Cyber-Tabletop-Exercise-Handlungsleitfaden: planen, durchführen und dokumentieren

Ein Schritt-für-Schritt-Handlungsleitfaden zur Planung, Durchführung und Bewertung einer Cyber-Tabletop-Exercise sowie zur Umwandlung des Nachberichts in Nachweise für NIS2, DORA und CyFun.

Dieser Handlungsleitfaden richtet sich an CISOs, Risk- und Compliance-Manager, IT-Manager sowie Berater oder MSPs, die diese unterstützen. Er setzt voraus, dass Sie einen Incident-Response-Plan und einen Geschäftsfortführungsplan schriftlich vorliegen haben und nun nachweisen müssen, dass diese funktionieren und dass das Leitungsorgan seine Rolle versteht. Am Ende werden Sie eine zwei- bis dreistündige Tischübung geplant, durchgeführt und dokumentiert haben – mit einem Nachweispaket, das eine Aufsichtsbehörde oder ein Prüfer von der Zielsetzung bis zur abgeschlossenen Maßnahme nachvollziehen kann.

Bevor Sie beginnen

Bestimmen Sie einen Übungsleiter (in der Regel der CISO oder der Incident Manager) und ein kleines Planungsteam aus zwei oder drei Personen, die nicht mitspielen. Spieler, die bei der Szenarioentwicklung mithelfen, können nicht überrascht werden. Sammeln Sie die Dokumente, die die Übung testen wird: den Incident-Response-Plan, die Pläne zur Geschäftsfortführung und Notfallwiederherstellung, den Krisenkommunikationsplan, die Kontaktliste und das Verfahren zur Vorfallsmeldung an Ihre Aufsichtsbehörde. Vereinbaren Sie mit dem CEO oder der Geschäftsführung, dass Mitglieder des Leitungsorgans mindestens einen Teil der Sitzung beiwohnen. Gemäß NIS2 Artikel 20 genehmigt das Leitungsorgan die Risikomanagementmaßnahmen im Bereich der Cybersicherheit, überwacht deren Umsetzung und muss eine Schulung absolvieren^[1], daher verfehlt eine Übung, an der nur die IT-Abteilung beteiligt ist, den Zweck.

Phase 1: Ziele und Geltungsbereich definieren

Eine Übung ohne messbare Ziele führt zu einem angenehmen Gespräch und zu keinem Nachweis. Formulieren Sie drei bis fünf Ziele, jedes so präzise, dass ein Beobachter später feststellen kann, ob es erreicht wurde. Verknüpfen Sie jedes Ziel mit einem spezifischen Plan, einer Kontrolle oder einer rechtlichen Anforderung.

• Beispiel: „Das Krisenteam entscheidet innerhalb von 30 Minuten nach dem relevanten Szenarioelement, ob der Vorfall erheblich ist, und entwirft die 24-Stunden-Frühwarnung."
• Beispiel: „Der Geschäftsverantwortliche der Bestellplattform bestätigt die Wiederherstellungspriorität und akzeptiert oder hinterfragt das dokumentierte Wiederherstellungszeitziel."
• Beispiel: „Das Leitungsorgan trifft eine dokumentierte Entscheidung über die externe Kommunikation und über die Einbeziehung der Strafverfolgungsbehörden."
• Geltungsbereich definieren: Welche Standorte, Dienste, Lieferanten und Pläne sind relevant, und was ist explizit ausgeschlossen (beispielsweise technische Eindämmungsmaßnahmen).
• Format wählen: Eine diskussionsbasierte Tischübung für diesen Handlungsleitfaden; technische oder hybride Simulationen können später folgen.

Phase 2: Teilnehmer und Rollen auswählen

Halten Sie die Spielergruppe klein genug zum Austausch, typischerweise acht bis fünfzehn Personen. Jede Person im Raum benötigt eine Rolle.

Rolle	Wer	Was sie tun
Moderator	Übungsleiter oder externer Moderator	Verwaltet die Zeit, verteilt Szenarien, stellt kritische Fragen, hält die Diskussion auf die Ziele ausgerichtet
Teilnehmer	Krisenstab: Mitglieder des Leitungsorgans, IT, Sicherheit, Recht, Datenschutzbeauftragte, Kommunikation, Personalwesen, Geschäftsverantwortliche	Treffen Sie Entscheidungen wie in einem echten Vorfall
Beobachter / Evaluatoren	Ein oder zwei Personen aus dem Planungsteam oder der internen Revision	Dokumentieren Sie Zeitstempel, Entscheidungen und Lücken im Hinblick auf die Ziele
Simulierte Parteien	Planungsteam	Übernehmen Sie die Rolle der Aufsichtsbehörde, des CSIRT, eines Journalisten, eines Schlüsselkunden oder des Managed-Service-Providers.

Wenn ein kritischer Lieferant (Ihr MSP, Cloud-Host oder SOC-Anbieter) Teil des Szenarios ist, erwägen Sie, ihn einzuladen.

Phase 3: Szenario und Szenarioelemente gestalten

Entwickeln Sie das Szenario aus Ihrem eigenen Risikoregister und Ihrer Bedrohungslage, nicht aus einer Schlagzeile. Ein Szenario ist eine Handlung in drei oder vier Phasen, und jede Phase wird durch Injects eingeleitet: kurze Nachrichten, E-Mails, Telefonanrufe oder Screenshots, die Informationen hinzufügen und eine Entscheidung erzwingen. Öffentliche Pakete können Ihnen beim Einstieg helfen. Die US-amerikanische Cybersecurity and Infrastructure Security Agency veröffentlicht mehr als 100 kostenlose Tabletop-Exercise-Pakete mit Szenarien, Diskussionsfragen, Feedback-Formularen und einer Vorlage für einen Abschlussbericht^[5]. ENISA veröffentlichte seine Cybersecurity Exercise Methodology mit einem Support-Toolkit von Vorlagen am 16. Februar 2026^[4]. Passen Sie eines davon an Ihre Organisation und Ihren rechtlichen Kontext an, da US-Pakete NIS2- oder DSGVO-Fristen nicht abdecken.

• Wählen Sie ein primäres Szenario. Gute Ausgangspunkte sind Ransomware mit Datenabfluss, eine Kompromittierung Ihres Managed-Service-Providers, Business-E-Mail-Compromise mit einer betrügerischen Zahlung und ein längerer Cloud- oder SaaS-Ausfall.
• Schreiben Sie 8 bis 14 Injects, jeweils mit einer geplanten Freigabezeit, der Zielrolle, der erwarteten Entscheidung und dem Ziel, das sie testet.
• Beziehen Sie mindestens ein Inject ein, das eine Meldungsentscheidung auslöst (erheblicher Sicherheitsvorfall nach NIS2, schwerwiegender IKT-bezogener Vorfall nach DORA oder Verletzung des Schutzes personenbezogener Daten nach DSGVO).
• Beziehen Sie einen Überraschungsmoment ein, wie eine unerreichbare Schlüsselperson oder ein unvollständiges Backup.

Phase 4: Bereiten Sie die Logistik und das Facilitator-Skript vor

Buchen Sie einen Raum oder einen Videoanruf für zwei bis drei Stunden plus 30 Minuten für die unmittelbare Nachbesprechung. Bereiten Sie ein kurzes Foliendeck oder gedruckte Handouts sowie ein Moderatorenskript vor, das für jede Phase den Inject-Text und drei oder vier Leitfragen auflistet. Senden Sie den Teilnehmern eine Woche vorher eine kurze Vorab-Lektüre: das Datum, die Grundregeln, welche Pläne sie mitbringen sollen, und einen Hinweis darauf, dass die Übung „ohne Schuldzuweisung" stattfindet.

• Grundregeln vereinbaren: Entscheidungen mit den verfügbaren Informationen treffen, von normaler Personalausstattung ausgehen, sofern nicht anders angegeben, und so sprechen, wie Sie es in der Realität täten.
• Nutzen Sie eine beschleunigte Übungsuhr, um die ersten 72 Stunden abdecken zu können.
• Geben Sie den Beobachtern eine strukturierte Protokollvorlage mit Spalten für Zeit, Inject, Entscheidung, Verantwortlicher und Lücke.

Phase 5: Übung durchführen

Beginnen Sie mit fünf Minuten zu Zielen und Grundregeln, dann geben Sie die Injects gemäß dem Skript frei. Die Aufgabe des Moderators ist es, zu fragen „Wer entscheidet?", „Was müssen Sie wissen?" und „Wen informieren Sie, und wann?", nicht Antworten zu geben.

• Stufe 1, Erkennung: eine Warnung oder eine Benutzermeldung. Wer priorisiert, wer wird informiert, wann wird das Krisenteam einberufen?
• Stufe 2, Eskalation: Auswirkung auf einen kritischen Dienst. Handelt es sich um einen erheblichen Sicherheitsvorfall? Wer verfasst die Frühwarnung, und innerhalb welcher Frist?
• Stufe 3, externer Druck: Kundenbeschwerden, eine Presseanfrage, ein Erpressungsschreiben oder eine Lieferantenerklärung. Was sagen Sie, und wer genehmigt es?
• Stufe 4, Wiederherstellung: Wiederherstellungsprioritäten, Recovery-Time-Ziele und Zeitpunkt der Rückkehr zum Normalbetrieb.
• Abschluss mit einer 20- bis 30-minütigen unmittelbaren Nachbesprechung: Was lief gut, was nicht, und was überraschte Sie.

Phase 6: Bewertung anhand der Ziele

Innerhalb einer Woche bewertet das Planungsteam jedes Ziel anhand der Beobachterprotokolle. Eine einfache vierstufige Skala funktioniert gut: erreicht, teilweise erreicht, nicht erreicht, nicht getestet. Dokumentieren Sie für jedes Ziel die beobachteten Stärken und die Lücken mit den Nachweisen, die die Bewertung stützen. Sammeln Sie Rückmeldungsformulare der Teilnehmer in derselben Woche.

• Unterscheiden Sie zwischen Planlücken (das Dokument ist falsch oder fehlt) und Fähigkeitslücken (Personen fehlten Wissen, Werkzeuge oder Befugnis).
• Überprüfen Sie die Meldefristen explizit: Hätten die 24-Stunden-Frühwarnung, die 72-Stunden-Meldung und der einmonatige Abschlussbericht gemäß Artikel 23 NIS2 eingehalten werden können^[1]?

Phase 7: Nachbesprechungsbericht schreiben

Der Nachbesprechungsbericht ist das zentrale Nachweisdokument. Halten Sie ihn kurz: vier bis acht Seiten. Jemand, der nicht dabei war, sollte verstehen, was getestet, gefunden und geändert wurde.

• Einseitige Zusammenfassung für das Leitungsorgan, einschließlich der von ihm getroffenen Entscheidungen.
• Ziele, Geltungsbereich, Szenario und Teilnehmer.
• Feststellungen pro Ziel mit Bewertungen und Nachweisen.
• Verbesserungsplan: jede Maßnahme mit Verantwortlichem, Fälligkeitsdatum und dem Plan oder der Kontrolle, die sie ändert.
• Genehmigung: Der Bericht wird dem Leitungsorgan vorgelegt und zur Kenntnis genommen.

Phase 8: Verbesserungen verfolgen und den Kreislauf schließen

Aufsichtsbehörden und Prüfer suchen nach dem Zusammenhang zwischen Test, Befund und Behebung. Verschieben Sie jede Maßnahme aus dem Bericht in Ihr normales Risiko- oder Maßnahmenregister, überprüfen Sie den Fortschritt monatlich, und testen Sie die kritischsten Lücken in der nächsten Übung erneut. In Secrato wird eine Übung als Bewertung erfasst, und jede Maßnahme wird zu einer Aufgabe, die mit den Kontrollen verknüpft ist, die sie betreffen, sodass die Abschlussnachweise für jedes Rahmenwerk zählen, das auf diese Kontrollen angewiesen ist.

• Aktualisieren Sie die Pläne und versionieren Sie diese, wobei Sie die Übung als Grund für die Änderung dokumentieren.
• Berichten Sie offene Maßnahmen an das Leitungsorgan, bis diese abgeschlossen sind.

Die Begleitvorlage enthält ein Planungsblatt, vier Szenariogrundrisse mit vollständigen Injektionslisten, ein Moderatorenskript, ein Bewertungsformular und eine Struktur für einen Nachbesprechungsbericht, die Sie direkt ausfüllen können.

Wie eine Übung als Nachweis dient

NIS2 Artikel 21 Absatz 2 verlangt Maßnahmen für die Behandlung von Vorfällen, die Geschäftsfortführung und Krisenbewältigung sowie Richtlinien zur Bewertung der Wirksamkeit Ihrer Maßnahmen^[1]. Für die digitale Infrastruktur und Dienstleister, die sie abdeckt, macht die Durchführungsverordnung 2024/2690 dies konkret: Pläne für Geschäftsfortführung und Notfallwiederherstellung müssen in geplanten Abständen und nach erheblichen Sicherheitsvorfällen oder Änderungen getestet und aktualisiert werden (Anhang Punkt 4.1), der Krisenbewältigungsprozess muss getestet und überprüft werden (Punkt 4.3), und gewonnene Erkenntnisse müssen nach Vorfällen einfließen (Punkt 3.6)^[2]. Für Finanzunternehmen verlangt DORA, dass IKT-Pläne für Geschäftsfortführung sowie Reaktions- und Wiederherstellungspläne mindestens jährlich getestet werden, einschließlich Cyberangriff-Szenarien und Krisenkommunikationsplänen (Artikel 11), und listet szenariobasierte Tests unter den Instrumenten des Programms für Tests der digitalen operationalen Resilienz auf (Artikel 24 und 25)^[3]. Eine Tabletop-Übung ersetzt technische Tests nicht, ist aber der direkteste Weg, um Personen, Entscheidungen und Kommunikation zu testen.

Wie dies mit anderen Rahmenwerken verbunden ist

Die Kontrollen aus Anhang A von ISO/IEC 27001:2022 zum Vorfallmanagement und zur IKT-Bereitschaft für die Geschäftsfortführung erwarten geplante und getestete Reaktionen; ein Nachbericht ist direkter Nachweis für beides und für die Managementbewertung. In CyFun und dem NIST CSF 2.0 unterstützen Übungen die Funktionen „Respond" und „Recover". Unter DORA speist derselbe Bericht die jährlichen Testnachweise.

Häufig gestellte Fragen

Wie oft sollten wir eine Tabletop-Übung durchführen?

Weder NIS2 noch die Durchführungsverordnung legen eine Anzahl fest; sie verlangen Tests in geplanten Abständen und nach erheblichen Vorfällen oder Änderungen. DORA verlangt jährliche Tests von Geschäftsfortführungs- und Reaktionsplänen. Einmal pro Jahr für das vollständige Krisenteam plus kleinere technische Sitzungen dazwischen ist für die meisten Organisationen eine vertretbare Grundlage.

Muss das Leitungsorgan wirklich teilnehmen?

Es ist dringend empfehlenswert. NIS2 Artikel 20 macht das Leitungsorgan verantwortlich für die Genehmigung und Überwachung von Cybersicherheitsmaßnahmen. Ihre Teilnahme und die Entscheidungen, die sie in der Übung treffen, sind einige der klarsten Nachweise dieser Überwachung.

Ist eine Tabletop-Übung ausreichend, um die DORA-Testanforderungen zu erfüllen?

Nein. Sie deckt szenariobasierte Tests von Entscheidungen und Kommunikation ab, aber das Testprogramm von DORA erwartet auch technische Tests wie Schwachstellenbewertungen, Wiederherstellungs- und Umschaltungstests und für einige Unternehmen Threat-Led-Penetrationstests.

Welche Tools helfen bei der Vorbereitung einer NIS2-Tabletop-Übung?

Unser kostenloses Cyber-Tabletop-Übungs-Kit enthält ein Szenario, Injections und die Vorlagen zur Dokumentation des Ergebnisses. Um Aufsichtsbehörden zu zeigen, dass Feststellungen nachverfolgt werden, verknüpft eine GRC-Plattform wie Secrato die Übungsnachweise und Verbesserungsmaßnahmen mit den Kontrollen und Risiken, auf die sie sich beziehen.