Sechs Übungsszenarien, die fast jedes Unternehmen treffen können
Ein gutes Szenario ist konkret, plausibel und trifft die Stellen, an denen Notfallpläne typischerweise Lücken haben. Diese Seite beschreibt sechs Szenarien mit Ausgangslage, Lernzielen und typischen Einspielungen, dazu Hinweise, welches Szenario zu welchem Stand und welchem Übungsformat passt.
- 6 Szenarien mit Lernzielen
- 24 h NIS2-Erstmeldung, in jedem Szenario mitgeübt
- 72 h Frist nach Art. 33 DSGVO bei personenbezogenen Daten
- 1 Szenario je Übung, im Mehrjahresplan rotierend
Was ein gutes Übungsszenario ausmacht
Das Szenario ist Mittel, nicht Zweck. Es wird so gewählt, dass es die Übungsziele trifft und den Stab fordert, ohne ihn zu überfordern.
-
Bezug zu den kritischen Prozessen
Das Szenario trifft Systeme und Prozesse, die in der Business-Impact-Analyse als kritisch eingestuft sind. Sonst übt der Stab die Bewältigung eines Ereignisses, das ihn im Ernstfall wenig kümmern würde.
-
Unvollständige Informationen
Im Ernstfall weiß niemand am Anfang, was genau passiert ist. Das Szenario liefert Bruchstücke, Widersprüche und Informationen, die der Stab aktiv abfragen muss. So wird die Lagefeststellung geprüft, nicht nur die Entscheidung.
-
Ungünstiger Zeitpunkt
Freitagabend, Ferienzeit, Inventur, Messe. Ein Szenario zur Bürozeit mit vollständigem Stab prüft die Alarmierung nicht. Der Zeitpunkt entscheidet, ob Vertretungsregeln und Erreichbarkeit geübt werden.
Ausgangslage und Lernziele
Jedes Szenario nennt die Ausgangslage, mit der die Übung beginnt, und die Lernziele, an denen die Auswertung gemessen wird.
- Szenario 1
Ransomware am Freitag um 17 Uhr
Ausgangslage: Ein Mitarbeitender meldet, dass Dateien auf dem Dateiserver nicht mehr öffnen und ein Erpresserschreiben erscheint. Die IT-Leitung ist im Auto, die Geschäftsführung im Wochenende. Lernziele: Alarmierung und Einberufung außerhalb der Bürozeiten, Entscheidung über Abschaltungen und Netztrennung, Erstbewertung ohne vollständige Information, Entwurf der NIS2-Erstmeldung binnen 24 Stunden, erste Information an Mitarbeitende, Umgang mit der Lösegeldfrage.
- Szenario 2
Ausfall eines zentralen Dienstleisters
Ausgangslage: Der Cloud-Anbieter, das Rechenzentrum oder der Lohnabrechner ist seit dem Morgen nicht erreichbar, die Statusseite schweigt, die Hotline ist überlastet. Lernziele: Informationsbeschaffung und vertragliche Eskalation, Notbetrieb der betroffenen Fachbereiche, Einschätzung, ab wann das eigene Unternehmen meldepflichtig ist, Kommunikation mit Kunden, deren Leistungen betroffen sind, Prüfung, ob ein Ausweichdienstleister vorbereitet ist.
- Szenario 3
Datenabfluss mit Meldepflichten
Ausgangslage: Ein Sicherheitsforscher meldet, dass ein Datensatz mit Kundendaten des Unternehmens in einem Forum angeboten wird. Die Quelle ist unklar, ein Zugang zum CRM zeigt ungewöhnliche Exporte. Lernziele: Bewertung nach Art. 33 DSGVO mit 72-Stunden-Frist, parallele NIS2-Meldung, Entscheidung über die Information Betroffener, Abstimmung zwischen IT, Datenschutz, Recht und Kommunikation, Beweissicherung, Umgang mit Presseanfragen.
- Szenario 4
Stromausfall im Rechenzentrum
Ausgangslage: Flächiger Stromausfall am Standort, die Netzersatzanlage springt nicht an, die USV trägt noch 20 Minuten. Prognose des Versorgers: mehrere Stunden. Lernziele: Kontrolliertes Herunterfahren in der richtigen Reihenfolge, Priorisierung der USV-Kapazität, Notbetrieb der Fachbereiche ohne IT, Wiederanlaufreihenfolge mit Abhängigkeiten nach Rückkehr der Versorgung, Kommunikation ohne Unternehmens-IT, physische Sicherheit am Standort.
- Szenario 5
Kompromittiertes Administratorkonto
Ausgangslage: Das Monitoring zeigt, dass sich ein Domänen-Administrator nachts von einer unbekannten IP-Adresse angemeldet und neue Konten angelegt hat. Verschlüsselt ist noch nichts. Lernziele: Entscheidung zwischen Beobachten und sofortigem Aussperren, Beweissicherung, Rücksetzen von Zugangsdaten in der richtigen Reihenfolge, Einbindung von Forensik-Dienstleister und Versicherer, Bewertung der Meldepflicht bei einem Vorfall ohne sichtbaren Schaden, Prüfung der Backups auf Manipulation.
- Szenario 6
CEO-Fraud
Ausgangslage: Die Buchhaltung hat auf eine vermeintliche Anweisung der Geschäftsführung eine sechsstellige Überweisung ausgelöst; die E-Mail stellt sich als gefälscht heraus, das Geld ist seit zwei Stunden unterwegs. Lernziele: Sofortkontakt zur Bank und Rückrufversuch, Strafanzeige und Beweissicherung, Prüfung, ob ein E-Mail-Konto kompromittiert wurde, Meldung an den Versicherer, Umgang mit den beteiligten Mitarbeitenden ohne Schuldzuweisung, Prüfung der Freigabeprozesse für Zahlungen.
Welches Szenario prüft was
Die Szenarien überschneiden sich in den Grundlagen, setzen aber unterschiedliche Schwerpunkte. Die Tabelle hilft bei der Auswahl nach Übungsziel und Format.
| Szenario | Prüft vor allem | Geeignetes Format | Geeignet als |
|---|---|---|---|
| Ransomware am Freitag | Alarmierung, Krisenstab, Meldeprozess, Kommunikation, Entscheidungsfähigkeit | Tabletop, Stabsrahmenübung, später Vollübung | Erste Übung |
| Dienstleisterausfall | Verträge, Eskalationswege, Notbetrieb der Fachbereiche, Lieferkettenpflichten | Tabletop | Zweite oder dritte Übung |
| Datenabfluss | DSGVO- und NIS2-Meldung, Zusammenarbeit von Datenschutz, Recht und Kommunikation | Tabletop mit Schwerpunkt Meldepflichten | Bei Kundendaten in großem Umfang |
| Stromausfall | Wiederanlaufreihenfolge, Abhängigkeiten, Notbetrieb ohne IT, physische Vorsorge | Tabletop, technische Wiederanlaufübung | Für Produktion und eigene Rechenzentren |
| Kompromittiertes Admin-Konto | Erkennung, Forensik, Entscheidung unter Unsicherheit, Zugangsdaten-Reset | Tabletop mit IT-Schwerpunkt | Für Stäbe mit Übungserfahrung |
| CEO-Fraud | Zahlungsfreigaben, Bankkontakt, Strafanzeige, Führungskultur | Kurzes Tabletop, auch für Geschäftsleitung und Finanzen allein | Ergänzung zum IT-Fokus |
Einspielungen für Szenario 1: Ransomware am Freitag
So sieht ein Drehbuch in der Praxis aus. Jede Einspielung hat Szenariozeit, Kanal und ein Ziel, das sie prüft. Die Übungsleitung passt Reihenfolge und Tempo an den Stab an.
-
Erste Meldung
Anruf eines Mitarbeitenden bei der IT-Hotline: Dateien lassen sich nicht öffnen, auf dem Bildschirm steht ein Text auf Englisch. Prüft: Wird der Vorfall als Notfall erkannt, wer wird alarmiert?
-
Rückmeldung der IT
Der Bereitschaftsadministrator meldet: Mindestens zwei Dateiserver verschlüsselt, der Backup-Server antwortet nicht. Prüft: Entscheidung über Netztrennung und Abschaltungen, Einberufung des Krisenstabs.
-
Krisenstab unvollständig
Die IT-Leitung ist erst in 90 Minuten erreichbar, die Geschäftsführung ist im Ausland. Prüft: Vertretungsregeln, Entscheidungsbefugnis, Kommunikationskanal außerhalb der Unternehmens-IT.
-
Erpresserschreiben
Ein Ausdruck mit Lösegeldforderung, Frist von 72 Stunden und Drohung, Daten zu veröffentlichen. Prüft: Umgang mit der Lösegeldfrage, Einbindung von Versicherer, Anwalt und Forensik, Beweissicherung.
-
Nachfrage eines Kunden
Ein Großkunde hat von einem Mitarbeitenden gehört, dass etwas passiert sei, und fragt nach seinen Daten. Prüft: Sprachregelung nach außen, Freigabe der Kommunikation, Information der eigenen Mitarbeitenden.
-
Zeitsprung: Meldung und Wiederanlauf
Die Forensik bestätigt Datenabfluss. Prüft: Entwurf der NIS2-Erstmeldung innerhalb der 24 Stunden, Bewertung nach Art. 33 DSGVO, Prüfung der Backups, Wiederanlaufreihenfolge und Zeitschätzung gegenüber den Fachbereichen.
Szenarien über die Jahre rotieren
Eine Übung pro Jahr ist der Mindestrhythmus. Mit wechselnden Szenarien und Formaten werden über die Zeit alle Pläne, Rollen und Meldewege geprüft.
| Jahr | Szenario | Format | Schwerpunkt |
|---|---|---|---|
| Jahr 1 | Ransomware am Freitag | Tabletop | Grundlagen: Alarmierung, Krisenstab, Meldeprozess, Kommunikation. Maßnahmenliste als Grundlage für das Notfallhandbuch. |
| Jahr 2 | Dienstleisterausfall oder Datenabfluss | Tabletop | Verträge und Meldepflichten. Prüfung, ob die Maßnahmen aus Jahr 1 umgesetzt sind. |
| Jahr 3 | Stromausfall oder Ransomware | Technische Wiederanlaufübung | Wiederherstellung aus dem Backup, Reihenfolge, Einhaltung von RTO und RPO. |
| Jahr 4 | Kompromittiertes Admin-Konto mit Eskalation zu Ransomware | Stabsrahmenübung | Stabsarbeit unter Zeitdruck mit Echtzeit-Einspielungen. Vorbereitung auf eine spätere Vollübung. |
Zusätzlich üben nach wesentlichen Änderungen: neuer Dienstleister für zentrale Systeme, Umzug, Wechsel in der Geschäftsleitung oder im Krisenstab, neue Meldepflichten. Das CEO-Fraud-Szenario eignet sich als kurze Zwischenübung für Geschäftsleitung und Finanzen, unabhängig vom IT-Rhythmus.
Zu Übungsszenarien
Mit welchem Szenario sollten wir anfangen?
Mit Ransomware am Freitagnachmittag. Es ist das wahrscheinlichste Ereignis, es prüft fast alle Bausteine des Notfallplans gleichzeitig, und es ist für alle Teilnehmenden unmittelbar verständlich. Wer dieses Szenario einmal geübt hat, kennt die größten Lücken. Die weiteren Szenarien prüfen dann gezielt einzelne Pläne und Rollen.
Wie realistisch muss ein Szenario sein?
So realistisch, dass niemand im Stab es als unmöglich ablehnt. Das Szenario nutzt die tatsächlichen Systeme, Dienstleister und Prozesse des Unternehmens, plausible Zeitpunkte und plausible Informationslücken. Es braucht keine Dramaturgie: Ein verschlüsselter Dateiserver am Freitag um 17 Uhr ist Druck genug. Übertreibungen kosten Glaubwürdigkeit und damit Erkenntnis.
Können wir mehrere Szenarien in einer Übung kombinieren?
Besser nicht. Jedes Szenario prüft bestimmte Ziele, und ein halber Tag reicht für eines. Sinnvoll ist eine Eskalation innerhalb eines Szenarios: Aus dem kompromittierten Admin-Konto wird im zweiten Teil eine Ransomware-Verschlüsselung, oder aus dem Datenabfluss ergibt sich eine Presseanfrage. Das bleibt eine Geschichte und überfordert den Stab nicht.
Wer schreibt das Szenario, wenn wir es selbst machen?
Eine Person, die nicht im Krisenstab sitzt und die IT-Umgebung gut genug kennt, um plausible Einspielungen zu formulieren. Der Entwurf wird von einem Administrator auf technische Stimmigkeit geprüft, ohne dass der Stab davon erfährt. Wer das Szenario kennt, kann in der Übung nicht unbefangen mitarbeiten; deshalb ist bei kleinen Organisationen eine externe Übungsleitung oft der einfachere Weg.
Wie oft sollte das Szenario gewechselt werden?
Bei jeder Übung. Ein Mehrjahresplan rotiert durch die Szenarien, sodass über drei bis vier Jahre alle Pläne, Rollen und Meldewege geprüft wurden. Ein Szenario darf wiederholt werden, wenn die letzte Übung große Lücken gezeigt hat und der Fortschritt belegt werden soll, dann aber mit veränderten Einspielungen.
Vertiefung zu Notfallübungen
-
Ablauf einer Tabletop-Übung
Vorbereitung mit Zielen und Drehbuch, Teilnehmerkreis, Zeitplan für einen halben Tag, Moderation, Beobachter und Auswertung.
-
Der Übungsbericht
Aufbau als Nachweis für NIS2, ISO 27001, KRITIS-Dachgesetz und Versicherer: Ziele, Verlauf, Beobachtungen, Maßnahmenliste, Wiedervorlage.
-
IT-Notfallübung im Überblick
Übungsformate vom Tabletop bis zur Vollübung, Ablauf, Szenarien, Nachweis und die häufigsten Fragen auf der Startseite.
Tobias Mogk
Welches Szenario passt zu Ihrem Stand?
Im kostenlosen Erstgespräch klären wir, welche Ziele Ihre nächste Übung haben sollte und welches Szenario sie am besten trifft. Sie erhalten einen Vorschlag für Szenario, Format und Teilnehmerkreis.
- Szenario mit Bezug zu Ihren kritischen Prozessen und Dienstleistern
- Drehbuch mit Einspielungen, die Ihre Übungsziele prüfen
- Mehrjahresplan, der alle Pläne und Rollen abdeckt
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen