Tabletop Exercise: Die vollständige Vorbereitungsliste für Unternehmen

Fachbeitrag von BlackMount

Fachredaktion BlackMountFachlich verantwortet von Jannik Christ · Geschäftsführer & Senior-Berater

Praxisorientierte Einordnung zu Tabletop Exercise: Die vollständige Vorbereitungsliste für Unternehmen: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für Notfallübungen aufbauen.

Tabletop Exercise: Die vollständige Vorbereitungsliste für Unternehmen – Fachbeitrag von BlackMount

Ein Tabletop Exercise ist kein Vortrag über einen fiktiven Cyberangriff. Es ist ein moderiertes Entscheidungstraining: Verantwortliche erhalten schrittweise neue Informationen, müssen unter Zeitdruck Prioritäten setzen und zeigen dabei, ob Rollen, Kommunikationswege und Notfallpläne in der Praxis tragen. Der große Vorteil liegt darin, dass sich auch kritische Abläufe realistisch prüfen lassen, ohne Produktionssysteme, Kundendaten oder laufende Geschäftsprozesse technisch zu gefährden.

Die Qualität einer solchen Übung entscheidet sich lange vor dem eigentlichen Termin. Ein eindrucksvolles Szenario allein genügt nicht. Ohne präzise Lernziele, passende Teilnehmende, belastbare Spielregeln und eine konsequente Auswertung entsteht zwar Diskussion, aber kaum eine nachweisbare Verbesserung. Die folgende Vorbereitungsliste führt deshalb von der Auftragsklärung bis zum Wiederholungstest und kann unmittelbar als Arbeitsgrundlage für das eigene Übungsteam verwendet werden.

1. Auftrag und Nutzen der Übung verbindlich klären

Bevor ein Szenario geschrieben wird, braucht die Übung einen klaren Auftrag. Die Unternehmensleitung oder der verantwortliche Sponsor sollte festlegen, welche Fähigkeit geprüft werden soll und welche Entscheidungen anschließend auf Basis der Ergebnisse getroffen werden. Mögliche Anlässe sind ein neuer Notfallplan, veränderte regulatorische Anforderungen, eine größere Systemmigration, ein Wechsel im Krisenstab oder Erkenntnisse aus einem realen Sicherheitsvorfall.

Formulieren Sie den Nutzen als überprüfbare Aussage. „Das Bewusstsein erhöhen“ ist zu unbestimmt. Besser ist beispielsweise: „Der Krisenstab soll innerhalb von 20 Minuten eine belastbare Lageorganisation herstellen, die wichtigsten Geschäftsservices priorisieren und über die Abschaltung eines kompromittierten Zugangs entscheiden können.“ Damit wird sichtbar, welche Beobachtungen während der Übung relevant sind.

Wer ist Sponsor und trägt die organisatorische Verantwortung?
Welches konkrete Risiko oder welche Veränderung löst die Übung aus?
Welche drei bis fünf Fähigkeiten sollen nachweisbar geprüft werden?
Welche Entscheidungen dürfen aus den Ergebnissen folgen?
Wer erhält den Abschlussbericht und verfolgt Maßnahmen nach?

2. Lernziele statt eines möglichst spektakulären Angriffs definieren

Das Szenario dient den Lernzielen, nicht umgekehrt. Legen Sie daher zuerst fest, was die Organisation nach der Übung besser können soll. Gute Lernziele beziehen sich auf beobachtbares Verhalten: eine Eskalation auslösen, eine Meldepflicht bewerten, ein Ersatzverfahren aktivieren, Kundenkommunikation freigeben oder die Wiederanlaufreihenfolge festlegen.

Pro Übung sind wenige, gut fokussierte Ziele wirksamer als ein vollständiger Rundumschlag. Wenn gleichzeitig Technik, Datenschutz, Pressearbeit, Lieferketten, Wiederanlauf und Vorstandskommunikation in voller Tiefe geprüft werden sollen, bleibt häufig jeder Bereich oberflächlich. Begrenzen Sie den Umfang und dokumentieren Sie ausdrücklich, was nicht Bestandteil der Übung ist.

Ist jedes Ziel in der vorgesehenen Übungszeit tatsächlich beobachtbar?
Ist für jedes Ziel ein erwartetes Ergebnis beschrieben?
Lässt sich das Ziel einer zuständigen Rolle oder Gruppe zuordnen?
Gibt es Kriterien für „erfüllt“, „teilweise erfüllt“ und „nicht erfüllt“?
Sind nicht geprüfte Themen klar als außerhalb des Umfangs markiert?

3. Umfang, Format und Erfolgsmaßstab festlegen

Tabletops sind diskussionsbasiert. Sie eignen sich besonders, um Führungsentscheidungen, Schnittstellen und geplante Abläufe zu prüfen. Sie ersetzen jedoch keinen technischen Wiederherstellungstest und keinen kontrollierten Sicherheitstest. Definieren Sie daher, ob ausschließlich Entscheidungen besprochen oder einzelne Schritte zusätzlich demonstriert werden sollen, etwa das Auffinden einer Kontaktliste oder der Zugriff auf ein Notfallkommunikationssystem.

Bestimmen Sie außerdem Dauer, Ort, Sprache, Vertraulichkeitsstufe und Dokumentationsform. Für eine fokussierte Übung können zwei bis vier Stunden ausreichen; komplexe Szenarien mit mehreren Geschäftsbereichen benötigen eher einen halben oder ganzen Tag. Der Erfolg wird nicht daran gemessen, ob die Teilnehmenden jede Frage „richtig“ beantworten. Entscheidend ist, ob Annahmen sichtbar, Entscheidungen nachvollziehbar und Verbesserungen konkret werden.

Welche Organisationseinheiten und Standorte sind im Umfang?
Welche Phase des Vorfalls wird gespielt: Erkennung, Krise oder Wiederanlauf?
Wie viel reale Zeit steht zur Verfügung?
Welche Nachweise müssen Teilnehmende tatsächlich auffinden?
Nach welchem Bewertungsmodell werden Ergebnisse eingeordnet?

4. Die richtigen Rollen an den Tisch holen

Eine Übung verliert ihren Wert, wenn nur das Sicherheitsteam über Entscheidungen diskutiert, die im Ernstfall Geschäftsführung, Betrieb, Recht oder Kommunikation treffen müssen. Stellen Sie die Gruppe entlang der realen Entscheidungskette zusammen. Dazu gehören abhängig vom Szenario IT-Betrieb, Informationssicherheit, Datenschutz, Recht, Business Continuity, Unternehmenskommunikation, Personal, Einkauf, Gebäudemanagement und die betroffenen Fachbereiche.

Trennen Sie Spielende und Übungsorganisation. Die Moderation steuert Ablauf und Diskussion. Beobachtende erfassen Entscheidungen und Belege, ohne die Gruppe zu lenken. Ein Szenario-Team liefert Einspielungen. Bei sensiblen Übungen kann zusätzlich eine verantwortliche Person die Übung aus Sicherheits- oder Betriebsgründen abbrechen. Führungskräfte sollten nicht nur als Zuschauer teilnehmen, wenn ihre reale Rolle Entscheidungen vorsieht.

Sind alle Rollen vertreten, die im realen Plan entscheiden oder zuliefern?
Gibt es für verhinderte Schlüsselpersonen eine Vertretung?
Sind Moderator, Beobachtende und Protokollführung benannt?
Ist geklärt, wer Einspielungen freigibt und den Zeitplan steuert?
Wissen externe Dienstleister, welche Rolle sie in der Übung einnehmen?

5. Sicherheits- und Vertraulichkeitsregeln schriftlich vereinbaren

Auch eine reine Diskussionsübung kann Risiken auslösen. Teilnehmende könnten im Eifer des Szenarios reale Systeme verändern, externe Partner kontaktieren oder eine fiktive Meldung an eine echte Behörde senden. Deshalb benötigt die Veranstaltung klare Grenzen: keine produktiven Eingriffe, keine realen Benachrichtigungen, keine Veröffentlichung von Übungsinhalten und keine Nutzung ungeprüfter Kontaktdaten.

Markieren Sie sämtliche Übungsnachrichten sichtbar, beispielsweise mit „EXERCISE – EXERCISE – EXERCISE“. Definieren Sie ein Stop-Wort und einen Abbruchprozess. Ein echter Sicherheitsvorfall hat immer Vorrang; Übung und Realität müssen organisatorisch sauber getrennt werden. Legen Sie zudem fest, wie Protokolle gespeichert, verteilt und später gelöscht oder archiviert werden.

Ist die Grenze zwischen Diskussion und technischer Aktion eindeutig?
Gibt es eine Freigabe für eventuell verwendete Testsysteme?
Sind Übungskanäle und reale Alarmierungswege getrennt?
Wer darf die Übung unterbrechen oder beenden?
Wie werden vertrauliche Erkenntnisse geschützt und verteilt?

6. Ein glaubwürdiges Szenario aus Geschäftsrisiken entwickeln

Ein gutes Szenario ist plausibel, aber nicht überladen. Es beginnt mit einer Ausgangslage, die zum Unternehmen passt: auffällige Anmeldungen, unerreichbare Anwendungen, manipulierte Produktionsparameter, ein kompromittierter Dienstleister oder eine Erpressungsnachricht. Von dort entwickelt sich die Lage so, dass die definierten Lernziele tatsächlich ausgelöst werden.

Nutzen Sie reale Architektur, Abhängigkeiten und Geschäftsprozesse, ohne operative Schwachstellen unnötig breit offenzulegen. Ein Maschinenbauer benötigt andere Entscheidungsfragen als ein Krankenhaus oder ein Cloud-Anbieter. Besonders wertvoll sind Konflikte zwischen legitimen Zielen: Beweise sichern oder Systeme schnell wiederherstellen, transparent kommunizieren oder zunächst Fakten verifizieren, Produktion stoppen oder Sicherheitsrisiken akzeptieren.

Passt der Einstieg zur tatsächlichen Bedrohungs- und Systemlandschaft?
Werden kritische Geschäftsservices und Abhängigkeiten sichtbar?
Führt jede Szenariophase zu mindestens einem Lernziel?
Sind technische Details für alle beteiligten Rollen verständlich?
Enthält die Geschichte echte Entscheidungsdilemmata statt Quizfragen?

7. Einspielungen und Zeitlinie präzise vorbereiten

Einspielungen – häufig als Injects bezeichnet – verändern die Lage während der Übung. Das können eine Meldung des Service Desks, eine Medienanfrage, ein Hinweis eines Forensikdienstleisters, eine Forderung eines Kunden oder der Ausfall eines weiteren Systems sein. Jede Einspielung benötigt einen Zweck: Sie soll eine Entscheidung, eine Abstimmung oder die Nutzung eines Plans auslösen.

Erstellen Sie eine Steuerungsliste mit Zeitpunkt, Absender, Empfänger, Inhalt, Lernziel, erwarteter Reaktion und möglicher Folgeeinspielung. Der Moderator darf die Reihenfolge anpassen, wenn die Gruppe schneller oder langsamer arbeitet. Bereiten Sie für zentrale Verzweigungen Alternativen vor. Entscheidet die Gruppe etwa für eine Abschaltung, muss das Szenario anders weiterlaufen als bei einem kontrollierten Weiterbetrieb.

Hat jede Einspielung eine erkennbare Funktion?
Ist geklärt, in welchem Medium sie übermittelt wird?
Gibt es Rückfragen und zusätzliche Informationen nur auf Nachfrage?
Sind alternative Pfade für wesentliche Entscheidungen vorbereitet?
Kann der Moderator unwichtige Einspielungen bei Zeitmangel auslassen?

8. Pläne, Kontaktdaten und Arbeitsmittel bereitstellen

Die Übung sollte nicht unter künstlich perfekten Bedingungen stattfinden. Teilnehmende dürfen vorhandene Pläne, Runbooks, Organigramme, Kontaktlisten und Wiederanlaufdokumente verwenden – genau wie im Ernstfall. Sind diese Unterlagen schwer auffindbar, veraltet oder nur in einem möglicherweise betroffenen System gespeichert, ist das bereits ein wichtiges Ergebnis.

Stellen Sie nur solche Hilfsmittel zusätzlich bereit, die im Übungsdesign vorgesehen sind. Eine vorbereitete Notfallmappe kann sinnvoll sein; spontan ausgeteilte Lösungshinweise verfälschen dagegen das Bild. Für virtuelle oder hybride Termine müssen Zugänge, Breakout-Räume, Bildschirmfreigaben und ein unabhängiger Kommunikationskanal vorab getestet werden.

Sind aktuelle Notfall- und Krisenpläne zugänglich?
Funktionieren Telefonnummern und Vertretungsregeln?
Sind kritische Abhängigkeiten und Service-Verantwortliche dokumentiert?
Steht eine vom Unternehmensnetz unabhängige Kommunikation bereit?
Ist das Protokollformat vorbereitet, ohne Antworten vorzugeben?

9. Moderation und Beobachtung getrennt vorbereiten

Der Moderator sorgt für Tempo, psychologische Sicherheit und Fokus. Er erklärt die Regeln, stellt vertiefende Fragen und verhindert, dass einzelne Personen die gesamte Diskussion dominieren. Er sollte nicht jede fachliche Lücke sofort auflösen. Entscheidend ist, dass die Teilnehmenden ihre Annahmen und Entscheidungswege sichtbar machen.

Beobachtende dokumentieren hingegen möglichst wertungsarm: Zeitpunkt, vorliegende Information, getroffene Entscheidung, beteiligte Rolle, verwendeter Nachweis und erkennbare Konsequenz. Die Aussage „Kommunikation war schlecht“ ist kaum verwertbar. „Die Pressefreigabe blieb 35 Minuten offen, weil keine Vertretung für die freigabeberechtigte Rolle benannt war“ führt zu einer konkreten Maßnahme.

Kennt die Moderation Ziele, Szenario und mögliche Verzweigungen?
Gibt es Leitfragen für festgefahrene oder zu schnelle Diskussionen?
Sind Beobachtungsbereiche eindeutig verteilt?
Werden Fakten, Interpretationen und Empfehlungen getrennt notiert?
Ist ein Zeitnehmer benannt?

10. Einladung und Vorabinformation richtig dosieren

Teilnehmende brauchen ausreichend Kontext, dürfen aber nicht die vollständige Handlung und erwarteten Antworten erhalten. Die Einladung sollte Zweck, Termin, Dauer, Rollen, Vertraulichkeit, organisatorische Regeln und notwendige Vorbereitung nennen. Teilen Sie außerdem mit, dass nicht die individuelle Leistung bewertet wird, sondern die Fähigkeit der Organisation.

Führen Sie bei Bedarf kurze Vorgespräche mit Schlüsselrollen. So lassen sich Zuständigkeiten, sensible Themen und realistische Rahmenbedingungen klären. Ein Dry Run mit dem Übungsteam ist unverzichtbar: Prüfen Sie Verständlichkeit, Zeitbedarf, Medien, Übergänge und die Frage, ob alle Lernziele wirklich durch das Szenario erreicht werden können.

Ist die Einladung verbindlich und von der Führung unterstützt?
Verstehen Teilnehmende ihre Rolle und den Übungscharakter?
Wurden notwendige Unterlagen vorab benannt?
Hat das Steuerungsteam einen vollständigen Probelauf durchgeführt?
Sind Terminüberschreitungen und Vertretungen organisatorisch gelöst?

11. Den Übungstag in klaren Phasen durchführen

Beginnen Sie mit Ziel, Umfang, Regeln und Ausgangslage. Danach folgen die Szenariophase, moderierte Entscheidungsrunden und kurze Zwischenzusammenfassungen. Der Moderator sollte Entscheidungen sichtbar festhalten: Was wurde beschlossen, durch wen, auf welcher Informationsbasis und mit welcher offenen Annahme? So verhindert er, dass die Gruppe unbemerkt widersprüchliche Handlungsstränge verfolgt.

Planen Sie am Ende einen Hot Wash ein. Jede Rolle nennt unmittelbar Beobachtungen: Was funktionierte, was blockierte und was sollte zuerst geändert werden? Diese Runde ersetzt nicht die spätere Analyse, sichert aber frische Eindrücke. Vermeiden Sie eine Schulddebatte. Wenn Personen befürchten, für offen ausgesprochene Schwächen verantwortlich gemacht zu werden, bleiben die wichtigsten Erkenntnisse verborgen.

12. Ergebnisse in Maßnahmen mit Eigentümern übersetzen

Nach der Übung werden Protokolle, Beobachtungen und Rückmeldungen zu einem After-Action Report zusammengeführt. Ordnen Sie Feststellungen den Lernzielen zu und unterscheiden Sie zwischen individueller Wissenslücke, unklarer Verantwortung, fehlendem Prozess, ungeeignetem Werkzeug und struktureller Abhängigkeit. Diese Ursachen benötigen unterschiedliche Lösungen.

Jede relevante Verbesserung gehört in einen Maßnahmenplan. Er enthält eine eindeutige Maßnahme, einen verantwortlichen Eigentümer, Zieltermin, Priorität, benötigte Entscheidung und einen Prüfnachweis. „Notfallplan aktualisieren“ ist zu vage. Belastbarer wäre: „Leitung Recht ergänzt bis zum 30. September eine Vertretungs- und Freigabematrix für externe Meldungen; Wirksamkeit wird in einer 30-minütigen Stabsübung geprüft.“

Sind Feststellungen durch konkrete Beobachtungen belegt?
Wurde die Ursache hinter dem sichtbaren Problem analysiert?
Hat jede Maßnahme genau einen verantwortlichen Eigentümer?
Sind Frist, Priorität und Wirksamkeitsnachweis definiert?
Wird der Status regelmäßig an Sponsor und Leitung berichtet?

13. Reife nicht mit einer einmaligen Übung verwechseln

Eine einzelne Veranstaltung liefert eine Momentaufnahme. Reife entsteht durch ein abgestuftes Programm: kurze Rollen- und Alarmierungsübungen, fachliche Tabletop Exercises, technische Wiederherstellungstests und periodische bereichsübergreifende Krisensimulationen. Wiederholen Sie gezielt jene Entscheidungssituationen, in denen die Organisation zuvor nicht belastbar war.

Geeignete Kennzahlen sind nicht die Zahl durchgeführter Termine allein. Aussagekräftiger sind die Zeit bis zur Rollenbesetzung, der Anteil erreichbarer Schlüsselkontakte, die Qualität dokumentierter Entscheidungen, die Fristtreue bei Verbesserungsmaßnahmen und der Nachweis, dass behobene Schwächen im Retest nicht erneut auftreten. Damit wird aus Übungsaktivität ein steuerbares Sicherheitsprogramm.

Kompakte Freigabeprüfung vor dem Termin

Spätestens eine Woche vor der Übung sollte der Sponsor eine formale Bereitschaftsprüfung erhalten. Lernziele, Teilnehmerkreis, Szenario, Einspielungen, Sicherheitsgrenzen und Auswertung müssen vollständig sein. Offene Punkte werden nicht stillschweigend akzeptiert, sondern mit Risiko und Entscheidung dokumentiert. Ist beispielsweise keine entscheidungsbefugte Führungskraft verfügbar, sollte die Veranstaltung verschoben oder ihr Ziel bewusst angepasst werden.

BlackMount unterstützt Unternehmen bei der Konzeption, Moderation und Auswertung von Cyber-Notfallübungen. Dabei wird das Szenario aus den tatsächlichen Geschäftsrisiken entwickelt und die Nachbereitung so gestaltet, dass aus Beobachtungen priorisierte, überprüfbare Verbesserungen entstehen.