KLKin Levi
Ressourcen

Ransomware-Stabsübung für Führungsteams

Eine diskussionsbasierte Krisenübung mit vier Lageänderungen, Entscheidungsprotokoll und Verbesserungsplan. Laden Sie bearbeitbare Moderationsunterlagen herunter.

Kin Levi

Dieses eigenständige Szenario untersucht Koordination unter Unsicherheit. Es soll fehlende Befugnisse, unbelegte Annahmen und Wiederherstellungsabhängigkeiten aufdecken. Einigkeit am Tisch belegt eine Diskussion, aber nicht die Funktionsfähigkeit einer technischen Kontrolle oder Wiederherstellung.

Leere Moderationsunterlagen herunterladen (.md)

Die Sitzung vorbereiten

  1. Benennen Sie eine Moderation für die Lageänderungen und eine Beobachtungsperson für tatsächlich gezeigtes Verhalten. Beziehen Sie Vorfallskoordination, Sicherheit, Plattformbetrieb, Geschäftsverantwortung und Kommunikation ein.

  2. Legen Sie einen Service und die geübte Fassung des Reaktionsplans fest. Halten Sie Entscheidungsmatrix, Kontakte und Abhängigkeitsübersicht bereit. Verwenden Sie fiktive Namen und Unterlagen.

  3. Planen Sie als Vorschlag etwa 90 Minuten: 10 für den Rahmen, 60 für vier Runden und 20 für die Nachbesprechung. Passen Sie das Tempo den Zielen an; bewerten Sie nicht allein die Geschwindigkeit.

Übungsgrenzen und Abbruchbedingungen

Fiktive Ausgangslage

Ein B2B-Lieferant benötigt in der stärksten Lieferphase einen Bestellbestätigungsservice. Kunden melden Fehler, und das Personal weiß nicht, welche Bestellungen angenommen wurden. Ursache und Umfang sind unbekannt. Alle folgenden Lageänderungen sind fiktive Moderationsunterlagen und keine Beobachtungen über eine reale Organisation.

Lageänderungen nacheinander freigeben

Öffnen Sie jeweils eine Runde. Die 15-Minuten-Abschnitte helfen der Moderation und sind keine Reaktionsfristen. Halten Sie Entscheidung, Befugnis, verfügbare Belege und nächste Prüfung fest, bevor Sie fortfahren.

Ihre Eingaben bleiben auf dieser Seite und werden im Browser zur Datei verarbeitet. Laden Sie die Datei vor dem Schließen oder Neuladen herunter; die Website speichert das ausgefüllte Arbeitsblatt nicht.

Dokumentieren Sie Service, Planfassung, Moderation, Beobachtung, beteiligte Rollen und vereinbarte Grenzen.

00 minServiceausfall

Der Bestellservice ist nicht erreichbar. Drei Kundenmeldungen liegen vor, aber keine verlässliche Zahl betroffener Bestellungen. Die übliche Vorfallsleitung ist nicht erreichbar.

  • Wer erklärt den Vorfall, übernimmt die Koordination und aktiviert die Vertretung?
  • Was muss vor einem manuellen Bestellverfahren oder einem Annahmestopp geklärt werden?

Was wurde durch welche befugte Rolle entschieden, mit welchen Alternativen und Kundenfolgen? Benennen Sie die Verantwortung für den nächsten Schritt.

Trennen Sie vorgegebene Fakten, Annahmen der Teilnehmenden und fehlende Belege. Was wird durch wen vor welcher nächsten Entscheidung geprüft?

15 minEine ungeprüfte Erpressungsbehauptung

Die Moderation legt eine simulierte Lösegeldnachricht und einen Hinweis auf eine ungewöhnliche privilegierte Sitzung vor. Datendiebstahl und vollständiger Zugriffsumfang sind noch nicht belegt.

  • Welche Eindämmung ist genehmigt und welche Belege könnte sie beseitigen?
  • Wer prüft die Behauptung und hält die Kundenkommunikation trotz ungeklärter Gültigkeit sachlich richtig?

Was wurde durch welche befugte Rolle entschieden, mit welchen Alternativen und Kundenfolgen? Benennen Sie die Verantwortung für den nächsten Schritt.

Trennen Sie vorgegebene Fakten, Annahmen der Teilnehmenden und fehlende Belege. Was wird durch wen vor welcher nächsten Entscheidung geprüft?

30 minEine Wiederherstellungsabhängigkeit

Das Sicherungsinventar nennt eine aktuelle Kopie, deren Wiederherstellung in dieser Übung nicht gezeigt wurde. Zusätzlich wird ein Identitätsdienst benötigt, dessen Vertrauenswürdigkeit fraglich ist. Der Betrieb fordert einen schnellen Neustart.

  • Welche Belege sind vor der Wiederherstellung von Identitäten, Daten und Service nötig?
  • Wer akzeptiert einen eingeschränkten Betrieb und welche Überwachungs- oder Rückfallbedingung würde ihn stoppen?

Was wurde durch welche befugte Rolle entschieden, mit welchen Alternativen und Kundenfolgen? Benennen Sie die Verantwortung für den nächsten Schritt.

Trennen Sie vorgegebene Fakten, Annahmen der Teilnehmenden und fehlende Belege. Was wird durch wen vor welcher nächsten Entscheidung geprüft?

45 minKommunikationsdruck

Ein wichtiger Kunde verlangt einen Wiederherstellungszeitpunkt, und ein Journalist verweist auf einen ungeprüften Screenshot. Die nächste Schicht trifft auf ein unvollständiges Entscheidungsprotokoll.

  • Wer genehmigt eine Mitteilung zu Auswirkungen und Unsicherheit ohne unbelegte Zusagen?
  • Welche Entscheidungen, Verpflichtungen und Belege müssen an nächste Schicht und Geschäftsverantwortung übergehen?

Was wurde durch welche befugte Rolle entschieden, mit welchen Alternativen und Kundenfolgen? Benennen Sie die Verantwortung für den nächsten Schritt.

Trennen Sie vorgegebene Fakten, Annahmen der Teilnehmenden und fehlende Belege. Was wird durch wen vor welcher nächsten Entscheidung geprüft?

Aus der Nachbesprechung Maßnahmen ableiten

Kennzeichnen Sie in der Diskussion Gezeigtes, lediglich Behauptetes und Unbehandeltes. Verweisen Sie auf Protokolle oder beobachtete Handlungen; vergeben Sie keinen unbelegten Bereitschaftswert.

Halten Sie je Lücke Verantwortung, nächsten Schritt, Frist und Abschlussnachweis fest. Machen Sie offene Abhängigkeiten sichtbar.

Welche Änderung oder abgeschlossene Maßnahme löst eine neue Übung aus und was muss diese zeigen? Vereinbaren Sie die Nachverfolgung.

Diskussionsergebnisse beweisen keine funktionierende Wiederherstellung, Erkennung oder Kommunikation bei einem echten Vorfall. Prüfen Sie technische Behauptungen gesondert in genehmigten Tests. Bewahren Sie das Protokoll auf und prüfen Sie Korrekturmaßnahmen vor deren Abschluss.

Methode und Quellen

Eigenständiges Szenario und Arbeitsblatt mit Primärquellen zur Übungsgestaltung. Kein offizielles CISA- oder NIST-Übungspaket.

Weiterlesen