Ein IT-Notfallplan legt schriftlich fest, wer bei einem schweren Sicherheitsvorfall was in welcher Reihenfolge tut, wie kommuniziert wird und wie Systeme wiederhergestellt werden.
Ein IT-Notfallplan oder Notfallhandbuch ist das Dokument, das in den ersten Stunden eines schweren Vorfalls Orientierung gibt, wenn Systeme ausgefallen sind, Mitarbeitende verunsichert und Entscheidungen unter Druck zu treffen sind. Er beschreibt Alarmierungswege, Rollen und Vertretungen, Entscheidungsbefugnisse, Kommunikationsregeln nach innen und außen, Sofortmaßnahmen für typische Szenarien und die Schritte zur Wiederherstellung. Das Handbuch ist der operative Teil des Business Continuity Managements und die Grundlage der Incident Response.
Ein guter Notfallplan ist kurz genug, um im Ernstfall gelesen zu werden, und liegt an einem Ort, der auch dann erreichbar ist, wenn das Netzwerk, die Dateiablage und die E-Mail nicht mehr funktionieren.
Inhalte eines IT-Notfallhandbuchs
- Alarmierung und Krisenstab: Wer stellt den Notfall fest, wer wird wie erreicht (auch nachts und am Wochenende), wer leitet den Krisenstab, wer vertritt?
- Kontaktverzeichnis: Interne Verantwortliche, IT-Dienstleister, Forensik- und IR-Partner mit Rahmenvertrag, Cyberversicherung, Rechtsberatung, Behörden (BSI, Landesdatenschutz, Polizei).
- Sofortmaßnahmen je Szenario: Ransomware, Kontokompromittierung, Datenabfluss, Ausfall des Rechenzentrums; als Checklisten, nicht als Fließtext.
- Entscheidungsregeln: Wer darf die Internetverbindung kappen, die Produktion stoppen, Systeme abschalten? Welche Kriterien gelten?
- Kommunikation: Alternativer Kanal, Sprachregelung für Mitarbeitende, Kunden und Presse, Meldefristen nach DSGVO (72 Stunden) und NIS2 (24 Stunden Erstmeldung).
- Wiederanlauf: Reihenfolge der Systeme, Ort und Zugang zu Backups, Zugangsdaten für den Notfall (versiegelt, offline), Mindestkonfigurationen.
Bedeutung für Unternehmen
Im Vorfall zählt jede Stunde. Laut IBM Cost of a Data Breach 2025 brauchten deutsche Unternehmen im Schnitt 170 Tage, um einen Vorfall zu erkennen und einzudämmen. Ein eingeübter Plan verkürzt vor allem den zweiten Teil, weil nicht mehr diskutiert werden muss, wer zuständig ist. Für die Geschäftsleitung ist der Plan zudem ein Haftungsthema: NIS2 verpflichtet sie persönlich zur Überwachung der Risikomaßnahmen, zu denen Krisenmanagement ausdrücklich gehört.
Was wir in Einsätzen sehen: Pläne liegen auf dem Dateiserver, der im Ransomware-Fall verschlüsselt ist. Kontaktlisten enthalten ausgeschiedene Mitarbeitende. Der Plan setzt voraus, dass E-Mail und Telefonanlage funktionieren. Notfallkonten für das Active Directory existieren, aber niemand weiß, wo das Passwort liegt, oder es wurde zuletzt vor Jahren geprüft. Am häufigsten: Der Plan wurde nie unter Zeitdruck durchgespielt, und die erste Übung ist der echte Vorfall.
Praxis: Umsetzung und Test
- Offline verfügbar machen: Gedruckte Exemplare an definierten Orten, eine verschlüsselte Kopie auf Mobilgeräten des Krisenstabs, Zugangsdaten für Notfallkonten im Tresor.
- Jährlich aktualisieren, quartalsweise Kontakte prüfen: Ein Anruf bei jedem Kontakt im Verzeichnis dauert eine Stunde und deckt veraltete Einträge auf.
- Tabletop-Übung mit der Geschäftsleitung: Ein Szenario, zwei Stunden, konkrete Entscheidungen. Die Ergebnisse fließen direkt in den Plan.
- Technische Wiederherstellung üben: Domänencontroller und ein Kernsystem aus dem Backup auf saubere Hardware zurückspielen und die Dauer messen (siehe 3-2-1-Regel).
- Unter Realbedingungen testen: Ein Red Teaming, bei dem nur das Control Team eingeweiht ist, zeigt, ob der Plan im Alltag greift: Wird der Vorfall erkannt, wird er korrekt eskaliert, trifft der Krisenstab Entscheidungen, funktioniert die Kommunikation? Der Abgleich unserer Zeitleiste mit Ihrem Protokoll ist der ehrlichste Test, den ein Notfallplan bekommen kann.