Ein IT-Notfallplan legt fest, wer bei einem schwerwiegenden Vorfall entscheidet, kommuniziert und handelt. Er wird gebraucht, wenn Systeme ausfallen, Daten abfliessen, ein Cyberangriff den Betrieb stört oder eine Wiederherstellung nicht wie geplant funktioniert.
Die entscheidenden Fragen müssen vor dem Vorfall beantwortet sein. Während eines Angriffs fehlen Zeit, verlässliche Kommunikationswege und oft auch der Zugriff auf jene Systeme, in denen Anleitungen gespeichert wurden.
Vorfall, Notfall oder Krise
Nicht jede technische Störung ist eine Krise. Ein einzelner defekter Arbeitsplatz kann der normale Support lösen. Ein Notfall beginnt dort, wo wichtige Leistungen ausfallen, der Schaden rasch wächst oder mehrere Verantwortungsbereiche gleichzeitig betroffen sind.
Eine Krise betrifft zusätzlich die Führung des Unternehmens: Kunden müssen informiert, Behörden oder Versicherungen einbezogen, finanzielle Folgen begrenzt und Entscheidungen unter Unsicherheit getroffen werden. Der Plan sollte deshalb Eskalationsstufen enthalten, statt jeden Alarm gleich zu behandeln.
Was im Plan stehen muss
Ein brauchbarer Plan enthält mindestens:
- Verantwortliche und Stellvertretungen mit erreichbaren Kontaktdaten,
- Kriterien für Eskalation und Einberufung eines Krisenstabs,
- priorisierte Systeme, Daten und Geschäftsprozesse,
- alternative Kommunikationswege ausserhalb der normalen IT,
- Kontakte zu IT-Partnern, Versicherern, Behörden und weiteren Fachstellen,
- bekannte Abhängigkeiten und Zugang zu Notfallkonten,
- Vorgehen für Eindämmung, Beweissicherung und Wiederherstellung,
- Regeln für interne und externe Kommunikation,
- einen Ablauf für Nachbearbeitung und Verbesserungen.
Das BACS stellt Schweizer KMU dafür ein Notfallblatt und eine Vorlage für den IT-Notfall- und Krisenplan bereit. Eine Vorlage ersetzt aber keine betriebsspezifische Entscheidung. Namen, Systeme, Telefonnummern und Prioritäten müssen zur eigenen Organisation passen.
Wiederherstellung braucht eine Reihenfolge
«Alles wieder einschalten» ist keine Wiederherstellungsstrategie. Zuerst muss bekannt sein, welche Systeme den Betrieb tragen und welche Abhängigkeiten bestehen. Identität, Netzwerk, DNS, Dateiablagen, Fachanwendungen und Kommunikation beeinflussen sich gegenseitig.
Eine Backup-Strategie liefert Kopien. Der Notfallplan bestimmt, welche davon wann verwendet werden, wer die Wiederherstellung freigibt und wie geprüft wird, ob ein System sauber und vertrauenswürdig zurückkehrt.
Kommunikation ausserhalb des Ausfalls
Der Plan darf nicht ausschliesslich im betroffenen Netzwerk liegen. Eine kontrollierte Offline-Kopie, aktuelle Telefonnummern und ein alternativer Kommunikationskanal gehören dazu. Gleichzeitig dürfen Notfalldokumente keine ungeschützte Sammlung von Passwörtern werden. Zugangsdaten gehören in einen geeigneten Passwort- oder Secret-Prozess, der auch im Notfall erreichbar bleibt.
Bei betroffenen Personendaten muss zusätzlich geprüft werden, ob eine Meldung nach Schweizer Datenschutzgesetz erforderlich ist. Diese rechtliche Beurteilung läuft parallel zur technischen Eindämmung.
Üben statt abheften
Ein Plan ist erst belastbar, wenn er geübt wurde. Für ein KMU reicht oft eine kurze Tischübung: Ein zentrales System ist nicht erreichbar, der normale Chat fällt aus und eine unbekannte Person verlangt Lösegeld. Das Team arbeitet den Plan durch und notiert, wo Zuständigkeiten, Kontakte oder Informationen fehlen.
Nach einem realen oder simulierten Vorfall werden Ablauf, Entscheidungen und Verzögerungen ausgewertet. Diese Nachbearbeitung macht den nächsten Einsatz schneller und klarer.
Merksatz
Ein IT-Notfallplan ist kein Dokument für den Schrank. Er ist eine vorab getroffene Vereinbarung darüber, wer unter Zeitdruck welche Entscheidung treffen darf und in welcher Reihenfolge der Betrieb geschützt wird.