Die Entscheidung üben, nicht nur den Plan
Krisenübungen für OT-Umgebungen, am Tisch oder an echten Steuerungen in unserer Modellstadt YekCity. Das Szenario bauen wir aus Ihrer Anlage, nicht aus einem Katalog.
Die eine Entscheidung, die kein Plan vorwegnimmt
Notfallpläne beschreiben Abläufe. Geschrieben werden sie in Ruhe. Die Lage, in der es darauf ankommt, sieht anders aus. Um drei Uhr nachts ist unklar, ob die Ransomware die Leitebene schon erreicht hat. Jemand muss entscheiden, ob die Anlage vom Netz geht.
Diese Entscheidung ist in der OT teurer als in der IT. Ein Rechenzentrum lässt sich abschalten und wieder hochfahren. Ein Schmelzofen, ein Umspannwerk oder ein Stellwerk nicht. Der Schaden aus einer voreiligen Abschaltung kann größer sein als der aus dem Angriff. Dazu kommt die Reihenfolge, die in der OT gilt: Safety steht über Verfügbarkeit, Verfügbarkeit über Vertraulichkeit. Eine Abschaltung, die den Prozess in einen unsicheren Zustand bringt, ist keine Option, auch wenn sie den Angriff stoppen würde.
Genau diese Abwägung lässt sich üben, bevor sie ansteht.
Entscheiden, ohne alle Fakten zu kennen
Eine Tabletop-Übung läuft am Tisch, mit den Menschen, die im Ernstfall entscheiden: Betriebsleitung, Instandhaltung, IT, Sicherheit, Kommunikation und Geschäftsführung. Wir geben ein Szenario vor und alle zehn Minuten eine neue Lage.
Die Lagen sind bewusst unvollständig. Ein Techniker meldet, dass eine Bedienstation nicht mehr reagiert. Zehn Minuten später fällt ein zweiter Standort aus. Danach ruft eine Journalistin an. Der Wert der Übung liegt in dem Moment, in dem jemand merkt, welche Information gefehlt hätte, um sie zu finden.
Was dabei regelmäßig auffällt: Die Technik ist selten das Problem. Es fehlt die Befugnis, eine Anlage anzuhalten, oder es ist unklar, ab wann die Meldefrist läuft.
Vom Tisch bis an echte Steuerungen
Eine Übung muss nicht am Papier enden. Wir haben Aufbauten, an denen ein Angriff wirklich läuft, ohne dass Ihr Betrieb etwas davon merkt.
| Tabletop | Übung an YekCity | Übung in der Anlage | |
|---|---|---|---|
| Was geprüft wird | Entscheidungswege, Meldeketten, Zuständigkeiten | Erkennung und Reaktion an echter Technik | Erkennung und Reaktion an Ihrer eigenen Technik |
| Dauer | halber bis ganzer Tag | auf Anfrage | auf Anfrage |
| Teilnehmerkreis | Betriebsleitung, Instandhaltung, IT, Sicherheit, Kommunikation, Geschäftsführung | SOC, Leitwarte, Sicherheitspersonal | wie YekCity, zusätzlich Anlagenverantwortung |
| Technik im Spiel | keine | echte Steuerungen in unserer Modellstadt | Ersatz- oder Laboraufbauten Ihrer Technik |
| Risiko für den Betrieb | keines | keines, der Angriff läuft bei uns | begrenzt, nur im abgestimmten Fenster mit Abbruchkriterien |
| Vorbereitung | Vorgespräch und Szenarioentwurf | zusätzlich Abbildung Ihrer Topologie auf den Aufbau | zusätzlich Freigaben, Zeitfenster, Abbruchkriterien |
| Wann sinnvoll | der übliche Einstieg, weil er am wenigsten kostet und am meisten aufdeckt | wenn der Angriff wirklich laufen soll, die Erkennung auch, ohne dass jemand Produktion verliert | nur dort, wo die beiden anderen Formate nicht ausreichen |
Wer am Tisch sitzen muss
Die Übungen, die etwas bringen, haben nicht nur die IT am Tisch. An den Schnittstellen liegen die Lücken. Hinter jeder dieser Rollen muss eine Person sitzen, eine Abteilung allein reicht nicht.
- Betriebsleitung und Leitwarte. Kennt den Prozess und die Folgen einer Abschaltung. Ohne diese Rolle bleibt die Übung theoretisch.
- Instandhaltung. Weiß, welche Wartungszugänge existieren und wer sie nutzt. Häufig die Quelle der überraschendsten Erkenntnis des Tages.
- IT und Informationssicherheit. Bringt die Sicht auf das Büronetz und die Übergänge zur Leitebene mit.
- Kommunikation. Presse, Kunden, Belegschaft. Die Anrufe kommen früher als die Klarheit.
- Recht und Compliance. Meldefristen, Aufsicht, Dokumentationspflichten.
- Jemand mit Entscheidungsbefugnis. Die Rolle, die am häufigsten fehlt. Ohne sie endet jede Übung an derselben Stelle. Genau das ist dann der Befund.
Wenn in der Übung Wissenslücken auftauchen, die keine Entscheidungslücken sind, ist ein Training der nächste Schritt.
Wie eine Krisenübung vorbereitet wird
Die Vorbereitung entscheidet über den Wert der Übung, nicht der Tag selbst.
Szenario aus Ihrer Anlage
Kein Standardfall. Wir nehmen Ihre Topologie, Ihre Protokolle und einen Angriffsweg, der bei Ihnen tatsächlich möglich wäre. Dafür reicht ein Vorgespräch und ein Blick auf die Übergänge.
Rollen und Beobachter
Wer sitzt am Tisch, wer spielt die Außenwelt, wer schreibt mit. Beobachter greifen nicht ein, sie halten fest, wann welche Entscheidung fiel und auf welcher Grundlage.
Der Übungstag
Lageentwicklung im Takt, Einspieler aus Presse, Aufsicht und Lieferanten. Kein Gewinnen, kein Verlieren und ausdrücklich keine Bewertung von Personen.
Auswertung
Am selben Tag mündlich, danach schriftlich: Welche Entscheidung hing an welcher fehlenden Information und was daraus im Notfallplan geändert gehört.
Was im Protokoll steht
Das Übungsprotokoll ist das Dokument, mit dem Sie danach arbeiten. Es bewertet keine Personen und nennt keine Namen.
| Zeit | Entscheidung | Grundlage | Was gefehlt hat | Maßnahme |
|---|---|---|---|---|
| 09:15 | keine Abschaltung, Beobachtung fortsetzen | Annahme, dass die Leitebene nicht betroffen ist | ein Beleg dafür, es gibt keinen Mitschnitt am Übergang | passive Aufzeichnung am IT/OT-Übergang einrichten |
| 09:20 | Eskalation an die Geschäftsführung | Notfallplan, Abschnitt 4 | die dort genannte Rolle existiert nach der Umstrukturierung nicht mehr | Notfallplan auf die heutige Organisation ziehen |
| 09:40 | Meldung an die Aufsicht vorbereitet | Einschätzung der Kommunikationsabteilung | der Zeitpunkt des Fristbeginns war strittig | Fristbeginn im Meldeprozess definieren |
Die Zeilen stammen aus typischen Übungsverläufen und sind anonymisiert.
Ein dokumentiertes Übungsprotokoll wird in der Praxis als Nachweis regelmäßiger Überprüfung geführt, gegenüber der Aufsicht, für das Übungsprogramm nach ISO 22301 und gegenüber Cyber-Versicherern. Ob es im Einzelfall genügt, entscheidet die prüfende Stelle. Wie die Nachweisführung insgesamt aufgebaut wird, steht auf der Compliance-Seite.
Das Umspannwerk vom Netz nehmen
Ein Szenario, das wir häufig fahren, weil es in der Praxis vorkommt. Im SOC läuft ein Alarm auf, der auf einen Zugriff im Prozessnetz eines Umspannwerks hindeutet. Die Reaktion, die in der Büro-IT richtig wäre, liegt nahe. Das betroffene Segment wird isoliert, die Fernwirkverbindung also getrennt. Technisch kann das im SOC eine einzelne Person tun, denn dieser Weg sieht im Netz aus wie jeder andere.
In der OT dreht diese Maßnahme ihre Wirkung um. Das Umspannwerk läuft weiter, Schutztechnik und Steuerungen arbeiten örtlich. Weg ist die Leitstelle: keine Messwerte, keine Meldungen, keine Fernschaltung. Wer bereits vor Ort im Umspannwerk ist, bleibt es. Die Trennung nimmt also der eigenen Mannschaft die Reaktionsfähigkeit und dem Angreifer nichts.
In der Übung fällt das an einer bestimmten Stelle auf. Jemand fragt, wer diesen Eingriff eigentlich freigeben darf. Eine Antwort darauf steht selten irgendwo. Genau das ist der Befund. Er ist eine Zeile im Protokoll wert.
Was danach üblicherweise geändert wird: Die Fernwirkverbindung bekommt eine eigene Freigaberegel, getrennt von den übrigen Netzwegen. Im Playbook des SOC steht danach, wen es vor einer Trennung erreichen muss. Und die Leitstelle bekommt einen definierten Rückfallweg für die Zeit, in der die Verbindung liegt.
Aus Forschung, Demonstratoren und echten Anlagen
Die Szenarien kommen aus derselben Arbeit wie unser OT-Monitoring: aus Umspannwerken, Leitstellen und Stellwerkslandschaften und aus der Auswertung dokumentierter Angriffe auf Versorgungsnetze und Bahnsysteme.
Die Aufbauten stammen aus unserem Security-Labor. YekCity ist aus der Auswertung realer Angriffe auf Strom- und Versorgungsnetze entstanden und bildet eine Modellstadt mit echten Steuerungen ab. Für Krisenübungen bei Versorgern und Kommunen ist das der Aufbau, an dem sich ein Szenario vollständig durchspielen lässt: vom ersten auffälligen Telegramm bis zur Frage, ob abgeschaltet wird.
Das Szenario selbst bauen wir für Sie. Eine Übung, die mit einer fremden Topologie und fremden Protokollen arbeitet, prüft nichts, was bei Ihnen passieren könnte. Wir nehmen Ihre Anlage als Vorlage und setzen den Angriffsweg darauf, auch dann, wenn die Übung an YekCity läuft.
Häufige Fragen zu OT-Übungen
Eine moderierte Übung am Tisch, ohne Technik. Ein Moderator gibt ein Szenario vor und in festem Takt neue Lagen. Die Teilnehmenden entscheiden in ihren echten Rollen. Geprüft werden Entscheidungswege, Meldeketten und Zuständigkeiten. Im deutschen Sprachgebrauch heißt das Format auch Krisensimulation, im englischen TTX.
Die Tabletop-Übung ja, sie berührt keine Anlage. Übungen mit echtem Angriff laufen an unseren Demonstratoren oder an Ihren Ersatzaufbauten. In der Produktivanlage nur im abgestimmten Fenster und mit Abbruchkriterien, die vorher schriftlich feststehen.
Einmal jährlich als Tabletop, dazu eine technische Übung, wenn sich etwas Wesentliches geändert hat: neue Anlage, neuer Dienstleister, neues Leitsystem. Die Regulatorik verlangt regelmäßige Überprüfung, nennt aber keinen festen Takt.
Die Begriffe überschneiden sich. Eine Tabletop ist in der Regel kürzer, auf ein Szenario fokussiert und diskussionsorientiert. Eine Stabsrahmenübung arbeitet stärker mit echten Kommunikationsmitteln und mit dem Krisenstab in seiner tatsächlichen Besetzung, über einen längeren Zeitraum. Wir moderieren beide Formate und richten uns nach dem, was Sie prüfen wollen.
Dann ist die Übung der bessere Einstieg als das Schreiben. Ein Plan, der aus einer durchgespielten Lage entsteht, ist am Ende kürzer und wird benutzt.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.