IT-Notfallplan für kleine Betriebe: zuerst ein Blatt
Fällt etwa morgens der Rechner am Empfang aus oder ist ein Postfach plötzlich gesperrt, dann fehlt selten das Wissen. Es fehlt die Ruhe. Wer dann erst überlegt, wen er anruft und wo das Kennwort für den Router liegt, verliert die erste Stunde.
Ein IT-Notfallplan für einen kleinen Betrieb ist deshalb kein Handbuch. Er ist ein einziges Blatt, das jeder findet, und eine Handvoll Entscheidungen, die Sie heute in Ruhe treffen statt später unter Druck. Was darauf steht, muss nicht klug klingen. Es muss stimmen und auf einen Blick zu finden sein.
Was auf das Blatt gehört
Wen Sie anrufen, in welcher Reihenfolge. Zuerst die Person im Betrieb, die entscheidet. Dann Ihr IT-Dienstleister, mit der Nummer, unter der er tatsächlich erreichbar ist. Danach die Stellen, die nur in bestimmten Fällen gebraucht werden, etwa die Bank bei einer verdächtigen Überweisung. Die Nummern gehören auf Papier, nicht nur ins Handy, das im Ernstfall vielleicht selbst betroffen ist.
Wo die Zugangsdaten für den Notfall liegen und wer sie hat. Nicht die Kennwörter selbst, sondern der Ort: der Notfallzugang zum Passwort-Manager, der verschlossene Umschlag im Tresor, die Person mit dem Schlüssel dazu. Zwei Personen sollten herankommen, sonst steht der Betrieb, sobald eine im Urlaub ist.
Was Sie sofort tun dürfen und was nicht. Ein betroffenes Gerät vom Netz nehmen, also Netzwerkkabel ziehen oder WLAN abschalten: ja. Ausschalten, Dateien löschen, neu aufsetzen: nein, nicht ohne Absprache. Was gelöscht ist, kann sich niemand mehr ansehen, auch nicht die Person, die den Fehler sucht.
Wer nach außen spricht. Kunden und Lieferanten fragen nach, sobald etwas hakt. Eine Person antwortet, alle anderen verweisen auf sie.
Wo die Datensicherung liegt. Ort, Medium, Stand und die Person, die sie zurückspielen kann. Eine Sicherung, deren Zurückspielen noch nie jemand ausprobiert hat, ist eine Hoffnung, keine Sicherung.
Die Vorlage gibt es schon. Das BSI stellt kostenlos die IT-Notfallkarte „Verhalten bei IT-Notfällen“ bereit, ein ausfüllbares PDF zum Aushängen. Sie richtet sich an alle, die im Betrieb mit IT arbeiten, und vermittelt drei Dinge: wen man im IT-Notfall erreicht und wie, dass man entscheidende Informationen sofort weitergibt, und dass Gegenmaßnahmen nur nach Absprache mit dem zuständigen Ansprechpartner erfolgen. Ihre Notfallnummer tragen Sie selbst ein, zum Beispiel die Ihres IT-Dienstleisters. Der Titel genügt als Suchbegriff.
Drei Entscheidungen, die Sie vorher treffen
Wer entscheidet, wenn Sie nicht erreichbar sind. Etwa: Sie sitzen im Zug ohne Empfang, und im Betrieb steht die Frage, ob der Server jetzt vom Netz darf. Jemand muss das entscheiden dürfen. Schreiben Sie den Namen auf das Blatt, sagen Sie es der Person, und benennen Sie eine Vertretung.
Ab wann der IT-Dienstleister gerufen wird. Nicht bei jedem Drucker, der streikt. Aber ohne Zögern, wenn ein Konto gesperrt ist, Dateien sich plötzlich nicht mehr öffnen lassen, eine Meldung auf dem Bildschirm Geld verlangt oder eine Zahlung angewiesen wurde, die niemand veranlasst hat. Legen Sie diese Schwelle fest und schreiben Sie sie auf. Ein Anruf zu viel kostet ein Gespräch. Einer zu spät kostet mehr.
Wann Polizei und Datenschutzaufsicht ins Spiel kommen. Zwei Stellen, zwei Fragen. Erstens: Steckt eine Straftat dahinter, etwa Erpressung oder Betrug? Dann ist in Rheinland-Pfalz für Unternehmen die Zentrale Ansprechstelle Cybercrime (ZAC) beim Landeskriminalamt zuständig. In anderen Bundesländern gibt es entsprechende Stellen bei den Landeskriminalämtern. Zweitens: Sind personenbezogene Daten betroffen, etwa Kundendaten aus dem Postfach? Dann kann eine Meldepflicht gegenüber der Datenschutzaufsicht bestehen, nach der DSGVO in der Regel binnen 72 Stunden nach Bekanntwerden. Ob und wie das in Ihrem Fall gilt, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt. Auf das Blatt gehört der Hinweis, beide Fragen sofort zu stellen.
Wie Sie merken, ob der Plan taugt
Einmal im Jahr durchspielen. Gehen Sie mit Ihren Leuten ein Beispiel durch, etwa: Das Postfach des Inhabers ist gesperrt. Was tun Sie in der ersten Stunde? Wer greift zum Blatt, wen ruft er an, wo liegt der Notfallzugang? Wo das Gespräch stockt, fehlt etwas auf dem Blatt. Was dann konkret ansteht, steht in unserem Beitrag zu den ersten zwei Stunden nach einer Kontoübernahme.
Nummern prüfen. Dienstleister wechseln die Rufnummer, Mitarbeiter verlassen den Betrieb, die Vertretung ist in Elternzeit. Rufen Sie jede Nummer auf dem Blatt einmal an. Das deckt mehr auf, als man erwartet.
Das Zurückspielen einmal ausprobieren. Wählen Sie einen Ordner und lassen Sie ihn aus der Sicherung wiederherstellen. Nicht alles, nur einen Ausschnitt. Erst danach wissen Sie, ob die Sicherung im Ernstfall trägt und wie lange das dauert.
Wenn Sie mehr wollen
Für Betriebe, die über das eine Blatt hinaus wollen, hat das BSI den „Maßnahmenkatalog zum Notfallmanagement, Fokus IT-Notfälle“ veröffentlicht. Er richtet sich an Geschäftsführende in kleinen und mittleren Unternehmen und gliedert die Maßnahmen in vier Phasen: Vorbereitung, Bereitschaft, Bewältigung und Nachbereitung. Das Blatt aus diesem Beitrag ist ein Anfang für die erste Phase, der Katalog geht alle vier durch.
Interessant wird er vor allem für Betriebe, die unter NIS2 fallen oder von Kunden danach gefragt werden, etwa als Zulieferer eines größeren Unternehmens. Wer von NIS2 betroffen ist, haben wir in einem eigenen Beitrag zusammengefasst. Für alle anderen gilt: erst das Blatt, dann der Katalog.
Der Punkt: eine Sache für heute
Wenn Sie heute nur eines tun: Nehmen Sie ein Blatt Papier. Tragen Sie drei Nummern ein, die Ihres IT-Dienstleisters, die der Person, die im Betrieb entscheidet, und die ihrer Vertretung. Hängen Sie das Blatt dorthin, wo es jeder findet, zum Beispiel neben den Erste-Hilfe-Kasten. Alles Weitere kann nächste Woche dazukommen.
Wer das Blatt selbst schreiben will, hat mit der IT-Notfallkarte des BSI die Vorlage und mit diesem Beitrag die Stichworte. Wer es lieber von uns aufsetzen lässt, findet auf unserer Seite zur IT-Sicherheit unser Sicherheitspaket, zu dem ein Notfallblatt für den Betrieb gehört.