DAS WICHTIGSTE ZUERST
Kurz gefasst.
- Benennen Sie für jede kritische Aufgabe eine verantwortliche Person und eine Vertretung.
- Der Plan und die Kontaktliste müssen auch ohne die normale Firmen-IT erreichbar sein.
- Üben Sie Entscheidungen und Kommunikationswege. Ein ungelesenes Dokument ist keine Einsatzbereitschaft.
Ein Plan soll Unsicherheit verringern, nicht jeden Fall vorhersagen.
Ein Incident-Response-Plan beschreibt, wie Ihr Unternehmen einen vermuteten oder bestätigten IT-Sicherheitsvorfall organisatorisch bearbeitet. Er verbindet Meldung, Bewertung, Entscheidungen, Kommunikation und die abgestimmte Rückkehr in den Betrieb.
Im Mittelstand ist ein kurzer, gepflegter Kernplan oft ein sinnvoller Einstieg. Detaillierte technische Verfahren können getrennt bei den zuständigen Fachkräften liegen. Der Kernplan muss auch für Geschäftsführung und Vertretungen verständlich sein.
Beschreiben Sie zunächst, wann der Plan aktiviert wird. Das können etwa der Ausfall wichtiger Geschäftsprozesse, Hinweise auf unberechtigten Zugriff oder ein ungeklärter Verlust vertraulicher Daten sein. Eine Meldung braucht noch keinen vollständigen Beweis; ihre Bewertung braucht einen klaren Verantwortlichen.
Die CISA empfiehlt im #StopRansomware Guide, Incident-Response- und Kommunikationspläne vorzubereiten und zu üben. Wie Notfallmanagement mit wichtigen Geschäftsprozessen zusammenhängt, vertieft der BSI-Standard 200-4.
Sechs Aufgaben, die klar zugeordnet sein müssen.
Ein kleines Unternehmen braucht nicht zwingend sechs verschiedene Personen. Es braucht aber für jede Aufgabe eine eindeutige Zuordnung, eine Vertretung und bekannte Entscheidungsgrenzen. Halten Sie Mehrfachrollen und mögliche Engpässe bewusst fest.
| Aufgabe | Was vorab feststeht |
|---|---|
| Vorfallkoordination | Führt das gemeinsame Lagebild, organisiert Abstimmungen und verfolgt beschlossene Aufgaben. |
| Technische Leitung | Bewertet die technische Lage und stimmt fachliche Maßnahmen mit interner IT und Spezialisten ab. |
| Geschäftsführung | Entscheidet über geschäftliche Prioritäten, Ressourcen, wesentliche Einschränkungen und akzeptierte Risiken. |
| Kommunikation | Koordiniert freigegebene Informationen für Mitarbeitende, Kunden und weitere Ansprechpartner. |
| Datenschutz & Recht | Prüft mit zuständigen Fachleuten mögliche gesetzliche, vertragliche und versicherungsbezogene Anforderungen. |
| Dokumentation | Erfasst bestätigte Fakten, offene Fragen, Entscheidungen, Zeiten und Zuständigkeiten nachvollziehbar. |
Ergänzen Sie externe Ansprechpartner: IT-Dienstleister, Incident Response, gegebenenfalls IT-Forensik, Rechtsberatung und Versicherung. Prüfen Sie die tatsächlichen Erreichbarkeiten und Leistungsvereinbarungen. Ein gespeicherter Kontakt ist noch keine zugesagte Reaktionszeit.
Vorlage: das erste Notfallblatt.
Übernehmen Sie die folgenden Felder in ein internes Dokument. Tragen Sie reale Namen und geprüfte Kontaktdaten ein. Das Blatt ist die Einstiegsseite Ihres Plans, nicht dessen vollständiger Ersatz.
- Gültigkeit
- Unternehmen, betroffene Standorte, Version, verantwortliche Person und nächster Prüftermin
- Aktivierung
- Welche Beobachtungen lösen eine Meldung aus? Wer bewertet und aktiviert den Plan?
- Kontakte
- Koordination, IT, Geschäftsführung und externe Unterstützung – jeweils mit Vertretung
- Ersatzkommunikation
- Freigegebener Kontaktweg und Treffpunkt, wenn Firmen-E-Mail oder Telefonanlage nicht nutzbar sind
- Entscheidungen
- Wer darf Leistungen beauftragen, geschäftliche Einschränkungen freigeben und extern informieren?
- Lageprotokoll
- Geschützter Ablageort, Protokollverantwortung und abgestimmter Informationsrhythmus
- Wichtige Unterlagen
- Wo liegen Verträge, Systemübersicht, Wiederanlaufplan und Kontaktliste auch offline erreichbar?
Verteilen Sie die aktuelle Fassung gezielt an Beteiligte. Testen Sie den Zugriff auch für Vertretungen. Passwörter oder Wiederherstellungsschlüssel gehören nicht offen auf das Notfallblatt; dokumentieren Sie stattdessen den dafür vorgesehenen sicheren Zugangsprozess.
Gute Kommunikation beginnt mit einem gemeinsamen Lagebild.
Vereinbaren Sie, welche Informationen regelmäßig zusammengeführt werden. Trennen Sie beobachtete Tatsachen von Vermutungen und kennzeichnen Sie, was noch nicht geprüft ist. So vermeiden Sie, dass unterschiedliche Stellen widersprüchliche Aussagen weitergeben.
- Beobachtung: Was wurde wann festgestellt und von wem gemeldet?
- Geschäftsauswirkung: Welche Abläufe sind betroffen, eingeschränkt oder noch unklar?
- Entscheidungen: Was wurde von wem beschlossen, mit welcher Begründung?
- Nächste Aufgaben: Wer prüft welche Frage bis zur nächsten Abstimmung?
- Freigabe: Welche Aussage darf an welchen Empfängerkreis weitergegeben werden?
Bereiten Sie Kommunikationsvorlagen vor, die keine ungesicherten Zusagen enthalten. Eine belastbare Zwischenmeldung kann benennen, dass ein Problem untersucht wird, welche Abläufe betroffen sind, welche Kontaktmöglichkeit besteht und wann die nächste Information geplant ist.
Ob, an wen und innerhalb welcher Frist ein Vorfall gemeldet werden muss, hängt vom konkreten Fall, anwendbaren Vorschriften und Verträgen ab. Lassen Sie diese Prüfung durch die zuständigen Datenschutz- und Rechtsverantwortlichen durchführen. Dieser Leitfaden legt dafür keine pauschalen Meldefristen fest.
Ein Tischgespräch zeigt, ob der Plan funktioniert.
Eine erste Übung kann ohne Eingriff in Systeme stattfinden. Nehmen Sie ein fiktives organisatorisches Szenario: Die Auftragsbearbeitung ist am Montagmorgen nicht verfügbar und die Ursache unklar. Besprechen Sie, welche Informationen Sie benötigen und wie die Zusammenarbeit ablaufen würde.
Mit dem vorhandenen Plan beginnen
Können alle Beteiligten ihre aktuelle Rolle, Vertretung und Kontaktwege finden? Was passiert, wenn eine Schlüsselperson nicht erreichbar ist?
Entscheidungen durchspielen
Wer priorisiert betroffene Abläufe? Wer kann externe Hilfe beauftragen? Welche Informationen brauchen Fachbereiche und Geschäftsführung?
Kommunikationsausfall mitdenken
Funktioniert die Abstimmung, wenn der normale Firmenchat oder die E-Mail ausfällt? Ist der alternative Kanal vereinbart und für die Beteiligten zugänglich?
Erkenntnisse in Aufgaben übersetzen
Notieren Sie fehlende Kontakte, unklare Befugnisse und nicht auffindbare Unterlagen. Benennen Sie Verantwortliche und Termine, überarbeiten Sie den Plan und prüfen Sie offene Punkte erneut.
Die CISA beschreibt mit ihren Tabletop Exercise Packages diesen diskussionsbasierten Übungsansatz. Eine solche Besprechung ersetzt keine technischen Tests, macht aber organisatorische Lücken sichtbar. Für den Wiederanlauf ergänzt unser Leitfaden zu Backup und Wiederherstellung die Vorbereitung.
Bei einem akuten Vorfall ist Abstimmung wichtiger als Aktionismus.
Dieser Beitrag dient der Vorbereitung, nicht der technischen Bearbeitung eines laufenden Angriffs. Nutzen Sie Ihre vereinbarten Notfallkontakte und ziehen Sie qualifizierte Unterstützung hinzu. Stimmen Sie technische Eingriffe, Wiederherstellung und die Sicherung relevanter Informationen mit den zuständigen Fachkräften ab.
Veröffentlichen Sie keine internen Protokolle oder Zugangsdaten und schicken Sie vertrauliche Unterlagen nicht unaufgefordert über allgemeine Kontaktformulare. Für einen Erstkontakt genügen eine knappe Beschreibung der beobachteten Situation, der Geschäftsauswirkungen und ein erreichbarer Ansprechpartner.
Unser IT-Notdienst mit Incident Response beschreibt den direkten Kontaktweg und Ablauf. Wenn die nachvollziehbare Untersuchung und Dokumentation eines Vorfalls im Vordergrund steht, finden Sie Informationen unter IT-Forensik.
AUF IHRE SITUATION ÜBERTRAGEN
Welche Unterstützung passt zum nächsten Schritt?
Nicht jede Ausgangslage braucht denselben Auftrag. Diese Leistungen knüpfen an die Fragen aus dem Leitfaden an.
- SOC as a Service: Von der Meldung zur Eskalation
Wenn Warnmeldungen bereits entstehen, aber Bewertung und Übergabe an die zuständigen Personen noch nicht geregelt sind. - IT-Forensik: Ursache und Umfang eines Vorfalls untersuchen
Wenn neben der akuten Reaktion digitale Spuren und belastbare Erkenntnisse für weitere Entscheidungen benötigt werden. - NIS2-Beratung: Vorfallprozesse organisatorisch einbetten
Wenn Zuständigkeiten, interne Bewertungen und die Übergabe an befugte Meldestellen systematisch vorbereitet werden sollen.
QUELLEN & EINORDNUNG
Zum Vertiefen und Gegenprüfen.
Dieser Leitfaden ist eine redaktionelle Orientierung von LOCKVEIL. Die folgenden Primärquellen unterstützen die fachliche Einordnung; die Prüffragen und Beispiele sind unsere eigene Zusammenstellung.
- CISA: #StopRansomware Guide Prävention und organisatorische Vorbereitung, einschließlich Backups und Kommunikationsplanung (englisch).
- BSI-Standard 200-4: Business Continuity Management (PDF) Methodischer Rahmen für den Umgang mit Unterbrechungen wichtiger Geschäftsprozesse.
- CISA: Tabletop Exercise Packages – Überblick (PDF) Diskussionsbasierte Übungen zu Rollen, Informationsaustausch und Wiederanlauf (englisch).
Veröffentlicht und redaktionell eingeordnet am 5. September 2026. Empfehlungen müssen an Ihre Systeme, Verträge und Risiken angepasst werden. Dieser Beitrag ersetzt keine individuelle technische oder rechtliche Prüfung.