Ein Notfallplan und eine Notfallkarte

Modul 8: Wenn es schiefgeht · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie eine Notfallkarte und einen einfachen Notfallplan erstellen, die auch funktionieren, wenn Ihre Computer, E-Mail und Telefonliste nicht mehr erreichbar sind.

Kernbegriffe: Vorfall, Notfallkarte, Notfallplan, Rollen, Kontaktliste, Eindämmen, Beweise sichern, Kommunikation, offline aufbewahren, Üben (Tabletop)

Warum Sie das jetzt regeln und nicht erst, wenn es brennt

Stellen Sie sich vor: Es ist Montagmorgen, 07:45 Uhr. Auf dem Kassen-PC der Bäckerei Example erscheint ein roter Bildschirm mit der Meldung, dass alle Dateien verschlüsselt sind. Der freigegebene Ordner mit den Bestellungen öffnet sich nicht. Jemand sagt: "Rufen Sie den IT-Menschen an." Doch dessen Nummer steht in den Kontakten des Postfachs, und das Postfach liegt auf demselben PC. Ein anderer will den PC sofort ausschalten. Eine dritte Person beginnt, die Backup-Festplatte anzuschließen, um "alles wiederherzustellen".

Alle drei Reaktionen sind verständlich, und zwei davon machen die Lage schlimmer. So läuft es fast immer: Unter Druck tun Menschen, was ihnen zuerst in den Sinn kommt. Ein Vorfall ist jedes Ereignis, das die Verfügbarkeit, Zuverlässigkeit oder Vertraulichkeit Ihrer Daten oder Systeme bedroht: ein gehacktes E-Mail-Konto, Ransomware, ein verlorener Laptop, eine E-Mail mit Kundendaten an die falsche Person, eine übernommene Website.

Das Ziel eines Plans ist nicht, dass alles gut geht. Das Ziel ist, dass Sie in der ersten Stunde keine Fehler machen, die Sie nicht mehr rückgängig machen können, und dass Sie wissen, wen Sie anrufen.

Notfallkarte und Notfallplan: der Unterschied

Für ein Unternehmen mit zwei bis zwanzig Personen ist die Karte das Wichtigste. Der Plan darf kurz sein. Das niederländische NCSC hat für Ransomware einen ausführlichen Notfallplan (siehe Weiterführende Informationen); den können Sie als Ausgangspunkt nehmen und kürzen.

Was auf der Notfallkarte steht

Eine gute Karte beantwortet fünf Fragen. Hier eine Vorlage, die Sie übernehmen können.

NOTFALLKARTE  Bäckerei Example            Version: 1   Datum: ..-..-....

1. FÄLLT IHNEN ETWAS SELTSAMES AUF?  (roter Bildschirm, seltsame E-Mail verschickt,
   Anmeldung klappt nicht, unbekannte Zahlung, Laptop verloren, Daten an falschen
   Empfänger)
   -> Melden Sie es SOFORT bei: ............................  Tel.: ...............
      Ersatz: ..........................................  Tel.: ...............
   Melden ist immer richtig. Niemand bekommt die Schuld zugewiesen.

2. ERSTE SCHRITTE (nicht selbst reparieren)
   [ ] Netzwerkkabel ziehen / WLAN aus / Flugmodus. NICHT ausschalten.
   [ ] USB- und Backup-Festplatten trennen. NICHT anschließen.
   [ ] Foto vom Bildschirm machen (mit Ihrem Telefon).
   [ ] Aufschreiben: Zeit, was Sie gesehen haben, was Sie getan haben.
   [ ] Nicht zahlen, nicht auf den Erpresser reagieren.

3. WEN RUFEN WIR AN?
   IT-Hilfe / Administrator ............................  Tel.: ...............
   Hosting / E-Mail        ............................  Tel.: ...............
   Bank (Betrug, 24/7)     ............................  Tel.: ...............
   Versicherung (Cyber)    ............................  Police: .............
   Polizei (Anzeige)       ...........................................
   Meldestelle Datenpanne  ...........................................
   Wichtiger Kunde/Lieferant: ...................  Tel.: ...............

4. WER ENTSCHEIDET UND WER SPRICHT?
   Entscheidet (ausschalten, wiederherstellen, melden, zahlen): ..........................
   Spricht mit Kunden, Presse, Personal: ........................................
   Führt das Logbuch: .....................................................

5. WO FINDE ICH WAS?
   Backups: .............................. (letzter Test: ..-..-....)
   Passwort-Manager Notfallzugang: ...........................................
   Liste der Systeme und Konten: ..........................................
   Dieser Plan (digital) + Kopie außerhalb des Betriebs: ..............................

Ein paar Entscheidungen in dieser Vorlage verdienen eine Erklärung.

• "Nicht ausschalten, wohl trennen." Bei Ransomware rät das niederländische NCSC, ein betroffenes Gerät sofort vom Netzwerk zu trennen (Kabel, WLAN, Mobilfunknetz), es aber nicht auszuschalten; Standby ist in Ordnung. Im Arbeitsspeicher befinden sich Spuren, die ein Ermittler benötigen kann, manchmal sogar Schlüssel. Trennen stoppt die Ausbreitung auf andere Geräte und auf das Netzlaufwerk.
• "Backup-Festplatten nicht anschließen." Eine Festplatte, die Sie an einen infizierten PC anschließen, wird ebenfalls verschlüsselt. Erst muss feststehen, dass die Umgebung sauber ist (Lektion 8.3).
• "Melden ist immer richtig." Der Mitarbeiter, der als Erster etwas bemerkt, ist Ihre beste Verteidigung. Hat er Angst vor einem Rüffel, wartet er ab, und Sie verlieren Stunden. Siehe auch Lektion 9.2.
• Nummern auf Papier. Gerade bei einem großen Vorfall funktionieren Ihre E-Mail, Ihr gemeinsamer Kalender und manchmal auch Ihre Telefonanlage nicht. Eine Karte, die nur in der Cloud liegt, ist dann weg.

Im Notfall wenden Sie sich an die Polizei (bei akuter Gefahr 110); eine Anzeige wegen eines Cyberangriffs erstatten Sie in der Regel online über die Onlinewache der Polizei Ihres Bundeslandes, meist ohne unmittelbare Gefahr.

Rollen: wer macht was

In einem kleinen Unternehmen ist oft eine Person für alles zuständig. Legen Sie trotzdem drei Rollen fest, auch wenn zwei davon denselben Namen tragen:

1. Der Entscheider. Entscheidet über Ausschalten, Wiederherstellen, Meldung bei der Datenschutzaufsichtsbehörde, Kontakt mit der Bank und die Frage, ob ein externer Spezialist hinzugezogen wird. Am besten der Inhaber oder Geschäftsführer, mit einem festen Vertreter.
2. Die technische Linie. Ihr IT-Dienstleister, Webentwickler oder der versierte Kollege. Setzt um, was der Entscheider verlangt, und berät. Klären Sie vorab, ob Ihr IT-Dienstleister auch bei einem Vorfall hilft, wie schnell, und was das kostet; das ist eine Frage für Lektion 7.2.
3. Der Kommunikator. Spricht mit Kunden, Personal und gegebenenfalls der Presse, damit nach außen eine einheitliche Geschichte vertreten wird. Bei einer Datenpanne gehört dazu auch die Information der Betroffenen (Lektion 8.2).

Bestimmen Sie auch jemanden, der ein Logbuch führt: Zeit, was passierte, wer was entschieden hat. Das wirkt bürokratisch, aber Sie brauchen es für die Meldung bei der zuständigen Datenschutzaufsichtsbehörde (die fragt, wann Sie die Panne entdeckt haben und was Sie unternommen haben), für Ihre Versicherung, für die Anzeige und für die Auswertung im Nachhinein.

Der Plan: je Vorfallart ein paar Regeln

Neben der Karte schreiben Sie für jeden häufigen Vorfalltyp ein kurzes Vorgehen. Vier reichen zum Einstieg:

Legen Sie auch fest, welche Systeme am wichtigsten sind, in Reihenfolge. Bei der Bäckerei Example ist das zum Beispiel: Kasse und Kartenzahlung, Bestellungen für heute, E-Mail, Buchhaltung, Website. Bei der Wiederherstellung beginnen Sie oben. Siehe auch RPO und RTO in Lektion 6.3.

Üben: eine halbe Stunde am Tisch

Ein Plan, den niemand kennt, funktioniert nicht. Eine Tabletop-Übung kostet eine halbe Stunde: Sie sitzen mit den Personen, die eine Rolle haben, am Tisch und spielen ein Szenario durch, ohne etwas anzufassen. Der Moderator (das können Sie selbst sein) erzählt Schritt für Schritt, was passiert.

Beispiel: "Es ist Freitag, 16:30 Uhr. Die Buchhalterin erhält eine E-Mail von einem Stammlieferanten: Die IBAN hat sich geändert, die offene Rechnung über 8.400 Euro soll bitte noch heute auf die neue Nummer überwiesen werden. Was tun Sie?" Und danach: "Es ist Montag. Der Lieferant ruft an: Er hat nichts erhalten." Bei jedem Schritt fragen Sie: Wer macht was, wen rufen Sie an, wo steht diese Nummer?

Im Anschluss schreiben Sie auf, was gefehlt hat. Fast immer ist das eine Telefonnummer, ein Passwort, das nur eine Person kennt, oder Unklarheit darüber, wer entscheidet. Passen Sie die Karte an und setzen Sie das neue Datum darauf. Einmal pro Jahr üben und die Karte durchgehen ist für ein kleines Unternehmen ein gutes Tempo, ebenso nach jeder größeren Änderung (neuer IT-Dienstleister, neue Buchhaltungssoftware).

In der Praxis: So sieht es aus

Nehmen Sie in Ihre Karte auch die konkreten Stellen auf, an denen Sie bei Ihren eigenen Anbietern schnell eingreifen können. Bei WebOké ist das zum Beispiel: aktive Sitzungen einsehen und abmelden in Mein WebOké, die Schritt-für-Schritt-Anleitung "Meine Website wurde gehackt" im DirectAdmin-Handbuch, und das Wiederherstellen eines Backups. Bei anderen Anbietern von Hosting, E-Mail und Cloud gibt es vergleichbare Funktionen; suchen Sie diese, bevor Sie sie brauchen, und notieren Sie, wo sie zu finden sind.

Zusammenfassung

• Eine Notfallkarte (ein A4-Blatt, auf Papier) sorgt dafür, dass alle in den ersten Minuten das Richtige tun: melden, trennen, aber nicht ausschalten, Backups nicht anschließen, nichts zahlen.
• Legen Sie Rollen fest: wer entscheidet, wer übernimmt die technische Arbeit, wer kommuniziert, wer führt das Logbuch.
• Schreiben Sie für jeden häufigen Vorfalltyp ein kurzes Vorgehen und die Reihenfolge Ihrer wichtigsten Systeme.
• Bewahren Sie Nummern und den Plan auch außerhalb Ihrer Computer auf.
• Üben Sie jährlich eine halbe Stunde am Tisch und aktualisieren Sie die Karte.

Quiz

Aufgabe

Aufgabe D8.1: Ihre eigene Notfallkarte. Übernehmen Sie die Vorlage aus dieser Lektion und füllen Sie sie für Ihr eigenes Unternehmen aus: echte Namen, Nummern und Orte. Drucken Sie sie aus, hängen Sie sie auf und machen Sie ein Foto für Ihr Telefon. Spielen Sie danach mit einem Kollegen (oder allein) das IBAN-Szenario aus dieser Lektion in einer Viertelstunde durch und schreiben Sie auf, was Ihnen gefehlt hat.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• DirectAdmin Anleitung 18.2: Meine Website wurde gehackt: Schritt-für-Schritt-Anleitung
• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• WebOké Anleitung 3.6: Aktive Sitzungen anzeigen und abmelden
• BSI, Maßnahmen bei einem Ransomware-Angriff: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/ransomware-angriffe_node.html
• Niederländisches NCSC, Incidentresponsplan Ransomware (PDF, Niederländisch): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Polizei, Beratung zu Cyberkriminalität: https://www.polizei-beratung.de/