IT-SICHERHEIT · NOTFALLVORSORGE
Eine Notfalldokumentation hilft nur, wenn sie während des Ausfalls erreichbar ist. Liegen Kontaktlisten, Wiederanlaufpläne und Wiederherstellungsschlüssel ausschließlich in Microsoft 365, auf dem ausgefallenen Server oder im normalen Passwortmanager, fehlen sie genau dann, wenn das Unternehmen sie benötigt.
Eine belastbare Offline-Fassung ist mehr als ein ausgedrucktes Handbuch. Sie trennt ungefährliche Handlungsanweisungen von schutzbedürftigen Zugangsinformationen, bildet die Abhängigkeiten der wichtigsten Geschäftsabläufe ab und nennt für jeden Wiederanlaufschritt eine verantwortliche Person, eine technische Voraussetzung und ein prüfbares Ergebnis.
Dieser Leitfaden zeigt, welche Unterlagen ein kleines Unternehmen außerhalb seiner normalen IT vorhalten sollte, wie Papier, verschlüsselter Datenträger und unabhängiger Speicher sinnvoll zusammenspielen und wie sich der Zugriff regelmäßig testen lässt. Die Tabellen können unmittelbar als Gliederung für ein eigenes Notfallpaket verwendet werden.
Kapitelübersicht
GrundprinzipInhalt des NotfallpaketsSchutz und AblageSchrittweise ErstellungErste StundeWiederanlaufNotfallzugängeZugriffs- und Praxistest
1. Notfalldokumentation muss unabhängig vom betroffenen System erreichbar sein
„Offline“ beschreibt keinen bestimmten Datenträger. Entscheidend ist, dass ein Ausfall, eine Kontosperre oder ein Angriff auf die normale IT nicht gleichzeitig alle Handlungsunterlagen unzugänglich macht.
Ein PDF auf dem Firmenserver ist bei einem Strom-, Speicher- oder Netzwerkfehler nicht erreichbar. Eine Kopie in derselben Microsoft-365-Organisation fällt bei einer gesperrten Administratoridentität möglicherweise ebenfalls aus. Ein dauerhaft angeschlossener USB-Datenträger kann von Schadsoftware verändert werden. Ein Papierordner funktioniert ohne Technik, veraltet aber leicht und eignet sich nicht für umfangreiche Konfigurationsdateien. Das Notfallpaket kombiniert deshalb mehrere voneinander unabhängige Formen.
| Ausfall | Was typischerweise fehlt | Erreichbare Notfallkopie |
|---|---|---|
| Microsoft-365-Konto gesperrt | Mail, Teams, SharePoint, OneDrive und normaler Passwortmanagerzugang | Papier-Kontaktblatt plus geschützter Zugang außerhalb des betroffenen Mandanten |
| Ransomware im Firmennetz | Dateiserver, lokale Dokumentation und dauerhaft verbundene Laufwerke | Physisch getrennte, geprüfte Kopie und sauberes Lesegerät |
| Internet ausgefallen | Cloudspeicher, Internettelefonie und webbasierte Anbieterportale | Papierfassung und lokal lesbare, verschlüsselte Dateien |
| Strom oder Bürostandort ausgefallen | Router, Server, NAS, Desktop-PC und Unterlagen im verschlossenen Büro | Eine verantwortliche Person besitzt eine zweite geschützte Kopie an anderem Ort |
| Administrator nicht erreichbar | Fachwissen, MFA-Gerät, Anbieterzugänge und Freigabe | Benannte Vertretung mit eigenem Zugriff und klarer Entscheidungsbefugnis |
| Gerät verloren oder defekt | Lokale Notizen, Zertifikate und gespeicherte Anmeldung | Zweiter Datenträger oder unabhängiges Tresorsystem mit getesteter Wiederherstellung |
| Cloudanbieter gestört | Anwendung, Daten, Statusseite und Supportportal desselben Anbieters | Exportierte Kontakt-, Vertrags- und Wiederanlaufinformationen außerhalb dieses Dienstes |
Die Planung beginnt daher nicht mit der Frage „Papier oder USB-Stick?“, sondern mit den gemeinsamen Ausfallursachen. Für jede Information wird geprüft, welche Identität, welches Gerät, welcher Standort, welcher Anbieter und welche Strom- oder Netzverbindung zu ihrem Abruf nötig sind. Mindestens ein Zugriffsweg muss außerhalb des Ausfalls liegen, gegen den die Unterlage helfen soll.
2. Das Notfallpaket enthält nur Informationen, die unter Zeitdruck gebraucht werden
Ein allgemeines IT-Handbuch erklärt den Normalbetrieb. Die Notfallfassung führt eine handlungsfähige Vertretung durch Erkennung, Entscheidung, Eindämmung, Notbetrieb und Wiederanlauf.
| Baustein | Konkreter Inhalt | Wann benötigt |
|---|---|---|
| Sofortmaßnahmen | Erste sichere Handlungen je Szenario, Verbote, Eskalationspunkt und Dokumentationsbeginn | In den ersten Minuten |
| Rollen und Vertretungen | Entscheidungsbefugnis, technische Koordination, Kommunikation, Datenschutz, Fachabnahme | Bei Aktivierung des Notfallverfahrens |
| Kontaktliste | Persönliche Telefonnummern, alternative E-Mail-Adressen, Dienstleister, Provider, Versicherer und Behördenwege | Wenn normale Kommunikationsmittel ausfallen |
| Kommunikationsplan | Unabhängiger Kanal, Empfängergruppen, Freigabe von Aussagen und vorbereitete Kurzmeldungen | Bei interner oder externer Information |
| Geschäftsprioritäten | Kritische Leistungen, maximal tragbarer Stillstand, manueller Ersatzweg und fachlicher Eigentümer | Zur Reihenfolge der Wiederaufnahme |
| Abhängigkeitskarte | Identität, Internet, DNS, Endgeräte, Server, Cloud, Telefonie, Daten und externe Anbieter | Vor jedem Wiederanlauf |
| Systemsteckbriefe | Zweck, Standort, Eigentümer, Konfiguration, Sicherung, Wiederherstellung und Funktionstest | Beim technischen Wiederaufbau |
| Zugangskonzept | Fundort von Notfallkonten, MFA-Ersatz, Wiederherstellungsschlüsseln und Anbieter-Legitimation | Wenn normale Identitäten fehlen |
| Backup-Übersicht | Gesicherte Daten, Sicherungsziele, letzte Prüfung, Schlüssel, Reihenfolge und Restore-Anleitung | Vor Auswahl einer Wiederherstellungsquelle |
| Vertrags- und Bestandsdaten | Kundennummern, Tarif, Geräte, Lizenzen, Supportweg, Laufzeiten und Leistungsgrenzen | Bei Support, Ersatzbeschaffung oder Anbieterwechsel |
| Arbeitsprotokoll | Zeit, Beobachtung, Entscheidung, ausführende Person, Ergebnis und offener Punkt | Während der gesamten Bearbeitung |
| Abnahmeplan | Fachliche Testfälle, Datenstand, Sicherheitsprüfung, Freigabe und Rückkehr zum Normalbetrieb | Vor erneuter Produktivsetzung |
Was bewusst nicht in den Schnellzugriffsordner gehört
- Vollständige Klartextkennwörter neben der jeweiligen Systembeschreibung
- Ungeprüfte Befehle, die Daten löschen, Systeme zurücksetzen oder Beweise verändern können
- Historische Konfigurationen ohne eindeutige Versions- und Gültigkeitsangabe
- Private Kontaktdaten ohne betrieblichen Zweck und geregelten Zugriff
- Allgemeine Sicherheitsrichtlinien, die in der Akutsituation keine Handlung auslösen
- Marketingunterlagen, Produktprospekte und vollständige Verträge ohne markierte Notfallangaben
- Ein nicht erläutertes Archiv aus Exporten, Screenshots und Konfigurationsdateien
Umfangreiche Vertrags-, System- oder Konfigurationsunterlagen können als Anlagen vorhanden sein. Das Hauptdokument verweist dann auf den genauen Dateinamen, die gültige Version und den geschützten Fundort. Eine Person, die den Normalbetrieb nicht täglich administriert, muss diese Anlage ohne Ratespiel finden und dem richtigen System zuordnen können.
3. Handlungsanweisungen, Geheimnisse und technische Anlagen brauchen verschiedene Schutzstufen
Eine einzige allmächtige Notfalldatei ist bequem, vergrößert aber den Schaden bei Verlust. Besser ist ein dreistufiges Paket, dessen Teile gezielt zusammengeführt werden.
| Stufe | Beispiele | Geeignete Ablage | Zugriff |
|---|---|---|---|
| A – Handlungsfähig werden | Rollen, Rufnummern, Sofortmaßnahmen, Meldeweg, Prioritäten und Protokollvorlage | Versiegelte Papierkopie und verschlüsselte Offline-Datei | Benannte Notfallrollen |
| B – Systeme erschließen | Fundorte von Notfallkonten, MFA-Ersatz, Schlüsselumschlägen und Anbieter-Legitimation | Separater Tresor oder kontrolliertes Geheimnisverfahren | Mindestens zwei autorisierte Personen nach dokumentierter Entnahme |
| C – Technisch wiederherstellen | Konfigurationsexporte, Installationsmedien, Lizenznachweise, Netzwerkpläne und Restore-Anlagen | Verschlüsselter, physisch getrennter Datenträger oder unabhängiger Speicher | Technische Wiederherstellungsrolle |
Stufe A erklärt beispielsweise, dass für den Microsoft-365-Notfall ein bestimmter versiegelter Umschlag aus dem Tresor benötigt wird. Sie enthält jedoch weder Kennwort noch Wiederherstellungscode. Stufe B beschreibt, wer den Umschlag öffnen darf, wie die Entnahme protokolliert und wie das Geheimnis nach der Nutzung ersetzt wird. Stufe C enthält die Exporte, mit denen Systeme tatsächlich rekonstruiert werden können.
| Variante | Stärke | Grenze | Sinnvolle Verwendung |
|---|---|---|---|
| Versiegelter Papierordner | Ohne Strom, Gerät, Konto oder Software lesbar | Manuell zu aktualisieren; für Geheimnisse und große Anlagen ungeeignet | Sofortmaßnahmen, Kontakte, Rollen, Prioritäten und Fundortverweise |
| Verschlüsselter Offline-Datenträger | Nimmt umfangreiche Dokumente, Exporte und Konfigurationen auf | Benötigt kompatibles sauberes Lesegerät und einen getrennten Schlüsselweg | Technische Anlagen und exportierte Systemdaten |
| Unabhängiger Cloudspeicher | Von anderem Standort erreichbar und leicht versionierbar | Bleibt von Internet, Anbieter, Konto und MFA abhängig | Zusätzliche Kopie außerhalb der produktiven Identitätsumgebung |
| Physischer Tresor an zweitem Ort | Trennt Standort- und Kontorisiko | Entnahme, Transport und Aktualisierung müssen organisiert sein | Zweite Papier- oder Datenträgerkopie und geschützte Zugangsmittel |
| Normaler Passwortmanager | Persönliche Rechte, Protokollierung und gute Bedienbarkeit | Hilft nicht, wenn derselbe Mandant, SSO-Zugang oder MFA-Weg ausfällt | Regelbetrieb; zusätzlich unabhängiger Notfallzugang erforderlich |
Die beste Kombination richtet sich nach den realen Ausfällen. Ein Unternehmen mit vollständig cloudbasierter IT braucht trotzdem Papier für Kontakte und einen unabhängigen Zugang zu seinem Hauptmandanten. Ein Büro mit lokalem Server benötigt zusätzlich eine technische Kopie außerhalb des Serverraums. Beide brauchen eine Vertretung, die den Zugriff praktisch beherrscht.
4. Schritt für Schritt: Ein eigenes Offline-Notfallpaket erstellen
Die Erstellung beginnt bei den wichtigsten Geschäftsleistungen und endet mit einem Zugriffstest. Eine bloße Sammlung vorhandener IT-Unterlagen erzeugt noch keinen ausführbaren Notfallplan.
- Geschäftsführung benennt eine verantwortliche Person und eine erreichbare Vertretung.
- Betrachtete Standorte, Firmen, Beschäftigtengruppen und externen Dienstleister abgrenzen.
- Ausfälle auswählen, gegen die das Paket funktionieren muss: Identität, Cloud, Internet, Strom, Standort, Gerät und Ransomware.
- Die wichtigsten Geschäftsleistungen mit maximal tragbarem Stillstand erfassen.
- Für jede Leistung einen fachlichen Eigentümer und einen manuellen Mindestbetrieb festlegen.
- Benötigte Anwendungen, Daten, Geräte, Kommunikationswege und Anbieter je Leistung zuordnen.
- Gemeinsame Abhängigkeiten wie Microsoft 365, DNS, Internetrouter oder einzelne Administratoren markieren.
- Rollen für Entscheidung, technische Koordination, Kommunikation, Datenschutz und fachliche Abnahme festlegen.
- Private und geschäftliche Ersatzkontaktdaten der benannten Rollen mit deren Zustimmung erfassen.
- Supportkontakte, Kundennummern, Vertragsnamen und Legitimationsanforderungen der kritischen Anbieter ergänzen.
- Für jedes priorisierte Szenario ein Blatt mit sicheren ersten Handlungen und ausdrücklichen Stopppunkten schreiben.
- Eine unabhängige Kommunikationsmöglichkeit für den Ausfall des normalen E-Mail- und Teams-Zugangs festlegen.
- Systemsteckbriefe für Identität, Netzwerk, Datenspeicher, Backup, Telefonie und zentrale Fachanwendungen erstellen.
- Je System Sicherungsquelle, verantwortliche Person, Wiederherstellungsreihenfolge und fachlichen Funktionstest dokumentieren.
- Notfallkonten, MFA-Ersatz und Wiederherstellungsschlüssel inventarisieren, ohne Geheimnisse in die offene Anleitung zu schreiben.
- Geheimnisse und Schlüssel in einem getrennten, kontrollierten Verfahren hinterlegen.
- Gültige Konfigurations-, Benutzer-, Lizenz- und Vertragsauszüge exportieren.
- Alle Anlagen eindeutig nach System, Inhalt, Exportdatum und Gültigkeit benennen.
- Ein leeres Arbeitsprotokoll für Zeitpunkte, Entscheidungen, Änderungen und Ergebnisse beilegen.
- Eine Abnahmecheckliste für den Übergang vom Notbetrieb zum normalen Betrieb erstellen.
- Masterfassung, Papierfassung und verschlüsselte technische Anlagen mit derselben Versionsnummer kennzeichnen.
- Erstkopie am Hauptstandort geschützt lagern und zweite Kopie außerhalb desselben Standort- und Kontorisikos hinterlegen.
- Auf beiden Kopien außen nur Eigentümer, Version, Prüfdatum und Öffnungsregeln vermerken.
- Mit der Vertretung einen unangekündigten Lese- und Zugriffstest ohne Produktivänderung durchführen.
- Gefundene Lücken korrigieren, neue Version ausgeben und alle veralteten Kopien nachweisbar einziehen.
Dateinamen, Version und Eigentum eindeutig festlegen
Ein brauchbarer Anlagenname lautet beispielsweise netzwerk-firewall-konfiguration-2026-09-11.xml und nicht export-neu-final.xml. Das Deckblatt des Pakets nennt Versionsnummer, Freigabedatum, verantwortliche Person, nächste Prüfung und die ersetzten Versionen. Jede Anlage besitzt einen Eigentümer, der ihre fachliche oder technische Gültigkeit bestätigen kann.
5. Die erste Stunde braucht kurze Szenarioblätter statt langer Fließtexte
Die ersten Maßnahmen unterscheiden sich deutlich. Ein Stromausfall, eine Kontosperre und ein möglicher Angriff dürfen nicht mit derselben pauschalen Checkliste behandelt werden.
| Beobachtung | Erster sicherer Schritt | Nicht vorschnell tun | Benötigte Unterlage |
|---|---|---|---|
| Mehrere Dateien erhalten unbekannte Endungen; Erpressungshinweis erscheint | Betroffene Systeme koordiniert vom Netz trennen und Vorgang protokollieren | Nicht wahllos neu starten, löschen oder Backups verbinden | Ransomware-Szenarioblatt, Kontaktliste, Netzplan und Backupübersicht |
| Microsoft-365-Anmeldung scheitert für mehrere Personen | Anbieterstatus und unabhängigen Administrationszugang prüfen | Keine unkoordinierten Kennwort- und MFA-Änderungen für alle Konten | Identitätssteckbrief, Notfallzugang und Kommunikationsersatz |
| Nur Internet und Internettelefonie sind ausgefallen | Strom, Routerstatus und bekannte Providerstörung getrennt prüfen | Router nicht ohne gesicherte Konfiguration zurücksetzen | Netzwerksteckbrief, Providervertrag und Ersatz-Internet-Anleitung |
| Verdächtige Anmeldung oder versendete Nachrichten eines Kontos | Betroffenes Konto und Sitzungen nach vorbereitetem Identitätsverfahren eindämmen | Keine Beweisspuren durch ungezielte Bereinigung vernichten | Kontovorfallsblatt, Administratorwege und Protokollvorlage |
| Server oder NAS nicht erreichbar | Strom, Netzwerk und Zustand beobachten und genaue Symptome festhalten | Speicherverbund nicht initialisieren oder Datenträger beliebig tauschen | Systemsteckbrief, Speicherlayout, Supportkontakt und Restoreplan |
| Büro ist physisch nicht nutzbar | Personensicherheit klären und Notbetrieb an Ersatzort aktivieren | Keine ungesicherte Mitnahme von Datenträgern oder Akten | Standortplan, Rufkette, Ersatzarbeitsplatz- und Zugriffsliste |
Pflichtfelder eines Szenarioblatts
- Eindeutige Auslöser und beobachtbare Symptome
- Verantwortliche Erstrolle und erreichbare Vertretung
- Erste Maßnahmen in fester Reihenfolge
- Handlungen, die ohne Fachentscheidung unterbleiben müssen
- Technischer oder geschäftlicher Eskalationspunkt
- Benötigte Kontakte, Verträge und geschützte Anlagen
- Unabhängiger Kommunikationskanal
- Beginn und Form des Arbeitsprotokolls
- Kriterium für Notbetrieb, Wiederherstellung oder externe Hilfe
- Voraussetzung für die spätere Produktivfreigabe
Das Szenarioblatt ersetzt keine fachkundige Vorfallsanalyse. Es verhindert vermeidbare Anfangsfehler und bringt die richtigen Personen, Informationen und Hilfsmittel zusammen. Bei unsicherer Lage endet die Anweisung an einem klaren Stopppunkt, etwa „keine Systeme wieder verbinden, bis die technische Koordination die Ursache und den sauberen Wiederanlaufweg bestätigt hat“.
6. Die Wiederanlaufreihenfolge folgt Geschäftsleistungen und technischen Abhängigkeiten
„E-Mail zuerst“ oder „Server zuerst“ ist keine allgemeingültige Regel. Ein Dienst kann nur funktionieren, wenn Identität, Netzwerk, Namensauflösung, Endgeräte, Daten und angebundene Dienste in der richtigen Reihenfolge verfügbar sind.
| Geschäftsleistung | Benötigte Ressourcen | Notbetrieb | Fachliche Abnahme |
|---|---|---|---|
| Kundenanfragen annehmen | Telefonie oder Mobilrufnummer, Kontaktliste, E-Mail oder Ersatzpostfach | Anrufe und Nachrichten in lokaler Liste erfassen | Eingang, Zuordnung und Rückmeldung mit Testkontakt prüfen |
| Angebote und Aufträge bearbeiten | Identität, Endgerät, Dokumentvorlage, Kundendaten und Dateiablage | Freigegebene lokale Vorlagen und begrenzte Stammdatenkopie | Testangebot erstellen, speichern, freigeben und wiederfinden |
| Rechnungen stellen | Fachanwendung, Kunden- und Leistungsdaten, Nummernkreis, PDF und Versand | Vorgänge sammeln; Rechnungsstellung nach Wiederanlauf | Testlauf ohne echten Versand, Summen und Ablage prüfen |
| Zahlungseingänge prüfen | Bankzugang, MFA, berechtigte Person und Buchhaltung | Dringende Einzelprüfung über unabhängigen Bankzugang | Kontostand und Buchungsimport gegen Referenz abstimmen |
| Projektdateien bereitstellen | Identität, Dateiablage, Berechtigungen, Sync und externe Freigaben | Nur priorisierte Dateien über genehmigten Ersatzweg austauschen | Interner und externer Test mit erlaubtem und verweigertem Zugriff |
Systemsteckbrief: Angaben für eine tatsächliche Wiederherstellung
| Feld | Einzutragende Information |
|---|---|
| Identität | Eindeutiger Systemname, Produkt, Mandant, Standort und geschäftlicher Zweck |
| Eigentum | Geschäftlich verantwortliche Person, technische Administration und Vertretung |
| Abhängigkeiten | Strom, Internet, DNS, Identität, Zertifikate, Datenbanken, Speicher und Drittdienste |
| Komponenten | Geräte, virtuelle Systeme, Anwendungen, Versionen und benötigte Lizenzen |
| Netzwerk | Adressierung, VLAN, Firewallregeln, VPN, externe Endpunkte und Verwaltungszugang |
| Konfiguration | Gültiger Export, Dateiname, Datum, Integritätswert und Wiederimportverfahren |
| Daten | Führender Datenbestand, Speicherort, Schutzbedarf und zulässiger Wiederherstellungsstand |
| Sicherung | Job, Ziel, Aufbewahrung, letzte erfolgreiche Sicherung und letzter Restoretest |
| Zugang | Persönliche Administrationswege und Verweis auf getrennten Notfallzugang |
| Wiederaufbau | Voraussetzungen und Schritte in technisch notwendiger Reihenfolge |
| Validierung | Technische Prüfung, fachlicher Testfall, Referenzdaten und freigebende Person |
| Rückfall | Stopppunkt, wenn Wiederherstellung fehlschlägt, sowie alternative Quelle oder Eskalation |
Eine IP-Adresse, ein Kennwort oder ein Screenshot allein ist keine Wiederherstellungsanleitung. Der Steckbrief muss beschreiben, welche Basis zuerst aufgebaut wird, wo die gültige Konfiguration liegt, welche Datenquelle verwendet werden darf und wie eine fachkundige Person erkennt, dass das System korrekt arbeitet. Ebenso wichtig ist der Rückfallpunkt: Werden Inkonsistenzen entdeckt, darf der nächste abhängige Dienst nicht freigegeben werden.
7. Notfallkonten und Wiederherstellungsschlüssel bleiben getrennt, persönlich und prüfbar
Ein gemeinsamer Zettel mit allen Kennwörtern schafft keine Resilienz. Er umgeht persönliche Verantwortlichkeit, wird selten sauber aktualisiert und kann bei Verlust den Zugang zu sämtlichen Systemen öffnen.
| Zugangsmittel | Notfallvorsorge | Abnahme |
|---|---|---|
| Cloud-Administratorkonto | Eigenes Notfallkonto, starke getrennte Authentisierung, keine tägliche Nutzung | Anmeldung und erforderliche Rechte kontrolliert testen; Warnung muss ankommen |
| MFA für Schlüsselpersonen | Registrierte Ersatzmethode oder versiegelter Wiederherstellungsweg | Vertretung erreicht Konto ohne Gerät der Hauptperson |
| BitLocker- oder Geräteschlüssel | Gesicherte Zuordnung zu Gerät und Seriennummer außerhalb des Geräts | Schlüssel für ausgewähltes Testgerät eindeutig auffindbar und lesbar |
| Backup-Verschlüsselung | Schlüssel getrennt von Sicherungsmedium und Produktionsidentität aufbewahren | Probe-Restore lässt sich mit dokumentiertem Verfahren entschlüsseln |
| Firewall oder lokaler Server | Persönliche Administration plus versiegelter Ersatzweg und aktuelle Konfiguration | Zugriff auf Managementoberfläche ohne Konfigurationsänderung bestätigen |
| Provider-Support | Kundennummer, Vertragsinhaber, Hotline und erforderliche Legitimationsmerkmale | Vertretung kann einen Testkontakt oder Vertragsabruf erfolgreich durchführen |
| Domain und DNS | Mindestens zwei geeignete persönliche Konten, MFA und getrennte Wiederherstellung | Vertretung kann Anmeldung, Domainbestand und Änderungsprotokoll einsehen |
Ausgabe eines versiegelten Notfallzugangs
- Anlass und autorisierende Person im Notfallprotokoll festhalten.
- Siegelnummer oder eindeutige Kennung mit dem Register vergleichen.
- Entnahme durch zwei benannte Personen oder ein gleichwertig kontrolliertes Verfahren dokumentieren.
- Zugang nur auf einem als geeignet bestätigten Gerät und über den vorgesehenen Netzweg verwenden.
- Anmeldung, ausgeführte Änderungen und Ergebnis lückenlos protokollieren.
- Zugang nach Abschluss sperren, Kennwort ändern oder einmalige Codes ersetzen.
- Aktive Sitzungen und nicht mehr benötigte Berechtigungen widerrufen.
- Neues Notfallmittel versiegeln, kennzeichnen und an allen vorgesehenen Standorten ersetzen.
- Nutzung auswerten und prüfen, ob der reguläre Wiederherstellungsweg verbessert werden muss.
Der Notfallweg darf nicht vom normalen Konto derselben Person, demselben Mobiltelefon und demselben E-Mail-Postfach abhängen. Gleichzeitig bleibt er auf die tatsächlich benötigten Systeme begrenzt. Ein Microsoft-365-Notfallkonto benötigt beispielsweise keine Administratorrechte auf Firewall, Bankportal und Domainverwaltung.
8. Ein Zugriffstest prüft Auffindbarkeit, Verständlichkeit und technische Verwendbarkeit
„Ordner vorhanden“ ist kein Prüfergebnis. Eine Vertretung muss die richtige Fassung finden, den Ablauf verstehen, benötigte Hilfsmittel öffnen und bis zu einem sicheren Stopppunkt handeln können.
| Test | Durchführung | Nachweis |
|---|---|---|
| Sichtprüfung | Versionen, Siegel, Standorte und Verantwortliche abgleichen | Alle vorgesehenen Kopien vorhanden und gleich bezeichnet |
| Auffindbarkeitstest | Vertretung erhält nur ein Szenario und sucht selbstständig das Paket | Fundort und Zugriffsweg innerhalb vereinbarter Zeit erreicht |
| Lesetest | Vertretung erklärt Maßnahmen, Stopppunkte und Eskalation in eigenen Worten | Keine unklaren Abkürzungen, Rollen oder Voraussetzungen |
| Zugangstest | Notfallkonto oder Schlüsselweg ohne produktive Änderung verwenden | Anmeldung funktioniert, Ereignis wird protokolliert und gemeldet |
| Anlagentest | Datenträger auf sauberem Ersatzgerät öffnen und Dateien stichprobenartig prüfen | Verschlüsselung, Format, Integrität und Lesbarkeit bestätigt |
| Wiederherstellungstest | Abgegrenzte Testdaten oder Testsystem aus Sicherung wiederherstellen | Datenstand, Funktion und Zeit protokolliert |
| Tabletop-Übung | Rollen spielen einen realistischen Ausfall ohne Produktiveingriff durch | Entscheidungen, Informationsbedarf und Lücken nachvollziehbar erfasst |
Quartalsweiser Zugriffstest in zwanzig Schritten
- Prüfer bestimmt ein Szenario, ohne der Vertretung den genauen Ablageort zu nennen.
- Startzeit und verfügbare Kommunikationsmittel festhalten.
- Vertretung lokalisiert die richtige Papierfassung.
- Versionsnummer mit dem Notfallregister abgleichen.
- Erste Rolle, Stellvertretung und Eskalationsweg benennen.
- Passendes Szenarioblatt auswählen und erste drei Maßnahmen erklären.
- Ausdrückliche Verbote und Stopppunkte wiedergeben.
- Unabhängigen Kommunikationskanal praktisch öffnen.
- Benötigten Providerkontakt samt Kundennummer finden.
- Passenden Systemsteckbrief und dessen technische Anlagen zuordnen.
- Verschlüsselten Datenträger auf einem vorbereiteten Ersatzgerät einlesen.
- Schlüssel über den getrennten, vorgesehenen Weg beziehen.
- Eine Konfigurations- und eine Kontaktdatei öffnen.
- Exportdatum und Gültigkeit gegen den aktuellen Betrieb prüfen.
- Notfallkonto ohne Änderung am Produktivsystem anmelden.
- Erwartete Sicherheitsmeldung und Protokollierung kontrollieren.
- Testkonto ordnungsgemäß abmelden und Sitzungsstatus prüfen.
- Entnommene Mittel zurückgeben oder nach Verfahren ersetzen.
- Abweichungen mit Verantwortung, Frist und Abnahmekriterium erfassen.
- Korrigierte Fassung erneut prüfen und alle überholten Kopien einziehen.
| Prüffeld | Bestanden, wenn |
|---|---|
| Unabhängigkeit | Mindestens ein Zugriff ohne betroffenen Hauptmandanten, Server und Standort möglich ist. |
| Aktualität | Deckblatt, Anlagen und Register dieselbe freigegebene Version tragen. |
| Rollen | Verantwortliche und Vertretungen erreichbar sind und ihre Befugnisse kennen. |
| Verständlichkeit | Eine eingewiesene Vertretung die ersten Schritte ohne mündliche Hilfe ausführen kann. |
| Geheimnisse | Notfallzugänge getrennt geschützt, verwendbar und nach Nutzung austauschbar sind. |
| Technische Anlagen | Dateien auf vorgesehenem Ersatzgerät lesbar, entschlüsselbar und eindeutig zuordenbar sind. |
| Wiederherstellung | Mindestens ein abgegrenzter Restore mit dokumentiertem Datenstand funktioniert hat. |
| Abnahme | Technische Funktion und ein realer Geschäftsfall getrennt geprüft werden. |
| Pflege | Änderungsauslöser, nächster Termin und Einzug alter Fassungen geregelt sind. |
9. Änderungen im Normalbetrieb müssen die Notfallfassung automatisch erreichen
Der häufigste Fehler ist keine fehlende Erstfassung, sondern eine unbemerkt veraltete Kopie. Personalwechsel, neue MFA-Verfahren, Providerwechsel und Systemmigrationen verändern den Notfallweg unmittelbar.
| Ereignis | Zu prüfende Teile | Erforderlicher Abschluss |
|---|---|---|
| Ein- oder Austritt einer Schlüsselperson | Rollen, Rufkette, persönliche Konten, MFA und Vertretung | Neue Person testet ihren Zugriff; alte Rechte sind entzogen |
| Neuer oder ersetzter Internetrouter | Gerätedaten, Providerkontakt, Netzplan und Konfigurationsexport | Aktueller Export liegt offline und lässt sich zuordnen |
| Microsoft-365- oder Domainänderung | Administratoren, Notfallkonto, DNS, Support und Wiederherstellung | Unabhängige Anmeldung und Zuständigkeit erneut bestätigt |
| Neue Backupplattform | Sicherungsumfang, Schlüssel, Aufbewahrung und Restoreanleitung | Wiederherstellungstest mit neuer Plattform bestanden |
| Umzug oder zweiter Standort | Lagerorte, Strom, Netze, Ersatzarbeitsplätze und Erreichbarkeit | Beide Kopien befinden sich außerhalb gemeinsamer Ausfallursachen |
| Neue kritische Fachanwendung | Geschäftspriorität, Abhängigkeiten, Daten, Vertrag und Notbetrieb | Systemsteckbrief und fachlicher Testfall freigegeben |
| Tatsächlicher Vorfall | Unklare Schritte, fehlende Daten, Zeitbedarf und Kommunikationsprobleme | Erkenntnisse umgesetzt und erneut geübt |
Die Aktualisierung ist Teil der jeweiligen Änderung. Ein Routerwechsel gilt beispielsweise erst dann als vollständig abgeschlossen, wenn der neue Konfigurationsexport im technischen Notfallpaket liegt und die alte Datei eindeutig als ungültig entfernt wurde. So wird Notfalldokumentation nicht zu einer separaten Jahresaufgabe, die dem Betrieb hinterherläuft.
Häufige Fragen zur Offline-Notfalldokumentation
Reicht ein ausgedruckter IT-Notfallplan?
Für Kontakte, Rollen und erste Maßnahmen ist Papier besonders robust. Konfigurationsexporte, umfangreiche Anlagen und aktuelle Bestandslisten benötigen zusätzlich eine geschützte digitale Kopie. Entscheidend sind mehrere unabhängige Zugriffswege und ein getesteter Schlüsselprozess.
Sollten Kennwörter im Notfallordner stehen?
Eine offen lesbare Gesamtliste ist meist unangemessen. Der Ordner verweist auf getrennt geschützte Notfallkonten oder Schlüssel. Ausgabe, Nutzung, Protokollierung und anschließender Austausch müssen geregelt sein. Persönliche Konten bleiben persönlichen Personen zugeordnet.
Ist eine Datei in einem zweiten Cloudkonto bereits offline?
Sie ist vom ersten Anbieter oder Mandanten getrennt, bleibt aber von Internet, Endgerät, Konto, MFA und dem zweiten Anbieter abhängig. Als zusätzliche unabhängige Kopie kann sie sinnvoll sein. Für einen Internet- oder Geräteausfall wird weiterhin eine lokal oder auf Papier erreichbare Fassung benötigt.
Wie oft muss die Notfalldokumentation geprüft werden?
Nach jeder relevanten Änderung sofort und zusätzlich in einem festen Turnus. Für Kontakte, Notfallkonten und technische Lesbarkeit ist eine vierteljährliche Stichprobe praktikabel; umfassendere Szenario- und Wiederherstellungstests richten sich nach Kritikalität und Änderungsrate. Ein Termin ohne praktischen Zugriffstest genügt nicht.
Wer sollte eine Kopie besitzen?
Nur benannte Personen mit einer Rolle im Notfallverfahren. Mindestens eine erreichbare Vertretung muss unabhängig von der Hauptperson handeln können. Umfang und Schutz der jeweiligen Kopie richten sich nach der Aufgabe; nicht jede Rolle benötigt Zugriff auf technische Anlagen oder Geheimnisse.
Was ist wichtiger: aktuelle Dokumentation oder vollständige Dokumentation?
Eine kleinere, geprüfte Fassung für die wirklich kritischen Geschäftsleistungen ist wertvoller als ein umfangreiches, veraltetes Archiv. Der Umfang wird anschließend priorisiert erweitert. Offene Lücken bleiben sichtbar und erhalten Verantwortung, Termin und Abnahmekriterium.
Weiterführende fachliche Grundlagen
Notfalldokumentation für den tatsächlichen Ausfall aufbauen
fra.digital unterstützt kleine Unternehmen in Frankfurt dabei, kritische Geschäftsleistungen und IT-Abhängigkeiten zu erfassen, ausführbare Szenarioblätter zu erstellen, Notfallzugänge sauber zu trennen und die Offline-Fassung mit realistischen Zugriffs- und Wiederherstellungstests abzunehmen.
