Ein Notfallplan im Schrank schützt kein Unternehmen
Viele Unternehmen haben inzwischen erkannt, dass Cyberangriffe, IT-Ausfälle und technische Störungen keine theoretischen Risiken mehr sind. Fast täglich berichten Medien über Ransomware-Angriffe, Datenverluste, Lieferkettenangriffe oder den Ausfall kritischer IT-Systeme. Die Reaktion vieler Unternehmen ist nachvollziehbar: Es werden Notfallpläne erstellt, Richtlinien verabschiedet und Verantwortlichkeiten definiert.
Das ist ein wichtiger erster Schritt. Doch ein Notfallplan, der lediglich in einem Ordner abgelegt oder auf einem SharePoint gespeichert wird, macht ein Unternehmen noch lange nicht resilient.
Wirkliche Cyberresilience bedeutet, auch unter schwierigen Bedingungen handlungsfähig zu bleiben. Dafür müssen Notfallpläne nicht nur existieren, sondern regelmäßig getestet, überprüft und an neue Gegebenheiten angepasst werden.
Was bedeutet Cyberresilience eigentlich?
Cyberresilience beschreibt die Fähigkeit eines Unternehmens, Cyberangriffe, technische Störungen und sonstige Krisensituationen nicht nur abzuwehren, sondern auch die Geschäftstätigkeit aufrechtzuerhalten und sich schnell von Vorfällen zu erholen.
Im Gegensatz zur klassischen IT-Sicherheit geht es nicht ausschließlich darum, Angriffe zu verhindern. Cyberresilience setzt voraus, dass Unternehmen davon ausgehen, dass Sicherheitsvorfälle irgendwann eintreten werden.
Die entscheidende Frage lautet daher:
Kann das Unternehmen auch dann weiterarbeiten, wenn zentrale Systeme ausfallen?
Welche Notfallpläne sollten Unternehmen besitzen?
Die konkreten Anforderungen unterscheiden sich je nach Branche, Unternehmensgröße und Risikolage. Einige Notfallpläne sollten jedoch in nahezu jedem Unternehmen vorhanden sein.
IT-Notfallplan
Der IT-Notfallplan beschreibt, wie bei Ausfällen zentraler Systeme vorzugehen ist. Dazu gehören beispielsweise:
- Serverausfälle
- Netzwerkausfälle
- Cloud-Störungen
- Datenverlust
- Ausfall von Kommunikationssystemen
Der Plan sollte klare Zuständigkeiten, Eskalationswege und Wiederanlaufverfahren enthalten.
Incident-Response-Plan
Ein Incident-Response-Plan regelt den Umgang mit Sicherheitsvorfällen und Cyberangriffen.
Typische Inhalte sind:
- Erkennung und Bewertung von Vorfällen
- Meldung an interne Stellen
- Einbindung externer Dienstleister
- Beweissicherung
- Kommunikation mit Kunden und Geschäftspartnern
- Wiederherstellung des Regelbetriebs
Backup- und Wiederherstellungskonzept
Backups gehören zu den wichtigsten Schutzmaßnahmen überhaupt.
Ein gutes Konzept beantwortet unter anderem folgende Fragen:
- Welche Daten werden gesichert?
- Wie häufig erfolgen Sicherungen?
- Wo werden Backups gespeichert?
- Wie schnell können Daten wiederhergestellt werden?
- Sind die Sicherungen vor Ransomware geschützt?
Krisenkommunikationsplan
Während eines Sicherheitsvorfalls herrscht häufig Unsicherheit.
Ein Krisenkommunikationsplan legt fest:
- Wer informiert Mitarbeiter?
- Wer spricht mit Kunden?
- Wer kommuniziert mit Medien?
- Wer informiert Behörden oder Aufsichtsstellen?
Gerade bei Datenschutzverletzungen können gesetzliche Meldepflichten bestehen.
Business-Continuity-Plan
Der Business-Continuity-Plan betrachtet nicht nur die IT, sondern den gesamten Geschäftsbetrieb.
Er beantwortet beispielsweise Fragen wie:
- Welche Prozesse sind kritisch?
- Welche Systeme müssen zuerst wiederhergestellt werden?
- Welche Alternativverfahren existieren?
- Wie lange kann ein Geschäftsprozess ausfallen?
Der häufigste Fehler: Niemand testet die Pläne
In der Praxis zeigt sich immer wieder ein ähnliches Bild.
Unternehmen investieren viel Zeit in die Erstellung von Konzepten und Notfallplänen. Anschließend werden diese Dokumente abgelegt und geraten in Vergessenheit.
Kommt es Jahre später zu einem Sicherheitsvorfall, stellt sich heraus:
- Ansprechpartner haben das Unternehmen verlassen.
- Telefonnummern stimmen nicht mehr.
- Zuständigkeiten wurden verändert.
- Systeme wurden ausgetauscht.
- Wiederherstellungszeiten sind unrealistisch.
Ein Notfallplan, der nie getestet wurde, bietet daher oft nur eine scheinbare Sicherheit.
Warum regelmäßige Tests unverzichtbar sind
Ein Notfallplan ist immer nur so gut wie seine praktische Umsetzbarkeit.
Regelmäßige Tests helfen dabei,
- Schwachstellen zu identifizieren,
- Abläufe zu optimieren,
- Verantwortlichkeiten zu überprüfen,
- Mitarbeiter zu sensibilisieren,
- technische Probleme frühzeitig zu erkennen.
Viele Unternehmen erleben bei ihrem ersten Wiederherstellungstest eine unangenehme Überraschung: Das Backup existiert zwar, lässt sich aber nicht vollständig wiederherstellen.
Solche Erkenntnisse sind im Rahmen einer Übung ärgerlich – während eines echten Cyberangriffs können sie existenzbedrohend sein.
Welche Tests sind sinnvoll?
Tabletop-Übungen
Bei einer Tabletop-Übung wird ein Vorfall simuliert.
Die Beteiligten besprechen gemeinsam:
- Welche Entscheidungen wären zu treffen?
- Wer wird informiert?
- Welche Maßnahmen werden eingeleitet?
Diese Übungen sind vergleichsweise einfach umzusetzen und liefern oft wertvolle Erkenntnisse.
Technische Wiederherstellungstests
Hier wird geprüft, ob Systeme und Daten tatsächlich wiederhergestellt werden können.
Dies betrifft insbesondere:
- Backup-Systeme
- virtuelle Maschinen
- Cloud-Dienste
- Datenbanken
Krisenübungen
Bei größeren Unternehmen können komplette Krisenszenarien simuliert werden.
Dabei werden sowohl technische als auch organisatorische Abläufe getestet.
Phishing-Simulationen
Da viele Sicherheitsvorfälle mit einer E-Mail beginnen, können kontrollierte Phishing-Simulationen dazu beitragen, das Sicherheitsbewusstsein der Mitarbeiter zu stärken.
Cyberresilience ist kein Projekt, sondern ein Prozess
Technologien verändern sich ständig.
Neue Software wird eingeführt, Mitarbeiter wechseln ihre Positionen, Geschäftsprozesse werden angepasst und neue Bedrohungen entstehen.
Deshalb kann Cyberresilience niemals mit der Erstellung eines Dokuments abgeschlossen werden.
Unternehmen sollten ihre Notfallpläne regelmäßig überprüfen, mindestens einmal jährlich bewerten und nach jeder Übung oder jedem tatsächlichen Sicherheitsvorfall anpassen.
Nur so kann sichergestellt werden, dass die vorgesehenen Maßnahmen im Ernstfall tatsächlich funktionieren.
Fazit
Cyberresilience entsteht nicht durch das bloße Vorhandensein von Notfallplänen. Entscheidend ist vielmehr, ob diese Pläne aktuell, praktikabel und im Ernstfall umsetzbar sind.
Unternehmen sollten deshalb nicht nur IT-Notfallpläne, Incident-Response-Pläne, Backup-Konzepte und Krisenkommunikationspläne erstellen, sondern diese regelmäßig testen und weiterentwickeln. Wer Schwachstellen bereits in Übungen erkennt, erhöht die Wahrscheinlichkeit erheblich, einen echten Sicherheitsvorfall erfolgreich zu bewältigen.
Gerade vor dem Hintergrund von NIS2, steigenden regulatorischen Anforderungen und einer zunehmenden Bedrohungslage wird die Fähigkeit, auch in Krisensituationen handlungsfähig zu bleiben, zu einem entscheidenden Wettbewerbsfaktor. Wir unterstützen Unternehmen gern bei der Entwicklung, Überprüfung und Durchführung von Notfall- und Krisenkonzepten sowie bei der Stärkung ihrer Cyberresilience.