Eine DDoS-Attacke legt zwei unserer wichtigsten Programme lahm! Haben wir alternative Tools? Wie informieren wir alle Involvierten darüber, was passiert ist und auf welche Tools wir umsteigen? Von einem Moment auf den anderen können wir uns nicht mehr auf unsere Prozesse verlassen und müssen mitten im Stress noch neue Abläufe definieren.

Zu oft wird die Einführung eines Krisenmanagements mit echter Krisenfähigkeit gleichgesetzt. Sobald Prozesse dokumentiert und Vorlagen erstellt sind, wird das Thema oft als erledigt angesehen, und man widmet sich der nächsten Aufgabe. Dabei ist zu diesem Zeitpunkt lediglich der Grundstein gelegt.

Ob Prozesse tatsächlich so verstanden werden wie vorgesehen, ob man für den Ausfall zentraler Tools gewappnet ist und ob Verantwortlichkeiten klar sind, zeigt sich erst in der Praxis. Und genau hier beginnt die eigentliche Arbeit.

Ein Prozess, den niemand kennt, ist kaum mehr wert als ein Prozess, der gar nicht existiert.

Viel zu oft habe ich mit Mitarbeitenden gesprochen, die die Krisenprozesse ihres Arbeitgebenden nur vage oder gar nicht kennen – dabei sind sie es, die die Prozesse letztlich umsetzen müssen. Und Krisen lassen keine Zeit, Dokumentationen zu durchkämmen oder Zuständigkeiten nachzuschlagen. Deswegen genügt es nicht, Abläufe zu definieren und zu dokumentieren. Sie müssen verinnerlicht und regelmässig geübt werden.

Das gilt sowohl für die Mitglieder des Krisenstabs als auch für die übrigen Mitarbeitenden. Handlungsfähigkeit entsteht nicht durch das Überfliegen von Prozessen, sondern durch deren Anwendung. Erst wer Abläufe wiederholt durchspielt, entwickelt die Routine und Kompetenz, sie auch unter Druck korrekt zu befolgen und wenn nötig der Lage entsprechend sinnvoll anzupassen.

Die Belastbarkeit der Krisenprozesse wird oft erst in einer Krise erkannt. So kann es schnell passieren, dass die Notfallkontakte lediglich im Intranet abgelegt sind. Doch was, wenn dieses bei einem Angriff lahmgelegt wird, oder, wie oben beschrieben, der Hauptkommunikationskanal ausfällt? Haben wir eine Rückfalloption festgelegt und haben alle Zugriff darauf?

Was auf Papier perfekt durchdacht wirkt, hält in der Praxis selten Stand. Der Wert einer Krisenübung liegt somit nicht darin, zu beweisen, was man alles beherrscht, sondern vielmehr darin, frühzeitig aufzudecken, wo noch Lücken bestehen. Denn jede Schwachstelle, die wir während einer Simulation erkennen, ist eine Schwachstelle weniger während der nächsten Krise.

Neben Prozessen und Tools werden oft zwei zentrale Aspekte vergessen, die den Ausgang einer Krise stark beeinflussen: Vertrauen und Zusammenhalt. Und diese zwei Aspekte entstehen nicht während einer Krise. Sie entstehen davor.

Das ist eines der grossen Learnings, die ich aus meinen bisherigen Krisenübungen mitnehmen konnte. Nicht selten habe ich erlebt, dass zwischenmenschliche Spannungen überhaupt erst in Simulationen so richtig zum Vorschein kommen. Und dabei ist es nicht zu unterschätzen, wie schnell solche Uneinigkeiten unter Druck eskalieren können. Abteilungsleitende weigern sich, zusammenzuarbeiten, Risiken werden aus Sorge vor Schuldzuweisungen nicht offen kommuniziert oder Stabsentscheidungen werden gekonnt ignoriert, weil sie nicht den eigenen Vorstellungen entsprechen. Alles Situationen, die ich schon miterleben musste.

Krisenübungen bieten uns die Möglichkeit, uns frühzeitig diesen Uneinigkeiten anzunehmen, Vertrauen aufzubauen und eine Eskalation im Krisenfall vorzubeugen. Sei es in Diskussionen während der Simulation, in einer Kaffeepause oder danach bei einem Feierabendbier – in einem entspannteren Rahmen lassen sich viele Reibungen und Unklarheiten lösen.

Krisenübungen ermöglichen es den Mitgliedern des Krisenstabs, sich als Team zu entwickeln. Die Stabsmitglieder lernen die Arbeits- und Umgangsweisen der Kolleginnen und Kollegen und deren individuelle Stärken in Stresssituationen kennen. Dies befähigt den Stab, unter Druck effizienter zu kommunizieren und zu reagieren sowie als Team geschlossene Entscheidungen zu treffen.

Nun stellt sich natürlich die Frage: Was macht denn eine gute Krisenübung aus? Je nach Maturität des Krisenmanagements empfiehlt sich eine mehr oder weniger begleitete Übung. Gerade wenn die Krisenprozesse noch in Entwicklung sind und der Stab frisch gegründet ist, kann es hilfreich sein, während der Simulation Fragen stellen zu können und Unsicherheiten direkt in der Übung abzuholen.

Mit der Zeit ist es dann aber wichtig, die Szenarios so realistisch wie möglich zu gestalten, um den Lerneffekt zu maximieren. Hierbei sollten auch die Vorgänge geübt werden, die auf Papier vielleicht selbstverständlich wirken. Beispielsweise die Kontaktaufnahme zum Krisenstab und zu involvierten Abteilungen oder die Klassifizierung eines Incidents als Krise.

Zentral bei allen Krisenübungen ist immer, dass sie dazu dienen, unsere Krisenresilienz kontinuierlich zu verbessern. Sie geben uns den Raum, Fehler zu machen und daraus zu lernen. Sie sind hingegen nicht dafür da, Teilnehmende zu prüfen oder zu beschämen.

Die eingangs beschriebene Krise war zum Glück auch nur eine Übung. Uns stand ein alternativer Kommunikationskanal zur Verfügung und ein Grossteil der Teilnehmenden befand sich im selben Gebäude. Somit konnten wir den temporären Umstieg persönlich mitteilen. Doch im Ernstfall ist dies selten realistisch.

In einer echten Krise wären die involvierten Parteien vermutlich nicht alle so leicht erreichbar. Ausserdem war es in dieser Simulation tatsächlich der Fall, dass wir für das Case-Management-Tool kein Backup bereit hatten und ausharren mussten, bis das Problem gelöst war. Dies ist nur ein Beispiel für die vielen wertvollen Erkenntnisse, die wir in dieser Übung gewinnen und in die bestehenden Prozesse einfliessen lassen konnten.

Genau deshalb sind regelmässige Krisenübungen so wichtig. Mit jeder Simulation bringen wir alle Involvierten und Prozesse einen Schritt weiter in Richtung Krisenfähigkeit.