# Ransomware-Stabsübung für Führungsteams https://de.kinlevi.com/resources/ransomware-tabletop-exercise Dieses eigenständige Szenario untersucht Koordination unter Unsicherheit. Es soll fehlende Befugnisse, unbelegte Annahmen und Wiederherstellungsabhängigkeiten aufdecken. Einigkeit am Tisch belegt eine Diskussion, aber nicht die Funktionsfähigkeit einer technischen Kontrolle oder Wiederherstellung. ## Die Sitzung vorbereiten - Benennen Sie eine Moderation für die Lageänderungen und eine Beobachtungsperson für tatsächlich gezeigtes Verhalten. Beziehen Sie Vorfallskoordination, Sicherheit, Plattformbetrieb, Geschäftsverantwortung und Kommunikation ein. - Legen Sie einen Service und die geübte Fassung des Reaktionsplans fest. Halten Sie Entscheidungsmatrix, Kontakte und Abhängigkeitsübersicht bereit. Verwenden Sie fiktive Namen und Unterlagen. - Planen Sie als Vorschlag etwa 90 Minuten: 10 für den Rahmen, 60 für vier Runden und 20 für die Nachbesprechung. Passen Sie das Tempo den Zielen an; bewerten Sie nicht allein die Geschwindigkeit. ## Übungsgrenzen und Abbruchbedingungen - Dies ist eine Diskussionsübung. Ändern Sie keine echten Zugriffe, führen Sie keine Dateien aus, versenden Sie keine externen Nachrichten und verwenden Sie keine echten Kundendatensätze. - Alle Teilnehmenden dürfen pausieren, wenn eine vorgeschlagene Handlung ein Produktivsystem erreicht oder den vereinbarten Rahmen überschreitet. Klären Sie die Grenze vor der Fortsetzung. - Bei einem echten Betriebszwischenfall beenden Sie die Übung und nutzen den tatsächlichen Reaktionsprozess. Kennzeichnen Sie Übungsnotizen und simulierte Nachrichten eindeutig. ## Fiktive Ausgangslage Ein B2B-Lieferant benötigt in der stärksten Lieferphase einen Bestellbestätigungsservice. Kunden melden Fehler, und das Personal weiß nicht, welche Bestellungen angenommen wurden. Ursache und Umfang sind unbekannt. Alle folgenden Lageänderungen sind fiktive Moderationsunterlagen und keine Beobachtungen über eine reale Organisation. ## Service, Teilnehmende und Übungsrahmen Dokumentieren Sie Service, Planfassung, Moderation, Beobachtung, beteiligte Rollen und vereinbarte Grenzen. [Während der Übung ausfüllen] ## Lageänderungen nacheinander freigeben Öffnen Sie jeweils eine Runde. Die 15-Minuten-Abschnitte helfen der Moderation und sind keine Reaktionsfristen. Halten Sie Entscheidung, Befugnis, verfügbare Belege und nächste Prüfung fest, bevor Sie fortfahren. ### 00 min — Serviceausfall Der Bestellservice ist nicht erreichbar. Drei Kundenmeldungen liegen vor, aber keine verlässliche Zahl betroffener Bestellungen. Die übliche Vorfallsleitung ist nicht erreichbar. - Wer erklärt den Vorfall, übernimmt die Koordination und aktiviert die Vertretung? - Was muss vor einem manuellen Bestellverfahren oder einem Annahmestopp geklärt werden? #### Entscheidung, Befugnis und Begründung Was wurde durch welche befugte Rolle entschieden, mit welchen Alternativen und Kundenfolgen? Benennen Sie die Verantwortung für den nächsten Schritt. [Während der Übung ausfüllen] #### Beleglücken und nächste Prüfung Trennen Sie vorgegebene Fakten, Annahmen der Teilnehmenden und fehlende Belege. Was wird durch wen vor welcher nächsten Entscheidung geprüft? [Während der Übung ausfüllen] ### 15 min — Eine ungeprüfte Erpressungsbehauptung Die Moderation legt eine simulierte Lösegeldnachricht und einen Hinweis auf eine ungewöhnliche privilegierte Sitzung vor. Datendiebstahl und vollständiger Zugriffsumfang sind noch nicht belegt. - Welche Eindämmung ist genehmigt und welche Belege könnte sie beseitigen? - Wer prüft die Behauptung und hält die Kundenkommunikation trotz ungeklärter Gültigkeit sachlich richtig? #### Entscheidung, Befugnis und Begründung Was wurde durch welche befugte Rolle entschieden, mit welchen Alternativen und Kundenfolgen? Benennen Sie die Verantwortung für den nächsten Schritt. [Während der Übung ausfüllen] #### Beleglücken und nächste Prüfung Trennen Sie vorgegebene Fakten, Annahmen der Teilnehmenden und fehlende Belege. Was wird durch wen vor welcher nächsten Entscheidung geprüft? [Während der Übung ausfüllen] ### 30 min — Eine Wiederherstellungsabhängigkeit Das Sicherungsinventar nennt eine aktuelle Kopie, deren Wiederherstellung in dieser Übung nicht gezeigt wurde. Zusätzlich wird ein Identitätsdienst benötigt, dessen Vertrauenswürdigkeit fraglich ist. Der Betrieb fordert einen schnellen Neustart. - Welche Belege sind vor der Wiederherstellung von Identitäten, Daten und Service nötig? - Wer akzeptiert einen eingeschränkten Betrieb und welche Überwachungs- oder Rückfallbedingung würde ihn stoppen? #### Entscheidung, Befugnis und Begründung Was wurde durch welche befugte Rolle entschieden, mit welchen Alternativen und Kundenfolgen? Benennen Sie die Verantwortung für den nächsten Schritt. [Während der Übung ausfüllen] #### Beleglücken und nächste Prüfung Trennen Sie vorgegebene Fakten, Annahmen der Teilnehmenden und fehlende Belege. Was wird durch wen vor welcher nächsten Entscheidung geprüft? [Während der Übung ausfüllen] ### 45 min — Kommunikationsdruck Ein wichtiger Kunde verlangt einen Wiederherstellungszeitpunkt, und ein Journalist verweist auf einen ungeprüften Screenshot. Die nächste Schicht trifft auf ein unvollständiges Entscheidungsprotokoll. - Wer genehmigt eine Mitteilung zu Auswirkungen und Unsicherheit ohne unbelegte Zusagen? - Welche Entscheidungen, Verpflichtungen und Belege müssen an nächste Schicht und Geschäftsverantwortung übergehen? #### Entscheidung, Befugnis und Begründung Was wurde durch welche befugte Rolle entschieden, mit welchen Alternativen und Kundenfolgen? Benennen Sie die Verantwortung für den nächsten Schritt. [Während der Übung ausfüllen] #### Beleglücken und nächste Prüfung Trennen Sie vorgegebene Fakten, Annahmen der Teilnehmenden und fehlende Belege. Was wird durch wen vor welcher nächsten Entscheidung geprüft? [Während der Übung ausfüllen] ## Aus der Nachbesprechung Maßnahmen ableiten ### Beobachtete Stärken und Lücken Kennzeichnen Sie in der Diskussion Gezeigtes, lediglich Behauptetes und Unbehandeltes. Verweisen Sie auf Protokolle oder beobachtete Handlungen; vergeben Sie keinen unbelegten Bereitschaftswert. [Während der Übung ausfüllen] ### Korrekturmaßnahmen und Nachweis Halten Sie je Lücke Verantwortung, nächsten Schritt, Frist und Abschlussnachweis fest. Machen Sie offene Abhängigkeiten sichtbar. [Während der Übung ausfüllen] ### Anlass für eine Wiederholung Welche Änderung oder abgeschlossene Maßnahme löst eine neue Übung aus und was muss diese zeigen? Vereinbaren Sie die Nachverfolgung. [Während der Übung ausfüllen] Diskussionsergebnisse beweisen keine funktionierende Wiederherstellung, Erkennung oder Kommunikation bei einem echten Vorfall. Prüfen Sie technische Behauptungen gesondert in genehmigten Tests. Bewahren Sie das Protokoll auf und prüfen Sie Korrekturmaßnahmen vor deren Abschluss. ## Methode und Quellen Eigenständiges Szenario und Arbeitsblatt mit Primärquellen zur Übungsgestaltung. Kein offizielles CISA- oder NIST-Übungspaket. - [CISA — Tabletop Exercise Package Documents](https://www.cisa.gov/resources-tools/resources/ctep-package-documents) - [NIST SP 800-84 — Test, Training, and Exercise Programs](https://csrc.nist.gov/pubs/sp/800/84/final) - [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final)