Leitfaden · Notfall
Der Notfallplan, der im Ernstfall trägt
Die teuerste Stunde ist die erste — weil niemand weiß, wer entscheidet. Was auf eine Seite gehört, damit das nicht passiert.
Die teuerste Stunde eines Sicherheitsvorfalls ist die erste. Nicht wegen der Technik, sondern weil niemand weiß, wer entscheidet. Dieser Leitfaden zeigt, was auf einen Notfallplan gehört, der im Ernstfall wirklich hilft — und warum er ausgedruckt sein muss.
Warum ein Plan als PDF nichts nützt
Der häufigste Fund in unseren Audits ist kein fehlender Plan, sondern ein Plan an der falschen Stelle: als Datei auf dem Fileserver, der im Ernstfall verschlüsselt ist. Oder im Intranet, das ohne Anmeldung nicht erreichbar ist. Oder auf dem Laptop des IT-Leiters, der gerade im Urlaub ist.
Ein Notfallplan muss ohne Strom, ohne Netz und ohne Anmeldung lesbar sein. Ausgedruckt, in mehreren Exemplaren, an Orten, die man auch ohne funktionierendes Schließsystem betreten kann.
Was auf die erste Seite gehört
Nicht mehr als eine Seite. Wer im Ernstfall drei Seiten lesen muss, liest gar nicht.
- Wer entscheidet. Eine Person mit Namen, eine Vertretung, eine zweite Vertretung. Nicht „die Geschäftsführung".
- Wer darf den Stecker ziehen. Schriftlich, mit Befugnis, auch nachts und am Wochenende. Diese Frage kostet sonst zwei Stunden.
- Telefonnummern — IT-Dienstleister, Versicherung, Rechtsberatung, Polizei, Datenschutzbeauftragte. Mobilnummern, keine Zentralen.
- Die drei ersten Schritte in der Reihenfolge, in der sie zu tun sind.
Erst trennen, dann verstehen. Analyse und Eindämmung sind nicht dasselbe — solange Schadsoftware Netzzugriff hat, arbeitet sie weiter. Jede Minute, in der geprüft statt getrennt wird, kostet mehr Daten als jede unterbrochene Produktionscharge.
Die Wiederanlauf-Reihenfolge
Nach der Eindämmung kommt die Frage, was zuerst wieder läuft. Wer das im Krisenstab diskutiert, verliert einen Tag. Legen Sie es vorher fest — nach Wertschöpfung, nicht nach Lautstärke der Abteilung:
- Systeme, ohne die nichts das Haus verlässt (Produktion, Versand, Lieferscheine)
- Systeme, die Kunden direkt betreffen (Auftragsannahme, Support)
- Verwaltung, Buchhaltung, Berichtswesen
Die Buchhaltung darf drei Tage mit Papier arbeiten. Eine stehende Fertigung kostet jeden Tag denselben Betrag.
Was in den ersten 72 Stunden rechtlich zu tun ist
| Wann | Was | Grundlage |
|---|---|---|
| sofort | Zeitpunkt der Kenntnis schriftlich festhalten | Beweislast |
| 24 Std. | Frühwarnung, falls NIS-2 greift | NIS-2 Art. 23 |
| 72 Std. | Meldung an die Datenschutzaufsicht, wenn personenbezogene Daten betroffen sind | Art. 33 DSGVO |
| zeitnah | Betroffene informieren bei hohem Risiko | Art. 34 DSGVO |
| zeitnah | Anzeige erstatten, Versicherung informieren | Police, Strafrecht |
Die 72-Stunden-Frist beginnt mit der Kenntnis irgendeines Mitarbeitenden — nicht erst, wenn die Geschäftsführung davon hört, und nicht erst, wenn alles aufgeklärt ist. Eine unvollständige Meldung mit angekündigter Ergänzung ist ausdrücklich vorgesehen und immer besser als eine späte.
Nehmen Sie den ausgedruckten Plan, geben Sie ihn jemandem aus der Verwaltung und fragen Sie: „Es ist Sonntagnacht, alles ist verschlüsselt, der IT-Leiter ist nicht erreichbar — was tun Sie als Erstes?" Wenn die Antwort länger als zehn Sekunden dauert, ist der Plan zu lang oder zu vage.
Einmal im Jahr üben — es dauert zwei Stunden
Eine Übung braucht keinen Ausfall. Setzen Sie die Beteiligten an einen Tisch, geben Sie ein Szenario vor und lassen Sie jeden sagen, was er täte. Sie werden in der ersten halben Stunde mindestens drei Lücken finden — meist eine veraltete Telefonnummer, eine unklare Zuständigkeit und ein System, an das niemand gedacht hat.
Ihren Ernstfall einmal durchspielen
Die Simulation führt durch zehn Entscheidungen eines Ransomware-Vorfalls — und zeigt am Ende, was ein Audit vorher gefunden hätte.
Zur Ernstfall-Simulation