Wie erstelle ich ein IT-Notfallhandbuch?

Klar – sehr unwahrscheinliches Szenario! Aber auch wenn nicht alles zusammenkommt, wünscht man sich, im IT-Notfall gewappnet zu sein. Wer macht was wann? Sind Sie und Ihr Team vorbereitet? Haben Sie einen auf Ihr Unternehmen abgestimmten Notfallplan inkl. IT-Notfallhandbuch?

Stellen Sie sich den Kernfragen:

• • Was ist eigentlich ein IT-Notfall? Wie definieren wir eine Störung und wann führt diese zu einem Notfall?
  • Welche Geschäftsprozesse sind kritisch? Welche Systeme sind dafür zwingend notwendig?
  • Sind auf extern erreichbaren Systemen die aktuellen Patches aufgespielt und somit alle Schwachstellen behoben? Wenn nicht, welche alternativen Maßnahmen werden zum Schutz getroffen?
  • Sind alle kurzfristigen Eskalationsmechanismen für den Notfall festgelegt und bekannt? Sind Berechtigungen entsprechend zugewiesen?
  • Wie werden administrative Zugänge geschützt?
  • Gibt es ein Backup-Konzept (gemäß 3-2-1-Regel)? Wie kommt man im Notfall an die Backup-Dateien?

Ein Notfall ist ein Schadensereignis, bei dem Prozesse oder Ressourcen einer Institution nicht wie vorgesehen funktionieren. Die Verfügbarkeit der entsprechenden Prozesse oder Ressourcen kann innerhalb einer geforderten Zeit nicht wieder hergestellt werden. Der Geschäftsbetrieb ist stark beeinträchtigt. Eventuell vorhandene SLAs (Service Level Agreements) können nicht eingehalten werden. Es entstehen hohe bis sehr hohe Schäden, die sich signifikant und in nicht akzeptablem Rahmen auf das Gesamtjahresergebnis eines Unternehmens oder die Aufgabenerfüllung einer Behörde auswirken. Notfälle können nicht mehr im allgemeinen Tagesgeschäft abgewickelt werden, sondern erfordern eine gesonderte Notfallbewältigungsorganisation.

Was abstrakt klingt, lässt sich beispielhaft mit folgenden Ausfallszenarien im IT-Betrieb benennen:

• Systemausfall (Hard-/Softwarefehler)
• Netzwerkausfall
• Sabotage/Manipulation
• Ausfall Klimatisierung
• Ausfall Telekommunikation
• Bedienungsfehler
• Stromausfall
• Wasserschäden
• Brand oder Naturkatastrophen

Denn auch wenn IT-Systeme in den letzten Jahren ausfallsicherer geworden sind, kann es aus verschiedenen Gründen zu schwerwiegenden Vorfällen kommen. Diese bedeuten im Extremfall den Verlust sämtlicher Unternehmensdaten. Die Empfehlung des BSI ist daher eindeutig: Um Notfällen angemessen zu begegnen, bedarf es einer „gesonderten Notfallbewältigungsorganisation“.

BSI-Standard 200-4: Business Continuity Management

Übrigens: Die BSI-Standards 200-1, 200-2 und 200-3 lösen seit Oktober 2017 die BSI-Standards der Reihe 100-x ab. Die fortlaufenden Entwicklungen und Erfahrungen in den Bereichen Business Continuity Management (BCM), Notfallmanagement und (IT-)Krisenmanagement erforderten diese grundlegende Aktualisierung. Der modernisierte BSI-Standard 200-4 gibt eine praxisnahe Anleitung, um ein Business Continuity Management System (BCMS) in der eigenen Institution aufzubauen und zu etablieren.

BSI-Standard 200-4

Im Folgenden wollen wir einen Blick auf das Thema „IT-Notfallhandbuch“ – ein sogenanntes „reaktives Dokument“ – werfen, das zu jedem guten Notfallmanagement dazu gehört.

Was gehört in das IT-Notfallhandbuch?

Das BSI beschreibt das IT-Notfallhandbuch wie folgt:

„Das Notfallhandbuch umfasst alle Dokumente, die eine angemessene Reaktion auf Krisen und Notfälle unterstützen sollen.“

Stellen wir der Theorie ein kleines Fallbeispiel zur Seite:

Systemausfall! Der interne Admin ist im Urlaub, die anderen wissen nicht Bescheid. Was ist zu tun? Im Notfallhandbuch steht nur „Fileserver wieder einschalten“. Leider ist weder klar, welcher Fileserver noch welches Rack gemeint ist. Wer hat überhaupt Zugang zum Serverraum und wer zum Rack? Ja, es gibt einen externen Dienstleister …oder? Für die Wartung? Für den Austausch? 

Tipp

Vorlage IT-Notfallhandbuch nutzen

Auch mithilfe der BSI-Vorlage für das IT-Notfallhandbuch steckt noch jede Menge Arbeit dahinter. Wer sich einmal durch die aktuell rund 300 Seiten gearbeitet hat, weiß zwar die umfangreichen Prozessdokumentationen zu schätzen, fürchtet aber die unzähligen damit verbundenen Aufgaben sowie Auflagen. Eine externe erfahrene Beratung reduziert nicht nur Ihren Aufwand, sondern deckt auch Lücken in Prozessen oder auch in der Dokumentation frühzeitig auf. Weil wir als Dienstleister bei ganz unterschiedlichen Kunden unterwegs sind (und nicht selten, wenn’s brennt) wissen wir sehr gut, worauf es im Ernstfall ankommt. Gerne unterstützen wir auf dem Weg zum umfassenden, dynamischen und anwenderfreundlichen IT-Notfallhandbuch.