Üben und nachhalten: Programm, Befunde, Planpflege

Ein Übungsprogramm, das seit vier Jahren dasselbe Szenario reibungslos durchspielt, misst die Übung und nicht mehr die Fähigkeit. Dieses Modul zeigt, wie aus Einzelterminen ein Programm wird: welche der drei Aktivitäten — Test, Training, Übung — welche Frage am günstigsten beantwortet, warum die ungeübte Achse den größten Erkenntniswert trägt, warum Befunde ohne Eigentümer und Termin nur Notizen sind, und warum eine Leistungsverbesserung an einer Datenbank den Wiederanlaufplan ungültig machen kann, ohne dass irgendetwas eine Meldung erzeugt.

Lehrtext · 11 Abschnitte · zuletzt geprüft: 2026-09-04

Drei Wörter, die nicht dasselbe bedeuten

Im Alltag heißt alles „Test“. NIST SP 800-34 unterscheidet drei Tätigkeiten, und die Unterscheidung ist nützlich, weil jede eine andere Frage beantwortet und anderen Aufwand kostet.

Test: Ein Bewertungswerkzeug, das mit quantifizierbaren Kennzahlen die Funktionsfähigkeit eines Systems in einer betriebsnahen Umgebung prüft. Antwortet auf: Hält die Technik die Zahl ein?
Training: Vermittelt den Beteiligten ihre Rollen und Zuständigkeiten und die dazu nötigen Fähigkeiten — als Vorbereitung auf Übungen, Tests und den Ernstfall. Antwortet auf: Weiß jeder, was er tut?
Übung: Eine Simulation eines Notfalls, die einen oder mehrere Aspekte des Plans auf Tragfähigkeit prüft — im Gespräch oder in einer simulierten Betriebsumgebung, ausdrücklich ohne die echte Produktivumgebung zu benutzen. Antwortet auf: Trägt der Plan?

Der praktische Nutzen dieser Trennung liegt im Zuschnitt: Wer feststellt, dass das Team seine Rollen nicht kennt, braucht Training und keine weitere Übung. Wer wissen will, ob die Wiederanlaufzeit stimmt, braucht einen Test mit Messwerten und keine Gesprächsrunde. Die häufigste Verschwendung in diesem Bereich ist eine aufwendige Übung, die eine Frage beantwortet, für die eine Stunde Training gereicht hätte.

Warum die Unterscheidung Geld spartSie erlaubt es, den billigsten Weg zur offenen Frage zu wählen. „Kennt die Rufbereitschaft den Meldeweg?“ beantwortet eine halbe Stunde Training. „Ist der Meldeweg im Ausfall überhaupt erreichbar?“ beantwortet eine Planbesprechung. „Halten wir die vier Stunden?“ beantwortet nur ein Test mit Uhr. Wer alle drei Fragen mit demselben Format angeht, bezahlt das teuerste für alle.

Zwei Übungsarten und der Abstand zwischen ihnen

Der Leitfaden nennt zwei Grundarten, und sie unterscheiden sich weniger im Thema als in dem, was sie kosten und was sie beweisen.

Planbesprechung: Rein gesprächsbasiert. Die Beteiligten treffen sich, eine Moderation stellt ein Szenario vor und stellt Fragen; daraus entsteht eine Diskussion über Rollen, Zuständigkeiten, Abstimmung und Entscheidungen. Kostet einen halben Tag und findet Lücken im Denken.
Funktionsübung: Die Beteiligten führen ihre Aufgaben in einer simulierten Betriebsumgebung aus — so, wie sie es im Ernstfall täten. Sie reicht von einzelnen Aspekten bis zur Vollübung über alle Planbestandteile. Kostet Tage und findet Lücken in der Wirklichkeit.
Der Abstand dazwischen: Eine Planbesprechung findet, was niemand bedacht hat. Eine Funktionsübung findet, was nicht funktioniert. Beide Mengen überschneiden sich weniger, als man erwartet.

Warum die günstige Form zuerst kommtEine Planbesprechung deckt in einem halben Tag die groben Fälle auf: unbenannte Zuständigkeiten, fehlende Meldewege, widersprüchliche Annahmen über die Reihenfolge. Wer stattdessen mit einer Vollübung beginnt, findet dieselben Punkte für den zwanzigfachen Aufwand — und bindet dafür Personen, die in dieser Zeit den Betrieb nicht führen. Die sinnvolle Reihenfolge ist deshalb: besprechen, korrigieren, dann funktional prüfen.

Das Szenario ist die eigentliche Entscheidung

Übungen sind szenariogetrieben — ein Stromausfall in einem Rechenzentrum, ein Feuer, das bestimmte Systeme beschädigt — und im Verlauf kommen häufig weitere Ereignisse dazu. Welches Szenario gewählt wird, entscheidet mehr über den Erkenntniswert als die Sorgfalt der Durchführung.

Der schlimmste Fall oder der wahrscheinlichste — der Leitfaden nennt beide als zulässige Wahl. Sie liefern verschiedene Erkenntnisse und sollten sich über die Jahre abwechseln.
So nah an der Wirklichkeit wie möglich. Ein Szenario, das die Beteiligten als konstruiert empfinden, erzeugt konstruierte Antworten.
Der Plan zur Übung braucht ausdrückliche Ziele und Erfolgskriterien, einen Zeitplan mit Beteiligten sowie klaren Umfang, Szenario und Ablauf.
Die unbekannte Achse. Der größte Erkenntnisgewinn liegt dort, wo bisher nicht geübt wurde — ein anderer Dienst, eine andere Tageszeit, ein anderer Ausfallgrund.

Die Achse, die am häufigsten fehltDie Verfügbarkeit von Menschen. Fast alle Übungen finden zur Arbeitszeit statt, mit den Zuständigen im Haus und angekündigt. Der Ernstfall hält sich nicht daran. Eine Übung, in der die Hauptzuständige ausdrücklich als „nicht erreichbar“ gesetzt wird, kostet nichts zusätzlich und findet regelmäßig mehr als eine technische Vollübung.

Vom Einzeltermin zum Programm

Ein Programm ist laut Leitfaden ein Rahmen, um Übungs- und Testaktivitäten zu bestimmen, zu planen und mit Zielen zu versehen. Der Unterschied zum Einzeltermin ist nicht die Zahl der Veranstaltungen, sondern dass jemand über mehrere Jahre steuert, was geprüft wurde und was nicht.

Was ein Programm festlegt: Welche Dienste, welche Szenarien, welche Art, welcher Takt — und wer das entscheidet.
Wie der Takt entsteht: Aus der Schutzklasse: Systeme mit höherer Auswirkung werden häufiger geprüft. Der Leitfaden verlangt zusätzlich Aktivitäten nach organisatorischen oder technischen Änderungen.
Was die Abdeckung sichtbar macht: Eine einfache Tabelle Dienst mal Jahr mit dem Datum der letzten Prüfung. Sie zeigt in einem Blick, welche Ecken seit Jahren unberührt sind.

Für ein kleines Team ist ein realistisches Programm klein: vier Termine im Jahr, davon zwei Planbesprechungen und zwei technische Tests, mit wechselnden Diensten und wechselnden Szenarien. Das kostet etwa acht Personentage jährlich und deckt über drei Jahre den größten Teil der obersten Schutzklasse ab — deutlich mehr, als eine jährliche Vollübung je erreicht.

Die Tabelle, die das Programm sichtbar machtEine Zeile je Dienst der obersten beiden Klassen, eine Spalte je Jahr, in den Feldern das Datum und die Art der letzten Prüfung. Mehr braucht es nicht, und sie beantwortet in fünf Sekunden die Frage, die sonst niemand beantworten kann: Welche Dienste wurden seit drei Jahren nicht angefasst? Erfahrungsgemäß sind es die, über die niemand nachdenkt — und das ist genau die Auswahl, die den größten Erkenntnisgewinn verspricht.

Befunde schließen, nicht sammeln

Für jede durchgeführte Aktivität verlangt der Leitfaden einen Nachbericht, in dem die Ergebnisse dokumentiert werden, und die daraus gewonnenen Erkenntnisse als Korrekturmaßnahmen, mit denen der Plan aktualisiert wird. Beides zusammen ist der Punkt, an dem aus einer Übung eine Verbesserung wird — und der Punkt, an dem die meisten Programme versanden.

Jeder Befund bekommt einen Eigentümer und einen Termin. Ein Befund ohne beides ist eine Notiz.
Der Befund wird gegen den Plan geschlossen, nicht gegen ein Ticket: Was geändert wurde, steht danach im Runbook oder im Vertrag.
Offene Befunde werden fortgeschrieben und in der nächsten Übung ausdrücklich mit geprüft.
Die Zahl der offenen Befunde gehört in den Bericht — sie ist der ehrlichste Indikator dafür, ob das Programm wirkt.

Die Kennzahl, die den Zusammenhang zeigtNIST SP 800-184 nennt als Beispielkennzahl die in Übungen oder Tests gefundenen Lücken, als Anzahl. Sie steigt, wenn die Übungen schwerer werden, und sinkt erst, wenn die Lücken tatsächlich geschlossen sind. Ein Programm, das jahrelang null Lücken meldet, hat entweder ein perfektes Verfahren oder zu einfache Übungen — und die zweite Erklärung ist die wahrscheinlichere.

In der Praxis entstehen aus einer ernsthaften Übung zwischen fünf und fünfzehn Befunde, und die meisten sind klein: ein fehlender Kontakt, ein veralteter Pfad, eine unklare Zuständigkeit. Genau deshalb ist die Nachbereitung machbar, wenn sie sofort stattfindet — und aussichtslos, wenn sie ein Quartal wartet. Der wirksamste Termin ist eine Stunde unmittelbar nach der Übung, in der jeder Befund einen Namen und ein Datum bekommt; die Bearbeitung selbst darf danach dauern.

Die Planpflege gehört in das Änderungsverfahren

Ein Plan muss laut Leitfaden in einem einsatzbereiten Zustand gehalten werden, der die tatsächlichen Systemanforderungen, Abläufe, Organisationsstruktur und Richtlinien abbildet — und dazu regelmäßig im Rahmen des Änderungsverfahrens überprüft und aktualisiert werden. Als Faustregel nennt er eine Prüfung in festgelegtem Turnus oder bei jeder erheblichen Änderung an einem Planbestandteil.

Die Leistungsverbesserung, die den Plan ungültig machte

Szenario

Zur Verbesserung der Schreibleistung wird das Vorabprotokoll einer Datenbank auf einen eigenen Datenträger verschoben — bei PostgreSQL also das Verzeichnis pg_wal. Die Änderung wird als reine Leistungsmaßnahme geführt und ohne Bezug zum Wiederanlaufplan umgesetzt. Die Sicherung meldet weiterhin grün.

Anforderungen

Die Auswirkung auf die Wiederherstellbarkeit soll erkannt werden.
Der Weg dorthin soll nicht von der Aufmerksamkeit einzelner Personen abhängen.

Schritte

Die Wirkung benennen: Der Bestand liegt jetzt über zwei Dateisysteme verteilt, und laut PostgreSQL-Dokumentation gibt es dann möglicherweise keinen Weg zu exakt gleichzeitigen Snapshots — die bisherige Sicherungsmethode ist damit nicht mehr tragfähig.
Feststellen, dass nichts davon eine Meldung erzeugt: Die Sicherung läuft weiter erfolgreich, und der Fehler zeigt sich erst beim Restore.
Den strukturellen Auslöser einbauen: Im Änderungsverfahren steht die Frage, ob die Änderung einen Dienst mit Schutzklasse berührt — und wenn ja, wer den Konsistenzpunkt bewertet.
Den Rückverweis ergänzen: Im Recovery-Vertrag des Dienstes steht, welche Systeme und Datenträger er betrifft, damit die Frage überhaupt beantwortbar ist.
Das Nachweisalter des Dienstes zurücksetzen, weil der letzte Restore-Test einen Aufbau geprüft hat, den es nicht mehr gibt.

Merksatz: Änderungen, die die Wiederherstellbarkeit betreffen, sind selten als solche etikettiert — sie heißen Leistungsverbesserung, Migration oder Aufräumen. Deshalb muss die Frage im Änderungsverfahren stehen und nicht in der Aufmerksamkeit derjenigen, die zufällig beides überblicken.

Zwei Verweisrichtungen, sonst funktioniert es nichtIm Änderungsverfahren steht die Frage „berührt das einen Dienst mit Schutzklasse?“, und im Recovery-Vertrag steht, welche Systeme, Datenträger und Abhängigkeiten dieser Dienst umfasst. Ohne die zweite Richtung ist die erste nicht beantwortbar — wer eine Änderung an einem Datenträger plant, weiß in der Regel nicht, welcher Dienst daran hängt. Genau diese Zuordnung entsteht im Inventarmodul, und hier zeigt sich ihr zweiter Nutzen.

Was bei einer Planprüfung mindestens angesehen wird

Der Leitfaden nennt eine Mindestliste für die turnusmäßige Prüfung. Sie ist kurz und deckt genau die Punkte ab, die still veralten.

Betriebliche Anforderungen und Sicherheitsanforderungen.
Technische Abläufe.
Hardware, Software und sonstige Ausstattung — Typen, Spezifikationen, Mengen.
Namen und Kontaktdaten der Teammitglieder.
Namen und Kontaktdaten der Lieferanten, einschließlich der Ansprechpartner für Ausweichstandort und externe Lagerung.
Anforderungen an Ausweichstandort und externe Aufbewahrung.
Wichtige Unterlagen, elektronisch und auf Papier.

Die Zeile mit der kürzesten HalbwertszeitDie Kontaktdaten. Der Leitfaden hält ausdrücklich fest, dass bestimmte Bestandteile — genannt werden Kontaktlisten — häufigere Prüfungen brauchen als der Rest des Plans, und dass Pläne für Systeme mit höherer Auswirkung insgesamt öfter zu prüfen sind. Eine Kontaktliste, die zwei Jahre alt ist, enthält erfahrungsgemäß mehrere nicht mehr gültige Nummern — und sie wird genau dann gebraucht, wenn das Adressbuch im ausgefallenen System liegt.

Die vorletzte Zeile verdient eine eigene Bemerkung, weil sie über den eigenen Betrieb hinausreicht: Ansprechpartner bei Lieferanten, ausdrücklich auch für Ausweichstandort und externe Lagerung. Diese Kontakte veralten schneller als die eigenen, werden nie im Alltag gebraucht und sind im Ernstfall die, die den Unterschied machen — wer nachts ein Band aus dem externen Lager holen lassen muss, braucht eine Nummer, die jemand abnimmt.

Wo der Plan liegt und wer ihn hat

Ein Wiederanlaufplan enthält betriebliche und personenbezogene Angaben und ist damit selbst schutzbedürftig. Der Leitfaden verlangt entsprechend, seine Verteilung zu kennzeichnen und zu steuern — und nennt zugleich zwei Ablageorte, die dieses Modul mit dem Rest des Tracks verbinden.

Kurzcheck

Der Wiederanlaufplan liegt im Dokumentenmanagement des Unternehmens und zusätzlich ausgedruckt im Büro der IT-Leitung. Welcher dokumentierte Ablageort fehlt?

Eine Kopie am Ausweichstandort und bei den Sicherungsmedien.
Eine Kopie bei jeder Person mit einer Rolle im Plan.
Eine Kopie bei einem externen Dienstleister mit Verschwiegenheitsvereinbarung.

Treffer. Richtig. Der Leitfaden nennt beides ausdrücklich: eine Kopie am Ausweichstandort, damit der Plan verfügbar ist, wenn die örtlichen Kopien wegen des Schadens nicht erreichbar sind — und eine bei den Sicherungsmedien.

Dazu kommt eine Buchführungspflicht, die klein aussieht und im Ernstfall zählt: Es ist festzuhalten, wie viele Kopien es gibt und wer sie hat. Das dient zwei Zwecken gleichzeitig — der Aktualisierung, denn veraltete Kopien im Umlauf sind gefährlicher als keine, und der Vertraulichkeit.

Der stille Konflikt in diesem AbschnittVerfügbarkeit und Vertraulichkeit ziehen hier in verschiedene Richtungen. Ein Plan, der überall liegt, ist im Ernstfall sicher erreichbar und ein lohnendes Ziel — er enthält Systemnamen, Abläufe, Ansprechpartner und manchmal Hinweise auf Zugangswege. Die dokumentierte Auflösung ist nicht Geheimhaltung, sondern kontrollierte Verteilung: wenige, benannte Orte, gekennzeichnet, mit Buchführung darüber, wer eine Kopie hat. Wer stattdessen auf Geheimhaltung setzt, hat im Ernstfall einen Plan, den niemand findet.

Die Rolle, die das Programm trägt

Ein Übungs- und Pflegeprogramm scheitert selten an fehlender Einsicht und fast immer an fehlender Zuständigkeit. Es besteht aus lauter Aufgaben, die dringlicher werdende Arbeit verdrängt — Termine ansetzen, Befunde nachhalten, Kontaktlisten prüfen, Nachweisalter fortschreiben.

Eine benannte Person mit dieser Aufgabe im Zielbild, nicht nebenbei. In kleinen Betrieben ist das ein Anteil einer Stelle, kein Vollzeitthema.
Ein fester Termin je Quartal, an dem das Programm angesehen wird — Abdeckungstabelle, offene Befunde, Nachweisalter.
Eine Berichtslinie, damit die Ergebnisse jemanden erreichen, der Ressourcen bewegen kann.
Ein Mandat für unangenehme Übungen, sonst werden über die Jahre nur noch die Szenarien geübt, die gut ausgehen.

Der ehrliche MindestumfangWenn nur eines geht: eine Planbesprechung im Jahr, ein technischer Test im Jahr, ein Nachbericht mit Befunden samt Eigentümer und Termin, und die Frage nach dem Wiederanlaufplan im Änderungsverfahren. Das sind etwa vier Personentage jährlich und deutlich mehr, als die meisten Betriebe heute tun.

Die vierte Zeile klingt nach Formalie und ist der Kern. Ein Programm ohne Mandat entwickelt über die Jahre eine Schlagseite zu Szenarien, die gut ausgehen: Man übt den Dienst, der zuverlässig zurückkommt, mit dem Team, das den Ablauf kennt, zur besten Tageszeit. Die Erfolgsquote steigt, der Erkenntniswert fällt gegen null, und niemand kann es benennen, weil jede einzelne Übung gut war.

Was das Programm nicht leistet

Übungen erzeugen keine Wiederherstellbarkeit. Sie machen sichtbar, wo sie fehlt — und sie halten das Wissen darüber wach, wenn zwischen zwei Ernstfällen Jahre liegen. Wer beide Wirkungen erwartet, wird enttäuscht; wer nur die erste erwartet, unterschätzt den größeren Teil des Nutzens.

Der zweite Teil ist der schwerer messbare und im Ernstfall der wertvollere: Menschen, die den Ablauf einmal gemacht haben, treffen unter Druck andere Entscheidungen als Menschen, die ihn nur gelesen haben. Diese Wirkung taucht in keiner Kennzahl auf und ist der Grund, warum die Beteiligung der richtigen Personen wichtiger ist als der technische Umfang der Übung.

Abgrenzung

Der Nachweis eines einzelnen Restores steht im Modul über Restore-Validierung; die Kennzahlen, in die die Ergebnisse einfließen, im Modul über Observability und Assurance. Hier geht es um das Programm darüber und um die Pflege der Unterlagen.

NachbartracksÜbungsformate für Störungsbearbeitung und kontrollierte Fehlerinjektion stehen in monitoring-incident-operations; Änderungs- und Freigabeverfahren als Disziplin in itsm-operations. Hier interessiert nur der Ausschnitt, der Wiederherstellbarkeit prüft und erhält.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität4 Primärquellen · zuletzt geprüft: 2026-09-04