IT-Dokumentation: Was dein Unternehmen wissen und selbst besitzen sollte

Wenn das Wissen plötzlich nicht verfügbar ist

Der Server funktioniert nicht und der gewohnte IT-Dienstleister ist gerade nicht erreichbar. Ein anderer Techniker soll helfen und stellt nach wenigen Minuten eine einfache Frage: „Habt ihr den Administratorzugang zur Firewall?“

Niemand weiß es genau.

Der Zugang wurde vor Jahren eingerichtet. Vermutlich hat ihn der bisherige Dienstleister gespeichert. Wo er liegt, welche weiteren Kennwörter nur dort vorhanden sind und ob das Unternehmen selbst überhaupt Zugriff darauf hat, wurde bisher nie hinterfragt.

Solche Situationen entstehen selten aus Nachlässigkeit. Meist hat die Zusammenarbeit jahrelang funktioniert und es gab keinen Grund, daran etwas zu ändern.

Das Problem zeigt sich erst dann, wenn die Person mit dem Wissen plötzlich fehlt.

Die Informationen müssen beim Unternehmen verfügbar bleiben

Ein kleines Unternehmen muss seine IT nicht selbst administrieren. Dafür gibt es interne Fachleute und externe Dienstleister. Das Wissen über die eigene Infrastruktur und der Zugriff auf wichtige Systeme sollten trotzdem nicht ausschließlich außerhalb des Unternehmens liegen.

Der Geschäftsführer muss nicht wissen, wie eine Firewallregel konfiguriert wird. Er sollte aber sicherstellen, dass ein anderer qualifizierter Techniker die notwendigen Informationen bekommt, wenn der bisherige Ansprechpartner ausfällt.

Eine gute Dokumentation schafft genau diese Möglichkeit.

Fehlen die notwendigen Informationen, entsteht eine Abhängigkeit von einzelnen Personen. Das kann der externe Techniker sein, der die Umgebung seit Jahren kennt. Genauso kann es ein interner Mitarbeiter sein, bei dem im Laufe der Zeit immer mehr IT-Wissen zusammengekommen ist.

Eine solche Abhängigkeit wird häufig erst bei Krankheit, Kündigung, Streit oder einem Dienstleisterwechsel sichtbar.

Welche Geräte und Systeme vorhanden sind

Der erste Bestandteil ist ein Überblick über die vorhandene Technik.

Dazu gehören Server, wichtige Arbeitsplatzrechner, Datenspeicher, Firewalls, Router, Netzwerk-Switches, WLAN-Zugangspunkte, Telefonanlagen und andere zentrale Geräte.

In einem Produktionsunternehmen kommen Maschinensteuerungen, Industrie-PCs, Messsysteme und weitere vernetzte Anlagen hinzu.

Eine Bestandsaufnahme der Geräte im Firmennetz sollte dabei nicht einfach nur eine Liste von Gerätenamen erzeugen.

Bei wichtigen Systemen muss nachvollziehbar sein, wo sie sich befinden, welche Aufgabe sie erfüllen und warum sie für das Unternehmen relevant sind.

Bei einer Produktionsmaschine reicht beispielsweise die Information über Hersteller und Standort nicht aus. Wichtig kann auch sein, welcher Rechner die Maschine steuert, welche Software darauf läuft und welche Netzwerkverbindungen für den Betrieb benötigt werden.

Dasselbe gilt für Server.

In vielen kleineren Unternehmen gibt es irgendwann schlicht „den Server“. Was dieser Server tatsächlich macht, wissen häufig nur die Personen, die ihn eingerichtet haben.

Auf einem einzigen Gerät können Dateifreigaben, Benutzerverwaltung, Datenbanken, Warenwirtschaft, Druckdienste und Anwendungen für die Produktion laufen. Fällt dieser Server aus, betrifft das dadurch möglicherweise mehrere Geschäftsbereiche gleichzeitig.

Eine brauchbare Dokumentation hält deshalb fest, welche Aufgaben ein System übernimmt und welche betrieblichen Abläufe davon abhängen.

Das gilt genauso für Dienste, die gar nicht im Unternehmen stehen. Microsoft 365, ein extern betriebenes Warenwirtschaftssystem oder eine Cloud-Anwendung können für den Geschäftsbetrieb genauso wichtig sein wie ein eigener Server.

Netzwerk und Abhängigkeiten müssen verständlich bleiben

Neben der Geräteliste braucht es einen verständlichen Überblick über das Netzwerk.

Ein Netzwerkplan sollte zeigen, wo der Internetanschluss ankommt, welche Firewall verwendet wird, wie wichtige Netzwerkkomponenten miteinander verbunden sind und wo Server, Datenspeicher oder Produktionsbereiche angeschlossen sind.

Wenn das Unternehmen unterschiedliche Netzwerkbereiche nutzt, sollte auch das erkennbar sein.

Der Plan muss dafür keine technische Bauzeichnung werden. Entscheidend ist, dass ein anderer Fachmann die grundlegende Struktur versteht.

Besonders hilfreich ist die Dokumentation von Abhängigkeiten.

Wenn ein Rechner an einer Produktionsmaschine auf einen bestimmten Server zugreifen muss, sollte klar sein, warum diese Verbindung existiert. Wird der Server später ersetzt oder das Netzwerk verändert, lässt sich dadurch wesentlich leichter erkennen, welche Systeme berücksichtigt werden müssen.

Solche Informationen verhindern auch, dass alte Verbindungen jahrelang bestehen bleiben, obwohl niemand mehr weiß, wofür sie ursprünglich eingerichtet wurden.

Datensicherung und Wiederherstellung gehören zusammen

Ein weiterer wichtiger Bereich ist die Datensicherung.

„Das Backup läuft auf dem NAS“ ist als Dokumentation zu wenig.

Es sollte nachvollziehbar sein, welche Systeme gesichert werden, wie häufig das passiert und wo die Sicherungen gespeichert sind. Ebenso gehört dazu, wie lange ältere Versionen aufbewahrt werden.

Wenn eine zusätzliche Sicherung außerhalb des Unternehmens existiert, sollte auch deren Standort und Funktionsweise dokumentiert sein.

Besonders wichtig ist die Wiederherstellung.

Ein neuer Techniker muss erkennen können, wie aus der vorhandenen Sicherung wieder ein funktionsfähiges System entsteht. Dazu können Informationen über benötigte Programme, Zugangsdaten, Verschlüsselungsschlüssel oder die Reihenfolge der Wiederherstellung gehören.

Auch das Datum eines erfolgreichen Wiederherstellungstests ist hilfreich.

Eine IT-Notfalldokumentation sollte diese Informationen so enthalten, dass sie tatsächlich unter Zeitdruck genutzt werden können.

Die Dokumentation sollte außerdem erkennen lassen, welche Systeme zuerst benötigt werden. Wenn ein Unternehmen nach einem größeren Ausfall wieder anlaufen muss, bringt es wenig, zuerst einen unwichtigen Dienst wiederherzustellen, während die Produktion noch stillsteht.

Eine festgelegte Reihenfolge für den Wiederanlauf schafft hier Klarheit.

Administrative Zugänge müssen geschützt und erreichbar sein

Administrative Zugangsdaten sind ein Punkt, bei dem Unternehmen leicht abhängig werden.

Die Firewall wurde durch den Dienstleister eingerichtet. Der Server besitzt ein Administratorkonto. Das Backup-System hat einen eigenen Zugang. Die Domain liegt bei einem Anbieter, das Webhosting bei einem anderen und für Microsoft 365 gibt es ebenfalls ein Administratorkonto.

Solche Zugangsdaten müssen geschützt werden. Gleichzeitig muss das Unternehmen im Notfall an sie herankommen können.

Für den normalen Betrieb bietet sich ein zentral verwalteter Passwortmanager an. Dort können Zugangsdaten verschlüsselt gespeichert und bestimmten Personen gezielt zugänglich gemacht werden.

Bei besonders wichtigen Systemen sollte zusätzlich über einen Notfallzugang nachgedacht werden.

Wenn beispielsweise der Passwortmanager selbst nicht verfügbar ist, darf das Unternehmen dadurch nicht den Zugriff auf sämtliche Systeme verlieren.

Eine Möglichkeit ist eine getrennte Notfalldokumentation. Für wenige besonders kritische Zugangsdaten kann sogar eine versiegelte Papierkopie in einem Tresor sinnvoll sein.

Papier wirkt bei einem IT-Thema zunächst altmodisch. Es hat allerdings einen Vorteil: Ein Blatt Papier benötigt weder einen funktionierenden Server noch einen Internetanschluss noch ein Benutzerkonto.

Welche Zugänge dort hinterlegt werden, hängt vom Unternehmen ab. Typische Kandidaten sind Firewall, Serververwaltung, Virtualisierung, zentrale Benutzerverwaltung, Datensicherung, Domainverwaltung, Webhosting und wichtige Cloud-Dienste.

Das bedeutet nicht, dass der Geschäftsführer diese Kennwörter täglich verwenden soll. Administrative Konten gehören nicht in den normalen Büroalltag.

Seine Aufgabe besteht darin, sicherzustellen, dass das Unternehmen die Kontrolle über seine Systeme behalten kann.

Verträge und Konten gehören ebenfalls in die Dokumentation

Neben der Technik gehören auch Verträge und Konten dazu.

Wer ist Vertragspartner für den Internetanschluss? Bei welchem Anbieter liegt die Domain? Wer verwaltet die Telefonanlage? Welche Softwarelizenzen bestehen? Welche Wartungsverträge gibt es und wann laufen sie aus?

Gerade bei Online-Diensten lohnt sich ein Blick darauf, wem das Benutzerkonto eigentlich gehört.

Ein geschäftskritischer Dienst sollte möglichst nicht dauerhaft über die persönliche E-Mail-Adresse eines einzelnen Mitarbeiters oder eines externen Technikers verwaltet werden.

Verlässt die Person das Unternehmen, kann daraus ein unnötiges Problem entstehen.

Spätestens bei einem Wechsel des IT-Dienstleisters zeigt sich, wie wertvoll klare Eigentumsverhältnisse bei Konten, Zugangsdaten und Dokumentationen sind.

Externe Fernzugriffe dürfen nicht vergessen werden

Auch externe Zugriffe müssen nachvollziehbar sein.

Gerade in Produktionsunternehmen greifen häufig mehrere externe Firmen auf technische Systeme zu. Ein Maschinenhersteller wartet seine Anlage aus der Ferne. Ein Softwarehaus betreut die Warenwirtschaft. Der Anbieter der Telefonanlage besitzt einen Administrationszugang.

Solche Zugänge werden eingerichtet und später leicht vergessen.

Dokumentiert sein sollte deshalb, wer von außen zugreifen kann, welche Systeme erreichbar sind und wer den Zugang bei Bedarf deaktivieren kann.

Das ist besonders bei älteren Systemen wichtig. Ein Fernwartungszugang, der vor acht Jahren für einen Techniker eingerichtet wurde, muss heute nicht mehr notwendig sein.

Eine Dokumentation muss aktuell und geschützt bleiben

Ein Netzwerkplan von 2021 hilft nur begrenzt, wenn seitdem Server, Firewall und mehrere Switches ausgetauscht wurden.

Deshalb braucht die Dokumentation eine klare Zuständigkeit.

Wenn ein Server ersetzt wird, wird der neue Zustand dokumentiert. Wenn ein Fernzugang hinzukommt, wird er eingetragen. Ändert sich die Datensicherung, muss auch diese Änderung nachvollziehbar sein.

Bei größeren technischen Arbeiten sollte die Aktualisierung der Dokumentation Bestandteil des Auftrags sein.

Für wichtige Konfigurationen ist zusätzlich eine Versionshistorie sinnvoll. Dadurch lässt sich später erkennen, wann eine Änderung erfolgt ist und wie der vorherige Zustand aussah.

Die Dokumentation selbst darf dabei nicht ungeschützt herumliegen.

Ein vollständiger Netzwerkplan, administrative Zugangsdaten und Informationen über Sicherungssysteme sind für einen Angreifer ausgesprochen interessant.

Eine mögliche Aufteilung besteht aus einer geschützten technischen Dokumentation, einem zentral verwalteten Passwortspeicher und einer getrennten Notfalldokumentation für wenige besonders wichtige Informationen.

Der einfachste Test für eine brauchbare Dokumentation

Ob die vorhandene Dokumentation gut genug ist, lässt sich mit einer einfachen Frage überprüfen:

Könnte morgen ein anderer qualifizierter Techniker übernehmen?

Er muss nicht innerhalb von zehn Minuten jedes Detail kennen. Er sollte aber in vertretbarer Zeit verstehen können, welche wichtigen Systeme vorhanden sind, wie sie miteinander zusammenhängen, wie er administrativen Zugriff erhält, wo die Sicherungen liegen und welche Systeme für den Betrieb besonders wichtig sind.

Wenn dazu zuerst der bisherige Administrator oder Dienstleister angerufen werden muss, befindet sich ein wesentlicher Teil der Dokumentation noch im Kopf einer einzelnen Person.

Eine gesund aufgestellte IT kann vollständig von externen Fachleuten betreut werden. Die Informationen und Zugänge, mit denen sich diese IT verstehen und weiterbetreiben lässt, sollten trotzdem dem Unternehmen selbst zur Verfügung stehen.