Aber wir können doch nicht einfach alles abschalten!

Was eine Tabletop-Notfallübung ist und was sie von einem Notfallplan im Ordner unterscheidet

Wenn wir mit unseren Kunden über Notfallmanagement sprechen, dann geht es irgendwann auch um das Thema Notfallübungen. Dann kommt sehr verlässlich die entgeisterte Bemerkung: „Wir können doch nicht einfach zu Testzwecken eine Störung herbeiführen!“. Und es ist ein absolut nachvollziehbarer Einwand. In machen Settings sind vielleicht sogar Abschaltungen am Wochenende oder in den späten Abendstunden möglich, aber ich habe in meiner Zeit als IT-Leiterin oft genug mit meiner Mannschaft mit unerwarteten Komplikationen zu kämpfen gehabt und kann jedes „Never touch a running system“ durchaus verstehen.

Wer IT-Verantwortung trägt, denkt zuerst an Verfügbarkeit. Ein Test, der Systeme berührt, kostet Zeit, Nerven und im schlechtesten Fall Betrieb. Also bleibt der Notfallplan im Ordner — sorgfältig dokumentiert aber ohne den Beweis, ob er im Ernstfall wirklich hilft.

Was eine Tabletop-Notfallübung ist – und wie das Format funktioniert

Eine Tabletop-Notfallübung ist eine moderierte Simulation, bei der ein Team einen Notfall durchspielt, und zwar am Tisch, nicht in den Systemen. Kein Server wird abgeschaltet, kein Betrieb unterbrochen. Und auch wenn das Szenario fiktiv ist, sind die Entscheidungen, die dabei getroffen werden, und die Fragen, die dabei auftauchen, sehr real und die Antworten darauf lehrreich.

Damit ordnet sich eine Tabletop-Notfallübung zwischen den beiden Polen ein:

• Das Lesen eines Notfallplans ist passiv. Man hält eine Beschreibung in der Hand, aber niemand weiß, ob sie trägt.

• Eine technische Vollübung — also das tatsächliche Abschalten und Wiederherstellen von Systemen — ist aufwändig, teuer und schreckt viele Organisationen ab.

• Eine Simulation ist aktiv und realitätsnah, aber ohne Betriebsrisiken zu erzeugen.

Der Kern des Formats ist das Zusammenspiel von Rollen und Ereignissen. Jede teilnehmende Person übernimmt eine konkrete Rolle: IT-Leiter, Geschäftsführer, Datenschutzbeauftragte, PR-Verantwortliche, Systemadministrator, Security Officer ... und handelt aus der Perspektive dieser Rolle. Das Szenario beginnt mit einem Ausgangsereignis, zum Beispiel einem entdeckten Ransomware-Angriff, und entwickelt sich durch Ereigniskarten weiter, die schrittweise neue Informationen und Komplikationen einbringen, so wie es in der Realität auch vorkommt.

Dadurch wird der Zeitdruck real, auch wenn das Szenario es nicht ist. Entscheidungen müssen getroffen werden, auch wenn vielleicht noch nicht alle Informationen vorliegen — genau wie im echten Ernstfall.

Was eine Tabletop-Notfallübung sichtbar macht

Die technischen Lücken sind dabei selten die eigentliche Überraschung. IT-Verantwortliche wissen meistens sehr genau, wo die sprichwörtlichen Leichen vergraben sind. Was das Format vor allem aufdeckt, sind die organisatorischen Bruchstellen — und die sind in vielen Organisationen hartnäckiger als jede technische Schwachstelle.

➡️ Kommunikationswege halten unter Druck nicht. Wer informiert wen, in welcher Reihenfolge, über welchen Kanal? Das steht oft irgendwo beschrieben, wird aber im Stress nicht befolgt, weil es nie eingeübt wurde.

➡️ Entscheidungsbefugnisse sind unklar. Wer darf im Ernstfall entscheiden, dass Systeme isoliert werden? Wer gibt die externe Kommunikation frei? Wenn diese Fragen ungeklärt sind, kosten sie im echten Notfall wertvolle Zeit.

➡️ Single Points of Failure werden sichtbar. Ein klassisches Beispiel: Der IT-Leiter ist die einzige Person, die die Backup-Passwörter kennt und ist plötzlich nicht erreichbar. Im Planspiel ist das eine Ereigniskarte. Im echten Notfall ist es ein Problem, das unnötigen Stress generiert.

➡️ Last but not least zeigt so eine Übung auch, ob die Schnittstellen zwischen Abteilungen funktionieren wie gedacht. IT, Datenschutz, PR, Geschäftsführung und HR müssen im Ernstfall eng zusammenarbeiten — aber sie haben das noch nie gemeinsam geprobt.

Was dabei schiefgehen kann, zeigt sich in der Übung deutlicher als in jeder Risikoanalyse.

Warum das Debriefing entscheidend ist

Eine Tabletop-Übung endet nicht mit dem letzten Ereignis auf der Karte. Ob sie ein wertvoller Erkenntnismoment wird oder ein interessantes Erlebnis ohne Konsequenzen bleibt, entscheidet das Debriefing danach.

Ein gutes Debriefing ist keine Nacherzählung dessen, was passiert ist. Es ist eine strukturierte Reflexion: Was von dem eben erlebten lässt sich auf unsere Realität übertragen? Was hat funktioniert? Wo sind Entscheidungen ins Stocken geraten? Welche Informationen fehlten im entscheidenden Moment? Wo waren Rollen und Zuständigkeiten unklar? Welche Annahmen aus dem Notfallplan haben sich als nicht tragfähig erwiesen?

Diese Fragen müssen in einem geschützten Rahmen beantwortet werden können — ohne Schuldzuweisungen und mit der nötigen Ehrlichkeit. Die meisten Erkenntnisse aus einer Tabletop-Übung entstehen nicht im Planspiel selbst, sondern in diesem Moment danach, wenn das Team gemeinsam auf das Erlebte zurückblickt.

Wir gehen mit unseren simulierten Notfallübungen über das Debriefing hinaus und besprechen konkrete, priorisierte Maßnahmen, die die Organisation tatsächlich weiterführen kann. Wer hat was bis wann zu tun? Welche Lücke ist kritisch und muss sofort geschlossen werden, welche kann warten? Ohne diesen Schritt bleibt die Übung eine Geschichte, die beim nächsten Teamabend erzählt wird — aber an der eigentlichen Vorbereitung ändert sich nichts.

Ein netter Nebeneffekt: Planspiele machen Spaß

Das mag zunächst wie ein Widerspruch wirken. Das Thema ist ernst, die Szenarien sind realistisch, der Zeitdruck ist echt — aber gut moderierte Tabletop-Übungen verbinden das Angenehme mit dem Nützlichen und bringen neben dem Erkenntnisgewinn auch Spaß. Das ist kein Nebeneffekt, den man entschuldigen müsste, sondern ein bewusster Bestandteil des Formats.

Der spielerische Rahmen senkt die Hemmschwelle, Fehler zu machen und zuzugeben. Menschen probieren Entscheidungen aus, die sie in der Realität nie auf diese Weise treffen würden — und lernen dabei mehr, als sie in einem klassischen Security-Training jemals lernen könnten. Gleichzeitig erleben Kolleginnen und Kollegen sich gegenseitig in ungewohnten Situationen: Der Systemadministrator, der sonst still im Hintergrund arbeitet, trifft plötzlich Entscheidungen unter den Blicken des gesamten Teams. Die Datenschutzbeauftragte bremst unter extremem Zeitdruck — und alle verstehen zum ersten Mal, warum das so ist.

Aus diesen Momenten entsteht etwas, das sich in der Theorie nicht erzeugen lässt: ein gemeinsames Bild davon, wie das eigene Team unter Druck funktioniert, wer wie reagiert und auf wen man sich verlassen kann. Das ist eine teambildende Erfahrung, die weit über das Thema IT-Security hinausgeht.

Für wen sind Tabletop-Übungen relevant

Unternehmen, die gemäß NIS2 als „wichtig" eingestuft sind, sind gesetzlich verpflichtet, Maßnahmen zur Betriebskontinuität vorzuhalten und das nachweisbar zu dokumentieren. Eine Tabletop-Übung ist eine direkte, praxisnahe Möglichkeit, genau das zu tun.

Sie ist aber auch für jede andere Organisation sinnvoll, die ein Team hat, das im Ernstfall handeln muss — und das noch nie gemeinsam geprobt hat, wie das konkret aussieht. Die Frage ist nicht, ob ein Notfall eintritt. Die Frage ist, ob das Team darauf vorbereitet ist — oder ob es sich an dem Tag, an dem es darauf ankommt, zum ersten Mal fragt, wer hier eigentlich entscheiden darf.

Was step IT up consulting anbietet

Wir entwickeln und moderieren Tabletop-Notfallübungen für Teams, die ihre Notfallvorbereitung aus dem Ordner herausholen und in die Praxis bringen wollen. Das Format ist als eintägiges Planspiel konzipiert — entweder mit einem Standardszenario oder zugeschnitten auf die konkrete IT-Landschaft eurer Organisation.

👉 Wenn ihr wissen wollt, wie gut vorbereitet euer Team wirklich ist, sprecht uns an.