Gold Teaming: Krisenübung für die Unternehmensleitung

Was bedeutet Gold Teaming?

In der IT-Sicherheit gibt es mehrere „Teams“ mit Farben. Das Red Team greift an, das Blue Team verteidigt. Das Gold Team steht darüber: Es ist die oberste Führungsebene, die in einer Krise die großen Entscheidungen trifft.

Beim Gold Teaming übt genau diese Ebene. Ein Moderator spielt ein realistisches Szenario Schritt für Schritt ein. Die Teilnehmenden müssen reagieren: Schalten wir die Systeme ab? Informieren wir die Behörden? Zahlen wir ein Lösegeld? Was sagen wir den Kunden und der Presse?

Solche Übungen finden meist als Planspiel am Tisch statt. Im Englischen spricht man von einer Tabletop Exercise. Es wird nichts angegriffen und kein System verändert.

Woher der Begriff kommt

Der Name geht auf das Gold-Silber-Bronze-Modell der Krisenführung zurück. Polizei, Feuerwehr und Rettungsdienste in Großbritannien gliedern damit ihre Einsatzleitung:

• Gold: die strategische Ebene. Sie setzt Ziele, gibt Mittel frei und trägt die Gesamtverantwortung.
• Silber: die taktische Ebene. Sie plant, wie die Ziele erreicht werden.
• Bronze: die operative Ebene. Sie setzt die Maßnahmen vor Ort um.

Übertragen auf einen Cyberangriff heißt das: Gold ist der Krisenstab mit der Geschäftsführung, Silber die Leitung von IT und Sicherheit, Bronze die Fachleute, die Systeme untersuchen und wiederherstellen.

Gold Teaming im Vergleich

• Red Teaming: Ein Team greift das Unternehmen realistisch an und sucht Wege hinein.
• Blue Teaming: Die Verteidiger erkennen und stoppen Angriffe.
• Purple Teaming: Angreifer und Verteidiger arbeiten zusammen, um Lücken in der Erkennung schneller zu schließen.
• Gold Teaming: Die Führung übt Entscheidungen und Kommunikation in der Krise.

Die Übungen ergänzen sich. Ein Red-Team-Test zeigt, wie ein Angreifer hineinkommt. Eine Gold-Teaming-Übung zeigt, was danach in der Chefetage passiert. Mehr zur Abgrenzung unter Red Team vs. Blue Team.

Warum Unternehmen Gold Teaming brauchen

Bei einem schweren Angriff zählen die ersten Stunden. Die Technik ist dann oft gar nicht das größte Problem. Häufiger fehlt etwas anderes:

• Klare Zuständigkeiten: Wer darf entscheiden, das Netz vom Internet zu trennen und damit die Produktion zu stoppen?
• Erreichbarkeit: Funktionieren Telefonlisten und Kommunikationswege noch, wenn E-Mail und Telefonanlage ausgefallen sind?
• Meldepflichten: Wer meldet den Vorfall rechtzeitig an Datenschutzbehörde, BSI oder Versicherung? Unter NIS-2 ist eine erste Meldung innerhalb von 24 Stunden fällig.
• Kommunikation: Wer spricht mit Kunden, Mitarbeitenden und Presse, und mit welcher Botschaft?
• Schwierige Entscheidungen: Wird ein Lösegeld gezahlt? Welche Systeme werden zuerst wiederhergestellt?

Wer diese Fragen zum ersten Mal mitten in einer echten Krise beantwortet, verliert wertvolle Zeit. Eine Übung deckt die Lücken vorher auf.

Ablauf einer Gold-Teaming-Übung

1. Ziele festlegen: Was soll geprüft werden? Etwa der Notfallplan, die Meldewege oder die Krisenkommunikation.
2. Szenario entwickeln: Ein realistischer Fall, zugeschnitten auf das Unternehmen, seine Branche und seine wichtigsten Systeme.
3. Teilnehmende einladen: Geschäftsführung, IT- und Sicherheitsleitung, Recht, Datenschutz, Kommunikation und Personal.
4. Übung durchführen: Der Moderator spielt neue Meldungen ein, zum Beispiel eine Erpressernachricht, eine Presseanfrage oder den Ausfall der Produktion. Das Team entscheidet unter Zeitdruck.
5. Beobachten: Beobachter halten fest, wer wann was entschieden hat und wo es gehakt hat.
6. Nachbesprechen: Direkt danach werden die Erkenntnisse gemeinsam besprochen.
7. Maßnahmen umsetzen: Ein Bericht hält Schwachstellen und konkrete Verbesserungen fest, etwa Änderungen am Incident-Response-Plan.

Typische Szenarien

• Ransomware: Server und Arbeitsplätze sind verschlüsselt, die Angreifer drohen mit der Veröffentlichung gestohlener Daten. Siehe Ransomware.
• Datenleck: Kundendaten tauchen im Darknet auf, und die Presse fragt nach.
• Angriff auf einen Dienstleister: Ein wichtiger IT-Lieferant ist kompromittiert, und es ist unklar, ob das eigene Unternehmen betroffen ist.
• CEO-Betrug: Eine gefälschte Anweisung der Geschäftsführung, etwa per Deepfake-Anruf, hat eine hohe Überweisung ausgelöst.
• Ausfall eines Rechenzentrums: Wichtige Systeme stehen tagelang nicht zur Verfügung. Hier greift das Business Continuity Planning.

Tipps für eine gelungene Übung

• Realistisch bleiben: Das Szenario sollte zum Unternehmen passen. Ein Krankenhaus übt anders als ein Maschinenbauer.
• Die Leitung selbst einbinden: Vertretungen schicken verfehlt den Zweck. Gerade die Geschäftsführung muss mitspielen.
• Fehler erlauben: Eine Übung ist kein Test der Personen. Wer offen über Unsicherheiten spricht, lernt am meisten.
• Extern moderieren: Eine neutrale Moderation sorgt für Druck im Szenario und einen unverstellten Blick auf die Ergebnisse.
• Regelmäßig wiederholen: Mindestens einmal im Jahr und nach größeren Änderungen, etwa einer neuen Geschäftsführung oder einem neuen Dienstleister.

Fazit

Gold Teaming bereitet die Unternehmensleitung auf den Ernstfall vor. Statt Technik zu testen, übt die Führung Entscheidungen, Meldewege und Kommunikation in einer realistischen Krise. Zusammen mit Red, Blue und Purple Teaming entsteht so ein vollständiges Bild: wie gut das Unternehmen Angriffe abwehrt und wie gut es handelt, wenn doch einer gelingt.