IT-Notfallplan: In 5 Schritten erstellt

Wenn der Server streikt, die Telefonanlage schweigt oder eine Erpressersoftware Dateien verschlüsselt, zählt jede Minute – und genau dann fehlt die Zeit, sich erst zu überlegen, wer was tut. Ein IT-Notfallplan nimmt diese Entscheidungen vorweg. Er muss nicht dick sein, aber er muss funktionieren: verständlich für jemanden, der ihn zum ersten Mal in der Hand hält, und griffbereit, auch wenn das Netzwerk nicht mehr erreichbar ist. Die folgenden fünf Schritte führen zu genau so einem Plan.

Vorab: Was der Plan leisten muss – und was nicht

Ein IT-Notfallplan beschreibt, wer im Ernstfall was in welcher Reihenfolge tut, um den Schaden zu begrenzen und den Betrieb wiederherzustellen. Er ist kein vollständiges Business-Continuity-Management nach BSI-Standard 200-4; dieses Rahmenwerk ist für die wenigsten Unternehmen zwischen 10 und 100 Mitarbeitern in voller Breite nötig. Für die Praxis genügt ein kompaktes Dokument: priorisierte Systeme, klare Sofortmaßnahmen, erreichbare Ansprechpartner, getestete Wiederherstellung. Alles darüber hinaus ist Beigabe, nicht Kern.

Schritt 1: Kritische Systeme und Abhängigkeiten erfassen

Beginnen Sie nicht mit Szenarien, sondern mit dem, was Ihr Unternehmen braucht. Listen Sie alle Systeme und Dienste, ohne die der Betrieb nicht oder nur eingeschränkt läuft: Warenwirtschaft, Buchhaltung, E-Mail, Telefonie, Dateiablagen, Branchensoftware, Zeiterfassung, Maschinenanbindung, Onlineshop.

Notieren Sie zu jedem System drei Dinge: Wer nutzt es, welche Folgen hat ein Ausfall nach Stunden, nach einem Tag, nach einer Woche, und wovon hängt es ab. Gerade die Abhängigkeiten werden übersehen: Das Warenwirtschaftssystem läuft vielleicht tadellos, nützt aber ohne Internetanbindung nichts, weil die Datenbank beim Anbieter steht. Fast jedes System hängt zudem an Zugangsdaten, Lizenzen und nicht selten an einer einzigen Person, die „sich damit auskennt“.

Prüfen Sie hier zuerst, ob Ihre Liste überhaupt vollständig ist. Kann sie niemand im Haus ohne Zögern aufzählen, ist das Ihr erstes Ergebnis – und Ihre erste Aufgabe. Am Ende steht eine priorisierte Liste: kritisch, wichtig, kann warten.

Schritt 2: Szenarien bündeln statt aufzählen

Viele Pläne scheitern, weil sie Dutzende Einzelfälle beschreiben wollen. Effektiver ist das Denken in Schadenbildern, denn die ersten Maßnahmen ähneln sich, egal ob Blitzschlag, Wasserrohrbruch oder Verschlüsselungstrojaner die Ursache war. Fünf Gruppen decken die Praxis ab:

• Ausfall einzelner Systeme, etwa durch defekte Hardware oder fehlerhafte Updates
• Datenverlust oder Datenverschlüsselung, typischerweise durch Angriffe von außen
• Ausfall des Standorts durch Brand, Wasser oder längeren Stromausfall
• Verlust der Anbindung: Internet, Telefonie, VPN
• Ausfall eines externen Dienstleisters oder Cloud-Anbieters, auf den Sie angewiesen sind

Ergänzen Sie ein sechstes Szenario ohne Technik: den Ausfall der Schlüsselperson. Ist der einzige Administrator im Urlaub, krank oder nicht mehr im Unternehmen, wird jede Störung zum Notfall.

Stellen Sie Ihrem IT-Dienstleister in diesem Schritt eine konkrete Frage: „Welche Ihrer Systeme sind für uns kritisch, und was passiert bei Ihnen, wenn diese ausfallen?“ Wer keine klare Antwort bekommt, hat eine Abhängigkeit entdeckt, die in den Plan gehört.

Schritt 3: Sofortmaßnahmen und Wiederherstellung festlegen

Legen Sie je Szenariogruppe zwei Dinge fest: die Sofortmaßnahmen der ersten Stunde und den Weg zurück zum Normalbetrieb.

Zu den Sofortmaßnahmen gehört, wer betroffene Systeme vom Netz trennen darf – und ob das überhaupt sinnvoll ist. Bei einem Angriff kann vorschnelles Ausschalten Beweise und Wiederherstellungsoptionen zerstören. Definieren Sie außerdem, wer über das Herunterfahren produktiver Systeme entscheidet; diese Entscheidung darf im Ernstfall nicht erst diskutiert werden.

Für die Wiederherstellung brauchen Sie je System zwei Größen: die tolerierbare Ausfallzeit und den tolerierbaren Datenverlust, also wie alt die wiederhergestellten Daten höchstens sein dürfen. Daraus folgt fast alles Weitere: Backup-Häufigkeit, Ersatzhardware, Wiederherstellungsreihenfolge.

Der wichtigste Prüfpunkt lautet nicht „Haben wir ein Backup?“, sondern „Haben wir schon einmal daraus wiederhergestellt?“ Ein Backup ohne getestete Rücksicherung ist eine Hoffnung, kein Plan. Lassen Sie sich vom Dienstleister zeigen, wie lange die Wiederherstellung Ihres wichtigsten Systems im letzten Test gedauert hat – nicht im Prospekt. Warnsignale, dass etwas schiefläuft: Backup-Fehlermeldungen liest niemand, die Sicherung liegt im selben Brandabschnitt wie das Original, oder niemand kennt das Kennwort der Backup-Verwaltung.

Schritt 4: Verantwortlichkeiten und Kommunikation regeln

Die Verantwortung für den Notfallplan liegt bei der Geschäftsführung; sie kann Aufgaben delegieren, die Verantwortung nicht. Benennen Sie eine Person als Planverantwortlichen und eine Vertretung – mit Namen, nicht mit „die IT-Abteilung“. In einem Unternehmen mit zwanzig Mitarbeitern ist das oft der kaufmännische Leiter oder ein technisch versierter Geschäftsführer, unterstützt vom externen Dienstleister.

Der Plan braucht eine Eskalationskette: Wer wird zuerst informiert, wer entscheidet über Sofortmaßnahmen, wer holt externe Hilfe, wer informiert die Belegschaft. Die Kontaktliste enthält interne Ansprechpartner mit erreichbaren Nummern – mit deren Einverständnis auch privat – sowie die Notfallkontakte von IT-Dienstleister, Internet- und Telefonieanbieter, gegebenenfalls Versicherung, Rechtsanwalt und Datenschutzbeauftragtem.

Denken Sie die Kommunikationswege selbst mit: Ist E-Mail ausgefallen, brauchen Sie einen alternativen Kanal, etwa eine Telefonkette oder einen Messenger, der unabhängig vom Firmennetz funktioniert. Klären Sie außerdem vorab, wer nach außen spricht. Bei Angriffen mit Datenabfluss können Meldepflichten gegenüber der Datenschutzaufsicht und betroffenen Personen bestehen; bei Erpressung ist eine Strafanzeige regelmäßig sinnvoll, und Cyberversicherungen verlangen meist eine unverzügliche Schadenmeldung. Wer das erst im Notfall recherchiert, verliert genau die Zeit, die der Plan sparen soll.

Schritt 5: Dokumentieren, verteilen, testen, pflegen

Schreiben Sie den Plan so, dass ihn auch ein Vertreter ohne tiefes IT-Wissen anwenden kann: je Szenario eine Seite Checkliste, dazu ein Anhang mit Kontakten, Systemliste und Wiederherstellungsreihenfolge. Lagern Sie ihn an mindestens zwei Orten, ausgedruckt und als Offline-Kopie. Ein Plan, der nur auf dem Server liegt, der gerade verschlüsselt wurde, erfüllt seinen Zweck nicht.

Dann der Schritt, der am häufigsten ausfällt: Testen Sie den Plan. Einmal jährlich sollten die benannten Personen ein Szenario am Tisch durchspielen, vom Entdecken der Störung bis zur Kundennachricht; parallel gehört der regelmäßige Test der Datenrücksicherung dazu. Aus jedem Test und jedem echten Vorfall fließen Änderungen zurück in den Plan.

Daran erkennen Sie einen verkommenen Plan: Niemand weiß, wo er liegt, die Rufnummern stimmen nicht mehr, neu eingeführte Systeme fehlen. Ein Notfallplan ist kein Projekt mit Enddatum, sondern ein Dokument mit Besitzer und Pflegetermin.

Wann sich der Aufwand nicht lohnt

Nicht jedes Unternehmen braucht das volle Programm. Laufen Ihre Anwendungen vollständig bei externen Anbietern, ist ein mehrtägiger Ausfall verkraftbar und hängt keine Produktion oder termingebundene Lieferung davon ab, genügt eine einseitige Checkliste: Ansprechpartner, Zugänge, Reihenfolge der Wiederherstellung. Alles Weitere wäre Bürokratie ohne Nutzen.

Ebenso ehrlich muss man an anderer Stelle sein: Ein ausführlicher Plan, den niemand testet und pflegt, ist schlechter als gar keiner, weil er Sicherheit vortäuscht. Können Sie niemanden benennen, der für Pflege und Tests Zeit bekommt, schreiben Sie lieber einen schlanken Plan, den Sie aktuell halten, statt eines Werks, das im Schrank verstaubt. Und ein vollumfängliches Business-Continuity-Management lohnt sich erst, wenn Kunden, Auditoren oder Versicherer es ausdrücklich verlangen.

Fazit

Der Wert eines IT-Notfallplans zeigt sich in der ersten Stunde eines Vorfalls: Dann muss niemand überlegen, wer anruft, wer entscheidet und welches System zuerst zurückkommt. Beginnen Sie mit der Bestandsaufnahme aus Schritt 1 – sie kostet einen Nachmittag und deckt erfahrungsgemäß die ersten Lücken auf, bevor es ernst wird.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.