Seminar Ransomware-Tabletop für Geschäftsführung und Krisenstab

Dieser Workshop richtet sich an die Entscheidungsebene einer Organisation. Ein vorbereiteter Ransomware-Fall macht sichtbar, ob Zuständigkeiten, Ersatzkommunikation und Prioritäten auch unter Zeitdruck tragfähig sind. Im Mittelpunkt steht die praktische Zusammenarbeit; technische Systeme werden nicht angegriffen oder verändert.

Mehrere kurze Lagen führen von einer unklaren Störung über einen bestätigten Sicherheitsvorfall bis zur Entscheidung über einen begrenzten Wiederanlauf. Vorhandene Abläufe werden erprobt und anhand klarer Beobachtungskriterien ausgewertet. Der Workshop ist als Funktionsprobe angelegt und ersetzt weder die Entwicklung eines vollständigen Notfallplans noch die vertiefte Ausbildung eines Krisenstabs.

Schulungsziele

• Vorhandene Entscheidungs- und Alarmierungswege unter Zeitdruck erproben.
• Betriebliche Auswirkungen mit begrenzten Informationen priorisieren.
• Kommunikation und Wiederanlaufentscheidungen mit klaren Freigaben bearbeiten.
• Beobachtete Lücken in umsetzbare Maßnahmen mit Verantwortlichen überführen.

Zielgruppe

Geschäftsführung, Krisenstabsmitglieder, IT-Leitung, Kommunikation und Verantwortliche kritischer Geschäftsprozesse.

Voraussetzungen

Kenntnis der eigenen Geschäftsprozesse und Entscheidungsbefugnisse. Für ein firmenspezifisches Planspiel werden vorhandene Rollen und Notfallabläufe vorab abgestimmt.

Seminarinhalte

Die folgenden Themen bilden den fachlichen Aufbau der Schulung.

• Übungsrahmen und Rollenklärung
• Erste Lage: Störung und Angriffshinweise
• Zweite Lage: Ausfall und Erpressung
• Dritte Lage: Wiederanlaufentscheidung
• Auswertung und Maßnahmenvereinbarung

1. Übungsrahmen und Rollenklärung

• Übungsziele, Rollen, Ausgangslage und Beobachtungskriterien gemeinsam festlegen.
• Vorhandene Alarmierung, Vertretungen und Ersatzkommunikation für die Übung bereitstellen.
• Übungsannahmen und reale Verantwortlichkeiten eindeutig voneinander unterscheiden.

2. Erste Lage: Störung und Angriffshinweise

• Unklare Meldungen aufnehmen und über die Aktivierung der Krisenorganisation entscheiden.
• Geschäftliche Auswirkungen, fehlende Informationen und erste Aufträge priorisieren.
• Ein gemeinsames Lagebild und ein fortlaufendes Entscheidungsprotokoll beginnen.

3. Zweite Lage: Ausfall und Erpressung

• Einen erweiterten Dienstausfall und Hinweise auf möglichen Datenabfluss bewerten.
• Notbetrieb, Ressourcen, Einbindung externer Unterstützung und Kommunikationsfreigaben abstimmen.
• Entscheidungen zu Erpressungsfragen in einen autorisierten Prozess mit den zuständigen Fachrollen übergeben.

4. Dritte Lage: Wiederanlaufentscheidung

• Einen begrenzten Wiederanlaufvorschlag anhand technischer Prüfergebnisse und geschäftlicher Prioritäten bewerten.
• Verbleibende Risiken, Freigabebefugnisse und Kommunikationsbedarf dokumentieren.
• Einen erneuten Störhinweis in die Entscheidung über Freigabe oder Rückstellung einarbeiten.

5. Auswertung und Maßnahmenvereinbarung

• Beobachtete Abläufe anhand der vereinbarten Kriterien mit den Übungszielen vergleichen.
• Lücken in Befugnissen, Informationen und Zusammenarbeit in konkrete Arbeitsaufträge übersetzen.
• Verantwortliche, Prüftermine und geeignete Folgeübungen für die Maßnahmen festlegen.

Praktische Fallbearbeitung

1. Die Übungsrollen besetzen und erreichbare Entscheidungsbefugnisse dokumentieren.
2. Auf eine gestaffelte Erstmeldung reagieren und den Krisenstab aktivieren.
3. Einen Notbetriebs- und Kommunikationsentscheid auf Basis unvollständiger Informationen treffen.
4. Einen vorgeschlagenen Wiederanlauf anhand vorgelegter Prüfungen freigeben oder begründet zurückstellen.
5. Beobachtete Lücken priorisieren und Verantwortliche für die weitere Bearbeitung benennen.

Schulungsumgebung

Moderiertes Planspiel mit Lagekarten, Rollenbeschreibungen und Vorlagen für Lagebild, Entscheidung und Maßnahmenverfolgung. Standardmäßig wird ein fiktiver Beispielbetrieb verwendet; eine organisationsspezifische Ausrichtung erfordert die vorherige Abstimmung der Ausgangslage.

Passende Vertiefungen

Die weitere Auswahl richtet sich nach Aufgabenfeld und vorhandenen Kenntnissen.

• Cyber Incident Response – Notfallpläne und Playbooks – 2 Tage
• Cyber Incident Response – Krisenstab und Kommunikation – 2 Tage
• Cyber Incident Response Intensiv – Organisation, Playbooks und Krisenführung – 5 Tage