IT-Notfallhandbuch: Vorlage für Alarmierung, Sofortmaßnahmen und Wiederanlauf

Das BSI beschreibt im IT-Grundschutz-Baustein DER.4 ein Notfallhandbuch mit Informationen zu Rollen, Sofortmaßnahmen, Alarmierung und Eskalation sowie Kommunikations-, Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungsplänen. Es soll Zuständigkeiten und Befugnisse festhalten, auch im Notfall zugänglich sein und regelmäßig durch Tests und Übungen geprüft werden (DER.4.A1). Für den Einstieg eignet sich nach BSI-Standard 200-4 das Reaktiv-BCMS: zuerst die Bewältigungsorganisation aufbauen und ausgewählte zeitkritische Prozesse absichern. Bestehen gesetzliche Anforderungen wie das NISG 2026, empfiehlt das BSI den Einstieg mit Aufbau- oder Standard-BCMS (Kap. 2.6.1).

Für wesentliche und wichtige Einrichtungen ist das Pflicht: § 32 Abs. 4 lit. c NISG 2026 verlangt die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement; seit Oktober 2026 gilt für sie der Anhang der DVO (EU) 2024/2690 samt Nr. 4.1.2, soweit angemessen (§ 2 NISV 2026). Für alle anderen Unternehmen sind die Vorgaben von BSI und NIST Empfehlungen.

Mustertext: „Dieses Notfallhandbuch gilt für [Unternehmen] an den Standorten [Standorte] und umfasst die IT-Systeme und Dienste laut [Inventar]. Es wird angewendet, sobald ein Ereignis nach Abschnitt 04 als Notfall oder Krise eingestuft ist. Version [Nummer], freigegeben am [Datum] durch [Name, Funktion]; nächste Überprüfung am [Datum]; Ablage: [digital] und [auf Papier].“ Aufbau und Besetzung des Stabs gibt die Leitung frei (BSI-Standard 200-4, Kap. 5.1.6).

Strategische Entscheidungen bleiben bei der Geschäftsführung; dem Stab sollen Entscheidungs- und Finanzbefugnisse übertragen werden (Kap. 5.1.1), etwa: [Systeme abschalten, Dienstleister beauftragen, Ausgaben bis Betrag]. Eine Person kann mehrere Rollen übernehmen (Kap. 5.1.4); bei Externen im Stab Vertraulichkeit und Befugnisse regeln (Kap. 5.1.3).

1. 1

   Erkennen und melden

   An die Meldestelle, z. B. IT-Hotline [Nummer]: Zeitpunkt und Ort, meldende Person, Betroffene, mögliche Ursache, ergriffene Sofortmaßnahmen, Auswirkungen, Tatsachen getrennt von Vermutungen (BSI-Standard 200-4, Kap. 5.2.1).

2. 2

   Ersteinschätzung

   Die Meldestelle prüft mit einfachen Ja-Nein-Fragen (Abschnitt 04), ob ein Notfall droht. Im Zweifel gilt: lieber zu viel melden als zu wenig (Kap. 5.2.1).

3. 3

   Entscheidung

   Eine zentrale, geschulte und befugte Entscheidungsinstanz, oft die Stabsleitung, stuft ein und dokumentiert Begründung und Beteiligte; der Stab bestätigt oder stuft zurück (Kap. 5.2.2).

4. 4

   Stab alarmieren

   Kurz und präzise, mit Treffpunkt wie Stabsraum oder Telefonkonferenz; geregelt ist, wer wen über welche Kanäle alarmiert, auch außerhalb der Geschäftszeiten (Kap. 5.2.3).

Nicht nur per E-Mail alarmieren: Bei asynchronen Kanälen ist unklar, ob und wann die Nachricht ankommt; besser sind Anrufe auf Mobiltelefone oder Alarm-Apps (Kap. 5.2.1). Die Benachrichtigungswege während und außerhalb der Geschäftszeiten gehören dokumentiert (NIST SP 800-34, Abschnitt 4.2.2). Halten Sie Kanäle bereit, die ohne die eigene IT funktionieren (Kap. 5.2).

Im Ereignis sind damit zwei Fragen zu klären: Ist ein zeitkritischer Geschäftsprozess betroffen, und gibt es einen anwendbaren Plan? Leitfragen für die Meldestelle IT nach einem Beispiel des BSI (Kap. 5.2.1, Tabelle 10), anzupassen an Ihre Prozesse und so formuliert, dass sie auch ohne tiefe Fachkenntnis anwendbar sind. Mustertext: „Sobald eine Frage mit Ja beantwortet ist, sofort die Stabsleitung verständigen: [Name], Telefon [Nummer].“

• Gehört das betroffene System zur Sicherheitsinfrastruktur, etwa Virenschutz oder Firewall?
• Betrifft der Ausfall viele Benutzende oder den wesentlichen Geschäftsbetrieb?
• Besteht dringender Verdacht auf Manipulation von Daten oder Systemen, Datenabfluss, unerlaubte Ausübung von Rechten oder einen gezielten Angriff?
• Dauern die Auswirkungen voraussichtlich länger als [8] Stunden?
• Sind Kundschaft, Medien oder Aufsichtsbehörden betroffen?

Bezug zu NIS2: Für Einrichtungen in Sektoren außerhalb der DVO (EU) 2024/2690 gilt ein Cybersicherheitsvorfall nach § 5 Abs. 1 Z 9 NISV 2026 jedenfalls als erheblich, wenn er Krisenmanagement oder Notfallwiederherstellungspläne aktiviert hat (Erläuterungen zu § 5). Ruft eine solche Einrichtung wegen eines Cyberangriffs den Notfall aus, ist sofort die Meldung nach § 34 NISG 2026 zu prüfen. Für Anbieter verwalteter Dienste, Cloud- und Rechenzentrumsdienste und die übrigen DVO-Anbieter gelten stattdessen Art. 3 ff. DVO; dort fehlt dieses Kriterium, die Schwelle von 500 000 Euro oder 5 % des Jahresumsatzes steht aber gleich (Art. 3 Abs. 1 lit. a).

Sofortmaßnahmen dulden keinen Aufschub. Nach dem BSI-Standard 200-4 müssen sie im Notfallhandbuch dokumentiert sein und Regelungen zum Schutz von Leib und Leben enthalten, der Vorrang vor Sachwerten hat; empfohlen sind Checklisten (Kap. 5.3). Für alle Mitarbeitenden, zum Aushang, nach der IT-Notfallkarte des BSI:

• Ruhe bewahren und den IT-Notfall sofort melden: [IT-Notfallrufnummer].
• Angeben: wer meldet, welches System betroffen ist, wie Sie damit gearbeitet haben, was Sie beobachtet haben, wann es passiert ist und wo das System steht.
• Die weitere Arbeit am betroffenen System einstellen und Beobachtungen dokumentieren.
• Maßnahmen nur nach Anweisung einleiten.

Für IT-Verantwortliche und Dienstleister, eine Auswahl aus den TOP 12 Maßnahmen bei Cyber-Angriffen von BSI und Partnern; sie ist als Impuls gedacht, die Reihenfolge legen Sie selbst fest:

• Erste Bewertung: Cyberangriff oder technischer Defekt?
• Betroffene Systeme vom Netzwerk und vom Internet trennen, unautorisierte Zugriffe unterbinden.
• Datensicherungen stoppen und vor weiteren Einwirkungen schützen.
• Systemprotokolle, Logdateien, Notizen, Bildschirmfotos und Datenträger forensisch sichern.
• Ausmaß feststellen, alle angegriffenen Systeme identifizieren, zeitkritische Prozesse im Fokus behalten.
• Maßnahmen abstimmen, dokumentieren und allen Verantwortlichen mitteilen; nach Abstimmung Polizei und Behörden benachrichtigen.
• Zugänge betroffener Konten prüfen, etwa neue Passwörter und Zwei-Faktor-Authentisierung.

Empfehlung von TOMORIS: Halten Sie den Zeitpunkt der Kenntnisnahme sofort im Protokoll fest. Gesetzlich laufen ab ihm die Fristen nach § 34 Abs. 2 NISG 2026, nach Art. 33 Abs. 1 DSGVO ab dem Bekanntwerden der Datenschutzverletzung.

Bei NIST SP 800-34 ist die RTO die längste Zeit, die eine Systemressource ausfallen darf, bevor unannehmbare Folgen für andere Ressourcen, die unterstützten Prozesse und die tolerierbare Ausfallzeit (MTD) eintreten (Abschnitt 3.2.1). Legen Sie fest, ab wann Sie die RTO rechnen.

Die Reihenfolge richtet sich nach den Abhängigkeiten; die gesamte Wiederanlaufzeit samt abhängigen Ressourcen darf die RTO nicht überschreiten. Im Aufbau- und Standard-BCMS gehört zu jeder zeitkritischen Ressource ein Wiederanlaufplan, so konkret, dass eine fachkundige dritte Person ihn ausführen kann: Geltungsbereich, Zweck und Aktivierung; Rollen und Vertretungen mit aktuellen Kontaktdaten; benötigte Ressourcen mit RTO und Dokumentationen; Voraussetzungen wie Berechtigungen und Dienstleister; die Schritte mit Rolle und üblicher Dauer; ein Funktionstest und die Übergabe in den Notbetrieb (Kap. 12 und 12.2).

Vor dem Einspielen: Sicherungen auf Kompromittierungsindikatoren und Beschädigung prüfen, wiederhergestellte Systeme vor der produktiven Nutzung erneut prüfen und die Ursache beheben (NIST SP 800-61r3, RC.RP-03 und RC.RP-05). Wie Sicherungen im Ernstfall zurückkommen, zeigt die Backup-Checkliste 3-2-1-1-0 auf tomoris.com/downloads.

Legen Sie vorab fest, was Mitarbeitende wann erfahren, was sie gegenüber Presse und in sozialen Medien sagen dürfen, was die Rolle Kommunikation veröffentlicht, wie der Kontakt zu Polizei und Behörden läuft und welche Meldepflichten bestehen (BSI-Standard 200-4, Kap. 5.7.1). Mitarbeitende sollen Informationen spätestens gleichzeitig mit der Öffentlichkeit erhalten (Kap. 5.7.2); für Presseanfragen benennen Sie eine Sprecherin oder einen Sprecher samt Vertretung (Kap. 5.7.3).

Meldepflichten laufen parallel: Wesentliche und wichtige Einrichtungen melden erhebliche Cybersicherheitsvorfälle dem zuständigen CSIRT, mit Frühwarnung binnen 24 und Meldung binnen 72 Stunden (§ 34 Abs. 2 NISG 2026). Datenschutzverletzungen meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, außer sie führen voraussichtlich zu keinem Risiko (Art. 33 Abs. 1 DSGVO); einen Vorschlag für 96 Stunden (COM(2025) 837) hat die EU noch nicht beschlossen (Stand 25.10.2026). Details: Leitfaden NIS2-Meldepflichten auf tomoris.com/downloads.

Der Stab protokolliert alle wesentlichen Aktivitäten und Entscheidungen mit Grundlage, Beteiligten, Zeit und Status, Fakten getrennt von Gerüchten (BSI-Standard 200-4, Kap. 5.4). NIS2-Einrichtungen protokollieren die Reaktion und sammeln Nachweise (Anhang Nr. 3.5.4 DVO (EU) 2024/2690); Datenschutzverletzungen sind stets zu dokumentieren (Art. 33 Abs. 5 DSGVO).

• Notfall beenden: offiziell, nach festgelegten Kriterien, über dieselben Kanäle wie beim Ausrufen (Kap. 5.8); danach Rückstände abarbeiten, Daten nachtragen, auf Hauptsysteme zurückschwenken (Kap. 2.3).
• Auswerten: jeden Vorfall zeitnah und mit Abstand analysieren (Kap. 5.9); ein Abschlussbericht hält Vorfall, Maßnahmen und Lehren fest (NIST SP 800-61r3, RC.RP-06).

Ob Pläne funktionieren, zeigen erst Übungen und Tests (BSI-Standard 200-4, Kap. 12.3). Im Reaktiv-BCMS verlangt der Standard regelmäßige Stabs- und Alarmierungsübungen und empfiehlt Planbesprechungen und Funktionstests (Kap. 13.1); die Jahresübungsplanung soll mindestens zwölf Monate umfassen (Kap. 13.3). Wer eine Rolle im Notfallplan hat, soll mindestens jährlich geschult werden (NIST SP 800-34, Abschnitt 3.5.2).

Das Handbuch wird regelmäßig geprüft (DER.4.A1), Kontaktdaten öfter als der Rest, und veraltete Fassungen werden an allen Ablageorten ersetzt (BSI-Standard 200-4, Kap. 4.4.3; NIST SP 800-34, Abschnitt 3.6). Kontaktlisten enthalten personenbezogene Daten und sind zu schützen (NIST SP 800-34, Vorlage in Anhang A.1).

Die Häufigkeiten sind Beispiele des BSI, keine gesetzliche Vorgabe. NIS2-Einrichtungen testen und überprüfen den Notfallplan in geplanten Zeitabständen sowie nach erheblichen Vorfällen oder wesentlichen Änderungen und lassen die Lehren einfließen (Anhang Nr. 4.1.4 DVO (EU) 2024/2690, § 2 NISV 2026). Empfehlung von TOMORIS: Kontaktlisten vierteljährlich prüfen, das ganze Handbuch mindestens einmal im Jahr, und ein aktuelles Exemplar auf Papier außerhalb der eigenen IT aufbewahren.