Im Raum: Ein Gespräch mit unseren Incident-Response-Facilitators

F: Wenn ein simulierter Vorfall beginnt, worauf achtet ihr als Allererstes?

Natalia: Die ersten Minuten verraten fast alles: wer die Führung übernimmt, ob das überhaupt klar ist, und wie schnell sich der die Gruppe darauf einigt. Wenn ein Team nach fünf Minuten noch diskutiert, wer das Sagen hat, ist das bereits der Befund.

Vaishu: Für mich ist entscheidend, ob die Leute auf das Szenario reagieren oder aufeinander. Ein gut vorbereitetes Team beginnt, das Problem zu bearbeiten. Ein Team, das noch nie getestet wurde, ist erst mal mit sich selbst beschäftigt.

F: Vaishu, du hast gesagt, dass eine der größten Herausforderungen beim Entwurf einer Übung darin besteht, den Schwierigkeitsgrad an den Kunden anzupassen, und dass die Übung trotzdem schon beim allerersten Mal anspruchsvoll sein muss. Kannst du das näher erläutern?

Vaishu: Das klingt nach einem Widerspruch, ist aber keiner. Wir stimmen das Szenario auf den tatsächlichen Stand des Kunden ab: seine Branche, seine IT/OT-Reife, ob es die erste oder die fünfte Übung ist. Aber auch eine erste Übung muss wirklich schwer sein. Wenn wir sie nur deshalb abschwächen, weil es das erste Mal ist, geht das Team mit einem guten Gefühl nach Hause und wir haben kein ehrliches Bild davon, wo es wirklich steht. Das untergräbt den ganzen Sinn von Build, eXercise, Control. Die Kunst besteht nicht darin, die erste Übung leicht zu machen, sondern sie so anspruchsvoll zu gestalten, dass sie dem Stand des Teams gerecht wird.

F: Was ist die häufigste Lücke, die ihr branchenübergreifend beobachtet?

Natalia: Ehrlich gesagt: die Dokumentation. Teams, die die technische Reaktion gut bewältigen, verlieren oft den Überblick darüber, wer was wann entschieden hat. Das wiegt schwerer, als viele erwarten, vor allem wenn Aufsichtsbehörden im Nachhinein danach fragen.

Vaishu: Und Stakeholder, die zu spät eingebunden werden. Technische Teams kommen schnell ins Handeln, was gut ist, aber die Rechtsabteilung, die Kommunikationsverantwortlichen oder die Geschäftsleitung erfahren häufig erst davon, wenn die Lage bereits eskaliert ist. Dann kämpft man an zwei Fronten gleichzeitig.

F: Natalia, gibt es einen regulatorischen Hintergrund dafür, dass die Nachfrage nach solchen Übungen gestiegen ist?

Natalia: Auf jeden Fall. NIS2, KRITIS und branchenspezifische Anforderungen verlangen von Organisationen den Nachweis, dass sie im Ernstfall handlungsfähig sind. Eine Richtlinie, die das nur behauptet, reicht nicht mehr. Damit liegt die Messlatte höher, und deshalb wird inzwischen erwartet, dass Notfallpläne getestet und nicht nur dokumentiert werden.

F: Was überrascht Teams am meisten? Was lernen sie über sich selbst, womit sie nicht gerechnet haben?

Natalia: Wie sicher sich die Leute vorher fühlen, verglichen mit dem, was wir tatsächlich beobachten. Wir bitten die Teilnehmenden um eine Selbsteinschätzung, und häufig ist das Selbstvertrauen genau in den Bereichen hoch, in denen wir die größten Schwierigkeiten gesehen haben. Das Gespräch über diese Diskrepanz ist meist der wertvollste Teil des gesamten Debriefings.

Vaishu: Sehe ich genauso. Niemand geht in eine Übung und hält sich für unvorbereitet. Erst die Übung macht die verborgenen Lücken sichtbar, für die Teams und für uns.

F: Was würdet ihr einem Team sagen, das kurz vor seiner ersten Übung steht?

Vaishu: Dass das Ringen mit der Übung der Sinn der Sache ist, nicht die Ausnahme. Wenn es sich schwer anfühlt, funktioniert die Übung.

Natalia: Und dass sie einen schlechten Tag nie wieder so günstig erleben werden wie hier. Besser, man findet die Lücken jetzt als im Ernstfall.

‍