Krisenstabübung: Warum Führungsfähigkeit nicht im Ernstfall entsteht

Welche Geschäftsservices müssen zuerst wieder funktionieren? Am 19. Juli 2024 standen zahlreiche Unternehmen weltweit vor dieser Frage. Auslöser war kein Cyberangriff, sondern ein fehlerhaftes Software-Update des Sicherheitsanbieters CrowdStrike, das weltweit Windows-Systeme außer Betrieb setzte. Auch Finanzunternehmen waren betroffen. Während IT-Teams die technische Ursache analysierten und Systeme wiederherstellten, mussten Geschäftsleitungen gleichzeitig Prioritäten festlegen, regulatorische Anforderungen bewerten und Kunden über Einschränkungen informieren. Die britische Finanzaufsicht FCA hob später hervor, dass gut vorbereitete Unternehmen wichtige Geschäftsservices schneller priorisieren und wirksamer kommunizieren konnten.

Der Vorfall zeigt: Die eigentliche Herausforderung lag nicht allein in der technischen Störung. Sie bestand darin, unter Zeitdruck bereichsübergreifend Entscheidungen zu treffen. Genau diese Fähigkeit überprüft eine Krisenstabübung.

Krisenstabübung: anderes Prüfziel als BCM

Krisenstabübungen werden in der Praxis häufig mit BCM-Tests oder Notfallübungen gleichgesetzt. Fachlich verfolgen diese Disziplinen jedoch unterschiedliche Ziele. Business Continuity Management entwickelt Strategien, um kritische Geschäftsprozesse innerhalb definierter Wiederanlaufzeiten fortzuführen oder wiederherzustellen. Das Notfallmanagement setzt vorbereitete Maßnahmen operativ um. Krisenmanagement übernimmt die Führung, wenn die Auswirkungen eines Ereignisses die regulären Organisationsstrukturen übersteigen.

Eine Krisenstabübung bewertet deshalb nicht die Qualität eines Notfallplans. Sie bewertet die Entscheidungsfähigkeit der Unternehmensführung bei unvollständiger Informationslage. Der Krisenstab startet keine Server neu. Er priorisiert Geschäftsservices, bewertet Auswirkungen, trifft Risikoentscheidungen, steuert die Kommunikation und koordiniert bereichsübergreifende Maßnahmen.

Krisenstabübung: Entscheidungsfähigkeit ist der eigentliche Maßstab

Eine wirksame Krisenstabübung ist kein Anwesenheitstest. Sie muss zeigen, ob das Unternehmen auch dann handlungsfähig bleibt, wenn Informationen unvollständig sind und mehrere Entscheidungen gleichzeitig getroffen werden müssen. Wann wird aus einem IT-Vorfall eine Unternehmenskrise? Wer aktiviert den Krisenstab? Welche Informationen benötigt die Geschäftsleitung in den ersten 30 Minuten? Wer priorisiert zwischen Zahlungsverkehr, Kundenservice, Handel, Kommunikation und regulatorischen Meldepflichten?

DORA verschiebt den Maßstab zusätzlich. Die Verordnung fordert von Finanzunternehmen eine wirksame Governance für den Umgang mit IKT-Vorfällen sowie regelmäßige Überprüfungen der digitalen operationalen Resilienz. Krisenstabübungen unterstützen Unternehmen dabei, Führungs- und Entscheidungsprozesse im Rahmen dieser Anforderungen unter realistischen Bedingungen zu überprüfen.

Krisenstabübung: Das Lagebild entscheidet über die Qualität der Übung

Der kritischste Erfolgsfaktor jeder Krisenstabübung ist ein aktuelles und belastbares Lagebild. Viele Krisenstäbe scheitern nicht an fehlender Erfahrung, sondern an unvollständigen Entscheidungsgrundlagen. Sind betroffene Geschäftsservices, unterstützende IKT-Systeme, externe Dienstleister oder gegenseitige Abhängigkeiten nicht bekannt, werden Entscheidungen auf Basis lückenhafter Informationen getroffen.

Genau diese Situation zeigte auch der CrowdStrike-Vorfall. Unternehmen mit transparenten Abhängigkeiten konnten schneller priorisieren als Organisationen, deren Lagebild erst während der Störung aufgebaut werden musste. Damit hängt die Qualität einer Übung unmittelbar von der Qualität der verfügbaren Informationen ab. Fehlen belastbare Daten über Prozesse, IKT-Assets, Auslagerungen, Kommunikationswege und Wiederanlaufabhängigkeiten, trainiert der Krisenstab keine Krisenfähigkeit, sondern Improvisation.

Krisenstabübung: Der Nutzen entsteht nach der Übung

Eine Krisenstabübung endet nicht mit dem Übungsende. Ihr eigentlicher Nutzen beginnt erst danach. Festgestellte Schwachstellen müssen in Business Continuity Management, Informationssicherheitsmanagement, IKT-Risikomanagement und Governance zurückgeführt werden. Nur so verbessert sich die Fähigkeit des Unternehmens, kritische Geschäftsprozesse auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten.

Der BSI-Standard 200-4 versteht Übungen deshalb als festen Bestandteil eines kontinuierlichen Verbesserungsprozesses. Entscheidend ist nicht, dass Notfalldokumente vorhanden sind. Entscheidend ist, ob Führungsentscheidungen auch unter außergewöhnlichen Bedingungen nachvollziehbar, priorisiert und wirksam getroffen werden können.

Wo steht Ihre Krisenstabübung heute?

Prüft Ihre Krisenstabübung bereits die Entscheidungsfähigkeit Ihrer Führung unter realistischen Bedingungen? Oder testet sie überwiegend Anwesenheit, Ablaufdisziplin und bestehende Notfalldokumente?

Die WG-DATA  analysiert den Reifegrad Ihrer Krisenstabsübungen, identifiziert strukturelle Schwachstellen in Lagebild, Entscheidungswegen und Governance und entwickelt daraus eine konkrete Roadmap für eine belastbare Krisenorganisation.

---