Krisenmanagement-Simulation: Vom Szenario zum Lerneffekt
Fast jedes zweite deutsche Unternehmen war in den vergangenen fünf Jahren von IT-Ausfällen oder Störungen in der Lieferkette betroffen – doch nur rund 10 % verfügen über einen Notfallplan für die schwerwiegendsten Bedrohungslagen, wie eine gemeinsame Studie der Freien Universität Berlin und der Helmut-Schmidt-Universität/Universität der Bundeswehr Hamburg vom Mai 2026 zeigt. Der Krisenplan im Ordner ist meist vorhanden. Was fehlt, ist der Beweis, dass er unter Druck auch funktioniert. Genau diesen Beweis liefert eine gut konzipierte Krisenmanagement Simulation.
Warum ein Plan allein nicht reicht
Ein Krisenplan beschreibt, was passieren soll. Eine Krisensimulation zeigt, was tatsächlich passiert, wenn Informationen lückenhaft sind, die Zeit knapp wird und mehrere Entscheidungen gleichzeitig getroffen werden müssen. Laut dem Allianz Risk Barometer 2026 stehen Cybervorfälle und Betriebsunterbrechungen in Deutschland unmittelbar hintereinander auf Platz eins und zwei der wichtigsten Geschäftsrisiken – noch vor regulatorischen Änderungen. Beide Risikoarten haben eines gemeinsam: Sie eskalieren schnell, und sie verzeihen keine improvisierte Reaktion.
Die FU-Berlin-Studie liefert dazu einen weiteren aufschlussreichen Befund: Großunternehmen sind im Schnitt deutlich besser vorbereitet als kleine und mittlere Unternehmen – etwa bei Notstromaggregaten (63 % gegenüber 35 %) oder strukturierten Risikoanalysen. Der Unterschied liegt selten am fehlenden Willen, sondern daran, dass Vorbereitung selten geübt statt nur dokumentiert wird.
ISO 22301 als methodischer Rahmen
Die internationale Norm ISO 22301 für Business Continuity Management sieht Übungen nicht als Kür, sondern als festen Bestandteil des Managementsystems vor: In der Check-Phase des PDCA-Zyklus wird die Wirksamkeit von Plänen durch Tests, Übungen und Managementbewertungen überprüft, bevor in der Act-Phase Verbesserungen umgesetzt werden. Der deutsche BSI-Standard 200-4 zum Business Continuity Management ist methodisch mit ISO 22301 kompatibel und konkretisiert dies über ein Reifegradmodell – von der reaktiven Organisation bis zum vollständig etablierten BCMS mit regelmäßigem Übungszyklus. Eine Krisenmanagement Simulation ist damit kein optionales Add-on, sondern der Mechanismus, mit dem Unternehmen die in ISO 22301 geforderte Wirksamkeit überhaupt erst nachweisen können.
Die drei Formate der Krisensimulation
Nicht jede Organisation braucht sofort die aufwendigste Übungsform. In der Praxis haben sich drei Formate etabliert, die sich in Aufwand und Realitätsnähe unterscheiden:
Tabletop Exercise (Tischübung)
Der Krisenstab sitzt gemeinsam an einem Tisch und arbeitet ein Szenario Schritt für Schritt durch, ohne dass Systeme oder Prozesse tatsächlich ausgelöst werden. Dieses Format eignet sich besonders für neue Krisenstabsmitglieder und für die erste Überprüfung von Krisenhandbüchern und Eskalationswegen – mit überschaubarem organisatorischem Aufwand.
Funktionale Übung
Hier werden einzelne Funktionen unter realistischeren Bedingungen getestet: Kommunikationssysteme, Lagemeldungen, interne Alarmierungsketten. Die funktionale Übung liegt zwischen Tischübung und Vollübung und eignet sich, um konkrete Schwachstellen in einzelnen Prozessschritten aufzudecken.
Vollübung (Full-Scale Exercise)
Das gesamte Krisenmanagementsystem wird unter simulierten Realbedingungen aktiviert – inklusive interner und externer Kommunikation. Vollübungen sind aufwendig in der Vorbereitung, liefern aber die realistischsten Erkenntnisse darüber, wie belastbar eine Organisation im Ernstfall tatsächlich ist.
Der Ablauf: von der Vorbereitung bis zur Auswertung
Eine wirksame Krisenmanagement Simulation folgt typischerweise vier Phasen. Zunächst werden in der Vorbereitungsphase gemeinsam Übungsziele, Szenario, Teilnehmerkreis und Format festgelegt – ein Standardszenario von der Stange liefert selten belastbare Erkenntnisse, weil es die realen Schwachstellen einer Organisation nicht trifft. Es folgt die eigentliche Durchführung, bei der neue Informationen, Eskalationen und Medienanfragen in realistischen Abständen eingespielt werden, während Entscheidungen, Reaktionszeiten und Kommunikationsmuster dokumentiert werden.
Direkt im Anschluss folgt die Auswertung, häufig als moderiertes „Hot Wash-up“ unmittelbar nach der Übung: Was lief gut, wo bestanden Engpässe, welche Prozesse müssen angepasst werden? Ergänzend dazu liefert ein schriftlicher Übungsbericht innerhalb weniger Wochen konkrete, priorisierte Verbesserungsempfehlungen. Erst wenn diese Maßnahmen tatsächlich umgesetzt und in einer Folgeübung erneut überprüft werden, schließt sich der Lernkreis.
Typische Schwachstellen, die Simulationen aufdecken
Aus wiederholt durchgeführten Übungen lassen sich wiederkehrende Muster ablesen. Informationsflüsse innerhalb des Krisenstabs sind häufig unklarer als angenommen, Entscheidungsbefugnisse sind nicht eindeutig genug definiert, und die Kommunikation nach außen wird oft zu spät angestoßen. Auffällig ist zudem, dass technische Ausfallszenarien in vielen Organisationen deutlich besser geübt sind als die menschlichen Krisenführungsprozesse rund um sie herum – ein Ungleichgewicht, das genau dann sichtbar wird, wenn eine Simulation beide Ebenen gleichzeitig fordert.
Ein illustratives, zusammengesetztes Beispiel aus der Beratungspraxis: Ein mittelständisches Unternehmen hatte einen technisch soliden IT-Notfallplan, aber keine geübte Eskalationskette in den Krisenstab. In einer ersten Tabletop-Übung zu einem simulierten Ransomware-Vorfall zeigte sich, dass zwischen Erkennung des Vorfalls durch die IT und der ersten Entscheidung der Geschäftsführung wertvolle Stunden vergingen – schlicht, weil unklar war, wer wen bei welchem Schweregrad informieren musste. Diese Lücke wurde erst durch die Simulation sichtbar, nicht durch das Dokument.
Für wen sich eine Krisensimulation besonders lohnt
Organisationen, die kritische Infrastrukturen betreiben – etwa in den Bereichen Energie, Wasser, Finanzen oder Gesundheitswesen –, sollten laut der FU-Berlin-Studie das Risiko von Ausfällen deutlich höher einschätzen als andere Branchen, üben aber nicht automatisch entsprechend häufiger. Auch beim Thema hybride und militärische Bedrohungslagen besteht eine auffällige Lücke: Selbst in systemrelevanten Branchen verfügt nur rund jedes zehnte Unternehmen über einen entsprechenden Notfallplan. Wer als Unternehmen also regelmäßig Krisenbereitschaft bewertet, sollte eine Krisenmanagement Simulation nicht nur für Cyber- und Lieferkettenszenarien einplanen, sondern gezielt auch für seltenere, aber existenzbedrohende Ereignisse.
Häufige Fragen
Wie wählt man einen Anbieter für Krisensimulationen aus?
Entscheidend sind branchenspezifische Erfahrung, die Fähigkeit, Szenarien individuell statt standardisiert zu entwickeln, sowie eine strukturierte Auswertung mit priorisierten, umsetzbaren Empfehlungen. Referenzen aus vergleichbaren Organisationen und Erfahrung mit kritischen Infrastrukturen (falls relevant) sind ein guter Indikator.
Was kostet eine Krisensimulation?
Der Preis hängt stark vom Format ab: Eine Tabletop-Übung mit begrenztem Teilnehmerkreis ist deutlich günstiger als eine Vollübung mit mehreren Abteilungen und externer Kommunikationssimulation. Hauptkostentreiber sind der Vorbereitungsaufwand für ein maßgeschneidertes Szenario, die Dauer der Durchführung und der Umfang der schriftlichen Auswertung. Für eine verbindliche Einschätzung empfiehlt sich ein Erstgespräch zum konkreten Bedarf.
Wie viele Teilnehmer können an einer Krisensimulation teilnehmen?
Das hängt vom Format ab: Eine Tabletop Exercise für den Krisenstab funktioniert oft schon mit sechs bis zwölf Personen, während eine Vollübung mit Einbindung mehrerer Abteilungen und externer Kommunikation deutlich größere Teilnehmerkreise umfassen kann.
Lehren für die Praxis
Eine Krisenmanagement Simulation ersetzt keinen Krisenplan – sie prüft ihn. Für Unternehmen, die ihre Krisenbereitschaft ernst nehmen, führt der Weg über eine Krisensimulation Inhouse, die exakt auf die eigene Branche und Risikolage zugeschnitten ist – vom ersten Tabletop bis zur Vollübung. Wer bereits eine Simulation hinter sich hat, sollte den Kreis schließen: Empfehlungen dokumentieren, Maßnahmen umsetzen und die Wirksamkeit in der nächsten Übung erneut testen. Genau das unterscheidet Organisationen, die im Ernstfall koordiniert reagieren, von jenen, die improvisieren müssen.
