Ein Incident-Response-Plan ist noch keine Einsatzfähigkeit: Was die Führungsebene testen muss.

Die Ausgangslage

Der Incident-Response-Plan ist umfangreich. Rollen sind beschrieben, Telefonnummern aufgeführt und Abläufe dokumentiert. Auf dem Papier wirkt die Organisation vorbereitet.

Dann beginnt die Übung.

Die zuständige Führungsperson ist nicht erreichbar. E-Mail und Kollaborationsplattform gelten als möglicherweise kompromittiert. Die IT benötigt eine Entscheidung mit erheblichen Betriebsfolgen. Kommunikation wartet auf bestätigte Fakten, während erste Kunden bereits anrufen. Zwei Gremien gehen gleichzeitig davon aus, entscheidungsbefugt zu sein.

In diesem Moment wird der Unterschied zwischen einem vorhandenen Plan und tatsächlicher Einsatzfähigkeit sichtbar.

Die Kernthese

Eine wirksame Executive Cyber Crisis Simulation testet nicht das Vorlesen eines Plans. Sie testet Entscheidungen bei unvollständigem Lagebild, widersprüchlichen Interessen, Zeitdruck und externer Beobachtung.

Das NCSC Exercise in a Box führt Schlüsselpersonen anhand sich entwickelnder Ereignisse und bewusst offener Fragen durch Cyberkrisenszenarien. Dabei geht es nicht um eine einzige richtige Musterantwort, sondern darum, Risiken, Reaktionsfähigkeit und Verbesserungsbedarf sichtbar zu machen.

Für DEADLOCK liegt der Schwerpunkt auf der Führungsebene: Geschäftsleitung, Verwaltungsrat und Krisenstab sollen erfahren, ob ihre Entscheidungsarchitektur unter Druck funktioniert.

Drei Übungsarten, drei unterschiedliche Ziele

Nicht jede Cyberübung testet dasselbe.

Technischer Test

Technische Teams prüfen Schutz, Erkennung, Eindämmung, Wiederherstellung oder konkrete Werkzeuge. Dazu können unter anderem Penetrations-, Red-Team-, Backup-, Restore- oder technische Incident-Response-Übungen gehören.

Awareness-Übung

Mitarbeitende lernen, Risiken zu erkennen und vorgesehene Prozesse auszulösen, etwa bei Phishing oder verdächtigen Meldungen.

Executive Cyber Crisis Simulation

Die Führungsebene bearbeitet eine eskalierende Unternehmenskrise mit technischer Ursache. Getestet werden Rollen, Befugnisse, Prioritäten, Kommunikation, Governance und Entscheidungen mit realen geschäftlichen Folgen.

Diese drei Ebenen ergänzen sich. Eine Führungssimulation ersetzt weder technische Sicherheitsprüfung noch operative Wiederherstellungsübung.

Sieben Felder, die eine Führungssimulation prüfen sollte

1. Aktivierung

Wer erkennt, dass aus einem technischen Incident eine Unternehmenskrise wird? Wer darf den Krisenstab aktivieren? Wie werden Mitglieder und Stellvertretungen erreicht, wenn normale Systeme ausfallen?

Eine Simulation sollte nicht davon ausgehen, dass zu Beginn bereits alle richtigen Personen im Raum sitzen.

2. Rollen und Entscheidungsrechte

Die Teilnehmenden müssen wissen, welche Entscheidungen sie selbst treffen, welche sie vorbereiten und wann sie eskalieren müssen.

Relevant sind beispielsweise:

• technische Massnahmen mit erheblicher Betriebswirkung,
• Einschränkung kritischer Leistungen,
• interne und externe Kommunikation,
• Behörden- und Versicherungswege,
• möglicher Täterkontakt,
• Wiederanlauf und Risikoakzeptanz.

Das NCSC-Board-Toolkit empfiehlt ausdrücklich, Incident-Response-Verfahren praktisch zu erproben und Boardmitglieder einzubeziehen.

3. Lagebild unter Unsicherheit

Eine realistische Übung liefert Informationen schrittweise. Einzelne Meldungen können unvollständig, widersprüchlich oder interessengeleitet sein.

Die Führung muss unterscheiden:

• bestätigt,
• fachlich eingeschätzt,
• von der Täterschaft behauptet,
• noch unbekannt.

Eine Simulation, die jederzeit ein vollständiges und korrektes Lagebild liefert, testet vor allem Analysekomfort – nicht Führung unter Unsicherheit.

4. Geschäftliche Prioritäten

Technisch wichtige Systeme sind nicht automatisch identisch mit den Leistungen, die aus Unternehmenssicht zuerst benötigt werden. Eine Simulation sollte Abhängigkeiten, Kundenwirkungen, Sicherheit, Liquidität und akzeptable Ausfallzeiten sichtbar machen.

Die Frage lautet nicht nur: Welches System kommt zuerst zurück?

Sie lautet: Welche kritische Leistung muss wann wieder verfügbar sein, und welches Restrisiko darf die zuständige Führung dafür akzeptieren?

5. Kommunikation

Mitarbeitende, Kunden, Partner, Behörden, Versicherung und Medien benötigen unterschiedliche Informationen. Gleichzeitig darf die Organisation keine Gewissheit behaupten, die das Lagebild noch nicht trägt.

Eine Führungssimulation sollte deshalb prüfen:

• Sprecherrolle und Freigabe,
• sichere interne Kanäle,
• Konsistenz der Kernbotschaften,
• Umgang mit fehlenden Fakten,
• Rhythmus der Aktualisierungen,
• Reaktion auf Gerüchte oder externe Veröffentlichung.

Die NCSC-Leitlinie für Cyberkrisenkommunikation empfiehlt vorbereitete Rollen, Protokolle, alternative Kommunikationswege und regelmässige Übungen.

6. Zusammenspiel externer Fachstellen

Incident Response, Forensik, Legal, Datenschutz, Versicherung, Kommunikation und Polizei können unterschiedliche Informationen, Fristen und Anforderungen einbringen.

Die Simulation muss nicht jede Fachdisziplin vollständig nachbilden. Sie sollte aber zeigen, wann eine Fachstelle aktiviert wird, welche Information sie benötigt, wer sie mandatiert und wie ihre Einschätzung in die Entscheidung gelangt.

Organisationsspezifische technische Injects werden nur eingesetzt, wenn sie durch eine vom Auftraggeber benannte oder separat mandatierte Fachperson plausibilisiert werden können. DEADLOCK behauptet keine technische oder forensische Eigenleistung.

7. Entscheidungs- und Lernprozess

Eine Übung ist nicht mit dem letzten Szenario-Inject beendet. Sie braucht ein strukturiertes Debriefing:

• Was hat funktioniert?
• Wo fehlten Rollen, Informationen oder Befugnisse?
• Welche Annahme war falsch?
• Welche Entscheidung wurde zu spät oder gar nicht getroffen?
• Welche konkrete Verbesserung folgt daraus?
• Wer ist verantwortlich und bis wann?

Das CISA Tabletop Exercise Package enthält deshalb nicht nur Szenarien, sondern auch Rollen für Planung, Moderation und Evaluation sowie Vorlagen für Feedback und After-Action-Reports.

Auch der Bundesrat betont für Cyberübungen im Schweizer Bundesumfeld die systematische Vor- und Nachbereitung sowie die Nutzung gewonnener Erkenntnisse für weitere Übungen. Das ist keine direkte Vorlage für private Unternehmen, stützt aber denselben Grundsatz: Der langfristige Wert entsteht erst durch die Nachbearbeitung.

Ein gutes Szenario ist plausibel, nicht spektakulär

Eine wirkungsvolle Simulation braucht keine Filmhandlung und keine mystifizierte Hackergruppe. Zu viel Dramatik kann die Aufmerksamkeit von den tatsächlichen Prüffragen ablenken.

Gute Injects erzeugen konkrete Entscheidungen:

• Ein wichtiger Dienst fällt aus.
• Die technische Ursache bleibt unklar.
• Ein Kunde verlangt eine verbindliche Aussage.
• Ein Kommunikationskanal gilt als nicht vertrauenswürdig.
• Ein externer Partner stellt eine Frist.
• Ein Täterbeleg widerspricht dem internen Lagebild.
• Eine Stellvertretung muss eine Entscheidung mit erheblicher Wirkung treffen.

Das Szenario dient den Lernzielen. Es ist kein Selbstzweck.

Die häufigste Fehlannahme: Die Übung soll beweisen, dass der Plan funktioniert

Eine Simulation ist kein Audit-Theater und keine Vorführung der eigenen Vorbereitung. Ihr Wert liegt gerade darin, Lücken unter kontrollierten Bedingungen sichtbar zu machen.

Eine gute Übung darf deshalb unbequem sein. Sie soll jedoch nicht blossstellen oder Schuldige suchen. Moderation und Beobachtung müssen zwischen individuellem Verhalten und strukturellen Problemen unterscheiden.

Wenn Entscheidungen an einer Person hängen, Informationen nicht ankommen oder zwei Gremien dieselbe Verantwortung beanspruchen, ist das zunächst eine Erkenntnis über das System.

Drei Prüffragen für Verantwortliche

1. Welche Entscheidung soll unsere nächste Cyberkrisensimulation tatsächlich testen – und nicht nur besprechen?
2. Nehmen die Personen teil, die im Ernstfall wirklich entscheidungsbefugt wären, einschliesslich ihrer Stellvertretungen?
3. Werden aus dem Debriefing priorisierte Massnahmen mit Verantwortlichen und Terminen, oder bleibt es bei allgemeinen Beobachtungen?

Wenn das Übungsziel nur „Sensibilisierung“ lautet, ist es für eine Executive Simulation wahrscheinlich noch zu ungenau.

Nächster sinnvoller Schritt

PREPARE – Executive Cyber Crisis Simulation konfrontiert Geschäftsleitung, Verwaltungsrat und Krisenstab mit einer realistischen Cyber- und Ransomware-Eskalation. Getestet werden Entscheidungsfähigkeit, Rollen, Kommunikation und Governance – nicht technische Abwehr als DEADLOCK-Eigenleistung.

DEADLOCK moderiert die Eskalation, strukturiert das Debriefing und verdichtet die Beobachtungen zu priorisierten Verbesserungsmassnahmen. Eine technische Sicherheitsprüfung, ein Audit oder eine Zertifizierung ist damit nicht verbunden.

Das Ergebnis ist kein „bestanden“ oder „nicht bestanden“. Es ist ein priorisiertes Bild der Handlungsfähigkeit und der nächsten Verbesserungsmassnahmen.

• NCSC UK: Exercise in a Box – Getting started
• NCSC UK: Cyber Security Toolkit for Boards – Incident Planning, Response and Recovery
• NCSC UK: Guidance on effective communications in a cyber incident
• CISA: Cybersecurity Tabletop Exercise Package
• CISA: Cybersecurity Scenarios
• NIST: Incident Response Recommendations and Considerations, SP 800-61 Revision 3
• BACS/Bundesrat: Strategische Ziele für Cyberübungen in der Bundesverwaltung und der Armee

Faktenstand: 26. August 2026

Fachliche Abgrenzung: Dieser Beitrag beschreibt die Führungssimulationsmethodik. Organisationsspezifische technische und rechtliche Injects sind vor ihrer Verwendung durch eine vom Auftraggeber benannte oder separat mandatierte Fachperson zu prüfen.

Redaktionelle Arbeitsweise: Dieses Briefing wurde auf Grundlage der ausgewiesenen Primärquellen und der DEADLOCK-PREPARE-Methodik redaktionell erarbeitet, mit dem verbindlichen PREPARE-Leistungsumfang abgeglichen und von Pascal Wasinger inhaltlich freigegeben.

Dieses DEADLOCK Briefing dient der allgemeinen Einordnung und Vorbereitung. Eine Executive Cyber Crisis Simulation ersetzt keine technische Sicherheitsprüfung, Incident-Response-Übung, forensische Untersuchung oder Rechtsberatung.