IT-Notfallplan: Inhalte, Aufbau und Pflichten

Was ein IT-Notfallplan ist

Der IT-Notfallplan enthält die konkreten Abläufe für den Ernstfall: Rollen, Kontakte, Sofortmaßnahmen und die Reihenfolge der Wiederherstellung. Er ist Teil des Business-Continuity-Managements, das die Fortführung aller kritischen Geschäftsprozesse regelt. Die technische Wiederherstellung selbst heißt Disaster Recovery.

Für alle Beschäftigten empfiehlt das BSI zusätzlich eine IT-Notfallkarte, vergleichbar mit dem Aushang „Verhalten im Brandfall“. Ihre drei Botschaften: die Ansprechpartner für IT-Notfälle kennen, entscheidende Informationen sofort weitergeben und Gegenmaßnahmen nur nach Absprache mit den Zuständigen ergreifen.

Was in einen IT-Notfallplan gehört

So entsteht ein IT-Notfallplan

Am Anfang steht die Frage, welche Geschäftsprozesse am wichtigsten sind und von welchen Systemen sie abhängen. Daraus ergeben sich die Zielwerte: wie lange ein System ausfallen darf und wie viel Datenverlust verkraftbar ist, siehe RTO und RPO. Diese Werte bestimmen die Reihenfolge im Wiederanlaufplan.

Danach werden Szenarien beschrieben – etwa Ransomware, Ausfall des Rechenzentrums, Ausfall eines Cloud-Dienstes – und für jedes Sofortmaßnahmen, Zuständigkeiten und Wiederanlaufschritte festgelegt. Grundlage ist eine funktionierende Backup-Strategie: Ohne verlässliche Sicherungen bleibt jeder Wiederanlaufplan Theorie.

Ransomware: der häufigste Ernstfall

Bei einem Ransomware-Angriff entscheidet sich in den ersten Stunden, wie lange der Ausfall dauert. Der Plan sollte deshalb regeln, wie betroffene Systeme isoliert, Beweise gesichert und Dienstleister alarmiert werden – und woher ein sauberer Wiederherstellungspunkt kommt. Unveränderliche Kopien (Immutable Backup, WORM-Speicher) und geprüfte Wiederherstellbarkeit sind dafür die Voraussetzung. Mehr unter Ransomware.

Ist ein IT-Notfallplan Pflicht?

Ein allgemeines Gesetz mit dem Begriff „IT-Notfallplan“ gibt es nicht. Einrichtungen unter NIS2 müssen aber Maßnahmen zur Aufrechterhaltung des Betriebs umsetzen, „wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ (§ 30 BSIG), und erhebliche Sicherheitsvorfälle melden: Erstmeldung spätestens nach 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung einen Monat später (§ 32 BSIG). Die DSGVO verlangt, personenbezogene Daten nach einem Zwischenfall rasch wiederherzustellen (Art. 32) und Datenschutzverletzungen möglichst binnen 72 Stunden zu melden (Art. 33).

Üben und aktuell halten

Ein Notfallplan, der nie geübt wurde, funktioniert selten. Planspiele zeigen, ob Rollen und Kontakte stimmen, Wiederherstellungstests, ob die Zielwerte erreicht werden. Nach jeder größeren Änderung an Systemen, Dienstleistern oder Zuständigkeiten sollte der Plan aktualisiert werden. Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung.