IT-Notfallplan für kleine Betriebe: Was hineingehört

Warum ein Plan, wenn man doch eine IT hat?

Im Notfall fällt oft genau das aus, was man zum Lösen bräuchte: die E-Mail, das Netzlaufwerk mit der Dokumentation, das Telefon über die Internetleitung. Wer dann erst überlegt, wer zuständig ist und wo die Zugangsdaten liegen, verliert Stunden. Ein Notfallplan ist das Wissen, das man im Ernstfall braucht, aufgeschrieben, solange alle noch ruhig sind.

1. Kontakte

Eine Liste mit Namen, Telefonnummern und Zuständigkeiten, ausgedruckt und zusätzlich offline auf einem Handy:

• Wer im Betrieb entscheidet, und wer vertritt diese Person?
• IT-Dienstleister mit Notfallnummer.
• Internetanbieter, Hoster, Domainanbieter, jeweils mit Kundennummer.
• Hersteller wichtiger Software, etwa der Warenwirtschaft.
• Versicherung, falls vorhanden mit Policennummer.
• Polizei: die Zentrale Ansprechstelle Cybercrime Ihres Bundeslandes.
• Datenschutzbeauftragte Person oder Beratung.

2. Was ist wie wichtig?

Nicht alle Systeme sind gleich dringend. Legen Sie fest, ohne was der Betrieb sofort stillsteht und was ein paar Tage warten kann. Fragen, die dabei helfen:

• Wie lange können wir ohne dieses System arbeiten? Eine Stunde, einen Tag, eine Woche?
• Wie viele Daten dürfen höchstens verloren gehen? Die Arbeit einer Stunde, eines Tages?
• Gibt es einen Notbetrieb auf Papier oder mit einem anderen Werkzeug?

Aus den Antworten ergibt sich die Reihenfolge, in der Systeme wiederhergestellt werden, und auch, wie oft gesichert werden muss.

3. Systemübersicht

Eine einfache Liste: Welche Systeme gibt es, wo laufen sie, wer betreut sie, wie hängen sie zusammen? Dazu gehören Server, Cloud-Dienste, Internetanschluss, Telefonanlage, Website, E-Mail und wichtige Programme.

4. Sicherungen und Wiederherstellung

• Wo liegen die Sicherungen, und wie oft werden sie erstellt?
• Wer kann eine Wiederherstellung durchführen, und wie lange dauert sie erfahrungsgemäß?
• Wo sind die Zugangsdaten und Schlüssel für die Sicherungen, wenn die normale Ablage nicht erreichbar ist?

5. Erste Schritte bei typischen Vorfällen

Kurze Abläufe für die häufigsten Fälle, jeweils auf einer halben Seite: Schadsoftware oder Verschlüsselung, Ausfall des Internets, Ausfall eines Servers, verlorenes oder gestohlenes Gerät, gehacktes E-Mail-Konto, Datenpanne mit personenbezogenen Daten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet dazu eine IT-Notfallkarte mit den wichtigsten Verhaltensregeln an, die sich gut als Aushang eignet.

6. Kommunikation

Wer informiert Mitarbeitende, Kunden und Partner, und über welchen Weg, wenn die E-Mail ausgefallen ist? Ein paar vorbereitete Sätze sparen im Ernstfall Zeit und verhindern unbedachte Aussagen.

Den Plan lebendig halten

• Drucken Sie den Plan aus und legen Sie ihn an einen bekannten Ort.
• Prüfen Sie ihn einmal im Jahr und nach jeder größeren Änderung.
• Spielen Sie einen Fall gelegentlich durch, etwa eine Wiederherstellung aus der Sicherung.
• Schreiben Sie das Datum der letzten Prüfung auf die erste Seite.

Häufige Fragen

Wie umfangreich muss ein Notfallplan für einen kleinen Betrieb sein?

Für einen kleinen Betrieb reichen oft fünf bis zehn Seiten. Wichtiger als der Umfang ist, dass die Angaben stimmen, dass alle wissen, wo der Plan liegt, und dass er ohne Computer lesbar ist.

Wer sollte den Notfallplan erstellen?

Am besten die Geschäftsführung gemeinsam mit der Person oder dem Dienstleister, der die IT betreut. Die Geschäftsführung legt Prioritäten fest, die IT ergänzt die technischen Details.

Wie oft sollte der Plan getestet werden?

Mindestens einmal im Jahr sollte der Plan durchgesehen und eine Wiederherstellung aus der Sicherung geprobt werden. Nach größeren Änderungen, etwa einem neuen Server oder Dienstleister, sofort.

Wo bewahre ich den Plan auf?

Ausgedruckt an einem bekannten Ort im Betrieb, eine Kopie bei der Geschäftsführung zu Hause und digital an einem Ort, der auch bei einem Ausfall der eigenen IT erreichbar ist.