Wenn E-Mail und Teams ausfallen: Drei Unterlagen für die ersten Minuten eines IT-Notfalls

Wenn E-Mail, Teams, Telefonanlage und zentrale Dateien nicht erreichbar sind, muss trotzdem klar sein: Wer nimmt die Meldung entgegen? Wer koordiniert das weitere Vorgehen? Und wer darf technische Maßnahmen oder externe Unterstützung freigeben?

Die Antwort sollte nicht in einem einzigen Dokument stehen. Für kleine und mittlere Unternehmen ist eine Aufteilung in drei Ebenen sinnvoll:

1. eine kurze, sichtbare IT-Notfallkarte für alle Beschäftigten,
2. ein geschützt aufbewahrtes Kontakt- und Entscheidungsblatt für Verantwortliche,
3. ein technischer Notfallplan für interne oder externe IT-Fachleute.

Diese Drei-Ebenen-Struktur ist eine praktische Entscheidungshilfe, keine vom BSI oder NIST vorgegebene Norm. Sie trennt allgemein benötigte Anweisungen von sensiblen Kontakten, Befugnissen und technischen Details.

Beschäftigte müssen keine technische Diagnose stellen

Eine ausgefallene Anwendung ist nicht automatisch ein Sicherheitsvorfall. Umgekehrt kann eine zunächst gewöhnlich wirkende Störung Teil eines größeren Problems sein. Beschäftigte sollten das nicht abschließend beurteilen müssen.

Eine praktikable Melderegel lautet: Eine Beobachtung wird gemeldet, wenn sie sich nicht sicher als gewöhnliche Störung einordnen lässt oder wenn mehrere Auffälligkeiten zusammenkommen. Mögliche Anlässe sind:

• eine unerwartete Sicherheits- oder Erpressungsmeldung,
• ungewöhnliche Anmeldefenster oder Zugriffsaufforderungen,
• plötzlich nicht erreichbare Dateien oder mehrere gleichzeitig ausfallende Systeme,
• Hinweise darauf, dass Dritte das eigene Konto verwenden könnten,
• auffällige Nachrichten, die scheinbar vom eigenen Konto versendet wurden,
• Warnungen der eingesetzten Sicherheitssoftware.

Solche Beobachtungen beweisen keinen Angriff. Sie lösen zunächst nur eine Meldung an die vorab benannte Stelle aus. Dort beginnt die fachliche Bewertung.

Ebene 1: Die sichtbare IT-Notfallkarte

Die Karte soll innerhalb weniger Sekunden zwei Fragen beantworten: Was ist jetzt zu tun, und wie erreiche ich die zuständige Stelle ohne die möglicherweise betroffene IT?

Darauf gehören:

• der primäre und mindestens ein unabhängiger alternativer Meldeweg,
• die zuständige Funktion und eine erreichbare Stellvertretung,
• wenige, ausdrücklich freigegebene Erstmaßnahmen,
• ein Hinweis auf Handlungen, die ohne Anweisung zu unterlassen sind,
• die Aufforderung, Zeitpunkt und sichtbare Beobachtungen festzuhalten.

Nicht auf einen offenen Aushang gehören Passwörter, Wiederherstellungsschlüssel, Administrationszugänge, unnötige Systemdetails oder ungeschützte Listen privater Kontaktdaten.

Auch pauschale Anweisungen wie „immer ausschalten“ oder „immer das Netzwerkkabel ziehen“ sind ungeeignet. Ob ein Gerät isoliert werden soll und wie dies geschieht, muss vorab für die jeweilige Umgebung geprüft und freigegeben werden. Eigenmächtiges Neustarten, Löschen, Zurücksetzen oder Installieren sollte nicht als allgemeine Erstmaßnahme vorgesehen sein.

Die IT-Notfallkarte der Allianz für Cyber-Sicherheit bietet eine offizielle Orientierung. Für den eigenen Betrieb muss sie jedoch an Meldewege, Zuständigkeiten und technische Gegebenheiten angepasst werden.

Ebene 2: Das geschützte Kontakt- und Entscheidungsblatt

Geschäftsleitung und koordinierende Personen benötigen mehr Informationen als Beschäftigte. Dieses Blatt muss bei einem IT-Ausfall erreichbar sein, darf aber nicht offen aushängen.

Es sollte mindestens enthalten:

• Leitung der Vorfallkoordination und Stellvertretung,
• interne IT-Verantwortliche,
• externen IT-Dienstleister und den vereinbarten Notfallkontakt,
• weitere tatsächlich benötigte externe Ansprechpartner,
• alternative Kommunikationswege,
• Zuständigkeiten für interne und externe Informationen,
• Freigaberegeln für kostenpflichtige Unterstützung,
• Befugnisse zum Isolieren oder Abschalten betrieblicher Systeme,
• Ablageort des technischen Notfallplans,
• Datum der letzten Prüfung und verantwortliche Pflegeperson.

„Erreichbar“ bedeutet nicht „öffentlich sichtbar“. Geeignet ist ein festgelegter, geschützter Ort, auf den die berechtigten Personen auch ohne die produktive IT zugreifen können. Ob dafür Papier, ein unabhängiges Speichermedium oder eine andere Lösung verwendet wird, hängt vom Betrieb und seinem Schutzbedarf ab.

Ebene 3: Der technische Notfallplan

Der technische Plan richtet sich an interne oder externe Fachleute. Er schafft eine gemeinsame Arbeitsgrundlage für Analyse, Eindämmung und Übergabe. Sinnvolle Inhalte sind:

• technische Zuständigkeiten und Stellvertretungen,
• wichtige Systeme, Dienste und bekannte Abhängigkeiten,
• geprüfte Verfahren zum Isolieren von Systemen oder Diensten,
• verfügbare Informationsquellen für die Untersuchung,
• Regeln zur Dokumentation bereits vorgenommener Änderungen,
• Übergabepunkte zu externer Unterstützung,
• das Verfahren für den Zugriff auf geschützt hinterlegte Zugangsinformationen,
• Verweise auf getrennte Backup- und Wiederherstellungsunterlagen,
• Version, Prüftermin und verantwortliche Pflegeperson.

Offline-Verfügbarkeit verlangt nicht, Administrationspasswörter im Klartext auszudrucken. Der Plan kann stattdessen festlegen, wie berechtigte Personen im Notfall auf sicher hinterlegte Zugangsinformationen zugreifen.

Entscheidungshilfe: Wer darf was veranlassen?

Die folgende Matrix kann direkt ausgefüllt werden. Nicht jedes Unternehmen benötigt dieselben Rollen. Entscheidend ist, dass Funktion, Stellvertretung und Befugnis vor dem Vorfall eindeutig feststehen.

Vorlage für ein einfaches Vorfallprotokoll

Ein Vorfallprotokoll hält Beobachtungen, Maßnahmen und Entscheidungen fest. Es sollte mindestens folgende Felder enthalten:

• Datum und Uhrzeit der ersten Beobachtung,
• Name oder Funktion der meldenden Person,
• erreichbarer alternativer Kontakt,
• betroffener Arbeitsplatz, Standort, Dienst oder Prozess,
• sachliche Beschreibung des Sicht- oder Hörbaren,
• Wortlaut wichtiger Meldungen, sofern er ohne weitere Eingriffe festgehalten werden kann,
• bereits vorgenommene Maßnahmen,
• ausführende und freigebende Person,
• informierte interne und externe Stellen,
• Entscheidungen mit Uhrzeit,
• offene Fragen und nächster vereinbarter Schritt.

Beobachtung und Bewertung sollten getrennt bleiben. „Beim Öffnen des Programms erschien um 09:12 Uhr eine unbekannte Meldung“ ist eine Beobachtung. „Der Server wurde gehackt“ ist ohne Untersuchung keine feststehende Tatsache.

Prüfcheckliste für die eigenen Unterlagen

Notfallkarte

• [ ] Gibt es eine kurze und allgemein verständliche Anweisung für Beschäftigte?
• [ ] Funktioniert mindestens ein Meldeweg ohne E-Mail und Teams?
• [ ] Ist eine Stellvertretung angegeben?
• [ ] Enthält die Karte nur vorab freigegebene Erstmaßnahmen?
• [ ] Fehlen Passwörter und unnötige technische Details?

Kontakte und Entscheidungen

• [ ] Sind interne und externe Notfallkontakte unabhängig von zentralen Dateien verfügbar?
• [ ] Gibt es für jede wichtige Funktion eine Stellvertretung?
• [ ] Ist festgelegt, wer Systeme isolieren oder Dienste abschalten darf?
• [ ] Ist geklärt, wer externe Hilfe beauftragen darf?
• [ ] Ist geregelt, wer Beschäftigte und externe Stellen informiert?

Technische Unterlagen

• [ ] Kann die zuständige IT bei Ausfall der produktiven Umgebung auf den Plan zugreifen?
• [ ] Sind technische Abhängigkeiten und Zuständigkeiten nachvollziehbar?
• [ ] Ist der Zugriff auf geschützte Zugangsinformationen geregelt, ohne Geheimnisse offenzulegen?
• [ ] Sind Version, Prüftermin und verantwortliche Pflegeperson angegeben?

Erprobung

• [ ] Wurde der Ablauf anhand eines kurzen Szenarios praktisch geprüft?
• [ ] Sind gefundene Lücken dokumentiert und Verantwortlichen zugeordnet?
• [ ] Wird nach personellen, organisatorischen oder technischen Änderungen eine Aktualisierung angestoßen?

Ein kurzer Test ohne E-Mail und Teams

Eine aufwendige Simulation ist für den ersten Test nicht erforderlich. Ein möglicher Übungsfall lautet: Auf mehreren Arbeitsplätzen erscheint eine ungewöhnliche Meldung. E-Mail, Teams und die zentrale Telefonanlage sind nicht zuverlässig erreichbar.

Die Beteiligten prüfen ausschließlich den vorbereiteten Ablauf:

1. Finden Beschäftigte die richtige Anweisung?
2. Erreichen sie die Meldestelle über den alternativen Weg?
3. Ist die Stellvertretung erreichbar?
4. Findet die koordinierende Person das geschützte Entscheidungsblatt?
5. Ist eindeutig, wer technische Maßnahmen freigibt?
6. Kann ein Vorfallprotokoll begonnen werden?
7. Erreichen IT-Verantwortliche oder der Dienstleister den technischen Plan?
8. Fallen widersprüchliche, fehlende oder veraltete Angaben auf?

Abweichungen werden anschließend einer verantwortlichen Person zugeordnet. Eine pauschale Prüffrequenz passt nicht für jedes Unternehmen. Sinnvoll ist eine regelmäßige Prüfung sowie eine Aktualisierung nach relevanten personellen, organisatorischen oder technischen Änderungen.

Wenn Meldewege, Rollen, technische Abhängigkeiten oder ein solcher Übungsablauf erst erarbeitet werden müssen, kann dies gemeinsam mit dem betreuenden IT-Dienstleister erfolgen. netzmal ordnet diese Themen im Bereich IT-Sicherheit und Cyberabwehr ein.

Typische Fehlannahmen

„Die Kontaktdaten stehen im Outlook-Adressbuch.“ Das hilft nicht, wenn Konto, Endgerät oder zentrale Infrastruktur nicht erreichbar oder nicht vertrauenswürdig sind.

„Der vollständige Notfallplan kann offen aushängen.“ Ein sichtbarer Aushang und ein technischer Plan haben unterschiedliche Zwecke. Sensible Kontakte, Systeminformationen und Zugangsverfahren benötigen einen geschützten Ablageort.

„Beschäftigte müssen zuerst feststellen, ob es ein Angriff ist.“ Sie benötigen erkennbare Meldeanlässe und einen funktionierenden Kontaktweg. Die fachliche Einordnung übernimmt die benannte Stelle.

„Offline bedeutet eine einzige Papiermappe.“ Entscheidend ist die Unabhängigkeit von der möglicherweise betroffenen IT. Eine einzige unkontrollierte Kopie kann jedoch veralten oder im entscheidenden Moment unzugänglich sein.

Der erste umsetzbare Schritt

Ein Unternehmen muss nicht mit einem umfassenden Notfallhandbuch beginnen. Für einen belastbaren Einstieg genügen vier konkrete Aufgaben:

1. einen alternativen Notfallkontakt festlegen,
2. Entscheidungsbefugnisse und Stellvertretungen dokumentieren,
3. sichtbare Karte und geschützte Unterlagen trennen,
4. den Ablauf einmal ohne E-Mail, Teams und zentrale Dateien durchspielen.

Allgemeine Karten und Checklisten ersetzen keine technische Incident-Response-Planung. Auch branchenspezifische, vertragliche oder gesetzliche Meldepflichten werden damit nicht bewertet. Die entscheidende Prüffrage bleibt: Können die richtigen Personen miteinander handeln, wenn die gewohnten IT-Werkzeuge gerade nicht zur Verfügung stehen?