IT-Notfallplan für kleine Unternehmen: die fünf Punkte, die vorher feststehen müssen

Wann ein IT-Notfallplan wirklich zählt

Zwei Situationen sind zu unterscheiden, und beide kommen häufiger vor, als man denkt. Die erste ist der technische Ausfall: der Server startet nicht mehr, die Datensicherung lässt sich nicht zurückspielen, die Telefonanlage ist tot, der Raum wurde geflutet. Die zweite ist der Angriff: Verschlüsselungstrojaner, ein übernommenes Postfach, eine Rechnung an eine geänderte Bankverbindung.

Beide Male entscheidet die erste Stunde. Wer in dieser Stunde anfängt zu überlegen, verliert sie. Das Bundesamt für Sicherheit in der Informationstechnik gliedert seine Empfehlungen deshalb nicht nach Technik, sondern in vier Phasen: Vorbereitung, Bereitschaft, Bewältigung und Nachbereitung — der Aufwand steckt in den ersten beiden, der Nutzen zeigt sich in den letzten beiden.

Ein Punkt aus der Praxis, der in keinem Plan fehlen sollte: Bei einem Angriff gilt zuerst Spuren sichern, nicht Systeme abschalten. Ein vorschnelles Neuaufsetzen beantwortet die Frage „wie kamen sie rein?" nie wieder — und ohne diese Antwort passiert es erneut.

Die fünf Punkte, die vorher feststehen müssen

1. Wer entscheidet. Eine benannte Person und eine Vertretung, die im Notfall Systeme abschalten,

Zahlungen stoppen und Dienstleister beauftragen darf. „Die IT" ist keine verantwortliche Person.

1. Wen rufen wir an. Namen und Mobilnummern, auf Papier, weil das Telefonverzeichnis im Ausfall

selbst betroffen sein kann: IT-Dienstleister, Softwarehersteller, Datensicherungs- und Backup-Dienst, Stromversorger, Versicherung, Rechtsberatung. Bei einem Angriff kommt die Frage nach der zuständigen Datenschutzaufsichtsbehörde hinzu.

1. Was zuerst wieder laufen muss. Eine Reihenfolge nach Geschäftsprozessen, nicht nach Technik.

Erfahrungsgemäß steht selten der Server ganz oben, sondern das, was Kunden oder Lieferanten unmittelbar betrifft.

1. Wo die Zugangsdaten liegen. Ein Passwortmanager oder ein dokumentierter Notfallweg — inklusive

der Frage, wer außerhalb der IT im Ernstfall daran kommt. Ein Backup, an das nur der eine Kollege kommt, der gerade im Urlaub ist, ist kein Backup.

1. Wann zuletzt geprobt wurde und wann wieder geprobt wird. Ein Stichtag und ein Rhythmus. Wer

den Plan nie getestet hat, hat eine Vermutung mit Deckblatt.

Ein Nebeneffekt, der nicht unterschätzt werden sollte: Punkt 2 und Punkt 4 sind fast immer die Stellen, an denen im Gespräch auffällt, dass eine dritte Firma Daten hält, von der bisher niemand im Haus ein vollständiges Bild hatte. Damit ist der Plan gleichzeitig der billigste Einstieg in einen Überblick über Ihre Dienstleister.

Was das BSI kostenlos bereitstellt — und was eine Vorlage nicht leistet

Für kleine und mittlere Unternehmen gibt es fertige, kostenlose Hilfsmittel, für die man kein Beratungsbudget braucht:

• den Maßnahmenkatalog zum Notfallmanagement – Fokus IT-Notfälle des BSI, ausdrücklich für

Geschäftsführende und IT-Verantwortliche in KMU geschrieben, gegliedert in die vier Phasen,

• die IT-Notfallkarte zum Aushängen — das Gegenstück zum Schild „Verhalten im Brandfall", mit

Sofortmaßnahmen und Notfallkontakten für alle Mitarbeitenden,

• die Vorlagen zum BSI-Standard 200-4, darunter ein Notfallhandbuch und ein

Geschäftsfortführungsplan,

• und, ebenfalls kostenlos, ein Muster-IT-Notfallplan der IHK für München und Oberbayern.

Was keine dieser Vorlagen leisten kann: die Telefonnummern von gestern sind es morgen nicht mehr, und niemand trägt für Sie ein, welches Ihrer Systeme zuerst gebraucht wird. Die Pflege ist die halbe Arbeit — realistisch ist es, den Plan einmal im Jahr und nach jeder größeren Änderung durchzugehen. In den letzten Abschnitt gehört deshalb ein kurzer Blick auf die Meldepflichten: Bei einer Verletzung des Schutzes personenbezogener Daten ist die Aufsichtsbehörde nach Art. 33 DSGVO grundsätzlich innerhalb von 72 Stunden zu informieren, betroffene Personen nach Art. 34 DSGVO, wenn ein hohes Risiko besteht. Ob ein Fall meldepflichtig ist, sollte nicht im Ausfall entschieden werden.

Für Betriebe in Fürstenfeldbruck, Augsburg und im Umland ist nichts davon anders als in großen Städten — außer der Rückhalt: Es gibt keine eigene IT-Abteilung, die nachts um halb elf noch weiß, wo die Sicherung liegt. Deshalb ist der schriftliche Plan hier nicht Bürokratie, sondern der Realitätscheck.