IT-Notfallplan erstellen: Vorlage und Vorgehen für KMU

Ein Cyberangriff fragt nicht nach dem passenden Zeitpunkt. Deshalb entscheidet ein guter Notfallplan darüber, ob Ihr Betrieb in Stunden oder in Wochen wieder läuft. Denn im Ernstfall zählt jede Minute. Wer erst dann überlegt, wen er anruft, verliert wertvolle Zeit. Dieser Beitrag zeigt, wie Sie einen belastbaren Notfallplan für Ihr KMU erstellen.

Zunächst klären wir, was so ein Plan überhaupt leisten muss. Danach gehen wir die einzelnen Bausteine durch. Also Rollen, Kontaktlisten, Sofortmaßnahmen und Wiederanlauf. Zum Schluss geht es um Test und Pflege. Das Ziel ist ein Dokument, das im Krisenfall wirklich hilft. Und zwar ohne dickes Handbuch, sondern mit klaren Schritten.

Was ein IT-Notfallplan leistet

Ein Notfallplan legt fest, wer im Ernstfall was tut. Somit ersetzt er die hektische Improvisation durch eine geübte Reihenfolge. Dabei geht es nicht um Papier für die Schublade. Vielmehr geht es um ein Dokument, das den Betrieb in der Krise steuert. Wer angreift, wählt oft die Nacht oder das Wochenende. Genau dann muss der Plan von allein funktionieren.

Der Notfallplan ist ein Teil des größeren Business Continuity Managements. Kurz BCM. Dieses sorgt dafür, dass kritische Prozesse weiterlaufen. Der internationale Rahmen dafür ist die ISO 22301 für Business Continuity. Wir ordnen den Plan im Rahmen unseres Notfallmanagements und BCM in dieses System ein.

Vorbeugen, reagieren, wiederherstellen

Ein guter Plan deckt drei Phasen ab. Zunächst die Vorbeugung mit Backups, Zugriffskontrolle und Übungen. Danach die Reaktion im akuten Vorfall. Zuletzt die Wiederherstellung des Normalbetriebs. Diese drei Phasen greifen ineinander. Deshalb reicht ein reiner Wiederanlaufplan nicht. Er muss auch die ersten Minuten regeln.

Warum gerade KMU einen Plan brauchen

Große Konzerne haben ganze Krisenstäbe. Ein KMU hat sie nicht. Deshalb trifft ein Ausfall kleine Betriebe oft härter. Denn sie können den Wegfall kritischer Systeme schlechter abfedern. Ein Produktionsbetrieb steht still, sobald die Steuerung ausfällt. Ein Handelsbetrieb kann ohne Warenwirtschaft nicht liefern. Genau hier zeigt sich der Wert eines Notfallplans. Er verkürzt die Ausfallzeit und begrenzt den Schaden. Zudem verlangen Gesetze wie NIS2 solche Vorkehrungen. Ob Sie betroffen sind, klärt der Beitrag zur NIS2-Betroffenheit.

Die Zahlen sprechen eine klare Sprache. Viele Betriebe unterschätzen die Dauer eines Vorfalls. Ein Ransomware-Angriff legt Systeme oft für Tage lahm. Ohne Plan wird daraus schnell eine Woche. Denn ohne geübte Schritte sucht das Team erst nach Zuständigkeiten. Mit einem Notfallplan laufen die ersten Maßnahmen sofort an. Somit sinkt die Ausfallzeit spürbar. Und mit ihr der finanzielle Schaden.

Seit Ende 2025 ist die Vorsorge auch eine gesetzliche Pflicht. Denn NIS2 verlangt ausdrücklich ein Business Continuity Management. Dazu zählen Backups, Wiederanlauf und Krisenbewältigung. Ein Notfallplan erfüllt genau diese Anforderung. Somit schlagen Sie zwei Fliegen mit einer Klappe. Sie schützen den Betrieb und erfüllen die Vorgabe. Deshalb lohnt sich die Arbeit doppelt.

Diese Bausteine gehören in den Plan

Ein Notfallplan besteht aus wenigen, klar getrennten Bausteinen. Somit finden alle Beteiligten schnell die richtige Stelle. Denn im Ernstfall bleibt keine Zeit zum Blättern. Deshalb gehört jeder Baustein auf eine eigene, kurze Seite. Die folgende Tabelle zeigt die Pflichtteile im Überblick.

Die Pflichtbausteine im Überblick

Ein schlanker Aufbau schlägt ein dickes Handbuch

Viele Vorlagen sind zu umfangreich. Deshalb liest sie im Ernstfall niemand. Ein Notfallplan sollte auf wenige Seiten passen. Zudem gehört er nicht nur auf den Server. Denn der könnte ja gerade verschlüsselt sein. Legen Sie eine ausgedruckte Fassung an einen sicheren Ort. Somit haben Sie den Plan auch offline zur Hand. Ein guter Startpunkt ist die Vorlage des BSI zum Standard 200-4. Sie enthält fertige Muster für Wiederanlaufpläne.

Der Rahmen für diese Bausteine kommt aus der Risikobetrachtung. Denn erst die Business Impact Analyse zeigt, welche Prozesse wirklich kritisch sind. Auf dieser Grundlage priorisieren Sie den Wiederanlauf. Wie Sie diese Analyse aufsetzen, gehört zum Aufbau der Informationssicherheit. Ein IT-Security-Audit deckt zudem die Lücken auf, die der Plan schließen muss.

Rollen, Kontakte und Eskalation festlegen

Der wichtigste Teil im Notfallplan sind klare Rollen. Denn im Ernstfall darf niemand fragen, wer nun entscheidet. Deshalb benennen Sie ein kleines Notfallteam. In einem KMU reichen oft drei bis vier Personen. Wichtig ist, dass jede Rolle einen Vertreter hat. Denn die Schlüsselperson ist vielleicht gerade im Urlaub.

Die Kernrollen im Notfallteam

• Notfallleitung: trifft die zentralen Entscheidungen und behält den Überblick. Meist die Geschäftsführung oder eine benannte Vertretung.
• Technische Leitung: steuert die Analyse, das Abschalten und den Wiederanlauf der Systeme. Oft der IT-Verantwortliche oder der Dienstleister.
• Kommunikation: informiert Team, Kunden und Behörden. Hält Sprachregelungen ein und verhindert Gerüchte.
• Dokumentation: hält fest, was wann passiert ist. Das hilft später bei Behörden, Versicherung und Ursachenanalyse.

Die Rollen gehören zu Personen, nicht zu Namen allein. Deshalb notieren Sie Funktion und aktuelle Kontaktdaten. Fehlt intern das Know-how, übernimmt ein externer CISO die Steuerung. Wann sich das lohnt, zeigt der Beitrag zum vCISO für KMU.

Kontaktliste und Eskalationskette

Neben dem Team braucht der Notfallplan eine gepflegte Kontaktliste. Darauf gehören der IT-Dienstleister und der Cloud-Anbieter. Zudem die Cyberversicherung und der Rechtsbeistand. Ebenso die zuständige Meldestelle. In Österreich ist das oft CERT.at für die technische Koordination. Bei einer Datenpanne kommt die Frist von 72 Stunden dazu, wie der Beitrag zum Melden einer Datenpanne zeigt.

Die Eskalationskette regelt, ab wann wer informiert wird. Ein kleiner Vorfall bleibt beim IT-Team. Ein großer geht sofort an die Leitung. Legen Sie dafür einfache Schwellen fest. Zum Beispiel den Ausfall eines kritischen Systems. Oder den Verdacht auf Datenabfluss. Somit weiß jeder, wann er den nächsten Schritt auslöst. Fällt Ihr Betrieb unter NIS2, greift zusätzlich die NIS2-Meldepflicht mit ihren Fristen. Deshalb gehört die Meldepflicht direkt in die Eskalationskette.

Sofortmaßnahmen je Szenario definieren

Ein Notfallplan wirkt erst durch konkrete Sofortmaßnahmen. Denn jedes Szenario verlangt andere erste Schritte. Deshalb legen Sie für die wichtigsten Fälle eine kurze Checkliste an. Also je eine halbe Seite pro Szenario. Somit greift im Ernstfall jeder zur richtigen Karte.

Ransomware: isolieren statt löschen

Bei Ransomware zählt die erste Stunde. Zunächst trennen Sie die betroffenen Geräte vom Netz. Aber schalten Sie sie nicht sofort aus. Denn im Arbeitsspeicher stecken oft wichtige Spuren. Danach informieren Sie die Notfallleitung und den Dienstleister. Zahlen Sie kein Lösegeld ohne fachlichen Rat. Wie Sie sich vorbereiten, zeigt der Beitrag zur Ransomware-Readiness. Der Notfallplan verweist an dieser Stelle direkt auf die geprüften Backups.

Systemausfall und Datenverlust

Ein Hardware- oder Cloud-Ausfall trifft oft ohne Vorwarnung. Prüfen Sie zuerst, welche Prozesse betroffen sind. Danach starten Sie den Wiederanlauf nach Priorität. Bei Datenverlust zählt das letzte gültige Backup. Genau hier zeigt sich, ob die Sicherung funktioniert hat. Deshalb gehört ein Test der Rücksicherung fest in den Plan. Ein Ausfall ohne getestetes Backup ist der teuerste Fall. Notieren Sie im Plan zudem eine Ausweichlösung. Etwa ein Ersatzgerät oder einen zweiten Anbieter. Somit läuft der kritische Prozess weiter, während die Reparatur läuft.

Angriff über die Zugangsdaten

Werden Zugangsdaten gestohlen, ändern Sie sofort die Passwörter. Zudem sperren Sie betroffene Konten. Aktivieren Sie, wo möglich, die Mehr-Faktor-Anmeldung. Prüfen Sie danach die Protokolle auf weitere Zugriffe. Ein allgemeiner Fahrplan für den Angriffsfall steht im Beitrag Cyberangriff, was tun. Für die generelle Absicherung hilft eine solide Cybersecurity für KMU.

Für jedes Szenario gilt dasselbe Muster. Zunächst den Schaden begrenzen. Danach Spuren sichern. Erst dann wiederherstellen. Halten Sie diese Reihenfolge im Notfallplan ausdrücklich fest. Denn unter Druck neigen Teams dazu, sofort alles zu reparieren. Damit vernichten sie oft die Beweise. Und sie holen sich den Angreifer gleich wieder ins System. Eine ruhige Reihenfolge verhindert genau das. Orientierung bieten die Warnungen der Initiative onlinesicherheit.gv.at.

Wiederanlauf mit RTO und RPO planen

Der Wiederanlauf ist das Herz jedes Notfallplans. Denn er entscheidet, wie schnell der Betrieb zurückkommt. Zwei Kennzahlen steuern diese Planung. Nämlich RTO und RPO. Beide klingen technisch, sind aber einfach erklärt. Und sie sind für jeden Betrieb greifbar.

RTO und RPO einfach erklärt

Die RTO ist die maximal tolerierbare Ausfallzeit. Also wie lange ein Prozess stillstehen darf, bevor es kritisch wird. Die RPO ist der maximal tolerierbare Datenverlust. Also wie viel Arbeit zwischen zwei Backups verloren gehen darf. Ein Beispiel macht es klar. Eine RTO von vier Stunden heißt: Nach vier Stunden muss das System wieder laufen. Eine RPO von einer Stunde heißt: Sie sichern mindestens stündlich. Somit gehen höchstens 60 Minuten Daten verloren.

Diese Werte fallen nicht vom Himmel. Sie ergeben sich aus der Business Impact Analyse. Darin bewerten Sie, welcher Ausfall wie schnell wehtut. Ein Webshop verträgt vielleicht 30 Minuten. Die Buchhaltung kommt mit einem Tag aus. Genau diese Unterschiede steuern den Wiederanlauf. Deshalb legen Sie die RTO und RPO je Prozess getrennt fest. Die europäische Agentur ENISA liefert dazu Leitfäden zur Resilienz.

Die Reihenfolge des Wiederanlaufs

Nicht alles kommt gleichzeitig zurück. Deshalb legt der Notfallplan eine klare Reihenfolge fest. Zuerst die Prozesse mit der kürzesten RTO. Danach die weniger kritischen Bereiche. Diese Priorität steht schwarz auf weiß im Plan. Somit muss im Ernstfall niemand diskutieren. Ein guter Wiederanlaufplan nennt zudem die nötigen Ressourcen. Also Systeme, Zugänge und Ansprechpartner je Schritt.

Backups sind die Grundlage jedes Wiederanlaufs. Deshalb prüfen Sie deren Zustand regelmäßig. Ein Backup, das sich nicht zurückspielen lässt, ist wertlos. Bewahren Sie mindestens eine Kopie getrennt vom Netz auf. Denn Ransomware verschlüsselt gern auch die Sicherungen. Diese Trennung rettet im Ernstfall den ganzen Betrieb. Somit steht und fällt der Notfallplan mit dem Backup. Genau deshalb steht der Rücksicherungstest ganz oben auf der Prüfliste.

Eine einfache Regel hilft bei der Sicherung. Halten Sie drei Kopien Ihrer Daten. Auf zwei verschiedenen Medien. Davon eine an einem anderen Ort. Somit übersteht Ihr Betrieb auch einen Brand oder einen Diebstahl. Zudem sollte eine Kopie unveränderbar sein. Damit kann selbst ein Angreifer sie nicht löschen. Genau diese Kopie ist im Ransomware-Fall Gold wert. Der Notfallplan nennt für jedes System den Speicherort der passenden Sicherung. Somit sucht im Ernstfall niemand nach dem richtigen Band oder Konto.

Den Notfallplan testen und aktuell halten

Ein Notfallplan im Schrank ist keine Sicherheit. Denn nur ein geübter Plan funktioniert im Ernstfall. Deshalb gehört die Übung fest dazu. Zudem veraltet jeder Plan mit der Zeit. Kontakte wechseln, Systeme ändern sich. Somit braucht der Notfallplan regelmäßige Pflege. Sonst führt er im Krisenfall in die Irre.

Vom Durchsprechen bis zur Vollübung

Testen lässt sich der Plan in Stufen. Zunächst genügt ein gemeinsames Durchsprechen am Tisch. Das deckt bereits viele Lücken auf. Danach folgt eine Simulation eines konkreten Szenarios. Etwa der Ausfall des zentralen Servers. Zuletzt steht die Vollübung mit echtem Wiederanlauf. Für ein KMU reicht oft die mittlere Stufe. Wichtig ist die Regelmäßigkeit. Einmal im Jahr sollte es mindestens sein. Ein guter Test bindet auch die Mitarbeiter ein. Denn der Faktor Mensch entscheidet oft, wie der Beitrag zum Faktor Mensch in der IT-Sicherheit zeigt.

Aktualisieren und dokumentieren

Nach jeder Übung passen Sie den Notfallplan an. Notieren Sie, was gut lief und was hakte. Ergänzen Sie neue Systeme und geänderte Kontakte. Somit bleibt der Plan lebendig. Zudem hilft ein festes Datum für die jährliche Prüfung. Ein kurzer Termin im Kalender genügt. Auch nach einem echten Vorfall gehört der Plan überarbeitet. Denn jeder Ernstfall zeigt neue Schwachstellen. Die Meldekultur im Team unterstützt das, wie der Beitrag zur Meldekultur bei Sicherheitsvorfällen beschreibt.

Ein Notfallplan ist nie ganz fertig. Vielmehr wächst er mit dem Betrieb. Deshalb ist der erste Entwurf schon ein großer Schritt. Er muss nicht perfekt sein. Er muss nur die wichtigsten Fälle abdecken. Danach verbessern Sie ihn Runde für Runde. Somit haben Sie nach kurzer Zeit ein belastbares Dokument. Und im Ernstfall einen kühlen Kopf. Wenn Sie dabei Unterstützung wollen, hilft ein Blick von außen. Nehmen Sie dazu einfach Kontakt zu uns auf.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was gehört in einen IT-Notfallplan?

In den Kern gehören Rollen, eine Kontaktliste und die Eskalationskette. Zudem Sofortmaßnahmen je Szenario und ein Wiederanlaufplan. Ergänzend ein Kommunikationsplan für Kunden und Team. Somit deckt der Notfallplan die Reaktion und die Wiederherstellung ab.

Wie unterscheiden sich Notfallplan und BCM?

Der Notfallplan regelt die konkreten Schritte im Ernstfall. Das Business Continuity Management ist der übergeordnete Rahmen. Es sorgt dafür, dass kritische Prozesse weiterlaufen. Deshalb ist der Notfallplan ein Baustein des BCM nach ISO 22301.

Was bedeuten RTO und RPO?

Die RTO ist die maximal tolerierbare Ausfallzeit eines Prozesses. Die RPO ist der maximal tolerierbare Datenverlust seit dem letzten Backup. Beide Werte steuern die Reihenfolge des Wiederanlaufs. Sie ergeben sich aus der Business Impact Analyse.

Wie oft sollte ich den Notfallplan testen?

Mindestens einmal im Jahr sollten Sie den Plan üben. Ein Durchsprechen am Tisch deckt schon viele Lücken auf. Danach lohnt sich eine Simulation eines Szenarios. Nach jedem echten Vorfall gehört der Notfallplan zudem überarbeitet.

Braucht ein kleines Unternehmen wirklich einen Notfallplan?

Ja, gerade KMU profitieren stark. Denn sie können den Ausfall kritischer Systeme schlechter abfedern. Ein Notfallplan verkürzt die Ausfallzeit und begrenzt den Schaden. Zudem verlangen Regeln wie NIS2 solche Vorkehrungen.

Was tue ich bei einem Ransomware-Angriff zuerst?

Trennen Sie die betroffenen Geräte sofort vom Netz. Schalten Sie sie aber nicht gleich aus, um Spuren zu sichern. Danach informieren Sie die Notfallleitung und den Dienstleister. Zahlen Sie kein Lösegeld ohne fachlichen Rat und prüfen Sie die Backups.

Wo bewahre ich den Notfallplan auf?

Nicht nur digital auf dem Server. Denn der könnte im Ernstfall verschlüsselt sein. Legen Sie zusätzlich eine ausgedruckte Fassung an einen sicheren Ort. Somit haben Sie den Notfallplan auch offline griffbereit.

Fazit: Ein guter Plan spart im Ernstfall Stunden

Ein Notfallplan ist die günstigste Versicherung gegen einen teuren Stillstand. Er legt Rollen fest, sammelt Kontakte und regelt die ersten Schritte. Zudem steuert er den Wiederanlauf nach klaren Zielen. Wer diese Bausteine einmal sauber aufsetzt, gewinnt im Ernstfall wertvolle Stunden. Denn geübte Schritte schlagen jede Improvisation.

Der beste Zeitpunkt für den ersten Entwurf ist jetzt. Er muss nicht perfekt sein, nur benutzbar. Danach verbessern Sie ihn mit jeder Übung. Somit wächst aus einem einfachen Dokument ein belastbarer Notfallplan. Und Ihr Betrieb bleibt auch in der Krise handlungsfähig.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren