In vielen Unternehmen steckt das Wissen über die IT in wenigen Köpfen. Fällt eine dieser Personen aus oder wechselt der Dienstleister, wird jede Störung zur Suche. Eine gepflegte IT-Dokumentation macht die IT übertragbar, beschleunigt die Fehlerbehebung und ist Voraussetzung dafür, im Notfall geordnet wiederanlaufen zu können.
Zudem wird sie bei Audits und im Rahmen von Sicherheitsanforderungen wie NIS2 zunehmend als Nachweis erwartet.
Wie IT-Dokumentation aufgebaut ist
Bewährt hat sich eine Gliederung in mehrere Bereiche:
- Bestand: Geräte, Server, Software, Lizenzen und Verträge, idealerweise direkt aus dem IT-Asset-Management.
- Netzwerk und Infrastruktur: Netzpläne, IP-Adressbereiche, VLANs, Firewall-Regeln und Internetanbindungen.
- Konfiguration und Abhängigkeiten: welche Dienste auf welchen Systemen laufen und wovon sie abhängen.
- Betriebshandbücher: wiederkehrende Abläufe wie Benutzeranlage, Updates oder die Prüfung von Backups.
- Notfalldokumentation: Wiederanlaufpläne, Kontaktlisten und Prioritäten, abgestimmt mit der Planung für Disaster Recovery.
Zugangsdaten gehören nicht im Klartext in die Dokumentation, sondern in einen Passwort-Manager, auf den die Dokumentation verweist.
Als Werkzeug kommen Wikis, spezialisierte Dokumentationsplattformen oder Module von ITSM-Lösungen infrage. Entscheidend ist weniger das Werkzeug als eine einheitliche Struktur, klare Zuständigkeiten und die Verknüpfung mit dem Ticketsystem, damit bei einer Störung die passenden Informationen direkt auffindbar sind.
Typische Beispiele
- Ein Server fällt aus, und die zuständige Technikerin findet Hersteller, Garantie, Konfiguration und Wiederherstellungsweg an einer Stelle.
- Beim Wechsel des IT-Dienstleisters erfolgt die Übergabe geordnet auf Basis der Dokumentation.
- Nach einem Cyberangriff ist die Notfalldokumentation auch offline verfügbar, obwohl die üblichen Systeme nicht erreichbar sind.
- Bei einem Audit lässt sich anhand der Dokumentation zeigen, wer auf welche Systeme zugreifen darf und wer das freigegeben hat.
Worauf Unternehmen achten sollten
- Dokumentation als Teil jeder Änderung behandeln, nicht als einmaliges Projekt.
- Was sich automatisch erfassen lässt, automatisch erfassen und nur das Wissen manuell pflegen, das kein System liefert.
- Notfallrelevante Teile zusätzlich außerhalb der eigenen Infrastruktur verfügbar halten.
- Den Zugriff auf die Dokumentation beschränken, da sie Angreifern einen Bauplan der IT liefert.
- Regelmäßig prüfen, ob die Dokumentation noch stimmt, etwa im Rahmen von Notfallübungen.