Jede Branche hat ihre eigenen Stolpersteine. Wir kennen sie, weil wir sie in der Region täglich sehen.
- ProduktionMaschinennetze trennen, Hallen-WLAN, Wiederanlauf
- LogistikScanner, mehrere Standorte, Erreichbarkeit
- HandelKassensysteme, Filialen, Shop-Anbindung
- ArztpraxenVertraulichkeit belegen, Praxissoftware, TI
- KanzleienRechtssichere Archivierung, Mandantentrennung
- Kommunen & StadtwerkeNIS2, Netztrennung, Nachweise für die Aufsicht
- DienstleisterMobiles Arbeiten, Cloud, Zusammenarbeit
Eigene Leute an drei Standorten in Mittelfranken – deshalb können wir im Notfall denselben Tag zusagen.
Hand in Hand
Alles rund um Ihre IT – aus einer Hand
Von der Leitung im Serverraum bis zur KI im Arbeitsalltag: zwölf Bereiche, für jeden davon eigene Spezialisten. Was BES nicht selbst macht, übernimmt ein Haus der L&S Unternehmensgruppe – abgestimmt, nicht weitergereicht.
IT-Notfallplan: Was ins Notfallhandbuch gehört – mit Checkliste und Vorlage
Wenn der Server verschlüsselt ist, das Telefon nicht mehr geht und niemand weiß, wer den Backup-Schlüssel hat, entscheidet ein Blatt Papier über Stunden oder Wochen Stillstand. Ein IT-Notfallplan legt vorher fest, wer was in welcher Reihenfolge tut. Wir erstellen ihn mit Ihnen – und üben ihn.
Warum braucht der Mittelstand einen IT-Notfallplan?
Ein Drittel der deutschen Unternehmen war laut Bitkom bereits von Ransomware betroffen; die durchschnittliche Betriebsunterbrechung liegt bei rund drei Wochen. Der Unterschied zwischen drei Tagen und drei Wochen liegt selten an der Technik, sondern an der Vorbereitung: Wer ist zuständig? Welche Systeme müssen zuerst laufen? Wo liegen die Zugangsdaten, wenn das Passwort-Tool selbst betroffen ist? Wer informiert Kunden, Versicherer und Behörden?
Dazu kommt die Pflicht: Die NIS2-Richtlinie verlangt von betroffenen Unternehmen ein Notfall- und Krisenmanagement, Cyber-Versicherer fragen im Antrag nach einem dokumentierten Wiederanlaufplan, und die ISO 27001 kennt Notfallvorsorge als eigenen Maßnahmenbereich. Ein IT-Notfallplan ist damit kein Schreibtischprojekt, sondern Betriebsvoraussetzung.
Was enthält ein IT-Notfallplan?
Ein brauchbares Notfallhandbuch ist kurz, aktuell und auch dann lesbar, wenn kein IT-System mehr funktioniert – also gedruckt und außerhalb des Netzes gespeichert. Diese Bestandteile gehören hinein:
| Bestandteil | Inhalt und Zweck |
|---|---|
| Kontakte und Erreichbarkeit | Notfallteam intern (Geschäftsführung, IT, Kommunikation), IT-Dienstleister mit Notfallnummer, Versicherer, Datenschutzbeauftragter, Anwalt, Provider, Hersteller-Hotlines – mit privaten Mobilnummern, falls Firmentelefonie ausfällt |
| Eskalation und Entscheidung | Wer ruft den Notfall aus? Wer darf Systeme abschalten, Lösegeldforderungen bewerten, die Produktion stoppen? Eskalationsstufen mit klaren Auslösern |
| Systemliste mit Priorität | Alle Systeme (Server, Cloud-Dienste, Anwendungen, Telefonie, Maschinensteuerungen) mit Kritikalität A/B/C, Abhängigkeiten und verantwortlicher Person |
| RTO und RPO je System | Maximal tolerierbare Ausfallzeit (Recovery Time Objective) und maximal tolerierbarer Datenverlust (Recovery Point Objective) – bestimmen Backup-Frequenz und DR-Bedarf |
| Wiederanlaufreihenfolge | Netzwerk und Firewall → Identität (Active Directory, Entra ID) → Backup-System → Kernanwendungen (ERP, E-Mail) → Arbeitsplätze → Rest. Mit Prüfschritten, bevor der nächste Schritt startet |
| Kommunikationsplan | Wer informiert Mitarbeitende, Kunden, Lieferanten, Presse – mit welchen Formulierungen, über welche Kanäle (auch ohne E-Mail) |
| Meldepflichten | DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden bei Verletzung des Schutzes personenbezogener Daten. NIS2: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden an das BSI für betroffene Einrichtungen. Zuständige Person und Vorlage im Plan hinterlegen |
| Zugangsdaten und Schlüssel | Notfallzugang zu Firewall, Backup, Hypervisor, Cloud-Tenant, Domains – versiegelt, außerhalb des Netzes, mit Protokoll bei Öffnung |
Angaben zu Meldefristen sind allgemeine Hinweise, keine Rechtsberatung. Ob und wie Ihr Unternehmen meldepflichtig ist, klären wir gemeinsam mit unserer Schwesterfirma CMD Datenschutz & Compliance.
Ein Notfallplan, der nicht geübt wird, ist eine Vermutung
Die meisten Notfallpläne scheitern nicht am Inhalt, sondern daran, dass niemand sie kennt. Wir empfehlen mindestens einmal jährlich eine Übung – vom Planspiel am Tisch („Es ist Montag 7 Uhr, alle Server zeigen eine Lösegeldforderung, was tun Sie?“) bis zum echten Wiederanlauf eines Systems aus dem Backup. Jede Übung liefert Korrekturen: eine veraltete Telefonnummer, ein fehlendes Passwort, ein Schritt, der doppelt so lange dauert wie geplant. Für Managed-Kunden dokumentieren wir Übung und Ergebnis im Monatsreport und nehmen die Punkte ins Quartals-Roadmap-Gespräch.
Notfallplan und Backup gehören zusammen
Der Plan legt fest, welche RTO und RPO Sie brauchen. Die Technik muss sie liefern. Wenn Ihr ERP nach spätestens vier Stunden wieder laufen muss, reicht kein Backup, das erst auf neue Hardware zurückgespielt werden muss – dann brauchen Sie Disaster Recovery in der TERRA Cloud, in der Ihre Server bei einem Ausfall mit zugesicherten Ressourcen weiterlaufen. Wenn ein Datenverlust von 24 Stunden akzeptabel ist, genügt ein tägliches, unveränderbares Backup. Wir leiten aus dem Notfallplan die passende Backup-Stufe ab und testen die Wiederherstellung regelmäßig – siehe Cloud-Backup und Disaster Recovery.
10-Punkte-Checkliste: Ist Ihr Unternehmen auf den IT-Notfall vorbereitet?
- 1. Es gibt einen schriftlichen Notfallplan, gedruckt und außerhalb des Netzes gespeichert.
- 2. Ein Notfallteam mit Vertretungen ist benannt, alle kennen ihre Rolle.
- 3. Alle Kontakte (intern, Dienstleister, Versicherer, Behörden) sind aktuell und ohne IT erreichbar.
- 4. Jedes System hat eine Priorität sowie eine definierte RTO und RPO.
- 5. Die Wiederanlaufreihenfolge ist festgelegt und mit Abhängigkeiten dokumentiert.
- 6. Ein unveränderbares Backup existiert, die Wiederherstellung wurde in den letzten zwölf Monaten getestet.
- 7. Notfallzugänge liegen versiegelt außerhalb des Netzes; der Zugriff ist geregelt.
- 8. Meldepflichten (DSGVO 72 Stunden, NIS2 24/72 Stunden) sind mit Zuständigkeit und Vorlage hinterlegt.
- 9. Ein Kommunikationsplan mit Textbausteinen für Mitarbeitende und Kunden liegt vor.
- 10. Der Plan wurde in den letzten zwölf Monaten geübt und danach aktualisiert.
Weniger als sieben Punkte erfüllt? Dann sollten wir sprechen – die Lücken sind in wenigen Wochen zu schließen.
Vorlage IT-Notfallplan zum Download
Unsere Vorlage enthält die Kapitelstruktur, Tabellen für Kontakte, Systemliste und RTO/RPO, eine Wiederanlauf-Checkliste sowie Textbausteine für die Kommunikation. Sie füllen sie selbst aus oder wir tun es gemeinsam im Workshop.
Tragen Sie Ihre E-Mail-Adresse ein, dann schicken wir Ihnen die Unterlage sofort zu. Kein Newsletter, keine Weitergabe.
Unterwegs zu Ihnen. Die Unterlage liegt in ein bis zwei Minuten in Ihrem Postfach – schauen Sie notfalls im Spam-Ordner nach.
So erstellen wir Ihren Notfallplan
Erstgespräch (30 Minuten) → Bestandsaufnahme mit Docusnap, damit die Systemliste vollständig ist → halbtägiger Workshop mit Geschäftsführung und IT zu Prioritäten, RTO/RPO und Zuständigkeiten → Ausarbeitung des Plans inklusive Backup- und DR-Empfehlung → Übergabe, Druck, Hinterlegung → erste Übung nach drei Monaten. Aufwand für die Erstellung: 1 bis 3 Tage. Danach betreuen wir den Plan als Managed Service ab 59 € im Monat bei 24 Monaten Laufzeit – darin enthalten sind die jährliche Aktualisierung, die Pflege der Systemliste und die Notfallübung. Für Kunden mit IT-Betreuungsvertrag ist die jährliche Aktualisierung bereits Bestandteil der Betreuung.
Häufige Fragen
Was ist der Unterschied zwischen IT-Notfallplan und Notfallhandbuch?
In der Praxis werden die Begriffe gleichbedeutend verwendet. Genauer: Das Notfallhandbuch ist das Gesamtdokument mit Organisation, Kontakten und Verfahren; der Notfallplan bezeichnet oft die konkreten Wiederanlaufpläne je System oder Szenario. Der BSI-Standard 200-4 spricht von Business Continuity Management als Rahmen.
Wie lang sollte ein IT-Notfallplan sein?
So kurz wie möglich. Für ein Unternehmen mit 50 Arbeitsplätzen sind 15 bis 30 Seiten realistisch, davon die Hälfte Tabellen. Ein Plan, den niemand im Ernstfall liest, hilft nicht. Die Details der Systeme gehören in die IT-Dokumentation, auf die der Plan verweist.
Wer im Unternehmen ist für den Notfallplan verantwortlich?
Die Geschäftsführung – sie trägt die Verantwortung für Betriebsfortführung und unter NIS2 ausdrücklich für die Cybersicherheit. Die Erstellung delegiert sie an IT und Dienstleister, die Entscheidungen im Notfall bleiben aber bei ihr. Deshalb gehört die Geschäftsführung in den Workshop und in die Übung.
Gilt die 72-Stunden-Meldepflicht für jedes Unternehmen?
Die DSGVO-Meldepflicht gegenüber der Datenschutzaufsicht gilt für alle Unternehmen, wenn personenbezogene Daten betroffen sind und ein Risiko für Betroffene besteht – bei Ransomware ist das häufig der Fall. Die NIS2-Meldepflichten gelten nur für betroffene Einrichtungen. Die Einordnung ist Aufgabe Ihres Datenschutzbeauftragten; wir liefern die technischen Fakten dafür.
Ein Notfallplan kostet einen Workshop-Tag. Kein Notfallplan kostet im Ernstfall Wochen. Lassen Sie uns mit der Bestandsaufnahme beginnen.