Die meisten Mittelständler haben einen „Notfallplan" als PDF, das seit der Erstellung niemand mehr geöffnet hat. Eine Tabletop-Übung ist der günstigste Weg herauszufinden, ob dieser Plan überhaupt etwas taugt — bevor der Tag des Angriffs es Ihnen gratis zeigt.
Ein Tabletop ist keine technische Übung. Niemand zieht Kabel, niemand spielt ein Backup zurück, niemand ruft die Hotline der Cyberversicherung an. Alle sitzen im Besprechungsraum, bekommen ein Szenario auf Papier und sagen laut, was sie in den ersten Minuten eines Angriffs tun würden. Es dauert 90–120 Minuten. Es kostet einen Nachmittag. Und es deckt mehr Lücken auf als ein komplettes Papieraudit.
Warum der Papierplan nicht reicht
In einem unserer Projekte hatte ein 30-köpfiger Großhändler für Industrieteile einen 22-seitigen BCM-Plan rund um Comarch Optima und einen Dateiserver im Büro. Das Dokument war frisch, unterschrieben, im Ordner im Regal. Wir haben den Inhaber, die Buchhalterin, den Betriebsleiter und den IT-Admin zu einer zweistündigen Tabletop eingeladen. Szenario: Freitag 14:00, Ransomware-Meldung auf fünf Arbeitsplätzen, Netzlaufwerke ebenfalls verschlüsselt.
In den ersten 20 Minuten kamen vier Dinge zum Vorschein, die im Plan nicht standen:
- Die Telefonnummer der Cyberversicherung lag in Outlook, das gerade dabei war, sich selbst zu verschlüsseln.
- Der Admin, der als einziger das Passwort zur Backup-Konsole kannte, war diese Woche im Griechenland-Urlaub.
- Niemand wusste, wer die Befugnis hatte, das Büro-Internet abzuschalten — der Router wurde vom ISP fernverwaltet, Login und Passwort steckten „irgendwo in einer E-Mail von 2021".
- Die Comarch-Optima-Datenbank lag auf einer Freigabe, die auch als Laufwerksbuchstabe auf den Vertriebs-PCs gemountet war — die Ransomware verschlüsselte sie also als
.mdf-Datei, nicht als Datenbank.
Der Papierplan sagte: „infizierte Arbeitsplätze trennen, aus Backup wiederherstellen". Er sagte nicht, wer das am Freitag um 14:07 tut, wenn der Inhaber im Ausland ist.
Was eine Tabletop-Übung ist
Eine Tabletop-Übung ist eine Vorfallssimulation im Gesprächsformat. Ein Moderator liest ein Szenario vor — meist Ransomware, ein Datenleck oder der Verlust des Zugriffs auf ein geschäftskritisches SaaS. Die Teilnehmer beantworten Fragen: „14:03 — die Buchhalterin ruft an, Excel öffnet nicht mehr und zeigt eine Lösegeldforderung. Was tun Sie als erste Person, bei der das aufschlägt?". Und so weiter, zwei Stunden lang, Akt für Akt.
Es ist kein Wissenstest. Niemand wird bewertet. Es geht darum, dass die Beteiligten zum ersten Mal gemeinsam die Entscheidungen durchspielen, die sie sehr ungern live treffen würden. Und dass Lücken sichtbar werden, die an einem ruhigen Montagmorgen niemandem einfallen würden.
Wer im Raum sein muss
In einem Mittelständler mit 20–50 Personen sind fünf Rollen das Minimum:
- Inhaber oder Geschäftsführung. Entscheidet über Lösegeld, Produktionsstopp, Gehaltsvorschüsse, wenn HR steht. Ohne sie ist es Theater.
- Die IT-Verantwortliche (intern oder Ihr Outsourcing-Partner). Kennt Infrastruktur, Backups, Admin-Konten.
- Leitende Buchhaltung oder Finanzverantwortliche. Kennt die personenbezogenen Daten, weiß, welche Rechnungen am Freitag raus müssen, weiß, wo die Versicherungspolice liegt.
- Jemand aus dem operativen Geschäft — Leitung Lager, Produktion oder Kundenservice. Weiß, was stehen bleibt, wenn das ERP ausfällt.
- Moderator — idealerweise extern. Darf nicht die Person sein, die später die Response durchführt, weil sie sonst den eigenen Plan verteidigt.
Laden Sie nicht alle ein. Fünfzehn Personen im Raum sind keine Tabletop, sondern eine Sitzung.
Ein Szenario, das wirklich weh tut
Ein gutes Szenario ist nicht Hollywood. Es ist schmerzhaft alltäglich. Was wir am häufigsten für Mittelständler mit Comarch Optima / enova365 / Subiekt verwenden:
Freitag, 14:03. Die Buchhalterin ruft die IT an: „Optima lässt mich nicht rein, da ist so ein rotes Popup auf Englisch". Ein Vertriebler schreibt in Teams: „Leute, auf meinem Desktop ist gerade eine Datei HOW_TO_DECRYPT.txt aufgetaucht". Innerhalb von 10 Minuten identische Meldungen von 6 weiteren Rechnern. Die Lagerkameras funktionieren. Die E-Mail funktioniert. Aber die Drucker drucken keine Rechnungen.
Der Moderator stellt Fragen im Minutentakt:
- 14:04 — wer entscheidet, dass es ein Vorfall ist? Sehr häufige Lücke: die erste Person sieht es, denkt „wahrscheinlich zickt Optima wieder", ruft den Optima-Support an, verliert 40 Minuten.
- 14:15 — wer trennt das Netz? Physisch, Stecker raus. Ernsthaft: wer hat den Schlüssel zum Serverschrank?
- 14:30 — wer ruft die Versicherung an? Nummer? Öffnungszeiten? Verlangt die Police eine Meldung binnen 24 oder 72 Stunden?
- 15:00 — funktioniert das Backup überhaupt? Wann fand der letzte Wiederherstellungstest statt — nicht „liegt die Datei da", sondern volle Rücksicherung auf eine Testmaschine?
- 17:00 — können wir am Montag Gehaltsvorschüsse zahlen, wenn HR/Lohn noch steht? Wer hat Bankzugang, wenn der Token nur auf einem Laptop lag?
- Dienstag — was sagen wir Kunden? Wer verfasst die Nachricht? Sind wir verpflichtet, den Datenschutz zu informieren (in der EU 72 Stunden)?
Es gibt keine „richtigen" Antworten. Es geht darum, dass bei jeder dieser Fragen jemand im Raum jemand anderen ansieht und sagt: „Ich dachte, du weißt das".
Wiederkehrende Lücken
Nach etlichen Tabletops in Mittelständlern sehen wir immer wieder dieselben Muster:
- Der Backup-Schlüssel steckt in einem Kopf. Admin im Urlaub = kein Zugriff.
- Kontaktnummern liegen in E-Mails, die der Angriff gerade verschlüsselt. Man braucht einen Ausdruck oder einen separaten Kanal (Signal, private Handys).
- Kein klarer Entscheidungsweg zum Lösegeld. Der Inhaber „liest sich das im Internet an". Die Versicherung erwartet eine Abstimmung mit ihrer Rechtsabteilung in Stunden, nicht in Tagen.
- Niemand weiß, wie viel die Firma pro Stillstandsstunde verliert. Ohne diese Zahl ist jede Priorisierung Raten.
- Die Person für interne und externe Kommunikation ist dieselbe, die technisch reagieren soll.
Jede Lücke landet auf einer Liste mit Verantwortlichem und Termin. Genau darin liegt der Wert der Übung.
Nacharbeit — ohne sie war die ganze Übung umsonst
Innerhalb einer Woche nach der Tabletop:
- Kürzen Sie den Notfallplan auf eine A4-Seite („Was tue ich in der ersten Stunde, wen rufe ich an, wo ist die Telefonliste?").
- Drucken Sie diese Seite aus. Wirklich. Papier, im Ordner, am Empfang und beim Inhaber zu Hause.
- Legen Sie kritische Rufnummern außerhalb der Firmen-E-Mail ab (gedruckte Liste, Signal, private Handys).
- Planen Sie eine echte Backup-Wiederherstellung innerhalb von 30 Tagen. Nicht nur die Existenz der Datei prüfen — volle Rücksicherung der Optima-Datenbank auf eine Testmaschine, Login und Testbericht.
- Legen Sie eine zweite Person für das Admin-Konto der Backup-Konsole fest (Zwei-Schlüssel-Prinzip).
- Buchen Sie die nächste Tabletop in 6–9 Monaten mit einem anderen Szenario (Datenleck, kompromittiertes Postfach der Geschäftsführung).
Wann jemand von außen dazukommen sollte
Die erste Tabletop im Unternehmen moderiert am besten jemand von außen, der Szenarien vom Markt kennt und keine emotionale Bindung an irgendein Element des Plans hat. Interne IT verteidigt naturgemäß ihre eigenen Entscheidungen von vor zwei Jahren. Eine externe Moderation kann ruhig sagen „diese Prozedur funktioniert freitags um 14:07 nicht" — ohne dass sich jemand angegriffen fühlt.
Weitere Tabletops können Sie später selbst durchführen — Sie haben ein Szenario, Notizen aus der letzten Runde, Übung. Die eigentliche Kunst ist, überhaupt anzufangen, statt darauf zu warten, dass Ransomware selbst fragt, ob Sie bereit sind.
Ein Notfallplan auf Papier testet sich selbst genau in dem Moment, in dem Sie ihn wirklich brauchen. Das ist immer zu spät.