Ein IT-Notfallplan entscheidet darüber, ob ein Cyberangriff oder Systemausfall dein Unternehmen Stunden oder Wochen kostet. Wenn morgens die Bildschirme eine Lösegeldforderung zeigen oder der zentrale Server nicht mehr startet, bleibt keine Zeit, Zuständigkeiten zu klären und Telefonnummern zu suchen. Dann zählt, was vorher aufgeschrieben und geübt wurde.
Gerade kleine und mittlere Unternehmen verlassen sich oft auf das Wissen einzelner Personen. Das funktioniert, solange diese Personen erreichbar sind und die Systeme laufen. Im Ernstfall wird es zum Risiko.
Dieser Ratgeber zeigt dir, welche Bausteine ein praxistauglicher Notfallplan braucht, wie du ihn in sieben Schritten erstellst und wie du sicherstellst, dass er im Ernstfall auch funktioniert. Eine Gliederung, die du als Vorlage nutzen kannst, ist enthalten.
Inhaltsverzeichnis
Was ist ein IT-Notfallplan?
Ein IT-Notfallplan ist ein schriftlich festgelegter Ablauf, der beschreibt, wie dein Unternehmen auf schwerwiegende IT-Störungen reagiert. Er regelt, wer alarmiert wird, wer entscheidet, welche Sofortmaßnahmen gelten, in welcher Reihenfolge Systeme wiederhergestellt werden und wie du intern und extern kommunizierst. Ziel ist, Schäden zu begrenzen und den Betrieb schnell wieder aufzunehmen.
Der Plan ist Teil eines größeren Rahmens, des Business Continuity Managements. Während das BCM das ganze Unternehmen betrachtet, also auch Gebäude, Personal und Lieferketten, konzentriert sich der Notfallplan auf die IT und die Prozesse, die von ihr abhängen.
Wichtig ist die Abgrenzung zur alltäglichen Störung. Ein defekter Drucker ist ein Fall für den Support. Ein IT-Notfall liegt vor, wenn kritische Geschäftsprozesse ausfallen oder erheblich gefährdet sind und die normalen Abläufe nicht mehr ausreichen.
Warum jedes Unternehmen einen IT-Notfallplan braucht
Ransomware, Phishing und Ausfälle bei Dienstleistern treffen längst nicht nur Konzerne. Angreifer suchen gezielt nach Organisationen mit schwacher Verteidigung, und dazu gehören häufig Mittelständler. Hinzu kommen klassische Risiken wie Hardwaredefekte, Stromausfälle, Wasserschäden oder Fehler bei Updates.
Neben dem wirtschaftlichen Schaden spielen gesetzliche Fristen eine Rolle. Bei Datenschutzverletzungen verlangt Art. 33 DSGVO in der Regel eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Unternehmen, die unter NIS2 fallen, müssen erhebliche Sicherheitsvorfälle zusätzlich innerhalb von 24 Stunden beim BSI vorab melden und Maßnahmen zur Aufrechterhaltung des Betriebs nachweisen. Ob das auf dich zutrifft, erfährst du im Ratgeber NIS2 Betroffenheit prüfen.
Ohne IT-Notfallplan verlierst du in den ersten Stunden die meiste Zeit mit Organisation statt mit Schadensbegrenzung. Genau diese Stunden entscheiden oft darüber, wie weit sich ein Angriff ausbreitet.
Ein weiterer Grund ist das Vertrauen deiner Geschäftspartner. Kunden, Banken und Versicherer fragen zunehmend nach, wie ein Unternehmen auf Störungen vorbereitet ist. Ein dokumentierter und geübter IT-Notfallplan ist dann ein belastbares Argument, das sich in Ausschreibungen, Lieferantenaudits und Versicherungsgesprächen auszahlen kann.
Die Bausteine eines IT-Notfallplans
Ein guter Plan ist kein dickes Handbuch, sondern ein strukturiertes Dokument, das unter Stress funktioniert. Diese Bausteine gehören hinein:
Alarmierung und Meldewege
Lege fest, woran Beschäftigte einen möglichen Notfall erkennen und wen sie sofort informieren. Eine einfache Regel hilft: lieber einmal zu viel melden als zu spät. Das BSI bietet dafür eine IT-Notfallkarte an, die du mit deiner internen Notfallnummer ausfüllen und an jedem Arbeitsplatz aushängen kannst.
Rollen und Krisenstab
Definiere, wer den Notfall ausruft, wer technisch leitet, wer entscheidet und wer kommuniziert. In kleinen Unternehmen können Rollen zusammenfallen, sie müssen aber benannt sein. Für jede Rolle braucht es eine Vertretung.
Kontaktliste
Sammle alle wichtigen Kontakte: interne Ansprechpersonen, IT-Dienstleister, Hosting- und Cloud-Anbieter, Versicherung, Datenschutzbeauftragte, Rechtsberatung und die Zentrale Ansprechstelle Cybercrime der Polizei deines Bundeslandes. Diese Liste muss auch offline verfügbar sein, etwa ausgedruckt.
Systemübersicht und Prioritäten
Dokumentiere, welche Systeme für welche Geschäftsprozesse kritisch sind. Zwei Kennzahlen helfen bei der Priorisierung: die maximal tolerierbare Ausfallzeit (Recovery Time Objective, RTO) und der maximal tolerierbare Datenverlust (Recovery Point Objective, RPO). Daraus ergibt sich die Reihenfolge des Wiederanlaufs.
Sofortmaßnahmen und Wiederanlauf
Beschreibe für typische Szenarien die ersten Schritte, etwa das Trennen betroffener Systeme vom Netz, und die Abläufe zur Wiederherstellung aus Backups. Wie du Sicherungen so aufbaust, dass sie auch Ransomware überstehen, zeigt unser Ratgeber zur Backup-Strategie nach der 3-2-1-1-0-Regel.
Kommunikation
Halte vorbereitete Textbausteine für Beschäftigte, Kunden, Partner und gegebenenfalls Medien bereit. Lege fest, über welche Kanäle ihr kommuniziert, wenn E-Mail und Telefonanlage ausfallen.
Bewährt haben sich vorab vereinbarte Ausweichkanäle, etwa private Mobilnummern der Schlüsselpersonen, ein separater Messenger-Zugang oder ein fester Treffpunkt. Lege außerdem fest, wer gegenüber Kunden und Öffentlichkeit sprechen darf. Widersprüchliche Aussagen verschiedener Personen schaden dem Vertrauen oft mehr als der Ausfall selbst. Ein kurzer, ehrlicher Zwischenstand in regelmäßigen Abständen wirkt professioneller als langes Schweigen.
Die ersten 60 Minuten: So greift der IT-Notfallplan
Der Wert eines Plans zeigt sich in der ersten Stunde. Ein Beispielablauf für einen vermuteten Ransomware-Angriff, den du an deine Organisation anpassen solltest:
- Melden: Die Person, die Auffälliges bemerkt, ruft sofort die interne Notfallnummer an und schaltet das Gerät nicht eigenmächtig aus, sondern trennt es nach Vorgabe vom Netz.
- Bewerten: Die technische Leitung prüft, ob ein Notfall vorliegt, und informiert die Person, die ihn ausrufen darf.
- Ausrufen und einberufen: Der Notfall wird ausgerufen, der Krisenstab trifft sich an einem festgelegten Ort oder über einen vorab definierten Ausweichkanal.
- Eindämmen: Betroffene Netzsegmente werden isoliert, Fernzugänge gesperrt, privilegierte Konten geprüft.
- Dokumentieren: Ab der ersten Minute führt eine Person das Logbuch mit Zeitpunkten, Beobachtungen und Entscheidungen.
- Externe Hilfe anfordern: IT-Dienstleister, Spezialisten für Vorfallsbehandlung und gegebenenfalls die Versicherung werden informiert.
- Meldepflichten prüfen: Datenschutz und, falls zutreffend, NIS2-Verantwortliche bewerten, welche Fristen laufen.
Dieser Ablauf wirkt banal. In der Praxis scheitern viele Unternehmen aber genau an diesen Punkten, weil niemand weiß, wer den Notfall ausrufen darf oder wo sich der Krisenstab trifft, wenn Teams und E-Mail ausgefallen sind.
Recht, Versicherung und Beweissicherung im IT-Notfallplan
Ein IT-Notfallplan sollte auch die rechtlichen und vertraglichen Seiten abdecken. Dazu gehört zunächst die Frage, wann deine Datenschutzbeauftragten einbezogen werden. Sind personenbezogene Daten betroffen, beginnt die Frist für die Meldung an die Aufsichtsbehörde mit dem Bekanntwerden der Verletzung.
Hast du eine Cyberversicherung, prüfe die Vertragsbedingungen. Viele Policen enthalten Obliegenheiten, etwa eine unverzügliche Schadenmeldung oder die Abstimmung vor der Beauftragung externer Dienstleister. Halte diese Punkte samt Kontaktdaten im Plan fest.
Denke außerdem an die Beweissicherung. Wer betroffene Systeme vorschnell neu aufsetzt, vernichtet Spuren, die für die Analyse, für Versicherungen und für Strafverfolgungsbehörden wichtig sein können. Lege fest, wann Speicherabbilder oder Logdaten gesichert werden, bevor die Wiederherstellung beginnt. Bei rechtlichen Detailfragen solltest du fachkundigen Rat einholen.
IT-Notfallplan als Vorlage: Eine bewährte Gliederung
Für den Einstieg eignet sich die folgende Struktur. Du kannst sie als Vorlage für deinen eigenen IT-Notfallplan verwenden und an die Größe deines Unternehmens anpassen:
- Geltungsbereich und Definition: Was gilt als IT-Notfall, wer darf ihn ausrufen?
- Alarmierungsplan: Meldewege, Notfallnummer, Eskalationsstufen.
- Rollen und Verantwortlichkeiten: Krisenstab, Vertretungen, Entscheidungsbefugnisse.
- Kontaktverzeichnis: intern und extern, mit Erreichbarkeiten außerhalb der Geschäftszeiten.
- Kritische Prozesse und Systeme: Prioritätenliste mit RTO und RPO.
- Szenarien und Sofortmaßnahmen: Ransomware, Ausfall des Rechenzentrums, Ausfall des Internetzugangs, Ausfall eines Cloud-Dienstes, Datenabfluss.
- Wiederanlaufpläne: Schritt-für-Schritt-Anleitungen je kritischem System.
- Kommunikationsplan: Zielgruppen, Kanäle, Textbausteine, Meldepflichten.
- Dokumentation während des Notfalls: Logbuch mit Zeitpunkten, Entscheidungen und Maßnahmen.
- Rückkehr in den Normalbetrieb und Nachbereitung: Abschlussbericht und Lessons Learned.
Halte die einzelnen Abschnitte kurz. Checklisten und Tabellen sind unter Stress hilfreicher als lange Fließtexte.
IT-Notfallplan erstellen in 7 Schritten
Der Aufwand hängt von der Komplexität deiner IT ab. Mit diesen sieben Schritten kommst du strukturiert zum Ziel:
- Verantwortung festlegen: Die Geschäftsleitung beauftragt eine Person mit der Erstellung und stellt Zeit und Budget bereit.
- Kritische Prozesse identifizieren: Kläre mit den Fachbereichen, welche Abläufe wie lange ausfallen dürfen.
- IT-Abhängigkeiten erfassen: Ordne jedem kritischen Prozess die nötigen Systeme, Daten und Dienstleister zu.
- Szenarien auswählen: Konzentriere dich auf die wahrscheinlichsten und folgenreichsten Fälle.
- Maßnahmen und Abläufe beschreiben: Erarbeite Sofortmaßnahmen und Wiederanlaufpläne gemeinsam mit IT und Dienstleistern.
- Plan freigeben und verteilen: Die Geschäftsleitung gibt den Plan frei, die Beteiligten erhalten ihn digital und gedruckt.
- Testen und aktualisieren: Übe den Plan regelmäßig und passe ihn nach jeder Übung und jeder größeren Änderung an.
Beziehe externe IT-Dienstleister von Anfang an ein. Kläre vertraglich, welche Reaktionszeiten sie im Notfall zusagen und ob sie auch nachts und am Wochenende erreichbar sind.
Orientierung am BSI-Standard 200-4
Wer seinen IT-Notfallplan auf ein solides Fundament stellen will, findet beim Bundesamt für Sicherheit in der Informationstechnik (BSI) umfangreiche Hilfen. Der BSI-Standard 200-4 zum Business Continuity Management hat den älteren Standard 100-4 abgelöst und ist kompatibel zur internationalen Norm ISO 22301.
Besonders hilfreich für KMU ist das Stufenmodell des Standards. Es beginnt mit einem Reaktiv-BCMS, das sich auf die schnelle Reaktion auf Notfälle konzentriert, und kann zu einem Aufbau- und schließlich einem Standard-BCMS weiterentwickelt werden. So musst du nicht alles auf einmal umsetzen.
Ergänzend bietet das BSI kompakte Materialien wie die IT-Notfallkarte und einen Maßnahmenkatalog zum Notfallmanagement, die viele Industrie- und Handelskammern ebenfalls zur Verfügung stellen.
Testen: Ein IT-Notfallplan ist nur so gut wie seine letzte Übung
Ein Plan, der nie geübt wurde, enthält fast immer Lücken. Telefonnummern sind veraltet, Passwörter für Notfallzugänge fehlen, oder ein Backup lässt sich nicht so schnell zurückspielen wie gedacht. Regelmäßige Tests decken diese Schwächen auf, bevor es ernst wird.
- Plandurchsprache: Das Team geht den Plan gemeinsam durch und prüft, ob er verständlich und aktuell ist.
- Tabletop-Übung: Ein Moderator spielt ein Szenario ein, das Team entscheidet und handelt am Tisch.
- Wiederherstellungstest: Die IT stellt ein System tatsächlich aus der Sicherung wieder her und misst die Zeit.
- Alarmierungstest: Prüfe, ob alle Beteiligten über die festgelegten Wege erreichbar sind.
Plane mindestens eine Übung pro Jahr ein und dokumentiere die Ergebnisse. Für Unternehmen unter NIS2 ist die Teilnahme der Geschäftsleitung an solchen Übungen zugleich ein guter Baustein der Schulungspflicht für Leitungsorgane.
Häufige Fehler und wie du sie vermeidest
- Plan nur digital: Liegt der IT-Notfallplan ausschließlich auf dem verschlüsselten Fileserver, ist er im Ernstfall unerreichbar.
- Zu umfangreich: Hundert Seiten liest unter Stress niemand. Setze auf Checklisten.
- Keine Vertretungen: Notfälle halten sich nicht an Urlaubspläne.
- Dienstleister vergessen: Viele kritische Systeme liegen heute in der Cloud oder bei externen Partnern.
- Keine Aktualisierung: Neue Systeme, neue Mitarbeitende und neue Verträge müssen in den Plan einfließen.
Einen guten Ausgangspunkt für die vorbeugenden Maßnahmen, die einen Notfall unwahrscheinlicher machen, bietet unser Leitfaden Cybersecurity für KMU.
Fazit: Der IT-Notfallplan als Versicherung, die du selbst schreibst
Ein IT-Notfallplan verhindert keinen Angriff, aber er entscheidet darüber, wie gut dein Unternehmen ihn übersteht. Klare Rollen, eine offline verfügbare Kontaktliste, priorisierte Systeme und geübte Wiederanlaufpläne verkürzen Ausfallzeiten und reduzieren Folgeschäden.
Starte klein: Mit einer schlanken Gliederung, einer Alarmierungskette und einer Prioritätenliste hast du bereits viel gewonnen. Baue den IT-Notfallplan dann schrittweise aus, orientiere dich am BSI-Standard 200-4 und übe regelmäßig. Bei rechtlichen Fragen zu Meldepflichten solltest du Fachleute einbeziehen.
Häufige Fragen zu IT-Notfallplan
Was gehört in einen IT-Notfallplan?
Ein IT-Notfallplan enthält eine Definition des Notfalls, einen Alarmierungsplan, Rollen und Vertretungen, ein offline verfügbares Kontaktverzeichnis, eine Prioritätenliste kritischer Systeme mit Ausfallzeiten, Sofortmaßnahmen für typische Szenarien, Wiederanlaufpläne, einen Kommunikationsplan sowie Regeln für Dokumentation und Nachbereitung. Kurze Checklisten sind dabei hilfreicher als lange Texte.
Wie oft sollte ich den IT-Notfallplan testen?
Plane mindestens eine Übung pro Jahr ein, etwa eine Tabletop-Übung mit dem Krisenstab. Ergänzend solltest du Wiederherstellungen aus Backups regelmäßig praktisch testen und die Erreichbarkeit der Kontakte prüfen. Nach jeder Übung, nach echten Vorfällen und nach größeren Änderungen an IT, Personal oder Dienstleistern gehört der Plan auf den Prüfstand.
Warum muss der Notfallplan auch ausgedruckt vorliegen?
Bei einem Ransomware-Angriff oder einem Totalausfall sind Fileserver, E-Mail und oft auch Cloud-Zugänge nicht erreichbar. Liegt der Plan nur digital vor, fehlen genau dann Kontakte und Abläufe. Bewahre deshalb aktuelle Ausdrucke an mehreren Orten auf, etwa im Büro der Geschäftsleitung und bei der IT-Leitung, und halte eine Kopie auf einem getrennten Medium bereit.
Welche Vorlage eignet sich für einen IT-Notfallplan in KMU?
Eine bewährte Vorlage gliedert den Plan in Geltungsbereich, Alarmierung, Rollen, Kontakte, kritische Systeme, Szenarien, Wiederanlauf, Kommunikation, Dokumentation und Nachbereitung. Orientierung bieten der BSI-Standard 200-4 mit seinem Reaktiv-BCMS für den Einstieg sowie die IT-Notfallkarte des BSI. Passe jede Vorlage an Größe und IT-Landschaft deines Unternehmens an.
Wann liegt ein IT-Notfall vor?
Ein IT-Notfall liegt vor, wenn kritische Geschäftsprozesse durch eine IT-Störung ausfallen oder erheblich gefährdet sind und die normalen Support-Abläufe nicht mehr ausreichen. Typische Auslöser sind Ransomware, Datenabfluss, Ausfälle von Rechenzentrum, Internetzugang oder wichtigen Cloud-Diensten. Lege im Plan konkrete Kriterien fest, damit Beschäftigte Notfälle früh erkennen und melden.
