Die wichtigsten Erkenntnisse
- Die meisten Tabletop-Übungen dienen eher der Leistungsüberprüfung als der Aufdeckung tatsächlicher Lücken bei der Reaktion auf Vorfälle.
- Damit Übungen wirksam sind, müssen sie Reibungspunkte, Unklarheiten und Druck erzeugen, um reale Vorfälle widerzuspiegeln.
- Wenn man den Umfang der Übung auf einige wenige kritische Szenarien beschränkt und den Erfolg nicht darin sieht, einen guten Eindruck zu hinterlassen, sondern vielmehr darin, Probleme aufzudecken, kann dies zu aussagekräftigeren und umsetzbareren Erkenntnissen führen.
- Eine funktionsübergreifende Beteiligung – nicht nur der technischen Teams – ist unerlässlich, um die Reaktionsfähigkeit der Organisation genau zu testen.
- Echte Ausfallsicherheit zeigt sich erst in praktischen Wiederherstellungstests und nicht nur in theoretischen Szenarien.
Es gibt einen Moment, den die meisten Sicherheitsverantwortlichen erkennen, auch wenn sie es nicht laut aussprechen. Die Tabletop-Übung ist gerade zu Ende gegangen. Das Team strömt hinaus. Alle wirken einigermaßen zufrieden. Und irgendwo im Hinterkopf taucht eine leise Frage auf: Haben wir tatsächlich etwas gelernt?
Wenn man ehrlich ist, lautet die Antwort oft „nein“.
Das liegt nicht daran, dass Tabletop-Übungen eine schlechte Idee sind. Sie gehören zu den wertvollsten Werkzeugen, über die ein Sicherheitsverantwortlicher verfügt. Das Problem ist, wie die meisten Organisationen sie durchführen – und was sie dabei tatsächlich messen.
Die Leistungsfalle
Der häufigste Fehler bei Tabletop-Übungen hat nichts mit dem Szenario zu tun. Er hängt mit dem Ziel zusammen. Die meisten Teams gestalten ihre Übungen – bewusst oder unbewusst – so, dass sie Kompetenz demonstrieren, anstatt Schwachstellen aufzudecken.
Das Szenario verläuft in der Regel nach einem klaren Ablauf. Informationen treffen in logischer Reihenfolge ein. Die richtigen Personen sagen die richtigen Dinge. Alle fühlen sich gut vorbereitet. Und genau dieses Gefühl – selbstbewusst, gut eingespielt, fast schon kollegial – ist das eigentliche Problem. Echte Vorfälle verlaufen nicht nach einem reibungslosen Schema. Sie gehen einher mit unvollständigen Informationen, widersprüchlichen Signalen, nicht erreichbaren Personen und einem Unternehmen, das Antworten schneller verlangt, als es die Fakten zulassen. Wenn Ihre Simulationsübung diese Art von Reibungspunkten nicht erzeugt, haben Sie die Reaktion auf Vorfälle nicht getestet. Sie haben lediglich ein Gespräch geübt.
Wenn die Übung darauf ausgelegt ist, zu validieren statt zu stresstesten, ergibt sich ein zweites Problem: Die Leute hören auf, ehrlich zu sein. Niemand sagt: „Ich weiß nicht, wer für diese Entscheidung zuständig ist“ oder „Wir haben diesen Recovery-Pfad noch nie wirklich getestet.“ Sie sagen, was richtig klingt. Und die Lücken, die in einer kontrollierten Umgebung zutage treten sollten, bleiben verborgen, bis sie in einer realen Situation zum Vorschein kommen.
Was eine gute Übung tatsächlich testet
Bevor Sie ein Szenario erstellen, müssen Sie eine einfachere Frage beantworten: Was möchten Sie eigentlich lernen? Nicht 20 Dinge, sondern drei oder vier.
Kann Ihr Team eine Abschaltentscheidung schnell genug treffen, und weiß jeder, wer dazu befugt ist? Wenn Sicherheits-, IT-, Rechts- und Kommunikationsabteilungen mit widersprüchlichen Prioritäten im selben Raum sitzen, können sie dann tatsächlich gemeinsam Entscheidungen treffen? Können Sie die geschäftlichen Auswirkungen eines Vorfalls klar genug erklären, damit die Geschäftsleitung handeln kann – und nicht nur versteht? Und wenn Sie ein kritisches System innerhalb der nächsten vier Stunden wiederherstellen müssten, könnten Sie das wirklich schaffen?
Sobald Sie wissen, was Sie testen, erstellen Sie ein Szenario mit echten Reibungspunkten. Machen Sie eine Schlüsselperson mitten in der Übung unerreichbar. Führen Sie eine Eskalation durch einen Kunden ein. Lassen Sie eine Aufsichtsbehörde eine Frage stellen, die das Team nicht anhand des Runbooks beantworten kann.
Geben Sie den Mitarbeitern unvollständige Informationen und beobachten Sie, wie sie dennoch Entscheidungen treffen. Der Wert liegt nicht darin, zu beobachten, wie Menschen unter Druck erfolgreich sind. Er liegt darin, die Stellen zu finden, an denen der Prozess zusammenbricht, solange der Einsatz noch gering genug ist, um das Problem zu beheben.
Sagen Sie das gleich zu Beginn laut und deutlich: Erfolg bedeutet heute, Probleme zu finden, und nicht, einen guten Eindruck zu hinterlassen. Dieser eine Satz verändert die Art und Weise, wie sich die Anwesenden äußern.
Das Problem mit den Menschen
Eine Tabletop-Übung, bei der es ausschließlich um Sicherheit und IT geht, ist eine technische Diskussion und keine Übung zur Krisenbewältigung. Wenn die Rechtsabteilung nicht dabei ist, wenn die Kommunikationsabteilung nicht dabei ist, wenn die Geschäftsbereichsleiter und die Geschäftsleitung fehlen, testen Sie nicht, wie Ihre Organisation tatsächlich auf eine Krise reagiert. Sie testen lediglich, wie eine Gruppe kluger Köpfe ein hypothetisches Szenario durchspielt. Tatsächliche Vorfälle werden unternehmensweit bearbeitet. Die Übung sollte dies widerspiegeln.
Darüber zu reden reicht nicht aus
An dieser Stelle machen die meisten Organisationen einen Rückzieher. Eine theoretische Übung ist wichtig – aber sie schafft noch kein Vertrauen. Das Durchsprechen eines Recovery-Szenarios gibt Aufschluss. Die tatsächliche Wiederherstellung eines Systems liefert jedoch andere Erkenntnisse. Können Sie Identitäten auf einen sauberen Zeitpunkt zurücksetzen? Können Sie überprüfen, ob das, was Sie wiederherstellen, vertrauenswürdig ist? Können Sie eine Tier-1-Anwendung wiederherstellen und sicherstellen, dass sie einwandfrei läuft, ohne die Infektion mit sich zu tragen?
Das sind keine Fragen, die man in einem Konferenzraum beantworten kann. Irgendwann muss der Plan mit den Rahmenbedingungen in Einklang gebracht werden – und man muss wissen, ob sie zueinander passen.
Nach Abschluss der Übung
Die Nachbesprechung zeigt Ihnen, ob die Übung von Bedeutung war. Wenn der „Hot Wash“ ruhig, vage oder voller „guter Hinweise“ verläuft, hat die Übung nicht genug gefordert. Eine gut durchgeführte Tabletop-Übung sollte Ihnen eine kurze Liste mit konkreten Erkenntnissen, klaren Verantwortlichen und Fristen liefern. Wenn Sie nicht beantworten können, was schiefgelaufen ist, wer es behebt und bis wann, dann haben Sie eine Veranstaltung durchgeführt, keine Übung.
Das Ziel war nie, die Übung zu bestehen. Es ging darum, etwas Wichtiges zu lernen, solange der Preis für einen Fehler noch nur Zeit war. Sehen Sie sich unsere neueste Folge des STRIVE-Podcasts an, in der ich gemeinsam mit meinem Kollegen Chris Mierzwa, Senior Director, Portfolio Marketing, ein ausführliches Gespräch über Tabletop-Übungen führe.
FAQs
Frage: Warum bringen die meisten Tabletop-Übungen keinen wirklichen Nutzen?
A: Viele Übungen sind darauf ausgelegt, Teams als gut vorbereitet erscheinen zu lassen, anstatt Schwachstellen aufzudecken. Dies führt zu vorgefertigten Diskussionen, bei denen die Unvorhersehbarkeit und der Druck realer Vorfälle zu kurz kommen.
F: Was sollte das Ziel einer Tabletop-Übung sein?
A: Der Schwerpunkt sollte auf der Beantwortung einer kleinen Anzahl entscheidender Fragen liegen, wie beispielsweise der Geschwindigkeit der Entscheidungsfindung, der Klarheit hinsichtlich der Zuständigkeiten und der Wiederherstellungsfähigkeit. Dieser Fokus hilft den Teams dabei, wesentliche Lücken aufzudecken, anstatt sich mit oberflächlichen Erkenntnissen zu begnügen.
F: Wie können Organisationen Übungen realistischer gestalten?
A: Bauen Sie im Verlauf des Szenarios Unsicherheiten, fehlende Informationen und unerwartete Störungen ein. Diese Elemente zwingen die Teams dazu, kritisch zu denken und unter Druck zu handeln – ähnlich wie unter realen Einsatzbedingungen.
F: Wer sollte an einer Tabletop-Übung teilnehmen?
A: Neben den Bereichen Sicherheit und IT sollten auch Teams wie die Rechtsabteilung und die Kommunikationsabteilung sowie Führungskräfte und leitende Angestellte einbezogen werden. So kann die Übung widerspiegeln, wie reale Vorfälle unternehmensweit bewältigt werden.
F: Warum reicht es nicht aus, nur über die Wiederherstellung zu sprechen?
A: Durch Diskussionen lassen sich zwar Pläne verdeutlichen, doch nur durch echte Tests lässt sich nachweisen, ob Systeme tatsächlich einwandfrei und schnell wiederhergestellt werden können. Eine praktische Überprüfung ist erforderlich, um die Wiederherstellungsbereitschaft zu bestätigen.
F: Was zeichnet ein erfolgreiches Ergebnis einer Tabletop-Übung aus?
A: Eine gründliche Übung führt zu klaren Ergebnissen, festgelegten Verantwortlichen und definierten Zeitplänen für die Behebung der Mängel. Fehlen diese Elemente, hat die Übung das Team wahrscheinlich nicht ausreichend gefordert.
Chris Bevil ist Leiter des Bereichs „Global Cyber Resilience & AI“ bei Commvault.
