IT-Notfallplan für KMU: Die ersten 24 Stunden

Es ist ein Montagmorgen um 7:40 Uhr. Die Buchhaltung kommt nicht mehr in die Dateien, auf dem Server liegt eine Textdatei mit einer Bitcoin-Adresse, und das Telefon der Geschäftsführung klingelt bereits. In genau diesem Moment entscheidet sich, ob dein Unternehmen einen unangenehmen, aber beherrschbaren Vorfall erlebt oder mehrere Tage im Chaos verbringt. Der Unterschied liegt fast nie in der Technik, die den Angriff möglich gemacht hat. Er liegt darin, ob es einen IT-Notfallplan gibt und ob jemand weiß, was in den nächsten Stunden zu tun ist.

Die unbequeme Wahrheit vorweg: Der beste Zeitpunkt, einen Notfallplan zu schreiben, war vor dem Vorfall. Der zweitbeste ist heute, während nichts brennt und du klar denken kannst.

Warum Vorbereitung im Ruhezustand über alles entscheidet

Im Ernstfall arbeitet niemand rational. Menschen unter Stress treffen schlechte Entscheidungen, übersehen offensichtliche Schritte und reden aneinander vorbei. Wer erst dann anfängt zu überlegen, wen man anrufen müsste, verliert genau die Zeit, die ein Angreifer nutzt, um sich weiter im Netzwerk auszubreiten oder Daten abzuziehen.

Ein IT-Notfallplan ist deshalb kein dickes Dokument, das Compliance-Anforderungen erfüllt und danach in einem Ordner verstaubt. Er ist eine kurze, konkrete Handlungsanweisung für den Moment, in dem alle nervös sind. Wenn dein Plan länger als zwei Seiten ist und im Notfall erst gelesen werden muss, ist er im Notfall wertlos.

Der zweite Punkt, den viele unterschätzen: Der Plan muss dort liegen, wo du ihn erreichst, wenn die IT nicht mehr funktioniert. Ein Incident-Response-Plan, der nur im verschlüsselten Fileserver oder im gesperrten Intranet liegt, ist im Ransomware-Fall unbrauchbar. Ausgedruckt im Ordner, auf einem separaten Handy, in einem unabhängigen Cloud-Dokument: Hauptsache erreichbar.

Rollen vorab festlegen, nicht während es brennt

Die wichtigste Vorarbeit ist unglamourös: Leg fest, wer im Notfall welche Rolle hat. Nicht "die IT kümmert sich", sondern konkrete Namen und Handynummern.

• Incident-Lead: eine Person, die entscheidet und koordiniert. Bei kleineren KMU ist das oft die Geschäftsführung selbst. Diese Rolle trifft die schwierigen Entscheidungen, etwa ob Systeme vom Netz gehen.
• Technische Umsetzung: intern oder der externe IT-Dienstleister. Klär vorab, ob dein Dienstleister überhaupt für Incident Response zuständig ist und wie schnell er reagiert. Viele Verträge decken das nicht ab.
• Kommunikation: wer intern informiert, wer mit Kunden spricht, wer gegenüber Behörden auftritt.
• Dokumentation: jemand schreibt mit, was wann passiert. Das klingt bürokratisch, ist aber später für Versicherung, Behörden und die eigene Nachbereitung Gold wert.

Wichtig ist auch die Frage der Stellvertretung. Wenn der einzige Mensch mit Serverzugang gerade im Urlaub auf einer Berghütte ohne Empfang sitzt, hilft der beste Plan nichts.

Die ersten 24 Stunden: was wirklich zählt

Wenn ein Vorfall bemerkt wird, egal ob verschlüsselte Dateien, ein kompromittiertes E-Mail-Konto oder der Verdacht auf ein Datenleck, sind die ersten Stunden entscheidend. Grob in dieser Reihenfolge:

Stunde 0 bis 1: Eindämmen, nicht ausschalten. Der erste Reflex vieler ist, betroffene Rechner einfach auszuschalten. Das ist meist ein Fehler, weil dabei wichtige Spuren im Arbeitsspeicher verloren gehen. Besser: betroffene Systeme vom Netzwerk trennen (Netzwerkkabel ziehen, WLAN deaktivieren), aber eingeschaltet lassen. Kompromittierte Konten sofort sperren und Passwörter zurücksetzen, idealerweise von einem sauberen Gerät aus.

Stunde 1 bis 4: Lage klären. Was ist betroffen, was funktioniert noch, welche Daten könnten abgeflossen sein? In dieser Phase entscheidet sich, ob du externe Hilfe brauchst. Bei Ransomware oder Verdacht auf Datenabfluss ist die ehrliche Antwort meist ja. Spezialisierte Forensiker sehen Dinge, die interne Teams übersehen, und ihre Dokumentation ist gegenüber Behörden und Versicherung belastbar.

Stunde 4 bis 12: Bewerten und melden. Jetzt wird geklärt, ob personenbezogene Daten betroffen sind (das löst die DSGVO-Meldepflicht aus) und ob dein Unternehmen unter NIS2 fällt. Parallel läuft die interne Kommunikation, damit nicht Mitarbeiter auf eigene Faust Dinge tun, die die Lage verschlimmern.

Stunde 12 bis 24: Wiederanlauf vorbereiten. Erst wenn klar ist, dass die Angreifer draußen sind und keine Hintertüren offen bleiben, beginnt die Wiederherstellung aus Backups. Wer zu früh zurückspielt, holt sich den Angriff oft direkt wieder ins Haus.

Eine Sache noch, so unangenehm sie ist: Lösegeld zahlen ist selten die Lösung. Es gibt keine Garantie, dass Daten wirklich entschlüsselt oder nicht doch veröffentlicht werden, und es finanziert die nächste Angriffswelle. Diese Entscheidung solltest du im Vorfeld einmal durchdacht haben, nicht unter dem Druck einer laufenden Frist.

Meldepflichten: DSGVO und NIS2 im Ernstfall

Hier wird es für österreichische Unternehmen konkret, und die Fristen sind kurz.

Wenn bei einem Vorfall personenbezogene Daten betroffen sind und ein Risiko für die betroffenen Personen besteht, gilt nach DSGVO eine Meldefrist von 72 Stunden ab Kenntnis des Vorfalls. Gemeldet wird an die österreichische Datenschutzbehörde. Diese 72 Stunden vergehen schneller, als man denkt, vor allem wenn der Vorfall am Freitagabend auffällt. Die Meldung darf zunächst unvollständig sein und später ergänzt werden, aber die Frist läuft ab dem Moment, in dem du den Vorfall bemerkst. In bestimmten Fällen müssen zusätzlich die betroffenen Personen selbst informiert werden.

Fällt dein Unternehmen unter NIS2, kommen weitere Meldepflichten hinzu, und die sind noch enger getaktet: eine erste Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden. Ob du überhaupt betroffen bist, hängt von Branche und Unternehmensgröße ab. Diese Frage solltest du unbedingt vorab klären, denn im Ernstfall hast du keine Zeit, das erst nachzuschlagen. Mehr dazu findest du in unseren Beiträgen zu IT-Security.

Der praktische Punkt: Notiere in deinem Notfallplan die konkreten Kontaktwege und Fristen. Niemand sollte im Krisenmoment erst googeln müssen, wohin eine Datenschutzmeldung geht.

Eine einfache Notfallkarte

Reduziere all das auf eine einzige Seite, die im Ernstfall griffbereit liegt. Darauf gehören:

• Die drei bis fünf wichtigsten Namen mit Handynummern (Incident-Lead, IT-Dienstleister, Geschäftsführung).
• Kontakt der Cyberversicherung und deiner Polizzennummer. Viele Policen verlangen, dass der Versicherer sofort eingebunden wird, sonst droht der Verlust des Schutzes.
• Der Merksatz für die erste Stunde: trennen statt ausschalten, Konten sperren, dokumentieren.
• Die Meldefristen: DSGVO 72 Stunden, NIS2 gegebenenfalls 24 Stunden, mit den passenden Kontaktadressen.
• Wo die Backups liegen und wer sie wiederherstellen kann.

Diese Karte ist keine Bürokratie. Sie ist der Unterschied zwischen einem Team, das strukturiert arbeitet, und einer Gruppe von Menschen, die sich gegenseitig anschreien.

Teste den Plan, bevor der Ernstfall ihn testet

Ein Notfallplan, der nie geprobt wurde, ist eine Vermutung. Spiel den Ernstfall einmal im Jahr durch, etwa in einer Stunde am Konferenztisch: Angenommen, heute früh ist die Buchhaltung verschlüsselt, was macht jeder von uns jetzt? Solche Trockenübungen decken die peinlichen Lücken auf, solange sie noch nichts kosten. Fast immer stellt sich dabei heraus, dass eine Nummer veraltet ist, ein Backup nie wiederhergestellt wurde oder niemand weiß, wer eigentlich entscheidet.

Wenn du unsicher bist, ob dein Unternehmen im Ernstfall handlungsfähig wäre, oder wenn du einen realistischen Notfallplan aufsetzen möchtest, der zu deiner Größe passt, unterstützt dich Lindorfer Technologies dabei. Ein unverbindliches Erstgespräch klärt in einer halben Stunde, wo du stehst und was die sinnvollen nächsten Schritte sind.