Was wir wirklich lernen, wenn wir Incident-Response-Teams testen

Nicht jedes Team sollte denselben Test bekommen

Wir haben nicht zwei Übungsformate entwickelt, weil sich das im Angebot gut macht. Wir haben sie entwickelt, weil Teams von sehr unterschiedlichen Ausgangspunkten starten und deshalb unterschiedlich komplexe Szenarien brauchen.

Die kleine Übung ist eine fokussierte, halbtägige Session rund um eine einzelne Szenariophase, gedacht für Organisationen, die gerade erst mit strukturierten Incident-Response-Tests beginnen. Das Ziel ist einfach: einem Team seindie erste echte Erfahrung zu geben, einen simulierten Vorfall gemeinsam durchzuarbeiten, frühe Lücken sichtbar zu machen und das Selbstvertrauen für weitere Schritte aufzubauen. Sie eignet sich gut als erster Schritt oder als regelmäßiger Check-in zwischen intensiveren Übungen.

Die erweiterte Übung ist ein anderes Kaliber: ein ganztägiges oder mehrtägiges Format mit dynamischen Injects, die sich im Zeitverlauf entwickeln, und mit Teilnehmenden aus IT und OT bis hin zu Recht, Kommunikation und Geschäftsleitung. Das Szenario entfaltet sich in Phasen und zwingt das Team dazu, sich anzupassen, neu zu priorisieren und unter Druck zu koordinieren. Näher kann eine Organisation einem echten Vorfall nicht kommen, ohne ihn tatsächlich zu erleben.

Die Lehre daraus: Schwierigkeitsgrad und Format an den tatsächlichen Stand eines Teams anzupassen, ist besser als eine Übung von der Stange. Fordert man ein unvorbereitetes Team zu früh zu stark, schaltet es ab. Testet man ein reifes Team zu wenig, geht es mit falschem Selbstvertrauen nach Hause.

Worauf wir tatsächlich achten

Eine Frage, die wir oft hören: Was genau wird während einer CIRT360-Übung bewertet? Die ehrliche Antwort lautet: Wir schauen darauf, wie ein Team tatsächlich reagiert, nicht darauf, was es in der Theorie weiß. Es gibt keine schriftliche Prüfung und keine Checkliste zum Abhaken. Die Bewertung beruht ausschließlich auf dem, was im Raum passiert.

Erfahrene Facilitators verfolgen, wie und von wem Entscheidungen getroffen werden, wie Informationen zwischen Personen und Teams fließen, ob Rollen und Verantwortlichkeiten unter Druck tragen und wie gut technische und nicht-technische Teilnehmende zusammenarbeiten. Daraus entsteht ein Reifegrad-Score über zehn Fähigkeitsbereiche hinweg, jeweils von 0 bis 5 bewertet, der alles abdeckt, von der ersten Wahrnehmung und der Eindämmung bis hin zum Umgang mit Regulierung, Kommunikation und Wiederherstellung. Jeder Wert beruht auf dem, was ein Team in der Übung tatsächlich gezeigt hat, nicht auf seiner Selbsteinschätzung. Und genau darum geht es: So werden Lücken sichtbar, von denen ein Team möglicherweise nichts weiß.

Wir bewerten außerdem die Qualität der zentralen Entscheidungen, die während der Übung getroffen werden, hinsichtlich Zuständigkeit, Begründung, Risikobewusstsein und regulatorischer Auswirkung. Das ergibt ein schärferes Bild davon, wie ein Team unter Druck tatsächlich denkt und wo seine Entscheidungsgewohnheiten Nachholbedarf haben.

Die Lücke zwischen gefühlter und tatsächlicher Vorbereitung

Ergänzend zu den Beobachtungen der Facilitators füllt jede teilnehmende Person nach der Übung eine anonyme Puls-Umfrage aus und bewertet ihr Selbstvertrauen in den Bereichen Rollenklarheit, Eskalationsbewusstsein, regulatorisches Verständnis und strukturierter Entscheidungsfindung, jeweils auf einer Skala von 1 bis 5.

Führt man das oft genug durch, zeigt sich immer wieder dasselbe Muster: Das selbst eingeschätzte Selbstvertrauen ist häufig genau dort hoch, wo die Facilitators reale Lücken festgestellt haben. Diese Diskrepanz ist keine Fußnote. Sie gehört zu den wertvollsten Erkenntnissen, die eine Übung hervorbringt, denn sie sagt einer Führungsebene etwas, das ein Statusbericht nie leisten wird: dass die Menschen, die einem Vorfall am nächsten sind, möglicherweise nicht wissen, was sie nicht wissen.

Ein Fall aus der Praxis

Ein Projekt mit einem europäischen Fertigungsunternehmen bleibt uns als gute Veranschaulichung dafür in Erinnerung, wie sich das in der Praxis darstellt. Die Übung simulierte einen mehrtägigen Cybervorfall, der von einer anfänglichen Netzwerkkompromittierung bis in die Betriebstechnik an mehreren Standorten eskalierte, mit neuen Entwicklungen in regelmäßigen Abständen, die das Team zwangen, neu zu bewerten und sich anzupassen.

Mehrere Stärken fielen auf: Das Team arbeitete gut zusammen, hielt eine Umgebung ohne Schuldzuweisungen aufrecht und zeigte solides technisches Gespür bei Eindämmung und Beweissicherung. Die Lücken waren ebenso aufschlussreich. Die Dokumentationsdisziplin war uneinheitlich, wichtige Stakeholder wurden später als ideal eingebunden, und bestimmte Zuständigkeitsfragen wurden ad hoc statt über einen etablierten Prozess geklärt.

Nichts davon ist auf einen einzelnen Kunden beschränkt. Das sind verbreitete Muster und genau die Art von blinden Flecken, die nur unter realistischem Druck sichtbar werden, niemals in einer Präsentation oder einem Policy-Review.

Das Reifegrad-Assessment bestätigte eine solide Gesamtbasis mit klaren Stärken bei Lagebewusstsein und regulatorischer Einordnung und zeigte die konkreten Bereiche auf, in denen gezielte Verbesserungen die größte Wirkung hätten. Die Selbsteinschätzung ergab insgesamt hohes Selbstvertrauen, mit feinen Einbrüchen genau dort, wo das Szenario am stärksten forderte, was dieselbe Lücke zwischen dem, was ein Team fühlt, und dem, was es zeigt, noch einmal bestätigt. Das Ergebnis war eine priorisierte Verbesserungs-Roadmap, die die Organisation derzeit abarbeitet. Bei der nächsten Übung werden die aktualisierten Werte zeigen, ob es Bestand hatte.

Reifegrad im Zeitverlauf verfolgen

Eine einzelne Übung liefert eine Momentaufnahme. Wiederholt man sie, ergibt sich eine Trendlinie, und genau daher hat CIRT360 seinen Namen. Der Vergleich der Reifegrad-Werte von Jahr zu Jahr über alle zehn Assessment-Bereiche hinweg ist der Weg, auf dem eine Organisation den Unterschied erkennen kann zwischen einem Team, das sich besser vorbereitet fühlt, und einem Team, das es tatsächlich ist.

Worum es hier wirklich geht

Bei all dem geht es nicht um Bestehen oder Durchfallen. Der Sinn, eine Reaktionsfähigkeit zu testen, besteht nicht darin, zu beweisen, dass ein Team bereit ist. Er besteht darin, ehrlich herauszufinden, wo es das nicht ist, solange diese Erkenntnis noch einen Nachmittag oder zwei kostet statt Tage echter Betriebsunterbrechung.

Im nächsten Teil dieser Reihe übergeben wir an zwei Personen, die diese Übungen für BxC konzipieren und durchführen, Natalia Milkowska und Vaishalini Veni Raja, um darüber zu sprechen, was sie im Raum noch immer überrascht.

‍

Teil 3: Im Raum: Ein Gespräch mit unseren Incident-Response-Facilitators