IT-Notfallplan für kleine Unternehmen: Was vorher geklärt sein sollte

Ein Notfallplan beginnt nicht mit Technik

Wenn ein zentraler Server ausfällt, mehrere Mitarbeiter nicht mehr arbeiten können und gleichzeitig die Produktion auf Daten wartet, entsteht sehr schnell eine Situation, in der technische und organisatorische Entscheidungen ineinandergreifen. Während der IT-Dienstleister versucht herauszufinden, was ausgefallen ist, möchte die Geschäftsführung wissen, wann der Betrieb wieder weitergeht, die Produktion braucht eine Entscheidung darüber, ob Maschinen angehalten werden müssen, und Mitarbeiter beginnen möglicherweise bereits damit, eigene Übergangslösungen zu finden.

Genau in diesem Moment sollte nicht zum ersten Mal darüber gesprochen werden, welche Systeme für den Betrieb eigentlich am wichtigsten sind, wer Entscheidungen treffen darf und wie lange einzelne Bereiche ohne ihre IT weiterarbeiten können.

Ein IT-Notfallplan muss deshalb nicht aus einem dicken Ordner mit technischen Anweisungen bestehen. Für ein kleines Unternehmen ist häufig viel wichtiger, dass die grundlegenden Fragen vorher beantwortet wurden und die beteiligten Personen wissen, wie sie in einer schweren Störung vorgehen sollen.

Zuerst muss klar sein, was überhaupt als Notfall gilt

Nicht jede IT-Störung ist ein Notfall.

Wenn ein einzelner Arbeitsplatzrechner ausfällt, kann der Mitarbeiter möglicherweise an einem anderen Gerät weiterarbeiten. Auch ein defekter Drucker oder ein vorübergehend nicht erreichbarer Cloud-Dienst rechtfertigt nicht automatisch die Aktivierung eines Notfallplans.

Anders sieht es aus, wenn ein Ausfall mehrere Geschäftsbereiche betrifft, die Produktion stillsteht, wichtige Daten nicht mehr verfügbar sind oder der normale Betrieb für längere Zeit nicht möglich ist.

Deshalb sollte ein Unternehmen zumindest grob definieren, ab welchem Punkt eine Störung nicht mehr wie ein normaler Supportfall behandelt wird.

Das kann beispielsweise davon abhängen, wie viele Mitarbeiter betroffen sind, wie lange ein Ausfall voraussichtlich dauert oder ob ein kritischer Geschäftsprozess vollständig stillsteht.

Eine solche Definition verhindert, dass einerseits jede kleinere Störung unnötig eskaliert wird und andererseits ein wirklich schwerer Vorfall zu lange wie ein gewöhnliches IT-Problem behandelt wird.

Kritische Geschäftsprozesse geben die Richtung vor

Die technische Infrastruktur sollte im Notfall nicht nach dem Prinzip wiederhergestellt werden, dass zuerst das System mit dem größten Servergehäuse oder der kompliziertesten Technik an die Reihe kommt.

Entscheidend ist, welcher Geschäftsprozess wieder funktionieren muss.

Wenn die Produktion auf eine bestimmte Datenbank angewiesen ist, kann dieser Dienst wichtiger sein als ein anderes System, das technisch umfangreicher ist. Die Buchhaltung kann möglicherweise einige Stunden warten, während ein Produktionsstillstand bereits nach kurzer Zeit erhebliche Kosten verursacht.

Deshalb sollte die Geschäftsführung gemeinsam mit den betroffenen Bereichen festlegen, welche Abläufe besonders kritisch sind und welche Ausfallzeiten ungefähr akzeptabel wären.

Daraus ergibt sich anschließend die Reihenfolge für den Wiederanlauf der IT.

Technik und Geschäftsprozesse müssen dabei gemeinsam betrachtet werden, denn eine Anwendung funktioniert möglicherweise erst dann wieder, wenn Netzwerk, Benutzerverwaltung, Datenbank und andere Dienste vorher verfügbar sind.

Verantwortlichkeiten müssen vor der Störung feststehen

Während eines Notfalls ist es ungünstig, wenn gleichzeitig darüber diskutiert wird, wer Entscheidungen treffen darf.

Es sollte klar sein, wer intern die Koordination übernimmt, wer mit dem IT-Dienstleister spricht und wer Entscheidungen über Produktion, Kundenkommunikation oder Ersatzverfahren trifft.

In einem kleinen Unternehmen können diese Rollen selbstverständlich bei wenigen Personen liegen. Wichtig ist weniger die Anzahl der Beteiligten als die eindeutige Zuständigkeit.

Auch Vertretungen gehören dazu.

Wenn ausschließlich der Geschäftsführer Entscheidungen treffen darf und genau dieser während des Vorfalls nicht erreichbar ist, entsteht eine neue Abhängigkeit.

Die gleichen Überlegungen gelten für technische Ansprechpartner. Ein einziger Wissensträger sollte nicht die einzige Person sein, die versteht, wie kritische Systeme wieder in Betrieb genommen werden.

Die wichtigsten Ansprechpartner müssen sofort verfügbar sein

In einer akuten Störung möchte niemand erst alte E-Mails durchsuchen, um die Telefonnummer des Maschinenherstellers oder die Kundennummer beim Internetanbieter zu finden.

Ein Notfallplan sollte deshalb die wichtigsten internen und externen Ansprechpartner enthalten.

Dazu können gehören:

• der allgemeine IT-Dienstleister,
• Maschinenhersteller und deren Support,
• Anbieter geschäftskritischer Software,
• Internet- und Telefonanbieter,
• Hosting- und Cloud-Anbieter,
• Ansprechpartner für wichtige Gebäude- oder Sicherheitstechnik.

Bei externen Stellen sind Kunden- und Vertragsnummern häufig genauso wichtig wie Telefonnummern, weil der Support sonst zunächst den Vertrag zuordnen muss.

Diese Informationen gehören in die IT-Notfalldokumentation und sollten so abgelegt sein, dass sie auch bei einem Ausfall des zentralen Dateiservers verfügbar bleiben.

Der Zugang zur eigenen IT muss auch im Notfall funktionieren

Ein weiterer Punkt betrifft administrative Zugänge.

Wenn Firewall, Server oder Backup-Systeme wiederhergestellt werden müssen, braucht ein Techniker die entsprechenden Konten. Liegen sämtliche Kennwörter ausschließlich im Passwortmanager einer Person, die gerade nicht verfügbar ist, verzögert sich der Wiederanlauf unnötig.

Deshalb sollten zentrale Notfallzugänge getrennt und kontrolliert verfügbar sein.

Eine Notfallablage für besonders wichtige Zugangsdaten kann dabei digitale und physische Elemente miteinander kombinieren. Entscheidend ist nicht die konkrete Form, sondern dass ein berechtigter Fachmann im Ernstfall an die notwendigen Informationen kommt.

Das gilt besonders für Verschlüsselungsschlüssel und Wiederherstellungscodes, die sich nicht ohne Weiteres ersetzen lassen.

Ein technisch perfektes Backup hilft wenig, wenn der einzige Schlüssel dafür nicht mehr zugänglich ist.

Ersatzverfahren können wertvolle Zeit gewinnen

Nicht jeder Geschäftsprozess muss während eines IT-Ausfalls sofort wieder im normalen Zustand funktionieren.

Manche Abläufe lassen sich für einige Stunden oder Tage mit einem vereinfachten Ersatzverfahren weiterführen.

Aufträge können vorübergehend manuell erfasst werden, wichtige Telefonnummern lassen sich über Mobiltelefone weiter nutzen und bestimmte Produktionsdaten können möglicherweise kontrolliert auf anderem Weg bereitgestellt werden.

Solche Ersatzverfahren sollten allerdings vorher abgestimmt werden.

Spontane Improvisation kann neue Probleme verursachen, wenn Mitarbeiter beispielsweise Daten auf privaten USB-Sticks verteilen oder Informationen später mühsam aus mehreren parallelen Listen zusammengeführt werden müssen.

Ein Notfallplan sollte deshalb festhalten, wo ein manueller Ersatzbetrieb möglich ist und wie die dabei entstehenden Daten später wieder sauber in die normalen Systeme übernommen werden.

Das Backup ist nur ein Teil des Wiederanlaufs

Bei vielen Notfallplänen konzentriert sich die Aufmerksamkeit stark auf die Datensicherung.

Das ist nachvollziehbar, denn ohne Backup können Daten dauerhaft verloren gehen. Für die tatsächliche Arbeitsfähigkeit des Unternehmens reicht die Sicherung allein aber nicht aus.

Es muss bekannt sein, auf welcher Hardware die Daten wiederhergestellt werden, welche Systeme zuerst benötigt werden und wie lange der komplette Weg bis zum funktionsfähigen Betrieb dauert.

Ein belastbares Backup-Konzept und regelmäßige Wiederherstellungstests liefern dafür die technische Grundlage.

Im Notfallplan sollte daraus jedoch eine betriebliche Aussage werden: Welche Systeme können innerhalb welcher Zeit wieder verfügbar sein, und welche Abläufe bleiben bis dahin eingeschränkt?

Gerade diese Zeitangabe ist für die Geschäftsführung wesentlich hilfreicher als die Information, dass jeden Abend erfolgreich ein Backup erstellt wurde.

Auch der Ausfall des gesamten Standorts muss bedacht werden

Ein schwerer IT-Notfall muss nicht durch einen Serverdefekt entstehen.

Ein Brand, Wasserschaden, Stromproblem oder Einbruch kann gleichzeitig mehrere Systeme betreffen und dazu führen, dass der gesamte Technikraum vorübergehend nicht nutzbar ist.

Dann reicht es nicht, Ersatzhardware im selben Raum vorgesehen zu haben.

Mindestens die wichtigsten Daten und Notfallinformationen sollten deshalb einen größeren lokalen Schaden überstehen können.

Eine räumlich getrennte Datensicherung gehört genauso dazu wie eine externe oder geschützte Kopie der wichtigsten Zugangsdaten und Dokumentationen.

Bei besonders kritischen Geschäftsprozessen sollte außerdem geklärt sein, ob vorübergehend an einem anderen Standort gearbeitet werden könnte oder welche Systeme dafür erforderlich wären.

Ein Notfallplan muss zur tatsächlichen Unternehmensgröße passen

Ein Unternehmen mit zwanzig Mitarbeitern braucht kein Notfallhandbuch wie ein internationaler Konzern.

Zu viel Dokumentation kann sogar hinderlich sein, wenn im Ernstfall niemand mehr findet, was tatsächlich gebraucht wird.

Sinnvoller ist ein überschaubarer Plan mit klaren Prioritäten, Ansprechpartnern, Zuständigkeiten, Zugangsmöglichkeiten und den wichtigsten Wiederanlaufwegen.

Detaillierte technische Informationen können in der normalen IT-Dokumentation liegen und bei Bedarf herangezogen werden.

Der Notfallplan selbst sollte dagegen auch unter Zeitdruck verständlich bleiben und schnell Orientierung geben.

Ein Plan muss gelegentlich praktisch überprüft werden

Ein Notfallplan, der vor fünf Jahren erstellt und seitdem nie wieder geöffnet wurde, wird mit hoher Wahrscheinlichkeit an mehreren Stellen nicht mehr stimmen.

Mitarbeiter haben das Unternehmen verlassen, Systeme wurden ersetzt, Telefonnummern geändert und Anwendungen in die Cloud verlagert.

Deshalb sollte der Plan regelmäßig überprüft und nach größeren technischen Änderungen aktualisiert werden.

Besonders hilfreich sind kleine praktische Tests.

Ein Techniker kann beispielsweise versuchen, anhand der Dokumentation einen Sicherungsstand wiederherzustellen. Die Geschäftsführung kann gemeinsam mit Produktion und IT einmal theoretisch durchgehen, was bei einem Ausfall des wichtigsten Servers passieren würde.

Dabei fallen häufig Widersprüche auf, die im normalen Betrieb unsichtbar bleiben.

Ein guter Notfallplan reduziert vor allem Entscheidungen unter Zeitdruck

Kein Plan kann jeden denkbaren Ausfall vorhersehen.

Sein Wert liegt deshalb nicht darin, für jede Situation eine fertige Schrittfolge bereitzuhalten, sondern die grundlegenden Entscheidungen bereits vorher getroffen zu haben.

Wer entscheidet? Was muss zuerst wieder funktionieren? Welche Systeme hängen davon ab? Wo liegen die Sicherungen? Wie kommt der Techniker an die administrativen Zugänge? Welche Ersatzverfahren können den Betrieb vorübergehend aufrechterhalten?

Wenn diese Fragen geklärt sind, können sich die Beteiligten während eines tatsächlichen Ausfalls auf das konkrete technische Problem konzentrieren, statt gleichzeitig die Organisation des Notfalls erfinden zu müssen.

Für ein kleines Unternehmen ist genau das oft der größte Vorteil: Der Ausfall bleibt unangenehm, wird aber nicht zusätzlich dadurch chaotisch, dass niemand weiß, was als Nächstes passieren soll.