IT-Notfallplan erstellen: Schritt-für-Schritt-Anleitung für KMU
Am Morgen nach einem Vorfall entscheiden die ersten zwei Stunden über einen großen Teil des Schadens. In dieser Zeit muss klar sein, wer entscheidet, wen man anruft, welche Systeme sofort vom Netz gehen und wie das Unternehmen ohne IT weiterarbeitet. Ohne Vorbereitung wird all das improvisiert, unter Zeitdruck und mit unvollständigen Informationen.
Ein IT-Notfallplan ist kein Dokument für die Ablage, sondern eine Handlungsanweisung für Menschen, die gerade unter Druck stehen und keinen Zugriff auf ihre Systeme haben.
Dieser Ratgeber zeigt, wie ein solcher Plan aufgebaut wird, was tatsächlich hineingehört und woran die meisten Notfallpläne im Ernstfall scheitern.
Was ein Notfall ist und was nicht
Der erste Schritt ist eine Definition, die jeder im Unternehmen versteht. Ein defekter Drucker ist eine Störung, ein Ausfall der Warenwirtschaft über mehrere Stunden ist ein Notfall. Ohne diese Abgrenzung wird der Plan entweder bei Kleinigkeiten gezogen oder im Ernstfall zu spät.
Bewährt hat sich eine Einteilung nach Auswirkung statt nach Ursache: Kann das Unternehmen weiterarbeiten, arbeitet es eingeschränkt weiter, oder steht der Betrieb? Die dritte Stufe löst den Plan aus, unabhängig davon, ob die Ursache ein Angriff, ein Hardwaredefekt oder ein Wasserschaden ist.
Warum das zählt: Der Plan muss auch dann greifen, wenn die Ursache in den ersten Stunden noch völlig unklar ist.
Legen Sie zusätzlich fest, wer diese Einstufung vornimmt. In der Praxis ist das häufig die Person, die den Vorfall zuerst bemerkt, und die ist selten aus der IT. Deshalb muss die Beschreibung ohne Fachbegriffe auskommen: Wenn mehrere Kollegen nicht mehr an ihre Dateien kommen oder ungewöhnliche Meldungen auf den Bildschirmen erscheinen, gilt der Fall bis zum Beweis des Gegenteils als Notfall.
Die Alarmierungskette
Der wichtigste Teil des Plans passt auf eine Seite: Wer ruft wen an, in welcher Reihenfolge, unter welcher Nummer.
- Wer stellt den Notfall fest und wer darf ihn ausrufen, inklusive namentlicher Vertretung
- Die interne Kette mit Mobilnummern, nicht mit Durchwahlen der Telefonanlage
- Der IT-Dienstleister mit Notfallnummer und vereinbarter Reaktionszeit
- Externe Stellen: Cyberversicherung, Datenschutzbeauftragter, gegebenenfalls Rechtsbeistand
- Die zuständige Polizeidienststelle, in Nordrhein-Westfalen die Zentrale Ansprechstelle Cybercrime
Jede Nummer bekommt eine Vertretung. Ein Notfall an einem Freitagabend im Sommer trifft regelmäßig auf Urlaubszeit, und ein Plan mit genau einer Telefonnummer pro Rolle ist dann wertlos.
Neben den Nummern gehört in diesen Abschnitt eine klare Entscheidungsbefugnis. Wer darf im Ernstfall den Internetzugang trennen, Systeme herunterfahren oder die Produktion anhalten, ohne vorher Rücksprache zu halten? Ohne diese Festlegung vergeht wertvolle Zeit mit der Suche nach jemandem, der die Entscheidung verantwortet.
Sofortmaßnahmen in den ersten Stunden
Für die häufigsten Szenarien gehören konkrete erste Schritte in den Plan, formuliert als Anweisung, nicht als Empfehlung.
Bei einer vermuteten Verschlüsselung gilt: betroffene Systeme vom Netz trennen, aber nicht ausschalten, weil im Arbeitsspeicher wichtige Spuren liegen. Sicherungsmedien sofort physisch trennen, damit sie nicht ebenfalls erfasst werden. Nichts löschen, nichts aufräumen, alles dokumentieren.
Für dieses Szenario haben wir die Abfolge in einem eigenen Ratgeber zu Sofortmaßnahmen bei einem Ransomware-Angriff ausführlich beschrieben.
Bei einem übernommenen Konto sind die ersten Schritte andere: Sitzungen zentral beenden, Passwort ändern, neu eingerichtete Postfachregeln und Weiterleitungen prüfen und die Anmeldeprotokolle sichern, bevor sie aus dem Aufbewahrungszeitraum fallen.
Für alle Szenarien gilt eine gemeinsame Regel: dokumentieren, was getan wurde, mit Uhrzeit. Ein einfaches Blatt Papier reicht. Diese Aufzeichnung ist später die Grundlage für die Meldung an die Aufsichtsbehörde, für die Versicherung und für die Frage, ab wann welche Systeme als sauber gelten dürfen.
Der Notbetrieb
Der Teil, der am häufigsten fehlt: Wie arbeitet das Unternehmen weiter, solange die IT steht? Diese Frage lässt sich nicht von der IT beantworten, sondern nur von den Fachabteilungen.
- Welche drei bis fünf Prozesse müssen zwingend weiterlaufen, etwa Auftragsannahme, Versand oder Erreichbarkeit
- Wie funktionieren diese Prozesse ohne die üblichen Systeme, notfalls auf Papier
- Welche Informationen müssen dafür in ausgedruckter Form vorliegen, etwa Kunden- und Lieferantenlisten
- Wer informiert Kunden, Lieferanten und Mitarbeiter, über welchen Kanal und mit welchem Text
- Wie werden die im Notbetrieb entstandenen Daten später nachgepflegt
Der letzte Punkt wird regelmäßig übersehen und erzeugt nach der Wiederherstellung wochenlange Nacharbeit. Wer im Notbetrieb sauber protokolliert, spart sich das.
Denken Sie auch an die Kommunikationswege selbst. Wenn Postfächer und Telefonanlage betroffen sind, brauchen Sie einen Ausweichkanal, den alle kennen: eine Gruppe auf privaten Mobiltelefonen, eine externe Mailadresse, eine Telefonliste auf Papier. Diese Alternative im Ernstfall erst aufzubauen, kostet Stunden.
Meldepflichten und Fristen
Ein Sicherheitsvorfall löst je nach Sachverhalt mehrere Fristen aus, die parallel laufen und im Plan mit Zuständigkeit hinterlegt gehören.
Sind personenbezogene Daten betroffen, ist der Vorfall der Datenschutzaufsicht in der Regel binnen 72 Stunden zu melden. Die Frist beginnt mit der Kenntnis, nicht mit dem Abschluss der Analyse, und läuft auch übers Wochenende.
Für Unternehmen im Anwendungsbereich der NIS2-Richtlinie kommen eigene, deutlich engere Meldepflichten hinzu, beginnend mit einer Frühwarnung innerhalb von 24 Stunden.
Dazu kommen vertragliche Pflichten: Viele Cyberversicherungen verlangen eine unverzügliche Meldung und die Einbindung ihrer eigenen Dienstleister. Wer hier zu spät meldet oder eigenmächtig handelt, riskiert den Versicherungsschutz.
Wiederanlauf in der richtigen Reihenfolge
Nach der Eindämmung folgt die Wiederherstellung, und die braucht eine festgelegte Reihenfolge. Alles gleichzeitig hochzufahren, führt zuverlässig ins Chaos.
Zuerst die Grundlagen: Netzwerk, Verzeichnisdienst, Namensauflösung. Dann die Systeme, die den Notbetrieb ablösen, also Warenwirtschaft und Kommunikation. Zuletzt alles Übrige.
Vor dem Wiederanlauf muss allerdings feststehen, wie der Angreifer hineingekommen ist. Wer die Systeme in dieselbe offene Lücke zurückspielt, erlebt den Vorfall ein zweites Mal. Welche Wege dafür infrage kommen, zeigt unser Überblick zu den häufigsten Angriffswegen.
Woran Notfallpläne scheitern
Der häufigste Fehler ist banal und trotzdem folgenschwer: Der Plan liegt als Datei auf dem Server, der gerade verschlüsselt ist. Ein Notfallplan gehört ausgedruckt an mindestens zwei Orte, einer davon außerhalb des Gebäudes, und zusätzlich auf ein Gerät, das nicht am Firmennetz hängt.
Der zweite Fehler ist Veralterung. Telefonnummern ändern sich, Zuständigkeiten wechseln, Dienstleister werden ausgetauscht. Ein Plan ohne festen Überprüfungstermin ist nach zwei Jahren Fiktion. Halbjährlich reicht, wenn es jemand verbindlich verantwortet.
Der dritte Fehler ist der fehlende Test. Eine Durchsprache am Tisch, bei der ein Szenario einmal durchgespielt wird, dauert zwei Stunden und deckt zuverlässig die Lücken auf, die beim Schreiben niemand gesehen hat.
Warum das zählt: Ein getesteter Plan auf zwei Seiten schlägt ein ungetestetes Handbuch mit vierzig Seiten.
Ein vierter Fehler betrifft den Umfang. Pläne, die im Bemühen um Vollständigkeit auf vierzig Seiten anwachsen, werden im Ernstfall nicht gelesen. Trennen Sie deshalb konsequent: vorne die zwei Seiten, die unter Druck funktionieren müssen, hinten die Details als Anhang für die ruhigere Phase.
Und schließlich sollte der Plan auch die Zeit nach dem Vorfall abdecken. Wer informiert Kunden über das Ergebnis, wer dokumentiert den Ablauf für die Versicherung, wer prüft nach vier Wochen, welche Maßnahmen sich bewährt haben? Diese Nacharbeit entscheidet darüber, ob aus dem Vorfall etwas gelernt wird.
Häufige Fragen
Wie umfangreich muss ein IT-Notfallplan sein?
Für ein mittelständisches Unternehmen reichen fünf bis zehn Seiten. Entscheidend ist, dass die Alarmierungskette und die Sofortmaßnahmen auf den ersten beiden Seiten stehen und ohne Vorkenntnisse umsetzbar sind.
Wer sollte den Plan erstellen?
Die IT liefert die technischen Abläufe, die Fachabteilungen den Notbetrieb, die Geschäftsführung entscheidet über Prioritäten und gibt frei. Ein von der IT allein geschriebener Plan lässt den Notbetrieb regelmäßig aus.
Wie oft sollte der Plan getestet werden?
Einmal jährlich eine Durchsprache am Tisch, bei der ein Szenario komplett durchgespielt wird. Zusätzlich sollten die Kontaktdaten halbjährlich geprüft werden, das dauert zwanzig Minuten.
Brauchen wir eine Cyberversicherung?
Sie ersetzt keine Vorsorge, hilft aber bei den Folgekosten und bringt im Ernstfall erfahrene Dienstleister mit. Voraussetzung für den Abschluss sind inzwischen fast immer Multi-Faktor-Authentifizierung und ein geprüftes Backup.
Vorbereitet statt improvisiert
Wir erstellen mit Ihnen einen Notfallplan, der im Ernstfall funktioniert: mit einer belastbaren Alarmierungskette, konkreten Sofortmaßnahmen für die häufigsten Szenarien und einem Notbetrieb, den Ihre Fachabteilungen selbst mitgestaltet haben.
Auf Wunsch spielen wir anschließend ein Szenario mit Ihrem Team durch.
