IT-Notfallplan: So sind Sie auf den schlimmsten Fall vorbereitet

Wenn ein Cyberangriff, ein Serverausfall oder eine Naturkatastrophe Ihre IT lahmlegt, entscheiden die ersten Stunden über Ausmaß und Dauer des Schadens. Ein IT-Notfallplan sorgt dafür, dass im Chaos klare Handlungsanweisungen vorliegen.

Warum ein Notfallplan unverzichtbar ist

Ohne Plan herrscht Panik. Mitarbeitende wissen nicht, wen sie anrufen sollen. Wichtige Entscheidungen werden falsch oder zu spät getroffen. Forensische Spuren werden unwissentlich vernichtet. Mit einem Notfallplan hat jeder seine Rolle, und die ersten kritischen Schritte sind klar definiert.

Die wichtigsten Bestandteile

Kontaktliste: Wer ist wann erreichbar? IT-Dienstleister, Versicherung, Datenschutzbeauftragter, Anwalt, Behörden (BSI, Polizei). Eskalationskette: Wer informiert wen, in welcher Reihenfolge? Erstmaßnahmen: Was tun, wenn Ransomware erkannt wird? (Sofort vom Netzwerk trennen, keine Lösegeldzahlung ohne Beratung.) Notfallkontakte für kritische Systeme.

Recovery-Ziele definieren

RTO (Recovery Time Objective): Wie lange darf das System maximal ausfallen? RPO (Recovery Point Objective): Wie viel Datenverlust ist akzeptabel? Diese Werte bestimmen Ihre Backup-Strategie und Infrastrukturanforderungen. Ein Shop, der nur eine Stunde Ausfall verkraften kann, braucht andere Maßnahmen als ein Büro.

Den Notfallplan üben

Ein Notfallplan, der nie getestet wurde, ist wertlos. Führen Sie mindestens einmal jährlich eine Übung durch: Simulation eines Ransomware-Angriffs, Test der Backup-Wiederherstellung, Prüfung, ob alle Kontakte erreichbar sind. Dokumentieren Sie die Ergebnisse und aktualisieren Sie den Plan.

Vorlage: Das gehört auf die erste Seite

• Wer entscheidet im Notfall, mit Vertretung und Telefonnummern?
• IT-Dienstleister, Versicherung, Bank und Datenschutzbeauftragter mit Erreichbarkeit.
• Die fünf wichtigsten Systeme und wer sie wiederherstellen kann.
• Wo liegen Backups und Zugangsdaten für den Notfall?
• Wie wird mit Kunden und Mitarbeitenden kommuniziert, wenn E-Mail ausfällt?

Üben ohne großen Aufwand

Ein Notfallplan, der nie geprobt wurde, versagt meist an Kleinigkeiten: veraltete Telefonnummern, fehlende Passwörter, unklare Zuständigkeiten. Eine Tischübung von einer Stunde reicht oft schon aus. Spielen Sie ein Szenario durch, etwa einen verschlüsselten Server am Montagmorgen, und notieren Sie, wo es hakt. Danach wird der Plan aktualisiert.

Ein typisches Szenario

Ein häufiges Beispiel: Am Montagmorgen startet der Server nicht mehr. Die Geschäftsführung ist im Urlaub, die Zugangsdaten zum Backup kennt nur der frühere Dienstleister, und niemand weiß, welche Kunden informiert werden müssen. Jede Stunde ohne Plan kostet Nerven, Umsatz und Vertrauen. Ein Unternehmen mit Notfallplan schlägt dagegen eine Seite auf: Wer wird angerufen, wo liegen die Zugänge, welches System wird zuerst wiederhergestellt, und was wird den Kunden gesagt. Der Unterschied liegt selten in der Technik, sondern in der Vorbereitung.

Was in keinem Notfallplan fehlen darf

• Eine Kontaktliste mit Vertretungen, auch auf Papier.
• Eine Übersicht aller kritischen Systeme mit Wiederanlaufreihenfolge.
• Den Ablageort der Notfall-Zugangsdaten, sicher verwahrt.
• Vorlagen für Meldungen an Kunden, Partner und Behörden.
• Eine Checkliste für die ersten 30 Minuten.
• Das Datum des letzten Tests und die Ergebnisse.

Aufwand realistisch einschätzen

Die erste Fassung eines Notfallplans entsteht für kleine Unternehmen meist in einem halbtägigen Workshop mit Geschäftsführung und IT-Dienstleister. Danach geht es um Pflege: Kontaktdaten aktualisieren, neue Systeme aufnehmen und einmal im Jahr eine Übung durchführen. Eine Übung kann ganz einfach sein, etwa die Wiederherstellung einer einzelnen Datei oder ein Planspiel am Besprechungstisch. Erfahrungsgemäß zeigt schon die erste Übung Lücken, die im Ernstfall teuer geworden wären.

Die ersten 30 Minuten

• Ruhe bewahren und nichts überstürzt löschen oder neu installieren.
• Betroffene Geräte vom Netzwerk trennen, aber nicht ausschalten.
• IT-Dienstleister und Geschäftsführung informieren.
• Beobachtungen mit Uhrzeit notieren.
• Prüfen, ob personenbezogene Daten betroffen sein könnten.

Diese Schritte gehören als kurze Checkliste an einen gut sichtbaren Ort. Im Ernstfall hilft eine klare Reihenfolge mehr als jedes ausführliche Handbuch.

Kurz zusammengefasst

• Ein Notfallplan spart im Ernstfall wertvolle Stunden.
• Er muss auch ohne IT erreichbar sein, also ausgedruckt.
• Zuständigkeiten und Vertretungen klar benennen.
• Regelmäßig üben und aktualisieren.

Fazit

Ein IT-Notfallplan ist Versicherung und Handlungsleitfaden zugleich. Der Aufwand für die Erstellung ist überschaubar, der Nutzen im Ernstfall unschätzbar.