Wichtige IT-Notfallmaßnahmen im Mittelstand

Ein Montagmorgen, die Buchhaltung kommt nicht mehr in ihre Daten, E-Mails gehen nicht hinaus und am Server steht eine Lösegeldforderung. Für viele Betriebe sind wichtige IT-Notfallmaßnahmen im Mittelstand erst dann ein Thema, wenn genau dieser Fall eintritt. Dann fehlt aber die Zeit, Zuständigkeiten zu klären, Passwörter zu suchen oder Backups zu prüfen.

Ein IT-Notfall muss kein groß angelegter Cyberangriff sein. Ein falsch gelöschter Microsoft-365-Ordner, ein defekter Server, ein verlorenes Smartphone mit Geschäftsdaten oder ein Ausfall beim Internetanbieter können den Betrieb ebenso bremsen. Entscheidend ist nicht, jedes Risiko auszuschließen. Entscheidend ist, dass Ihr Unternehmen weiß, was in den ersten Stunden zu tun ist und welche Systeme zuerst wieder laufen müssen.

Was ein IT-Notfall für einen kleinen Betrieb bedeutet

Unternehmen mit 5 bis 100 Mitarbeitenden haben selten ein eigenes IT-Team, das rund um die Uhr verfügbar ist. Oft betreut eine Person die IT nebenbei. Das funktioniert im Alltag, wird im Ernstfall aber schnell zur Schwachstelle. Wenn nur eine Person weiß, wo Sicherungen liegen, wie der Microsoft-365-Tenant verwaltet wird oder wer beim Anbieter anrufen darf, entsteht ein unnötiges Risiko.

Ein Notfallplan muss deshalb nicht aus einem dicken Handbuch bestehen. Er muss verständlich, aktuell und zugänglich sein. Geschäftsführung, Stellvertretung und externe IT-Betreuung brauchen klare Rollen. Dazu gehört auch die Entscheidungskompetenz: Wer darf ein betroffenes Gerät vom Netz nehmen? Wer informiert Mitarbeitende? Wer entscheidet, ob der Betrieb vorübergehend mit Papierprozessen weiterarbeitet?

Die Reihenfolge ist von Betrieb zu Betrieb unterschiedlich. Für ein Handelsunternehmen kann der Zugriff auf Warenwirtschaft und Kasse Vorrang haben. Für eine Kanzlei sind Dokumente, E-Mail und sichere Kommunikation oft kritischer. Wer diese Abhängigkeiten erst während eines Ausfalls diskutiert, verliert wertvolle Stunden.

Wichtige IT-Notfallmaßnahmen im Mittelstand: Die ersten Stunden

Bei Verdacht auf Schadsoftware oder einen unbefugten Zugriff gilt: Nicht hektisch handeln, aber rasch begrenzen. Ein offensichtlich betroffenes Gerät sollte vom Netzwerk getrennt werden. Nicht ausschalten, solange keine fachliche Anweisung vorliegt - laufende Informationen können für die Analyse wichtig sein. Mitarbeitende dürfen verdächtige E-Mails, Dateien oder Meldungen nicht weiterleiten und keine Anweisungen aus einer Lösegeldforderung befolgen.

Danach braucht es einen festen Eskalationsweg. Die verantwortliche Person kontaktiert die IT-Betreuung, dokumentiert Zeitpunkt und Auffälligkeiten und informiert die Geschäftsführung. Wenn mehrere Konten betroffen sein könnten, müssen Passwörter und Sitzungen kontrolliert werden. Bei Microsoft 365 betrifft das insbesondere Administrationskonten, E-Mail-Regeln, Weiterleitungen und Anmeldungen von unbekannten Standorten.

Eine gute Erstmeldung ist knapp und konkret: Welches System ist betroffen? Seit wann? Was sehen Mitarbeitende? Welche Maßnahmen wurden bereits gesetzt? Diese Informationen helfen mehr als die Aussage „Die IT geht nicht mehr“. Gleichzeitig verhindert ein definierter Kommunikationsweg widersprüchliche Anweisungen im Team.

Kontaktliste und Notfallzugänge außerhalb der IT ablegen

Die wichtigsten Kontaktdaten dürfen nicht nur im ausgefallenen E-Mail-Postfach liegen. Eine aktuelle Notfallliste enthält Ansprechpartner der IT-Betreuung, Internet- und Telefonieanbieter, Bank, Versicherung sowie bei Bedarf Rechtsberatung und Datenschutzverantwortliche. Sie gehört verschlüsselt und kontrolliert abgelegt, zusätzlich aber so, dass berechtigte Personen auch ohne Zugriff auf das Firmennetzwerk darauf zugreifen können.

Gleiches gilt für Notfallzugänge. Für kritische Systeme sollten mindestens zwei berechtigte Personen bekannt sein. Besonders privilegierte Administrationskonten brauchen starke, getrennte Absicherung mit Mehrfaktor-Authentifizierung. Der Zugang darf nicht an das private Mobiltelefon einer einzelnen Person gebunden sein, die gerade auf Urlaub ist.

Backup ist nur dann ein Backup, wenn die Wiederherstellung klappt

Viele Unternehmen sichern ihren Server. Weniger klar ist oft, ob auch Microsoft 365, E-Mails, Teams-Dateien, SharePoint und OneDrive ausreichend abgesichert sind. Die Annahme, dass eine Cloud-Plattform jede gelöschte oder verschlüsselte Datei unbegrenzt zurückholt, ist riskant. Aufbewahrungsfristen und Papierkorb-Funktionen ersetzen kein durchdachtes Backup-Konzept.

Ein brauchbares Konzept trennt Sicherungen vom produktiven System. Wenn ein Angreifer mit Administrationsrechten sowohl Daten als auch Sicherungen löschen kann, hilft die Sicherung im Ernstfall kaum. Wichtig sind getrennte Zugänge, klar definierte Aufbewahrungszeiten und Kopien, die gegen nachträgliche Veränderung geschützt sind.

Der entscheidende Test lautet nicht: „War das Backup erfolgreich?“ Er lautet: „Können wir die benötigten Daten in der benötigten Zeit wiederherstellen?“ Testen Sie mindestens in sinnvollen Abständen die Rücksicherung einer Datei, eines Postfachs oder eines ganzen Systems. Dokumentieren Sie Dauer, Probleme und die zuständige Person. Ein Backup kann technisch vorhanden und für den Geschäftsbetrieb trotzdem zu langsam sein.

Bei der Planung helfen zwei einfache Fragen. Wie viele Daten dürfen im schlimmsten Fall verloren gehen? Und wie lange darf ein System ausfallen, bevor es kritisch wird? Ein Betrieb, der Aufträge laufend verarbeitet, hat andere Anforderungen als ein Unternehmen, das Rechnungen einmal täglich verbucht. Es gibt keine pauschal richtige Sicherungsfrequenz.

E-Mail und Identitäten konsequent absichern

E-Mail ist für viele Angriffe der Einstiegspunkt. Gefälschte Rechnungen, angebliche Microsoft-Anmeldungen oder Nachrichten im Namen der Geschäftsführung zielen nicht auf technische Fehler, sondern auf Zeitdruck und Vertrauen. Mehrfaktor-Authentifizierung reduziert das Risiko deutlich, schützt aber nicht vor jeder Täuschung. Wer einen Zugang auf einer gefälschten Seite eingibt und eine Anmeldung bestätigt, kann dennoch Schaden verursachen.

Deshalb gehören technische und organisatorische Maßnahmen zusammen. E-Mail-Domänen sollten mit SPF, DKIM und DMARC gegen Missbrauch abgesichert sein. Administratorrechte müssen auf wenige Personen beschränkt werden. Regelmäßige Kontrollen von Weiterleitungsregeln, Gastzugängen und ungewöhnlichen Anmeldungen gehören in den Betrieb, nicht nur in ein einmaliges Projekt.

Mitarbeitende brauchen außerdem klare Regeln für Zahlungen und Datenfreigaben. Eine geänderte Bankverbindung oder eine dringende Zahlungsanweisung darf nicht allein aufgrund einer E-Mail umgesetzt werden. Ein Rückruf über eine bekannte Telefonnummer ist kein umständlicher Zusatzprozess, sondern eine einfache Notfallbremse.

Arbeitsfähig bleiben, auch wenn zentrale Systeme fehlen

Ein Notfallplan muss beschreiben, wie die wichtigsten Abläufe vorübergehend weitergehen. Das kann bedeuten, Kundenanfragen über ein Ersatzpostfach zu bündeln, Aufträge kurzzeitig auf Papier zu erfassen oder eine definierte Liste wichtiger Lieferanten offline verfügbar zu halten. Es geht nicht darum, den Normalbetrieb perfekt nachzubauen. Es geht darum, handlungsfähig zu bleiben.

Für moderne Arbeitsplätze ist auch die Endgeräteverwaltung relevant. Ein verlorenes oder kompromittiertes Notebook muss sich sperren oder aus der Ferne verwalten lassen. Geschäftsdaten sollten nicht unkontrolliert auf privaten Geräten und USB-Sticks liegen. Mit zentral verwalteten Geräten lassen sich Sicherheitsvorgaben, Updates und Zugriffe im Ernstfall schneller durchsetzen. Das schafft nicht absolute Sicherheit, reduziert aber die Zahl der offenen Baustellen.

Bei Ausfällen von Internet oder Telefonie lohnt sich ein realistischer Blick auf Alternativen. Kann das Team über Mobilfunk arbeiten? Sind wichtige Kontaktdaten bekannt? Gibt es für einzelne Schlüsselrollen einen geeigneten Ersatzarbeitsplatz? Solche Fragen wirken banal, bis sie an einem Arbeitstag ohne Verbindung beantwortet werden müssen.

Meldepflichten und Kommunikation nicht vergessen

Je nach Branche, Datenbestand und Ursache können Datenschutz-, Vertrags- oder gesetzliche Meldepflichten entstehen. Bei einem möglichen Verlust personenbezogener Daten sollte früh geklärt werden, was passiert ist, welche Daten betroffen sind und ob eine Meldung erforderlich ist. Unternehmen, die unter NIS2 beziehungsweise den österreichischen Vorgaben des NISG 2024 fallen, brauchen zusätzlich nachvollziehbare Prozesse für Risikomanagement und Vorfallbehandlung.

Wichtig ist dabei: Nicht jede technische Störung ist automatisch meldepflichtig. Umgekehrt darf ein möglicher Vorfall nicht tagelang ungeprüft bleiben. Bewahren Sie Belege, Protokolle und Kommunikationsverläufe auf. Sprechen Sie nach außen erst dann über Ursache und Umfang, wenn belastbare Informationen vorliegen. Spekulationen helfen weder Kunden noch Mitarbeitenden.

Eine vorbereitete Kommunikationsvorlage spart Zeit. Sie sollte erklären, was aktuell eingeschränkt ist, welche Auswirkung das auf Kunden hat und wann ein nächstes Update folgt. Ehrliche, kurze Informationen sind besser als Funkstille oder vorschnelle Entwarnungen.

Den Notfallplan regelmäßig üben

Ein Plan, den niemand kennt, ist im Ernstfall nur eine Datei. Besprechen Sie die wichtigsten Szenarien mindestens einmal jährlich mit den verantwortlichen Personen. Ein kurzer Test reicht als Anfang: Was tun wir bei einer verdächtigen E-Mail im Namen der Geschäftsführung? Wen rufen wir an, wenn der Server nicht erreichbar ist? Wie stellen wir eine gelöschte Datei wieder her?

Nach jedem Test und nach jedem echten Vorfall sollte der Plan angepasst werden. Neue Software, neue Mitarbeitende, geänderte Zuständigkeiten oder ein Wechsel beim Internetanbieter machen alte Angaben schnell wertlos. Eine externe, persönlich erreichbare IT-Betreuung kann hier Struktur schaffen, ohne dass der Betrieb selbst Spezialwissen aufbauen muss.

Der beste Zeitpunkt für einen Notfallplan ist nicht nach dem ersten Ausfall. Nehmen Sie sich einen konkreten Geschäftsvorfall als Ausgangspunkt, prüfen Sie Ihre kritischsten Systeme und vereinbaren Sie einen Wiederherstellungstest. Danach wissen Sie nicht nur, ob Ihre IT abgesichert wirkt, sondern ob Ihr Betrieb im entscheidenden Moment weiterarbeiten kann.