Szenariobasierte Compliance-Prüfungen entwickeln: Entscheidungen statt Schlagwörter prüfen

Eine Schulung kann vermitteln, was ein sicherer Fernzugang ist. Eine Prüfung sollte zusätzlich sichtbar machen, welche Entscheidung Beschäftigte in ihrer Rolle treffen, wie sie diese begründen und wann sie Unterstützung anfordern. Wer wissen möchte, wie man szenariobasierte Compliance-Prüfungen entwickelt, braucht deshalb mehr als realistisch klingende Fragen: einen freigegebenen Handlungsrahmen und nachvollziehbare Bewertungskriterien.

Als Praxisfall dient hier die Sicherheit von Betriebstechnik, kurz OT für Operational Technology. Der vorgeschlagene Workflow richtet sich an Personalentwicklung, Compliance-Verantwortliche und Teamleitungen. Er ist ein eigener redaktioneller Entwicklungsvorschlag, keine BSI-Prüfungsmethodik und keine Anleitung zur Veränderung produktiver Anlagen.

1. Anlass und Grenzen sauber trennen

Die BSI-Pressemitteilung vom 13. Oktober 2026 empfiehlt ausdrücklich, aus dem Internet erreichbare Steuerungsanlagen nach dem Stand der Technik abzusichern. Das Datum und diese Kernaussage waren bei der Recherche am 16. Oktober 2026 auf der offiziellen Seite nachvollziehbar.

Zu den genannten technischen Maßnahmen gehören das Unterbinden direkter Internetzugriffe auf Steuerungssysteme, VPN-Systeme, multifaktorgeschützte Zugriffe sowie aktuelle Systeme und kurzfristig eingespielte Sicherheitsupdates und Fehlerkorrekturen. Daraus folgt für eine Schulungsaufgabe jedoch keine pauschale Befugnis, selbstständig eine laufende Anlage umzukonfigurieren.

Halten Sie drei Ebenen getrennt:

• Behördliche Sicherheitsempfehlung: der fachliche Anlass und eine Quelle für technische Schutzziele.
• Interne Compliance-Vorgabe: die freigegebene Grundlage dafür, wer im Unternehmen welche Handlung ausführen oder genehmigen darf.
• Gesetzliche Pflicht: eine gesondert zu prüfende Frage. Dieser Leitfaden bestimmt weder die rechtliche Betroffenheit noch verbindliche Meldepflichten.

Ein bestandener Wissenstest weist keine sichere Anlage nach. Auch eine überzeugende Szenarioantwort zeigt zunächst nur die Leistung unter den Bedingungen dieser Aufgabe. Technische Wirksamkeitsprüfungen und betriebliche Freigaben bleiben davon getrennt.

2. Prüfungsziele aus Rollen und internen Vorgaben ableiten

Beginnen Sie nicht mit Antwortoptionen, sondern mit einer Rollenentscheidung. Formulieren Sie das Ziel beispielsweise so: „Die Schichtleitung kann einen Hinweis auf möglicherweise unzulässige Erreichbarkeit einordnen, ihre Zuständigkeitsgrenze benennen und den freigegebenen Eskalationsweg wählen.“ Das ist präziser als „Die Schichtleitung kennt OT-Sicherheit“.

Stellen Sie den Aufgabenautorinnen und -autoren die benötigten freigegebenen Unterlagen bereit: Arbeitsanweisung, Zuständigkeitsübersicht, Eskalationsweg, Vertretungsregelung und gegebenenfalls Vorgaben zur Dokumentation. Fehlt eine Regel, lassen Sie sie fachlich klären. Eine Prüfung darf keine improvisierte Unternehmensvorgabe erzeugen.

Definieren Sie je Rolle wenige beobachtbare Leistungen:

• Betriebspersonal: Auffälligkeit beschreiben, Fakten von Vermutungen trennen und zuständige Stellen informieren.
• Schichtleitung: Informationen zusammenführen und innerhalb der eigenen Befugnisse koordinieren.
• Technisch verantwortliche Rolle: die im Szenario vorgelegten Informationen anhand des freigegebenen Prüf- und Änderungsverfahrens beurteilen.

Diese Zuordnung ist eine Vorlage, keine Aussage über die Organisation Ihres Betriebs. Fachverantwortliche müssen Rollen, Befugnisse und erwartete Leistungen anpassen und freigeben.

3. Die ausfüllbare Szenario-Prüfmatrix

Kopieren Sie die folgende Matrix für jede Aufgabe. Tragen Sie Dokumentversionen und konkrete Kriterien ein, bevor Sie den Aufgabentext schreiben. Die dritte Spalte dient als ausfüllbarer Arbeitsbereich; verwenden Sie dort ausschließlich für den Schulungszweck freigegebene Angaben.

Die BSI-Empfehlung „Gefährdung durch internet-verbundene OT-Systeme“ richtet sich vor allem an Betreiber kleiner und kleinster industrieller Anlagen und bietet einen fachlichen Ausgangspunkt für die Prüfung entsprechender Gefährdungen. Welche internen Entscheidungen daraus abgeleitet werden, muss die zuständige Fachstelle festlegen.

4. Szenarien mit ausreichenden Informationen konstruieren

Geben Sie eine überschaubare Ausgangslage, eine klar benannte Rolle und genau einen zentralen Entscheidungspunkt vor. Legen Sie die relevanten Auszüge der internen Anweisung bei. Soll deren Anwendung geprüft werden, empfehlen wir eine Aufgabe mit zugänglichen Unterlagen statt einer reinen Gedächtnisfrage.

Nutzen Sie synthetische Anlagenbezeichnungen und erfundene Meldungen. Verzichten Sie auf echte IP-Adressen, Zugangsdaten, produktive Bildschirmansichten und personenbezogene Vorfalldaten. Die Aufgabe soll eine Entscheidung prüfen, keine Verbindung zu realen Systemen ermöglichen.

Ungewissheit darf Teil des Szenarios sein, muss aber erkennbar bleiben. „Eine freigegebene Übersicht meldet mögliche externe Erreichbarkeit“ ist etwas anderes als „Ein Angriff wurde bestätigt“. Legen Sie im Erwartungshorizont fest, welche zusätzlichen Informationen die Rolle anfordern sollte und welche Unsicherheit sie nicht selbst auflösen muss.

5. Fiktiver OT-Fall: Eine auffällige Erreichbarkeit beurteilen

Ausdrücklich fiktives Schulungsszenario: Sie sind Schichtleitung im erfundenen Betrieb Nordwerk. Eine bereitgestellte Schulungsübersicht zeigt für die Steuerung „Kühlbereich K“ den Status „möglicherweise extern erreichbar“. Der Betrieb läuft ohne gemeldete Störung. Ein Dienstleister möchte einen Fernwartungstermin bestätigen. Ob tatsächlich ein unzulässiger Zugriff möglich ist, wurde noch nicht geprüft.

Fiktive interne Vorgabe: Hinweise dieser Art werden an die OT-Bereitschaft gemeldet und im vorgesehenen internen Vorgang dokumentiert. Die Schichtleitung führt keine eigenen Zugriffstests oder Konfigurationsänderungen durch. Fernwartung benötigt die Freigabe der OT-Verantwortlichen. Ist die Bereitschaft nicht erreichbar, gilt die beigefügte Vertretungsregelung. Diese Beispielvorgabe muss vor einer betrieblichen Verwendung ersetzt oder ausdrücklich fachlich freigegeben werden.

Aufgabe: Welche nächste Handlung entspricht dieser Vorgabe? Wählen Sie eine Option und begründen Sie Ihre Entscheidung in drei bis fünf Sätzen. Nennen Sie außerdem den Eskalationsweg.

1. Den Hinweis an die OT-Bereitschaft weitergeben, im vorgesehenen Vorgang dokumentieren und die Fernwartungsfreigabe den zuständigen Verantwortlichen überlassen.
2. Den Dienstleistertermin bestätigen und den Hinweis erst bei der nächsten regulären Übergabe aufnehmen.
3. Die Erreichbarkeit zunächst eigenständig durch einen Zugriffstest überprüfen und erst danach entscheiden, ob eine Meldung nötig ist.
4. Den Fernzugang eigenständig sperren und die Änderung anschließend zur nachträglichen Freigabe vorlegen.

Erwartungshorizont: Option 1 entspricht der fiktiven Vorgabe. Eine vollständige Begründung unterscheidet den Hinweis vom bestätigten Vorfall, nennt die eigene Befugnisgrenze und verweist auf die erforderliche Freigabe. Der Eskalationsweg umfasst bei Nichterreichbarkeit auch die vorgelegte Vertretungsregelung.

Die anderen Optionen bilden unterschiedliche Fehlermuster ab: Aufschieben, eigenmächtiges Testen und eigenmächtiges Ändern. Sie sind keine empfohlenen Handlungsschritte. Technische Umsetzungshinweise gehören nicht in diese Rollenprüfung.

6. Entscheidung, Begründung und Eskalation getrennt bewerten

Eine richtige Auswahl allein reicht in diesem Entwurf nicht aus. Bewerten Sie drei Dimensionen getrennt, damit beispielsweise eine zutreffende Entscheidung mit unzureichender Begründung sichtbar bleibt. Die folgende Skala ist ein redaktioneller Vorschlag und vor dem Einsatz zu kalibrieren.

Definieren Sie zusätzlich vorab kritische Fehler. Im Beispiel wäre eine eigenmächtige Änderung entgegen der beigefügten Anweisung ein solcher Prüfpunkt. Lassen Sie fachlich festlegen, wie er die Gesamtbewertung beeinflusst; eine gute Formulierung sollte ihn nicht verdecken. Bestehensgrenze, Überprüfung und Wiederholung sind interne Festlegungen, keine hier vorgegebenen Prüfungsregeln.

7. Fachlich prüfen, pilotieren und gezielt nachschulen

Lassen Sie den Entwurf durch OT-Fachverantwortliche und die zuständige Schulungs- oder Compliance-Stelle prüfen. Kontrollieren Sie anschließend in einem kleinen Pilotdurchlauf:

• Reichen die bereitgestellten Informationen für eine begründete Entscheidung?
• Sind mehrere Antworten nach der internen Vorgabe vertretbar?
• Verraten Länge oder Wortwahl unbeabsichtigt die richtige Option?
• Bewerten zwei Prüfende dieselbe Antwort anhand der Anker vergleichbar?
• Enthält die Aufgabe missverständliche oder gefährliche Handlungsaufforderungen?

Überarbeiten Sie uneindeutige Aufgaben, bevor Sie Ergebnisse interpretieren. Ordnen Sie danach Fehler konkreten Lernbedarfen zu: Befugnisgrenze unklar, Hinweis mit bestätigtem Vorfall verwechselt, Freigabeprozess übersehen oder Vertretungsregel nicht angewendet.

Die Nachschulung sollte genau den betreffenden Punkt bearbeiten. Stellen Sie anschließend ein neues Szenario mit verändertem Kontext bereit, etwa einer nicht erreichbaren Bereitschaft. So lässt sich erneut beurteilen, ob die freigegebene Regel angewendet wird, statt nur die bekannte Antwort wiederholt zu werden.

8. Einen begrenzten Umsetzungspilot starten

Beginnen Sie mit einer Rolle, wenigen Aufgaben und einem benannten menschlichen Freigabeverantwortlichen. Versionieren Sie Aufgaben, interne Quellen und Bewertungsanker gemeinsam. Prüfen Sie bei veränderten Arbeitsanweisungen, ob Szenario und Erwartungshorizont noch zusammenpassen.

Wenn repetitive Aufbereitung und Erstbewertung viel Zeit beanspruchen, können Sie einen Schulungspilot mit SubSchool besprechen. SubSchool beschreibt bearbeitbare Schulungen aus freigegebenen Materialien, rollenbezogene Aufgaben und eine strukturierte KI-Erstbewertung mit menschlicher Prüfung. Lehrende und Fachverantwortliche behalten die Autorenschaft; die abschließende pädagogische Bewertung und die fachliche Freigabe bleiben bei den zuständigen Menschen. Der Pilot dient dazu, den eigenen Ablauf zu erproben – nicht dazu, Anlagensicherheit oder Lernerfolg zu garantieren.