// Ratgeber · Notfall
IT-Notfallplan: was in den ersten Stunden zählt
Ein Vorfall lässt sich nicht planen, der Umgang damit schon. Welche Entscheidungen vorher feststehen müssen, damit später niemand improvisiert.
// Ausgangspunkt
Der Plan entsteht vor dem Ernstfall, nicht darin
Wenn ein Verschlüsselungsangriff läuft oder ein Konto übernommen wurde, fehlt genau das, was man dann braucht: Zeit, Überblick und die Ruhe, Zuständigkeiten zu klären. Deshalb besteht ein Notfallplan zum größten Teil aus Entscheidungen, die vorher getroffen wurden — wer darf ein System vom Netz nehmen, wen rufen wir an, worauf spielen wir zurück.
Ein solcher Plan muss nicht umfangreich sein. Zwei bis drei Seiten, ausgedruckt und an einem bekannten Ort hinterlegt, sind mehr wert als ein Konzept, das im verschlüsselten Dateiserver liegt. Wie laufende Überwachung und geordnete Reaktion im Betrieb zusammenspielen, beschreibt unsere Seite zu Security Monitoring und Incident Response.
Dieser Beitrag folgt dem üblichen Ablauf: vorbereiten, erkennen, melden, eindämmen, aufklären, wiederherstellen, nachbereiten. Die Reihenfolge ist wichtiger als die Vollständigkeit — wer eindämmt, bevor er gemeldet hat, verliert Spuren und manchmal auch den Versicherungsschutz.
// Vorbereitung
Was bereitliegen muss, bevor etwas passiert
Diese fünf Dinge entscheiden darüber, ob die ersten Stunden geordnet ablaufen. Alle fünf müssen ohne Zugriff auf das Firmennetz verfügbar sein.
-
Kontaktliste mit Vertretung
Geschäftsführung, IT-Verantwortliche, Dienstleister, Internetanbieter, Datenschutzbeauftragte, Versicherung. Je Eintrag eine zweite Person für den Fall, dass die erste nicht erreichbar ist.
-
Befugnis zum Trennen
Eine namentlich benannte Person darf Systeme sofort vom Netz nehmen, ohne Rücksprache. Diese Freigabe im Vorfeld spart die kritischsten Minuten.
-
Liste der kritischen Systeme
Welche Anwendungen halten den Betrieb, in welcher Reihenfolge müssen sie zurückkommen und welche Abhängigkeiten bestehen dazwischen.
-
Zweiter Kommunikationsweg
Ein festgelegter Weg für den Fall, dass E-Mail und Telefonanlage nicht verfügbar sind — vorher benannt, nicht im Moment des Vorfalls erfunden.
-
Zugriff auf Sicherungen
Wo liegt die Kopie, die ein Angreifer nicht erreichen konnte, wer kommt an sie heran und wie lange dauert eine Wiederherstellung erfahrungsgemäß.
// Erste Stunden
Der Ablauf vom Verdacht bis zur Eindämmung
Vier Schritte, die in dieser Reihenfolge stattfinden. Jeder Schritt hat ein Ergebnis, das den nächsten möglich macht.
Verdacht ernst nehmen
Ungewöhnliche Anmeldungen, plötzlich unlesbare Dateien, ein auffällig langsames System: Der Verdacht wird gemeldet, nicht erst geprüft. Fehlalarme sind billiger als verlorene Stunden.
Die Kette auslösen
Eine einzige Meldestelle im Haus nimmt an, informiert die festgelegten Personen und beginnt eine Zeitleiste mit Uhrzeiten. Diese Notizen sind später die Grundlage für jede Meldung nach außen.
Ausbreitung stoppen
Betroffene Systeme vom Netz trennen, verdächtige Konten sperren, Fernzugänge schließen. Nicht ausschalten — das vernichtet Spuren, die für die Aufklärung gebraucht werden.
Einstiegsweg finden
Protokolle sichern und auswerten, bevor etwas wiederhergestellt wird. Solange der Weg hinein unbekannt ist, führt jeder Wiederanlauf in denselben Vorfall zurück.
// Danach
Wiederanlauf und Nachbereitung
Die beiden Phasen nach der Eindämmung werden gern abgekürzt — und genau daraus entsteht der Rückfall.
Zurück in den Betrieb
- Erst starten, wenn der Einstiegsweg nachweislich geschlossen ist
- Aus einem Stand zurückspielen, der vor dem Vorfall liegt
- Zugangsdaten und Schlüssel der betroffenen Bereiche erneuern
- In der Reihenfolge der kritischen Systeme hochfahren, nicht alles gleichzeitig
- Die ersten Tage enger überwachen als sonst
Aus dem Vorfall lernen
- Zeitleiste und Entscheidungen schriftlich zusammenfassen
- Benennen, was gefehlt hat — Kontakte, Rechte, Sicherungen, Übung
- Maßnahmen mit Verantwortlichen und Terminen versehen
- Den Plan anhand des tatsächlichen Verlaufs überarbeiten
- Ergebnis in der Geschäftsführung berichten, nicht nur in der IT
// Nach außen
Melden, informieren, dokumentieren
Neben der Technik läuft eine zweite Spur mit, für die andere Fristen gelten. Diese Punkte gehören in den Plan, damit sie im Ernstfall nicht vergessen werden.
- Sind personenbezogene Daten betroffen, ist der Vorfall innerhalb von 72 Stunden nach Bekanntwerden bei der zuständigen Datenschutzaufsicht zu melden
- Betroffene Personen sind zu informieren, wenn ein hohes Risiko für sie besteht
- Anzeige bei der Polizei, insbesondere bei Erpressung oder Zahlungsaufforderung
- Meldung an die Versicherung, oft mit eigener, kürzerer Frist im Vertrag
- Vertragliche Meldepflichten gegenüber Auftraggebern prüfen
- Eine abgestimmte Sprachregelung für Belegschaft, Kundschaft und Lieferanten
- Alle Schritte mit Uhrzeit dokumentieren — im Nachhinein lässt sich das nicht rekonstruieren
// Häufige Fragen
Fragen zum Notfallplan
01 Was gehört mindestens in einen IT-Notfallplan?
Eine Liste der kritischen Systeme, eine Kontaktliste mit Vertretungen, klare Befugnisse zum Trennen vom Netz, der Meldeweg nach innen und außen sowie die Beschreibung, wie eine Wiederherstellung abläuft. Alles davon auf Papier oder auf einem Gerät, das ohne das Firmennetz funktioniert.
02 Sollen wir betroffene Systeme sofort ausschalten?
Vom Netz trennen ja, ausschalten meistens nein. Beim Abschalten gehen Spuren im Arbeitsspeicher verloren, die für die Aufklärung wichtig sind — und ohne Aufklärung wissen Sie nicht, ob der Zugang beim Wiederanlauf noch offen ist. Die Trennung stoppt die Ausbreitung, das genügt zunächst.
03 Wer muss außerhalb des Unternehmens informiert werden?
Das hängt vom Vorfall ab. Sind personenbezogene Daten betroffen, greift die Meldepflicht an die zuständige Datenschutzaufsicht innerhalb von 72 Stunden nach Bekanntwerden. Dazu kommen je nach Lage Strafverfolgung, Versicherung, Auftraggeber mit vertraglichen Meldepflichten und betroffene Personen.
04 Wie kommunizieren wir, wenn E-Mail nicht funktioniert?
Genau dafür braucht es einen zweiten Weg, der vorher festgelegt und getestet ist: dienstliche Mobilnummern auf einer ausgedruckten Liste, ein Aushang an definierter Stelle oder eine feste Telefonkette. Improvisierte Gruppenchats auf privaten Geräten schaffen im Nachgang eigene Probleme.
05 Wann darf der Betrieb wieder anlaufen?
Wenn der Einstiegsweg geschlossen ist und die wiederhergestellten Systeme aus einem Stand vor dem Vorfall stammen. Ein Wiederanlauf auf demselben, ungeprüften Zustand kann denselben Vorfall innerhalb weniger Tage wiederholen.
06 Wie oft sollte der Plan geübt werden?
Einmal jährlich als Durchsprache am Tisch reicht für den Anfang: Alle Beteiligten gehen ein Szenario durch und benennen ihre Schritte. Dabei fällt zuverlässig auf, welche Kontaktdaten veraltet sind und welche Zuständigkeit nur gefühlt geregelt war.
Dazu passend
Alle Ratgeber
Gibt es bei Ihnen eine Liste, die im Ernstfall greifbar ist?
Wir gehen mit Ihnen ein Szenario durch, halten Zuständigkeiten und Meldewege fest und prüfen, ob die Sicherungen den Wiederanlauf tatsächlich tragen.