Was ist ein IT-Notfallplan – und warum brauchen Sie einen?
Ein IT-Notfallplan ist ein dokumentiertes Konzept, das festlegt, wie Ihr Unternehmen bei IT-Ausfällen, Cyberangriffen oder Naturkatastrophen handelt. Er beantwortet drei Kernfragen: Wer tut was? In welcher Reihenfolge werden Systeme wiederhergestellt? Wie wird intern und extern kommuniziert?
Ohne Plan entscheiden unter Zeitdruck erschöpfte Menschen spontan – mit vorhersehbar schlechten Ergebnissen. Mit Plan sinkt die Wiederherstellungszeit drastisch, Fehler werden vermieden und Compliance-Anforderungen (u. a. NIS2) werden erfüllt.
Die wichtigsten Begriffe: RTO und RPO
Wie lange darf ein System maximal ausfallen, bevor der Schaden inakzeptabel wird?
Wie viel Datenverlust ist maximal tolerierbar? Definiert die Backup-Häufigkeit.
Systeme priorisieren: Welche Systeme sind wirklich kritisch?
Nicht alle Systeme sind gleich kritisch. Definieren Sie Prioritätsklassen:
IT-Notfallplan Vorlage: Was muss enthalten sein?
Ein vollständiger IT-Notfallplan für den Mittelstand enthält folgende Abschnitte:
- IT-Verantwortlicher intern (inkl. Handy für außerhalb Bürozeiten)
- MSP / IT-Dienstleister Notfallnummer
- Internet-Provider Störungshotline
- Versicherung (Cyber-Versicherung, falls vorhanden)
- BSI-Meldestelle (bei NIS2-Pflicht)
- Wer darf was entscheiden? (Eskalationsmatrix)
- Netzwerk isolieren bei Verdacht auf Cyberangriff?
- Notfallkommunikation (wenn E-Mail ausgefallen ist)
- Dokumentation des Vorfalls beginnen
- Pro System: Prioritätsklasse, RTO, RPO, Backup-Standort
- Schrittweise Wiederherstellungsanleitung pro System
- Verantwortliche Person pro System
- Test-Protokoll der letzten Wiederherstellung
- Interne Kommunikation: wer informiert wen wann?
- Externe Kommunikation: Kunden, Lieferanten, Behörden
- Medien-/Pressestrategie bei größerem Vorfall
- NIS2-Meldepflicht: 24h-Erstmeldung ans BSI
- Tabletop-Übung: wann, wer, wie oft?
- Echte Wiederherstellungstests: Datum, Ergebnis
- Aktualisierungsturnus (nach Systemänderungen, mind. jährlich)
Checkliste: Ist Ihr IT-Notfallplan vollständig?
- Notfall-Kontaktliste aktuell – inkl. Handynummern, zuletzt geprüft innerhalb der letzten 6 Monate
- Alle Systeme priorisiert – RTO und RPO für jedes kritische System definiert
- Backup nachweisbar getestet – letzte Wiederherstellung dokumentiert
- Kommunikationsplan vorhanden – was passiert, wenn E-Mail ausgefallen ist?
- Plan ausgedruckt & offline verfügbar – nicht nur digital gespeichert
- Alle Mitarbeiter informiert – wer weiß, wo der Plan liegt und was zu tun ist?
- Tabletop-Übung durchgeführt – Plan wurde einmal als Planspiel durchgespielt