältigen das Szenario im Gespräch – mit Fokus auf Entscheidungen, Prioritäten, Kommunikation und Meldepflichten.
- Dauer je nach Umfang und Szenario
- Keine technischen Vorkenntnisse nötig
- Ideal, um einen neuen Notfallplan zu erproben
Für IT & Dienstleister
Technische Simulation
Ihr IT-Team arbeitet mit vorbereiteten Artefakten wie Protokollauszügen, Alarmen und Erpressernachrichten und spielt die Schritte seiner Playbooks praktisch durch.
- Analyse, Eindämmung und Beweissicherung üben
- Zusammenspiel mit externen Dienstleistern prüfen
- Ohne Eingriff in Produktivsysteme
Mit Red Teaming
Kombinierte Übung
Auf Wunsch verbinden wir die Krisenübung mit einem Red Teaming. Kontrolliert ausgeführte Angriffstechniken hinterlassen echte Spuren und lösen – sofern Ihre Erkennung anschlägt – echte Alarme aus, auf die Technik und Krisenstab reagieren.
- Echte Spuren und Alarme statt Papier-Injects
- Technik und Management üben gemeinsam
- Purple Teaming als Variante bzw. Ergänzung des Red Teamings möglich
Ablauf
So läuft eine Tabletop-Übung ab
Von der Zielsetzung bis zum Maßnahmenplan – strukturiert, vertraulich und abgestimmt auf Ihren Betrieb. Wie alle Leistungen im Bereich Incident Response & Forensik bieten wir Übungen individuell an.
-
01
Erstgespräch & Angebot
Wir klären Ziele, Teilnehmende und Format. Danach erhalten Sie ein individuelles Angebot.
-
02
Analyse & Szenario
Interviews und Unterlagen zeigen, welche Systeme, Abläufe und Abhängigkeiten das Szenario realistisch machen.
-
03
Drehbuch & Abstimmung
Wir schreiben Drehbuch und Injects und stimmen beides mit Ihrem Planungsteam ab. Die Teilnehmenden kennen Termin und Ziele, nicht aber das Szenario.
-
04
Durchführung
Wir moderieren die Übung entlang der Phasen eines realen Vorfalls – Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung – und behalten dabei Kommunikation und Meldepflichten im Blick.
-
05
Nachbesprechung & Bericht
Direkt nach der Übung sammeln wir im Hot Wash die Eindrücke aller Beteiligten. Der schriftliche Bericht folgt mit Lessons Learned und Maßnahmen.
-
06
Maßnahmen & Folgeübung
Wir unterstützen Sie dabei, Notfallplan und Playbooks anzupassen, und empfehlen Schwerpunkte für die nächste Übung.
Auswertung
Übungsbericht und Lessons Learned
Der Bericht hält fest, was gut funktioniert hat, wo es gehakt hat und was jetzt zu tun ist. Wir bewerten Abläufe und Strukturen, nicht einzelne Personen – damit die Ergebnisse offen besprochen werden können.
- Management Summary mit den wichtigsten Erkenntnissen
- Übungsziele, Szenario und Teilnehmende
- Chronologie der Lage und der getroffenen Entscheidungen
- Stärken und Lücken nach Themenfeldern wie Entscheidung, Kommunikation, Technik, Meldepflichten und Dienstleistern
- Priorisierte Maßnahmen mit Verantwortlichkeiten
- Empfehlungen für Notfallplan, Playbooks und die nächste Übung
Proben Sie den Ernstfall, bevor er eintritt
Ob erste Tabletop-Übung für die Geschäftsleitung oder kombinierte Übung mit der Technik: Wir entwickeln ein Szenario, das zu Ihrem Unternehmen passt.
FAQ
Häufige Fragen zur Tabletop-Übung
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Was unterscheidet Tabletop-Übung, Stabsübung und Red Teaming?
Eine Tabletop-Übung ist diskussionsbasiert: Ein Szenario wird am Tisch durchgesprochen, ohne dass Handlungen real ausgeführt werden. Im BSI-Standard 200-4 kommt ihr die Planbesprechung („Schreibtischtest“) am nächsten; mit dynamischen Einlagen nähert sie sich der Stabsübung an. In einer Stabsübung arbeitet ein aktivierter Krisenstab ein Szenario mit Lagebesprechungen, Protokoll und Visualisierung praktisch ab. Ein Red Teaming ist dagegen eine beauftragte, verdeckte Angriffssimulation auf Ihre realen Systeme, die Erkennung und Reaktion prüft.
Wer sollte teilnehmen?
Das hängt vom Übungsziel ab. Für eine Übung des Krisenstabs sind Geschäftsleitung, IT-Leitung, Informationssicherheit, Datenschutz, Recht, Kommunikation und Personal sinnvoll, in produzierenden Unternehmen auch die Betriebsleitung. Technische Übungen richten sich an IT-Betrieb, Administration und beteiligte Dienstleister. Bewährt hat sich ein überschaubarer Kreis, in dem alle aktiv mitwirken.
Wie viel Vorbereitung ist nötig?
Wie lange die Übung selbst dauert, hängt von Umfang und Szenario ab. Für Interviews, Szenarioentwicklung und die Abstimmung des Drehbuchs planen Sie ausreichend Vorlauf zur Vorbereitung ein. Gefordert ist vor allem Ihr kleines Planungsteam – alle anderen investieren im Wesentlichen die Zeit der Übung selbst.
Ist eine Übung ohne Notfallplan sinnvoll?
Ja. Gerade dann zeigt sie schnell, wo Regelungen fehlen, und schafft in der Geschäftsleitung Bewusstsein für den Handlungsbedarf. Die Ergebnisse sind eine gute Grundlage für einen Incident Response Plan – mehr dazu unter Incident-Response-Management.
Werden einzelne Teilnehmende bewertet?
Nein. Wir bewerten Abläufe, Informationsflüsse und Entscheidungsgrundlagen, nicht Personen. Fehler sind in einer Übung ausdrücklich erlaubt – gerade sie machen Schwachstellen sichtbar. Entsprechend sachlich formulieren wir den Bericht.
Hilft eine Tabletop-Übung bei NIS2 und DORA?
Sie kann ein wichtiger Baustein sein. NIS2 verlangt von den erfassten Einrichtungen Maßnahmen zur Bewältigung von Sicherheitsvorfällen und zum Krisenmanagement sowie Verfahren, um deren Wirksamkeit zu bewerten. DORA fordert mindestens jährliche Tests der IKT-Geschäftsfortführungspläne sowie der IKT-Reaktions- und Wiederherstellungspläne – außer bei Kleinstunternehmen auch mit Szenarien von Cyberangriffen – und zudem Tests der Krisenkommunikationspläne. Ob eine Übung Ihre Pflichten vollständig abdeckt, hängt vom Einzelfall ab; der Übungsbericht dokumentiert in jedem Fall Szenario, Ergebnisse und Maßnahmen.
Können reale Angriffstechniken Teil der Übung sein?
Ja – in der kombinierten Variante mit unserem Angebot Red Teaming & APT-Simulation. Kontrolliert ausgeführte Angriffstechniken erzeugen dann echte Spuren und, sofern Ihre Erkennung anschlägt, echte Alarme, auf die Technik und Krisenstab reagieren. Auf Wunsch schließt sich ein Purple Teaming an – als Variante bzw. Ergänzung des Red Teamings –, um Erkennungslücken gemeinsam mit Ihrem Team zu schließen.
Weiterführende Seiten
Ihre Krisenübung planen
Erzählen Sie uns, wen Sie üben lassen möchten und welche Szenarien Sie beschäftigen. Wir schlagen ein passendes Format vor und erstellen Ihnen ein individuelles Angebot. Bei einem akuten Sicherheitsvorfall erreichen Sie uns über die 24/7-Notfall-Hotline +49 2932 465265-0 oder das Formular Notfall melden.