Angenommen, Sie erhalten zwei Szenariovorschläge. Der erste beschreibt einen Brand in der Hauptverwaltung, Evakuierung, Presse vor der Tür, Angehörige am Telefon. Der zweite beschreibt den Ausfall einer Schnittstelle zu einem Logistikdienstleister, die zunächst nach einer technischen Störung aussieht und erst nach zwei Stunden als Angriff erkannt wird. Der erste Vorschlag klingt eindrucksvoll. Der zweite trifft vermutlich genau die Entscheidungen, die Ihrer Organisation im Ernstfall schwerfallen.
Ein spektakuläres Szenario macht einen guten Tag, aber nicht zwingend eine bessere Krisenorganisation. Ein passendes Trainingsszenario für den Krisenstab erkennen Sie an fünf Merkmalen – und daran, dass es aus Ihrer eigenen Risikoanalyse abgeleitet ist, nicht aus der Nachrichtenlage.
Trainingsszenario Krisenstab: fünf Kriterien für die Auswahl
Prüfen Sie jeden Vorschlag anhand dieser fünf Fragen. Ein Szenario, das vier davon erfüllt, ist meist brauchbar. Eines, das nur das erste erfüllt, ist ein Thema, keine Übungslage.
- Trifft es Ihre kritischen Prozesse?
- Erzwingt es Entscheidungen unter Unsicherheit?
- Ist es anschlussfähig an reale Abhängigkeiten (Lieferanten, IT, Kunden)?
- Fordert es mehrere Rollen, nicht nur die IT?
- Bleibt es ohne Spezialwissen spielbar?
1. Kritische Prozesse
Ein Szenario ist dann relevant, wenn es einen Prozess trifft, dessen Ausfall Ihre Organisation wirklich unter Druck setzt. Das ergibt sich aus Ihrer Business-Impact-Analyse oder – falls diese nicht vorliegt – aus der einfachen Frage, welcher Ausfall nach wenigen Stunden zu Entscheidungen zwingt, die niemand gern trifft. Ein Szenario, das einen unkritischen Nebenprozess stört, erzeugt Betrieb, aber keine Belastung.
2. Entscheidungen unter Unsicherheit
Der eigentliche Prüfstein einer Krisenstabsübung ist die Frage, ob entschieden wird, obwohl die Lage unklar ist. Ein gutes Szenario liefert deshalb nicht alle Informationen, dafür widersprüchliche Hinweise und einen Zeitdruck, der Warten zur schlechteren Option macht. Wenn sich die richtige Entscheidung durch Nachfragen zweifelsfrei klären lässt, fehlt dem Szenario der Kern.
3. Reale Abhängigkeiten
Krisen enden selten an der Unternehmensgrenze. Ein anschlussfähiges Szenario bezieht Lieferanten, Dienstleister, IT-Verbünde und Kunden ein – also die Stellen, an denen Sie im Ernstfall auf andere angewiesen sind. Das macht auch sichtbar, ob Verträge, Kontaktwege und Eskalationsstufen nach außen tragen.
4. Mehrere Rollen
Viele Übungen kippen unbemerkt in eine IT-Veranstaltung. Die Technik arbeitet, der Rest sieht zu. Ein tragfähiges Szenario fordert parallel Recht, Personal, Kommunikation und Betrieb: eine Meldepflicht, die zu bewerten ist, eine Kundeninformation, die freigegeben werden muss, eine Personalfrage im Schichtbetrieb. Erst dann wird Koordination geübt.
5. Ohne Spezialwissen spielbar
Wenn das Szenario nur von Fachleuten verstanden wird, verlagert es die Übung auf die Frage, wer sich auskennt. Ein Szenario sollte für alle Beteiligten nachvollziehbar sein – die Lagebeschreibung in einer Sprache, die auch die Kommunikationsverantwortliche ohne Rückfrage versteht.
Ein Szenario ist kein Test der Fachkenntnis
Dieser Satz lohnt eine eigene Überschrift: Ein Szenario ist kein Test der Fachkenntnis, sondern der Zusammenarbeit. Es geht nicht darum, ob jemand die richtige technische Antwort kennt, sondern ob die Gruppe unter Zeitdruck ein gemeinsames Lagebild herstellt, Rollen respektiert, Entscheidungen dokumentiert und nach außen konsistent kommuniziert.
Diese Unterscheidung hat praktische Folgen für die Gestaltung. Fachliche Detailfragen dürfen im Szenario vorkommen, sie dürfen aber nicht über den Verlauf entscheiden. Wo Fachwissen fehlt, liefert die Übungsleitung die Information – und beobachtet, was die Gruppe damit macht. Wie aus einem Szenario ein belegbarer Lerneffekt entsteht, ordnet der Beitrag Krisenmanagement-Simulation: Vom Szenario zum Lerneffekt ein.
Szenarien aus der eigenen Risikoanalyse ableiten
Das passende Szenario steht meist schon in Ihren Unterlagen. Ein pragmatischer Weg in vier Schritten:
- Nehmen Sie die kritischen Prozesse aus Ihrer Business-Impact-Analyse und markieren Sie die drei mit der kürzesten tolerierbaren Ausfallzeit.
- Prüfen Sie, welche Risiken in Ihrem Risikoregister auf genau diese Prozesse wirken – eigene ebenso wie solche bei Dienstleistern.
- Wählen Sie eine Kombination, die nicht nur technisch wirkt, sondern auch rechtliche, personelle oder kommunikative Folgen hat.
- Ergänzen Sie einen Auslöser, der die Lage zunächst harmlos erscheinen lässt – so üben Sie auch die Aktivierungsentscheidung mit.
Ein häufiger Ausgangspunkt ist die Verschlüsselung zentraler Systeme, weil sie fast alle fünf Kriterien erfüllt; wie eine solche Lage als Tabletop aufgebaut wird, beschreibt der Beitrag Ransomware Tabletop Exercise: der Testlauf für den Krisenstab. Wichtig bleibt, dass die Auswahl aus Ihren Prozessen stammt und nicht aus dem Umstand, dass ein Szenario gerade verfügbar ist.
Tabus vorab festlegen
Ein realistisches Szenario kann unangenehm werden – das ist erwünscht. Grenzen gehören trotzdem dazu, und sie werden vor der Übung festgelegt, nicht im Verlauf. Üblich sind:
- Laufende Verfahren: keine Sachverhalte, die Gegenstand eines laufenden rechtlichen oder behördlichen Verfahrens sind.
- Reale Personen: keine namentlich erkennbaren Beschäftigten, Kundinnen oder Dritten als Täter, Verursacher oder Betroffene.
- Anstehende Personalmaßnahmen: keine Themen, die parallel real verhandelt werden.
- Benannte Geschäftspartner: arbeiten Sie mit anonymisierten Bezeichnungen, wenn Lieferbeziehungen Teil der Lage sind.
Stimmen Sie die Tabus mit Recht, Personal und Kommunikation ab und nehmen Sie sie in das Briefing auf. Anbieter können nur berücksichtigen, was sie kennen.
Nächster Schritt: Szenario an Ihren Prozessen entwickeln
Wenn Sie die fünf Kriterien an einen konkreten Vorschlag anlegen, sehen Sie schnell, ob er trägt. Für ein Inhouse-Krisentraining entwickeln wir die Lage aus Ihren eigenen Rollen, Prozessen und Abhängigkeiten – einschließlich der vereinbarten Tabus und der Frage, welche Entscheidungen das Szenario erzwingen soll. Sprechen Sie uns an, wenn Sie einen vorliegenden Szenarioentwurf gegenprüfen lassen möchten.
Häufige Fragen
Wie realistisch muss ein Trainingsszenario sein?
So realistisch, dass die Beteiligten die Lage annehmen, und so vereinfacht, dass sie in der verfügbaren Zeit spielbar bleibt. Details, die keine Entscheidung beeinflussen, können entfallen.
Sollten wir jedes Jahr dasselbe Szenario üben?
Eine Wiederholung ist sinnvoll, wenn Sie prüfen wollen, ob umgesetzte Maßnahmen wirken. Für neue Erkenntnisse braucht es einen anderen Prozess, eine andere Abhängigkeit oder einen anderen Einstieg in die Lage.
Wer gibt das Szenario frei?
Fachlich die Krisenstabsleitung, formal die Geschäftsleitung – insbesondere dann, wenn heikle Aspekte wie Reputation, Behördenkontakt oder Personalthemen vorkommen. Ohne diese Freigabe wird im Zweifel entschärft.
Kann ein Szenario zu belastend sein?
Ja. Kündigen Sie den Ereignistyp vorab an, verzichten Sie auf Überraschungen mit Personenbezug und benennen Sie eine Ansprechperson für den Fall, dass ein Inhalt jemanden persönlich berührt.
