IT-Betriebshandbuch: Vorlage für die IT-Dokumentation im Unternehmen

Das BSI verlangt, dass administrative Tätigkeiten nachweisbar sind, also festgehalten wird, was geändert wurde, wer es getan hat und wann (OPS.1.1.2.A5), dass für jede Administrationsaufgabe eine Vertretung mit den nötigen Kenntnissen und Rechten benannt ist (OPS.1.1.2.A2) und dass Patches und Änderungen geplant, genehmigt und dokumentiert werden (OPS.1.1.3.A1). Für die Datensicherung sind je System Pläne mit Umfang, Wiederherstellungsreihenfolge, Aufbewahrung und Schutz zu erstellen (CON.3.A4). Das Betriebshandbuch bündelt diese Angaben für den Alltag; das Notfallhandbuch nach DER.4.A1 enthält Rollen, Sofortmaßnahmen, Alarmierung und Wiederanlaufpläne für den Ernstfall.

Die Bausteine stammen aus dem IT-Grundschutz-Kompendium, Edition 2023. Das BSI löst das Kompendium durch Grundschutz++ ab; die Methodik soll laut Meilensteinplan am 27.10.2026 veröffentlicht werden. Die hier genutzten Anforderungen an Dokumentation und Nachweis bleiben inhaltlich sinnvoll.

Erfassen Sie die Bestandteile nach der Strukturanalyse des BSI-Standards 200-2: Geschäftsprozesse und Anwendungen, IT-Systeme, Räume und Kommunikationsnetze (Kap. 8.1). Ein Netzplan zeigt mindestens IT-Systeme wie Clients, Server, Switches, Router, WLAN-Zugangspunkte und Netzdrucker, die Netzverbindungen zwischen ihnen und die Verbindungen nach außen, etwa Internetanbindungen (Kap. 8.1.4). Halten Sie ihn elektronisch und gleichen Sie ihn mit der tatsächlichen IT ab. Ein ausführliches Inventar kann getrennt geführt werden; hier genügt, was der Betrieb braucht.

• Keine Passwörter in dieses Handbuch schreiben. Laut BSI darf ein Passwort nur für eine Hinterlegung für den Notfall schriftlich festgehalten und muss dann sicher aufbewahrt werden; die Nutzung eines Passwortmanagers soll geprüft werden (ORP.4.A8).
• Rollen ausschließlich für die Administration vergeben, nach tatsächlichem Bedarf und mit den geringsten nötigen Rechten (OPS.1.1.2.A21).
• Jede Person administriert mit eigener Kennung; Anmeldungen mit Administrationskennungen werden protokolliert (OPS.1.1.2.A5).
• Endet die Administrationsaufgabe einer Person, werden ihre Rechte entzogen, persönliche Administrationskonten gesperrt und ihr bekannte Passwörter geändert (OPS.1.1.2.A4).

Das BSI nennt als Mindestinhalt der Dokumentation, welche Änderungen wann von wem aus welchem Anlass erfolgten und ob und warum von vorgegebenen Standards oder Konfigurationen abgewichen wurde (OPS.1.1.2.A11). Größere Änderungen werden vorab geplant und genehmigt, mit Rückfalllösung (OPS.1.1.3.A1).

Empfehlung von TOMORIS: Halten Sie zu jedem Vertrag fest, ob ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht, und tragen Sie Kündigungsfristen in einen Kalender ein. Preise gehören in die Vertragsablage, nicht in das Handbuch.

• Verweis auf das Notfallhandbuch mit Rollen, Sofortmaßnahmen, Alarmierung und Wiederanlaufplänen (DER.4.A1)
• Reihenfolge, in der Systeme und Anwendungen wiederhergestellt werden, abgestimmt mit den Datensicherungsplänen (CON.3.A4)
• Ersatz für zentrale Administrationswerkzeuge, etwa ein Sprungsystem oder direkter Zugang zu den Systemen (OPS.1.1.2.A27)
• Für jede Administrationstätigkeit sichergestellt, dass sie bei Bedarf auch im Notfall ausgeführt werden kann (OPS.1.1.2.A7)
• Notfallzugang hinterlegt und sicher aufbewahrt, Ort im Teil 3 vermerkt (ORP.4.A8)
• Handbuch auch im Notfall zugänglich, etwa als aktueller Ausdruck oder auf einem getrennten Speicher (vgl. DER.4.A1 für das Notfallhandbuch)

1. 1

   Bei jeder Änderung nachtragen

   Neue Systeme, Dienstleister, Rollen oder Abläufe werden im selben Arbeitsschritt im Handbuch erfasst, nicht später.

2. 2

   Regelmäßig prüfen

   Mindestens einmal jährlich und nach größeren Umbauten vollständig durchgehen; Regelungen für Administrationstätigkeiten sollen regelmäßig und anlassbezogen aktualisiert werden (OPS.1.1.2.A7).

3. 3

   Versionieren und freigeben

   Versionsnummer, Datum und Freigabe im Teil 1; ältere Fassungen aufbewahren, um Änderungen nachvollziehen zu können.

4. 4

   Zugriff regeln

   Das Handbuch enthält sensible Informationen über Ihre IT. Lesezugriff nur für die Personen, die es brauchen; offline Kopie sicher verwahren.