IT-Notfallplan für KMU: Was er enthalten muss – nicht nur für den Cyberangriff
Stromausfall, gekappte Glasfaser, Server defekt, Mail und Telefon tot oder der IT-Dienstleister nicht erreichbar: was ein IT-Notfallplan für kleine und mittlere Unternehmen enthalten muss, wie man ihn ohne Beratungsprojekt aufbaut und warum er auf Papier gehört.
„Einen IT-Notfallplan brauchen wir, falls uns jemand hackt.“ Diesen Satz würden die meisten Geschäftsführer unterschreiben. Er ist nicht falsch, aber er greift zu kurz – und führt dazu, dass viele Pläne genau die Ausfälle nicht abdecken, die am häufigsten vorkommen.
Eine Spedition in Hamburg, 35 Beschäftigte, an einem Dienstag um 10:15 Uhr. Auf der Baustelle vor dem Gelände trennt ein Bagger die Glasfaserleitung. Es gibt keinen Angreifer und keine Schadsoftware, trotzdem steht der Betrieb: Die Telefonanlage läuft über das Internet, die Tourenplanung im Browser, die Mails beim Cloud-Anbieter. Die Fahrer rufen in der Disposition an und landen im Nichts. Niemand weiß, wo die Nummer des Providers steht, ob es einen mobilen Ersatzzugang gibt und wer entscheidet, die Kunden per Handy zu informieren.
Der Ausfall dauert sechs Stunden. Die meisten davon wären vermeidbar gewesen – nicht durch bessere Technik, sondern durch zwei Seiten Papier, die vorher jemand ausgefüllt hätte.
Ein IT-Notfallplan ist deshalb kein Sicherheitsdokument für den Hackerangriff. Er beantwortet eine betriebswirtschaftliche Frage: Welche Arbeit muss weiterlaufen, wenn ein Teil der IT fehlt – ganz gleich, warum er fehlt?
Worauf es ankommt
Verbreitete Annahme | Realität |
|---|---|
Der Notfallplan ist für den Cyberangriff. | Er muss jeden längeren Ausfall abdecken – Strom, Leitung, Server, Cloud-Dienst, Dienstleister. |
Den schreibt der IT-Dienstleister. | Welche Prozesse zuerst zurückkommen müssen, kann nur die Geschäftsführung entscheiden. |
Er liegt auf dem Server. | Im Ernstfall ist genau der nicht erreichbar. Der Plan gehört auf Papier. |
Wenn er einmal geschrieben ist, ist er fertig. | Ein ungeübter Plan mit veralteten Nummern hilft kaum mehr als gar keiner. |
Was ist ein IT-Notfallplan?
Ein IT-Notfallplan ist ein schriftlich festgelegter Ablauf dafür, wie ein Unternehmen weiterarbeitet und wieder anläuft, wenn wichtige IT-Systeme länger ausfallen. Er legt fest, wer entscheidet, wer wen anruft, welche Geschäftsprozesse Vorrang haben und wie ein Notbetrieb aussieht.
Wichtig ist die Abgrenzung zur Störung. Eine Störung – der Drucker streikt, ein Programm hängt – wird im normalen Betrieb behoben; wie man solche IT-Störungen im Unternehmen systematisch in den Griff bekommt, ist ein eigenes Thema. Ein Notfall liegt nach dem Muster-Notfallplan der IHK auf Basis des BSI-Standards 200-4 dann vor, wenn eine Störung nicht mehr im Rahmen des Normalbetriebs bewältigt werden kann. Genau für diesen Übergang braucht es den Plan.
Ebenso wichtig ist, was der IT-Notfallplan nicht ist. Er ist kein Sicherungskonzept – das regelt, wie Daten gesichert werden; der Notfallplan regelt, wer im Ausfall was entscheidet. Und er ist keine Notfallkarte: Die Karte am Empfang sagt, was in den ersten Minuten zu tun ist, der Plan reicht bis zum Wiederanlauf. In einem gut aufgebauten Betrieb verweisen alle drei aufeinander, ohne sich zu doppeln.
Dass das Risiko in Unternehmen ernst genommen wird, zeigt das Allianz Risk Barometer 2026: In Deutschland nennen 52 Prozent der befragten Risikoexperten Cybervorfälle als größtes Geschäftsrisiko, 40 Prozent Betriebsunterbrechungen – Platz zwei. Beides sind zwei Seiten desselben Problems: Ein Betrieb steht still, weil die IT fehlt.
Die sechs Ausfallszenarien, die ein IT-Notfallplan abdecken muss
Ein guter IT-Notfallplan sortiert nicht nach Ursachen, sondern nach dem, was im Betrieb fehlt. Für Unternehmen mit 10 bis 80 Arbeitsplätzen reichen in der Regel sechs Szenarien:
Szenario | Typische Ursache | Was sofort fehlt | Notbetrieb vorbereiten |
|---|---|---|---|
Internet weg | Bauarbeiten, Störung beim Provider | Telefonie, Mail, Cloud-Anwendungen | mobiler Ersatzzugang, Störungsnummer des Providers auf Papier |
Strom weg | Netzstörung, Defekt im Gebäude | alles am Standort | Server geordnet herunterfahren, Reihenfolge beim Wiederhochfahren |
Server oder zentrale Anwendung defekt | Hardware, missglücktes Update | Warenwirtschaft, Dateien, Fachsoftware | Wiederherstellung aus der Sicherung, Ersatzhardware |
E-Mail und Telefonie gestört | Ausfall beim Cloud-Anbieter, Konfigurationsfehler | Erreichbarkeit für Kunden und Mitarbeitende | Rufumleitung aufs Handy, Ansage, Kunden über einen zweiten Kanal informieren |
Cyberangriff | Ransomware, übernommene Konten | im schlimmsten Fall alles | Ablauf für die erste Stunde, Meldewege, Spurensicherung |
Ausfall der IT-Betreuung | Krankheit, Kündigung, Insolvenz des Dienstleisters | Wissen, Zugänge, Entscheidungen | Dokumentation, hinterlegte Zugangsdaten, benannte Vertretung |
Zwei Zeilen verdienen besondere Aufmerksamkeit. Bei E-Mail und Telefonie unterschätzen viele, wie sehr beides heute an derselben Internetleitung hängt: Fällt sie aus, ist das Unternehmen auf allen Kanälen gleichzeitig stumm. Eine Rufumleitung auf Mobiltelefone, die sich ohne Büro-PC einschalten lässt, kostet wenig und rettet den Kundenkontakt.
Für den Cyberangriff braucht der Plan einen eigenen, minutengenauen Ablauf, denn hier entscheiden die ersten Handgriffe über den Schaden. Was in dieser Phase zu tun ist, beschreibt der Beitrag Cyberangriff im Unternehmen: Was tun in den ersten 60 Minuten?. Für die letzte Zeile gilt: Fällt die Person aus, die die IT kennt, hilft nur, was vorher aufgeschrieben wurde – mehr dazu unter Wenn der IT-Verantwortliche ausfällt.
Was in einen IT-Notfallplan gehört
Ein IT-Notfallplan muss nicht dick sein. Für die meisten Betriebe dieser Größe genügen zehn bis fünfzehn Seiten mit diesen Bausteinen:
- Auslöser und Stufen: Ab wann gilt etwas als Notfall, wer ruft ihn aus? Eine einfache Einteilung in drei Stufen genügt.
- Rollen und Vertretungen: Wer entscheidet, wer koordiniert, wer kommuniziert – jeweils mit benannter Vertretung.
- Kontaktliste: IT-Dienstleister, Provider, Softwarehersteller, Versicherung, Datenschutzbeauftragte – mit Kunden- und Vertragsnummern, auch außerhalb der Geschäftszeiten.
- Prioritätenliste der Geschäftsprozesse: Was muss nach welcher Zeit wieder laufen? Daraus ergeben sich die Anforderungen an Sicherung und Wiederherstellung – die Kennzahlen dafür heißen RTO und RPO.
- Abläufe je Szenario: die sechs Szenarien aus der Tabelle oben, jeweils mit Sofortmaßnahmen und Notbetrieb.
- Wiederanlauf: In welcher Reihenfolge werden Systeme hochgefahren, wer prüft, ob alles läuft?
- Kommunikation: Was erfahren Mitarbeitende, Kunden und Lieferanten, über welchen Kanal, mit welcher Vorlage? Dazu die gesetzlichen Meldepflichten.
- Anhänge: Netzplan, Systemübersicht, Zugangsdaten-Verweise. Ohne eine aktuelle Netzwerkdokumentation bleibt jeder Wiederanlauf Spurensuche.
- Pflege: wer den Plan wann prüft und was eine außerplanmäßige Aktualisierung auslöst.
Wer nicht bei null anfangen will, findet beim Muster-IT-Notfallplan der IHK München eine kostenlose Vorlage in Word und Excel. Eine Vorlage ersetzt aber nicht die Entscheidungen, die nur im eigenen Haus getroffen werden können – vor allem nicht die nächste.
Die Prioritätenmatrix: Was zuerst zurückkommen muss
Das Herzstück jedes IT-Notfallplans ist eine Tabelle, die ohne Technikwissen ausgefüllt werden kann. Für jeden wichtigen Geschäftsprozess wird festgehalten, wie lange er höchstens ausfallen darf und wovon er abhängt. Für die Spedition aus dem Einstieg sieht das so aus:
Geschäftsprozess | Darf höchstens ausfallen | Hängt ab von | Notbetrieb |
|---|---|---|---|
Erreichbarkeit für Fahrer und Kunden | 30 Minuten | Internet, Telefonanlage | Rufumleitung auf Diensthandys |
Disposition und Tourenplanung | 2 Stunden | Internet, Planungssoftware | ausgedruckter Tagesplan, Telefonliste der Fahrer |
Auftragsannahme | 4 Stunden | E-Mail, Warenwirtschaft | Annahme per Telefon, Nacherfassung |
Rechnungsstellung | 3 Tage | Warenwirtschaft, Buchhaltung | nachholen |
Lohnabrechnung | 1 Woche | Lohnsoftware, Steuerberatung | Abschlag nach Vormonat |
Die Tabelle lässt sich in einer Stunde mit Geschäftsführung und Abteilungsleitungen füllen. Sie zeigt sofort, wo der Plan ansetzen muss: Alles, was spätestens nach vier Stunden wieder laufen muss, braucht einen vorbereiteten Notbetrieb. Alles darüber darf warten – und muss nicht mit teurer Technik abgesichert werden.
Aus der Praxis
„Wenn wir mit Kunden die Prioritätenliste aufstellen, merken die meisten erst dabei, dass ihr wichtigster Prozess gar nicht die Buchhaltung ist, sondern das Telefon. Diese eine Erkenntnis verändert oft mehr als jede technische Maßnahme.“
Martin Osterhof, Geschäftsführender Gesellschafter, novotec GmbH
Papier, Übung, Pflege: Damit der Plan im Ernstfall trägt
Drei Dinge entscheiden darüber, ob ein IT-Notfallplan im Ernstfall hilft oder in einer Schublade liegt.
Er muss erreichbar sein, wenn die IT es nicht ist. Mindestens zwei ausgedruckte Exemplare, eines im Betrieb, eines bei der Geschäftsführung zu Hause. Dazu gehört eine Kurzfassung als Aushang – das BSI bietet dafür die IT-Notfallkarte „Verhalten bei IT-Notfällen“ an, gedacht wie das bekannte Schild „Verhalten im Brandfall“.
Er muss einmal geübt werden. Eine Übung muss keinen Betrieb stilllegen. Es genügt, einmal im Jahr eine Stunde mit den Beteiligten am Tisch ein Szenario durchzuspielen: „Es ist Dienstag, 10:15 Uhr, das Internet ist weg. Was tun wir?“ Dabei fallen veraltete Nummern, fehlende Zugänge und unklare Zuständigkeiten zuverlässig auf.
Er muss mitwachsen. Neue Software, neuer Provider, neue Mitarbeitende in Schlüsselrollen: Jede dieser Änderungen ist ein Anlass, den Plan zu prüfen. Wer das an bestehende Abläufe koppelt – etwa an die Einarbeitung neuer Mitarbeitender oder an den jährlichen Vertragscheck –, muss sich keinen eigenen Termin dafür merken. Hilfreich für die Pflege ist auch der Maßnahmenkatalog zum Notfallmanagement des BSI, der sich ausdrücklich an Geschäftsführende und IT-Verantwortliche in kleinen und mittleren Unternehmen richtet.
Wie novotec beim IT-Notfallplan unterstützt
Den IT-Notfallplan schreibt kein Dienstleister allein – die Prioritäten setzt die Geschäftsführung. Was wir beitragen, ist der technische Teil, der ohne Fachwissen kaum zu füllen ist: Abhängigkeiten zwischen Systemen, realistische Wiederanlaufzeiten, Reihenfolgen beim Hochfahren und die passende Sicherungsstrategie.
Für Kunden in unserer IT-Betreuung mit Workplace 365 und ServerOps 365 gehören elektronische IT-Dokumentation, Monitoring und Sicherungsüberwachung ohnehin zum Betrieb – damit sind die Anhänge des Notfallplans immer aktuell. In der strategischen IT-Beratung erarbeiten wir die Prioritätenliste gemeinsam mit Geschäftsführung und Fachbereichen und spielen sie anschließend in einer Übung einmal durch.
Fazit
Ein IT-Notfallplan entscheidet nicht darüber, ob etwas ausfällt, sondern darüber, wie lange der Betrieb danach stillsteht.
Die meisten Ausfälle sind unspektakulär – ein Bagger, ein Netzteil, ein Update. Wer für diese Fälle zwei Seiten Papier, eine Prioritätenliste und eine einstündige Übung im Jahr investiert, ist auch für den Cyberangriff besser vorbereitet als mancher mit einem dicken Sicherheitskonzept.
FAQ
Wüssten Sie heute, welcher Ablauf in Ihrem Betrieb nach einem Ausfall als Erstes wieder laufen muss? Sprechen Sie mit novotec über einen IT-Notfallplan, der auf zwei Seiten passt und im Ernstfall trägt.
Quellen
- IHK / Transferstelle Cybersicherheit im Mittelstand: Muster IT-Notfallplan, 2024
- Allianz Commercial: Allianz Risk Barometer 2026, berichtet von Computerwoche, 2026
- IHK München und Oberbayern: Muster: IT-Notfallplan, laufend aktualisiert
- BSI: IT-Notfallkarte „Verhalten bei IT-Notfällen“, laufend aktualisiert
- BSI: Maßnahmenkatalog zum Notfallmanagement – Fokus IT-Notfälle, laufend aktualisiert
