Kurz gesagt: Eine Tabletop-Übung in der IT spielt einen Sicherheitsvorfall am Tisch durch: Eine Moderation gibt Schritt für Schritt neue Lageinformationen, die Beteiligten entscheiden wie im Ernstfall, und am Ende steht eine Liste konkreter Verbesserungen. Für Webserver eignet sich ein Szenario nach dem Muster von PHP2Shell, weil es Technik, Entscheidungen unter Unsicherheit, Datenschutz und Kommunikation zugleich berührt.
Warum ein Plan erst durch Üben wirkt
Viele Unternehmen haben inzwischen einen Notfallplan. Ob er funktioniert, zeigt sich aber erst, wenn jemand ihn unter Zeitdruck benutzt. Steht die richtige Telefonnummer darin? Weiß die Geschäftsführung, dass sie über eine Abschaltung entscheiden muss? Kennt der Dienstleister die Zugänge? Solche Fragen klärt eine Übung am Tisch in wenigen Stunden.
Die Oktoberwoche 2026 hat vorgeführt, wie schnell eine Lage eskalieren kann: Vorankündigung durch php.net am 20.10., Patches am 21.10. um 16 Uhr deutscher Zeit, BSI-Warnstufe Orange, Abschaltungen öffentlicher Websites laut Medienberichten. Wer diese Abfolge vorher einmal geübt hatte, musste weniger improvisieren. Den Ablauf im Detail beschreibt die Chronologie von PHP2Shell. Wie Sie den Plan selbst aufbauen, steht unter IT-Notfallplan für Webserver erstellen; hier geht es um das Üben.
Tabletop-Übung in der IT: Rollen und Vorbereitung
Eine gute Übung braucht wenig Material, aber klare Rollen. Die Moderation führt durch das Drehbuch, spielt Informationen ein und hält die Zeit. Sie diskutiert nicht mit, sondern stellt Fragen. Ein Protokoll notiert Entscheidungen, offene Fragen und jede Stelle, an der jemand sagt „das wüsste ich jetzt nicht“. Optional beobachtet eine weitere Person, wie die Kommunikation läuft.
Die Teilnehmenden sind die Menschen, die im Ernstfall tatsächlich handeln: Geschäftsführung, interne IT oder externer Dienstleister, Datenschutzbeauftragte, Kommunikation, bei Bedarf Einkauf oder Rechtsabteilung. Wichtig ist, dass Vertretungen dabei sind, denn Vorfälle halten sich nicht an Urlaubspläne.
Zur Vorbereitung gehören: der aktuelle Notfallplan auf Papier, die Kontaktliste, eine Übersicht der Websites und Server und ein Raum ohne Unterbrechungen. Legen Sie vorher fest, dass es um das Lernen geht, nicht um Noten. Wer Angst hat, sich zu blamieren, sagt nicht, was er nicht weiß.
Ein fertiges Drehbuch: kritische PHP-Lücke am Freitagnachmittag
Das folgende Szenario ist fiktiv, orientiert sich aber am Muster einer echten Lage. Passen Sie Systeme und Namen an Ihre Umgebung an. Jede Einspielung bekommt zehn bis zwanzig Minuten Diskussion.
| Schritt | Einspielung der Moderation | Leitfrage an die Runde |
|---|---|---|
| 1 | Fachpresse meldet eine kritische Lücke in PHP, Patches sind angekündigt, aber noch nicht da. | Wer erfährt davon zuerst, und wer muss informiert werden? |
| 2 | Die Patches erscheinen am Nachmittag. Das BSI empfiehlt sofortiges Update, sonst vorübergehende Abschaltung. | Welche unserer Systeme sind betroffen, und woher wissen wir das? |
| 3 | Der Hoster meldet sich nicht. Ein eigener Server läuft mit einer PHP-Version ohne offizielles Update. | Patchen, abschalten oder abwarten, und wer entscheidet das? |
| 4 | Der Shop soll am Wochenende eine Aktion fahren. Vertrieb drängt darauf, nichts abzuschalten. | Wie wägen wir Umsatz und Risiko ab, und wie dokumentieren wir die Entscheidung? |
| 5 | Ein Admin findet am Montag eine unbekannte PHP-Datei im Upload-Ordner. | Was tun wir zuerst, was lassen wir bewusst? Wer sichert Beweise? |
| 6 | Unklar ist, ob Kundendaten abgeflossen sind. | Wer bewertet eine mögliche Meldepflicht, und wann läuft die Frist? |
| 7 | Eine Journalistin fragt nach, warum die Website offline ist. | Wer spricht nach außen, und was sagen wir, solange wir wenig wissen? |
Schritt 6 berührt die DSGVO. In der Übung genügt es, den Ablauf zu klären: wer die Datenschutzbeauftragten einbezieht und wann. Die rechtliche Bewertung bleibt bei Fachleuten; die Grundzüge zur Frist stehen in Art. 33 DSGVO.
Typische Erkenntnisse und wie Sie sie festhalten
Bestimmte Lücken tauchen bei fast jeder ersten Übung auf. Es fehlt eine vollständige Liste, welche Websites auf welchen Servern mit welcher PHP-Version laufen. Die Kontaktdaten des Hosters sind veraltet oder nur in einem Postfach gespeichert, das im Ernstfall nicht erreichbar ist. Niemand weiß sicher, ob die Geschäftsführung eine Abschaltung selbst anordnen darf oder ob jemand zustimmen muss.
Halten Sie jede Erkenntnis in drei Teilen fest: was wir festgestellt haben, was wir ändern und wer das bis wann erledigt. Eine Erkenntnis ohne Verantwortlichen bleibt erfahrungsgemäß liegen. Ordnen Sie die Punkte nach Wirkung: Eine fehlende Notfallnummer ist schnell behoben und hilft sofort, eine neue Monitoring-Lösung braucht Planung.
Für die strukturierte Auswertung nach der Übung eignet sich dasselbe Vorgehen wie nach einem echten Vorfall. Es ist im Beitrag Lessons Learned: Nach dem Vorfall besser werden beschrieben. Die Kontaktliste, die in der Übung meist Schwächen zeigt, behandelt Notfallkontakte: Wer muss wann informiert werden?.
Wiederholen Sie die Übung nach sechs bis zwölf Monaten mit einem anderen Szenario, etwa einer gehackten Website mit Weiterleitung auf fremde Seiten. So prüfen Sie, ob die Maßnahmen aus der ersten Runde wirklich umgesetzt wurden.
Wie hilft PHP SOS konkret?
- Wir passen das Drehbuch an Ihre tatsächlichen Websites, Server und Dienstleister an und bereiten die Einspielungen vor.
- Wir moderieren die Übung remote oder per Videokonferenz und halten uns mit Bewertungen zurück, bis die Runde entschieden hat.
- Wir liefern danach ein Protokoll mit Erkenntnissen, Maßnahmen, Verantwortlichen und Terminen.
- Auf Wunsch üben wir anschließend den technischen Teil, also Bestandsaufnahme, Patch und Spurensuche, so wie ihn unsere Incident Response im Ernstfall abarbeitet.
Fazit
Eine Notfallübung am Tisch ist der günstigste Weg, die Schwächen eines Notfallplans zu finden, bevor ein echter Vorfall es tut. Ein Nachmittag, ein realistisches Drehbuch und eine ehrliche Auswertung reichen für den Anfang. Entscheidend ist, dass aus jeder Erkenntnis eine Aufgabe mit Namen und Datum wird.
Häufige Fragen
Was ist eine Tabletop-Übung?
Eine Übung, bei der die Beteiligten einen Vorfall gemeinsam am Tisch durchsprechen, ohne an echten Systemen zu arbeiten. Eine Moderation spielt schrittweise neue Informationen ein, die Gruppe entscheidet und begründet. So werden Lücken in Plan, Zuständigkeiten und Kontaktlisten sichtbar.
Wer sollte an einer Notfallübung teilnehmen?
Alle, die im Ernstfall entscheiden oder handeln: Geschäftsführung, IT oder Dienstleister, Datenschutz, Kommunikation und, wenn vorhanden, die zuständige Person für Versicherungsfragen. Mehr als acht bis zehn Personen machen die Runde schwerfällig.
Wie lange dauert eine Tabletop-Übung?
Für einen ersten Durchlauf genügen zwei bis drei Stunden einschließlich Auswertung. Wichtiger als die Länge ist, dass die Ergebnisse festgehalten und Maßnahmen mit Termin vergeben werden.
Muss das Szenario realistisch sein?
Es sollte zu Ihrer Umgebung passen, aber nicht bis ins Detail stimmen. Ein Szenario nach dem Muster einer echten Lage wie PHP2Shell wirkt glaubwürdig und lenkt die Diskussion auf Entscheidungen statt auf Technikdetails.