Leitfaden zur IT-Notfallvorsorge im Mittelstand

Ein verschlüsselter Dateiserver am Montagmorgen, ein ausgefallenes ERP-System kurz vor dem Monatsabschluss oder ein versehentlich gelöschter Datenbestand: Der operative Schaden entsteht nicht erst durch den Vorfall selbst, sondern durch unklare Abläufe danach. Dieser Leitfaden zur IT-Notfallvorsorge richtet sich an mittelständische Unternehmen, die ihre Handlungsfähigkeit schützen wollen – mit nachvollziehbaren Verantwortlichkeiten, getesteten Sicherungen und klaren Entscheidungen für den Ernstfall.

Das Risiko ist konkret. Laut Bitkom verursachten Cyberangriffe der deutschen Wirtschaft 2024 einen Gesamtschaden von rund 267 Milliarden Euro pro Jahr. Das BSI beschreibt die Bedrohungslage in seinem Lagebericht weiterhin als angespannt bis kritisch. Für Geschäftsführungen bedeutet das: IT-Notfallvorsorge ist keine technische Zusatzaufgabe. Sie sichert Lieferfähigkeit, Zahlungsfähigkeit, Datenschutz und Vertrauen bei Kunden.

Was IT-Notfallvorsorge tatsächlich leisten muss

IT-Notfallvorsorge beschreibt alle organisatorischen und technischen Maßnahmen, mit denen ein Unternehmen kritische IT-Ausfälle beherrscht. Dazu gehören Cyberangriffe ebenso wie Hardwaredefekte, Fehlkonfigurationen, Stromausfälle, der Ausfall eines Dienstleisters oder menschliche Fehler.

Entscheidend ist die Unterscheidung zwischen IT-Sicherheit und Notfallvorsorge. Eine Firewall, Endpoint Protection und Mitarbeiterschulungen senken die Wahrscheinlichkeit eines Angriffs. Sie verhindern aber nicht jeden Vorfall. Notfallvorsorge beantwortet die andere, geschäftskritische Frage: Wie arbeitet das Unternehmen weiter, wenn zentrale Systeme nicht verfügbar sind?

Ein brauchbarer Plan muss daher nicht dutzende Seiten lang sein. Er muss unter Zeitdruck funktionieren. Wer informiert wen? Welche Systeme haben Vorrang? Aus welchen geprüften Sicherungen wird wiederhergestellt? Wer darf Entscheidungen über Abschaltungen, externe Kommunikation oder die Einschaltung von Behörden treffen?

RTO und RPO: Zwei Kennzahlen, die Entscheidungen vereinfachen

Für jedes wichtige System sollten zwei Zielwerte festgelegt werden. Die Recovery Time Objective, kurz RTO, beschreibt die maximal akzeptable Ausfallzeit. Die Recovery Point Objective, kurz RPO, legt fest, wie viel Datenverlust hinnehmbar ist.

Ein Beispiel: Fällt das ERP aus, kann ein Produktionsbetrieb vielleicht vier Stunden ohne System arbeiten, aber keine Aufträge vom Vortag verlieren. Dann lautet das Ziel RTO vier Stunden und RPO maximal 24 Stunden – oder, bei hoher Auftragsdynamik, deutlich weniger. Für das Archivsystem können dagegen längere Zeiten vertretbar sein. Genau diese Unterschiede verhindern, dass Zeit und Budget in Maßnahmen fließen, die am tatsächlichen Geschäft nicht ausgerichtet sind.

Leitfaden zur IT-Notfallvorsorge: Die fünf Schritte

1. Kritische Geschäftsprozesse vor Technik setzen

Viele Notfallkonzepte beginnen mit einer Liste aus Servern, Anwendungen und Lizenzen. Sinnvoller ist die umgekehrte Perspektive: Welche Geschäftsprozesse dürfen nicht stehen bleiben? Typische Beispiele sind Auftragsannahme, Produktion, Warenversand, Buchhaltung, Kundenservice und Zugriff auf Konstruktionsdaten.

Ordnen Sie anschließend zu, welche Anwendungen, Daten, Benutzerkonten und Dienstleister für diese Prozesse erforderlich sind. Erst dann wird sichtbar, ob zum Beispiel der Ausfall einer einzelnen virtuellen Maschine wirklich kritisch ist – oder ob ein vermeintlich nebensächlicher Identitätsdienst den Zugang zu allen Systemen blockiert.

Die BSI-Standards zum Business Continuity Management geben hierfür eine klare Orientierung: Kritikalität, Abhängigkeiten und Wiederanlaufprioritäten müssen dokumentiert sein. Für Mittelständler reicht zunächst eine ehrliche, überschaubare Bewertung. Perfektion ist nicht der erste Schritt, Transparenz schon.

2. Verantwortlichkeiten für die ersten Stunden festlegen

In einem IT-Notfall verlieren Unternehmen oft Zeit durch Rückfragen. Die interne IT wartet auf die Freigabe der Geschäftsführung, die Geschäftsführung auf eine Einschätzung des Dienstleisters und niemand weiß, wer Kunden oder Mitarbeitende informiert.

Benennen Sie daher einen Notfallleiter sowie mindestens eine Vertretung. Ergänzen Sie eine aktuelle Kontaktliste mit IT-Dienstleistern, Datenschutzbeauftragten, Geschäftsleitung, Versicherer und wichtigen Lieferanten. Diese Informationen müssen auch dann erreichbar sein, wenn E-Mail, Telefonanlage oder zentrale Dateiablagen gestört sind – beispielsweise als geschützter Ausdruck oder in einer vom Unternehmensnetz getrennten Ablage.

Für die ersten 60 Minuten sollten die Verantwortlichen insbesondere diese Entscheidungen treffen können:

• betroffene Systeme vom Netz trennen und Beweise sichern,
• den Umfang des Vorfalls erfassen und priorisieren,
• eine abgestimmte Kommunikation intern und extern starten,
• die Wiederherstellung freigeben und dokumentieren,
• bei einem Datenschutzvorfall rechtliche Meldepflichten prüfen.

Bei personenbezogenen Daten kann Artikel 33 DSGVO relevant werden. Danach ist eine Meldung an die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden erforderlich, sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Ob diese Schwelle erreicht ist, muss im Einzelfall geprüft werden. Gerade deshalb sollten Datenschutz, IT und Geschäftsführung nicht erst im Ereignisfall miteinander sprechen.

3. Backups auf Wiederherstellbarkeit prüfen

Ein Backup ist keine Notfallvorsorge, solange die Rücksicherung nicht getestet wurde. Häufige Schwachstellen sind Sicherungen auf ständig verbundenen Netzlaufwerken, fehlende Versionierung, unklare Verschlüsselungsschlüssel oder Backups, die zwar erfolgreich gemeldet werden, aber unvollständig sind.

Für mittelständische Unternehmen hat sich das 3-2-1-Prinzip als gute Grundlage bewährt: mindestens drei Datenkopien, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des produktiven Standorts. Bei Ransomware-Risiken ist eine unveränderbare oder logisch getrennte Sicherung besonders wichtig. Sie darf nicht mit denselben Zugangsdaten erreichbar sein wie die produktive Umgebung.

Auch der Speicherort ist eine Geschäftsentscheidung. Werden personenbezogene Daten extern gesichert, müssen Auftragsverarbeitung, Zugriffsrechte, Verschlüsselung und Speicherregion zur DSGVO passen. Deutsche oder europäische Datenverarbeitung allein ersetzt keine Sicherheitsprüfung, schafft aber bei Vertragslage, Rechtsraum und Verantwortlichkeiten mehr Nachvollziehbarkeit als intransparente Cloud-Konstruktionen.

In einer anonymisierten Sicherheitsanalyse eines Maschinenbauunternehmens im Bergischen Land zeigte sich genau dieses Problem: Die tägliche Datensicherung lief technisch durch, doch das Backup war dauerhaft mit dem Domänennetz verbunden. Bei einer Ransomware-Infektion hätte der Angreifer mit hoher Wahrscheinlichkeit auch die Sicherungen erreichen können. Nach einer getrennten Backup-Architektur und einer dokumentierten Wiederherstellungsprobe war die wichtigste Datenbasis innerhalb von knapp drei Stunden wieder verfügbar. Vorher war die tatsächliche Wiederanlaufzeit unbekannt.

4. Systeme überwachen und Zugriffe begrenzen

Notfallvorsorge beginnt nicht erst beim Wiederanlauf. Je früher ein Vorfall erkannt wird, desto kleiner bleiben meist Schaden und Ausfallzeit. Das BSI empfiehlt seit Jahren, Protokollierung, Patchmanagement und Detektion als zusammenhängende Aufgabe zu behandeln. Ein übersehener Administratorzugang oder ein ungepatchtes System kann sonst zum Einfallstor werden.

Prüfen Sie besonders privilegierte Konten, Fernzugänge, ehemalige Mitarbeitende und externe Dienstleister. Mehrstufige Anmeldung, getrennte Administrationskonten und das Prinzip minimaler Berechtigungen reduzieren das Risiko spürbar. Managed Firewall, Endpoint Protection und kontinuierliches Monitoring sind dabei kein Selbstzweck. Sie schaffen Sichtbarkeit darüber, was im Netzwerk geschieht und wo ein Eingreifen notwendig ist.

Die ENISA weist in ihren Bedrohungsanalysen regelmäßig auf Ransomware, Identitätsmissbrauch und Angriffe auf Lieferketten hin. Für den Mittelstand folgt daraus eine pragmatische Konsequenz: Nicht jedes System benötigt dieselbe Schutzstufe. Kritische Zugänge, zentrale Datenbestände und externe Schnittstellen benötigen jedoch besonders konsequente Kontrolle.

5. Den Notfall realistisch üben

Ein Plan, der nie getestet wurde, ist eine Annahme. Mindestens einmal jährlich sollte ein Unternehmen einen konkreten Ausfall durchspielen. Das muss keine aufwendige Krisensimulation sein. Schon ein zweistündiger Test mit Geschäftsführung, IT und Fachbereich deckt Lücken auf: Fehlen Telefonnummern? Sind Passwörter für Notfallkonten verfügbar? Ist die Priorität der Systeme richtig? Kann ein Server aus dem Backup tatsächlich wiederhergestellt werden?

Ein Praxisfall aus einem Handelsunternehmen machte den Wert solcher Tests deutlich. Beim Probeausfall stellte sich heraus, dass die Daten zwar wiederherstellbar waren, jedoch eine Schnittstelle zwischen Warenwirtschaft und Versanddienstleister nicht dokumentiert war. Technisch war das Kernsystem nach kurzer Zeit zurück, operativ konnte jedoch kein Paketetikett erstellt werden. Erst die nachträgliche Ergänzung dieser Abhängigkeit machte den Notfallplan für den Versandalltag brauchbar.

Wo Mittelständler häufig zu spät handeln

Besonders riskant sind gewachsene Umgebungen mit mehreren IT-Dienstleistern und unklaren Zuständigkeiten. Wenn niemand verbindlich sagen kann, wer Firewall-Regeln prüft, Backups kontrolliert oder verdächtige Meldungen bewertet, entsteht eine Sicherheitslücke zwischen den Verträgen.

Ebenso kritisch ist die Annahme, eine Cyberversicherung ersetze Notfallvorsorge. Versicherungen können finanzielle Folgen abfedern, stellen aber weder Produktionsdaten noch Kundenvertrauen wieder her. Viele Versicherer erwarten zudem dokumentierte Schutzmaßnahmen, aktuelle Sicherungen und angemessene Zugangskontrollen.

Der sinnvolle Einstieg ist eine strukturierte Bestandsaufnahme: Welche Systeme sind geschäftskritisch, wo liegen die Daten, wer hat Zugriff, wie lange dauert eine getestete Wiederherstellung und welche Abhängigkeiten bestehen? Eine kostenlose IT-Sicherheitsanalyse kann diese Fragen unabhängig von einzelnen Produkten sichtbar machen und daraus einen umsetzbaren Maßnahmenplan entwickeln.

Der Ernstfall lässt sich nicht terminieren. Die Entscheidung, ob Ihr Unternehmen dann geordnet handelt oder improvisieren muss, treffen Sie jedoch lange vorher – mit klaren Zuständigkeiten, überprüften Sicherungen und einem Plan, den alle Beteiligten verstehen.