Notfallmanagement für Unternehmen richtig aufbauen

Wenn das ERP-System am Montagmorgen nicht startet, stehen nicht nur Arbeitsplätze still. Aufträge können nicht bearbeitet werden, Liefertermine geraten unter Druck und Kunden erwarten eine klare Auskunft. Genau für diesen Moment braucht ein Notfallmanagement für Unternehmen mehr als eine Telefonnummer des IT-Dienstleisters. Es braucht klare Entscheidungen, verlässliche Abläufe und Systeme, die sich nach einem Angriff oder Ausfall nachweisbar wiederherstellen lassen.

Für mittelständische Betriebe ist das keine theoretische Vorsorge. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die IT-Sicherheitslage in Deutschland weiterhin als angespannt. Im BSI-Lagebericht 2024 wurden durchschnittlich rund 309.000 neue Schadprogrammvarianten pro Tag registriert. Gleichzeitig beziffert Bitkom den jährlichen Schaden durch Cyberangriffe, Spionage und Sabotage für die deutsche Wirtschaft in seiner Studie Wirtschaftsschutz 2024 auf 178,6 Milliarden Euro. Nicht jeder Vorfall trifft ein einzelnes Unternehmen in dieser Größenordnung. Doch schon zwei Tage Systemausfall können für einen mittelständischen Betrieb spürbare Folgen haben.

Warum Notfallmanagement im Unternehmen Geschäftsrisiken begrenzt

Ein Notfall beginnt selten mit einer dramatischen Warnmeldung. Häufig fällt zunächst ein Server aus, ein Mitarbeiter öffnet einen präparierten Anhang oder eine Cloud-Anwendung ist nicht erreichbar. Kritisch wird die Lage, wenn niemand sicher sagen kann, welche Systeme betroffen sind, wer entscheiden darf und ob die letzte Datensicherung tatsächlich nutzbar ist.

Notfallmanagement verbindet IT-Sicherheit mit betrieblicher Handlungsfähigkeit. Es regelt nicht nur die technische Wiederherstellung, sondern auch Verantwortlichkeiten, Prioritäten und Kommunikation. Das BSI beschreibt diesen Ansatz im Standard 200-4 zum Business Continuity Management: Geschäftsprozesse sollen auch unter außergewöhnlichen Bedingungen in einem zuvor festgelegten Mindestmaß fortgeführt oder zeitnah wiederhergestellt werden.

Das ist ein entscheidender Unterschied zur reinen Datensicherung. Ein Backup bewahrt Daten. Ein Notfallmanagement beantwortet zusätzlich: Welche Anwendung muss zuerst wieder laufen? Wie arbeiten Vertrieb, Produktion oder Buchhaltung übergangsweise weiter? Wer informiert Kunden, Führungskräfte, Versicherer und gegebenenfalls Behörden?

Bei personenbezogenen Daten kommt die DSGVO hinzu. Artikel 32 verlangt angemessene technische und organisatorische Maßnahmen zur Sicherung der Verarbeitung. Besteht durch einen Sicherheitsvorfall voraussichtlich ein Risiko für Rechte und Freiheiten betroffener Personen, kann nach Artikel 33 eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden erforderlich sein. Ohne dokumentierte Abläufe verstreicht diese Zeit oft mit der Suche nach Informationen.

Notfallmanagement für Unternehmen braucht fünf Bausteine

Ein praxistauglicher Plan muss nicht aus einem dicken Handbuch bestehen, das im Schrank liegt. Für den Mittelstand ist ein kurzer, gepflegter und getesteter Plan wertvoller als ein umfangreiches Dokument ohne Bezug zum Betrieb. Diese fünf Bausteine bilden die Grundlage.

1. Kritische Prozesse und Abhängigkeiten kennen

Am Anfang steht nicht die Technik, sondern das Geschäft. Welche Prozesse verursachen innerhalb weniger Stunden erhebliche Schäden, wenn sie ausfallen? Das können Warenwirtschaft, Produktionssteuerung, E-Mail, Telefonie, Zeiterfassung, CAD-Daten oder die Lohnbuchhaltung sein. Die Antwort ist je nach Unternehmen unterschiedlich.

Für jeden kritischen Prozess sollten Verantwortliche festlegen, wie lange er maximal ausfallen darf und welche Daten dafür benötigt werden. Ebenso wichtig sind versteckte Abhängigkeiten: Funktioniert das ERP ohne Domänenserver? Kann das Lager ohne WLAN oder Internet arbeiten? Liegen zentrale Daten bei einem externen Anbieter außerhalb Deutschlands? Erst diese Übersicht macht Prioritäten im Notfall belastbar.

2. Ein handlungsfähiges Notfallteam benennen

Im Ernstfall darf nicht unklar sein, wer entscheidet. Ein Notfallteam sollte mindestens eine geschäftliche Entscheidungsinstanz, eine IT-verantwortliche Person sowie Vertretungen enthalten. Bei kleineren Unternehmen können einzelne Personen mehrere Rollen übernehmen. Entscheidend ist, dass Stellvertretungen und private Erreichbarkeiten aktuell dokumentiert sind.

Das Team benötigt konkrete Befugnisse: Darf es Systeme vom Netz trennen? Wer darf externe Spezialisten beauftragen? Wer kommuniziert mit Kunden? Wer prüft eine mögliche Meldung nach DSGVO? Diese Fragen gehören vor den Vorfall, nicht in die erste Krisenbesprechung.

3. Wiederherstellbare Backups und klare Wiederanlaufziele

Ransomware trifft nicht nur produktive Systeme. Angreifer versuchen häufig auch Sicherungen zu verschlüsseln oder zu löschen. Deshalb genügt es nicht, wenn ein Backup-Jobsystem grün anzeigt. Maßgeblich ist, ob Daten und Systeme aus einer geschützten Sicherung innerhalb der vereinbarten Zeit wiederhergestellt werden können.

Bewährt hat sich die 3-2-1-1-0-Logik: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, eine Kopie außerhalb des Hauptstandorts, eine zusätzliche unveränderbare oder offline gehaltene Kopie und null ungeprüfte Fehler nach regelmäßigen Wiederherstellungstests. Welche technische Umsetzung passt, hängt von Datenmenge, Anwendungen, Wiederanlaufzeit und Datenschutzvorgaben ab.

Bei Backup- und Cloud-Lösungen sollte zudem nachvollziehbar sein, wo Daten verarbeitet werden, wer administrativen Zugriff hat und welche Auftragsverarbeitungsverträge gelten. Für viele mittelständische Unternehmen sind deutsche Rechenzentren und transparente Zuständigkeiten kein Zusatz, sondern Teil ihrer Risikokontrolle.

4. Technische Sofortmaßnahmen vorbereiten

Bei Verdacht auf einen Cyberangriff zählt zunächst Schadensbegrenzung. Betroffene Geräte oder Systeme müssen gegebenenfalls vom Netzwerk getrennt werden, ohne vorschnell Beweise zu zerstören. Endpoint Protection, zentral verwaltete Firewalls und Monitoring liefern dabei die Informationen, die für eine fundierte Entscheidung nötig sind: Welcher Rechner ist betroffen? Gab es auffällige Anmeldungen? Wurden Daten übertragen oder weitere Systeme erreicht?

Die ENISA nennt Ransomware weiterhin eine der prägendsten Bedrohungen für Organisationen. Gerade deshalb sollten Notfallpläne vorab festlegen, welche Konten gesperrt, welche Netzwerksegmente getrennt und welche Protokolle gesichert werden. Ein pauschales Abschalten aller Systeme kann sinnvoll sein, kann aber auch den Betrieb unnötig lange unterbrechen. Die richtige Maßnahme hängt vom konkreten Befund ab.

5. Kommunikation und Dokumentation nicht vergessen

Schweigen schafft im Notfall selten Ruhe. Mitarbeitende brauchen klare Anweisungen, etwa keine unbekannten Geräte neu zu starten, keine externen Speichermedien anzuschließen und keine Informationen nach außen weiterzugeben. Kunden benötigen eine ehrliche, abgestimmte Aussage, wenn Lieferungen oder Services betroffen sind.

Parallel sollte das Notfallteam Entscheidungen, Zeitpunkte und technische Erkenntnisse dokumentieren. Das erleichtert die Zusammenarbeit mit Forensik, Cyberversicherung und Datenschutzbeauftragten. Es zeigt außerdem, dass das Unternehmen seinen Pflichten strukturiert nachgekommen ist.

Die ersten 60 Minuten entscheiden über die Richtung

Ein guter Notfallplan ist so geschrieben, dass auch unter Druck damit gearbeitet werden kann. Für die erste Stunde reichen klare Schritte: Vorfall melden und bewerten, betroffene Systeme sichern oder isolieren, Notfallteam aktivieren, Kommunikation bündeln und Beweise erhalten. Erst danach folgen vertiefte Analyse, Wiederherstellung und externe Meldungen.

Wichtig ist eine eindeutige Eskalationsschwelle. Ein einzelner verdächtiger Login erfordert eine andere Reaktion als verschlüsselte Dateiserver oder ein Ausfall der gesamten Standortanbindung. Wer diese Szenarien im Vorfeld nach Schweregraden einordnet, vermeidet sowohl Panik als auch gefährliches Zögern.

Praxisfall: Das Backup war vorhanden, aber nicht einsatzbereit

In einer anonymisierten Sicherheitsanalyse bei einem mittelständischen Handelsunternehmen zeigte sich ein typisches Risiko. Die tägliche Sicherung lief laut Protokoll erfolgreich. Bei der Prüfung wurde jedoch deutlich, dass die Sicherung dauerhaft mit einem administrativen Konto erreichbar war und eine vollständige Wiederherstellung des Warenwirtschaftssystems nie getestet worden war.

Wäre dieses Konto bei einem Ransomware-Angriff kompromittiert worden, hätte der Angreifer auch die Backup-Umgebung erreichen können. Zudem konnte niemand verlässlich sagen, wie lange der Wiederanlauf dauern würde. Gemeinsam mit den Verantwortlichen wurden Zugriffe getrennt, eine zusätzliche geschützte Kopie eingerichtet, Wiederanlaufreihenfolgen dokumentiert und ein Rücksicherungstest durchgeführt.

Der entscheidende Gewinn lag nicht allein in einer neuen Backup-Konfiguration. Geschäftsführung und IT wussten danach, welche Daten verfügbar sind, wer den Wiederanlauf verantwortet und wann der Betrieb wieder arbeitsfähig sein muss. Diese Klarheit senkt im Ernstfall den Schaden oft stärker als einzelne technische Produkte.

Notfallmanagement muss getestet und gepflegt werden

Ein Plan ohne Übung bleibt eine Annahme. Mindestens einmal jährlich sollten Unternehmen ein realistisches Szenario durchspielen, etwa den Ausfall des zentralen Dateiservers, eine Phishing-Kompromittierung oder den Verlust eines Standorts durch einen technischen Defekt. Für besonders kritische Systeme sind häufigere Wiederherstellungstests sinnvoll.

Dabei geht es nicht darum, Mitarbeitende zu prüfen oder Fehler zu suchen. Ziel ist, Lücken sichtbar zu machen: Fehlen Telefonnummern? Ist die Vertretung nicht informiert? Funktioniert die Rücksicherung? Sind Dienstleister außerhalb der Geschäftszeit erreichbar? Nach jedem Test sollte der Plan angepasst werden.

Auch Veränderungen im Betrieb lösen Aktualisierungsbedarf aus. Neue Cloud-Dienste, ein Wechsel des ERP-Systems, Zusammenschlüsse, neue Standorte oder geänderte Ansprechpartner können einen zuvor funktionierenden Ablauf unbrauchbar machen. Laufendes Monitoring und betreute Sicherheitsleistungen helfen, technische Veränderungen frühzeitig einzuordnen. Die geschäftlichen Prioritäten muss jedoch die Unternehmensleitung regelmäßig bestätigen.

Wer heute nicht sicher sagen kann, welche Systeme den Betrieb tragen, ob Backups erfolgreich wiederherstellbar sind und wer im Notfall Entscheidungen trifft, hat einen sinnvollen ersten Schritt vor sich: eine strukturierte Sicherheitsanalyse. Sie schafft die Grundlage, aus Unsicherheit einen nachvollziehbaren Plan zu machen – bevor der nächste Ausfall die Tagesordnung bestimmt.