¶ Cyber-Krisensimulator – Entscheidungen unter Zeitdruck nachvollziehen
Zweck: Der Simulator macht sichtbar, wie frühe Entscheidungen bei einem Cybervorfall die Eindämmung, Beweissicherung, Kommunikation, Meldeprüfung und Wiederherstellung beeinflussen.
Aussagegrenze: Die Simulation ist eine Schulungs- und Orientierungshilfe. Sie ersetzt weder den organisationsbezogenen Incident-Response-Plan noch eine Rechtsprüfung, technische Forensik, Krisenstabsentscheidung oder externe Meldung. Es werden keine Eingaben gespeichert.
Sofortregel: Bei Gefahr für Menschen, Umwelt oder Anlagen gelten die örtlichen Alarmierungs- und Notfallwege. Einen realen Vorfall immer unverzüglich intern melden und nicht zuerst in diesem Muster simulieren.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-TOOL-05-02 |
| Dokumentenart | Interaktive Lern-, Entscheidungs- und Krisenübung |
| Wiki.js-Pfad | /ISMS/05-Vorfaelle-und-Notfallmanagement/Cyber-Krisensimulator |
| Verantwortlich | Incident-Management-Verantwortliche/r / Notfallbeauftragte/r |
| Fachlich beteiligt | Geschäftsleitung, IT, Informationssicherheit, Datenschutz, BCM, Kommunikation, Recht, Kunden- und Lieferantenmanagement |
| Freigabe durch | Geschäftsführung beziehungsweise zuständige Managementsystemleitung |
| Status | Entwurf – Szenarien, Rollen, Kontakte, Kriterien und Meldewege organisationsbezogen anzupassen |
| Version | 0.1 |
| Stand | 15.08.2026 |
| Prüfung | Mindestens jährlich sowie nach Übungen, Vorfällen, erheblichen Änderungen und neuen rechtlichen Anforderungen |
| Schutzklasse | Öffentliches Muster; reale Vorfalldaten und Entscheidungen vertraulich behandeln |
| Bezug | ISO/IEC 27001, TISAX®/ISA, DSGVO, NIS2/BSIG, BCM und ISO/IEC 42001 – jeweils nur bei bestätigter Anwendbarkeit |
Sechs Ausgangslagen – ein nachvollziehbarer Entscheidungsweg. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Interaktiver Cyber-Krisensimulator
¶ Eine Lage – sechs Entscheidungen
Wählen Sie ein Szenario. Jede Entscheidung verändert den weiteren Verlauf und wird im Leitungsbriefing nachvollziehbar dokumentiert.
- 01Alarmieren
- 02Eindämmen
- 03Belegen
- 04Melden
- 05Wiederanlauf
- 06Lernen
¶ Entscheidung wird geladen
¶ Simulation abgeschlossen
¶ Mögliche Prüfpfade
Die genannten Pfade sind Auslöser für eine fachliche Prüfung, keine automatische Melde- oder Konformitätsentscheidung.
¶ 2. Die sechs Übungsszenarien
| Szenario | Typischer Auslöser | Zentrale Spannungsfelder | Mögliche Prüfpfade |
|---|---|---|---|
| Ransomware und Produktionsstillstand | Verschlüsselung, unklare Ausbreitung und unterbrochene Produktion | Eindämmung gegen Verfügbarkeit; Forensik gegen schnellen Neustart; Krisenkommunikation | ISMS, BCM, NIS2, Datenschutz, Verträge und Versicherung |
| Abfluss personenbezogener Daten | ungewöhnlicher Export, Fehlversand oder öffentlich erreichbare Daten | Sachverhaltsklärung, Risikobewertung, 72-Stunden-Orientierung und Betroffenenkommunikation | DSGVO, ISMS, Verträge und gegebenenfalls NIS2 |
| Ausfall eines Cloud-Dienstes | Providerstörung, Fehlkonfiguration oder gesperrter Mandant | Notbetrieb, Lieferantensteuerung, Datenzugriff, RTO/RPO und Kundeninformation | BCM, ISMS, NIS2 und Verträge |
| Kompromittierter IT-Lieferant | Warnung des Anbieters, missbrauchtes Administratorkonto oder manipuliertes Update | Vertrauenskette, Fernzugriff, Abhängigkeiten, Unterauftragnehmer und Exitfähigkeit | Lieferkette, ISMS, NIS2, Datenschutz und Verträge |
| Verlust von Prototypinformationen | verlorenes Gerät, Fehlfreigabe oder unberechtigter Projektzugriff | Geheimhaltung, Projektumfang, Kundenkommunikation, Zugriffsentzug und Beweissicherung | TISAX®/ISA, Prototypenschutz, ISMS und Verträge |
| Fehlverhalten eines KI-Systems | manipulierte Eingaben, unerlaubte Datenverwendung oder fehlerhafte automatische Entscheidung | menschliche Aufsicht, Abschaltung, Datenherkunft, Auswirkungen und Anbietersteuerung | ISO/IEC 42001, DSGVO, ISMS, Verträge und gegebenenfalls KI-Recht |
Die Szenarien sind bewusst branchenneutral. In einer Kundenumsetzung werden reale kritische Prozesse, Standorte, Lieferantenabhängigkeiten, Schutzbedarfe, Kontakte, Entscheidungsbefugnisse und Wiederanlaufziele verwendet.
¶ 3. Entscheidungslogik der Simulation
Der Simulator bewertet nicht, ob eine Organisation zertifizierungsfähig oder rechtlich konform ist. Er macht ausschließlich sichtbar, ob eine gewählte Reaktion die folgenden Grundsätze unterstützt oder gefährdet:
- Alarmieren: Zuständige Rollen werden frühzeitig einbezogen; Entscheidungsbefugnis und Kommunikationsführung sind klar.
- Eindämmen: Weitere Schäden werden begrenzt, ohne Beweise oder die Sicherheit von Menschen und Anlagen zu gefährden.
- Belegen: Zeitlinie, Systeme, Daten, Konten, Entscheidungen und Beweismittel werden geschützt und nachvollziehbar dokumentiert.
- Melden: Datenschutz-, NIS2-, Kunden-, Versicherungs- und sonstige Vertragspflichten werden getrennt und fristgerecht geprüft.
- Wiederanlauf: Notbetrieb, Wiederherstellung und Freigabe orientieren sich an Abhängigkeiten, RTO, RPO, Sicherheitsprüfungen und Fachabnahme.
- Lernen: Ursache, Wirksamkeit, offene Risiken, Korrekturmaßnahmen, Retest und Managemententscheidung werden bis zum Abschluss verfolgt.
Eine schnelle technische Maßnahme kann fachlich richtig sein und trotzdem neue Risiken erzeugen, wenn Freigaben, Beweise, Abhängigkeiten oder Kommunikationspflichten unbeachtet bleiben. Umgekehrt darf eine vollständige Analyse notwendige Sofortmaßnahmen oder fristgebundene Erstmeldungen nicht unnötig verzögern.
¶ 4. Interpretation des Leitungsbriefings
Das Ergebnis unterscheidet drei Arten von Übungsentscheidungen:
- koordiniert: Die Entscheidung verbindet Eindämmung, Zuständigkeit, Nachweis und Folgeschritte.
- mit Vorbehalt: Die Handlung kann sinnvoll sein, benötigt aber zusätzliche Freigaben, Beweise oder Kontrollen.
- kritisch: Die Entscheidung kann Ausbreitung, Beweisverlust, Fehlkommunikation, Wiederanlaufrisiken oder Fristversäumnisse begünstigen.
Die Auswertung bezieht sich nur auf die in der Simulation ausgewählten Optionen. Ein gutes Ergebnis belegt weder eine tatsächlich wirksame Organisation noch die Beherrschung eines realen Vorfalls. Dafür sind Übungen mit dokumentiertem Szenario, realen Rollen, festgelegten Erfolgskriterien und nachverfolgten Maßnahmen erforderlich.
¶ 5. Vom Simulator zur organisationsbezogenen Übung
| Schritt | Organisationsbezogene Festlegung | Erwarteter Nachweis |
|---|---|---|
| Übungsauftrag | Ziel, Szenario, Scope, Beobachtende, Sicherheitsgrenzen und Abbruchkriterien | freigegebener Übungsplan |
| Lageeinspielung | konkrete Ausgangslage, betroffene Prozesse, Systeme, Daten und Abhängigkeiten | datierte Lagekarten beziehungsweise Injects |
| Entscheidungen | Entscheidungsbefugnisse, Alternativen, Annahmen und Zeitpunkt | Krisenstabs- oder Übungsprotokoll |
| Meldeprüfung | anwendbare Rechts-, Behörden-, Kunden-, Versicherungs- und Vertragspfade | getrennte, freigegebene Bewertungen |
| Wiederanlauf | RTO, RPO, Notbetrieb, Restore, Sicherheitsprüfung und Fachabnahme | Test- und Abnahmeprotokolle |
| Nachbereitung | Zielerreichung, Beobachtungen, Ursachen, Maßnahmen und Retest | After-Action-Report und Maßnahmenregister |
Reale Namen, Telefonnummern, technische Details, personenbezogene Daten, Schwachstellen und Kommunikationsentwürfe gehören in die geschützte Notfall- beziehungsweise Incident-Akte und nicht in das öffentliche Muster-Wiki.
¶ 6. Rechtliche und fachliche Orientierung
Für eine bestätigte Datenschutzverletzung prüft der Verantwortliche Artikel 33 DSGVO. Eine Meldung an die zuständige Aufsichtsbehörde erfolgt grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Kenntnis, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht voraussichtlich ausgeschlossen ist. Bei voraussichtlich hohem Risiko ist zusätzlich Artikel 34 DSGVO zur unverzüglichen Benachrichtigung betroffener Personen zu prüfen.
Bei bestätigter Betroffenheit als besonders wichtige oder wichtige Einrichtung und einem erheblichen Sicherheitsvorfall sieht § 32 BSIG eine frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden, eine Vorfallmeldung unverzüglich, spätestens binnen 72 Stunden, sowie weitere Zwischen-, Fortschritts- oder Abschlussmeldungen vor. Der jeweils eingerichtete Behördenweg und die tatsächliche Anwendbarkeit sind vor einer Meldung zu bestätigen.
TISAX® erzeugt auf dieser Musterseite keine pauschale gesetzliche Meldefrist. Kunden-, Geheimhaltungs-, Projekt-, Prototypenschutz-, Versicherungs- und Lieferantenpflichten werden anhand der tatsächlich geltenden Vereinbarungen geprüft. Mehrere Melde- und Kommunikationspfade können gleichzeitig relevant sein.
¶ 7. Führende Wiki-Seiten
- Meldeweg für Sicherheitsvorfälle
- Vorfall-Entscheidungsassistent
- Incident Response
- Kontakt- und Eskalationslisten
- Notfallvorsorge und BCM
- RPO und RTO verständlich erklärt
- Vorfall- und Notfallübungen
- NIS2-Melderegister und Fristenkontrolle
- DSGVO-Meldeweg für Datenschutzverletzungen
- Einsatz von KI im Unternehmen
¶ 8. Offizielle Quellen
- BSI – Checkliste zur organisatorischen Bewältigung eines IT-Sicherheitsvorfalls
- BSI – Ransomware: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall
- § 32 BSIG – Meldepflichten
- DSGVO – insbesondere Artikel 33 und 34
Externe Quellen und behördliche Meldewege sind vor einer verbindlichen Entscheidung auf Aktualität zu prüfen.
¶ 9. Qualitätssicherung des Bausteins
Vor Veröffentlichung und nach technischen Änderungen werden mindestens geprüft:
- sechs auswählbare Szenarien und sechs Entscheidungsphasen,
- verständliche Ausgangslagen, Handlungsoptionen und Konsequenzen,
- vollständiger Entscheidungsverlauf und priorisierte Nachbereitung,
- Rücksetzen, Neustart und Druckansicht,
- Bedienbarkeit mit Tastatur und verständliche Fokusreihenfolge,
- lesbare Darstellung in aktuellen Desktop- und Mobilbrowsern,
- keine Speicherung oder Übermittlung von Eingaben,
- genau eine Komponenten-ID und keine durch Leerzeilen getrennten HTML-Fragmente.
Der wiederholbare lokale Browsertest wurde am 15.08.2026 mit Google Chrome/Chromium 151.0.7922.138 durchgeführt. Geprüft wurden Initialisierung, sechs Szenarien, Startlogik, Zeitachse, Handlungsoptionen, koordinierter und kritischer Verlauf, Entscheidungsprotokoll, Prüfpfade, Druckfunktion sowie die mobile Darstellung ohne horizontalen Überlauf. Ergebnis: 20 von 20 Prüfungen bestanden. Dies bestätigt die technische Bedienlogik des Musterbausteins, nicht die fachliche Freigabe oder die Beherrschung eines realen Vorfalls.
¶ 10. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Fachlich geprüft | Freigabe |
|---|---|---|---|---|---|
| 0.1 | 15.08.2026 | Erstfassung mit sechs fiktiven Krisenszenarien, sechs Entscheidungsphasen, dynamischen Folgen, Leitungsbriefing, Prüfpfaden, Rücksetzen und Druckansicht | Musterredaktion | Ausstehend | Ausstehend |
Seite 1 von 1 · ISMS-TOOL-05-02 · Version 0.1
¶ Header
Your content here