Seminar Cyber Incident Response – Krisenstab und Kommunikation

Während technische Teams einen Angriff untersuchen, müssen Leitung und Fachbereiche über Betriebseinschränkungen, Personal, Ressourcen und Kommunikation entscheiden. Die Schulung entwickelt einen Arbeitsrhythmus, in dem diese Entscheidungen auf einem gemeinsamen Lagebild beruhen. Zuständigkeiten werden so beschrieben, dass technische Einsatzleitung und Krisenstab handlungsfähig bleiben.

Die Übungen behandeln einen Vorfall mit Dienstunterbrechung, möglichem Datenabfluss und widersprüchlichen Informationen. Formuliert werden verständliche interne Informationen, abgestimmte Kommunikationsentwürfe und konkrete Arbeitsaufträge. Anwendbare Melde- und Informationspflichten werden als Aufgaben für die zuständigen Rechts- und Datenschutzrollen in den Ablauf integriert; starre Fristen werden ohne Prüfung des Einzelfalls nicht vorausgesetzt.

Schulungsziele

• Krisenstab, technische Einsatzleitung und Fachverantwortliche mit klaren Schnittstellen organisieren.
• Ein Lagebild mit bestätigten Tatsachen, Unsicherheiten und Entscheidungsbedarf pflegen.
• Kommunikation über freigegebene Kanäle und abgestimmte Verantwortlichkeiten steuern.
• Wiederanlaufprioritäten und Ressourcenentscheidungen nachvollziehbar begründen.

Zielgruppe

Geschäftsführung, IT-Leitung, Informationssicherheitsverantwortliche, Krisenstabsmitglieder, Kommunikation und Business-Continuity-Verantwortliche.

Voraussetzungen

Kenntnisse der eigenen Organisations- und Geschäftsprozesse. Grundverständnis von IT-Diensten und Cybervorfällen; technische Administration ist nicht erforderlich.

Seminarinhalte

Die folgenden Themen bilden den fachlichen Aufbau der Schulung.

• Krisenorganisation und Aktivierung
• Lagebild und Entscheidungsvorbereitung
• Interne und externe Kommunikation
• Datenabfluss, Erpressung und Partnersteuerung
• Betriebsfortführung und Wiederanlaufprioritäten
• Moderiertes Krisenstabsplanspiel

1. Krisenorganisation und Aktivierung

• Aktivierungskriterien, Rollen, Stellvertretungen und Vollmachten für einen Cyberkrisenstab entwickeln.
• Technische Einsatzleitung, Geschäftsführung und betroffene Fachbereiche mit eindeutigen Entscheidungswegen verbinden.
• Ausfall von E-Mail, Identitätsdiensten und Telefonverzeichnissen in der Alarmierung berücksichtigen.

2. Lagebild und Entscheidungsvorbereitung

• Geschäftliche Auswirkungen, technische Befunde und offene Risiken in einer gemeinsamen Lageübersicht darstellen.
• Lagebesprechungen mit festen Eingaben, Entscheidungspunkten und dokumentierten Arbeitsaufträgen organisieren.
• Unsicherheit, Zeitdruck und widersprüchliche Meldungen anhand vorbereiteter Situationen bearbeiten.

3. Interne und externe Kommunikation

• Zielgruppen, Kommunikationskanäle und Freigaben für Mitarbeitende, Kunden und Dienstleister festlegen.
• Faktenbasierte Erstinformationen verfassen, ohne unbestätigte Ursachen oder Wiederherstellungszusagen zu behaupten.
• Die Prüfung einschlägiger Melde- und Informationspflichten an zuständige Fachrollen mit vollständigem Sachstand übergeben.

4. Datenabfluss, Erpressung und Partnersteuerung

• Hinweise auf Datenabfluss, Veröffentlichung oder Erpressung als eigene Entscheidungslage behandeln.
• Forensik, Versicherer, Dienstleister und weitere einbezogene Stellen mit abgestimmten Aufträgen koordinieren.
• Zahlungs- und Verhandlungsfragen ausschließlich in einen autorisierten Entscheidungsprozess mit zuständigen Fachrollen einordnen.

5. Betriebsfortführung und Wiederanlaufprioritäten

• Notbetrieb, manuelle Ersatzverfahren und reduzierte Leistungsangebote nach geschäftlicher Bedeutung bewerten.
• Abhängigkeiten zwischen Diensten sowie knappe personelle und technische Ressourcen in Wiederanlaufentscheidungen einbeziehen.
• Freigaben, Restrisiken und Kommunikation bei Rückkehr in den Regelbetrieb dokumentieren.

6. Moderiertes Krisenstabsplanspiel

• Einen eskalierenden Ransomware-Fall mit wechselnden Befunden und mehreren betroffenen Fachbereichen bearbeiten.
• Lageberichte, Kommunikationsentwürfe und priorisierte Arbeitsaufträge im Team erstellen.
• Die Entscheidungsqualität und Zusammenarbeit anhand vorher definierter Beobachtungskriterien auswerten.

Praktische Fallbearbeitung

1. Einen Krisenstab besetzen und Vertretungen, Kanäle sowie Entscheidungsbefugnisse festhalten.
2. Aus uneinheitlichen Meldungen ein gemeinsames Lagebild erstellen.
3. Eine interne Erstinformation und einen abstimmungsfähigen Kundenhinweis formulieren.
4. Ressourcen für Notbetrieb und Wiederherstellung priorisieren und die Entscheidung dokumentieren.
5. Neue Befunde einarbeiten, eine Lagebesprechung durchführen und konkrete Prozesskorrekturen festlegen.

Schulungsumgebung

Moderiertes Planspiel mit Rollenprofilen, Lagekarten und Vorlagen für Entscheidung, Lagebericht und Kommunikation. Produktive Kommunikationskanäle werden für die Simulation nicht benötigt.

Passende Vertiefungen

Die weitere Auswahl richtet sich nach Aufgabenfeld und vorhandenen Kenntnissen.

• Ransomware-Tabletop für Geschäftsführung und Krisenstab – 1 Tag
• Cyber Incident Response Intensiv – Organisation, Playbooks und Krisenführung – 5 Tage