Wie erstelle ich ein IT-Notfallhandbuch?

Klar – sehr unwahrscheinliches Szenario! Aber auch wenn nicht alles zusammenkommt, wünscht man sich, im IT-Notfall gewappnet zu sein. Wer macht was wann? Sind Sie und Ihr Team vorbereitet? Haben Sie einen auf Ihr Unternehmen abgestimmten Notfallplan inkl. IT-Notfallhandbuch?

Stellen Sie sich den Kernfragen

• Was ist eigentlich ein IT-Notfall? Wie definieren wir eine Störung und wann führt diese zu einem Notfall?
• Welche Geschäftsprozesse sind kritisch? Welche Systeme sind dafür zwingend notwendig?
• Sind auf extern erreichbaren Systemen die aktuellen Patches aufgespielt und somit alle Schwachstellen behoben? Wenn nicht, welche alternativen Maßnahmen werden zum Schutz getroffen?
• Sind alle kurzfristigen Eskalationsmechanismen für den Notfall festgelegt und bekannt? Sind Berechtigungen entsprechend zugewiesen?
• Wie werden administrative Zugänge geschützt?
• Gibt es ein Backup-Konzept (gemäß 3-2-1-Regel)? Wie kommt man im Notfall an die Backup-Dateien?

Was ist ein IT-Notfall?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet fundierte und umfassende Hilfe zum Notfallmanagement. In seinem  „Leitfaden“, dem BSI-Standard100-4, findet man auf Seite 5 eine Erklärung, was unter einem IT-Notfall zu verstehen ist:

Ein Notfall ist ein Schadensereignis, bei dem Prozesse oder Ressourcen einer Institution nicht wie
vorgesehen funktionieren. Die Verfügbarkeit der entsprechenden Prozesse oder Ressourcen kann
innerhalb einer geforderten Zeit nicht wieder hergestellt werden. Der Geschäftsbetrieb ist stark
beeinträchtigt. Eventuell vorhandene SLAs (Service Level Agreements) können nicht eingehalten
werden. Es entstehen hohe bis sehr hohe Schäden, die sich signifikant und in nicht akzeptablem
Rahmen auf das Gesamtjahresergebnis eines Unternehmens oder die Aufgabenerfüllung einer Behörde
auswirken. Notfälle können nicht mehr im allgemeinen Tagesgeschäft abgewickelt werden, sondern
erfordern eine gesonderte Notfallbewältigungsorganisation.

Was abstrakt klingt, lässt sich beispielhaft mit folgenden Ausfallszenarien im IT-Betrieb benennen:

• Systemausfall (Hard-/Softwarefehler)
• Netzwerkausfall
• Sabotage/Manipulation
• Ausfall Klimatisierung
• Ausfall Telekommunikation
• Bedienungsfehler
• Stromausfall
• Wasserschäden
• Brand oder Naturkatastrophen

Denn auch wenn IT-Systeme in den letzten Jahren ausfallsicherer geworden sind, kann es aus verschiedenen Gründen zu schwerwiegenden Vorfällen kommen. Diese bedeuten im Extremfall den Verlust sämtlicher Unternehmensdaten. Die Empfehlung des BSI ist daher eindeutig: Um Notfällen angemessen zu begegnen, bedarf es einer „gesonderten Notfallbewältigungsorganisation“.

BSI-Standard 200-4

Übrigens: Seit 2021 gibt es mit dem BSI-Standard 200-4 eine neue Version, die als Community Draft verfügbar ist. Die fortlaufenden Entwicklungen und Erfahrungen in den Bereichen Business Continuity Management (BCM), Notfallmanagement und (IT-)Krisenmanagement erforderten diese grundlegende Aktualisierung.

Im Folgenden wollen wir einen Blick auf das Thema „IT-Notfallhandbuch“ – ein sogenanntes „reaktives Dokument“ – werfen, das zu jedem guten Notfallmanagement dazu gehört.

Was gehört in das IT-Notfallhandbuch?

Das BSI beschreibt das IT-Notfallhandbuch wie folgt:

Das Notfallhandbuch umfasst alle Dokumente, die eine angemessene Reaktion auf Krisen und Notfälle unterstützen sollen.

Stellen wir der Theorie ein kleines Fallbeispiel zur Seite:

Systemausfall! Der interne Admin ist im Urlaub, die anderen wissen nicht Bescheid. Was ist zu tun? Im Notfallhandbuch steht nur „Fileserver wieder einschalten“. Leider ist weder klar, welcher Fileserver noch welches Rack gemeint ist. Wer hat überhaupt Zugang zum Serverraum und wer zum Rack? Ja, es gibt einen externen Dienstleister …oder? Für die Wartung? Für den Austausch?  

Das Beispiel verdeutlicht, dass ein IT-Notfallhandbuch nur so gut ist, wie die Prozesse, die ihm zugrunde liegen. Hier zählt das Detail. Gibt es Lücken oder veraltete Informationen, kann das schwere Folgen haben.

Das IT-Notfallhandbuch muss stets aktuell sein und neben allgemeinen Informationen ganz konkrete Handlungsanweisungen für Ausfallszenarien (inkl. Wiederanlaufpläne) definieren. Verantwortlichkeiten inkl. Vertretungen müssen benannt und deren Kontaktdaten aufgeführt sein. Und zwar für jede der 4 Phasen der Notfallbewältigung (s. Abbildung).  

Inhalt IT-Notfallhandbuch (beispielhaft):

• IST-Aufnahme
  • Aktuelle IT-Infrastruktur (komplett!)
  • Kernanwendungen & -prozesse
  • Aktuelle Backup-Strategie
• Potenzielle Gefahren – was ist ein Notfall?
  • alle notfallkritischen Elemente, inkl. Bewertung ihrer Kritikalität
  • mögliche Folgeschäden
• Krisenmanagement & Beschaffungsprozesse im Notfall
  • Rollen, Zuständigkeiten & Kompetenzen („Kopfmonopole“ meiden! Besser: Notfallteams)
  • Alarmierungspläne & Meldewege
  • Kontaktdaten externer Provider, Notrufnummern
  • Digitalisierung aller Informationen, zentrale Bereitstellung für alle
• Sofortmaßnahmen – erste Schritte im Notfall
• Beschreibung kundendefinierter Notfallszenarien wie z.B. Befall von Ransomware
  • Was wird wo betrieben?
  • Wo liegen die benötigten Daten und wie kommt man daran?
• Dokumentation & Analyse der Notfallbewältigung
• Plan zur Krisenkommunikation
• Geschäftsfortführungs- und Wiederanlaufplan (z.B. Inbetriebnahme eines Ausweichrechenzentrums)

Tipp: IT-Notfallhandbuch Vorlage Nutzen

Auch mithilfe des BSI-Standards (IT-Notfallhandbuch Vorlage) steckt hinter einem IT-Notfallhandbuch noch jede Menge Arbeit. Wer sich einmal durch die aktuell rund 300 Seiten gearbeitet hat, weiß zwar die umfangreichen Prozessdokumentationen zu schätzen, fürchtet aber die unzähligen damit verbundenen Aufgaben sowie Auflagen. Eine externe erfahrene Beratung reduziert nicht nur Ihren Aufwand, sondern deckt auch Lücken in Prozessen oder auch in der Dokumentation frühzeitig auf.

Weil wir als Dienstleister bei ganz unterschiedlichen Kunden unterwegs sind (und nicht selten, wenn’s brennt) wissen wir sehr gut, worauf es im Ernstfall ankommt. Gerne unterstützen wir auf dem Weg zum umfassenden, dynamischen und anwenderfreundlichen IT-Notfallhandbuch. Im nachfolgenden PDF haben wir alle hier aufgeführten Punkte kompakt verpackt – als Reminder, als knapper Leitfaden, als Anregung. Nichts tun, zahlt sich nicht aus.

Download Übersicht IT-Notfallhandbuch