Tabletop-Übung: So läuft eine Planbesprechung ab
Das Tabletop ist das Format mit dem besten Verhältnis von Aufwand und Erkenntnis: Der Krisenstab geht ein Szenario am Tisch durch, moderiert, mit Einspielungen und Beobachtern, an einem halben Tag. Diese Seite beschreibt Vorbereitung, Teilnehmerkreis, Drehbuch, Durchführung und Auswertung so konkret, dass Sie den Ablauf planen können.
- halber Tag Dauer inklusive Auswertung
- 6 bis 12 Teilnehmende im Krisenstab
- 3 Phasen Vorbereitung, Durchführung, Auswertung
- Drehbuch mit zeitgesteuerten Einspielungen
Wer am Tisch sitzt und wer daneben
Drei Gruppen mit klar getrennten Aufgaben: Der Krisenstab übt, die Übungsleitung steuert, die Beobachter protokollieren. Wer zwei Rollen gleichzeitig hat, füllt keine richtig aus.
| Rolle | Besetzung | Aufgabe in der Übung |
|---|---|---|
| Krisenstab | Geschäftsleitung, IT-Leitung, Informationssicherheit, Kommunikation, Recht oder Datenschutz, je nach Szenario Produktion, Vertrieb, Personal. Mit Vertretungen. | Arbeitet das Szenario ab: Lage feststellen, entscheiden, beauftragen, kommunizieren, dokumentieren. Genau so, wie es im Ernstfall geschehen würde. |
| Übungsleitung | Eine moderierende Person, intern oder extern, die das Szenario und das Drehbuch kennt und nicht Mitglied des Stabs ist. | Eröffnet, spielt Einspielungen ein, beantwortet Rückfragen aus der Szenariowelt, hält die Zeit, greift nur ein, wenn die Übung stockt. |
| Beobachter | Ein bis zwei Personen, die den Stab kennen, aber nicht in ihm sitzen: interne Revision, Qualitätsmanagement, ein Kollege aus einem anderen Standort. | Protokollieren Entscheidungen, Zeitpunkte, Reibungen und offene Fragen anhand eines Beobachtungsbogens. Greifen nicht ein. |
| Fachliche Antwortgeber | Optional: Personen, die Fragen des Stabs aus der Szenariowelt beantworten, etwa ein Administrator für technische Details. | Liefern auf Nachfrage Informationen, die im Drehbuch vorgesehen sind, und halten sich sonst zurück. |
Drei Viertel der Arbeit liegen vor dem Übungstag
Ein Tabletop ohne definierte Ziele erzeugt ein Erlebnis, aber keinen Befund. Die Vorbereitung dauert in der Regel länger als die Übung selbst.
-
Übungsziele festlegen
Drei bis fünf konkrete Fragen, die die Übung beantworten soll. Etwa: Wird der Krisenstab innerhalb von 60 Minuten vollständig einberufen? Steht der Entwurf der NIS2-Erstmeldung vor Ablauf von 24 Stunden Szenariozeit? Ist die Wiederanlaufreihenfolge dem Stab bekannt? Jedes Ziel wird später mit Ja, Teilweise oder Nein beantwortet.
-
Szenario wählen und ausarbeiten
Ein plausibles Ereignis, das die Ziele trifft: Ausgangslage, Zeitpunkt, betroffene Systeme, bekannte und unbekannte Informationen. Das Szenario wird mit einer Person aus der IT auf technische Plausibilität geprüft, ohne dass diese Person im Stab sitzt.
- Bezug zu den kritischen Prozessen aus der Business-Impact-Analyse
- Realistisch für die eigene Umgebung, keine Hollywood-Dramaturgie
-
Drehbuch mit Einspielungen schreiben
Eine Tabelle: Szenariozeit, Übungszeit, Kanal, Absender, Inhalt, erwartete Reaktion, geprüftes Ziel. Einspielungen kommen als Anruf, Mail, Ausdruck oder mündliche Meldung: die Rückmeldung der IT, eine Presseanfrage, ein Kunde, der Vertragsstrafen ankündigt, der Dienstleister, der nicht erreichbar ist.
-
Beobachtungsbogen und Arbeitsmittel vorbereiten
Der Beobachtungsbogen führt die Übungsziele auf und lässt Platz für Zeitpunkte und Notizen. Für den Stab liegen Notfallhandbuch, Kontaktlisten, Lagewand oder Whiteboard, Protokollvorlage und Meldevorlagen bereit, so, wie sie im Ernstfall verfügbar wären.
-
Einladen und Rahmen setzen
Termin, Ort oder Videokonferenz, Dauer, Rollen. Die Teilnehmenden erfahren, dass es eine Übung ist und dass die Auswertung ohne Schuldzuweisung erfolgt. Das Szenario selbst bleibt bis zum Start unbekannt.
Ein halber Tag, in Blöcken
Der Zeitplan gibt Orientierung, nicht Zwang. Wenn der Stab an einer Stelle lange diskutiert, ist das meist ein Befund und kein Zeitproblem.
| Block | Dauer | Inhalt |
|---|---|---|
| Eröffnung | 20 Minuten | Begrüßung, Übungsziele, Regeln: Szenariozeit versus Übungszeit, Umgang mit Einspielungen, keine Schuldzuweisung, Beobachter greifen nicht ein. Rollen im Stab bestätigen. |
| Ausgangslage | 15 Minuten | Die Übungsleitung schildert die Ausgangslage: Zeitpunkt, erste Meldung, was bekannt ist. Der Stab beginnt mit der Lagefeststellung und der Frage, ob und wer alarmiert wird. |
| Szenariodurchgang, Teil 1 | 60 bis 75 Minuten | Einspielungen nach Drehbuch. Der Stab entscheidet über Sofortmaßnahmen, Einberufung, Abschaltungen, erste Kommunikation. Beobachter notieren Zeitpunkte der Entscheidungen. |
| Pause | 15 Minuten | Die Übungsleitung prüft, welche Einspielungen noch nötig sind, um die Ziele zu treffen, und passt das Drehbuch an. |
| Szenariodurchgang, Teil 2 | 60 Minuten | Zeitsprung in der Szenariozeit, etwa auf den nächsten Morgen. Meldepflichten, Wiederanlaufreihenfolge, Kommunikation mit Kunden und Mitarbeitenden, Umgang mit Presse oder Erpressern. |
| Kurzauswertung | 30 Minuten | Unmittelbar im Anschluss: Jeder Teilnehmende nennt eine Stärke und eine Lücke. Die Beobachter fassen ihre Notizen zusammen. Erste Maßnahmen werden gesammelt, noch ohne Priorisierung. |
Moderation, Einspielungen, Beobachtung
Während der Übung entscheidet die Qualität der Moderation darüber, ob der Stab arbeitet oder diskutiert. Einige Grundsätze, die sich bewährt haben.
-
Szenariozeit und Übungszeit trennen
Die Übungsleitung sagt jede Einspielung mit Szenariozeit an: 'Es ist Freitag, 18:40 Uhr. Die IT meldet ...'. Zeitsprünge werden angekündigt. So kann der Stab Fristen wie die 24 Stunden für die Erstmeldung realistisch einordnen.
-
Einspielungen setzen Druck, keine Fallen
Jede Einspielung prüft ein Übungsziel. Sie darf überraschen und den Stab fordern, aber nicht bloßstellen. Wenn der Stab eine Information nicht abfragt, die er bräuchte, wird das notiert, nicht nachgeholfen.
-
Der Stab arbeitet mit seinen Mitteln
Handbuch, Kontaktlisten, Meldevorlagen und Protokoll werden so benutzt, wie sie im Ernstfall verfügbar wären. Wenn das Handbuch nur auf dem Dateiserver liegt, der im Szenario verschlüsselt ist, ist genau das der Befund.
-
Entscheidungen werden protokolliert
Der Stab führt sein eigenes Protokoll: Uhrzeit, Entscheidung, Verantwortlicher. Das prüft die Dokumentationsfähigkeit, die später gegenüber Versicherer, BSI und Datenschutzaufsicht gebraucht wird.
-
Beobachter bleiben still
Sie sitzen außerhalb des Stabs, notieren anhand des Beobachtungsbogens und sprechen erst in der Auswertung. Ihre Notizen sind die wichtigste Quelle für den Übungsbericht.
-
Eingriff nur bei Stillstand
Wenn der Stab sich in Details verliert oder das Szenario ablehnt, greift die Übungsleitung ein: Zeitsprung, Klarstellung, neue Einspielung. Sonst nicht. Auch eine unglückliche Entscheidung wird ausgespielt, weil ihre Folgen lehrreich sind.
Vom Erlebnis zum Befund
Die Auswertung macht aus einem halben Tag Diskussion eine Maßnahmenliste und einen Nachweis. Sie findet in zwei Stufen statt.
-
Kurzauswertung im Raum
Direkt nach dem Szenario, solange die Eindrücke frisch sind. Reihum: Was hat funktioniert, was hat gefehlt? Beobachter ergänzen ihre Zeitpunkte. Alles wird gesammelt, nichts bewertet.
-
Strukturierte Auswertung
Die Übungsleitung ordnet Beobachtungen den Übungszielen zu und beantwortet jedes Ziel mit Ja, Teilweise oder Nein, mit Begründung. Muster werden benannt: Wo widersprach die Praxis dem Plan, wo fehlte eine Information, wo eine Befugnis?
-
Maßnahmen mit Verantwortlichen und Terminen
Jede Erkenntnis wird zu einer Maßnahme: Kontakt nachtragen, Vertretung benennen, Meldevorlage erstellen, Handbuch offline verfügbar machen, Wiederherstellungstest ansetzen. Ohne Verantwortlichen und Termin bleibt es eine Beobachtung.
-
Übungsbericht an die Geschäftsleitung
Ziele, Szenario, Teilnehmende, Verlauf, Beobachtungen, Maßnahmenliste, Wiedervorlage. Der Bericht wird von der Geschäftsleitung zur Kenntnis genommen und abgelegt; er ist der Nachweis gegenüber Aufsicht, Auditor und Versicherer.
Zum Ablauf einer Tabletop-Übung
Wie viele Personen sollten an einem Tabletop teilnehmen?
Der Krisenstab in der Besetzung, in der er auch einberufen würde, einschließlich Vertretungen, in der Praxis sechs bis zwölf Personen. Dazu die Übungsleitung, die moderiert und einspielt, und ein bis zwei Beobachter. Mehr Teilnehmende machen die Übung nicht besser, sondern langsamer; wer im Ernstfall nicht im Stab sitzt, sollte allenfalls als Beobachter dabei sein.
Muss die Geschäftsleitung dabei sein?
Ja, wenn sie im Ernstfall entscheidet, und das ist bei den meisten Szenarien der Fall: Abschaltung von Systemen, Lösegeldfrage, Kundeninformation, Meldung an das BSI. Eine Übung ohne Geschäftsleitung prüft den Krisenstab ohne seine wichtigste Rolle. Zudem verlangt § 38 BSIG, dass die Geschäftsleitung Schulungen zu Risikomanagement wahrnimmt; eine Tabletop-Übung ist dafür ein anerkanntes Format.
Sollen die Teilnehmenden das Szenario vorher kennen?
Den Rahmen ja, die Details nein. Die Teilnehmenden wissen, dass eine Übung stattfindet, wann sie beginnt und dass es um einen IT-Notfall geht. Das konkrete Szenario und die Einspielungen bleiben bis zum Start unbekannt, sonst wird die Übung zur Präsentation vorbereiteter Antworten. Überraschungsübungen ohne Ankündigung sind ein anderes Format und nur für geübte Stäbe sinnvoll.
Was ist, wenn die Übung zeigt, dass fast nichts funktioniert?
Dann hat sie ihren Zweck erfüllt. Ein Tabletop ist kein Test, den man besteht, sondern eine Methode, Lücken zu finden, bevor sie im Ernstfall teuer werden. Die Auswertung ist konsequent ohne Schuldzuweisung; Beobachtungen beschreiben die Organisation, nicht Personen. Die Maßnahmenliste wird zur Arbeitsgrundlage für die nächsten Monate, und die nächste Übung zeigt den Fortschritt.
Remote oder vor Ort?
Beides funktioniert. Vor Ort ist die Dynamik im Raum besser, und man sieht, wie der Stab mit Lagewand, Protokoll und Arbeitsmitteln umgeht. Remote hat einen eigenen Vorteil: Im Ernstfall am Freitagabend ist der Stab meist ebenfalls verteilt, und die Übung prüft nebenbei, ob die Einberufung über einen Kanal außerhalb der Unternehmens-IT funktioniert.
Vertiefung zu Notfallübungen
-
Sechs Übungsszenarien
Ransomware am Freitag, Dienstleisterausfall, Datenabfluss, Stromausfall, kompromittiertes Admin-Konto, CEO-Fraud: mit Lernzielen und Hinweisen zur Auswahl.
-
Der Übungsbericht
Aufbau als Nachweis für NIS2, ISO 27001, KRITIS-Dachgesetz und Versicherer: Ziele, Verlauf, Beobachtungen, Maßnahmenliste, Wiedervorlage.
-
IT-Notfallübung im Überblick
Übungsformate vom Tabletop bis zur Vollübung, Ablauf, Szenarien, Nachweis und die häufigsten Fragen auf der Startseite.
Tobias Mogk
Planen wir Ihr erstes oder nächstes Tabletop
Im kostenlosen Erstgespräch klären wir Übungsziele, Szenario und Teilnehmerkreis für Ihren Stand. Sie erhalten einen Vorschlag für Ablauf und Termin.
- Übungsziele, die zu Ihrem Notfallplan passen
- Szenario mit Bezug zu Ihren kritischen Prozessen
- Moderation, Beobachtung, Auswertung und Bericht aus einer Hand
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen