Verdus Cyber
ENDE
Demo buchen
Wissen · Glossar

Glossar der Cyber-Krisenübung

Von Inject bis Meldekette: die Fachbegriffe, die in Krisenübungen, Meldeketten und Debriefs immer wieder fallen, präzise erklärt, alphabetisch sortiert. Jeder Eintrag ist direkt verlinkbar und verweist dorthin, wo das Thema vertieft wird.

B

BCM (Business Continuity Management)

Business Continuity Management (BCM) ist die Disziplin, kritische Geschäftsprozesse auch in der Krise weiterzuführen oder geordnet wiederanzufahren: Auswirkungsanalysen, Wiederanlauf-Prioritäten, Notfallpläne, und Übungen, die all das auf die Probe stellen. Referenz in Deutschland ist der BSI-Standard 200-4. NIS2 macht BCM zur Pflicht: §30 BSIG zählt Betriebskontinuität und Krisenmanagement ausdrücklich zu den geforderten Risikomanagement-Maßnahmen betroffener Einrichtungen.

BSI-Standard 200-4

Der BSI-Standard 200-4 ist die deutsche Behördenreferenz für Business Continuity Management: Er beschreibt, wie Organisationen ein BCM aufbauen und betreiben, von der Notfallvorsorge bis zum Krisenmanagement. Dass geübt werden muss, sagt der IT-Grundschutz selbst: Der Online-Kurs Notfallmanagement widmet dem Thema „Notfälle üben“ ein eigenes Kapitel 8. Übungsnachweise aus einem dokumentierten Debrief lassen sich direkt in die 200-4-Dokumentation übernehmen, genau dort will die Aufsicht gelebtes BCM sehen.

BSIG

Das BSIG ist das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, die deutsche Rechtsgrundlage, in der NIS2 durch das NIS2UmsuCG verankert wurde. Drei Paragraphen prägen die Praxis: §30 verlangt Risikomanagement-Maßnahmen inklusive Business Continuity und Krisenmanagement, §32 regelt die Meldekette an das BSI (24 h/72 h/1 Monat), und §38 verpflichtet die Geschäftsleitung persönlich, Maßnahmen zu billigen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen.

C

CISO (Chief Information Security Officer)

Der oder die CISO (Chief Information Security Officer) verantwortet die Informationssicherheits-Strategie einer Organisation: Risiken, Maßnahmen, Budgets und die Berichtslinie an die Geschäftsleitung. Im Ernstfall ist der CISO das Scharnier zwischen technischer Lage und unternehmerischer Entscheidung. Wichtig seit NIS2: Die Verantwortung der Geschäftsleitung lässt sich nicht an den CISO wegdelegieren: §38 BSIG verpflichtet Geschäftsführung und Vorstand persönlich zu Billigung, Überwachung und Schulung.

D

Debrief

Das Debrief ist die strukturierte Auswertung nach einer Übung: Was ist wann passiert, wer hat was auf welcher Informationslage entschieden, wo lagen Lücken, und welche Maßnahmen folgen daraus. Ein gutes Debrief macht aus einem Gefühl („lief ganz gut“) einen belegbaren Befund. Verdus Cyber erzeugt das Paket automatisch: Timeline mit Entscheidungs-Zeitstempeln, Findings und Maßnahmenliste: verwendbar als Nachweis gegenüber Aufsicht, Auditoren und dem eigenen Gremium.

DORA

DORA, die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz, gilt ausschließlich für Finanzunternehmen und kritische IKT-Drittdienstleister und ist seit dem 17. Januar 2025 anwendbar. Sie verlangt Tests der digitalen operationalen Resilienz einschließlich szenariobasierter Tests (Art. 25/26) und eine eigene Meldekette: Erstmeldung 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis, Zwischenbericht nach 72 Stunden, Abschlussbericht nach einem Monat.

Double Extortion

Double Extortion ist die doppelte Erpressung: Angreifer verschlüsseln nicht nur Systeme, sondern kopieren vorab sensible Daten und drohen mit deren Veröffentlichung. Damit verliert selbst ein perfektes Backup seine Schutzwirkung gegen die zweite Drohung, und der Vorfall wird fast zwangsläufig zu einem Datenschutz- und Kommunikationsfall mit eigenen Meldepflichten. In Übungen erzwingt Double Extortion genau die Abwägungen zwischen Recht, Reputation und Geschäft, um die es im Ernstfall geht.

DSGVO-Meldepflicht (Art. 33/34)

Die DSGVO kennt eine eigene Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten: Nach Art. 33 DSGVO ist die zuständige Aufsichtsbehörde unverzüglich zu benachrichtigen, möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Betroffene. Art. 34 DSGVO verlangt zusätzlich die Benachrichtigung der betroffenen Personen, wenn voraussichtlich ein hohes Risiko besteht. Diese Uhr läuft parallel zur NIS2-Meldekette: ein Grund mehr, beide Stränge gemeinsam zu üben.

E

EDR (Endpoint Detection & Response)

EDR (Endpoint Detection and Response) überwacht Endgeräte (Server, Notebooks, Workstations) auf verdächtiges Verhalten, zeichnet Aktivitäten auf und erlaubt Reaktionen wie das Isolieren eines betroffenen Rechners. Anders als klassischer Virenschutz erkennt EDR Verhaltensmuster, nicht nur bekannte Signaturen. In Krisenübungen taucht EDR typischerweise als Quelle der ersten Alarme auf, und als Werkzeug, dessen Befunde der Krisenstab unter Zeitdruck richtig einordnen und priorisieren muss.

I

Incident Response

Incident Response (IR) bezeichnet den organisierten Umgang mit einem Sicherheitsvorfall: erkennen, bewerten, eindämmen, bereinigen, wiederherstellen, und anschließend aus dem Vorfall lernen. IR ist primär die technisch-operative Ebene der Vorfallsbewältigung; das Krisenmanagement des Krisenstabs setzt darüber an, sobald Geschäftsbetrieb, Kommunikation und Meldepflichten betroffen sind. Wie lang der Weg sein kann, zeigt IBMs Cost of a Data Breach 2025: im Schnitt 241 Tage bis Identifikation und Eindämmung.

Inject

Ein Inject ist ein einzelner Impuls, den die Übungsleitung während einer Krisenübung in das Geschehen gibt: eine SOC-Eskalation, eine Presseanfrage, der Anruf des wichtigsten Kunden, eine anlaufende Meldefrist. Injects treiben das Szenario voran, erzeugen Zeitdruck und zwingen den Krisenstab zu Entscheidungen statt zu Diskussionen. Verdus Cyber liefert 65+ vorgefertigte Injects in über 20 Kategorien, die live im Browser eskalieren und auf die Entscheidungen des Teams reagieren.

K

Kill Chain

Die Cyber Kill Chain ist ein Phasenmodell für Angriffe: von der Aufklärung über Erstzugang und Ausbreitung im Netz bis zur eigentlichen Wirkung, etwa Verschlüsselung oder Datenabfluss. Für Übungen ist sie ein nützliches Drehbuchgerüst: Injects lassen sich entlang der Phasen staffeln, sodass der Krisenstab erlebt, wie sich ein Angriff über Stunden entwickelt, statt ihn als Einzelereignis zu behandeln. Die Techniken je Phase beschreibt MITRE ATT&CK deutlich detaillierter.

Krisenstab

Der Krisenstab ist das temporäre Führungsgremium, das eine Organisation durch einen schweren Vorfall steuert: typischerweise Geschäftsleitung, IT und Sicherheit, Recht, Kommunikation und die betroffenen Fachbereiche, mit definierten Rollen, Vertretungen und Alarmierungswegen. Er bündelt Entscheidungen, die im Normalbetrieb auf viele Schultern verteilt sind. Ob der Krisenstab trägt, zeigt sich nicht im Organigramm, sondern unter Druck: deshalb ist er der Kernteilnehmer jeder Tabletop-Übung.

KRITIS

KRITIS steht für Kritische Infrastrukturen: Einrichtungen, deren Ausfall erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit nach sich ziehen würde, etwa in Energie, Wasser, Gesundheit oder digitaler Infrastruktur. KRITIS-Betreiber unterliegen der Regulierung nach dem BSIG; für Energieversorger kommen §11 EnWG und der IT-Sicherheitskatalog der Bundesnetzagentur hinzu. Mit NIS2 reicht die Cyber-Regulierung inzwischen weit über den klassischen KRITIS-Kreis hinaus in die Breite der Wirtschaft.

M

Meldekette (24 h / 72 h / 1 Monat)

Die NIS2-Meldekette nach §32 BSIG verpflichtet betroffene Einrichtungen bei erheblichen Sicherheitsvorfällen zu drei Meldungen an das BSI: Frühwarnung binnen 24 Stunden nach Kenntnis, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Die Frist läuft ab Kenntnis, nicht ab Bewältigung des Vorfalls. Wer am Tag X erst klärt, wer meldet und wer die Portal-Zugänge hat, verliert genau die Stunden, auf die es ankommt. Verdus-Übungen enthalten dafür dedizierte Meldeketten-Injects mit Zeitstempel.

MITRE ATT&CK

MITRE ATT&CK ist eine frei verfügbare, laufend gepflegte Wissensbasis realer Angreifertaktiken und -techniken, vom Erstzugang bis zur Exfiltration. Die Matrix gliedert Angriffe in Taktiken (das Warum eines Schritts) und Techniken (das Wie). Verteidiger nutzen sie, um Erkennung, Reaktion und Übungsszenarien an beobachtetem Angreiferverhalten auszurichten statt an Vermutungen. In Verdus-Übungen ist ATT&CK eines der Frameworks, denen das Debrief-Scoring zugeordnet wird: neben NIST CSF, ISO 27001, DORA und NIS2.

Moderator (Facilitator)

Der Moderator (international Facilitator genannt) steuert eine Krisenübung vom Controller-Platz aus: Er spielt Injects ein, dosiert den Druck, hält das Szenario glaubwürdig und greift ein, wenn die Übung vom Lernziel abdriftet. Gute Moderation ersetzt kein Scoring, sie ermöglicht es: Entscheidungen werden sichtbar und dokumentierbar gemacht statt nach Bauchgefühl beurteilt. Verdus Cyber trennt dafür Controller- und Teilnehmer-Sicht, sodass die Übungsleitung verdeckt arbeiten kann.

N

NIS2

NIS2 ist die EU-Cybersicherheits-Richtlinie (EU) 2022/2555, in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG), in Kraft seit dem 6. Dezember 2025. Betroffen sind nach BSI-Schätzung rund 29.500 Unternehmen, unterteilt in besonders wichtige und wichtige Einrichtungen. Die Kernpflichten: Risikomanagement inklusive Krisenmanagement (§30 BSIG), die dreistufige Meldekette an das BSI (§32 BSIG) und persönliche Pflichten der Geschäftsleitung (§38 BSIG).

P

Playbook / Runbook

Ein Playbook beschreibt, wie eine Organisation auf einen bestimmten Vorfallstyp reagiert, etwa Ransomware oder Datenabfluss: Rollen, Entscheidungspunkte, Kommunikationswege, Meldepflichten. Ein Runbook ist die operativere Variante: konkrete, oft technische Schrittfolgen für ein einzelnes System oder eine einzelne Aufgabe. Beide sind nur so gut wie ihr letzter Praxistest: Ob ein Playbook unter Zeitdruck trägt und ob Vertretungen es überhaupt kennen, zeigt erst die Übung.

R

Ransomware

Ransomware ist Schadsoftware, die Systeme oder Daten verschlüsselt und für die Freigabe Lösegeld fordert, heute meist kombiniert mit Datendiebstahl und Veröffentlichungsdrohung (Double Extortion). Laut Sophos State of Ransomware 2024 waren 59 % der Organisationen betroffen. Für den Krisenstab ist Ransomware das Referenzszenario schlechthin: zahlen oder nicht, Kommunikation nach innen und außen, Meldepflichten, Wiederanlauf-Reihenfolge. Unsere kostenlose Simulation lässt Sie diesen Druck eine Minute lang selbst erleben.

Readiness-Score

Der Readiness-Score verdichtet die Leistung eines Krisenstabs in einer Übung zu einem vergleichbaren Ergebnis: Verdus Cyber bewertet jede zeitgestempelte Entscheidung über acht Kompetenzen und mappt das Profil auf Frameworks wie NIST CSF, ISO 27001, MITRE ATT&CK, DORA und NIS2. Statt eines Bauchgefühls entsteht ein vorstandsreifes Readiness-Profil, das Stärken und Investitionsbedarf zeigt. Dasselbe Szenario Monate später erneut gespielt, macht den Fortschritt als Delta sichtbar.

RTO / RPO

RTO (Recovery Time Objective) und RPO (Recovery Point Objective) sind die zwei Kernkennzahlen des Wiederanlaufs: Das RTO sagt, wie schnell ein Prozess oder System nach einem Ausfall wieder verfügbar sein muss; das RPO sagt, wie viel Datenverlust (gemessen als Zeitspanne seit der letzten Sicherung) maximal hinnehmbar ist. Beide gehören ins BCM und werden vom Geschäft festgelegt, nicht allein von der IT. Ob die Annahmen realistisch sind, zeigt sich in der Übung, nicht im Kalkulationsblatt.

S

SIEM (Security Information & Event Management)

Ein SIEM (Security Information and Event Management) sammelt und korreliert sicherheitsrelevante Ereignisse aus der gesamten IT-Landschaft (Logins, Netzwerkverkehr, Alarme) und macht Angriffe sichtbar, die auf einem einzelnen System unauffällig blieben. Es ist das zentrale Lagebild-Werkzeug des SOC. In Übungen liefert das SIEM den Stoff für frühe Injects: einzelne Auffälligkeiten, aus denen der Krisenstab unter Unsicherheit ein Gesamtbild formen muss.

SOC (Security Operations Center)

Das SOC (Security Operations Center) ist die Einheit, die Sicherheitsereignisse rund um die Uhr überwacht, bewertet und eskaliert, intern betrieben oder als Dienstleistung eingekauft. Im Ernstfall ist es meist der erste Melder: Zwischen SOC-Alarm und Einberufung des Krisenstabs vergehen die entscheidenden Minuten. Genau diese Schnittstelle (wann eskaliert das SOC, an wen, mit welcher Informationstiefe) gehört deshalb in jede ernsthafte Krisenübung.

Szenario

Das Szenario ist die Rahmenhandlung einer Krisenübung: Ausgangslage, Angreiferverhalten, betroffene Systeme und die Ereigniskette, entlang derer die Injects eingespielt werden. Ein gutes Szenario ist für die eigene Branche plausibel und lässt dem Krisenstab echte Entscheidungsspielräume, statt einen vorgezeichneten Weg abzufragen. Verdus Cyber stellt neun branchenspezifische Szenarien frei zugänglich bereit: ohne E-Mail-Gate, inklusive Print-Funktion für die eigene Übung.

T

Tabletop Exercise (TTX)

Eine Tabletop-Übung (TTX) ist die strukturierte Probe eines schweren Cyber-Vorfalls am Besprechungstisch: Der Krisenstab arbeitet ein realistisches Szenario durch und trifft die Entscheidungen, die im Ernstfall anstehen würden, ohne Produktivsysteme zu berühren. Getestet werden Menschen, Rollen, Entscheidungswege und Kommunikation unter Unsicherheit, nicht die Technik. Moderne Plattformen ersetzen den Foliensatz durch live eskalierende Injects mit laufender Uhr und dokumentieren jede Entscheidung für das Debrief.

Begriffe geklärt. Jetzt üben.

In dreißig Minuten zeigen wir Ihnen, wie aus Inject, Szenario und Debrief eine belastbare Übung für Ihre Organisation wird.

Demo buchen Szenarien ansehenSo läuft eine Übung ab