KI als Gegner im Planspiel: Adaptive Tabletop-Übungen 2026
19.08.2026 tabletop-exerciseincident-responseir-readinessnis2
Um 2:47 Uhr landet eine Lösegeldforderung auf dem Laptop des CFO. Niemand schlägt den 80-seitigen IR-Plan auf – stattdessen wird eine Zoom-Bridge gestartet, und die Diskussion beginnt bei null. Wenn eine Lösegeldforderung nachts auf dem Laptop des CFO landet, öffnet niemand den 80-seitigen IR-Plan – Verantwortliche starten eine Zoom-Bridge und diskutieren, ob gezahlt werden soll. Dieses Playbook soll das Chaos durch eine wiederholbare Kommandostruktur ersetzen. Genau diese Lücke zwischen Papierplan und echter Entscheidungsfähigkeit unter Druck ist der Grund, warum sich Tabletop-Übungen 2026 grundlegend verändern.
Warum skriptgebundene Übungen an ihre Grenzen stoßen
Die klassische Tabletop-Übung folgt einem festen Drehbuch: Ein Moderator liest ein Szenario vor, präsentiert vordefinierte Ereignisse auf einer festen Timeline und moderiert eine Gruppendiskussion. Traditionelle Tabletop-Übungen folgen einem Skript. Ein Moderator liest ein Szenario vor, präsentiert vorbestimmte Ereignisse auf einer festen Timeline und moderiert eine Gruppendiskussion. Diese Übungen testen Wissen. Sie testen kein Verhalten unter Druck. Das Problem: Reale Angreifer halten sich nicht an Drehbücher. Penetrationstests zeigen, wie Angreifer eindringen; Tabletop-Übungen zeigen, was passiert, nachdem sie bereits drin sind. Wenn aber jede Übung exakt vorhersehbar abläuft, trainieren Teams am Ende nur, das richtige Kästchen im Skript anzukreuzen – nicht, unter echter Unsicherheit zu entscheiden.
Gleichzeitig verschärft sich der regulatorische Druck massiv. Regularien verlangen inzwischen Resilienz-Tests. Rahmenwerke wie DORA, NIS2 und aktualisierte ISO-27001-Vorgaben fordern explizit, dass Organisationen ihre Incident-Response-Fähigkeiten testen – nicht nur dokumentieren. Tabletop-Übungen liefern dafür den prüfbaren Nachweis: sie liefern auditierbare Belege für geübte Reaktionsfähigkeit, während Versicherer und Vorstände Nachweise über Vorbereitung erwarten und Cyber-Versicherer die IR-Reife zunehmend bei Prämien und Schadensfällen bewerten.
Der Aufstieg adaptiver, KI-gestützter Übungen
Hier setzt die nächste Generation von Tabletop-Formaten an. Statt starrer Inject-Karten übernehmen autonome KI-Agenten die Rolle des Angreifers, ein KI-Moderator führt die Diskussion, und das gesamte Szenario passt sich in Echtzeit an die Entscheidungen der Teilnehmer an. Eine KI-gestützte Tabletop-Übung ist eine Cybersicherheits-Simulation, bei der autonome KI-Agenten skriptgebundene Inject-Karten ersetzen, ein menschenähnlicher KI-Moderator die Diskussion leitet und sich die gesamte Übung in Echtzeit an die Entscheidungen der Teilnehmer anpasst. Das ist mehr als ein technisches Gimmick: Es verschiebt den Trainingsfokus von reinem Faktenwissen hin zu echtem Entscheidungsverhalten unter unvollständiger Information – genau der Fähigkeit, die im echten Ernstfall zählt.
Diese Entwicklung passt zur veränderten Bedrohungslage. Cyberbedrohungen 2026 sind schneller, komplexer und zunehmend KI-getrieben, wobei Angreifer ihre Taktiken wie nie zuvor weiterentwickeln. Statisches Übungsmaterial kann mit dieser Dynamik kaum mithalten – adaptive Simulationen, die selbst auf Basis von OSINT-Daten neue Szenarien generieren, schon eher.
Was IR-Teams in der Praxis beachten müssen
Der Mehrwert einer Übung entscheidet sich nicht an der Technologie, sondern an der Schärfe der aufgedeckten Lücken. Ein IR-Dienstleister berichtet, dass in 73 Prozent der von ihm begleiteten Ransomware-Übungen die ersten 90 Minuten allein mit der Frage verstreichen, wer die Autorität besitzt, das ERP-System vom Netz zu nehmen. In 73 % der begleiteten Ransomware-Tabletop-Übungen verbrauchten die ersten 90 Minuten allein die Frage, wer die Autorität hat, das ERP-System offline zu nehmen – Teams sollten diese Entscheidung vor der Übung vorautorisieren. Solche Erkenntnisse – Rollen, Eskalationswege, Entscheidungsbefugnisse – sind der eigentliche Ertrag einer Übung, unabhängig davon, ob ein Mensch oder eine KI das Szenario steuert.
Wichtig bleibt zudem die Unterscheidung zwischen kurzfristigem und langfristigem Containment: Kurzfristiges Containment stoppt die Blutung – Host isolieren, Prozess beenden, C2-Domain blockieren. Langfristiges Containment baut die Umgebung so um, dass der Angreifer nicht einfach zurückkehren kann. Teams, die beides vermischen, handeln entweder zu langsam oder zu schnell. Genau diese Verwechslung lässt sich in einer gut konzipierten, realitätsnahen Übung schmerzlos sichtbar machen – bevor sie im echten Vorfall teuer wird. Wer 2026 noch ausschließlich mit statischen PowerPoint-Szenarien übt, verpasst nicht nur eine Compliance-Chance, sondern auch die Möglichkeit, sein Team auf echte Unsicherheit vorzubereiten.
← Zurück zur Übersicht