Notfallhandbuch: Das Dokument, das im Ernstfall gelesen wird
Ein Notfallhandbuch beantwortet in den ersten Stunden eines Ausfalls die Fragen, für die dann keine Zeit bleibt: Wer wird alarmiert, wer entscheidet, was wird zuerst getan, in welcher Reihenfolge kommen die Systeme zurück, wer informiert wen? Diese Seite beschreibt Aufbau, Inhalte, Pflege und die Frage, wie das Handbuch verfügbar bleibt, wenn die IT es nicht mehr ist.
- 6 Kapitel von der Alarmierung bis zur Kontaktliste
- 1 Plan je kritischem System und Prozess
- offline verfügbar, auch wenn Netz und Server ausgefallen sind
- jährlich vollständige Prüfung, dazu nach jeder Übung und Änderung
Die sechs Kapitel eines Notfallhandbuchs
Die Struktur folgt dem Ablauf eines Notfalls: erst alarmieren, dann führen, dann handeln, dann wiederherstellen, dabei kommunizieren, und alles mit den richtigen Kontakten.
| Kapitel | Inhalt | Wer es benutzt |
|---|---|---|
| 1. Alarmierung | Wer darf einen Notfall ausrufen, anhand welcher Kriterien, wer wird in welcher Reihenfolge alarmiert, über welche Kanäle, mit welchem Text. Eskalationsstufen von der Störung bis zur Krise. | Wer den Vorfall zuerst bemerkt: IT-Bereitschaft, Empfang, Schichtleitung, Dienstleister. |
| 2. Krisenstab | Rollen mit Aufgaben und Befugnissen, Besetzung und Vertretung, Einberufungsregel, Arbeitsraum und Ersatzraum, Arbeitsmittel, Lagebesprechung, Protokollführung, Entscheidungsdokumentation. | Geschäftsleitung, Leitung IT, Informationssicherheit, Kommunikation, Recht oder Datenschutz. |
| 3. Sofortmaßnahmen | Was in den ersten Stunden unabhängig von der Ursache zu tun ist: Schaden begrenzen, Beweise sichern, Systeme trennen oder gezielt herunterfahren, Meldefristen anstoßen. Als Checkliste je Szenario. | Krisenstab und IT in den ersten Stunden. |
| 4. Wiederanlaufpläne | Ein Plan je kritischem Prozess und System: Voraussetzungen, Reihenfolge, Schritte, Prüfung, Verantwortliche, Rückfallverfahren und Notbetrieb der Fachbereiche in der Zwischenzeit. | Systemverantwortliche, Dienstleister, Prozessverantwortliche. |
| 5. Kommunikation | Wer spricht mit wem: Mitarbeitende, Kunden, Lieferanten, Behörden, Versicherer, Presse. Freigaberegel, vorbereitete Textbausteine, Meldevorlagen für NIS2 und DSGVO, Sprachregelung nach außen. | Krisenstab, Kommunikation, Meldeverantwortliche. |
| 6. Kontaktlisten | Krisenstab mit Privatnummern, Vertretungen, Dienstleister mit Vertragsnummern und Eskalationswegen, Behörden, Versicherer, Forensik, Anwälte, Vermieter, Energieversorger. | Alle, die alarmieren oder eskalieren müssen. |
Der Anfang entscheidet: Wer ruft wen, und wer führt
Die meisten Verzögerungen entstehen nicht bei der Wiederherstellung, sondern davor: Der Vorfall wird zu spät als Notfall erkannt, und niemand fühlt sich zuständig, den Krisenstab einzuberufen.
-
Kriterien statt Ermessen
Das Handbuch nennt konkrete Auslöser: Verschlüsselung auf einem Server, Ausfall eines kritischen Systems über eine festgelegte Dauer, Hinweis auf Datenabfluss, Nichterreichbarkeit eines zentralen Dienstleisters. Wer einen Auslöser sieht, alarmiert, ohne vorher um Erlaubnis zu fragen.
-
Alarmierungskette mit Rückfallebene
Wer zuerst, wer danach, was passiert, wenn jemand nicht erreichbar ist. Die Kette funktioniert auch nachts und am Wochenende und nutzt Kanäle, die nicht von der betroffenen IT abhängen: Mobiltelefon, SMS, Messenger auf privaten Geräten.
-
Krisenstab mit klaren Rollen
Leitung, Lage und Dokumentation, IT und Wiederherstellung, Kommunikation, Recht und Meldepflichten, Fachbereiche. Jede Rolle mit Vertretung. Der Stab entscheidet, die IT setzt um; wer beides gleichzeitig tut, tut beides schlecht.
Sofortmaßnahmen sind ursachenunabhängig: Lage feststellen, Schaden begrenzen, Beweise sichern, Meldefristen starten, Kommunikation regeln. Diese Checkliste steht am Anfang jedes Szenarios und wird abgearbeitet, bevor die Ursache vollständig bekannt ist.
Ein Plan je Prozess und System
Der Wiederanlaufplan ist der technische und organisatorische Kern des Handbuchs. Er wird von der Person geschrieben, die das System kennt, und so, dass eine andere Person ihn ausführen kann.
-
Voraussetzungen
Was muss verfügbar sein, bevor der Wiederanlauf beginnt: Strom, Netz, Verzeichnisdienst, Backup-Medium, Lizenzen, Zugangsdaten aus dem Notfalltresor, Ansprechpartner beim Dienstleister.
-
Reihenfolge und Abhängigkeiten
Welche Systeme müssen vorher laufen, welche danach. Die Reihenfolge stammt aus der Business-Impact-Analyse und ist über alle Pläne hinweg konsistent, damit nicht zwei Teams gleichzeitig um dieselbe Ressource konkurrieren.
-
Schritte
Die konkreten Handgriffe: Wiederherstellung aus dem Backup, Konfiguration, Anbindung, Prüfung der Datenintegrität. Mit Zeitschätzung je Schritt, damit der Krisenstab den Fortschritt gegen das RTO bewerten kann.
-
Prüfung und Freigabe
Woran erkennt der Fachbereich, dass das System wieder benutzbar ist? Testfälle, die vor der Freigabe durchlaufen werden, und wer die Freigabe erteilt.
-
Notbetrieb und Rückfall
Wie der Fachbereich arbeitet, solange das System fehlt: Papier, Telefon, Ersatzsystem, manuelle Abwicklung. Und wie die im Notbetrieb erfassten Daten später nachgetragen werden.
-
Verantwortliche
Wer führt den Plan aus, wer vertritt, welcher Dienstleister unterstützt, mit welcher Vertragsgrundlage. Plus Datum der letzten Prüfung und der letzten tatsächlichen Wiederherstellung.
Wer informiert wen, und wie man ihn erreicht
Kommunikation im Notfall ist kein Nebenprodukt, sondern ein eigener Arbeitsstrang mit Fristen. Vorbereitete Bausteine sparen im Ernstfall Stunden.
- Intern
Mitarbeitende
Was ist passiert, was dürfen sie tun, was nicht, wo gibt es Informationen. Über einen Kanal, der ohne die betroffene IT funktioniert. Mitarbeitende, die nichts hören, spekulieren, auch nach außen.
- Extern
Kunden und Lieferanten
Wer wird wann informiert, mit welcher Sprachregelung, von wem. Vertragliche Informationspflichten prüfen. Eine abgestimmte Botschaft statt zwanzig Einzelversionen aus dem Vertrieb.
- Pflicht
Behörden und Versicherer
NIS2 verlangt die Erstmeldung an das BSI binnen 24 Stunden, eine Meldung nach 72 Stunden und die Abschlussmeldung nach einem Monat; Art. 33 DSGVO setzt 72 Stunden für die Datenschutzaufsicht. Versicherer haben eigene Anzeigefristen. Vorlagen und Zuständige stehen im Handbuch.
Kontaktlisten: Krisenstab und Vertretungen mit Privatnummern, Dienstleister mit Vertragsnummer, Hotline und Eskalationskontakt, Behörden, Versicherer mit Policennummer, Forensik-Dienstleister, Anwälte, Vermieter, Energieversorger. Jede Liste mit Stand und Verantwortlichem für die Pflege. Der Verteilerkreis ist begrenzt, weil die Listen personenbezogene Daten enthalten.
Ein Handbuch, das aktuell und erreichbar bleibt
Zwei Gründe, warum Notfallhandbücher im Ernstfall versagen: Sie sind veraltet, oder sie liegen auf dem Server, der gerade verschlüsselt ist.
-
Änderungen lösen Aktualisierung aus
Neues System, neuer Dienstleister, Wechsel im Krisenstab, neue Rufnummer, Umzug. Das Änderungsmanagement fragt bei jeder relevanten Änderung: Betrifft das einen Wiederanlaufplan oder eine Kontaktliste?
-
Jede Übung liefert Korrekturen
Die Maßnahmenliste aus dem Übungsbericht fließt in das Handbuch: fehlende Kontakte, unklare Schritte, falsche Reihenfolge. Ein Handbuch, das nach einer Übung unverändert bleibt, wurde nicht ernsthaft geprüft.
-
Vollständige Prüfung
Einmal im Jahr wird jedes Kapitel vom Verantwortlichen geprüft und mit Datum freigegeben. Kontaktlisten werden durch Testanrufe verifiziert, nicht nur gelesen.
-
Verfügbar ohne die eigene IT
Gedruckte Exemplare bei den Krisenstabsmitgliedern und an einem festen Ort, eine verschlüsselte Kopie auf Datenträger, eine Kopie in einem Speicherdienst außerhalb der Unternehmensdomäne mit eigenen Zugangsdaten. Zugangsdaten für den Wiederanlauf liegen im Notfalltresor, nicht im Handbuch.
-
Versionierung und Einzug
Jede Ausgabe trägt Versionsnummer und Datum. Beim Austausch werden alte Exemplare eingezogen, damit im Ernstfall niemand mit einer veralteten Kontaktliste arbeitet.
Ist Ihr Notfallhandbuch einsatzfähig?
Wenn Sie eine dieser Aussagen nicht sicher bestätigen können, ist das Handbuch im Ernstfall vermutlich nicht benutzbar.
- Es ist schriftlich festgelegt, anhand welcher Kriterien ein Notfall ausgerufen wird und wer das darf.
- Die Alarmierungskette funktioniert außerhalb der Bürozeiten und ohne die Unternehmens-IT.
- Jedes Krisenstabsmitglied hat eine benannte Vertretung, die das Handbuch kennt.
- Für jedes kritische System gibt es einen Wiederanlaufplan, den eine andere Person als der Systemverantwortliche ausführen könnte.
- Die Wiederanlaufreihenfolge ist mit den Fachbereichen abgestimmt und aus der Business-Impact-Analyse abgeleitet.
- Vorlagen für die NIS2-Erstmeldung und die DSGVO-Meldung liegen bereit, mit benannten Zuständigen.
- Mindestens ein aktuelles Exemplar ist erreichbar, wenn Netz, Mail und Dateiserver ausgefallen sind.
- Das Handbuch wurde in den letzten zwölf Monaten geprüft und nach der letzten Übung aktualisiert.
Zum Notfallhandbuch
Wie umfangreich sollte ein Notfallhandbuch sein?
So kurz, dass es im Ernstfall gelesen wird. Der Kernteil mit Alarmierung, Krisenstab, Sofortmaßnahmen und Kontaktlisten passt auf wenige Seiten. Die Wiederanlaufpläne je System sind Anlagen, die nur die jeweils zuständigen Personen brauchen. Ein Handbuch mit hundert Seiten Fließtext wird unter Druck nicht geöffnet; eine Checkliste mit klarer Reihenfolge schon.
Was unterscheidet das Notfallhandbuch vom IT-Betriebshandbuch?
Das Betriebshandbuch beschreibt den Normalbetrieb: Konfiguration, Wartung, Standardänderungen. Das Notfallhandbuch beschreibt den Ausnahmefall: wer entscheidet, was zuerst getan wird, in welcher Reihenfolge Systeme wiederhergestellt werden und wie kommuniziert wird. Es verweist auf das Betriebshandbuch, ersetzt es aber nicht, und es muss auch dann funktionieren, wenn die Personen fehlen, die den Normalbetrieb kennen.
Wer pflegt das Handbuch?
Ein benannter Verantwortlicher für das Gesamtdokument, in der Regel die Person, die das BCM oder das IT-Notfallmanagement verantwortet, und je Wiederanlaufplan der zuständige Systemverantwortliche. Änderungen an Systemen, Dienstleistern oder Organisation lösen eine Aktualisierung aus; unabhängig davon wird das Handbuch mindestens jährlich vollständig geprüft und nach jeder Übung nachgezogen.
Wie halten wir das Handbuch offline verfügbar, ohne dass Kontaktdaten unkontrolliert kursieren?
Mit wenigen, bekannten Ablageorten: gedruckte Exemplare bei den Krisenstabsmitgliedern und an einem festgelegten Ort im Unternehmen, eine verschlüsselte Kopie auf einem Datenträger und eine Kopie in einem Speicherdienst, der nicht an die Unternehmensdomäne angebunden ist. Jede Version trägt Datum und Versionsnummer, alte Exemplare werden beim Austausch eingezogen. Der Kreis, der Kontaktlisten erhält, ist auf den Krisenstab und seine Vertretungen begrenzt.
Reicht ein Notfallhandbuch für NIS2?
Es ist ein zentraler Baustein, aber nicht der einzige. § 30 BSIG verlangt Maßnahmen zur Aufrechterhaltung des Betriebs, zu Backup-Management, Wiederherstellung und Krisenmanagement sowie die Bewertung ihrer Wirksamkeit. Das Handbuch dokumentiert die Maßnahmen, die Übung belegt ihre Wirksamkeit, und die Business-Impact-Analyse begründet, warum die Wiederanlaufreihenfolge so ist, wie sie ist. Zusammen bilden sie den Nachweis.
Vertiefung zum Business Continuity Management
-
Business-Impact-Analyse
Wie kritische Prozesse, Abhängigkeiten und die Kennzahlen MTPD, RTO und RPO ermittelt werden, aus denen die Wiederanlaufreihenfolge folgt.
-
BCM und NIS2
Was § 30 BSIG zur Betriebskontinuität verlangt, wie ISO 22301 und BSI 200-4 als Rahmen dienen und welche Nachweise das BSI erwartet.
-
BCM-Beratung im Überblick
Bausteine, Kennzahlen, regulatorische Treiber, unser Vorgehen und die häufigsten Fragen auf der Startseite.
Tobias Mogk
Handbuch aufbauen oder auf Einsatzfähigkeit prüfen
Im kostenlosen Erstgespräch sehen wir uns an, was bei Ihnen vorliegt, und sagen Ihnen, ob es im Ernstfall trägt. Danach wissen Sie, ob ein Neuaufbau oder eine gezielte Überarbeitung ansteht.
- Bestandsaufnahme vorhandener Pläne und Kontaktlisten
- Struktur, die zu Ihrer Organisation passt
- Konzept für Pflege und Offline-Verfügbarkeit
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen