IT-Dokumentation: Pflicht oder Kür?

Die ehrliche Antwort lautet: beides. Ein Teil der IT-Dokumentation ist gesetzlich gefordert oder durch Verträge faktisch unvermeidbar. Der Rest ist freiwillig – aber ausgerechnet dieser freiwillige Teil entscheidet im Störfall darüber, ob Ihr Betrieb nach Stunden oder nach Tagen wieder arbeitet. Dieser Artikel sortiert, was Sie wirklich brauchen, in welcher Reihenfolge Sie vorgehen und wo Sie sich Aufwand sparen können.

Was tatsächlich Pflicht ist

Beginnen wir mit dem Teil, über den Sie nicht abstimmen können.

Datenschutz. Die Datenschutz-Grundverordnung verlangt von nahezu jedem Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten: welche personenbezogenen Daten wo, wofür und wie lange verarbeitet werden und wer Zugriff darauf hat. Dazu kommen die technischen und organisatorischen Maßnahmen, mit denen Sie diese Daten schützen. Beides muss schriftlich vorliegen, denn die Verordnung verpflichtet Sie zur Rechenschaft: Auf Anfrage müssen Sie darlegen können, was Sie tun – und was nur in einem Kopf existiert, können Sie nicht darlegen. Auch die Verträge zur Auftragsverarbeitung mit externen Dienstleistern gehören zu diesem Pflichtteil.

Steuerrecht. Wer Bücher und Belege digital führt, fällt unter die GoBD, die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung elektronischer Unterlagen. Kernstück ist die Verfahrensdokumentation: Sie beschreibt, wie Belege erfasst, verarbeitet, gespeichert und vor nachträglicher Veränderung geschützt werden. Da praktisch jedes Unternehmen Rechnungen digital erstellt oder empfängt, betrifft das fast alle. Fehlt die Verfahrensdokumentation in einer Betriebsprüfung, wird es unangenehm – selbst wenn fachlich alles korrekt gelaufen ist.

Verträge und Versicherungen. Cyberversicherungen verlangen im Schadenfall Nachweise darüber, welche Schutzmaßnahmen bestanden und wie der Vorfall abgelaufen ist. Wer nichts dokumentiert hat, streitet im Ernstfall über Leistungen. Auch Kunden fragen in Ausschreibungen zunehmend schriftliche Nachweise über die IT-Sicherheit ihrer Lieferanten ab.

Pflicht nur in bestimmten Konstellationen. Eine Zertifizierung nach ISO 27001 oder ein TISAX-Nachweis in der Automobilzulieferkette ist keine gesetzliche Pflicht, wird aber häufig zur Bedingung, weil Kunden ihn verlangen. Das NIS2-Regelwerk stellt an Unternehmen bestimmter Branchen und Größenklassen ebenfalls weitreichende Anforderungen an dokumentierte Prozesse. Prüfen Sie, ob Sie darunterfallen – die Einstufung hängt von Branche und Größe ab.

Und eine Pflicht trifft die Geschäftsführung immer: Sie muss das Unternehmen so organisieren, dass vermeidbare Schäden vermieden werden. Eine IT, deren gesamtes Wissen in einem einzigen Kopf steckt, lässt sich damit schwer vereinbaren.

Was keine Pflicht ist – aber den Betrieb sichert

Der freiwillige Teil umfasst typischerweise:

• einen Netzwerkplan, der zeigt, was wie verbunden ist,
• eine Liste der Server, Dienste und Cloud-Anwendungen mit Verantwortlichkeiten,
• eine Übersicht über Lizenzen, Wartungsverträge und Kündigungsfristen,
• ein Backup-Konzept mit einer Restore-Anleitung, die tatsächlich getestet wurde,
• ein kurzes Notfallhandbuch: Wer ruft wen an, in welcher Reihenfolge, mit welchen Zugängen?

Der klassische Fall, in dem sich das auszahlt: Der einzige Administrator fällt länger aus, kündigt oder ist im Urlaub nicht erreichbar – und genau dann streikt ein System. Ohne Dokumentation beginnt eine teure Schnitzeljagd. Auch der Wechsel des IT-Dienstleisters wird ohne brauchbare Unterlagen zum Kraftakt, weil der neue Anbieter mühsam rekonstruieren muss, was der alte aufgebaut hat.

Besonders die Restore-Anleitung wird unterschätzt. Dass Backups existieren, wissen viele. Ob daraus auch jemand anderes als der übliche Administrator ein lauffähiges System wiederherstellen kann, erweist sich erst im Ernstfall. Eine Anleitung, die regelmäßig tatsächlich durchgespielt wird, ist mehr wert als jeder Ordner voller Konfigurationslisten.

In dieser Reihenfolge gehen Sie vor

Erster Schritt: Bestandsaufnahme. Listen Sie Geräte, Server, Cloud-Dienste, Verträge und Zugänge. Das ist keine hohe Kunst, sondern Fleißarbeit – und die Grundlage für alles Weitere.

Zweiter Schritt: der Notfallkern. Fragen Sie sich: Was brauchen wir, wenn morgen früh nichts mehr funktioniert? Zugänge in einem Passwort-Tresor, Kontakte zu Dienstleistern und Herstellern, die Restore-Anleitung. Dieser Teil hat Vorrang vor allem anderen.

Dritter Schritt: der Pflichtteil. Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Verfahrensdokumentation für die digitale Buchhaltung. Hier lohnt sich oft Unterstützung, etwa durch einen Datenschutzbeauftragten oder den Steuerberater.

Vierter Schritt: der Rest. Netzwerkplan, Berechtigungsübersicht, Vertragsdetails – in dem Tempo, in dem Sie sie pflegen können.

Zuständig sein muss eine namentlich benannte Person im Haus, auch wenn ein externer Dienstleister die Pflege übernimmt. Die Geschäftsführung trägt die Gesamtverantwortung und sollte Eigentümerin der Unterlagen bleiben: Sie liegen auf Systemen, zu denen Sie Zugang haben, nicht ausschließlich beim Dienstleister.

Fragen an Ihren IT-Dienstleister

Ein guter Dienstleister dokumentiert ohnehin. Prüfen Sie das mit konkreten Fragen:

• Erstellen Sie eine Dokumentation unserer Umgebung – und erhalten wir sie vollständig in einem Format, das wir ohne Ihre Software lesen können?
• Wer pflegt die Dokumentation nach, und in welchem Rhythmus?
• Was passiert bei Vertragsende mit den Unterlagen und den dokumentierten Zugangsdaten?
• Wo liegen unsere Zugangsdaten, und wer außer Ihnen kommt im Notfall heran?
• Bekommen wir die Restore-Anleitung so, dass wir sie im Ernstfall auch ohne Sie ausführen könnten?

Woran Sie erkennen, dass etwas schiefläuft: Der Techniker kennt alles auswendig, aber nichts liegt schriftlich vor. Vorhandene Pläne zeigen Systeme, die längst abgeschaltet sind. Niemand im Haus weiß, wo die Dokumentation liegt. Neue Server oder Dienste tauchen monatelang nicht in den Unterlagen auf. Und auf die Frage nach Herausgabe kommen Ausflüchte statt Dateien.

Wann sich Dokumentation nicht lohnt

Ehrlichkeit gehört dazu: Nicht jede Dokumentation ist sinnvoll.

Ein mehrbändiges Handbuch ist für einen Betrieb mit fünfzehn Arbeitsplätzen überdimensioniert. Ein aufwendiges Dokumentationswerkzeug lohnt sich nicht, wenn eine klar strukturierte Ablage oder ein schlankes Wiki dieselbe Aufgabe erfüllt. Jeden Arbeitsplatzrechner einzeln zu dokumentieren, ist überflüssig – beschreiben Sie die Standardkonfiguration und listen nur Abweichungen. Und was der Hersteller einer Standardsoftware bereits verständlich beschreibt, müssen Sie nicht abschreiben; ein Verweis genügt.

Vor allem: Dokumentieren Sie nichts, was sich schneller ändert, als Sie nachpflegen können. Lieber wenig und aktuell als umfangreich und veraltet. Eine veraltete Dokumentation ist schlimmer als keine, weil sie eine Sicherheit vortäuscht, die es nicht gibt – im Notfall folgen Sie Anleitungen, die in die Irre führen.

Form, Werkzeuge und Regeln

Das Werkzeug ist zweitrangig, die Regeln sind es nicht. Als Ablage kommen Wiki-Systeme wie Confluence, BookStack oder DokuWiki infrage, ebenso ein Passwortmanager mit sicheren Notizen oder schlicht eine versionierte Ordnerstruktur. Entscheidend ist:

• Es gibt genau einen Ort für die Dokumentation, und alle Beteiligten kennen ihn.
• Jede Änderung an der IT gilt erst als abgeschlossen, wenn die Dokumentation nachgezogen ist.
• Die Zugriffsrechte sind geregelt: Notfallzugänge sieht nicht jeder, aber im Notfall kommt jemand außer dem Administrator heran.
• Der Notfallteil existiert auch offline – ausgedruckt oder auf einem verschlüsselten Datenträger im Tresor. Im Totalausfall hilft Ihnen ein Wiki im ausgefallenen Netz nichts.
• Ein fester Termin im Kalender, etwa halbjährlich, sorgt dafür, dass die Unterlagen nicht veralten.

Fazit: Pflicht sauber erledigen, Kür gezielt wählen

Die Frage „IT-Dokumentation: Pflicht oder Kür?“ lässt sich also so beantworten: Pflicht ist der Nachweisteil – Datenschutzunterlagen, Verfahrensdokumentation, Vertragsnachweise. Kür ist die Betriebsdokumentation, aber sie ist die Art von Kür, die über Ausfallzeiten und Kosten entscheidet. Wer zuerst das Geforderte sauber erledigt, danach das Notfallkritische festhält und bewusst weglässt, was niemand pflegen wird, dokumentiert genau richtig: so viel wie nötig, so wenig wie möglich.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.