So testest du dein Unternehmen – Krisenübungen, die wirken.
Julian Faller auf dem Weg mit einem Geschäftsführer zu einer Krisenübung
Krisen treffen selten zur Planung. Oft merkt man erst im Ernstfall, dass Rollen unklar sind, Meldewege fehlen und Entscheidungen verzögern. Wer das einmal erlebt hat, weiß: Ein Notfallplan auf dem Papier ist nicht genug. Nur realitätsnahe Übungen zeigen, ob die Abläufe im Unternehmen wirklich greifen.
In diesem Ratgeber bekommst du eine klare Anleitung: Welches Übungsformat passt zu deinem Reifegrad, wie planst du eine Übung Schritt für Schritt, welche typischen Fehler vermeidest du und wie überführst du Erkenntnisse in konkrete Verbesserungen. Am Ende weißt du genau, wie du aus einer Übung echte Resilienz zur Geschäftsrealität machst.
Wie du die richtige Übungsform findest
Nicht jede Organisation braucht sofort die volle Testumgebung. Wähle das Format nach Ziel und Reifegrad deiner Krisenorganisation.
Übersicht der gängigen Übungsformate
| Format | Was getestet wird | Aufwand und Effektivität |
|---|---|---|
| Tabletop-Übung | Entscheidungswege, Rollenklarheit, Meldeketten | Geringer Aufwand, hoher Erkenntnisgewinn für Einsteiger |
| Krisensimulation | Reaktion auf realistische Lageinformationen | Moderater Aufwand, realitätsnahe Reaktionen |
| Krisenstabsübung | Stab unter Zeitdruck, koordinierte Entscheidungen | Höherer Aufwand, testet Führungs- und Kommunikationsprozesse |
| Vollübung | Technik, Kommunikation, externe Stellen parallel | Sehr hoher Aufwand, prüft gesamte Reaktionsstruktur |
Wenn du noch keine definierten Rollen, keine Meldekette oder keinen dokumentierten Krisenplan hast, starte mit einem Tabletop. Hast du klare Prozesse und willst echte Belastbarkeit testen, brauchst du eine Stabs- oder Vollübung.
Wann du wie oft üben solltest
- Mindestens einmal pro Jahr eine umfassendere Übung; bei hohem Risiko besser halbjährlich.
- Kurzübungen von 30 bis 90 Minuten eignen sich für Routine und Awareness-Training einzelner Abläufe.
- Normen wie ISO 22301 und BSI-Standard 200-4 erwarten ein risikobasiertes, geplantes Übungsprogramm und zusätzliche Übungen bei wesentlichen Änderungen.
So planst und wertest du Übungen aus - von der Vorbereitung bis zur Nachbereitung
Eine gute Übung braucht Vorbereitung, ein getrenntes Regieteam und einen klaren Auswertungsplan. Plane vier bis acht Wochen Vorlauf.
Ziel, Szenario und Rollen
- Formuliere ein klares Übungsziel - z. B. Alarmierungskette, externe Kommunikation oder Wiederanlauf nach Ransomware.
- Wähle ein realistisches Szenario - etwa ERP-Ausfall, DSGVO-Datenpanne oder verschlüsselter Server.
- Besetze den Krisenstab mit festen Rollen: KrisenstabsleitungMeldeverantwortliche für DSGVO- und BSI-FristenExterne KommunikationInterne KommunikationTechnische BewältigungRecht und Dokumentation
- Krisenstabsleitung
- Meldeverantwortliche für DSGVO- und BSI-Fristen
- Externe Kommunikation
- Interne Kommunikation
- Technische Bewältigung
- Recht und Dokumentation
- Stelle ein Regieteam, das Injects spielt und die Lage steuert - getrennt vom Stab.
Ablauf einer realistischen Übung
- Erste 15 Minuten: Alarmierung - wer aktiviert, wie werden Teilnehmende erreicht? Reaktionszeit ist hier eine zentrale Kennzahl.
- Minute 15 bis 45: Erstes Lagebild, Priorisierung, Kommunikationslinie festlegen.
- Minute 45 bis 90: Eskalationen, Managemententscheidungen, erste externe Meldungen.
- Ab Stunde 2: Technische Eindämmung, Wiederanlaufoptionen, behördliche Meldpflichten und parallele Kommunikation.
- Abschluss: Strukturiertes Debriefing mit Beobachtern und Team.
Wichtig ist, die Lageentwicklung gestaffelt einzuspielen, damit unter Zeitdruck echte Entscheidungen getroffen werden.
Typische Fehler und wie du sie vermeidest
- Zu enge Szenarien ohne Zeitdruck - sorge für realistische Injects.
- Fehlende Rollenklarheit - erstelle Rollenkarten und Kontaktlisten.
- Kein Regieteam - ein neutrales Team hält die Übung dynamisch.
- Teilnehmende kennen das Ergebnis - überraschende Elemente halten die Übung echt.
- Keine Auswertung - dokumentiere, priorisiere und belege Maßnahmen mit Verantwortlichen und Terminen.
Messen, auswerten, verbessern
Verwende diese Kennzahlen:
- Reaktionszeit bis zur Krisenstab-Aktivierung
- Time-to-Decision bei kritischen Punkten
- Kommunikationsgeschwindigkeit zu internen und externen Ansprechpartnern
- Umsetzungsgrad geplanter Maßnahmen
Nutze Beobachter-Feedback, Soll-Ist-Checklisten und eine Zeitstrahlanalyse, um Entscheidungen und Kommunikationsschritte nachvollziehbar zu machen. Nach der Übung: Erkenntnisse dokumentieren, priorisieren, Maßnahmen vergeben und Fristen setzen. Aktualisiere Kontaktlisten, Rollenkarten und Prozessbeschreibungen sofort.
Wann externe Hilfe sinnvoll ist
- Interne Tabletops funktionieren oft selbstständig. Für Stabsübungen, komplexe Szenarien oder normkonforme Auswertungen nach ISO 22301 bzw. BSI-Standard 200-4 ist externe Begleitung sinnvoll.
- Externe Berater bringen ein neutrales Regieteam, methodische Erfahrung und prüffähige Auswertungen, die bei Versicherungen oder Aufsichtsbehörden anerkannt werden.
Fazit
Die wichtigste Erkenntnis: Üben lohnt sich nur, wenn du realistisch testest und die Ergebnisse konsequent umsetzt. Eine gut geplante Krisenübung beweist, ob dein Notfallplan trägt - und liefert konkrete Maßnahmen, damit er das tut.
Probier es heute aus: Leg ein klares Ziel fest, wähle das passende Format und plane ein kurzes Tabletop innerhalb der nächsten vier Wochen. Aktualisiere nach der Übung unverzüglich Kontaktlisten und Rollenkarten.
Wie oft sollte ich mindestens eine umfassende Krisenübung durchführen?
Mindestens einmal pro Jahr; bei hohem Risiko oder kritischen Prozessen ist ein halbjährlicher Rhythmus empfehlenswert.
Reicht eine Tabletop-Übung als Nachweis für ISO 22301 oder BSI-Standard 200-4?
Tabletops sind hilfreich, aber für prüffähige Nachweise bei komplexen Anforderungen sind oft Stabs- oder Vollübungen und eine dokumentierte, normkonforme Auswertung erforderlich.
Welche Kennzahlen sind für die Nachbereitung am wichtigsten?
Reaktionszeit bis zur Aktivierung, Time-to-Decision, Kommunikationsgeschwindigkeit und der Umsetzungsgrad geplanter Maßnahmen.
Wann sollte ich externe Unterstützung hinzuziehen?
Wenn die Übung normkonform dokumentiert werden muss, bei komplexen Stabsübungen oder wenn ein neutrales Regieteam und prüffähige Auswertungen erforderlich sind.