Ich würde lieber im Besprechungsraum entdecken, dass niemand einen Dienst abschalten darf, als während eines Angriffs. Eine Cyberübung zeigt, ob Menschen, Befugnisse und Informationen zusammenfinden. Beteiligte müssen zwischen unvollkommenen Möglichkeiten wählen und erklären, wie sie handeln, wenn eine benötigte Antwort ausbleibt.
Vom Leistungsversprechen ausgehen
Ich würde mit einer geschäftlichen Zusage beginnen: verlässliche Lieferungen oder geschützte Informationen. In einem hypothetischen Vertriebsunternehmen wird ein privilegiertes Konto missbraucht. Einige Lager liefern weiter, doch niemand weiß, ob ihre Versandanweisungen verändert wurden. Der Betrieb möchte weiterarbeiten; Sicherheit empfiehlt, gemeinsame Zugänge zu isolieren. Die Frage lautet: Welcher Teil des Leistungsversprechens bleibt unter welchen Bedingungen tragfähig?
Entscheidungen statt Handlung planen
Vor dem Szenario würde ich festlegen, welche Entscheidungen geprüft werden: Zugänge sperren, einen Teilbetrieb genehmigen, Kunden informieren. Für jede braucht es beobachtbares Handeln. „Wir eskalieren“ genügt nicht: Wer erhält welche Anfrage, bis wann, und was geschieht ohne Antwort? Rollen und Stellvertretungen müssen reale Befugnisse besitzen. Vertrauen in eine Person ersetzt keine genehmigte Delegation.
Die Abwägung sichtbar machen
Mein Entscheidungsprotokoll hätte sechs Felder: Wahl, verantwortliche Person, Entscheidungsgrenze, Belege samt Grenzen, Optionen und Anlass zur erneuten Prüfung. Isolation, begrenzte Trennung und Weiterbetrieb mit Kontrollen haben jeweils betriebliche Kosten und verbleibende Risiken. Auch weiteres Untersuchen ist eine Entscheidung. Eine Sperre lässt sich aufheben, verlorene Betriebszeit nicht. Eine falsche Lieferung kann ebenso unumkehrbare Folgen haben wie zu langes Warten.
Annahmen gezielt erschüttern
Ich würde die Wiederherstellung infrage stellen: Die aktuelle Sicherung benötigt einen verdächtigen Zugangsdienst; eine unabhängige ältere Kopie enthält nicht alle Aufträge. Dann sind drei Fragen getrennt zu beantworten: Ist die Quelle vertrauenswürdig, funktioniert der Dienst mit verfügbaren Abhängigkeiten, lassen sich fehlende Vorgänge abgleichen? Früher Teilbetrieb erkauft Zeit mit Abgleichsarbeit. Fällt zusätzlich die zuständige Führungskraft aus, muss eine bestehende Vertretung handeln können, ohne sich unbegrenzte Vollmachten zuzuschreiben.
Verbesserungen nachweisen
Eine Übergabe würde ich bis zur Handlungsfähigkeit verfolgen: Der Empfänger erklärt die Anweisung und vereinbart die nächste Rückmeldung. Zum Abschluss rekonstruiere ich Entscheidungen und offene Anfragen. Jede notwendige Änderung erhält Verantwortliche, Frist und Abschlussnachweis. Eine geprobte Entscheidung ist keine bewiesene Wiederherstellungsfähigkeit. Technische Behauptungen brauchen eigene Prüfungen; gescheiterte Übergaben eine gezielte Wiederholung. Erst so wird aus einer beruhigenden Sitzung belastbare Vorbereitung.