Wer das Drehbuch kennt, übt nicht

Die meisten Notfallübungen laufen so: Alle sitzen im Raum, die Übungsleitung verteilt das Szenario als PDF, man liest es gemeinsam, diskutiert, und am Ende steht im Protokoll, dass der Plan funktioniert. Das ist keine schlechte Veranstaltung. Der BSI-Standard 200-4 nennt sie Planbesprechung, in Anführungszeichen „Schreibtischtest", und empfiehlt sie ausdrücklich.

Aber es ist keine Stabsübung. Und für das Reaktiv-BCMS verlangt der Standard in Kapitel 13.1, dass Stabsübung und Alarmierungsübung regelmäßig durchgeführt werden. Müssen, nicht sollten.

Der Unterschied ist das Drehbuch

Eine Stabsübung beginnt mit einer Ausgangslage, nicht mit dem ganzen Szenario. Der Stab stellt die Lage fest, ruft den Notfall aus, und dann kommen die Einlagen: die zweite Meldung, der Anruf der Presse, das Erpresserschreiben, der Ausfall des Ausweichstandorts. Die Übungsleitung hält dafür ein Übungsdrehbuch mit dem gedachten Verlauf, und der Standard sagt in 13.6.2 ausdrücklich, dass sie jederzeit entscheiden kann, „dass eine Einlage früher, später oder überhaupt nicht eingespielt wird, wenn sich dies positiv auf den Übungsverlauf auswirkt".

Dieser Satz ist der Kern. Er funktioniert nur, wenn der Stab das Drehbuch nicht kennt. Wer weiß, dass um T+40 das Erpresserschreiben kommt, wartet darauf. Wer es nicht weiß, muss entscheiden, ob er jetzt schon die Geschäftsführung weckt.

Die Zeit, die gemessen werden soll

Der Standard will an derselben Stelle eine Zahl: die Zeit von der Ausgangslage bis zum Ausrufen des Notfalls. Sie ist „ein essenzieller Bestandteil der BAO-Reaktionszeit", neben Detektions- und Alarmierungszeit, und soll gemessen und mit der Reaktionszeit aus der Business-Impact-Analyse verglichen werden. Eine Übung, bei der die Übungsleitung auf die Wanduhr schaut und die Einlagen im Kopf nachrechnet, liefert diese Zahl bestenfalls ungenau.

Was daraus im Produkt geworden ist

Das Modul Notfallmanagement in isidaten führt Übungen mit einem Drehbuch aus Einlagen, je mit einem Zeitpunkt T+n Minuten. „Übung starten" setzt T+0 und schreibt den Protokolleintrag. Ab dann läuft eine Übungsuhr gegen die Serverzeit: je Einlage „fällig in", „jetzt fällig" oder „überfällig seit", der nächste Inject mit eigenem Countdown und Freigabeknopf. Die Freigabe bleibt bei der Übungsleitung. Die Uhr sagt, wann das Drehbuch es vorsieht; ob die Einlage kommt, entscheidet die Person.

Der Stab bekommt eine eigene Teilnehmerseite, ohne Anmeldung, per Link oder QR-Code. Sie zeigt die Übungsuhr und die freigegebenen Einlagen, mit Anhängen: eine README_RECOVER.txt als Erpresserschreiben steht direkt auf der Seite, ein Screenshot inline, ein PDF zum Herunterladen. Vor der Freigabe antwortet der Anhang-Endpunkt mit 404, nicht mit „noch nicht".

Was die Teilnehmerseite nie zeigt

Drei Dinge fehlen auf der Teilnehmerseite absichtlich, und beim Bauen hat sich gezeigt, dass das dritte am leichtesten vergessen wird.

Erstens die erwartete Reaktion je Einlage. Sie gehört der Übungsleitung und den Beobachtenden, die der Standard in 13.6.2 zur Neutralität verpflichtet. Zweitens Bewertung und Beobachtungen. Drittens das Szenario selbst. Es stand in der ersten Fassung auf der Seite, als Überschrift, damit die Teilnehmer wissen, worum es geht. Genau das verrät die Lage vorab. Der Stab soll sie aus den Einlagen feststellen, das ist die Lagefeststellung, die der Standard als ersten Schritt beschreibt. Das Szenario ist jetzt aus Seite und Feed entfernt.

Trockentest und Weitergabe

Wer eine Übung vorbereitet, spielt sie einmal durch. Danach sind alle Einlagen freigegeben und die Uhr steht bei T+90. „Zurücksetzen" stellt die Uhr auf null und öffnet alle Einlagen wieder; Protokoll und Ergebnisse werden nur per Häkchen gelöscht, und der Reset steht selbst im Protokoll. Ein bewährtes Drehbuch lässt sich als JSON exportieren und anderswo wahlweise nur als Drehbuch oder komplett als Archiv einlesen.

Die Prüffrage

Wann hat Ihr Stab zuletzt eine Lage festgestellt, deren Verlauf er nicht vorher gelesen hatte? Und wie lange hat er bis zum Ausrufen des Notfalls gebraucht?

Wenn die erste Antwort „bei der Planbesprechung" lautet, ist die zweite Zahl nicht gemessen worden.

Quellen

BSI-Standard 200-4 Business Continuity Management, Kapitel 13 Üben und Testen: 13.1 (Pflicht zu Stabs- und Alarmierungsübung im Reaktiv-BCMS), Tabelle 34 (Übungsarten), 13.6.2 (Durchführung einer Stabsübung). Verordnung (EU) 2022/2554 (DORA), Artikel 11 Absatz 6: jährlicher Test der IKT-Geschäftsfortführungspläne. § 30 Absatz 2 Nummer 3 BSIG: Aufrechterhaltung des Betriebs und Krisenmanagement.