Inhalt in Kürze
- Ein IT-Notfallplan legt vor dem Ernstfall fest, wer in den ersten Stunden was tut. Ohne ihn dauert ein Ausfall zwei bis fünf Tage statt zwei bis acht Stunden.
- Die drei Begriffe sauber getrennt: Notfallplan = Handlungsdokument für einen Vorfall, Notfallhandbuch = die Mappe mit allen Plänen, Kontakten und Inventar, Notfallmanagement = der Prozess, der beides aktuell hält.
- Acht Bausteine tragen den Plan: Kontaktliste, Rollen, Eskalationsstufen, Sofortmaßnahmen, System-Inventar, Wiederanlauf-Reihenfolge, Kommunikationsplan mit Meldefristen, Übungs-Log.
- Der teuerste Fehler ist banal: Der Plan liegt als PDF auf dem Server, der gerade verschlüsselt wurde. Ausgedruckt und offline — sonst existiert er im Ernstfall nicht.
Bei einem IT-Notfall entscheidet nicht die Technik über die Ausfallzeit, sondern die erste halbe Stunde. Wer in dieser halben Stunde erst herausfinden muss, wen er anruft und wer entscheiden darf, verliert einen Tag. Wer eine ausgedruckte Seite aus dem Schrank zieht und abarbeitet, ist am Abend wieder handlungsfähig. Genau diesen Unterschied macht ein IT-Notfallplan — und genau deshalb fragen Versicherer, Auditoren und Großkunden ihn 2026 systematisch ab.
Dieser Artikel ist Vorsorge — er beschreibt, wie Sie den Plan erstellen, bevor etwas passiert. Läuft der Vorfall gerade, rufen Sie uns direkt an: 040 284 10 26-0. Wir helfen sofort — und den Plan erstellen Sie danach in Ruhe.
Warum IT-Notfallpläne 2026 keine Kür mehr sind: Cyberangriffe, NIS2, Lieferkette
Drei Kräfte drücken gleichzeitig, und alle drei landen auf demselben Schreibtisch: dem der Geschäftsführung.
Die Versicherer. Eine Cyberpolice deckt das Restrisiko, nicht Ihre Grundsicherung. Wer im Schadenfall keinen dokumentierten Wiederanlaufplan vorlegen kann, riskiert Kürzung oder Ablehnung — dieselbe Logik wie bei getrennten Backups und Multi-Faktor-Authentifizierung. Welche Klauseln dahinterstecken, haben wir in unserem Beitrag zur Cyber-Versicherung 2026 für den Hamburger Mittelstand aufgeschlüsselt.
Die Regulierung. Das deutsche NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Betroffene Unternehmen müssen erhebliche Sicherheitsvorfälle binnen 24 Stunden erstmelden — eine Frist, die man ohne vorbereiteten Meldeweg schlicht reißt. Welche Fristen sonst noch laufen, sammelt unsere Übersicht der IT-Stichtage 2026/2027.
Die Lieferkette. Wer als Zulieferer arbeitet, bekommt den Notfallplan über Lieferantenfragebögen auf den Tisch, auch ohne selbst reguliert zu sein. Große Kunden geben ihre NIS2-Pflichten nach unten weiter.
Die ersten beiden Zahlen stammen aus der Studie Wirtschaftsschutz 2025 des Bitkom: 289,2 Milliarden Euro Gesamtschaden für die deutsche Wirtschaft, davon rund 70 Prozent durch Cyberattacken, und 87 Prozent der befragten Unternehmen waren in den vergangenen zwölf Monaten betroffen. Die dritte Zahl ist unsere eigene: Was eine Stunde Stillstand einen Betrieb mit 30 Mitarbeitenden kostet, haben wir in Was IT-Ausfälle kleine Unternehmen wirklich kosten durchgerechnet: 20.000 bis 30.000 Euro, je nach Umsatz und Lohnstruktur. Bei zwei Tagen Ausfall reden Sie über einen sechsstelligen Betrag.
Dabei geht es nicht nur um Cyberangriffe. Derselbe Plan trägt bei Stromausfällen, bei einem Wasserschaden im Serverraum oder bei einem Einbruch, nach dem Geräte fehlen. Ob aus einer Störung eine Katastrophe wird, entscheidet selten die Ursache — es entscheidet der Faktor Zeit: wie schnell die richtigen Schritte eingeleitet werden. Vorbereitete Notfallmaßnahmen senken die Ausfallzeiten deshalb unabhängig davon, ob ein Hackerangriff oder ein defektes Netzteil dahintersteckt.
IT-Notfallplan, IT-Notfallhandbuch, IT-Notfallmanagement — was ist was?
Diese drei Begriffe werden ständig durcheinandergeworfen, auch von Beratern. Die Trennung ist aber nützlich, weil sie zeigt, wo Sie anfangen sollten.
Ein IT-Notfallplan ist das Handlungsdokument für einen konkreten Vorfall: Er legt fest, wer in den ersten Stunden nach einem Ausfall was tut, in welcher Reihenfolge und mit welchen Befugnissen. Er ist kurz, er ist geordnet, und er wird im Stress von oben nach unten abgearbeitet.
Ein IT-Notfallhandbuch ist die Mappe, die mehrere dieser Pläne bündelt — plus Kontaktliste, System-Inventar, Meldewege und Wiederanlauf-Reihenfolge. Es ist das, was Sie einem Auditor oder Versicherer vorlegen.
IT-Notfallmanagement ist der Prozess drumherum: Pläne schreiben, üben, nach jedem Vorfall nachschärfen, Zuständigkeiten aktuell halten. Das Dokument ist der einfache Teil. Das Management ist die Routine, an der es meistens hakt.
| Begriff | Was es ist | Wann Sie es brauchen |
|---|---|---|
| IT-Notfallplan | Handlungsanweisung für einen Vorfall — wer tut was, in welcher Reihenfolge | Im Ernstfall, ab Minute eins |
| IT-Notfallhandbuch | Sammelmappe: alle Pläne, Kontakte, Inventar, Meldewege | Bei Audit, Versicherungsprüfung, Lieferantenfragebogen |
| IT-Notfallmanagement | Der laufende Prozess: pflegen, üben, verbessern | Dauerhaft — sonst veraltet das Handbuch |
| Disaster-Recovery-Plan | Der technische Teil: Wie Systeme konkret wiederhergestellt werden | Beim Wiederanlauf, meist Sache des Dienstleisters |
Der technische Unterbau gehört in einen eigenen Plan — wie der aussieht, zeigt unsere Anleitung zum Disaster-Recovery-Plan für Unternehmen. Und wenn Sie größer denken wollen als IT, führt der Weg über einen Business Continuity Plan in fünf Schritten.
Die acht Bausteine eines IT-Notfallplans: die Checkliste, die wirklich trägt
Wir haben in den letzten Jahren viele Notfallpläne gesehen — die meisten scheiterten nicht an fehlender Tiefe, sondern an fehlenden Basics. Einen IT-Notfallplan erstellen heißt deshalb nicht, alles abzudecken, sondern das Wenige belastbar aufzuschreiben. Diese acht Bausteine sind die Kurzform, mit der ein Betrieb zwischen 10 und 100 Mitarbeitern auskommt.
- 1. Notfall-Kontaktliste. Intern mit privaten Mobilnummern, extern mit Kunden- und Vertragsnummern des IT-Dienstleisters, des Internetanbieters und der Versicherung. Die Liste führt die internen und externen Ansprechpartner in einer Spalte. Ohne private Nummern ist sie wertlos — die Diensthandys hängen am selben System.
- 2. Rollen und Entscheidungsbefugnisse. Wer darf anordnen, Systeme vom Netz zu nehmen? Wer vertritt diese Person im Urlaub? Wer spricht mit Kunden? Ohne benannte Vertretung wartet im Ernstfall alles auf einen Rückruf.
- 3. Eskalationsstufen: Störung, Notfall, Krise. Drei klar getrennte Stufen mit Auslösekriterien. Damit nicht jeder klemmende Drucker Chefsache wird — und ein echter Angriff nicht drei Stunden lang als Druckerproblem durchgeht.
- 4. Sofortmaßnahmen je Szenario. Vier reichen für den Anfang: Ransomware, Server- oder Rechenzentrumsausfall, übernommenes E-Mail-Konto, Internet- oder Telefonausfall. Je Szenario fünf bis acht Punkte zum Abhaken, kein Fließtext.
- 5. System-Inventar mit Wiederanlauf-Prioritäten. Welche Systeme gibt es, wer betreut sie, wie lange darf jedes ausfallen? Dahinter stecken die Kennzahlen RTO und RPO — der Unterschied ist in RTO vs. RPO einfach erklärt beschrieben.
- 6. Wiederanlauf-Reihenfolge mit Abhängigkeiten. Domaincontroller vor Fileserver, Fileserver vor Warenwirtschaft, Telefonie parallel. Wer diese Reihenfolge erst im Ernstfall herleitet, startet dreimal neu.
- 7. Kommunikationsplan mit Meldefristen. Wer informiert Mitarbeitende, Kunden, Behörden — und ab wann. Inklusive der gesetzlichen Fristen, siehe nächster Abschnitt.
- 8. Übungs-Log und Versionsstand. Datum der letzten Übung, Teilnehmer, gefundene Lücken, Datum der letzten Aktualisierung. Genau das will ein Auditor sehen — und genau das fehlt fast immer.
Auffällig ist, was in dieser Liste nicht steht: Technik. Die Erstellung eines Notfallplans ist zu vier Fünfteln organisatorisch — Verantwortlichkeiten klären, Meldewege festlegen und eine Priorisierung treffen: Welche Geschäftsprozesse und welche IT-Systeme müssen zuerst wieder laufen? Die technische Wiederherstellung übernehmen danach fast immer externe Dienstleister; deren Vertragsnummern, Reaktionszeiten und Rufbereitschaft gehören in dieselbe Dokumentation. Ein Maßnahmenkatalog nützt wenig, wenn niemand weiß, wer ihn abarbeitet.
Für jeden dieser Bausteine gibt es einen ausfüllbaren Abschnitt in unserer IT-Notfallplan-Vorlage. Sie ist bewusst so gebaut, dass eine Geschäftsführung sie an einem Nachmittag durchbekommt, statt ein Projekt daraus zu machen.
Die IT-Notfallkarte: was bei IT-Notfällen an der Wand hängt
Ergänzend zum Plan gibt es die IT-Notfallkarte — einen Aushang mit dem Titel „Verhalten bei IT-Notfällen”, für den das Bundesamt für Sicherheit in der Informationstechnik ein Muster bereitstellt. Darauf steht im Wesentlichen eine Nummer: die, die jeder Mitarbeitende bei IT-Notfällen wählt. Dazu drei Zeilen, was man bis zum Rückruf tun und lassen soll. Die Karte hängt neben Drucker, Empfang und Serverraum.
Sie ersetzt keinen Plan, aber sie schließt die Lücke zwischen dem Moment, in dem jemand etwas Merkwürdiges bemerkt, und dem Moment, in dem die richtige Person davon erfährt. Das sind erfahrungsgemäß die ersten verlorenen 20 Minuten eines IT-Notfalls.
Die Meldefristen gehören in den Plan, nicht in den Kopf
Nach Artikel 33 DSGVO müssen Sie eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde melden — nachzulesen im Wortlaut von Artikel 33 DSGVO zur Meldung von Verletzungen. Wer NIS2 unterliegt, hat zusätzlich eine 24-Stunden-Erstmeldung beim BSI, eine ausführlichere Meldung nach 72 Stunden und einen Abschlussbericht nach einem Monat.
Diese Fristen laufen ab dem Moment, in dem jemand im Unternehmen den Vorfall bemerkt — nicht ab dem Moment, in dem die Geschäftsführung aus dem Urlaub zurück ist. Deshalb gehören sie samt Ansprechpartner und Meldeportal in den Kommunikationsplan, mit Uhrzeit-Feld zum Eintragen.
BSI-Standard 200-4 und Business Continuity Management: warum KMU den Rahmen kürzen dürfen
Der offizielle deutsche Referenzrahmen für Notfallmanagement ist der BSI-Standard 200-4 zum Business Continuity Management. Er beschreibt ein vollständiges BCM-System mit Business-Impact-Analyse, Kritikalitätsstufen, Geschäftsfortführungs- und Wiederanlaufplänen. Sein erklärtes Ziel ist eine angemessene Reaktion auf Krisen und Notfälle — und er ist bewusst in Stufen aufgebaut, damit man nicht mit dem Maximalausbau anfangen muss.
Ehrlicherweise: Das BSI stellt zum Standard 200-4 kostenlose Hilfsmittel und Dokumentvorlagen bereit. Die sind gut, gründlich und kosten nichts. Sie sind allerdings für Institutionen gedacht, die ein BCM-System aufbauen — mit Rollenkonzept, Kennzahlen und Nachweisführung. Für einen Betrieb mit 40 Mitarbeitern und ohne eigene IT-Abteilung ist das der falsche Einstieg. Unsere Vorlage ist die pragmatische Kurzform derselben Logik: dieselben Bausteine, aber auf das reduziert, was eine Geschäftsführung an einem Nachmittag befüllen kann.
Nehmen Sie sich die vier Systeme vor, ohne die Sie morgen nicht arbeiten können — meist E-Mail, Warenwirtschaft, Dateiablage und Telefonie. Für diese vier klären Sie: Wer betreut sie, wie lange dürfen sie ausfallen, wie kommen sie zurück. Das ist ein brauchbarer Notfallplan. Alles Weitere bauen Sie im nächsten Jahr dazu.
Der häufigste Fehler beim Cyber-Angriff: Der Plan liegt auf dem Server, der gerade verschlüsselt ist
Das ist keine Spitzfindigkeit, sondern der Klassiker. Der Notfallplan wird als Word-Dokument geschrieben, als PDF exportiert und auf dem Fileserver oder in SharePoint abgelegt — also genau dort, wo bei einem Ransomware-Angriff nichts mehr erreichbar ist. Bei einem Angriff auf die Microsoft-365-Identitäten ist auch das Cloud-Laufwerk zu, weil sich niemand mehr anmelden kann.
Ein Notfallplan, den Sie im Ernstfall nicht aufschlagen können, existiert nicht. Drucken Sie ihn aus: ein Exemplar in den Serverraum, eines an den Empfang, eines mit nach Hause zur Geschäftsführung. Dazu eine Kopie auf einem USB-Stick oder in einem privaten Cloud-Konto, das nicht am Firmen-Login hängt. Und nach jeder Aktualisierung: neu drucken, alte Version vernichten.
Dasselbe gilt für den Passwort-Manager. Wenn die Zugangsdaten zum Backup-System in einem Tool liegen, das an der Firmen-Anmeldung hängt, haben Sie im Ernstfall ein Henne-Ei-Problem. Die Notfall-Zugänge gehören verschlossen und offline hinterlegt — im Safe, nicht im Systemordner. Wie sich das mit einer sauberen Backup-Strategie verzahnt, zeigt unser Leitfaden dazu, wie Sie Ihre Datensicherung testen.
Aus der Praxis: Woran es tatsächlich scheitert
Wenn wir zu einem Notfall gerufen werden, ist die Technik selten das Problem. Wiederherstellen können wir fast immer etwas. Was die Stunden frisst, sind drei banale Dinge — und alle drei stehen in keinem Lehrbuch.
Erstens: Niemand hat die Handynummer. Der IT-Dienstleister steht als Kontakt in Outlook. Outlook ist tot. Die Nummer steht auch im CRM — das liegt auf demselben Server. Also ruft jemand die Zentrale des Dienstleisters an, aber es ist 21 Uhr. Am Ende sucht ein Mitarbeiter im Privathandy nach einer alten WhatsApp-Nachricht. Das ist keine erfundene Szene, das ist ein Dienstagabend.
Zweitens: Niemand darf entscheiden. Die IT-Verantwortliche sieht, dass sich etwas quer durchs Netz frisst, und will die Server vom Netz nehmen. Nur: Das legt die komplette Produktion still. Der Geschäftsführer ist in Italien, das Handy im Flugmodus. Also wartet sie. Zwei Stunden später sind statt vier Servern zwölf verschlüsselt. In den meisten Notfallplänen steht nirgends, dass die IT-Leitung bei Verdacht auf aktive Verschlüsselung ohne Rückfrage abschalten darf. Genau dieser eine Satz spart die teuersten zwei Stunden.
Drittens: Der Plan wurde nie geübt. Er existiert, er ist ordentlich, er ist sogar ausgedruckt — aber niemand hat ihn je in die Hand genommen. Im Ernstfall stellt sich dann heraus, dass der genannte Ansprechpartner seit einem Jahr nicht mehr im Haus ist und die Rufnummer der Versicherung zu einer aufgelösten Abteilung führt.
Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Wie sich so ein Abend anfühlt, wenn niemand zuständig ist, beschreibt unsere Fallstudie IT-Notfall und kein Admin aus einem Architekturbüro. Und was nach dem eigentlichen Angriff kommt — Forensik, Kommunikation, Wiederaufbau —, sortiert unser Beitrag Beyond the Breach.
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage.
Einmal im Jahr durchspielen: die Tabletop-Übung hält den Plan stets aktuell
Eine Tabletop-Übung ist kein Feuerwehreinsatz, sondern eine Besprechung. Sie brauchen 90 Minuten, einen Konferenzraum, die Geschäftsführung, die IT-Verantwortlichen und jemanden aus dem operativen Geschäft. Kein System wird angefasst, es wird nur durchgesprochen.
- Szenario vorgeben. „Freitag, 16:30 Uhr. Die Buchhaltung meldet, dass sich keine Datei mehr öffnen lässt. Auf dem Bildschirm steht eine Lösegeldforderung." Mehr Vorgabe braucht es nicht.
- Reihum durchspielen. Jeder sagt, was er in den nächsten zehn Minuten tut — mit dem ausgedruckten Plan in der Hand. Wer nachschlagen muss, sagt laut, wo er nachschlägt.
- Lücken protokollieren. Jede Frage, die niemand beantworten kann, ist ein Fund. Erfahrungsgemäß kommen bei der ersten Übung zwischen fünf und zehn zusammen.
- Plan noch am selben Tag korrigieren. Nummern nachtragen, Befugnisse klären, Reihenfolge anpassen. Danach neu drucken und im Übungs-Log eintragen: Datum, Teilnehmer, Funde.
Die erste Übung ist immer die unangenehmste, weil sie am meisten findet. Ab der zweiten wird es Routine — und genau das ist gemeint, wenn vom laufenden IT-Notfallmanagement die Rede ist. Nach jeder Übung wird der Plan überprüft und aktualisiert; nur so bleiben Telefonnummern, Zuständigkeiten und Wiederanlauf-Reihenfolge stets aktuell. Genau daran erkennt man eine gepflegte IT-Notfallplanung: Die ersten Schritte laufen schnell und effizient, weil sie schon einmal geübt wurden. Wer den Rahmen breiter zieht als IT, findet den Zusammenhang in unserem Beitrag zu den fünf Säulen der Unternehmensresilienz.
Sie wissen nicht, wer bei Ihnen um 22 Uhr entscheiden darf?
15 Minuten, kostenlos, ohne Vertriebsdruck. Wir gehen Ihre vier kritischsten Systeme durch und sagen Ihnen, wo im Ernstfall die Lücke ist.
Erstgespräch buchen →Ihr nächster Schritt
Ein IT-Notfallplan ist kein Projekt, sondern ein Nachmittag. Kontaktliste befüllen, Befugnisse festlegen, vier Szenarien durchgehen, ausdrucken, einmal im Jahr üben. Das ist die ganze Arbeit — und sie unterscheidet zwei Stunden Ausfall von zwei Tagen. Beginnen Sie mit einem einfachen Notfallplan, der die Wiederaufnahme des Geschäftsbetriebs beschreibt. Die vollständige Cybersicherheit bauen Sie daneben auf, nicht darin.
Wenn Sie es allein angehen wollen, laden Sie sich die IT-Notfallplan-Vorlage 2026 herunter und arbeiten Sie sie von vorne nach hinten durch. Wenn Ihre interne IT den Plan schreiben soll, aber niemanden hat, der gegenliest: Genau dafür ist Co-Managed IT da. Und wenn Sie den ganzen Bereich abgeben wollen — Monitoring, Backup, Notfallplan und Wiederanlauf aus einer Hand —, startet unser Angebot für Managed IT Services bei rund 50 Euro pro Arbeitsplatz und Monat.
Wir betreuen Unternehmen mit 5 bis 150 Mitarbeitern in Hamburg und Norddeutschland. Wie wir dabei technisch absichern, zeigt unsere Übersicht zu Cybersecurity aus Hamburg, einen Überblick über unsere Arbeit vor Ort finden Sie beim IT-Systemhaus Hamburg. Lieber direkt sprechen? Über Kontakt erreichen Sie uns per Telefon oder E-Mail.
