Der Server läuft nicht mehr. Die Buchhaltungssoftware öffnet sich nicht. Kein Mitarbeiter kann auf seine Dateien zugreifen. Das Telefon klingelt — Kunden warten, Lieferanten fragen nach, und du stehst im Büro ohne IT-Notfallplan und weißt nicht, wen du zuerst anrufen sollst.
Genau in diesem Moment entscheidet sich, ob dein Unternehmen die nächsten 72 Stunden mit einem blauen Auge übersteht — oder ob der Schaden in den fünfstelligen Bereich läuft. Der Unterschied liegt fast immer daran, ob ein IT-Notfallplan das Unternehmen schützt — oder ob er fehlt.
Warum so viele KMU ohne Plan dastehen
Frag zehn Geschäftsführer im Rems-Murr-Kreis, ob sie einen dokumentierten IT-Notfallplan haben. Zwei werden „ja“ sagen. Von diesen zwei hat einer ein Dokument, das seit drei Jahren nicht mehr aktualisiert wurde. Das ist kein Vorwurf — es ist eine strukturelle Realität.
KMU kämpfen täglich mit Personalengpässen, Kundenprojekten und operativem Tagesgeschäft. Der IT-Notfallplan landet auf der Liste der Dinge, die man „irgendwann mal angehen will“, direkt hinter dem Energievertragsvergleich. Hinzu kommt ein trügerisches Sicherheitsgefühl: „Uns ist noch nie wirklich etwas passiert.“ Das stimmt oft sogar — bis zum ersten Mal.
Die häufigsten Gründe, warum der Plan fehlt — und was dahintersteckt:
- Kein klarer Verantwortlicher – IT liegt beim Chef selbst, beim „IT-affinen“ Mitarbeiter oder beim externen Dienstleister, der aber kein Mandat für Notfallplanung hat
- Unterschätzung der Eintrittswahrscheinlichkeit – „Wir sind zu klein, um interessant zu sein“ funktioniert bei Ransomware leider nicht
- Fehlende Vorlage – niemand weiß, wo man anfangen soll, also fängt man nicht an
- Kein Budget eingeplant – Notfallvorbereitung gilt als Kostenstelle, nicht als Investition in planbare IT
Was ein IT-Notfallplan wirklich enthält
Ein IT-Notfallplan ist kein 80-seitiges Handbuch, das nur die IT-Abteilung versteht. Für ein KMU mit 10 bis 100 Mitarbeitenden reicht ein strukturiertes, praxistaugliches Dokument — das im Ernstfall auch die Geschäftsführungsassistenz lesen und umsetzen kann. Die folgenden Bausteine sind das Minimum.
Wen du im Ernstfall erreichst – und wie
Die Notfallkontaktliste klingt trivial — bis man merkt, dass die Handynummer des IT-Dienstleisters nur auf dem verschlüsselten Laptop gespeichert ist, der gerade nicht bootet. Sie gehört auf Papier, in einen Ordner, zugänglich für alle, die im Ernstfall handeln müssen.
Rein müssen: IT-Dienstleister mit 24/7-Nummer, interne IT-Verantwortliche, Datenschutzbeauftragter, Versicherung (Cyber-Police), ggf. Anwalt für Datenschutzvorfälle, kritische Lieferanten und Schlüsselkunden — alles, was du im Stress nicht mehr googeln willst.
Welche Systeme zuerst wieder laufen müssen
Nicht alles ist gleich kritisch — und genau das muss der Plan klar benennen. ERP, CRM, E-Mail, Buchhaltung, Produktionssteuerung: Alles hat eine andere Priorität, und die meisten KMU haben das nie bewusst priorisiert.
Der Plan definiert, was zuerst wiederhergestellt wird und in welcher Reihenfolge. Das spart im Ernstfall Stunden — weil niemand mehr diskutieren muss, was jetzt Vorrang hat.
Ob dein Backup tatsächlich hält, was es verspricht
Zwei Kennzahlen, die jeder Geschäftsführer kennen sollte — und die die meisten nicht kennen: Der RPO (Recovery Point Objective) beschreibt, wie alt die Daten sein dürfen, die du im Ernstfall wiederherstellst. Der RTO (Recovery Time Objective) beschreibt, wie lange die Wiederherstellung dauern darf, bis der Betrieb wieder läuft.
Ohne diese Ziele hat ein Backup keine definierte Qualität — es gibt nur das vage Gefühl, „irgendwo gesichert“ zu sein. In der Praxis laufen Backups bei vielen KMU seit Wochen oder Monaten still fehl — ohne Fehlermeldung, ohne Benachrichtigung. Keiner merkt es, bis es zu spät ist.
Was in den ersten 30 Minuten zu tun ist
Ransomware, Hardwareausfall, Datenleck, Feuer im Serverraum — jedes Szenario braucht andere erste Schritte. Ein guter IT-Notfallplan enthält für die drei bis fünf wahrscheinlichsten Szenarien je eine kurze Handlungsabfolge: Was tun in den ersten 30 Minuten, wer informiert wen, und was darf auf keinen Fall passieren?
Diese Checklisten sind keine Bürokratie — sie verhindern, dass im Stress falsche Entscheidungen getroffen werden, die den Schaden erst richtig vergrößern.
Wer nach außen spricht – und was
Wer informiert die Mitarbeitenden? Wer spricht mit Kunden? Was wird nach außen kommuniziert — und was nicht? Gerade bei Datenschutzvorfällen gibt es gesetzliche Meldepflichten: Die 72-Stunden-Frist gegenüber der Datenschutzbehörde gilt auch für KMU und wird im Stress gerne vergessen.
Wer im Vorfeld definiert hat, wer die Kommunikation übernimmt, spart sich im Ernstfall eine Diskussion zur Unzeit — und schützt das Unternehmen vor übereilten Aussagen, die später nicht mehr rückgängig zu machen sind.
Wie du sicherstellst, dass der Plan morgen noch stimmt
Ein Notfallplan, der nie getestet wurde, ist ein Dokument — kein Plan. Mindestens einmal pro Jahr sollte ein simuliertes Szenario durchgespielt werden. Und nach jeder größeren Systemänderung muss der Plan aktualisiert werden — neuer Server, neues ERP, neuer IT-Dienstleister.
„Ein Notfallplan, den du nie gebraucht hast, war trotzdem keine Zeitverschwendung. Einer, den du nie erstellt hast, schon.“
Christian Markus, Gründer pirenjo.IT
Der Testdurchlauf muss kein mehrtägiges Großprojekt sein. Ein halber Nachmittag mit den relevanten Personen, ein simulierter Ransomware-Angriff auf dem Papier, und ihr wisst, wo die Lücken sind — bevor es der Zufall euch zeigt.
Checkliste: IT-Notfallplan Vorlage für KMU
Diese Vorlage kannst du direkt als Basis für deinen eigenen IT-Notfallplan nutzen. Nutze die Punkte als ersten Selbstcheck: Wenn du bei mehr als drei ins Stocken gerätst, ist das ein klares Signal — nicht für Panik, sondern für einen konkreten nächsten Schritt.
- Notfallkontaktliste existiert und ist offline verfügbar
- Kritische Systeme sind nach Priorität sortiert und dokumentiert
- RPO und RTO sind definiert und mit dem Backup-Konzept abgeglichen
- Für mindestens zwei Szenarien gibt es schriftliche Erstmaßnahmen
- Kommunikationsverantwortung ist klar geregelt
- Der Plan wurde innerhalb der letzten zwölf Monate getestet oder aktualisiert (ISO 27001 und BSI IT-Grundschutz fordern das explizit)
Lokale IT-Betreuung macht den Unterschied
Ein IT-Notfallplan entfaltet seinen vollen Wert, wenn er von jemandem begleitet wird, der deine Infrastruktur kennt — und im Ernstfall auch erreichbar ist. Ein lokaler IT-Dienstleister kann nicht nur beim Erstellen helfen, sondern auch Schwachstellen in Backup-Konzepten und Wiederherstellungsprozessen aufdecken, die von innen schwer zu sehen sind.
pirenjo.IT begleitet KMU im Raum Waiblingen und Stuttgart dabei, praxistaugliche IT-Notfallpläne zu erstellen — als fester Bestandteil unserer IT-Managed Services. Mit der IT-Flatrate PIT.360 sind Notfallplanung und laufende Betreuung planbar und ohne Überraschungsrechnung. Jetzt kostenloses Erstgespräch vereinbaren.
Häufige Fragen
Das absolute Minimum sind vier Dinge: eine offline verfügbare Notfallkontaktliste, eine priorisierte Liste der kritischen Systeme, definierte Erstmaßnahmen für die wahrscheinlichsten Szenarien und eine klare Regelung, wer intern und extern kommuniziert. Alles darüber hinaus ist sinnvoll – aber erst dann, wenn diese Grundlage steht und regelmäßig aktualisiert wird.
Mindestens einmal pro Jahr – und zusätzlich nach jeder größeren Änderung an der IT-Infrastruktur. Neues ERP-System, Wechsel des IT-Dienstleisters, Umzug in die Cloud: Jede dieser Veränderungen kann dazu führen, dass dokumentierte Abläufe nicht mehr stimmen. Ein veralteter Plan schafft im Ernstfall ein falsches Sicherheitsgefühl, das schlimmer ist als gar kein Plan.
Ja – die DSGVO macht bei der Meldepflicht gegenüber der zuständigen Datenschutzbehörde keinen Unterschied zwischen Großkonzern und Handwerksbetrieb. Wenn personenbezogene Daten von einem Sicherheitsvorfall betroffen sind, muss innerhalb von 72 Stunden gemeldet werden. Wer das nicht im Notfallplan verankert hat, merkt im Stress oft zu spät, dass die Frist bereits läuft.
Grundsätzlich lässt sich ein erster Plan mit vorhandenen Ressourcen erstellen – wenn jemand im Unternehmen die nötige Zeit und das technische Verständnis mitbringt. Die Erfahrung zeigt jedoch: Ohne externen Blick bleiben häufig genau die Lücken unentdeckt, die im Ernstfall am teuersten werden. Ein IT-Dienstleister, der die Infrastruktur kennt, kann den Plan nicht nur strukturieren, sondern auch auf Schwachstellen prüfen, die von innen schwer zu sehen sind. Backups und Notfallkontakte sind oft vorhanden – aber ob beides im Ernstfall tatsächlich funktioniert, ist eine andere Frage. pirenjo.IT unterstützt KMU in Waiblingen und im Raum Stuttgart dabei, aus einem ersten Entwurf einen wirklich belastbaren Plan zu machen.
Im Raum Stuttgart und Waiblingen gibt es verschiedene IT-Systemhäuser, die KMU bei der Erstellung und Pflege von IT-Notfallplänen unterstützen. Wichtig bei der Auswahl ist, dass der Dienstleister die eigene Infrastruktur kennt, erreichbar ist und Notfallpläne nicht nur erstellt, sondern auch regelmäßig testet. pirenjo.IT aus Waiblingen ist ein Anbieter, der sich auf genau dieses Thema für kleine und mittlere Unternehmen in der Region spezialisiert hat.
