Best Practices

​

Überblick

​

Formular-Ausfüllung

​

Sektion 1: Kontext & Setting

Rolle: IT-Sicherheitsbeauftragter einer Stadtwerke-Gesellschaft
mit 450 Mitarbeitern, verantwortlich für kritische Infrastruktur
(Wasser, Strom, Gas) in einer 80.000-Einwohner-Stadt

Rolle: IT-Sicherheitsbeauftragter

​

Sektion 2: Der Vorfall

• Minor Incident: Stunden (4-8h)
• Moderate Incident: 1-2 Tage
• Major Incident: 2-4 Tage
• Catastrophic: 1-2 Wochen

​

Sektion 3: Szenario-Dynamik

• Opening: Maximal 1 Verzweigung (Grundrichtung festlegen)
• Escalation: 40-50% der Verzweigungen (Krisenbewältigung)
• Peak: 30-40% der Verzweigungen (Kritische Entscheidungen)
• Resolution: 10-20% (Nachbereitung)

​

Sektion 4: Lernziele

• “Entscheidungen unter Zeitdruck mit unvollständigen Informationen treffen”
• “Priorisierung von Maßnahmen bei begrenzten Ressourcen”
• “Effektive Krisenkommunikation mit verschiedenen Stakeholder-Gruppen”

• “Gutes Krisenmanagement”
• “Richtig entscheiden”
• “Kommunikation verbessern”

​

Sektion 5: Anpassung & Kontext

Dr. Sarah Müller - Chefärztin Innere Medizin, 15 Jahre
Berufserfahrung, pragmatisch aber risikoavers, respektiert
aber manchmal ungeduldig mit IT-Abteilung

Thomas Schmidt - IT-Leiter, 8 Jahre im Haus, technisch
sehr kompetent, neigt zu technischem Jargon, arbeitet
gut unter Druck

Dr. Müller - Chefärztin
Thomas - IT-Leiter

• Professionell: Für C-Level Trainings
• Realistisch: Standard für operative Ebene
• Dramatisch: Nur für sehr schwere Szenarien (Catastrophic)

​

TOC-Generierung & Freigabe

​

Event-Anzahl kalkulieren

Mittel-Szenario, 4 Verzweigungen:
→ 20 Basis-Events + (4 × 2.5) = ~30 Events

Lang-Szenario, 7 Verzweigungen:
→ 40 Basis-Events + (7 × 3) = ~61 Events

​

TOC-Qualitätsprüfung

​

TOC-Feedback bei Regenerierung

"Zu wenig Spannung in Escalation-Phase. Events e8-e15
sollten mehr Druck aufbauen: Stakeholder werden ungeduldig,
Medien greifen Thema auf, Zeitdruck steigt. Bitte 2-3
zusätzliche Events in dieser Phase für Spannungsaufbau."

"Besser machen"
"Mehr Events"

​

Event-Review

​

Narrative Qualität beurteilen

​

1. Immersion (2. Person Singular)

Du betrittst den Serverraum. Die LED-Anzeigen blinken unregelmäßig,
ein leises Summen erfüllt den klimatisierten Raum. Thomas steht vor
einem Terminal, Schweiß perlt von seiner Stirn. "Es wird schlimmer",
sagt er, ohne aufzublicken. "Drei weitere Server sind offline gegangen."

Der IT-Sicherheitsbeauftragte betritt den Serverraum. Thomas sagt,
dass drei weitere Server offline gegangen sind.

​

2. Sensorische Details

• Visuell: LED-Anzeigen blinken, Monitore zeigen Fehler
• Auditiv: Summen, Alarme, Gespräche
• Taktil: Schweiß, Kälte der Klimaanlage, zitternde Hände
• Optional: Geruch (brennende Elektronik), Geschmack (trockener Mund)

​

3. Charakterentwicklung

Dr. Müller verschränkt die Arme. "Das kann ich meinen Patienten
nicht erklären." Ihr Ton ist scharf, aber du erkennst die Sorge
in ihren Augen.

Dr. Müller sagt, dass sie besorgt ist.

​

4. Spannungsaufbau

Dein Telefon vibriert zum dritten Mal in zwei Minuten. Die
Geschäftsleitung. Du ignorierst den Anruf - jetzt zählt jede
Sekunde für die Wiederherstellung.

Die Situation ist angespannt.

​

Event-Längen optimieren

​

Branching-Optionen gestalten

1. Klar unterscheidbar sein
2. Plausibel klingen (keine offensichtlich “falsche” Option)
3. Konsequenzen haben (unterschiedliche Pfade)

"Informiere sofort die Geschäftsleitung und aktiviere den
Krisenstab. Transparenz ist jetzt wichtig, auch wenn wir
noch keine vollständige Lageeinschätzung haben."

"Sammle erst alle Fakten und erstelle eine fundierte Analyse.
Die Geschäftsleitung sollte erst informiert werden, wenn wir
klare Handlungsempfehlungen haben."

"Konzentriere dich auf technische Schadensbegrenzung. Isoliere
betroffene Systeme und starte Wiederherstellung, bevor du
eskalierst."

• Offensichtlich “richtige” vs. “falsche” Optionen
• Zu ähnliche Formulierungen
• Unrealistische Optionen

​

Assessment-Qualität sichern

Frage: In dieser Situation sollte die erste Priorität sein:

A) Externe Kommunikation vorbereiten (korrekt)
B) Forensische Analyse starten
C) Systeme sofort neu starten
D) Backup-Wiederherstellung beginnen

Erklärung: Bei einem laufenden Angriff ist schnelle externe
Kommunikation essentiell, um Reputation zu schützen und
Stakeholder zu informieren (NIS-2 Meldepflicht). Forensik
und technische Maßnahmen laufen parallel, aber Kommunikation
muss sofort erfolgen.

Frage: Wie lange hat man für NIS-2 Meldung Zeit?

A) 24 Stunden (korrekt)
B) 48 Stunden
C) 72 Stunden
D) 1 Woche

Erklärung: Laut NIS-2 sind es 24 Stunden.

Frage: Basierend auf Dr. Müllers Bedenken und der aktuellen
Patientensituation, welche Maßnahme ist jetzt am wichtigsten?

[Optionen beziehen sich auf vorherigen Event-Kontext]

Frage: Was ist generell wichtig im Krisenmanagement?

Erklärung: Option A (korrekt) priorisiert Patientensicherheit,
was in dieser Situation ethisch und rechtlich geboten ist.
Option B wäre kosteneffizienter, ignoriert aber Compliance-
Risiken. Option C bietet einen Mittelweg, benötigt aber mehr
Zeit als verfügbar.

Erklärung: A ist richtig.

​

Validierung & Problembehebung

​

Proaktive Validation (während Review)

1. Erkennt Probleme früh
2. Spart Zeit (keine 45 Events nochmal durchgehen)
3. Verhindert kaskadenartige Fehler

​

Timeline-Probleme vermeiden

1. Bei linearen Abschnitten: Zeit in ~1-2 Stunden-Schritten
2. Bei Verzweigungen: Alle Pfade sollten ähnlich viel Zeit brauchen
3. Bei Konvergenz: Zeit des “langsamsten” Pfads verwenden

e10 [gemeinsam]: 10:00 Uhr
├─ e11a [Pfad A]: 10:30 Uhr → e12a: 11:15 Uhr → e13 [Konvergenz]
└─ e11b [Pfad B]: 10:45 Uhr → e12b: 11:20 Uhr → e13 [Konvergenz]

e13 Zeit: 11:20 Uhr (oder später)
→ Beide Pfade sind bis 11:20 angekommen

​

NPC-Konsistenz wahren

1. Namesliste führen (im Formular Sektion 5):
   Dr. Sarah Müller (IMMER "Dr. Müller", nie "Frau Müller" oder "Chefärztin")
   Thomas Schmidt (IMMER "Thomas", nie "Herr Schmidt" oder "IT-Leiter")
   
2. Bei Regenerierung: Immer feedback geben
   "Bitte exakte Namen verwenden: Dr. Müller (nicht Frau Müller)"
   
3. Rollen konsistent halten:
   • Nicht: Event 5 “IT-Leiter Thomas” → Event 12 “Sicherheitsbeauftragter Thomas”

​

Kosten-Optimierung

​

Token-Sparende Praktiken

​

Typische Gesamt-Kosten

​

Workflow-Optimierung

​

Zeitplan für Szenario-Erstellung

​

Effiziente Review-Strategien

• Vermeidet “Review-Müdigkeit” (nicht 80 Events am Stück)
• Frühe Validierung erkennt Muster-Fehler
• Besser planbar

​

Team-Workflows

• Person A: Formular & TOC
• Person B: Event-Review Opening + Escalation
• Person C: Event-Review Peak + Resolution
• Person A: Validierung & Export

• Person A: Erstellt Szenario (Formular → Review)
• Person B: Qualitätskontrolle (Re-Review, Validierung)
• Person A: Behebung basierend auf Feedback
• Person B: Finale Freigabe

​

Qualitätskontrolle

​

Checkliste für professionelle Szenarien

​

Story & Immersion

​

Logik & Konsistenz

​

Lernziele & Pädagogik

​

Technische Qualität

​

Häufige Fehler & wie man sie vermeidet

​

Qualitäts-Benchmarks

​

Was macht ein “exzellentes” Szenario aus?

​

Benchmarking Ihrer Szenarien

​

Spezial-Themen

​

Sehr große Szenarien (100+ Events)

1. Modularer Aufbau: Denken Sie in “Kapiteln”
   • Kapitel 1: Initial Response (20 Events)
   • Kapitel 2: Escalation & Management (30 Events)
   • Kapitel 3: Crisis Peak (25 Events)
   • Kapitel 4: Resolution & Lessons (25 Events)
2. Mehr Konvergenzpunkte: Alle 15-20 Events
   • Verhindert exponentielles Wachstum
   • Erleichtert Testing
3. Zwischenvalidierungen: Nach jedem Kapitel
   • Früherkennung von Mustern-Fehlern
4. Team-basierter Review: Eine Person kann nicht 100+ Events in einem Durchgang reviewen

​

Multi-Language Szenarien

1. Erstellen Sie zuerst die Hauptsprache (z.B. Deutsch)
2. Exportieren Sie das fertige Szenario
3. Für zweite Sprache:
   • Nutzen Sie identisches Formular
   • Ändern Sie NUR die Sprache auf Englisch
   • TOC wird ähnlich strukturiert sein
   • Event-Review kann schneller gehen (Sie kennen die Story)

​

Compliance-fokussierte Szenarien (NIS-2, KRITIS)

1. Compliance-Checkpoints als eigene Events
   • z.B. Event 8: “Meldepflicht-Check”
   • Assessment danach testet Meldefristen-Wissen
2. Dokumentations-Fokus:
   • NPCs erwähnen: “Das muss dokumentiert werden”
   • Spieler “erstellt” Berichte (narrativ)
3. Rechtliche Konsequenzen in Branching:
   • Pfad A (compliant): Keine Konsequenzen
   • Pfad B (non-compliant): Bußgeld, Audit-Szenario

​

Ressourcen & Weiterführendes

​

Empfohlene Lernreihenfolge

​

Community Best Practices

1. “Iteratives Prototyping” (von @user_max):
   • Erstelle Minimal-Version (15 Events, linear)
   • Teste mit 2-3 Probanden
   • Erweitere basierend auf Feedback → Verhindert große Umarbeitungen
2. “NPC-Bibel” (von @trainer_sarah):
   • Führe ein separates Dokument mit allen NPCs
   • Notiere Name, Rolle, Persönlichkeit, Sprechstil
   • Kopiere relevante Teile in Formular Sektion 5 → Garantiert Konsistenz
3. “Pfad-Matrix” (von @scenario_pro):
   • Erstelle Excel-Sheet: Zeilen = Events, Spalten = Pfade
   • Markiere welcher Event auf welchem Pfad erscheint
   • Visualisiert Pfadlängen und Balance → Verhindert kurze/lange Pfad-Asymmetrien

​

Zusammenfassung: Die 10 goldenen Regeln

​

Nächste Schritte