Ähnlich sieht es bei der IT-Sicherheit aus. Ein System kann noch so gut geschützt sein, es ist dennoch sinnvoll einen Plan für den Notfall zu haben. Einen Fallschirm, falls das gut gewartete Flugzeug abstürzt. In vielen Lebenslagen ist ein Plan B absolut selbsterklärend und so sollte es auch in der IT sein. Deshalb beschäftigen wir uns heute mit dem Notfallplan.
Was ist ein Notfall in der IT?
Notfälle in der IT sind zunächst Sicherheitsvorfälle. Diese werden meist ausgelöst durch Cyberangriffe sowie Systemausfälle und Datenverlust. Dies sind meist die größten Risiken denen Unternehmen ausgesetzt sind. Viele der größten Notfälle, die einen Notfallplan bedürfen, werden nicht durch einen externen Akteur ausgelöst, sondern passieren intern. Fehlern von Mitarbeitern oder veraltete Hardware können schnell zu größeren Problemen führen. Aber auch neue Hardware kann Fehler haben. Hinzu kommen externe Ereignisse wie Naturkatastrophen, Stromausfälle und Brände. Auch in solchen Fällen kann es schnell passieren, dass die IT nicht mehr richtig funktioniert. Schlussendlich hat man es nie ganz in der Hand, ob es nicht morgen einen Notfall gibt. Aus diesem Grund ist ein Notfallplan sinnvoll.
Warum ist ein Notfallplan so wichtig?
Der wichtigste Faktor bei einem Notfall ist immer Zeit. Je länger ein Unternehmen still steht, desto teurer wird es. Produktionsausfälle führen zu stockenden Lieferungen und unzufriedenen Kunden. Hinzu kommt, dass durch die Verzögerungen ein Stau ersteht und neue Bestellungen nicht angenommen werden können, wenn alte noch abgearbeitet werden müssen. Das Ergebnis sind weniger Einnahmen. Hinzu kommt, dass der Regelbetrieb dennoch das gleiche Geld kostet wie ohne einen Ausfall. Ihre Mitarbeiter können nicht mehr arbeiten, aber bekommen dennoch ihr Gehalt. Es gilt so schnell wie möglich das Unternehmen wieder handlungsfähig zu machen.
Bei einer Firma mit Produktion ist dies offensichtlich, aber auch bei Unternehmen die ihren Verdienst mit Dienstleistungen machen, ändert das nichts an der Notwendigkeit schnellstmöglich wieder handlungsfähig zu werden. Das Kapital in solchen Unternehmen liegt im Kundenkontakt und auf diese Daten müssen die Mitarbeitenden zugreifen können. Wenn die IT-Systeme ausfallen, dann gibt es für diese Mitarbeitenden oft keine Möglichkeit weiterzuarbeiten und das System steht still.
Zeit spielt aber noch eine andere Rolle. Es geht nicht nur darum schnell wieder arbeiten zu können, sondern vor allem im Bereich IT-Sicherheit sollte schnell gehandelt werden. Beispielsweise damit sich Malware nicht von einem PC auf alle anderen Systeme ausbreitet. Ein Notfallplan kann auch regeln wie mit einem Angriff umgegangen wird, bevor dieser das ganze Netzwerk infiltriert. Dadurch lässt sich vielleicht das Schlimmste verhindern und der Reputationsverlust ist deutlich geringer.
Hinzu kommen gesetzliche Anforderungen. Ist ein Unternehmen beispielsweise NIS-2-pflichtet, müssen auch die Meldungen an das Bundesministerium für Informationssicherheit (BSI) bedacht werden. Bei zu späten Meldungen drohen Sanktionen. Ein Notfallplan, in dem klar definiert wird, wer eine Meldung abgeben muss und wann, verhindert dies.
Was sind wichtige Bestandteile eines Notfallplans?
Um einen sinnvollen Notfallplan zu erstellen, ist es gut diesen mit der IT-Abteilung und eventuell einer externen Person abzusprechen. Nur dann kann er auf das Unternehmen perfekt angewendet werden und leistet das, was er sollte. Wir stellen ihnen die wichtigsten Bestandteile vor:
Risikoanalyse und Definition kritischer Systeme
Vor dem eigentlichen Notfallplan steht eine Risikoanalyse und damit verbunden ein Plan, was bedacht werden muss, im Falle eines Notfalls. Welche Bereiche sind besonders anfällig und müssen geschützt werden? Welche Bereiche benötigen welche Systeme um arbeiten zu können? Erst auf Basis einer guten Struktur und Dokumentation kann der eigentliche Notfallplan erstellt werden.
Rollen und Verantwortlichkeiten
Im Notfallplan muss klar definiert sein, welche Person in einem Krisenszenario, welche Rolle übernimmt. Wer wird informiert, wer meldet Sicherheitsvorfälle an das BSI? Wer bearbeitet die Meldungen durch Mitarbeitende? Wer kümmert sich um die Wiederherstellung?
Diese und andere Fragen sollten geklärt werden.
Kommunikationskanäle
Im Notfallplan sollte klar geregelt sein, welche Kommunikationskanäle genutzt werden. Auf welchem Weg erreicht man die Verantwortlichen? Dieser Punkt ist eng verknüpft mit dem vorherigen. Darüber hinaus sollte geregelt werden, welche Kunden und Partner informiert werden müssen. Dies ist vor allem bei Datenschutzvorfällen essentiell.
Maßnahmenkatalog
Je nach Vorfall sollten dann konkrete Handlungsanweisungen hinterlegt werden. Beispielsweise für die Isolierung von betroffenen Systemen und der Sperrung von kompromittierten Benutzerkonten. Sollte es notwendig sein, muss auch die forensische Sicherung von Beweisdaten geregelt werden.
Backup- und Wiederherstellungsstrategie
Der wichtigste Hebel im Notfallplan ist die Backup- und Wiederherstellungsstrategie. Hier sollte genauestens protokolliert werden, wie Backups wieder eingespielt werden und vor allem wie gewährleistet wird, dass diese nicht direkt wieder kompromittiert werden.
Man sollte darauf achten, dass der Notfallplan auch analog verfügbar ist und wichtige Inhalte auch mit den Mitarbeitenden geteilt werden. Diese sollten wissen, welche Ansprechpartner sie haben.
Sollte man den Notfallplan testen?
Ein Notfallplan sollte komplett durchgespielt werden, damit die jeweiligen Akteure am Ende ihre Rolle wissen und in einem Notfall schnell agieren können. Dazu sollte man nach dem Erstellen eine Übung durchführen und danach am besten in regelmäßigen Abständen alle 1-2 Jahre. Zusätzlich sollte der Notfallplan auch mindestens einmal im Jahr geprüft werden, ob der Notfallplan noch aktuell ist. Wurden etwaige Personaländerungen erfasst? Gibt es neue Büros oder Produktionsstätten, die Eingang finden müssen? Ist das Backup-System noch so, wie es bei der Erstellung war?
Zusätzlich kann man Cyberangriffe simulieren oder Krisenkommunikationsübungen durchführen. Unabhängig vom Notfallplan raten wir auch dazu Backups regelmäßig zu prüfen, damit diese im Ernstfall funktionieren.
Fazit
Ein IT-Notfallplan sollte in jedem Unternehmen eingeführt werden. Man kann nie wissen, wann es zu einem Notfall kommt und so ist die Firma im Ernstfall vorbereitet. Dadurch kann schnell auf Krisen reagiert werden und die Handlungsfähigkeit schneller wieder hergestellt werden. Das wiederum minimiert Schäden finanzieller Natur und Reputationsverlust.
Wenn sie nicht wissen, wie man einen Notfallplan sinnvoll erstellt, kommen Sie gern auf uns zu. Wir beraten Unternehmen seit über 20 Jahren erfolgreich im Bereich IT-Sicherheit und unterstützen auch Sie sehr gern dabei.