IT-Notfallhilfe vorbereiten: Wen erreicht Ihr Betrieb im Ernstfall?

Den Ausfall der üblichen Kommunikation mitdenken

Am Montagmorgen funktionieren mehrere Arbeitsplätze nicht wie gewohnt. Beschäftigte können Dateien nicht öffnen und erreichen den internen IT-Kontakt nur schwer. Die Telefonnummer des externen Dienstleisters liegt im gemeinsamen Adressbuch, auf das ebenfalls niemand zugreifen kann. Ein kleines organisatorisches Versäumnis verzögert dadurch die fachliche Hilfe.

Bereiten Sie für diesen Fall eine unabhängig erreichbare Kontaktübersicht vor. Sie sollte interne Verantwortliche, Vertretungen und bereits vereinbarte externe Ansprechpartner enthalten. Prüfen Sie, ob diese Informationen auch ohne die üblichen IT-Systeme zugänglich sind und wer sie aktuell hält.

Wenn Sie Ihre Vorbereitung ergänzen möchten, können Sie Unterstützung zur IT-Sicherheit anfragen. Besprechen Sie anschließend, ob Sie ein Notfallkonzept, eine Übung oder einen vertraglich geregelten Unterstützungsdienst benötigen. Für einen bereits laufenden Vorfall nutzen Sie unmittelbar den vorgesehenen Notfallkontakt; die Angebotsanfrage ist kein zugesagter Notfalldienst.

Entscheidungen und Vertretungen vorab klären

Ein Sicherheitsvorfall kann technische und geschäftliche Entscheidungen gleichzeitig verlangen. Wer darf externe Hilfe beauftragen? Wer entscheidet über Unterbrechungen wichtiger Abläufe? Wer stimmt Informationen an Beschäftigte und Geschäftspartner ab? Diese Fragen sollten nicht erst unter Zeitdruck geklärt werden.

Die organisatorische Vorfall-Checkliste des BSI ordnet Rollen, Informationssammlung und Kommunikation als zentrale Aufgaben ein. Für einen kleinen Betrieb kann dafür eine überschaubare Gruppe genügen, sofern Verantwortung und Erreichbarkeit eindeutig sind.

Benennen Sie jeweils eine Vertretung. Ein Plan, der nur funktioniert, wenn eine bestimmte Person im Haus ist, bleibt anfällig. Halten Sie fest, welche Entscheidungen die Vertretung treffen darf und wann die Geschäftsführung einbezogen wird.

Stimmen Sie diese Organisation mit den vorhandenen Dienstleistern ab. Der technische Ansprechpartner sollte wissen, wer im Unternehmen freigeben kann. Umgekehrt muss die Geschäftsführung wissen, von wem sie eine fachliche Lageeinschätzung erhält.

Für die erste Meldung beobachtbare Angaben vorbereiten

Beschäftigte müssen einen Vorfall nicht selbst diagnostizieren. Hilfreich ist eine kurze Meldung darüber, was auffällt, seit wann es auffällt und welche Arbeit betroffen ist. Vermutungen über Ursache oder Angreifer sollten erkennbar von Beobachtungen getrennt bleiben.

Ein brauchbares Beispiel lautet: „Seit Arbeitsbeginn lassen sich in der Auftragsbearbeitung mehrere Dateien nicht öffnen. Auf zwei Rechnern erscheint dieselbe Meldung. Der Versand kann die heutigen Aufträge nicht aufrufen.“ Damit kann die zuständige Stelle gezielter nachfragen als bei der Aussage „Das ganze Unternehmen wurde gehackt“.

Angabe	Zweck für die erste Einordnung
Zeitpunkt der Beobachtung	Ablauf zeitlich einordnen
Betroffene Tätigkeit	Geschäftliche Auswirkung erkennen
Sichtbare Meldung	Fachliche Untersuchung unterstützen
Bereits informierte Stellen	Doppelarbeit und Widersprüche vermeiden
Bereits veranlasste Maßnahmen	Aktuellen Zustand nachvollziehen

Vereinbaren Sie, über welchen sicheren Weg solche Informationen übermittelt werden. Geheimnisse, vollständige Kundendaten oder verdächtige Dateien werden nicht wahllos weitergeleitet. Die Fachleute legen fest, welche Informationen sie wie benötigen.

Externe Unterstützung vor dem Einsatz beschreiben lassen

Ein allgemeiner Wartungsvertrag enthält nicht zwangsläufig umfassende Vorfallhilfe. Fragen Sie Ihren bestehenden Dienstleister, welche Leistungen vereinbart sind und wo zusätzliche Spezialisten benötigt würden. Dabei kann es um technische Analyse, Wiederherstellung oder die Koordination mit weiteren Beteiligten gehen.

Klären Sie Erreichbarkeit, Beauftragungsweg und Kostenmodell. Welche Angaben braucht der Anbieter beim ersten Kontakt? Wer darf den Auftrag erteilen? Gibt es Bedingungen für eine Bereitschaftsleistung? Verbindliche Zusagen ergeben sich aus der konkreten Vereinbarung, nicht aus der allgemeinen Bezeichnung „Notfallservice“.

Lassen Sie außerdem erklären, wie der Anbieter mit Ihrem bestehenden Systemhaus zusammenarbeitet. Beide Seiten benötigen einen geordneten Informationsaustausch und klar zugewiesene Aufgaben. Unkoordinierte parallele Änderungen können die Lagebeurteilung erschweren.

Bei einem tatsächlichen Vorfall werden technische Eingriffe durch die zuständigen Fachleute koordiniert. Beschäftigte sollten keine improvisierten Bereinigungsversuche durchführen. Die Vorbereitung besteht darin, einen erreichbaren Meldeweg und verständliche betriebliche Anweisungen zu schaffen.

Den eingeschränkten Betrieb und den Wiederanlauf vorbereiten

Überlegen Sie gemeinsam mit den Fachbereichen, welche Arbeit vorübergehend anders organisiert werden kann. Ein Betrieb kann möglicherweise Termine telefonisch erfassen, während ein anderer ohne seine Produktionssteuerung keine sichere Alternative hat. Solche Unterschiede müssen im Notfallplan berücksichtigt werden.

Benennen Sie die zuerst benötigten Abläufe. Für den Versand können beispielsweise Auftragsdaten, Etikettendruck und Kommunikation zusammengehören. Die IT kann diese Priorität nur sinnvoll unterstützen, wenn die fachlichen Abhängigkeiten bekannt sind.

Der gemeinsame Wegweiser von BBK und BSI zu kommunalen IT-Krisen behandelt in Kapitel 5.2 Meldewege, Notbetrieb, Kommunikation und Übungen. Er richtet sich an Kommunen. Für Ihre eigene betriebliche Vorbereitung lässt sich daraus die Frage ableiten, ob der vereinbarte Ablauf auch ohne die gewohnten Systeme erreichbar und praktisch nutzbar bleibt; kommunale Zuständigkeiten werden dadurch nicht auf Ihr Unternehmen übertragen.

Beziehen Sie die zuständigen Personen für Datenschutz, Verträge und Kommunikation in die Planung ein. Sie klären im konkreten Fall erforderliche Meldungen und Informationen. Pauschale Annahmen über eine bestimmte Meldepflicht oder Frist sollten die individuelle Prüfung nicht ersetzen.

Einen verlässlichen Kontaktweg für den Ausfall auswählen

Gehen Sie die erste Kontaktaufnahme gemeinsam mit dem Dienstleister durch. Welche Nummer wird gewählt, wer nimmt den Anruf an und was geschieht, wenn die zuständige Person nicht erreichbar ist? Eine allgemeine Zentrale kann den Kontakt vermitteln. Ob dort ein Sicherheitsvorfall aufgenommen oder nur ein Rückruf erbeten wird, sollten Sie vorab klären. Eine veröffentlichte Telefonnummer ist noch keine vereinbarte Reaktionsleistung.

Denken Sie die dafür nötigen Arbeitsmittel mit. Wenn Ihre Telefonanlage von denselben Diensten wie E-Mail und Anmeldung abhängt, braucht der Plan einen abgestimmten anderen Weg. Lassen Sie dessen Eignung fachlich prüfen. Private Messenger oder private Postfächer sind nicht automatisch für betriebliche Vorfallinformationen freigegeben. Halten Sie fest, welcher Kanal für welchen Zweck verwendet werden darf und wer ihn nutzen kann.

Bewahren Sie die freigegebenen Kontaktdaten so auf, dass die vorgesehenen Personen sie auch im angenommenen Ausfall erreichen. Dafür kommt beispielsweise eine geschützte Papierfassung infrage. Entscheidend ist der praktische Zugriff am vorgesehenen Ort, auch für eine Vertretung. Eine Notiz im abgeschlossenen Schrank der abwesenden Geschäftsführung löst das Erreichbarkeitsproblem ebenso wenig wie ein ausschließlich digitales Adressbuch.

Kontaktübersicht und Zugangsdaten gehören dabei nicht auf dasselbe frei zugängliche Blatt. Für die erste Meldung reichen Ansprechpartner, Kontaktweg und die vereinbarten Beobachtungsangaben. Wie Fachleute nötige Zugänge erhalten, wird getrennt und geschützt geregelt. Bitten Sie den Anbieter, diesen Übergang verständlich zu beschreiben. Beschäftigte sollen weder Passwörter zusammensuchen noch den Notfallkontakt durch die Weitergabe vertraulicher Informationen vermeintlich absichern.

Aus einer Bereitschaftsbezeichnung eine prüfbare Vereinbarung machen

Fragen Sie, welche Leistung mit dem ersten Kontakt beginnt. Wird die Meldung nur angenommen, erfolgt eine fachliche Ersteinschätzung oder beginnt bereits ein ausdrücklich beauftragter Einsatz? Lassen Sie die Begriffe im Angebot erklären. Für Ihre Organisation macht es einen Unterschied, ob Sie eine Rückmeldung abwarten, einen weiteren Auftrag freigeben oder eine bereits vereinbarte Bereitschaft aktivieren sollen.

Klären Sie außerdem, welche Systeme und Standorte die Vereinbarung umfasst. Ein Dienstleister kann Ihre Büroanwendungen betreuen, während ein anderer für die Produktionssoftware zuständig ist. Notieren Sie solche Schnittstellen mit den vorhandenen Vertragskontakten. Geben Sie dem Anbieter Gelegenheit, Grenzen seiner Unterstützung zu benennen und die Zusammenarbeit mit weiteren Fachleuten zu erläutern. Ein verständlich abgegrenzter Auftrag hilft Ihnen bei einer gezielten Beauftragung.

Vergleichen Sie das Kostenmodell anhand desselben Szenarios. Welche Vorbereitung ist enthalten? Welche Leistungen werden im Vorfall zusätzlich abgerechnet? Welche Freigabe braucht ein Einsatz außerhalb der vereinbarten Betreuung? Tragen Sie nur tatsächlich zugesagte Konditionen in Ihren Plan ein. Eine Kostenobergrenze oder feste Wiederherstellungszeit dürfen Sie nicht aus einer allgemeinen Werbeaussage über schnelle Hilfe ableiten.

Bei einem bestehenden Versicherungsvertrag sollte die zuständige Person die darin vorgesehenen Kontakt- und Abstimmungswege prüfen. Dieser Ratgeber unterstellt weder einen bestimmten Versicherungsschutz noch eine Freigabepflicht für jeden Fall. Es geht darum, vorhandene Vereinbarungen rechtzeitig in Ihre Organisation einzubeziehen. Lassen Sie offene vertragliche Fragen vor einer Entscheidung mit den zuständigen Stellen klären und dokumentieren Sie das bestätigte Ergebnis.

Das erste Lagebild vom technischen Auftrag unterscheiden

Ein frei erfundenes Beispiel: Die Auftragsbearbeitung meldet unzugängliche Dateien und der Versand kann keine Unterlagen öffnen. Zunächst ist nur bekannt, welche Arbeit ausfällt und wann die Auffälligkeit bemerkt wurde. Halten Sie diese Beobachtungen fest. Die Einordnung als Angriff, Defekt oder anderer Vorfall ist Aufgabe der fachlichen Untersuchung. Eine frühe unbelegte Ursache sollte nicht die interne Kommunikation bestimmen.

Benennen Sie jemanden, der bestätigte Informationen zusammenführt. Er oder sie hält fest, welche Stelle informiert wurde, wer eine Aufgabe übernommen hat und welche Entscheidung noch fehlt. Schreiben Sie nicht unnötig ganze Kundenvorgänge oder persönliche Inhalte in diese Übersicht. Wenn die technische Untersuchung weitere Informationen benötigt, vereinbaren die zuständigen Fachleute den passenden Übermittlungsweg und den erforderlichen Umfang.

Für die betrieblichen Verantwortlichen braucht es eine andere Sicht als für die Untersuchung: Welche Tätigkeit ist aktuell eingeschränkt, welche freigegebene Alternative besteht und wann wird die nächste Lagebesprechung vereinbart? Diese Fragen können Sie vorbereiten, ohne technische Maßnahmen vorzugeben. Das hilft auch bei einer Abwesenheit der Geschäftsführung. Eine Vertretung kann anhand des bekannten Stands entscheiden, welche fachliche Rückmeldung sie noch benötigt.

Die Wiederherstellung selbst ist ein gesonderter Auftrag mit eigenen Voraussetzungen. Der Ratgeber Datensicherung und Wiederherstellung prüfen behandelt die dazu nötigen betrieblichen Ziele. Der neuere Beitrag Konten und Daten beim Mitarbeiteraustritt übergeben hilft bei veränderten Zuständigkeiten und Zugängen. Beides ergänzt Ihre Vorbereitung, ohne eine Vorfallanalyse oder einen Notfalleinsatz zu ersetzen.

Nehmen Sie nach der Besprechung eine konkrete offene Aufgabe in die nächste Abstimmung mit. Beispielsweise kann noch ungeklärt sein, welcher Vertragskontakt bei Ausfall der Anmeldung erreichbar ist. Beauftragen Sie genau diese Klärung und lassen Sie das Ergebnis in die Kontaktübersicht übernehmen. Ein abgeschlossener kleiner Schritt macht den Plan nutzbarer als eine allgemeine Aussage, dass irgendwann ein vollständiges Konzept entstehen soll. Weitere Aufgaben folgen dem tatsächlich erkannten Bedarf.

Fragen zur Vorbereitung externer IT-Notfallhilfe

Ist eine Anfrage über dieses Portal ein IT-Notruf?

Die Angebotsanfrage dient der Suche nach passender Unterstützung und ist kein zugesagter Notfalldienst. Bei einem laufenden Vorfall nutzen Sie den vorgesehenen betrieblichen Meldeweg und den dafür vereinbarten Notfallkontakt.

Was gehört auf die erreichbare Kontaktübersicht?

Nehmen Sie die freigegebenen internen und externen Ansprechpartner, Vertretungen, vorgesehenen Kontaktwege und betrieblichen Entscheidungszuständigkeiten auf. Halten Sie Zugangsdaten getrennt und geschützt; sie gehören nicht auf einen allgemeinen Aushang.

Müssen Beschäftigte einen Cyberangriff selbst erkennen können?

Sie sollten Beobachtungen über den festgelegten Weg melden können, ohne eine technische Diagnose stellen zu müssen. Bereiten Sie verständliche Hinweise dazu vor, welche Angaben benötigt werden und wer die fachliche Einordnung übernimmt.

Wie prüfen wir den Plan ohne Abschalten produktiver Systeme?

Spielen Sie den vereinbarten Ausfall als Planbesprechung durch. Prüfen Sie Erreichbarkeit, Zuständigkeiten und Entscheidungen mit den Beteiligten. Tatsächliche technische Tests benötigen eine eigene abgestimmte Planung und sind dafür nicht vorausgesetzt.

Eine kurze Übung macht Lücken sichtbar

Beginnen Sie mit einer Planbesprechung: E-Mail und zentrale Anmeldung sind ausgefallen, mehrere Beschäftigte melden Auffälligkeiten. Lassen Sie die Beteiligten erklären, wen sie erreichen, welche Informationen sie benötigen und welche Entscheidung als Nächstes ansteht. Dafür müssen keine produktiven Systeme abgeschaltet werden.

Notieren Sie die Stellen, an denen der Ablauf stockt. Vielleicht fehlt eine Vertretung, eine Telefonnummer ist veraltet oder ein Dienstleister kann ohne eine bestimmte Freigabe nicht starten. Jede Erkenntnis erhält eine konkrete Aufgabe und einen Verantwortlichen.

Wiederholen Sie die Übung nach wesentlichen Änderungen. Neue Anwendungen, andere Dienstleister oder personelle Wechsel können frühere Absprachen überholen. Eine kurze aktuelle Kontakt- und Entscheidungsübersicht ist hilfreicher als ein umfangreicher veralteter Ordner.

Mit dieser Vorbereitung können Sie kostenfrei und unverbindlich IT-Sicherheitsleistungen anfragen. Beschreiben Sie im anschließenden Gespräch, welche Unterstützung bereits besteht und welche Lücken die Übung gezeigt hat. So lässt sich ein passender Auftrag zur Notfallvorbereitung oder Betreuung formulieren.