Fachlich geprüft von Robin Roeder, Geschäftsführer der SCREENUS GmbH · zuletzt geprüft am 26.08.2026.
Ein Notfallplan kann vollständig wirken und trotzdem im Ernstfall scheitern: Telefonnummern sind veraltet, Entscheider nicht erreichbar oder wichtige Informationen liegen nur im ausgefallenen System. Eine kompakte Übung macht solche Annahmen sichtbar.
Was eine Tabletop-Übung leisten kann
Die Übung simuliert Entscheidungen, ohne produktive Systeme absichtlich abzuschalten. Geschäftsleitung, IT, Datenschutz, Kommunikation und betroffene Fachbereiche prüfen gemeinsam, welche Informationen sie benötigen und wer welche Entscheidung treffen darf.
Der BSI-Standard 200-4 richtet sich ausdrücklich auch an kleine und mittlere Institutionen. Tests und Übungen prüfen Annahmen, Dokumentation, technische Maßnahmen und die Fähigkeit der Beteiligten, ihre vorgesehenen Aufgaben tatsächlich wahrzunehmen.
Ein geeignetes Einstiegsszenario
Ein Montagmorgen mit nicht erreichbarer Dateiablage und mehreren auffälligen Anmeldungen ist ausreichend. Nach zehn Minuten kommt die Information hinzu, dass einzelne Dateien verschlüsselt wurden. Später meldet ein Kunde eine verdächtige E-Mail vom Konto eines Mitarbeiters.
Jede Erweiterung zwingt zu Entscheidungen: Wird getrennt oder weiterbetrieben? Wer informiert die Geschäftsleitung? Welche Protokolle werden gesichert? Wie kommuniziert das Team ohne die üblichen Systeme? Welche Melde- oder Vertragspflichten müssen geprüft werden?
Die Auswertung ist wichtiger als die Inszenierung
Beobachter dokumentieren nicht nur Fehler, sondern auch unklare Annahmen und fehlende Informationen. Jede Erkenntnis erhält eine Maßnahme, eine verantwortliche Person und einen Termin. Ohne diese Nacharbeit bleibt die Übung ein interessantes Gespräch ohne Wirkung.
Der nächste Test sollte gezielt prüfen, ob die wichtigsten Lücken geschlossen wurden. Später können technische Wiederherstellungstests, Erreichbarkeitsübungen oder Übungen mit Dienstleistern ergänzt werden.
Konkrete nächste Schritte
- Ziel und Umfang festlegen. Beispielsweise Alarmierung, Entscheidungswege oder Wiederanlauf eines kritischen Prozesses.
- Relevante Rollen einladen. Nicht nur IT, sondern auch Geschäftsleitung und betroffene Fachbereiche gehören an den Tisch.
- Szenario schrittweise aufbauen. Neue Informationen sollten Entscheidungen erzwingen, aber nicht mit technischen Details überladen.
- Mit echten Unterlagen arbeiten. Nutzen Sie vorhandene Kontaktlisten, Pläne und Ersatzkommunikation statt vorbereiteter Musterlösungen.
- Beobachtungen priorisieren. Trennen Sie sofortige Risiken, organisatorische Lücken und spätere Optimierungen.
- Nachtest terminieren. Prüfen Sie die wichtigsten Korrekturen innerhalb eines überschaubaren Zeitraums erneut.
Fazit
Ein guter Notfallplan wird nicht am Umfang gemessen, sondern daran, ob er unter Stress zugänglich, verständlich und entscheidungsfähig macht. Schon eine kurze, ehrliche Übung liefert dafür mehr Erkenntnisse als eine weitere ungetestete Checkliste.
Quellen und Aktualitätsstand
Die fachlichen Aussagen wurden am 19. August 2026 anhand der folgenden Primärquellen geprüft. Der Text ist eigenständig formuliert.
