Kundenart: Praxisnahes, anonymisiertes Projektszenario
Branche: Banken
Standorte: 60 Filialen in Deutschland
Mitarbeitende: 5.800
Leistung: Notfallübungen
Praxisnahes, anonymisiertes Projektszenario. Unternehmensmerkmale und Kennzahlen wurden so gewählt, dass keine Rückschlüsse auf einzelne Auftraggeber möglich sind.
Ein Unternehmen aus der Branche Banken mit 5.800 Mitarbeitenden wollte den Bereich Notfallübungen strukturiert weiterentwickeln. Der betrachtete Umfang umfasste 60 Filialen in Deutschland. Der Anlass war nicht eine einzelne formale Anforderung, sondern die Frage, wie sich Sicherheitsrisiken im operativen Alltag belastbar steuern und gegenüber Management, Kunden und Prüfern nachvollziehbar darstellen lassen.
Im Mittelpunkt standen unerkannte Lücken in Alarmierung, Entscheidungswegen, Wiederanlauf und Kommunikation, die erst im realen Vorfall sichtbar würden. Ziel war deshalb ein Vorgehen, das fachlich belastbar ist, zu den tatsächlichen Geschäftsprozessen passt und der Organisation klare Prioritäten für die Umsetzung gibt.
Der Ausfall eines Cloud- und Zahlungsdienstleisters war in bestehenden Plänen nur allgemein beschrieben.
Die vorhandenen Maßnahmen waren über mehrere Bereiche verteilt und in Teilen historisch gewachsen. Einzelne Kontrollen funktionierten bereits, ihre Wirksamkeit, Abdeckung und Verantwortlichkeit waren jedoch nicht durchgängig dokumentiert. Dadurch fehlte eine gemeinsame Sicht darauf, welche Risiken akzeptiert werden konnten und wo kurzfristiger Handlungsbedarf bestand.
Der betrachtete Umfang – 60 Filialen in Deutschland – brachte unterschiedliche technische Voraussetzungen, lokale Abläufe und Abhängigkeiten mit sich. Für das Management war entscheidend, dass Empfehlungen nicht als isolierte Security-Liste entstehen, sondern mit Geschäftsauswirkungen, Aufwand, Verantwortlichkeiten und realistischen Terminen verbunden werden.
Besonders relevant waren realistische Angriffsszenarien, Alarmierung, Lagebewertung, Entscheidungsfindung, Eskalation, Kommunikation und Zusammenarbeit mit Dienstleistern. Gleichzeitig galt: Die Übung musste fordernd und realitätsnah sein, ohne den laufenden Betrieb oder produktive Systeme zu beeinträchtigen.
Gemeinsam wurde ein Zielbild definiert, das klare Verantwortlichkeiten, nachvollziehbare Entscheidungen und eine risikoorientierte Umsetzung miteinander verbindet. Der Projektauftrag umfasste sowohl die unabhängige Bewertung des Status quo als auch die Entwicklung konkreter, priorisierter Maßnahmen.
Das Ergebnis sollte den operativen Teams unmittelbar helfen und zugleich eine belastbare Entscheidungsgrundlage für die Leitungsebene schaffen. Dafür wurden technische, organisatorische und prozessuale Aspekte in einem gemeinsamen Arbeitsmodell betrachtet.
Eine realistische Übung simulierte schrittweise Dienstleisterausfall, Datenabfluss und Medienanfragen. BlackMount beobachtete Entscheidungen und leitete konkrete Verbesserungen ab.
Zu Beginn wurden Dokumente, Systemübersichten, vorhandene Nachweise und laufende Initiativen ausgewertet. In strukturierten Interviews wurden relevante Ansprechpartner einbezogen. Vertreten waren Krisenstab, IT, Informationssicherheit, Kommunikation, Datenschutz, Management und betroffene Fachbereiche. Dabei wurden Soll-Prozesse mit der tatsächlich gelebten Praxis abgeglichen. So konnten formale Lücken von echten Wirksamkeitsrisiken getrennt werden.
Anschließend wurden die Erkenntnisse in konkrete Risikoszenarien übersetzt. Jede Feststellung wurde danach bewertet, welche Auswirkung sie auf Verfügbarkeit, Vertraulichkeit, Integrität, regulatorische Nachweisfähigkeit und operative Handlungsfähigkeit haben kann. Abhängigkeiten zwischen Maßnahmen wurden ausdrücklich berücksichtigt, damit die Roadmap in einer sinnvollen Reihenfolge umgesetzt werden kann.
In Arbeitsworkshops wurden Zielprozesse, Rollen und Kontrollpunkte gemeinsam mit den Verantwortlichen ausgearbeitet. Bestehende Werkzeuge und Gremien wurden soweit möglich weiterverwendet. Neue Vorgaben entstanden nur dort, wo sie für Steuerung, Nachweis oder nachhaltige Wirksamkeit erforderlich waren.
Zum Abschluss wurden Quick Wins, mittelfristige Verbesserungen und strukturelle Maßnahmen getrennt priorisiert. Für jedes Arbeitspaket wurden Verantwortlichkeit, erwartetes Ergebnis, notwendige Mitwirkung und ein realistischer Zeithorizont festgehalten.
Das Projekt lieferte nicht nur eine Bewertung, sondern ein umsetzbares Gesamtpaket. Es umfasste Drehbuch, Injects, Beobachtungsprotokoll, Reifegradbewertung, priorisierte Findings und verbindlicher Verbesserungsplan. Besonders wichtig waren folgende messbare Ergebnisse:
Die Kennzahlen wurden gemeinsam mit dem Kunden plausibilisiert und in den jeweiligen betrieblichen Kontext eingeordnet. Damit blieben sie nicht isolierte Erfolgswerte, sondern wurden Teil der weiteren Steuerung und des Management-Reportings.
Die Organisation erhielt erstmals eine konsolidierte Sicht auf Ausgangslage, Risiken und Abhängigkeiten. Entscheidungen konnten dadurch stärker nach tatsächlicher Geschäftswirkung getroffen werden, statt Maßnahmen nur nach Einzelanforderungen oder technischer Dringlichkeit zu sortieren.
Für die Fachbereiche entstanden verständliche Arbeitspakete mit klaren Ansprechpartnern. Das reduzierte Abstimmungsaufwand und half, Sicherheitsanforderungen in bestehende Betriebs-, Entwicklungs- und Managementprozesse einzubetten. Gleichzeitig verbesserte sich die Nachweisfähigkeit gegenüber Kunden, Prüfern und internen Kontrollfunktionen.
Auch die Leitungsebene profitierte von einer klareren Steuerung: Restrisiken, Investitionsbedarf und Fortschritt konnten transparent berichtet und begründet werden. Dadurch wurde Sicherheit stärker als gemeinsame Managementaufgabe verankert.
Entscheidend war die Verbindung aus methodischer Tiefe und pragmatischer Umsetzung. Anforderungen wurden nicht abstrakt übertragen, sondern anhand der tatsächlichen Systeme, Prozesse, Standorte und Entscheidungswege bewertet. So entstanden Maßnahmen, die fachlich korrekt und im Alltag tragfähig sind.
Ebenso wichtig war die frühe Einbindung der betroffenen Rollen. Fachwissen aus Betrieb und Technik floss direkt in Bewertung und Zielbild ein. Das erhöhte die Qualität der Ergebnisse und schuf Akzeptanz für die anschließende Umsetzung.
Das Unternehmen verfügt nun über eine belastbare Grundlage, um den Bereich Notfallübungen planbar und risikoorientiert weiterzuentwickeln. Relevante Lücken sind transparent, Verantwortlichkeiten geklärt und die nächsten Schritte nach Wirkung und Umsetzbarkeit priorisiert.
Statt einer umfangreichen Sammlung abstrakter Anforderungen entstand ein handhabbarer Fahrplan, der Management, Fachbereiche und Technik zusammenführt. Die Organisation kann Fortschritt messen, Entscheidungen dokumentieren und neue Anforderungen konsistent in das bestehende Modell aufnehmen.
Das Projektszenario zeigt: Nachhaltige Verbesserungen im Bereich Notfallübungen entstehen nicht durch einzelne Dokumente oder Werkzeuge. Entscheidend ist das Zusammenspiel aus klarer Governance, realistischen Maßnahmen, belastbaren Nachweisen und einer Umsetzung, die zur betrieblichen Realität des Unternehmens passt.
Vereinbaren Sie ein unverbindliches Erstgespräch und lassen Sie uns gemeinsam klären, wo Ihr Unternehmen steht und welche nächsten Schritte sinnvoll sind.
Lernen Sie die gemeinsamen Erfolgsgeschichten mit unseren Kunden kennen.
Vereinbaren Sie ein unverbindliches Erstgespräch und lassen Sie uns gemeinsam klären, wo Ihr Unternehmen steht und welche nächsten Schritte sinnvoll sind.
