Cyber-Krisenübung für das Management: die Rolle der Geschäftsführung
202,4 Milliarden Euro Schaden durch Cyberkriminalität, 87 Prozent aller Unternehmen betroffen, 65 Prozent sehen sich in ihrer Existenz bedroht – und trotzdem hält sich nur die Hälfte der Firmen für vorbereitet. Diese Zahlen aus der Bitkom-Studie Wirtschaftsschutz 2025 beschreiben kein IT-Problem. Sie beschreiben ein Führungsproblem. Denn wenn ein Ransomware-Angriff die Produktion stilllegt, entscheidet nicht der Systemadministrator über Lösegeld, Kundenkommunikation und Betriebsstillstand – sondern die Geschäftsführung. Eine Cyber-Krisenübung für das Management stellt genau diese Entscheider in den Ernstfall, bevor er real wird.
Die kurze Antwort vorweg: Eine Cyber-Krisenübung ist erst dann vollständig, wenn die oberste Führungsebene mitübt. Technische Wiederherstellung lässt sich delegieren – die strategischen Entscheidungen einer Cyberkrise nicht. Dieser Beitrag zeigt, welche Rolle die Geschäftsführung in einer Cyber-Krisenübung trägt, worin sie sich von einer reinen Krisenstabsübung unterscheidet und warum NIS2 das Thema endgültig zur Chefsache macht.
Warum die Geschäftsführung in die Cyber-Krisenübung gehört
In vielen Organisationen gilt die Cyberkrise noch immer als Aufgabe der IT-Abteilung. Das ist ein Missverständnis mit Folgen. Sobald ein Angriff die Wertschöpfung trifft – wenn Bestellungen nicht mehr verarbeitet, Löhne nicht mehr gezahlt oder Patientendaten nicht mehr abgerufen werden können – wird aus einem technischen Vorfall eine Unternehmenskrise. Und Unternehmenskrisen führt die Geschäftsführung.
Die Entscheidungen, die in den ersten Stunden einer Cyberkrise fallen, sind fast nie technischer Natur. Zahlen wir das geforderte Lösegeld? Nehmen wir Systeme vom Netz und riskieren damit tagelangen Stillstand? Wann und wie informieren wir Kunden, Aufsichtsbehörden und die Presse? Wer spricht öffentlich für das Unternehmen? Diese Fragen kann und darf keine IT-Abteilung allein beantworten. Wer sie zum ersten Mal im echten Ernstfall stellt, verliert wertvolle Zeit – und Vertrauen.
Genau hier setzt eine Cyber-Krisenübung für das Management an. Sie konfrontiert Vorstände und Geschäftsführer mit einem realistischen Szenario und zwingt sie, unter Zeitdruck und mit unvollständigen Informationen zu entscheiden – so, wie es im Ernstfall unvermeidlich ist.
Cyber-Krisenübung Management gegen Krisenstabsübung: der Unterschied
Eine klassische Krisenstabsübung trainiert das operative Team: Wie koordiniert der Krisenstab die Wiederherstellung, wie läuft die Lagebildführung, wie greifen die technischen Prozesse ineinander? Das ist unverzichtbar – aber es ist nicht dasselbe wie eine Übung für die Führungsebene.
Die Cyber-Krisenübung für das Management arbeitet eine Ebene höher. Sie fragt nicht, wie ein Server wiederhergestellt wird, sondern ob das Unternehmen einen tagelangen Ausfall in Kauf nimmt, um die Erpresser nicht zu bezahlen. Sie prüft nicht die Backup-Routine, sondern die Frage, welche Botschaft der Vorstand nach außen sendet, wenn Kundendaten abgeflossen sind. Der Krisenstab liefert die Lage – die Geschäftsführung trifft die Richtungsentscheidung.
Was das Management in der Übung wirklich entscheidet
Eine gut aufgebaute Übung stellt die Führungsebene vor typische Weichenstellungen: die Lösegeldfrage mit ihren rechtlichen und reputativen Konsequenzen, die Abwägung zwischen schneller Wiederinbetriebnahme und forensischer Sicherung, die Steuerung der Krisenkommunikation gegenüber Kunden und Aufsicht sowie die Meldung an Behörden innerhalb enger gesetzlicher Fristen. Wer diese Abwägungen einmal im geschützten Rahmen durchgespielt hat, entscheidet im Ernstfall schneller und sicherer.
NIS2: Warum Übung jetzt Chefsache ist
Der regulatorische Druck macht die Beteiligung der Geschäftsführung nicht länger zur Kür. Mit der NIS2-Richtlinie und ihrer deutschen Umsetzung rückt die Verantwortung ausdrücklich in die Chefetage. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Diese Verantwortung ist – so betonen Rechtsexperten übereinstimmend – nicht vollständig delegierbar: Auch wer IT-Sicherheit an einen CISO oder externen Dienstleister überträgt, bleibt in der Überwachungspflicht und kann persönlich haften.
Für die Praxis heißt das: Die Geschäftsführung muss die Grundzüge von Business Continuity, Backup-Management und Notfallwiederherstellung kennen und belegen können, dass sie das Krisenmanagement aktiv steuert. Eine dokumentierte Cyber-Krisenübung, an der die Leitungsebene nachweislich teilnimmt, ist dafür einer der überzeugendsten Nachweise. Was die NIS2-Pflichten konkret bedeuten, fasst auch Computer Weekly zusammen. Übung ist damit nicht mehr nur gute Praxis, sondern Teil der Sorgfaltspflicht.
ISO 22301 als Rahmen für die Führungsübung
Wer eine Cyber-Krisenübung nicht als Einzelaktion, sondern als Teil eines Systems versteht, orientiert sich sinnvollerweise an ISO 22301, dem internationalen Standard für Business Continuity Management. Die Norm verlangt ausdrücklich das sichtbare Engagement der obersten Leitung – „top management commitment“ ist kein Beiwerk, sondern Kern des Systems. Sie fordert außerdem, dass Notfall- und Kontinuitätspläne regelmäßig geübt und ausgewertet werden.
Eine Cyber-Krisenübung für das Management füllt diese Anforderung mit Leben. Sie macht das Engagement der Führungsebene überprüfbar, deckt Lücken zwischen Plan und Wirklichkeit auf und liefert dokumentierte Erkenntnisse für den kontinuierlichen Verbesserungsprozess. Der Plan zeigt erst unter Druck, ob er trägt – und ISO 22301 gibt den Rahmen, um diesen Druck systematisch zu erzeugen.
Fünf Elemente einer wirksamen Cyber-Krisenübung für das Management
- Ein realistisches Szenario. Ransomware, Datenabfluss oder der Ausfall eines kritischen Dienstleisters – das Szenario muss zur tatsächlichen Bedrohungslage und Branche passen, nicht zu einem Lehrbuch.
- Echte Entscheidungslast. Die Führungsebene muss unter Zeitdruck und mit unvollständigen Informationen selbst entscheiden – nicht Vorträgen zuhören.
- Die Kommunikationsdimension. Kunden, Behörden, Beschäftigte, Presse: Wer schweigt oder zu spät spricht, verliert die Deutungshoheit. Kommunikation gehört in jede Führungsübung.
- Das Zusammenspiel mit dem Krisenstab. Die Übung muss die Schnittstelle zwischen operativem Krisenstab und strategischer Führung testen – dort brechen echte Krisen am häufigsten.
- Eine ehrliche Auswertung. Ohne strukturiertes Debriefing bleibt die Übung folgenlos. Erkenntnisse müssen in Pläne, Rollen und Trainings zurückfließen.
Lehren für die Geschäftsführung
Die Bitkom-Zahlen lassen wenig Interpretationsspielraum: Cyberangriffe sind kein Randrisiko mehr, sondern eine existenzielle Bedrohung, auf die sich die Hälfte der Unternehmen unzureichend vorbereitet fühlt. Der entscheidende Unterschied zwischen Firmen, die eine Cyberkrise überstehen, und solchen, die daran zerbrechen, liegt selten in der Technik – sondern in der Frage, ob die Führung im entscheidenden Moment handlungsfähig ist.
Handlungsfähigkeit entsteht nicht im Ernstfall, sondern davor. Wer als Geschäftsführung zum ersten Mal während eines echten Angriffs über Lösegeld, Stillstand und Krisenkommunikation entscheidet, entscheidet unter den schlechtesten denkbaren Bedingungen. Wer dieselben Abwägungen zuvor in einer Cyber-Krisenübung durchgespielt hat, gewinnt Zeit, Klarheit und Vertrauen. Die Übung ist der Testlauf, den sich kein Vorstand mehr sparen kann – aus Verantwortung gegenüber dem Unternehmen und, seit NIS2, aus rechtlicher Sorgfaltspflicht.
Sie möchten Ihre Führungsebene gezielt auf den cyberkritischen Ernstfall vorbereiten? Die Deutsche Akademie für Krisenmanagement entwickelt praxisnahe Übungen für Vorstand und Geschäftsführung. Erfahren Sie mehr über unser Cyber-Krisenmanagement-Training.
