Notfallübungen im kleinen Betrieb
Notfallübung für kleine Betriebe: welche Übungsarten der BSI-Standard 200-4 kennt, wie eine Planbesprechung abläuft und was Sie danach verbessern.
Eine Notfallübung zeigt, ob Ihr Notfallplan im Ernstfall funktioniert. Ein Plan, der nur in der Schublade liegt, scheitert oft an Kleinigkeiten: eine veraltete Telefonnummer, ein Passwort, das niemand findet, eine Sicherung, die sich nicht zurückspielen lässt.
Üben heißt nicht Großeinsatz
Für einen kleinen Betrieb reicht oft eine Stunde am Besprechungstisch. Jemand beschreibt ein Szenario, zum Beispiel «Montagmorgen, alle Dateien auf dem Server sind verschlüsselt», und das Team spielt durch, wer was tut. Dabei fallen Lücken sofort auf.
Drei einfache Übungen
- Telefonkette testen: Erreichen Sie Geschäftsführung, IT-Dienstleister und Vertretungen auch am Abend oder im Urlaub?
- Plan durchsprechen: Den Notfallplan gemeinsam Schritt für Schritt lesen und prüfen, ob er stimmt und verständlich ist.
- Wiederherstellung ausprobieren: Den IT-Dienstleister eine Datei, ein Postfach oder einen ganzen Rechner aus der Sicherung wiederherstellen lassen und die Zeit messen.
Fehler sind das Ziel
Eine Übung, bei der nichts schiefgeht, war meist zu einfach. Jede gefundene Lücke ist eine, die im Ernstfall nicht mehr überrascht.
Der nächste Schritt
Planen Sie für die nächsten drei Monate einen festen Termin für eine kurze Übung am Tisch mit dem Szenario Ransomware. Halten Sie die Ergebnisse fest und passen Sie den Notfallplan danach an.
Warum Notfallübungen nötig sind
Notfallpläne entstehen am Schreibtisch und beruhen auf Annahmen. Der BSI-Standard 200-4 betont, dass erst geübte und getestete Pläne einen Rückschluss auf ihre tatsächliche Funktionsfähigkeit zulassen. Im IT-Grundschutz-Kompendium fordert der Baustein DER.4 Notfallmanagement in der Edition 2023 Tests und Notfallübungen (DER.4.A10) als Anforderung bei erhöhtem Schutzbedarf. Für kleine Betriebe mit normalem Schutzbedarf ist eine regelmäßige, einfache Übung trotzdem eine der wirksamsten Maßnahmen.
Der Standard verwendet Übung als Oberbegriff. Tests sind eine besondere Form von Übungen.
Übungsarten nach BSI-Standard 200-4
| Übungsart | Inhalt | Beispiel |
|---|---|---|
| Planbesprechung («Schreibtischtest») | moderierte Besprechung eines Notfallplans, ohne Schritte real auszuführen | Notfallplan mit den vorgesehenen Rollen durchsprechen |
| Stabsübung | praktisches Üben der Stabsarbeit anhand eines Szenarios | Notfallstab simuliert die Bewältigung eines Ransomware-Angriffs |
| Stabsrahmenübung | erweiterte Stabsübung mit weiteren Stellen, als Vollübung mit allen Ebenen | Stab und Fachabteilungen üben den Umzug an einen Ausweichstandort |
| Alarmierungsübung | Aktivieren und Durchlaufen der Alarmierungskette | Erreichbarkeit und Rückrufquote in einem Zeitfenster messen |
| Funktionstest | reale Ausführung eines Notfallplans oder einer Maßnahme | Restore-Test, Lesbarkeitstest von Backups, Test eines Notfallarbeitsplatzes |
Für den einfachen Einstieg, das Reaktiv-BCMS, sieht der Standard vor, dass Stabsübung und Alarmierungsübung regelmäßig durchgeführt werden. Planbesprechung und Funktionstest werden zusätzlich empfohlen.
Eine Notfallübung vorbereiten
Ziel festlegen
Jede Notfallübung braucht ein klares Ziel: Funktioniert die Alarmierung? Kennt jeder seine Rolle? Lässt sich der Server in der geplanten Zeit wiederherstellen? Ein Ziel pro Übung ist besser als viele.
Szenario wählen
Realistische Szenarien für kleine Betriebe sind Ransomware, ein kompromittiertes E-Mail-Postfach, Ausfall des Internetzugangs, Ausfall eines wichtigen Cloud-Dienstes, Wasserschaden im Serverraum oder der plötzliche Ausfall der einzigen Person mit Administratorzugang.
Rollen verteilen
- Übungsleitung: führt durch das Szenario und spielt neue Informationen ein, etwa «Ein Kunde ruft an und fragt, ob seine Daten betroffen sind».
- Teilnehmende: die Personen, die im Ernstfall handeln, mit ihren echten Rollen.
- Beobachtung: notiert, was gut lief, was fehlte und wo Entscheidungen hakten.
Rahmen sichern
Funktionstests können den laufenden Betrieb stören. Stimmen Sie Zeitpunkt und Abbruchkriterien vorher ab, besonders bei Wiederherstellungstests auf produktiven Systemen.
Ablauf einer Planbesprechung
- Szenario vorstellen, Uhrzeit und Ausgangslage festlegen.
- Teilnehmende schildern, was sie tun würden, anhand des Notfallplans.
- Übungsleitung spielt Entwicklungen ein: Backup ist ebenfalls verschlüsselt, Presse ruft an, Dienstleister nicht erreichbar.
- Offene Fragen und Lücken werden sofort notiert, aber nicht im Detail gelöst.
- Kurze Abschlussrunde: Was hat überrascht, was muss sich ändern?
Für das Szenario Ransomware sind typische Prüffragen: Wer darf entscheiden, das Netz zu trennen? Wo liegen die Kontakte, wenn E-Mail und Telefonanlage ausfallen? Wer prüft die Meldepflicht innerhalb von 72 Stunden? Wie kommunizieren wir mit Kunden?
Auswerten und verbessern
Halten Sie die Ergebnisse in einem kurzen Bericht fest: Ziel, Szenario, Teilnehmende, Erkenntnisse, Maßnahmen mit Verantwortlichen und Termin. Aktualisieren Sie den Notfallplan, die Kontaktliste und gegebenenfalls die Wiederanlaufzeiten. Bei Funktionstests tragen Sie die gemessene Wiederherstellungsdauer als tatsächliche Wiederanlaufzeit ein.
Ein Übungsplan für kleine Betriebe
Ein realistischer Jahresplan könnte so aussehen: eine Alarmierungsübung mit der Telefonkette, eine Planbesprechung zu einem wechselnden Szenario und ein Restore-Test der wichtigsten Daten. Nach jeder größeren Veränderung, etwa einem neuen IT-Dienstleister oder einer neuen Fachanwendung, lohnt eine zusätzliche kurze Planbesprechung.
Typische Erkenntnisse aus Übungen
Wer zum ersten Mal übt, stößt häufig auf dieselben Lücken:
- Telefonnummern sind veraltet, private Mobilnummern fehlen, Vertretungen sind nicht benannt.
- Der Notfallplan liegt nur auf dem Server, der im Szenario nicht erreichbar ist.
- Niemand weiß, wo die Zugangsdaten für Firewall, Router oder Cloud-Verwaltung im Notfall hinterlegt sind.
- Die Wiederherstellung dauert deutlich länger als angenommen, oder eine Sicherung ist unvollständig.
- Es ist unklar, wer die Entscheidung trifft, den Betrieb vom Internet zu trennen oder Kunden zu informieren.
- Die Kontaktdaten der Versicherung und die Policennummer sind nicht griffbereit.
Diese Funde sind kein Zeichen von Versagen, sondern der eigentliche Nutzen der Übung.
Häufige Einwände
«Dafür haben wir keine Zeit.» Eine Planbesprechung dauert eine bis zwei Stunden. Ein ungeübter Ernstfall kostet ein Vielfaches.
«Unser IT-Dienstleister kümmert sich darum.» Der Dienstleister kann Systeme wiederherstellen, aber nicht entscheiden, welche Abläufe im Betrieb Vorrang haben, und nicht mit Ihren Kunden sprechen.
«Wir sind zu klein für einen Notfallstab.» Der Stab kann aus zwei oder drei Personen bestehen. Entscheidend ist, dass Rollen und Vertretungen geklärt sind.
Häufige Fragen
Wie oft sollte man eine Notfallübung machen?
Feste Fristen für kleine Betriebe nennt der IT-Grundschutz nicht. Bewährt hat sich mindestens eine kurze Übung im Jahr sowie eine zusätzliche Planbesprechung nach größeren Veränderungen in IT oder Organisation.
Was ist eine Tabletop-Übung?
Eine Übung am Tisch, bei der ein Szenario durchgesprochen wird, ohne Schritte real auszuführen. Im BSI-Standard 200-4 entspricht das der Planbesprechung, auch Schreibtischtest genannt.
Wer sollte an einer IT-Notfallübung teilnehmen?
Alle, die im Ernstfall handeln: Geschäftsführung, IT-Verantwortliche oder IT-Dienstleister, die Person für Kommunikation und Vertreter der wichtigsten Fachbereiche.