Cyber-Notfallübung für KMU: Warum ein ungetesteter Notfallplan keiner ist
80 Prozent aller Ransomware-Angriffe treffen KMU – und die meisten scheitern nicht an fehlender Technik, sondern daran, dass im Ernstfall niemand weiß, wer was tut. NIS2 fordert deshalb nicht nur einen Notfallplan, sondern dessen regelmäßige Überprüfung. Tabletop-Exercises sind der schnellste Weg dorthin.
Was NIS2 konkret verlangt
Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ohne Übergangsfrist. § 30 BSIG verpflichtet betroffene Unternehmen zu „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Das BSI interpretiert das klar: Ein Notfallplan allein reicht nicht – er muss regelmäßig getestet und aktualisiert werden.
Dazu kommen die NIS2-Meldepflichten: 24 Stunden für die Frühwarnung, 72 Stunden für den Erstbericht, ein Monat für den Abschlussbericht. Wer diese Fristen im Ernstfall zum ersten Mal liest, verliert sie.
⚠ Häufiger Fehler
Viele KMU haben einen Notfallplan in der Schublade, den niemand kennt. Im Ernstfall suchen Mitarbeiter nach Telefonnummern, die seit zwei Jahren veraltet sind, während der Angreifer sich lateral durchs Netz bewegt. Ohne Übung ist ein Plan nur Papier.
Was ist eine Tabletop-Exercise?
Eine Tabletop-Exercise (TTE) ist eine strukturierte Besprechung, in der ein realistisches Angriffsszenario Schritt für Schritt durchgespielt wird – ohne echte Systeme zu berühren. Teilnehmer sitzen am Tisch (oder im Videocall) und beantworten Fragen wie: „Es ist Freitagabend 22 Uhr. Ihre Buchhaltung meldet, dass alle Dateien verschlüsselt sind. Was tun Sie?“
Der Vorteil gegenüber technischen Simulationen: TTEs kosten wenig, stören den Betrieb nicht und decken trotzdem die größten Lücken auf – nämlich Kommunikations- und Entscheidungsprobleme.
Drei Übungsformate im Vergleich
| Format | Aufwand | Teilnehmer | Typischer Einsatz |
|---|---|---|---|
| Tabletop-Exercise | 2–3 Stunden | Geschäftsführung, IT, Recht, HR | Erstprüfung des Notfallplans, jährlich |
| Funktionale Übung | Halber Tag | IT-Team + Management | Backup-Restore-Test, Meldeketten-Test |
| Vollsimulation (Red Team) | Mehrere Tage | Gesamtes Unternehmen | Reifere Organisationen, nach Grundlagen |
Für KMU empfehlen wir den Einstieg über Tabletop-Exercises. Sie sind in einem halben Tag vorbereitet und in zwei Stunden durchgeführt – und liefern mehr Erkenntnisse als jedes ungelesene Dokument.
So planen Sie Ihre erste Notfallübung
1. Szenario auswählen
Wählen Sie ein Szenario, das für Ihr Unternehmen realistisch ist. Die BSI-Statistiken zeigen: 33.300 Ransomware-Angriffe auf KMU allein in den ersten vier Monaten 2026, 72 Prozent davon mit Datenabfluss (Double Extortion). Ein Ransomware-Szenario mit Datenleak ist daher fast immer die richtige Wahl für die erste Übung.
2. Teilnehmer festlegen
Eine Notfallübung nur mit der IT-Abteilung ist wie eine Feuerübung nur für die Feuerwehr. Am Tisch sitzen müssen: Geschäftsführung (die unter NIS2 persönlich haftet), IT-Leitung, Datenschutzbeauftragter, Personalleitung und – oft vergessen – Kommunikation oder Vertrieb für die Krisenkommunikation.
3. Ablauf strukturieren
✓ Bewährter Ablauf einer Tabletop-Exercise
- Einführung: Szenario vorstellen, Rollen klären (15 Min.)
- Phase 1 – Entdeckung: „Sie bemerken den Angriff.“ Wer wird informiert? (20 Min.)
- Phase 2 – Eindämmung: Systeme isolieren, Backups prüfen, BSI-Frühwarnung auslösen (25 Min.)
- Phase 3 – Kommunikation: Kunden, Behörden, Presse, Mitarbeiter informieren (20 Min.)
- Phase 4 – Wiederherstellung: Recovery-Reihenfolge, Geschäftskontinuität (20 Min.)
- Nachbesprechung: Was hat funktioniert? Was nicht? Maßnahmen festlegen (20 Min.)
4. Ergebnisse dokumentieren
Jede Übung muss dokumentiert werden – nicht als Bürokratie, sondern als Nachweis für das BSI und als Grundlage für Verbesserungen. Halten Sie fest: Datum und Teilnehmer, Szenario, identifizierte Schwachstellen, beschlossene Maßnahmen mit Verantwortlichen und Fristen. Diese Dokumentation ist Teil Ihrer NIS2-Nachweispflichten.
Die fünf häufigsten Erkenntnisse aus Notfallübungen
Aus unserer Erfahrung mit KMU-Notfallübungen tauchen immer wieder die gleichen Probleme auf:
Typische Schwachstellen
1. Kontaktlisten veraltet. Die Handynummer des IT-Dienstleisters stimmt nicht mehr, der Datenschutzbeauftragte hat gewechselt, die BSI-Meldeadresse ist unbekannt.
2. Backup-Recovery nie getestet. Es gibt Backups, aber niemand hat je geprüft, ob eine vollständige Wiederherstellung funktioniert – und wie lange sie dauert.
3. Entscheidungswege unklar. Wer entscheidet über die Abschaltung des E-Mail-Servers? Wer darf einen externen Forensiker beauftragen? Im Ernstfall kostet jede Diskussion Stunden.
4. Keine Offline-Kommunikation. Wenn die E-Mail verschlüsselt ist, wie erreichen Sie Ihre Mitarbeiter? Viele KMU haben keinen Plan B.
5. Meldepflichten unbekannt. Die 24-Stunden-Frist für die BSI-Frühwarnung überrascht regelmäßig – besonders am Wochenende.
Wie oft müssen Sie üben?
NIS2 nennt keine feste Frequenz, aber das BSI empfiehlt in seinen Handreichungen mindestens eine Übung pro Jahr. In der Praxis hat sich bewährt: eine Tabletop-Exercise jährlich und zusätzlich halbjährlich einen technischen Backup-Restore-Test. Nach jedem echten Sicherheitsvorfall sollte innerhalb von vier Wochen eine Lessons-Learned-Übung stattfinden.
Wichtig: Variieren Sie die Szenarien. Nach Ransomware im ersten Jahr können Sie im nächsten Jahr einen CEO-Fraud mit Deepfake durchspielen oder einen Lieferkettenangriff simulieren.
Checkliste: Ihre erste Cyber-Notfallübung
- Notfallplan vorhanden und aktuell (letzte Aktualisierung < 6 Monate)
- Szenario gewählt (Empfehlung: Ransomware mit Datenabfluss)
- Teilnehmer eingeladen (GF, IT, DSB, HR, Kommunikation)
- Moderator bestimmt (intern oder externer Berater)
- BSI-Meldewege und Kontaktdaten geprüft
- Backup-Recovery-Zeiten bekannt (RTO/RPO dokumentiert)
- Offline-Kommunikationskanal definiert (Mobiltelefon-Liste, Signal-Gruppe)
- Ergebnisprotokoll vorbereitet
- Folgetermin für Maßnahmen-Review eingeplant
Fazit: Üben kostet Stunden – nicht üben kostet Millionen
Eine Cyber-Notfallübung kostet ein KMU einen halben Tag Vorbereitung und zwei Stunden Durchführung. Ein unvorbereiteter Ransomware-Angriff kostet im Schnitt 95.000 Euro – plus Reputationsschäden, Kundenverlust und mögliche NIS2-Bußgelder bis zu 10 Millionen Euro. Die Rechnung ist einfach.
Beginnen Sie mit einer Tabletop-Exercise. Identifizieren Sie die Lücken. Schließen Sie sie. Und üben Sie erneut. Das ist kein einmaliges Projekt, sondern ein fortlaufender Prozess – genau wie IT-Sicherheit selbst.
Notfallübung planen?
TSMONDO unterstützt KMU bei der Planung und Moderation von Cyber-Notfallübungen – von der Szenario-Entwicklung bis zum Ergebnisbericht. Oder prüfen Sie zuerst Ihre IT-Sicherheitslage mit unseren kostenlosen Check-Tools.