Cyber-Krisenübung: den Ernstfall proben, bevor er eintritt
„Der Plan lag in der Schublade – nur wusste im entscheidenden Moment niemand, wer ihn auslöst.“ So beschreiben Krisenverantwortliche immer wieder den Augenblick, in dem ein Cyberangriff aus einem IT-Problem eine handfeste Unternehmenskrise macht. Die Zahlen geben ihnen recht: Das Bundeskriminalamt registrierte im aktuellen Berichtszeitraum rund 950 Ransomware-Angriffe, etwa 80 Prozent davon trafen kleine und mittlere Unternehmen (BSI-Lagebericht 2025). Laut der Bitkom-Studie „Wirtschaftsschutz 2025“ war mehr als jedes dritte Unternehmen von Ransomware betroffen – fast dreimal so viele wie 2022. Wer in dieser Lage erst im Ernstfall herausfindet, ob sein Krisenstab funktioniert, hat bereits verloren.
Genau hier setzt die Cyber-Krisenübung an. Sie ist der Testlauf, der zeigt, ob aus einem Notfallplan echte Handlungsfähigkeit wird – bevor ein realer Angriff die Antwort erzwingt.
Warum eine Cyber-Krisenübung über Erfolg oder Scheitern entscheidet
Ein Krisenplan ist ein Versprechen auf Papier. Er beschreibt, wer im Ernstfall welche Rolle übernimmt, wie eskaliert wird und wer nach außen spricht. Ob dieses Versprechen unter Druck trägt, entscheidet sich nicht im Dokument, sondern im Verhalten von Menschen, die übermüdet, unvollständig informiert und gleichzeitig von mehreren Seiten unter Zugzwang sind. Genau diese Bedingungen lassen sich nur in einer Übung herstellen.
Ein Cyberangriff eskaliert typischerweise in Stufen: Zuerst ist es ein technischer Vorfall, den die IT-Abteilung bearbeitet. Dann fällt ein Kernsystem aus, die Produktion oder der Versand stockt, Kunden merken es, die Presse fragt nach – und plötzlich ist es eine Führungskrise, die in der Geschäftsleitung entschieden werden muss. Die kritische Frage lautet: An welchem Punkt wird aus dem IT-Incident ein Krisenfall, und wer trifft diese Entscheidung? Wer das erst im Ernstfall klärt, verliert die wertvollsten ersten Stunden.
Methodisch bietet die Norm ISO 22301 für Business Continuity Management (BCM) hier den Rahmen: Sie verlangt nicht nur, dass Kontinuitäts- und Wiederanlaufpläne existieren, sondern dass sie regelmäßig getestet und überprüft werden. Die Cyber-Krisenübung ist das Instrument, mit dem dieser Nachweis erbracht wird – und mit dem sich Lücken aufdecken lassen, solange sie noch nichts kosten.
Was 2025 gezeigt hat: vom IT-Vorfall zur Unternehmenskrise
Die Beispiele des Jahres 2025 machen deutlich, wie schnell ein technischer Angriff das ganze Unternehmen erfasst. Beim Rüstungskonzern Rheinmetall traf ein Cyberangriff das zivile Geschäft; an mehreren Standorten musste die Produktion zeitweise unterbrochen werden, der Schaden lag im zweistelligen Millionenbereich. Ein Ransomware-Angriff auf den Dienstleister Collins Aerospace legte an mehreren europäischen Flughäfen – darunter Berlin – die Passagier- und Gepäckabfertigung lahm; abgefertigt wurde zeitweise per Hand. Und der Angriff auf Jaguar Land Rover führte zu einem wochenlangen Produktionsstopp mit einem geschätzten volkswirtschaftlichen Schaden von rund 2,19 Milliarden Euro.
Die gemeinsame Lehre dieser Fälle: Die technische Wiederherstellung ist nur die halbe Miete. Der Wiederaufbau der IT-Infrastruktur dauerte in mehreren Fällen Wochen, teils Monate. In dieser Zeit entscheidet nicht die Technik über den Ausgang, sondern die Fähigkeit der Organisation, unter Unsicherheit zu koordinieren, zu kommunizieren und zu priorisieren. Insgesamt entfallen laut Bitkom rund 202,4 Milliarden Euro des jährlichen Gesamtschadens der deutschen Wirtschaft auf Cyberkriminalität – ein erheblicher Teil davon auf Ausfallzeiten, die durch bessere Vorbereitung hätten verkürzt werden können.
Auffällig ist, wo es in diesen Fällen hakte: nicht an fehlender Technik, sondern an Fragen, die eine Übung vorab beantwortet hätte. Wer darf entscheiden, ob eine Lösegeldforderung überhaupt verhandelt wird? Wer spricht mit Aufsichtsbehörden, Kunden und Presse – und mit einer Stimme? Wie arbeitet das Unternehmen weiter, wenn E-Mail, Telefonie und Fachanwendungen gleichzeitig ausfallen? In einer geübten Organisation sind diese Rollen und Abläufe eingespielt; in einer ungeübten werden sie mitten in der Krise improvisiert – unter Zeitdruck, Beobachtung und Erschöpfung. Genau diese Reibung sichtbar zu machen, solange sie folgenlos bleibt, ist der eigentliche Wert einer Cyber-Krisenübung. Sie ersetzt die Illusion eines funktionierenden Plans durch belastbare Gewissheit darüber, wo er noch nachgeschärft werden muss.
Tabletop, Simulation, Ernstfallübung: die Formate im Überblick
„Cyber-Krisenübung“ ist ein Oberbegriff für mehrere Formate, die sich in Aufwand, Realismus und Lerneffekt unterscheiden. Wer beginnt, sollte klein starten und die Komplexität schrittweise steigern.
Tabletop Exercise
Beim Tabletop sitzt der Krisenstab am Tisch und arbeitet ein Szenario diskutierend durch. Es wird nichts real abgeschaltet; im Mittelpunkt stehen Entscheidungswege, Rollenklärung und Kommunikation. Der Aufwand ist gering, der Erkenntnisgewinn hoch – ideal als Einstieg und für die erste jährliche Übung.
Stabsrahmenübung und Simulation
Hier wird das Szenario dynamisch: Eine Übungsleitung speist über sogenannte Injects laufend neue Informationen ein – eine Erpressernachricht, ein Presseanruf, der Ausfall eines weiteren Systems. Der Krisenstab muss in Echtzeit reagieren, Prioritäten setzen und mit unvollständigen Informationen entscheiden. Diese Form deckt Schwächen in Abläufen und Zusammenarbeit besonders zuverlässig auf.
Technische Live-Übung
Bei technischen Übungen – etwa Red-Team-Tests oder kontrollierten Wiederanlauf-Tests – wird tatsächlich in die Systeme eingegriffen. Sie prüfen, ob Backups funktionieren und Wiederanlaufzeiten realistisch sind. Sie setzen ein reifes BCM voraus und ergänzen die Stabsübung, ersetzen sie aber nicht.
NIS2 und BSI: Wird die Cyber-Krisenübung zur Pflicht?
Kurz gesagt: Der regelmäßige Test der Notfall- und Krisenmaßnahmen wird für immer mehr Unternehmen verbindlich. Das deutsche NIS2-Umsetzungsgesetz ist Ende 2025 in Kraft getreten und betrifft nach Schätzungen rund 29.500 Unternehmen unmittelbar. Es verlangt in § 30 BSIG unter anderem Maßnahmen zur Aufrechterhaltung des Betriebs – konkret Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Wer solche Maßnahmen einführt, muss auch belegen können, dass sie funktionieren.
Einen Anhaltspunkt, wie oft geübt werden sollte, gibt der BSI-Standard 200-4 zum Business Continuity Management: Als gängige Praxis gilt mindestens eine Übung pro Jahr, zusätzlich nach wesentlichen Vorfällen oder Änderungen. Hinzu kommt die persönliche Verantwortung: Unter NIS2 kann die Geschäftsleitung bei Pflichtverletzungen persönlich haftbar gemacht werden, und dem BSI stehen empfindliche Bußgelder zur Verfügung. Die Cyber-Krisenübung ist damit nicht länger eine Kür für besonders vorsichtige Unternehmen, sondern ein belastbarer Nachweis erfüllter Sorgfaltspflicht.
In fünf Schritten zur wirksamen Cyber-Krisenübung
- Szenario wählen. Orientieren Sie sich an der realen Bedrohungslage – Ransomware mit Datenabfluss und Erpressung ist das derzeit wahrscheinlichste Szenario. Es sollte plausibel, unbequem und auf Ihr Geschäft zugeschnitten sein.
- Ziele und Umfang festlegen. Wollen Sie die Eskalation vom IT-Vorfall zur Chefsache testen, die Krisenkommunikation oder den technischen Wiederanlauf? Ein klarer Fokus schlägt einen überladenen Rundumschlag.
- Die richtigen Rollen an den Tisch holen. Ein Cyberangriff ist keine reine IT-Angelegenheit. Geschäftsführung, IT/Security, Kommunikation, Recht und relevante Fachbereiche gehören in die Übung – genau wie im Ernstfall.
- Realistisch durchführen. Arbeiten Sie mit Injects und Zeitdruck. Der Reibungsverlust, der dabei entsteht, ist kein Störfaktor, sondern das eigentliche Lernmaterial.
- Auswerten und den Plan schärfen. Die Übung endet nicht mit dem Szenario, sondern mit einer ehrlichen Nachbesprechung. Jede aufgedeckte Lücke fließt zurück in Krisenplan, Rollen und Erreichbarkeiten.
Lehren für Entscheider
Die Unternehmen, die eine Cyberkrise 2025 vergleichsweise glimpflich überstanden haben, hatten selten das bessere Sicherheitsprodukt – sie hatten den geübten Krisenstab. Drei Punkte sind entscheidend: Erstens, fangen Sie an, statt auf das perfekte Konzept zu warten – ein einfaches Tabletop bringt mehr als der beste ungetestete Plan. Zweitens, machen Sie das Üben zur Routine: mindestens einmal jährlich, mit steigendem Anspruch. Drittens, holen Sie die Geschäftsleitung an den Tisch; im Ernstfall entscheidet sie, also muss sie auch üben.
Wer den ersten Schritt nicht allein gehen möchte, kann eine Krisensimulation Inhouse nutzen: ein realistisches Szenario, professionell moderiert, mit schriftlicher Auswertung – vom Tabletop bis zur szenariobasierten Cyber-Krisenübung für den gesamten Krisenstab. Wie ein vollständiges Programm aussieht, zeigt unser Cyber-Krisenmanagement Training.
Eine Cyber-Krisenübung kostet einen Tag – ein realer Vorfall ohne Vorbereitung kostet Wochen. Wer den Ernstfall probt, bevor er eintritt, verwandelt einen Plan in echte Handlungsfähigkeit. Die Bedrohungslage wird sich 2026 nicht entspannen – die Frage ist also nicht, ob Ihr Krisenstab geprüft wird, sondern ob durch eine Übung oder durch einen echten Angriff. Das ist der Unterschied zwischen einem Unternehmen, das eine Krise durchsteht, und einem, das sie erleidet.
