Auf die, die in der Stabsübung sagen: „Das wissen wir nicht“

Dienstag, 9:20 Uhr, Stabsraum. Die Übung läuft seit zwanzig Minuten. Szenario: Die Dateiserver sind verschlüsselt, auf den Bildschirmen steht eine Lösegeldforderung. Die Leiterin des Stabes fragt in die Runde, ob die Sicherungen betroffen sind.

„Nein, die sind sicher“, sagt jemand. Das stimmt seit Jahren, also wird es wohl auch heute stimmen. Am Flipchart steht schon der nächste Punkt: Wiederherstellung aus der Sicherung, Mitteilung an die Geschäftsführung, sechs Stunden.

Dann meldet sich eine Kollegin aus dem IT-Betrieb. „Das wissen wir nicht. Die Sicherung läuft über dasselbe Verzeichnis wie die Dateiserver. Das hat noch niemand geprüft.“

Was der Satz verhindert

Ohne ihn plant der Stab auf einer Annahme. Die Zusage an die Geschäftsführung, die Mitteilung an die Kunden, die Reihenfolge des Wiederanlaufs, alles steht auf einem „wird schon so sein“. In der Übung kostet das nichts. Im echten Fall ist die Sicherung mitverschlüsselt, und die sechs Stunden werden zu drei Wochen, nachdem man sie schon zugesagt hat.

Wo er verlangt wird

Der BSI-Standard 200-4 zum Business Continuity Management beschreibt, wie ein Stab sein Lagebild führt. In Abschnitt 5.6.2 heißt es:

„Es sollten bevorzugt gesicherte Informationen visualisiert werden. Vermutungen und Annahmen müssen als solche kenntlich gemacht werden.“

Und der Beispiel-Verhaltenskodex für die Stabsarbeit in Abschnitt 5.4.1 sagt es noch knapper: „Fakten müssen von Gerüchten getrennt und Informationen immer verifiziert werden.“ Zu den typischen Zielen einer Stabsübung zählt der Standard ausdrücklich die „Überprüfung von Zuständigkeiten, Fähigkeiten und Kenntnissen der BAO“, also der Notfallorganisation. Eine Übung, in der niemand eine Lücke zugibt, hat dieses Ziel verfehlt.

Warum er so schwer ist

Eine Übung fühlt sich an wie eine Prüfung. Die Geschäftsführung sitzt mit am Tisch, jemand protokolliert, und wer „Das wissen wir nicht“ sagt, steht kurz als die Person da, die etwas nicht im Griff hat. Der Standard nennt die Stabsübung deshalb einen „geschützten Raum“. Ein Raum ist nur geschützt, wenn eine offene Lücke dort als Ergebnis zählt und nicht als Fehler der Person, die sie benennt.

Die gute Übung endet mit einer Liste offener Annahmen. Die schlechte endet mit dem Satz „lief gut“.

Auf sie

Auf die, die im Stabsraum zugeben, dass sie etwas nicht wissen, obwohl alle eine Antwort erwarten. Und auf die Leitung, die den Satz an die Tafel schreibt, „offen“ daneben, und jemanden beauftragt, es bis zur nächsten Lagebesprechung zu klären.

Quellen

BSI-Standard 200-4 Business Continuity Management, Abschnitte 5.4.1, 5.6.2 und 13.6.

In der nächsten Folge: Auf die, die „nicht anwendbar“ begründen, statt es anzukreuzen. Die vorige Folge: Auf die, die um 17:55 den Phishing-Verdacht noch melden.