Ein IT-Notfallplan entscheidet über die Reaktionszeit im Ernstfall. Er beschreibt, wer handelt, was zuerst läuft und wie der Betrieb zurück in den Normalbetrieb findet.
Ein Server fällt aus, das Mailsystem steht, ein Ransomware-Angriff blockiert den Rechner: In solchen Momenten zählt nicht die IT-Kompetenz einzelner, sondern ein vorbereiteter Ablauf. Ein IT-Notfallplan legt fest, wer alarmiert wird, was zuerst läuft und wie der Betrieb zurück in den Normalbetrieb findet.
Die häufigste Lücke liegt nicht beim Plan selbst, sondern bei seiner Nutzung. In vielen Unternehmen existiert das Dokument, wurde aber nie durchgespielt. Ein Plan, der ungetestet ist, beschreibt nur die gute Absicht, nicht die Rettung im Ernstfall.
Meldefristen setzen den Takt. Für NIS-2-betroffene Einrichtungen gilt eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung. Eine Folgemeldung folgt innerhalb von 72 Stunden, die Abschlussmeldung nach einem Monat (§ 32 BSIG; BSI, NIS-2-Meldepflicht).
Was ein IT-Notfallplan leisten muss
Ein Notfallplan beantwortet vier Fragen: Was gilt als Notfall? Wer entscheidet das? Was passiert in welcher Reihenfolge? Und wer informiert die Kunden und Behörden? Alles andere ist Zusatz. Das BSI beschreibt dafür einen klaren Prozess, der Initiation, Konzeption, Umsetzung, Bewältigung, Tests und Fortschreibung umfasst.
- 1
Notfallkontakte – wer wird wann erreicht, unter welcher Nummer und mit welcher Vertretung.
- 2
Systemdokumentation – welche Systeme existieren, wo liegen die Daten, wie wird neu aufgesetzt.
- 3
Wiederanlaufplan – in welcher Reihenfolge Dienste, Anwendungen und Arbeitsplätze zurückkehren.
- 4
Kommunikationsplan – welche Aussage, an wen und über welchen Weg sie im Notfall geht.
- 5
Ausweichprozesse – wie Aufträge, Telefonie und Vertrieb weiterlaufen, wenn Systeme fehlen.
Das BSI empfiehlt, den Notfallmanagement-Prozess an BSI-Standard 100-4 auszurichten. Der Standard nennt vier Phasen der Notfallbewältigung: Notfall melden, Sofortmaßnahmen ergreifen, Geschäftsfortührung und Wiederanlauf sowie die spätere Rückführung in den Normalbetrieb.
Der IT-Notfallplan in vier Phasen
Erkennung: der Ausfall wird gemeldet
Am Anfang steht die Meldung. Wichtig ist, dass der Meldeweg vorab feststeht und den Mitarbeitenden vertraut ist. Je klarer die Zuständigkeit, desto schneller beginnt die Reaktion. Ein stiller Ausfall, der erst am nächsten Arbeitstag auffällt, kostet mehr als jede technische Störung.
Eindämmung: der Schaden wird begrenzt
Danach folgen die Sofortmaßnahmen. Betroffene Systeme werden vom Netz getrennt, Verdächtiges wird gesichert, laufende Geschäftsprozesse werden gestoppt. Ziel ist nicht die Reparatur, sondern der Stopp des Schadens. Erst danach beginnt die Wiederherstellung.
Wiederherstellung: der Betrieb kehrt zurück
Nun zählt die Wiederherstellungszeit. Aus einer geprüften Backup-Kopie wird der Betrieb zurückgeholt, zuerst die Systeme, die die Geschäftsprozesse tragen. Parallel dazu läuft der Notbetrieb: Papier, Zweitstandort, vorbereitete Ausweichprozesse. Ein Notfallplan benennt dafür die Reihenfolge und die Verantwortlichen.
Kommunikation: alle wissen, was gilt
Die letzte Phase ist oft die schwierigste. Mitarbeitende, Kunden und Geschäftspartner brauchen eine klare Aussage, auch wenn noch nicht alles wieder läuft. Das BSI führt dafür einen eigenen Krisenkommunikationsplan, der regelt, wer wem welche Information gibt. Meldepflichten nach NIS2 und BSIG prüfen Sie parallel mit Ihrer Rechtsabteilung.
Reaktion ohne und mit Notfallplan
| Kriterium | Ohne Notfallplan | Mit Notfallplan |
|---|---|---|
| Reaktionszeit | Jede Störung beginnt mit einer Suche nach Zuständigkeiten. | Meldeweg und Sofortmaßnahmen stehen schriftlich fest. |
| Rollen | Zuständigkeit wird im Vorfall verhandelt. | Rollen, Vertretungen und Eskalationsstufen sind dokumentiert. |
| Wiederaufnahme | Wiederherstellung beginnt ohne geprüften Ablauf. | Wiederanlaufplan führt Schritt für Schritt zurück in den Betrieb. |
| Dokumentation | Was gelaufen ist, bleibt im Gedächtnis einzelner. | Ablauf, Dauer und Ursache sind nachvollziehbar erfasst. |
Wiederanlaufzeit und Datenverlust festlegen
Zwei Kennzahlen strukturieren die Vorbereitung. Das Recovery Time Objective beschreibt, wie lange ein System maximal ausfallen darf. Das Recovery Point Objective legt fest, welchen Datenverlust Sie akzeptieren. Aus beiden Werten folgt, wie aufwändig Backup, Redundanz und Ausweichprozesse sein müssen.
- 1
Recovery Time Objective – die maximale Ausfallzeit je geschäftskritischem System.
- 2
Recovery Point Objective – der akzeptierte Verlust an Daten zwischen zwei Sicherungen.
- 3
Prioritätenliste – welche Prozesse zuerst wieder laufen müssen, von Auftragsannahme bis Buchhaltung.
- 4
Testprotokoll – Ergebnisse, Dauer und erkannte Lücken aus jedem Wiederherstellungstest.
Ein Notfallplan, der nie geprobt wurde, ist unvollständig. Beim Test zeigen sich meist die Details: ein fehlender Zugang, ein veraltetes Passwort, ein undokumentierter Prozess. Planen Sie regelmäßige Übungen ein und dokumentieren Sie die Ergebnisse.
Wann die Pflege des Plans extern liegt
Ein Notfallplan veraltet, sobald sich Systeme, Personen oder Anbindungen ändern. Wer ihn pflegt, braucht Zeit, Zugriff auf die Dokumentation und den Mut, Unklares zu benennen. Viele kleine Unternehmen übernehmen diese Aufgabe deshalb extern. Sie erhalten einen Ansprechpartner, feste SLA mit garantierter Reaktionszeit und regelmäßige Wiederherstellungstests.
Entscheidend ist dabei nicht die Existenz des Vertrags, sondern die geübte Reaktion. Ein extern betreuter Notfallplan bringt einen Vorteil, den ein internes Dokument selten hat: Die Abläufe werden regelmäßig durchgespielt, während der Betrieb läuft.
WeiterführendExterne IT-Abteilung oder eigener IT-Mitarbeiter: Was lohnt sich?Passende Leistungen
Häufige Fragen zum IT-Notfallplan
Lassen Sie gemeinsam prüfen, ob Ihr Betrieb auf einen Ausfall vorbereitet ist. Im kostenlosen Erstgespräch gehen wir Systeme, Wiederanlauf und Meldewege durch und zeigen, wo Lücken liegen.
Kostenloses Erstgespräch vereinbarenThemen
Themenfeld
IT-Strategie, Betrieb und Kosten für KMU