Management und Wissen Incident-Response protokolliert. Derartige Übungen beruhen auf einem angenommenen Szenario, dass den Rahmen der Übung vorgibt und anschließend in Form von Diskussionen bearbeitet wird. Da es sich um fiktives Szenario handelt, also kei- ne IT-Systeme tatsächlich betroffen sind, existieren auch keine Artefakte beziehungsweise sogenannte Indicators of Compromise (IoCs), die von technischen Erkennungs- lösungen erkannt und gemeldet werden können. Das bedeutet, dass Table-Top-Übungen bewusst ohne Inter- aktion mit technischen Werkzeugen zur Erkennung- und Reaktion ablaufen. Vielmehr beschreiben Teilnehmer im Rahmen der Übung, welche Maßnahmen sie aus welchem Grund treffen und beeinflussen damit den Verlauf der Übung. Diese Rahmenbedingungen verdeutlichen bereits, dass eine Table-Top-Übung weniger auf technische Details einer Vorfallsbehandlung abzielt, sondern primär den Fokus auf Prozesse, Kommunikation und Interaktion mit anderen Parteien legt. Fokus auf Security-Incident- Response-Prozesse Hinsichtlich vorhandener Incident-Response- Prozessen bietet eine derartige Übung eine sehr gute Ge- legenheit, den Teilnehmern aufzuzeigen, welche Prozesse und Richtlinien in diesem Zusammenhang existieren und welche Prozessschritte zu durchlaufen sind. In der Praxis zeigt sich, dass häufig vielen Beteiligten die Prozesse nur teilweise oder sogar gar nicht bekannt sind. Aber auch Defizite in definierten Prozessen lassen sich so aufdecken, denn oft werden die Prozesse nicht umfassend befolgt oder sind für das gewählte Szenario nicht vollständig anwendbar. Aus diesem Grund bietet eine Table-Top-Übung eine gute Gelegenheit, bestehende Prozesse zu schulen, zu üben und Mängel zu erkennen. Ein weiterer wesentlicher Aspekt einer Table-Top- Übung ist es, dass jeder Teilnehmer die Rolle übernimmt, die er auch bei einem realen Angriff hätte – und so in einer Übungssituation lernt, welche Tätigkeiten in seinen Zuständigkeitsbereich fallen. Die Teilnehmer üben dabei nicht nur ihre eigenen Aufgaben, sondern für sie werden gleichzeitig auch die Rollen der anderen involvierten Personen sichtbar. Dies ermöglicht im Ernstfall eine be- wusstere Aufgabenverteilung und Abgrenzung, sodass sich IT-Sicherheitsvorfälle effizienter bearbeiten lassen. Kommunikations-Training Ein ebenso wichtiger Teil der eigenen Rolle ist das Erlernen der richtigen Verständigung während eines IT-Sicherheitsvorfalls: Bei der Vorfallsbearbeitung ist eine klare Kommunikation mit anderen Teammitgliedern, Verantwortlichen sowie internen und externen Parteien unerlässlich. In der Praxis zeigt sich, dass bei Teilnehmern oft eine gewisse Zurückhaltung dahingehend herrscht, bestimmte Personen oder Parteien zu informieren oder sogar aktiv zu involvieren. Diese Scheu ist in einer Übungssituation häufig weniger stark ausgeprägt. Daher berichten Teilnehmer nach Übungen oft, dass sie sich nun selbstbewusster fühlen und es ihnen beispielsweise leichter fällt, das Top-Level-Management aktiv über einen IT-Sicherheitsvorfall zu informieren. Neben den menschlichen Faktoren der Kommu- nikation lassen sich auch organisatorische und technische Aspekte gut überprüfen. Dies können beispielsweise Fragestellungen sein wie „Ist tatsächlich jemand unter der Bereitschaftsnummer zu erreichen?“ oder „Ist die hinterlegte Telefonnummer für eine bestimmte Person/ Rolle korrekt?“ Dies weicht zwar aufgrund der tatsäch- lichen Durchführung von Aktionen von dem klassischen Verständnis einer Table-Top-Übung ab, lässt sich aber bei entsprechender Planung im Vorfeld gut abbilden. Die zuvor genannten Übungsaspekte stellen die typischen Fokuspunkte dar. Je nach konkretem Bedarf kann man aber auch weitere Aspekte in eine Übung mit aufnehmen. Dazu zählt zum Beispiel das Protokollieren eines IT-Sicherheitsvorfalls. Auch problematische Rah- menbedingungen, wie beispielsweise Defizite bei der technischen Ausstattung des Krisenraums, lassen sich während solcher Übungen gut identifizieren. Tabelle 1: Vergleich verschiedener Übungsvarianten zur Incident- Response Form Table-Top-Übung, generisch Table-Top-Übung, individuell War-Gaming Red-Team- Assessment Aufwand gering mittel hoch sehr hoch Fokus Regelmäßigkeit Bezug des Szenarios Prozesse und Kommunikation gut geeignet gering Prozesse und Kommunikation gut geeignet mittel bis hoch technische Erkennungs- und Reaktionsfähigkeiten Prozesse, Kommunikation und technische Erkennungs- und Reaktionsfähigkeiten gut geeignet hoch ungeeignet sehr hoch 12 © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2024#2