Anatomie einer Ransomware-Übung: 90 Minuten Fertigungs-Krise

Über Krisenübungen wird viel geschrieben und wenig gezeigt. Dieser Artikel öffnet deshalb die Tür: Wir gehen das Verdus-Szenario „Ransomware in der Produktionslinie“ von innen durch: Phase für Phase, mit den Injects, den Entscheidungspunkten und dem, was am Ende im Debrief steht.

Das Setup: ein fiktives Werk, ein sehr reales Dilemma

Die Ausgangslage des Szenarios: Ein Phishing-Zugang in der Unternehmens-IT eskaliert zu einer domänenweiten Ransomware, die auf das Werksnetz übergreift. Steuerungssysteme fallen aus, Aufträge stauen sich, und der Angreifer droht damit, gestohlene Konstruktionsdaten zu veröffentlichen. Das Dilemma steht damit ab Minute eins: Jede Stunde Stillstand kostet, und jede vorschnelle Trennung von IT und OT auch. Beides gleichzeitig vermeiden kann niemand.

Am Tisch sitzen sechs Rollen, jede mit eigenem Blick auf dieselbe Lage:

• Krisenstabsleitung: verantwortet Takt, Entscheidungslog und Eskalationen; hält den Raum bei Entscheidungen statt bei Diagnosen.
• IT-/SOC-Lead: Eindämmungsoptionen, forensische Sicherung und die ehrliche Antwort auf die Frage, ob es sich noch ausbreitet.
• OT / Werksbetrieb: sicheres Herunterfahren und Handbetrieb; spricht für das, was die Linie wirklich noch kann.
• Kommunikation: Sprachregelungen für Kunden, Lieferanten und Presse; eine Geschichte über alle Kanäle.
• Recht / Datenschutz: Zulässigkeit einer Zahlung, Vertragsstrafen, Meldepflichten und Beweisdisziplin.
• Geschäftsleitung: Haltung zur Lösegeldfrage, Freigaben und die letzte Entscheidung, wenn Bereiche sich widersprechen.

Technisch läuft die Übung im Browser, auf zwei Plätzen: Ein Moderator steuert vom Controller-Platz Injects, Tempo und unerwartete Wendungen; das Team arbeitet in einer realistischen Konsole mit Postfach, Anrufen, News und Chat. Als Baukasten stehen 65+ Injects in über 20 Kategorien bereit. Die Vollversion des Fertigungs-Szenarios ist auf rund drei Stunden ausgelegt; für Geschäftsleitungs-Runden fährt der Moderator dieselbe Dramaturgie gestrafft in 90 Minuten, denn das Tempo ist in der Inject-Steuerung eine Regiegröße.

Phase 1 · Detektion und Alarm: die Lage entsteht

Der Einstieg ist bewusst unspektakulär. Erstes Inject (Übungsinhalt): Das EDR meldet Massenverschlüsselung, die sich in Richtung der OT-DMZ bewegt. Kein Countdown, keine Forderung, nur ein Alarm, der richtig oder falsch eingeordnet werden kann. Genau hier fallen die ersten messbaren Entscheidungen: Wer erklärt die Lage zum Sicherheitsvorfall? Wer alarmiert den Krisenstab, und wie lange dauert es, bis er arbeitsfähig ist? Teams, die diese Minuten verschenken, laufen der Lage den Rest der Übung hinterher.

Phase 2 · Eindämmung: die IT/OT-Frage

Dann steht die Linie. Ein Schichtleiter ruft an (Übungsinhalt, eingespielt als Telefon-Inject) und will wissen, ob er sicher herunterfahren soll. Damit liegt die härteste Frage des Szenarios auf dem Tisch: Trennen Sie das OT-Netz allein auf Verdacht, und wer hat überhaupt die Befugnis, die Produktion womöglich für Tage zu stoppen? Parallel braucht der Krisenstab eine ehrliche Antwort zum Backup-Status: „müsste eigentlich gehen“ ist keine. Eines der dokumentierten Übungsziele: die IT/OT-Entscheidung binnen 30 Minuten nach dem ersten Inject, mit protokollierter Abwägung von Produktion, Sicherheit und Lieferfähigkeit.

Phase 3 · Eskalationsspitze: Kunde, Countdown, Lösegeldfrage

Jetzt zieht die Regie an. Ein Großkunde fordert binnen einer Stunde eine Liefergarantie: Was sagen Sie zu, solange das Schadensausmaß unbekannt ist? Kurz darauf startet der Angreifer einen Countdown auf seiner Leak-Site. Spätestens hier stellt sich die Lösegeldfrage in ihrer unbequemsten Form: Die Backups sind nicht verifiziert, der Druck steigt: Ab wann wird Zahlen zur Vorstandsoption, und wer spricht es zuerst aus? Die Übung erzwingt keine bestimmte Antwort. Sie erzwingt eine Entscheidung, samt Begründung, festgehalten im Log.

Phase 4 · Meldung und Kommunikation: die Frühwarnung im Entwurf

Während die Lösegeldfrage noch offen ist, klopft die Regulatorik an: ein dedizierter Meldeketten-Inject. Das Team muss entscheiden, ob der Vorfall meldepflichtig ist, und die 24-Stunden-Frühwarnung an die zuständige Behörde im Entwurf fertigstellen, bevor die Übung endet, eines der festen Übungsziele. Parallel müssen Kunden- und Presselinie zusammenpassen: Was der Vertrieb dem Großkunden sagt und was die Kommunikation vorbereitet, darf sich nicht widersprechen. Und irgendwo dazwischen die Frage, wer eigentlich Betriebsrat und Schichten informiert.

Hot Wash und Debrief: was gemessen wird

Die letzten Minuten gehören dem Hot Wash: Der Moderator spiegelt die Lage gegen das zeitgestempelte Entscheidungsprotokoll. Weil jede Entscheidung mit Zeitstempel, Verantwortlichem und Begründung erfasst ist, wird daraus keine Erinnerungsrunde, sondern ein Abgleich mit Daten. Das anschließende Debrief-Paket bewertet den Durchlauf über acht Kompetenzen und mappt die Befunde auf NIST CSF, ISO 27001, MITRE ATT&CK, DORA und NIS2. Konkret beantwortet es unter anderem:

• Wie lange hat die IT/OT-Entscheidung gedauert, und wer hat sie auf welcher Grundlage getroffen?
• Wäre die 24-Stunden-Frühwarnung fristgerecht bei der Behörde gewesen?
• Hielt die Kunden- und Pressekommunikation über alle Kanäle eine Linie?
• Welche Lücken sind sichtbar geworden, und welche Maßnahme folgt aus jeder einzelnen?

Aus einem diffusen „lief ganz gut“ wird damit eine belastbare Timeline mit Findings und Maßnahmenliste, verwendbar als Übungsnachweis gegenüber Aufsicht, Auditoren und dem eigenen Gremium.

Warum genügen 90 Minuten? Weil eine Übung nicht die Länge einer echten Krise braucht, sondern ihre Dichte. Entscheidend ist nicht, wie lange das Team im Raum sitzt, sondern dass es die fünf, sechs Entscheidungen trifft, die im Ernstfall niemand mehr nachschlagen kann. Alles Weitere (Format, Tiefe, Branche) ist eine Frage der Regie.