Montag, 6:40 Uhr: Die ersten Mitarbeiter melden, dass sie keine Dateien mehr öffnen können, und auf dem Fileserver liegt eine Textdatei mit einer Lösegeldforderung. Eine Tabletop-Übung klärt vorher, wer jetzt was entscheidet, wer wen anruft und wo eigentlich der Notfallplan liegt, wenn der Server verschlüsselt ist. Dieser Beitrag beschreibt, wie Sie einen Ransomware-Fall in etwa zwei Stunden am Tisch durchspielen, wer dabei sein sollte und wie Sie die Erkenntnisse in Verbesserungen übersetzen.
Was ist eine Tabletop-Übung?
Bei einer Tabletop-Übung sitzen die Verantwortlichen an einem Tisch und spielen ein Szenario gedanklich durch. Es wird nichts abgeschaltet, kein System wiederhergestellt und kein Kunde angerufen. Eine Moderatorin oder ein Moderator gibt Schritt für Schritt neue Informationen in die Runde, sogenannte Injects, und die Teilnehmer besprechen, was sie jeweils tun würden.
Im Englischen heißt das Format Tabletop Exercise, kurz TTX; im Deutschen sind auch Krisenstabsübung oder Planspiel gebräuchlich. Von einer Notfallübung im weiteren Sinn unterscheidet es sich dadurch, dass nur besprochen und nichts technisch ausgeführt wird. Der Wert liegt genau darin: Lücken werden sichtbar, ohne dass etwas kaputtgeht, etwa fehlende Telefonnummern, unklare Zuständigkeiten oder Abhängigkeiten, an die niemand gedacht hat. Eine Tabletop-Übung ersetzt aber keinen technischen Wiederherstellungstest. Ob Ihre Datensicherung wirklich funktioniert, zeigt nur eine echte Rücksicherung, wie im Beitrag Wiederherstellung üben beschrieben. Beides gehört zusammen.
Wer am Tisch sitzt
Die Runde sollte klein genug für ein echtes Gespräch und groß genug für alle wichtigen Perspektiven sein. In mittelständischen Unternehmen sind sechs bis zehn Personen ein guter Rahmen:
- Geschäftsführung: trifft die großen Entscheidungen, etwa über Betriebsunterbrechung, Lösegeld oder Kommunikation.
- IT-Leitung oder interne IT: bewertet die technische Lage.
- Externer IT-Dienstleister: falls er im Ernstfall beteiligt wäre, unbedingt mit einladen.
- Fachbereiche: zum Beispiel Produktion, Vertrieb, Buchhaltung, die wissen, welche Prozesse wie lange ohne IT auskommen.
- Kommunikation oder Assistenz der Geschäftsführung: für interne und externe Information.
- Datenschutzbeauftragter: für die Frage, ob personenbezogene Daten betroffen sind.
- Moderation: idealerweise jemand, der nicht selbst mitentscheidet und das Szenario vorbereitet hat.
- Protokoll: eine Person, die Entscheidungen, offene Fragen und Lücken notiert.
Vorbereitung
Legen Sie vorab zwei bis drei Übungsziele fest, zum Beispiel: „Wir prüfen, ob unsere Alarmierungskette funktioniert", „Wir klären, wer über die Abschaltung des Netzes entscheidet" und „Wir testen, ob der Notfallplan ohne IT erreichbar ist". Das Szenario sollte zu Ihrem Unternehmen passen und realistisch sein. Bitten Sie die Teilnehmer, Notfallplan, Kontaktlisten und Versicherungsunterlagen mitzubringen, genauso, wie sie im Ernstfall verfügbar wären. Wer seine Unterlagen nur auf dem Fileserver hat, merkt das hier.
Ablauf in Phasen
Ein bewährtes Raster für zwei Stunden:
Phase 1: Erste Anzeichen (ca. 20 Minuten)
Inject: Montag früh melden drei Mitarbeiter, dass Dateien seltsame Endungen haben. Auf einem Laufwerk liegt eine Erpressernachricht.
Leitfragen: Wer wird zuerst informiert? Über welchen Kanal, wenn E-Mail und Telefonanlage womöglich betroffen sind? Wer entscheidet, ob Systeme vom Netz genommen werden? Wo ist der IT-Notfallplan, und ist er erreichbar?
Phase 2: Ausmaß wird klar (ca. 25 Minuten)
Inject: Die IT stellt fest, dass auch der Hauptserver und Teile der Datensicherung betroffen sind. Die Warenwirtschaft ist nicht erreichbar.
Leitfragen: Welche Geschäftsprozesse stehen still, und wie lange halten wir das aus? Gibt es eine Sicherung, die nachweislich nicht verschlüsselt wurde? Wen holen wir als externe Unterstützung dazu, und ist der Vertrag dafür schon geregelt? Wer informiert die Cyberversicherung, und welche Vorgaben macht sie?
Phase 3: Druck von außen (ca. 25 Minuten)
Inject: Die Angreifer melden sich und behaupten, Kundendaten kopiert zu haben. Ein wichtiger Kunde ruft an und fragt nach einer zugesagten Lieferung. Ein Mitarbeiter hat bereits in einem sozialen Netzwerk geschrieben, „bei uns geht gar nichts mehr".
Leitfragen: Welche Meldepflichten greifen? Bei personenbezogenen Daten ist die Datenschutzaufsicht in der Regel innerhalb von 72 Stunden zu informieren. Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, gilt seit Dezember 2025 ein gestuftes Meldeverfahren an das BSI mit Frühwarnung binnen 24 Stunden, Bericht binnen 72 Stunden und Abschlussbericht nach einem Monat. Wer formuliert die Meldungen? Was sagen wir Kunden und Mitarbeitern? Wie gehen wir mit der Lösegeldforderung um? Die Einzelheiten der Meldepflichten klären Sie im Ernstfall mit Datenschutzbeauftragtem und Rechtsberatung.
Phase 4: Wiederanlauf (ca. 20 Minuten)
Inject: Nach drei Tagen ist klar, wie die Angreifer eingedrungen sind. Eine saubere Sicherung ist vorhanden.
Leitfragen: In welcher Reihenfolge fahren wir Systeme wieder hoch? Wie stellen wir sicher, dass der Angreifer nicht mehr im Netz ist? Welche Passwörter werden zurückgesetzt? Wer gibt den Betrieb wieder frei?
Abschluss: Blitzauswertung (ca. 20 Minuten)
Direkt im Anschluss fragt die Moderation reihum: Was hat gut funktioniert? Wo waren wir unsicher? Was fehlt uns? Die Antworten kommen ungefiltert ins Protokoll.
Was eine Tabletop-Übung typischerweise zeigt
Ohne Ihr Ergebnis vorwegzunehmen, tauchen in Ransomware-Übungen bestimmte Punkte immer wieder auf:
- Der Notfallplan liegt nur digital auf dem System, das gerade verschlüsselt ist.
- Telefonnummern von Dienstleistern, Versicherung und Geschäftsführung fehlen oder sind veraltet.
- Niemand ist ausdrücklich befugt, das Netz vom Internet zu trennen, und alle warten auf die Geschäftsführung.
- Es ist unklar, ob die Datensicherung von der Verschlüsselung betroffen sein kann.
- Für die Kommunikation mit Kunden und Mitarbeitern gibt es keine vorbereiteten Texte.
- Fachbereiche haben andere Vorstellungen davon, wie lange sie ohne IT arbeiten können, als die IT annimmt.
- Die Obliegenheiten der Cyberversicherung, etwa Meldewege oder Vorgaben zur Dienstleisterwahl, kennt kaum jemand.
Nachbereitung: aus Erkenntnissen werden Aufgaben
Eine Übung ohne Nachbereitung ist eine verlorene Gelegenheit. Innerhalb von zwei Wochen sollte ein kurzer Bericht vorliegen mit drei Teilen: was gut lief, welche Lücken sichtbar wurden und welche Maßnahmen daraus folgen. Jede Maßnahme bekommt einen Verantwortlichen und ein Datum.
Typische Maßnahmen sind ein gedruckter Notfallordner, eine aktualisierte Alarmierungsliste, eine schriftliche Befugnis zur Netztrennung, vorbereitete Kommunikationsvorlagen und ein Termin für einen echten Wiederherstellungstest. Planen Sie die nächste Übung gleich mit ein, gern mit einem anderen Szenario, etwa einem Ausfall des Rechenzentrums oder einem kompromittierten E-Mail-Konto. Einmal im Jahr ist ein guter Rhythmus.
Checkliste: erste Schritte
- Zwei bis drei konkrete Übungsziele festlegen.
- Teilnehmerkreis bestimmen, einschließlich externem IT-Dienstleister und Datenschutzbeauftragtem.
- Moderation und Protokoll an Personen vergeben, die nicht selbst entscheiden müssen.
- Szenario mit vier Phasen und passenden Injects vorbereiten.
- Teilnehmer bitten, Unterlagen so mitzubringen, wie sie im Ernstfall verfügbar wären.
- Zwei Stunden ohne Unterbrechungen einplanen, Telefone stumm.
- Innerhalb von zwei Wochen Bericht mit Maßnahmen, Verantwortlichen und Fristen erstellen.
- Nächste Übung und einen technischen Wiederherstellungstest terminieren.
Wie DAVINCI unterstützt
Wir bereiten mit Ihnen ein passendes Szenario vor, moderieren die Übung und helfen bei der Umsetzung der Maßnahmen. Wenn es ernst wird, steht unser Team für Incident Response bereit. Für einen Übungstermin oder ein erstes Gespräch nutzen Sie bitte unsere Kontaktseite.
Häufige Fragen
Muss die Geschäftsführung wirklich dabei sein?
Ja. Viele der schwierigsten Entscheidungen in einem Ransomware-Fall sind geschäftliche, nicht technische: Betriebsunterbrechung, Kommunikation, Umgang mit der Forderung. Eine Übung ohne die Geschäftsführung prüft genau diese Entscheidungen nicht.
Sollen die Teilnehmer das Szenario vorher kennen?
Das Thema darf bekannt sein, die Injects nicht. So bleibt die Übung realistisch, ohne dass sich jemand vorgeführt fühlt. Wichtig ist eine offene Atmosphäre: Ziel ist, Lücken zu finden, nicht Personen zu bewerten.
Was unterscheidet eine Tabletop-Übung von einer Krisenstabsübung?
Die Begriffe überschneiden sich. „Krisenstabsübung" betont, wer übt, nämlich der Krisenstab aus Geschäftsführung, IT und Fachbereichen. „Tabletop" betont, wie geübt wird: am Tisch, im Gespräch, ohne technische Eingriffe. Eine Krisenstabsübung kann als Tabletop ablaufen oder als Vollübung, bei der Alarmierung und Wiederanlauf tatsächlich durchgeführt werden.
Wie oft sollten wir eine Tabletop-Übung durchführen?
Einmal im Jahr ist ein guter Rhythmus, jeweils mit einem anderen Szenario. Zusätzlich lohnt sich eine Übung nach größeren Änderungen, etwa einem neuen IT-Dienstleister, einem Umzug oder einer neuen Warenwirtschaft, weil sich dann Zuständigkeiten und Abhängigkeiten verschieben.
Reicht eine Tabletop-Übung für NIS2?
Sie ist ein sinnvoller Baustein für die Bewältigung von Sicherheitsvorfällen und die Aufrechterhaltung des Betriebs. Welche Nachweise in Ihrem Fall verlangt werden, hängt von Ihrer Einstufung ab. Einen Überblick gibt unsere Seite zu den NIS2-Pflichten.
Können wir die Übung selbst moderieren?
Grundsätzlich ja. Eine externe Moderation hat aber Vorteile: Sie ist unabhängig, bringt Erfahrung mit typischen Abläufen ein und kann unbequeme Fragen stellen, ohne interne Rücksichten nehmen zu müssen.
Verwandte Themen: Wer hier weiterdenkt, liest bei Incident Response, IT-Notfallplan und Notfallkommunikation weiter.
