Krisenstabübung: Warum Führungsfähigkeit nicht im Ernstfall entsteht

Eine Krisenstabsübung überprüft die Entscheidungsfähigkeit der Unternehmensführung unter Zeitdruck und bei unvollständiger Informationslage. Während BCM und Notfallmanagement auf Wiederherstellung und Umsetzung ausgerichtet sind, bewertet die Krisenstabsübung die Handlungsfähigkeit der Führung; DORA verschärft dabei die Anforderungen an Governance und digitale operationale Resilienz.

Welche Geschäftsservices müssen zuerst wieder funktionieren? Am 19. Juli 2024 standen zahlreiche Unternehmen weltweit vor dieser Frage. Auslöser war kein Cyberangriff, sondern ein fehlerhaftes Software-Update des Sicherheitsanbieters CrowdStrike, das weltweit Windows-Systeme außer Betrieb setzte. Auch Finanzunternehmen waren betroffen. Während IT-Teams die technische Ursache analysierten und Systeme wiederherstellten, mussten Geschäftsleitungen gleichzeitig Prioritäten festlegen, regulatorische Anforderungen bewerten und Kunden über Einschränkungen informieren. Die britische Finanzaufsicht FCA hob später hervor, dass gut vorbereitete Unternehmen wichtige Geschäftsservices schneller priorisieren und wirksamer kommunizieren konnten.

Der Vorfall zeigt: Die eigentliche Herausforderung lag nicht allein in der technischen Störung. Sie bestand darin, unter Zeitdruck bereichsübergreifend Entscheidungen zu treffen. Genau diese Fähigkeit überprüft eine Krisenstabübung.

Krisenstabübung: anderes Prüfziel als BCM

Krisenstabübungen werden in der Praxis häufig mit BCM-Tests oder Notfallübungen gleichgesetzt. Fachlich verfolgen diese Disziplinen jedoch unterschiedliche Ziele. Business Continuity Management entwickelt Strategien, um kritische Geschäftsprozesse innerhalb definierter Wiederanlaufzeiten fortzuführen oder wiederherzustellen. Das Notfallmanagement setzt vorbereitete Maßnahmen operativ um. Krisenmanagement übernimmt die Führung, wenn die Auswirkungen eines Ereignisses die regulären Organisationsstrukturen übersteigen.

Eine Krisenstabübung bewertet deshalb nicht die Qualität eines Notfallplans. Sie bewertet die Entscheidungsfähigkeit der Unternehmensführung bei unvollständiger Informationslage. Der Krisenstab startet keine Server neu. Er priorisiert Geschäftsservices, bewertet Auswirkungen, trifft Risikoentscheidungen, steuert die Kommunikation und koordiniert bereichsübergreifende Maßnahmen.

Krisenstabübung: Entscheidungsfähigkeit ist der eigentliche Maßstab

Eine wirksame Krisenstabübung ist kein Anwesenheitstest. Sie muss zeigen, ob das Unternehmen auch dann handlungsfähig bleibt, wenn Informationen unvollständig sind und mehrere Entscheidungen gleichzeitig getroffen werden müssen. Wann wird aus einem IT-Vorfall eine Unternehmenskrise? Wer aktiviert den Krisenstab? Welche Informationen benötigt die Geschäftsleitung in den ersten 30 Minuten? Wer priorisiert zwischen Zahlungsverkehr, Kundenservice, Handel, Kommunikation und regulatorischen Meldepflichten?

DORA verschiebt den Maßstab zusätzlich. Die Verordnung fordert von Finanzunternehmen eine wirksame Governance für den Umgang mit IKT-Vorfällen sowie regelmäßige Überprüfungen der digitalen operationalen Resilienz. Krisenstabübungen unterstützen Unternehmen dabei, Führungs- und Entscheidungsprozesse im Rahmen dieser Anforderungen unter realistischen Bedingungen zu überprüfen.

Krisenstabübung: Das Lagebild entscheidet über die Qualität der Übung

Der kritischste Erfolgsfaktor jeder Krisenstabübung ist ein aktuelles und belastbares Lagebild. Viele Krisenstäbe scheitern nicht an fehlender Erfahrung, sondern an unvollständigen Entscheidungsgrundlagen. Sind betroffene Geschäftsservices, unterstützende IKT-Systeme, externe Dienstleister oder gegenseitige Abhängigkeiten nicht bekannt, werden Entscheidungen auf Basis lückenhafter Informationen getroffen.

Genau diese Situation zeigte auch der CrowdStrike-Vorfall. Unternehmen mit transparenten Abhängigkeiten konnten schneller priorisieren als Organisationen, deren Lagebild erst während der Störung aufgebaut werden musste. Damit hängt die Qualität einer Übung unmittelbar von der Qualität der verfügbaren Informationen ab. Fehlen belastbare Daten über Prozesse, IKT-Assets, Auslagerungen, Kommunikationswege und Wiederanlaufabhängigkeiten, trainiert der Krisenstab keine Krisenfähigkeit, sondern Improvisation.

Krisenstabübung: Der Nutzen entsteht nach der Übung

Eine Krisenstabübung endet nicht mit dem Übungsende. Ihr eigentlicher Nutzen beginnt erst danach. Festgestellte Schwachstellen müssen in Business Continuity Management, Informationssicherheitsmanagement, IKT-Risikomanagement und Governance zurückgeführt werden. Nur so verbessert sich die Fähigkeit des Unternehmens, kritische Geschäftsprozesse auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten.

Der BSI-Standard 200-4 versteht Übungen deshalb als festen Bestandteil eines kontinuierlichen Verbesserungsprozesses. Entscheidend ist nicht, dass Notfalldokumente vorhanden sind. Entscheidend ist, ob Führungsentscheidungen auch unter außergewöhnlichen Bedingungen nachvollziehbar, priorisiert und wirksam getroffen werden können.

Wo steht Ihre Krisenstabübung heute?

Prüft Ihre Krisenstabübung bereits die Entscheidungsfähigkeit Ihrer Führung unter realistischen Bedingungen? Oder testet sie überwiegend Anwesenheit, Ablaufdisziplin und bestehende Notfalldokumente?

Die WG-DATA  analysiert den Reifegrad Ihrer Krisenstabsübungen, identifiziert strukturelle Schwachstellen in Lagebild, Entscheidungswegen und Governance und entwickelt daraus eine konkrete Roadmap für eine belastbare Krisenorganisation.

---

FAQs ▼

Welche Aufgaben hat ein Krisenstab in einer Krise?

Seine Aufgabe besteht darin, Geschäftsservices zu priorisieren, Auswirkungen zu bewerten, Risikoentscheidungen zu treffen, die Kommunikation zu steuern und bereichsübergreifende Maßnahmen zu koordinieren.

Was ist das Ziel einer Krisenstabübung?

Das Ziel einer Krisenstabübung ist die Bewertung der Entscheidungsfähigkeit der Unternehmensführung bei unvollständiger Informationslage. Im Mittelpunkt steht die Frage, ob Entscheidungen auch dann getroffen werden können, wenn Informationen fehlen und mehrere Themen gleichzeitig bewertet werden müssen. 

Welche Bedeutung hat DORA für Krisenstabübungen?

DORA fordert von Finanzunternehmen eine wirksame Governance für den Umgang mit IKT-Vorfällen sowie regelmäßige Überprüfungen der digitalen operationalen Resilienz. Krisenstabübungen unterstützen Unternehmen dabei, Führungs- und Entscheidungsprozesse im Rahmen dieser Anforderungen unter realistischen Bedingungen zu überprüfen. Dadurch können Organisationen beurteilen, ob ihre Prozesse für den Umgang mit Krisensituationen wirksam funktionieren.

Welche Informationen sollte ein Lagebild enthalten?

Ein belastbares Lagebild umfasst Informationen über Prozesse, IKT-Assets, Auslagerungen, Kommunikationswege und Wiederanlaufabhängigkeiten. Fehlen diese Informationen, werden Entscheidungen auf einer unvollständigen Grundlage getroffen.

Wie erkennt man den Reifegrad einer Krisenstabübung?

Der Reifegrad einer Krisenstabübung zeigt sich unter anderem in der Qualität des Lagebilds, der Nachvollziehbarkeit von Entscheidungswegen und der Wirksamkeit der Governance. Diese Faktoren bestimmen, ob Entscheidungen unter außergewöhnlichen Bedingungen priorisiert, nachvollziehbar und wirksam getroffen werden können.

Warum sind Wiederanlauf-abhängigkeiten für Krisenstabübungen relevant?

Wiederanlaufabhängigkeiten gehören zu den Informationen, die für belastbare Entscheidungen benötigt werden. Fehlen diese Informationen, kann der Krisenstab die Auswirkungen einer Störung schlechter bewerten und Prioritäten nur eingeschränkt festlegen. Die Qualität der Übung hängt deshalb auch von der Transparenz solcher Abhängigkeiten ab.