NUR ZUR ÜBUNG — RANSOMWARE-TABLETOP-LEITFADEN FÜR DIE MODERATION CyberPlay-Redaktion | 13. September 2026 Originale fiktive Übung. Empfohlene Dauer: 60 Minuten. Ergänzen Sie vor der Durchführung den lokalen Meldeweg, den Incident-Kontakt, den Ausweichkontakt, die zuständige Person für Business Continuity sowie den Freigabeweg für die Kommunikation. Tragen Sie keine echten vertraulichen Daten in die Schulungsunterlagen ein. LOKALE VORBEREITUNG Datum und Moderation: ____________________ Meldeweg für Sicherheitsvorfälle: ____________________ Ausweich-Kontaktweg: ____________________ Zuständige Person für Business Continuity: ____________________ Zuständige Person für Kommunikationsfreigaben: ____________________ Erforderliche Fachkontakte: ____________________ 1. DREI ZIELE VOR DER SITZUNG FESTLEGEN Wählen Sie einen überschaubaren Rahmen: erkennen, wann eskaliert werden muss; koordinieren, wenn der reguläre Kommunikationskanal ausfällt; und einen vorübergehenden Geschäftsworkflow autorisieren. Halten Sie für jedes Ziel fest, was eine erfolgreiche Diskussion belegen würde. Versuchen Sie nicht, die gesamte Wiederherstellungsarchitektur und sämtliche regulatorischen Verpflichtungen in einem einzigen Einführungstermin zu testen. NIST SP 800-61 Rev. 3 ordnet die Reaktion auf Sicherheitsvorfälle in das übergeordnete Cybersecurity-Risikomanagement ein. Nutzen Sie die Tabletop-Übung, um alltägliche Teamentscheidungen mit dieser Reaktionsstruktur zu verknüpfen. Auch die CISA veröffentlicht Cybersecurity-Übungsszenarien, unter anderem zu Ransomware. Diese Ressourcen eignen sich für ein formaleres Übungsprogramm, nachdem das Team diese grundlegenden Koordinationsfragen einstudiert hat. 2. ROLLEN UND ENTSCHEIDUNGSBEFUGNISSE ZUWEISEN Laden Sie Moderation, Protokollführung, den Incident-Kontakt, eine Vertretung für den Geschäftsbetrieb, eine zuständige Person für die Kundenkommunikation sowie eine geeignete Führungskraft ein. Beziehen Sie die Verantwortlichen für Datenschutz, Recht oder branchenspezifische Vorgaben ein, sofern das Szenario dies erfordert. In einer kleinen Organisation kann eine Person mehrere Rollen übernehmen; die Verantwortlichkeiten sollten jedoch eindeutig bleiben. Rolle | Übungsverantwortung Moderation | Fiktive Fakten präsentieren, die Zeit managen und die Diskussion im Rahmen halten. Protokollführung | Entscheidungen, Annahmen, Lücken, Verantwortliche und Nachverfolgungstermine dokumentieren. Incident-Koordination | Eskalation erläutern und den autorisierten Reaktionsprozess koordinieren. Zuständige Person für den Geschäftsbetrieb | Kritische Arbeiten und zulässige Continuity-Optionen identifizieren. Zuständige Person für Kommunikation | Freigabewege für interne und externe Botschaften festlegen. Management und Fachverantwortliche | Befugnisfragen klären und prüfpflichtige Vorgaben identifizieren. 3. DEN RAUM UND DIE ÜBUNGSREGELN VORBEREITEN Bringen Sie die aktuelle Liste der Incident-Kontakte, Meldeanweisungen, den Notfallplan und den Freigabeprozess für die Kommunikation mit. Verwenden Sie gegebenenfalls Offline-Kopien, damit die Diskussion den Ausfall des regulären Systems realistisch abbilden kann. Überprüfen Sie Kontaktdaten im Rahmen einer abgestimmten Vorbereitung; überraschen Sie reale Einsatzkräfte nicht mit unangekündigten Übungsanrufen. Kennzeichnen Sie alle Materialien deutlich als Übung. Sprechen Sie die Regeln laut aus: Teilnehmende beschreiben Maßnahmen, anstatt sie auszuführen; es finden keine Änderungen im Produktivbetrieb, Kontozurücksetzungen oder Kundenbenachrichtigungen statt; ein realer Vorfall beendet die Übung. Unbekanntes sollte dokumentiert und nicht mit bequemen Annahmen überspielt werden. Wenn jemand sagt: „Die IT stellt alles wieder her“, fragen Sie nach, welcher freigegebene Plan und welcher Verantwortliche diese Erwartung stützen. 4. DEN EMPFOHLENEN 60-MINÜTIGEN ABLAUF BEFOLGEN Die fiktive Organisation ist ein kleines Dienstleistungsunternehmen mit einer gemeinsamen Dokumentenablage, einer Support-Warteschlange für Kunden und geplanten Aufgaben, die am selben Nachmittag fällig sind. Ersetzen Sie diese Details bei Bedarf durch vergleichbare fiktive Geschäftsfunktionen. Verwenden Sie keine echten Kundennamen oder reale sensible Datensätze. Die Moderation gibt Informationen schrittweise frei, sodass die Gruppe Entscheidungen unter Unsicherheit treffen muss. Zeit | Phase | Zu klärende Frage 0–10 Minuten | Briefing und Rollen | Was darf jede Person entscheiden und wie werden Lücken festgehalten? 10–20 Minuten | Einspielung 1: Dateien nicht verfügbar | Wie wird der Verdacht gemeldet und eskaliert? 20–30 Minuten | Einspielung 2: Regulärer Chat unzuverlässig | Wie stimmen sich Teams über den genehmigten Ausweichkanal ab? 30–40 Minuten | Einspielung 3: Kunden erwarten Antworten | Wer gibt die Mitteilung und einen temporären Workflow frei? 40–50 Minuten | Einspielung 4: Unsicherheit bei der Wiederherstellung | Welche geschäftlichen Prioritäten und Informationen steuern die Reaktion? 50–60 Minuten | Nachbesprechung | Welche Verbesserungen benötigen Verantwortliche, Fristen und eine Verifizierung? 5. EINSPIELUNG 1: EIN TEAMMITGLIED KANN GEMEINSAME DATEIEN NICHT ÖFFNEN Lesen Sie dieses fiktive Update vor: „Um 09:10 Uhr berichtet ein Teammitglied, dass mehrere freigegebene Dateien ungewöhnliche Namen tragen und sich nicht öffnen lassen. Eine andere mitarbeitende Person meldet eine Zahlungsaufforderung auf ihrem Arbeitsbildschirm. Der normale Meldedienst ist weiterhin erreichbar.“ Bitten Sie die Gruppe zu beschreiben, wie die Erstmeldung abläuft, wer sie erhält und wie die Prozessverantwortlichen erfahren, dass Arbeitsabläufe beeinträchtigt sein könnten. Die Aufgabe der mitarbeitenden Person besteht darin, die freigegebenen Melde- und Sofortmaßnahmenanweisungen zu befolgen und präzise Beobachtungen zu liefern. Die Gruppe sollte keine technischen Isolierungsmaßnahmen improvisieren. Die Ransomware-Leitfäden der CISA beinhalten eine koordinierte Isolierung sowie Nachweise für die Vorfallanalyse; Maßnahmen wie das Trennen von Netzverbindungen oder das Herunterfahren von Systemen haben betriebliche Folgen und fallen in den Bereich des autorisierten Verfahrens und des Incident-Response-Teams. - Welche Fakten sind bekannt und was sind reine Annahmen? - Wer darf einen Sicherheitsvorfall ausrufen oder koordinieren? - Was sollte die meldende Person tun, während sie auf Anweisungen wartet? - Wie wird die Meldung gehandhabt, wenn der primäre Kontakt nicht erreichbar ist? 6. EINSPIELUNG 2: DER GEWOHNTE CHAT-KANAL WIRD UNZUVERLÄSSIG Lesen Sie dieses fiktive Update vor: „Um 09:25 Uhr können einige Mitarbeitende den normalen Chatdienst nicht nutzen. Eine Nachricht in einer bestehenden Gruppe gibt vor, vom Support zu stammen, und fordert alle auf, einen neuen öffentlichen Chatraum für Anweisungen zur Wiederherstellung zu nutzen.“ Fragen Sie, wie die Teilnehmenden diese Anweisung verifizieren und wo der freigegebene Ausweichkanal dokumentiert ist. Gehen Sie nicht davon aus, dass ein bekannter Gruppenchat jede neue Anweisung vertrauenswürdig macht. Die Incident-Koordination sollte die etablierte Alternative erläutern und darlegen, wie das Team autorisierte Anweisungen erkennt. Falls kein Ausweichkanal existiert, halten Sie diese Lücke fest und besprechen Sie, wer ihn definieren muss. Erstellen Sie während der Übung keine reale Notfallgruppe, ohne den regulären Freigabe- und Zugriffsprozess der Organisation zu befolgen. 7. EINSPIELUNG 3: DRUCK DURCH KUNDEN VERLEITET ZU EINEM WORKAROUND Lesen Sie dieses fiktive Update vor: „Um 09:40 Uhr bittet ein Kunde um ein dringendes Status-Update. Ein Teammitglied schlägt vor, den gestrigen Kundendatenexport auf ein persönliches Cloud-Konto zu übertragen, damit die Arbeit fortgesetzt werden kann. Der Export enthält möglicherweise nicht mehr aktuelle Informationen.“ Fragen Sie, wer den Notbetrieb autorisieren kann, welche Informationen sicher genutzt werden dürfen und wie die externe Mitteilung freigegeben wird. Eine vermeintlich hilfreiche Notlösung Das Team möchte den Dienst schnell wiederherstellen, hat aber keine Freigabe für einen persönlichen Cloud-Speicher. 1. Den Export jetzt übertragen und später dokumentieren. 2. Stillschweigend abwarten, bis jedes System wiederhergestellt ist. 3. Den Continuity-Bedarf an die autorisierte Person eskalieren und ausschließlich einen genehmigten Übergangsprozess nutzen. Antwort der Moderation: Eskalieren Sie den geschäftlichen Bedarf und holen Sie eine autorisierte Continuity-Entscheidung ein. Die Notwendigkeit, weiterzuarbeiten, autorisiert nicht automatisch ein neues Datenziel. Nachbesprechung: Fragen Sie, welcher Mindestbetrieb sicher fortgeführt werden kann, welche Kundennachricht jetzt freigegeben werden darf und welche Entscheidung beim Response-Team verbleibt. 8. EINSPIELUNG 4: ZEITPLAN DER WIEDERHERSTELLUNG UND DATENABFLUSS SIND UNGEWISS Lesen Sie dieses fiktive Update vor: „Um 10:00 Uhr hat das Response-Team noch nicht bestätigt, wann der gemeinsame Arbeitsbereich wieder verfügbar sein wird. Ein Erpresser behauptet, Unternehmensdaten seien kopiert worden. Die Behauptung ist bislang unbestätigt. Das Management fragt, welche Dienste zuerst wiederhergestellt werden sollen und was den Kunden mitgeteilt werden kann.“ Bitten Sie die Gruppe, im Entscheidungsprotokoll zwischen verifizierten Fakten, Behauptungen und Unbekanntem zu trennen. Die zuständige Person für den Geschäftsbetrieb kann Abhängigkeiten und Prioritäten erläutern; das technische Team bewertet die Optionen zur Wiederherstellung. Benannte Fachverantwortliche prüfen Meldepflichten sowie weitere rechtliche oder vertragliche Vorgaben. Erfinden Sie keine pauschale Meldefrist und lassen Sie reguläre Mitarbeitende keinesfalls mit Erpressern verhandeln. Die Übung sollte klären, wer diese Entscheidungen trifft und welche Informationen dafür erforderlich sind. 9. NACHBESPRECHUNG MIT ENTSCHEIDUNGSPROTOKOLL UND MASSNAHMEN ZUR VERBESSERUNG Fragen Sie, was gut funktioniert hat, wo sich das Team auf Annahmen verlassen hat und welcher fehlende Prozess eine Entscheidung erschwert hat. Halten Sie jede Lücke in einer Form fest, die gelöst werden kann. „Die Kommunikation war unklar“ ist zu vage. „Den Ausweich-Kontaktweg für Vorfälle durch die Incident-Koordination vor der nächsten Übung veröffentlichen und verifizieren“ stellt eine konkrete Maßnahme dar. Protokollfeld | Inhalt Beobachtung | Die konkrete Stelle, an der eine Entscheidung oder Übergabe schwierig wurde. Konsequenz | Welche Geschäfts- oder Reaktionsaktivität verzögert oder fehlerhaft gehandhabt werden könnte. Maßnahme | Die praktische Änderung, die zur Schließung der Lücke erforderlich ist. Verantwortliche Person und Fälligkeitsdatum | Die für die Umsetzung der Änderung zuständige Person und das vereinbarte Datum. Verifizierung | Wie das Team prüfen wird, ob der neue Prozess funktioniert. 10. VERBESSERUNGEN VERIFIZIEREN UND INDIVIDUELLE PRAXIS ANBINDEN Leiten Sie das Entscheidungsprotokoll über den vereinbarten internen Prozess weiter und terminieren Sie ein Review der Maßnahmen. Fassen Sie die Übungsnotizen nur so detailliert wie dafür nötig. Ändern Sie in einer späteren Sitzung eine Abhängigkeit – etwa einen nicht erreichbaren Kontakt oder einen betroffenen Dienst – und prüfen Sie, ob der überarbeitete Prozess weiterhin funktioniert. Eine Tabletop-Diskussion allein beweist noch nicht, dass Backups fehlerfrei wiederhergestellt werden oder dass ein technischer Wiederanlaufplan praxistauglich getestet wurde. Die Ransomware-Szenarien von CyberPlay können als individuelle Übung vor oder nach der Teamdiskussion dienen. Wählen Sie über das Themenverzeichnis ein passendes Spiel aus und verknüpfen Sie eine Entscheidung mit dem realen Eskalationsprozess. Behalten Sie die Unterscheidung im Blick: Ein Spiel trainiert Entscheidungen, die Tabletop-Übung probt die Koordination und die betriebliche Wiederherstellung erfordert eine eigene, autorisierte Validierung. LEERE MASSNAHMENERFASSUNG Beobachtung: ____________________ Konsequenz: ____________________ Maßnahme: ____________________ Verantwortliche Person: ____________________ Fälligkeitsdatum: ____________________ Verifizierungsmethode: ____________________ QUELLENANGABEN Empfehlungen und Überlegungen zur Vorfallreaktion, NIST SP 800-61 Rev. 3 — https://csrc.nist.gov/pubs/sp/800/61/r3/final Szenarien zur Cybersicherheit — https://www.cisa.gov/resources-tools/resources/cybersecurity-scenarios Leitfaden #StopRansomware — https://www.cisa.gov/stopransomware/ransomware-guide