IT-Notfallplan: Die erste Stunde nach einem Ausfall

Ein IT-Ausfall wird selten durch die Technik zum Desaster, sondern durch die erste Stunde danach. Niemand weiß, wer entscheidet. Zugangsdaten liegen im System, das gerade nicht erreichbar ist. Mitarbeitende starten Rechner neu und vernichten dabei Spuren. Ein Notfallplan muss deshalb nicht dick sein. Er muss in dieser Stunde funktionieren.

Was auf einer Seite stehen muss

Ein brauchbarer Notfallplan passt auf ein Blatt und liegt ausgedruckt an einem bekannten Ort. Er enthält:

• Wer entscheidet. Eine Person, die im Zweifel Systeme abschaltet, und eine Vertretung.
• Wen Sie anrufen. IT-Dienstleister, Internetanbieter, Versicherung, bei Personendaten der Datenschutzbeauftragte. Mit Telefonnummern, nicht mit E-Mail-Adressen.
• Wo die Zugänge liegen. Der Weg zum Passwort-Tresor oder zum versiegelten Umschlag mit den Notfallzugängen.
• Welche Systeme zuerst. Eine Reihenfolge für die Wiederherstellung: Was muss laufen, damit der Betrieb im Notbetrieb arbeiten kann?
• Wie Sie kommunizieren. Ein Kanal, der ohne Firmen-IT funktioniert, etwa eine Messenger-Gruppe mit privaten Geräten.

Die erste Stunde

Minute 0 bis 10: Eindämmen statt reparieren. Bei Verdacht auf einen Angriff betroffene Geräte vom Netzwerk trennen, nicht herunterfahren. Ein laufendes System behält Spuren im Arbeitsspeicher, die für die Analyse wichtig sind. Bei einem reinen Hardware-Ausfall gilt das Gegenteil: nichts anfassen, bevor klar ist, was defekt ist.

Minute 10 bis 20: Lage feststellen. Welche Systeme sind betroffen, welche laufen noch? Gibt es Lösegeldforderungen, ungewöhnliche Dateiendungen, fremde Anmeldungen? Diese Antworten bestimmen, ob Sie einen Ausfall oder einen Vorfall behandeln.

Minute 20 bis 30: Entscheiden und melden. Die entscheidende Person ruft den IT-Dienstleister an und legt fest, ob weitere Systeme vorsorglich getrennt werden. Bei Verdacht auf Datenabfluss beginnt ab jetzt die Frist für die Meldung an die Aufsichtsbehörde, in der Regel 72 Stunden.

Minute 30 bis 60: Notbetrieb organisieren. Mitarbeitende informieren, was sie tun und lassen sollen. Keine Neustarts, keine eigenen Rettungsversuche, keine Anmeldung an betroffenen Systemen. Parallel prüfen, ob die Sicherung außer Haus intakt und erreichbar ist.

Was Sie vorher klären sollten

Die erste Stunde läuft nur dann ruhig ab, wenn drei Dinge vorher geklärt sind: Die Sicherung ist getrennt und getestet, die Zugänge sind auch ohne das Firmennetz erreichbar, und die Reihenfolge der Wiederherstellung ist abgestimmt. Alles andere lässt sich im Ernstfall improvisieren, diese drei Punkte nicht.

Ein Notfallplan wird zudem nur dann genutzt, wenn er geübt wurde. Eine Stunde im Jahr, in der Sie den Ablauf am Tisch durchspielen, deckt mehr Lücken auf als jede Dokumentation.

Wenn Sie keinen Plan haben oder nicht wissen, ob der vorhandene noch stimmt, erstellen wir mit Ihnen eine Version, die auf eine Seite passt und zu Ihrer Umgebung gehört.