IT-Notfallplan erstellen
So erstellen kleine Unternehmen einen IT-Notfallplan: Kontakte, Sofortmaßnahmen, Meldepflichten und Wiederanlauf, angelehnt an BSI-Standard 200-4.
Ein IT-Notfallplan legt vorher fest, was im Ernstfall zu tun ist: wer informiert wird, was sofort passiert und wie der Betrieb wieder anläuft. Im Notfall bleibt keine Zeit, das erst zu überlegen, und oft ist die IT, in der man nachsehen würde, selbst betroffen.
Was in den Plan gehört
- Wen rufen Sie an? IT-Dienstleister, Geschäftsführung, Versicherung, gegebenenfalls Polizei.
- Was tun Mitarbeitende sofort? Zum Beispiel betroffenes Gerät vom Netz trennen, nicht ausschalten, Vorfall melden.
- Welche Abläufe müssen zuerst wieder laufen, und wie lange können Sie ohne sie auskommen?
- Wo liegen Sicherungen und Zugangsdaten für den Notfall, auch wenn die IT nicht erreichbar ist?
Ausgedruckt, nicht nur digital
Bei einem Angriff ist oft die IT selbst betroffen. Der Plan und die wichtigsten Telefonnummern sollten deshalb auch auf Papier griffbereit sein, zum Beispiel im Büro der Geschäftsführung und beim IT-Dienstleister.
Der nächste Schritt
Schreiben Sie eine Seite mit Kontakten und Sofortmaßnahmen und gehen Sie sie einmal mit dem Team durch. Das ist schon deutlich besser als kein Plan, und er lässt sich danach Schritt für Schritt ausbauen.
Grundlage
Das BSI beschreibt das Notfallmanagement im BSI-Standard 200-4 (Business Continuity Management). Der Standard richtet sich an Organisationen jeder Größe und sieht einen stufenweisen Einstieg vor. Für kleine Betriebe genügt ein schlanker Plan, der die Kernideen übernimmt: vorbereitet sein, im Ereignis strukturiert handeln, kontrolliert wieder anlaufen und aus dem Vorfall lernen.
Aufbau eines IT-Notfallplans
Geltungsbereich und Verantwortung
Der Plan nennt, welche Systeme und Abläufe er abdeckt und wer im Notfall entscheidet. Dazu gehört eine Vertretung, denn Notfälle halten sich nicht an Urlaubszeiten. Für die Entscheidung «Betrieb einschränken oder Systeme abschalten» sollte vorher klar sein, wer sie treffen darf.
Alarmierung und Kontakte
Meldewege intern (wer meldet wem, auf welchem Weg, auch ohne E-Mail), Erreichbarkeit der Verantwortlichen, externe Kontakte: IT-Dienstleister mit Notfallnummer, Cyber-Versicherung, Datenschutzbeauftragte, die Zentrale Ansprechstelle Cybercrime der Polizei im eigenen Bundesland und gegebenenfalls Bank und wichtige Kunden.
Sofortmaßnahmen
- Betroffene Systeme vom Netz trennen (Netzwerkkabel ziehen, WLAN aus), aber nicht ausschalten, um Spuren im Arbeitsspeicher zu erhalten.
- Zugänge sperren oder Passwörter ändern, wenn Zugangsdaten betroffen sein könnten.
- Beobachtungen mit Uhrzeit protokollieren: Was ist aufgefallen, wer hat was getan.
- Keine Lösegeldzahlung und keine Verhandlung ohne Abstimmung mit Fachleuten und Versicherung.
Geschäftsprozesse und Wiederanlauf
Für die wichtigsten Abläufe wird festgelegt, wie lange ein Ausfall tragbar ist und wie viel Datenverlust hinnehmbar ist. Daraus ergibt sich die Reihenfolge der Wiederherstellung. Abhängigkeiten gehören in den Plan, zum Beispiel Internetzugang, Verzeichnisdienst, Fachanwendung und Telefonanlage. Für die Zwischenzeit helfen Notbetriebsverfahren: Papierformulare, Telefonlisten, ein Ersatzgerät.
Datensicherung
Mindestens eine Sicherung muss für Angreifer unerreichbar sein, also offline oder unveränderlich gespeichert. Die Wiederherstellung wird regelmäßig getestet und ihre Dauer gemessen, denn erst dann ist klar, ob die gewünschte Wiederanlaufzeit realistisch ist.
Meldepflichten
Bei einer Verletzung des Schutzes personenbezogener Daten ist die zuständige Datenschutz-Aufsichtsbehörde in der Regel binnen 72 Stunden nach Bekanntwerden zu informieren (Art. 33 DSGVO); bei hohem Risiko auch die Betroffenen (Art. 34 DSGVO). Unternehmen, die unter NIS-2 fallen, haben zusätzliche, gestufte Meldepflichten gegenüber dem BSI.
Nach dem Vorfall
Nach dem Wiederanlauf wird ausgewertet: Ursache, Ablauf, was gut lief, was fehlte. Daraus folgen Verbesserungen an Technik, Plan und Schulung.
Üben und aktuell halten
Ein Plan, der nie geübt wurde, scheitert oft an Kleinigkeiten wie veralteten Telefonnummern oder fehlenden Zugangsdaten. Mindestens einmal im Jahr eine kurze Übung, zum Beispiel ein Gespräch am Tisch zu einem Ransomware-Szenario, und den Plan danach anpassen. Bei Änderungen an Systemen, Dienstleistern oder Personal wird der Plan sofort aktualisiert.
Häufige Fragen
Was ist der Unterschied zwischen Notfallplan und Datensicherung?
Die Datensicherung ist ein Baustein des Notfallplans. Der Plan regelt zusätzlich, wer was tut, wer informiert wird und in welcher Reihenfolge der Betrieb wieder anläuft.
Wer hilft bei einem Cyberangriff?
Zuerst Ihr IT-Dienstleister und gegebenenfalls Ihre Cyber-Versicherung. Das BSI und die Polizei bieten ebenfalls Anlaufstellen. Halten Sie die Kontakte vorher im Plan fest.