IT-Notfallplan für Geschäftsführer: Was 2026 hineingehört, wer haftet und wie Sie in vier Wochen startklar sind

Der typische IT-Notfall kündigt sich nicht an. Montagmorgen, 6:40 Uhr: Die Dateiserver sind verschlüsselt, auf jedem Bildschirm steht eine Lösegeldforderung, das Telefon der IT klingelt ununterbrochen. In dieser Stunde zeigt sich, ob ein Unternehmen einen IT-Notfallplan hat oder nur glaubt, einen zu haben. Wer jetzt erst überlegt, wen er anrufen muss, welche Systeme zuerst wieder laufen sollen und ob die Aufsichtsbehörde informiert werden muss, verliert Tage. Dieser Beitrag richtet sich an Geschäftsführungen und ordnet ein, was ein IT-Notfallplan leisten muss, wer dafür verantwortlich ist und wie der Einstieg ohne Großprojekt gelingt.

Was ein IT-Notfallplan ist und was er nicht ist

Ein IT-Notfallplan ist das Dokument, das im Ernstfall sofort greifbar sein muss: Wer wird alarmiert, wer entscheidet, welche Sofortmaßnahmen gelten für welches Szenario, in welcher Reihenfolge werden Systeme wieder hochgefahren und wer informiert Kunden, Behörden und Versicherung. Er ist bewusst kompakt, oft 20 bis 40 Seiten, und funktioniert auch ausgedruckt, wenn kein Rechner mehr läuft.

Drei Dinge werden häufig damit verwechselt:

• Das Notfallhandbuch enthält die technischen Details: Wiederanlaufprozeduren je System, Konfigurationen, Netzwerkpläne. Es ergänzt den Plan, ersetzt ihn aber nicht.
• Der Disaster-Recovery-Plan beschreibt, wie die IT-Infrastruktur nach einem Totalausfall wiederhergestellt wird, mit Zielwerten für Ausfallzeit (RTO) und Datenverlust (RPO).
• Das Business Continuity Management hält die Geschäftsprozesse am Laufen, während die IT steht, etwa mit manueller Auftragserfassung oder Ausweicharbeitsplätzen.

Der BSI-Standard 200-4 fasst diese Ebenen zusammen und ist in Deutschland die Referenz für das Notfallmanagement. Eine vollständige Muster-Gliederung mit Verantwortlichen und Prüfintervallen finden Sie in der Vorlage IT-Notfallplan erstellen auf unserem Portal für Informationssicherheit.

Die acht Bestandteile, die kein Plan auslassen darf

1. Dokumenteninformationen: Version, Datum, Freigabe durch die Geschäftsführung, Verteiler. Ein Plan ohne Datum ist im Audit wertlos.
2. Geltungsbereich und Ziele: Welche Standorte, Systeme und Prozesse sind abgedeckt, wie grenzt sich der Plan vom Handbuch und vom BCM ab.
3. Notfallorganisation: Notfallteam mit Stellvertretern, klare Entscheidungsbefugnisse, Erreichbarkeit außerhalb der Geschäftszeiten.
4. Alarmierung und Eskalation: Kontaktlisten, Eskalationsstufen mit Kriterien, wer wann wen informiert. Die Kontaktliste ist das am häufigsten veraltete Kapitel.
5. Sofortmaßnahmen je Szenario: Checklisten für Ransomware, Datenverlust, Hardware-Ausfall, Netzwerkstörung, Stromausfall und Ausfall eines Cloud-Anbieters.
6. Wiederanlaufpläne: Priorisierte Liste der kritischen Systeme mit Reihenfolge und Abhängigkeiten. Der Mailserver nützt nichts, wenn das Active Directory noch steht.
7. Kommunikationsplan: Interne und externe Wege, vorbereitete Textbausteine, Meldepflichten mit Fristen.
8. Nachbereitung: Ursachenanalyse, Lessons Learned, Aktualisierung des Plans.

Dazu kommen Anhänge: Netzwerkpläne, Serverübersicht, Verträge mit Dienstleistern, Backup-Dokumentation und ein verschlüsselter Verweis auf den Zugangsdaten-Tresor. Passwörter im Klartext gehören nicht in den Plan.

Warum die Geschäftsführung persönlich in der Pflicht steht

Der Notfallplan ist keine reine IT-Aufgabe, und das hat rechtliche Gründe.

• DSGVO, Art. 32: Der Verantwortliche muss die Fähigkeit sicherstellen, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherzustellen. Ohne getesteten Wiederanlauf lässt sich das nicht nachweisen. Welche technischen und organisatorischen Maßnahmen die Aufsichtsbehörden erwarten, erklärt unser Datenschutz-Portal im Beitrag zu Art. 32 DSGVO und technisch-organisatorischen Maßnahmen.
• NIS-2: Für die regulierten Sektoren gehört das Notfallmanagement ausdrücklich zu den Pflichtmaßnahmen. Die Geschäftsleitung muss die Maßnahmen billigen und überwachen und haftet bei Verstößen persönlich. Ob Ihr Unternehmen betroffen ist, zeigt unser NIS-2-Betroffenheits-Check.
• Gesellschaftsrecht: Geschäftsführer einer GmbH haften nach § 43 GmbHG, wenn sie die Sorgfalt eines ordentlichen Geschäftsmanns verletzen. Ein Betrieb ohne Notfallvorsorge ist inzwischen ein klassischer Vorwurf, wenn nach einem Angriff die Versicherung nicht zahlt oder Kunden Schadensersatz fordern.
• Cyberversicherung und Banken: Viele Versicherer verlangen dokumentierte Notfallpläne und Wiederherstellungstests als Bedingung für den Vertrag oder für die Prämie.

Die Gesamtverantwortung liegt damit bei der Geschäftsführung. Die operative Erstellung übernimmt in der Regel der Informationssicherheitsbeauftragte, wie sich die Rolle sinnvoll besetzen lässt, beschreibt der Beitrag Externer Informationssicherheitsbeauftragter: Wann er sich lohnt.

Die Fristen, die im Ernstfall laufen

Der Kommunikationsplan muss zwei Uhren im Blick haben. Nach Art. 33 DSGVO ist eine Datenschutzverletzung mit Risiko für Betroffene binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde zu melden, bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen. NIS-2 verlangt für erhebliche Sicherheitsvorfälle eine Erstmeldung binnen 24 Stunden, eine Folgemeldung binnen 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Beide Fristen laufen parallel und beginnen, sobald jemand im Unternehmen den Vorfall erkennt, nicht erst, wenn die Geschäftsführung davon erfährt. Deshalb gehört die Meldekette mit Namen, Vertretung und Formularen in den Plan.

Der häufigste Fehler: der ungetestete Plan

Ein Notfallplan, der nie geübt wurde, ist ein Dokument, kein Schutz. In der Praxis scheitern Wiederanläufe an Kleinigkeiten: Das Backup ist vorhanden, aber niemand kennt das Passwort des Backup-Servers. Der externe Dienstleister hat eine neue Notfallnummer. Der Kollege, der als Einziger das Warenwirtschaftssystem wiederherstellen kann, ist im Urlaub. Bewährt hat sich ein gestuftes Vorgehen: einmal im Jahr eine Tabletop-Übung, bei der das Notfallteam ein Szenario am Tisch durchspielt, dazu halbjährlich ein technischer Test einzelner Bausteine wie einer Backup-Wiederherstellung oder eines Failovers. Jede Übung wird dokumentiert, jede Erkenntnis fließt in die nächste Version des Plans.

In vier Wochen zum ersten belastbaren Plan

Der Einstieg muss kein Normprojekt sein. So sieht ein realistischer Fahrplan für einen Mittelständler aus:

1. Woche 1, kritische Prozesse: Mit den Fachbereichen klären, welche Prozesse maximal wie lange ausfallen dürfen und welche IT-Systeme daran hängen. Meist sind es fünf bis zehn Systeme, die wirklich zählen.
2. Woche 2, Szenarien und Organisation: Die vier bis sechs wahrscheinlichsten Szenarien festlegen, Notfallteam und Stellvertreter benennen, Kontaktliste erstellen und prüfen.
3. Woche 3, Sofortmaßnahmen und Wiederanlauf: Je Szenario eine einseitige Checkliste, dazu die Reihenfolge des Wiederanlaufs mit Abhängigkeiten. Die technischen Details wandern ins Handbuch oder in den Disaster-Recovery-Plan.
4. Woche 4, Kommunikation, Freigabe, erste Übung: Meldekette mit DSGVO- und NIS-2-Fristen, Textbausteine für Kunden und Mitarbeiter, Freigabe durch die Geschäftsführung, gedruckte Exemplare an drei Orten, erste Tabletop-Übung terminieren.

Was danach kommt, ist Pflege: Kontaktlisten quartalsweise, der Gesamtplan mindestens halbjährlich und sofort nach jeder Änderung an der IT-Landschaft. Wer die Rolle des Informationssicherheitsbeauftragten extern besetzt, bekommt diese Pflege in der Regel als festen Bestandteil der monatlichen Betreuung, die für kleine Unternehmen bei rund 300 Euro im Monat beginnt.

Ein IT-Notfallplan kostet einige Arbeitstage. Ein ungeplanter Ausfall kostet je nach Unternehmensgröße schnell fünfstellige Beträge pro Stunde und im schlimmsten Fall das Unternehmen. Die Rechnung ist selten so eindeutig wie hier.