Eine gute Vorlage für den IT-Notfallplan passt auf wenige Seiten, ist auch ohne IT erreichbar und beantwortet im Ernstfall drei Fragen: Wen rufe ich an? Was tue ich sofort? In welcher Reihenfolge kommen die Systeme wieder? Auf dieser Seite finden Sie eine Muster-Gliederung mit Ausfüllhinweisen, Textbausteine zum Übernehmen und Tabellen für Kontakte und Wiederanlauf.
Aus Notfalleinsätzen kennen wir das Muster: Ein Plan existiert, liegt aber als Datei auf dem verschlüsselten Server. Oder er stammt aus einer Zeit, in der die Telefonanlage noch im Keller stand. Eine Vorlage hilft beim Aufbau, die Inhalte müssen trotzdem zu Ihrem Unternehmen passen.
Was ist ein IT-Notfallplan?
Der IT-Notfallplan legt fest, wie ein Unternehmen auf einen schweren IT-Ausfall oder einen Cyberangriff reagiert: wer alarmiert wird, wer entscheidet, welche Sofortmaßnahmen gelten und wie der Betrieb wieder anläuft. Er ist das praktische Werkzeug für die ersten Stunden und Tage.
Davon zu unterscheiden sind zwei verwandte Begriffe:
- IT-Notfallhandbuch: die ausführliche Sammlung aller Pläne, Anleitungen und Wiederanlaufbeschreibungen. Der Notfallplan ist oft dessen Kern.
- Business Continuity Management (BCM): das übergeordnete Managementsystem, das neben der IT auch Personal, Gebäude und Lieferketten betrachtet. Der BSI-Standard 200-4 beschreibt, wie es aufgebaut wird.
Wer einen IT-Notfallplan braucht
Jedes Unternehmen, dessen Betrieb von IT abhängt, also nahezu jedes. Für besonders wichtige und wichtige Einrichtungen ist er Pflicht: § 30 Abs. 2 Nr. 3 BSIG verlangt Maßnahmen zur Aufrechterhaltung des Betriebs, wie Backup-Management und die Wiederherstellung nach einem Notfall, sowie ein Krisenmanagement. Auch Cyberversicherer und große Kunden fragen inzwischen gezielt nach einem dokumentierten Notfallplan.
Muster-Gliederung: IT-Notfallplan Vorlage zum Übernehmen
Diese Gliederung hat sich in mittelständischen Unternehmen bewährt. Sie können sie direkt als Inhaltsverzeichnis Ihres Plans verwenden.
| Kapitel | Inhalt | Ausfüllhinweis |
|---|---|---|
| 1. Sofortmaßnahmen | die ersten Schritte auf einer Seite | Kurz halten, so dass sie unter Stress lesbar sind. Text siehe unten. |
| 2. Alarmierung und Kontakte | Meldeweg, Krisenstab, Dienstleister, Behörden | Private Mobilnummern aufnehmen, denn Firmentelefone fallen eventuell mit aus. |
| 3. Krisenstab und Rollen | wer entscheidet, wer kommuniziert, wer dokumentiert | Für jede Rolle eine Vertretung benennen. |
| 4. Einstufung von Vorfällen | Störung, Notfall oder Krise | Kriterien festlegen, ab wann der Krisenstab zusammentritt. |
| 5. Szenarien | Ransomware, Systemausfall, Datenleck, Dienstleisterausfall, Stromausfall | Pro Szenario eine halbe Seite mit konkreten Schritten. |
| 6. Wiederanlauf | Reihenfolge, Zielzeiten, Verantwortliche | Tabelle siehe unten. Abhängigkeiten beachten, etwa Netzwerk vor Anwendungen. |
| 7. Kommunikation | intern, Kunden, Partner, Presse | Vorformulierte Texte sparen im Ernstfall Zeit. |
| 8. Meldepflichten | BSI, Datenschutzaufsicht, Polizei, Versicherung | Fristen und Kontaktwege vorab eintragen. |
| 9. Dokumentation | Protokoll mit Uhrzeit, Entscheidung, verantwortlicher Person | Leere Protokollvorlage ausgedruckt beilegen. |
| 10. Pflege und Übung | Prüfzyklus, letzte Übung, Versionsstand | Mindestens einmal im Jahr prüfen und üben. |
Textbaustein: Sofortmaßnahmen für die erste Seite
Die erste Seite muss jeder im Unternehmen verstehen, ohne IT-Kenntnisse. Diesen Text können Sie übernehmen und anpassen:
- Ruhe bewahren. Keine eigenen Reparatur- oder Löschversuche.
- Verdacht sofort melden an: [Name, Telefon, Vertretung].
- Betroffenes Gerät vom Netzwerk trennen, also Netzwerkkabel ziehen oder WLAN ausschalten. Gerät nicht herunterfahren.
- Keine E-Mails zum Vorfall über möglicherweise betroffene Systeme versenden.
- Notieren, was aufgefallen ist und wann: Meldungen am Bildschirm, ungewöhnliches Verhalten, geöffnete Anhänge.
- Auf Anweisung des Krisenstabs warten.
Das BSI bietet dazu die IT-Notfallkarte „Verhalten bei IT-Notfällen“ an, ein Aushang im Stil der bekannten Brandschutzschilder. Sie gehört an zentrale Stellen im Unternehmen und ergänzt die erste Seite des Plans.
Vorlage: Kontaktliste für den Notfall
| Rolle | Name | Mobil (auch privat) | Vertretung |
|---|---|---|---|
| Leitung Krisenstab | [Name] | [Nummer] | [Name, Nummer] |
| IT-Verantwortliche | [Name] | [Nummer] | [Name, Nummer] |
| Externer IT-Dienstleister | [Firma, Ansprechpartner] | [Notfallnummer] | [Vertragsnummer] |
| Incident-Response-Dienstleister | [Firma] | [Notfallnummer] | [Vertrag, Ansprechpartner] |
| Datenschutzbeauftragte | [Name] | [Nummer] | [Name, Nummer] |
| Kommunikation | [Name] | [Nummer] | [Name, Nummer] |
| Cyberversicherung | [Versicherer] | [Schadenhotline] | [Policennummer] |
| Polizei | Zentrale Ansprechstelle Cybercrime des Landes | [Nummer] |
Wie das Krisenteam in wenigen Minuten erreicht wird, auch wenn E-Mail und Telefonanlage ausgefallen sind, beschreibt unser Beitrag zum Alarmierungssystem für den IT-Notfall.
Vorlage: Wiederanlaufplan mit Zielzeiten
Die Reihenfolge des Wiederanlaufs gehört vorher festgelegt, nicht im Ernstfall diskutiert. Zwei Kennzahlen helfen dabei: Die RTO (Recovery Time Objective) gibt an, wie lange ein System höchstens ausfallen darf. Die RPO (Recovery Point Objective) gibt an, wie viel Datenverlust tragbar ist, also wie alt das letzte Backup höchstens sein darf.
| Priorität | System | Abhängig von | RTO | RPO | Verantwortlich |
|---|---|---|---|---|---|
| 1 | Netzwerk, Firewall, Verzeichnisdienst | Strom, Internetanschluss | [Stunden] | [Stunden] | [Name] |
| 2 | Backup-System | Netzwerk | [Stunden] | entfällt | [Name] |
| 3 | Warenwirtschaft | Netzwerk, Datenbankserver | [Stunden] | [Stunden] | [Name] |
| 4 | E-Mail und Telefonie | Internet, Verzeichnisdienst | [Stunden] | [Stunden] | [Name] |
| 5 | weitere Anwendungen | [Systeme] | [Tage] | [Tage] | [Name] |
Die Zielzeiten legen nicht die IT allein fest, sondern die Fachbereiche gemeinsam mit der Geschäftsleitung. Eine kurze Business-Impact-Analyse klärt, welcher Schaden pro Stunde Ausfall entsteht.
Fünf Szenarien, die Ihr Plan abdecken sollte
Ransomware
Betroffene Systeme isolieren, Backups vom Netz trennen und auf Unversehrtheit prüfen, Incident-Response-Dienstleister einschalten, Meldepflichten prüfen. Nicht vorschnell neu installieren, weil sonst Spuren verloren gehen. Wie ein strukturierter Ablauf aussieht, zeigt unsere Seite zur Incident Response.
Ausfall eines zentralen Systems oder Cloud-Dienstes
Ursache klären, Anbieter kontaktieren, Notbetrieb aktivieren, etwa Aufträge auf Papier oder über ein Ersatzsystem. Kunden informieren, wenn Lieferzeiten betroffen sind.
Datenleck
Umfang feststellen, Zugänge sperren und Passwörter ändern, Datenschutzbeauftragte einbinden. Sind personenbezogene Daten betroffen, gilt nach Art. 33 DSGVO eine Meldefrist von 72 Stunden an die Aufsichtsbehörde.
Ausfall eines wichtigen Dienstleisters
Vertragliche Notfallregelungen prüfen, alternative Anbieter oder manuelle Abläufe aktivieren. Wichtig ist, dass Zugangsdaten und Dokumentationen auch ohne den Dienstleister verfügbar sind.
Stromausfall oder Gebäudeschaden
Unterbrechungsfreie Stromversorgung und geordnetes Herunterfahren, Ausweichstandort oder Homeoffice aktivieren, Telefonie auf Mobilgeräte umleiten.
Meldepflichten im Notfallplan
Nach einem Sicherheitsvorfall laufen Fristen. Tragen Sie die Meldewege vorab in den Plan ein:
- BSI: NIS2-Einrichtungen melden erhebliche Sicherheitsvorfälle nach § 32 BSIG mit früher Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht nach einem Monat.
- Datenschutzaufsicht: Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden nach Art. 33 DSGVO.
- Polizei: Strafanzeige, für Unternehmen über die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter.
- Versicherung: Meldeobliegenheiten der Cyberversicherung beachten, sonst droht der Verlust des Versicherungsschutzes.
Muster-Vorlagen von offiziellen Stellen
Für den Einstieg gibt es Muster von öffentlichen Stellen. Die IHK München stellt einen Muster-IT-Notfallplan in sieben Abschnitten bereit, viele andere IHKs verweisen darauf. Das BSI bietet die IT-Notfallkarte zum Aushang und mit dem BSI-Standard 200-4 eine ausführliche Methode für das Notfallmanagement. Für kleine Unternehmen genügt meist eine schlanke Vorlage wie die Gliederung oben, für größere und regulierte Unternehmen lohnt sich das Vorgehen nach 200-4.
Übung: Den Plan in 90 Minuten testen
Ein ungeübter Plan scheitert oft an Kleinigkeiten. Eine Planspielübung am Tisch braucht keine Technik und deckt die meisten Lücken auf:
- Szenario vorgeben: „Montag, 7:30 Uhr. Auf mehreren Rechnern erscheint eine Lösegeldforderung. Der Dateiserver ist nicht erreichbar.“
- Durchspielen: Wer erfährt es zuerst, wen ruft er an, wer entscheidet über das Trennen des Netzes?
- Störungen einbauen: „Die IT-Leitung ist im Urlaub.“ „Das Backup ist ebenfalls verschlüsselt.“
- Auswerten: Fehlende Nummern, unklare Zuständigkeiten und falsche Annahmen notieren und den Plan anpassen.
Wo der Notfallplan aufbewahrt wird und wie oft er aktualisiert wird
Der beste Plan hilft nicht, wenn er im Ernstfall nicht erreichbar ist. Bewährt haben sich mindestens drei Ablageorte: ausgedruckt im Büro der Geschäftsleitung und bei der IT-Leitung, als Kopie auf einem verschlüsselten Datenträger außerhalb des Netzwerks und bei den Mitgliedern des Krisenstabs zu Hause oder auf dem Diensthandy.
Aktualisieren Sie den Plan mindestens einmal im Jahr, nach jeder Übung und sofort bei Änderungen, die ihn betreffen: neue Systeme, neue Dienstleister, Personalwechsel im Krisenstab. Tragen Sie Datum und Versionsstand auf der ersten Seite ein, damit im Ernstfall klar ist, ob man die aktuelle Fassung in der Hand hält.
Typische Fehler bei IT-Notfallplänen
- Nur digital abgelegt: Wenn die Server verschlüsselt sind, ist auch der Plan weg. Ausdrucke und eine Kopie außerhalb des Netzes gehören dazu.
- Zu lang: Ein 80-Seiten-Dokument liest im Ernstfall niemand. Die erste Seite muss allein funktionieren.
- Veraltete Kontakte: Ausgeschiedene Mitarbeitende und alte Dienstleister im Plan kosten wertvolle Zeit.
- Keine Vertretungen: Notfälle halten sich nicht an Urlaubspläne.
- Nie geübt: Erst eine Übung zeigt, ob der Plan funktioniert.
Fazit: Eine Vorlage ist der Anfang, nicht das Ende
Mit der Muster-Gliederung, den Textbausteinen und den Tabellen auf dieser Seite steht das Gerüst Ihres IT-Notfallplans. Entscheidend ist, es mit Ihren Kontakten, Systemen und Zielzeiten zu füllen, den Plan außerhalb der IT verfügbar zu machen und ihn einmal im Jahr zu üben.
Sie möchten Ihren Notfallplan nicht allein erstellen? Wir erstellen ihn mit Ihnen, moderieren die Business-Impact-Analyse und begleiten die erste Übung. Mehr dazu auf unserer Seite zur IT-Notfallplanung.
