Vor­be­rei­tet für den Ernstfall: Das IT-Not­fall­hand­buch

Das all­ge­mei­ne Not­fall­ma­nage­ment be­zeich­net man im Fach­jar­gon auch als be­trieb­li­ches Kon­ti­nui­täts­ma­nage­ment – es soll alle Prozesse im Betrieb, auch in Aus­nah­me­si­tua­tio­nen, am Laufen halten. Dabei kann man die Prozesse grund­sätz­lich in drei Bereiche aufteilen:

• Not­fall­vor­sor­ge: Unter Not­fall­vor­sor­ge fallen alle Prä­ven­tiv­maß­nah­men, die der Ver­mei­dung von Kri­sen­si­tua­tio­nen dienen. Ziel kann im IT-Kontext z. B. sein, die Aus­fall­si­cher­heit zu erhöhen oder ein System robuster zu gestalten.
• Not­fall­be­wäl­ti­gung: Bei der Not­fall­be­wäl­ti­gung geht es um die schnelle Reaktion in Kri­sen­si­tua­tio­nen. Dazu gehört die Wie­der­her­stel­lung der Prozesse und Systeme, die wichtig für den Ge­schäfts­all­tag sind. Auch Aus­weich­pla­nung und Kri­sen­ma­nage­ment sind Teil davon.
• Tests und Übungen: Zum Notfall-Ma­nage­ment gehört auch die Planung und re­gel­mä­ßi­ge Durch­füh­rung von Tests und Übungen. Ziel ist, den Prozess kon­ti­nu­ier­lich zu ver­bes­sern und mögliche Schwach­stel­len zu iden­ti­fi­zie­ren. 

Das Bundesamt für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI) stellt Dokumente und Hil­fe­stel­lun­gen zum Thema Not­fall­ma­nage­ment zur Verfügung. Einen Leitfaden für un­ter­neh­mens­wei­tes Not­fall­ma­nage­ment findet man im BSI Standard 100-4. Dieser kann auf der Seite des BSI kostenlos als PDF her­un­ter­ge­la­den werden.

Zum oben genannten Not­fall­stan­dard 100-4 gibt es außerdem ein so­ge­nann­tes Um­set­zungs­rah­men­werk, kurz UMRA. Hier finden Un­ter­neh­men prak­ti­sche Hilfe in Form von Do­ku­men­ten und Vorlagen.

Unter anderem enthält die UMRA:

• Leit­li­ni­en zum Not­fall­ma­nage­ment
• Vor­sor­ge­kon­zep­te
• Ein Not­fall­hand­buch
• Ge­schäfts­fort­füh­rungs­plä­ne
• Wie­der­auf­nah­me­plä­ne
• Wie­der­her­stel­lungs­plä­ne
• Tipps für So­fort­maß­nah­men
• Übungs­an­lei­tun­gen 

Von einer be­gin­nen­den Di­gi­ta­li­sie­rung der Ar­beits­welt zu sprechen, wäre überholt, denn diese ist längst in vollem Gange. In Wirt­schaft und Industrie sind viele Ge­schäfts­mo­del­le und Prozesse aufs Internet aus­ge­la­gert worden: vom Be­wer­bungs­ma­nage­ment (E-Re­cruit­ment) bis hin zum digitalen Lo­gis­tik­zen­trum (E-Logistik). Deshalb sind viele Un­ter­neh­men stark abhängig von einer zu­ver­läs­si­gen IT-In­fra­struk­tur, und der Ausfall einer einzigen Kom­po­nen­te kann das komplette Geschäft lahmlegen. Das führt zu immensen Aus­fall­kos­ten – solange, bis das System wieder funk­tio­niert. Wer auf pro­fes­sio­nel­le Prä­ven­ti­on setzt und über ein IT-Not­fall­hand­buch verfügt, spart damit im Ernstfall wichtige Zeit und so bares Geld.

Grundlage für jeden Schritt einer IT-Disaster-Recovery (dt. Not­fall­wie­der­her­stel­lung) ist die Do­ku­men­ta­ti­on aller IT-Res­sour­cen. Die Do­ku­men­ta­ti­on selbst sollte sauber und lückenlos erfolgen und immer auf dem ak­tu­ells­ten Stand bleiben. Für das IT-Disaster-Ma­nage­ment spielen sowohl tech­ni­sche Daten als auch Nut­zer­lis­ten, Ver­ant­wort­lich­kei­ten und Kon­takt­da­ten eine wichtige Rolle.

Die Do­ku­men­ta­ti­on für ein IT-Not­fall­hand­buch enthält zum Beispiel In­for­ma­tio­nen über:

• Hardware und Pe­ri­phe­rie­ge­rä­te wie z. B. Drucker
• Software-An­wen­dun­gen
• IP-Adressen
• VPN- und Ser­ver­zu­gän­gen
• E-Mail/Exchange-Daten

Damit man in Not­fall­si­tua­tio­nen schnell den richtigen An­sprech­part­ner findet, sollten auch die wichtigen Kon­takt­in­for­ma­tio­nen Be­stand­teil der Do­ku­men­ta­ti­on sein. Dazu gehören unter anderem:

• User-Listen
• An­sprech­part­ner und Ver­ant­wort­li­che für einzelne Bereiche
• An­sprech­part­ner von externen Dienst­leis­tern
• Ver­trags­in­for­ma­tio­nen von Internet- bzw. Hosting-Dienst­leis­tern

Auf Basis der ge­samt­un­ter­neh­me­ri­schen Prozesse entsteht in enger Zu­sam­men­ar­beit mit dem Not­fall­ma­nage­ment­be­auf­trag­ten das IT-Not­fall­hand­buch. Im Grunde ist das IT-Not­fall­hand­buch ein Teil des Ge­samt­si­cher­heits­kon­zep­tes und ordnet sich in die be­stehen­den Richt­li­ni­en ein. Zu den Inhalten, die in jedem Fall Teil des IT-Not­fall­hand­buchs sein sollten, gehören unter anderem:

• Be­griffs­de­fi­ni­tio­nen (Was ist ein Notfall?)
• Per­so­nal­lis­ten mit Kon­takt­da­ten (s. o.)
• Alar­mie­rungs­plä­ne und Meldewege
• Be­schaf­fungs­pro­zes­se für den Notfall
• Maßnahmen zur Be­en­di­gung und an­schlie­ßen­den Do­ku­men­ta­ti­on des Notfalls
• Not­fall­vor­sor­ge­pla­nung
• Wie­der­her­stel­lungs­plä­ne für alle Anlagen 

Neben der oben genannten Do­ku­men­ta­ti­on gehören die Wie­der­her­stel­lungs­plä­ne für einzelne Kom­po­nen­ten zu den wich­tigs­ten Bereichen des Disaster-Recovery-Plans. Und meist erfordert ihre Er­stel­lung auch den größten Aufwand.

Als IT-Si­cher­heits-Ver­ant­wort­li­cher steht man ver­schie­de­nen Notfall-Szenarien gegenüber. Für diese Szenarien soll ein IT-Not­fall­hand­buch die passenden Lö­sungs­an­sät­ze und vor allem geeignete Wie­der­her­stel­lungs­plä­ne bieten. Eine genaue Ri­si­ko­ana­ly­se legt die kri­ti­schen Stellen offen und iden­ti­fi­ziert Bereiche, die stark gefährdet, aber für den Be­triebs­ab­lauf unbedingt notwendig sind.

Vor dem Verfassen der Wie­der­her­stel­lungs­plä­ne erfolgt vorab die:

• Analyse aller IT-Prozesse und-Verfahren
• Analyse der Hardware
• Prüfung aller Soft­ware­an­wen­dun­gen
• Abfrage aller re­le­van­ten Bewegungs- und Sys­tem­da­ten

Im Anschluss wird eine Schritt-für-Schritt-Anleitung für die möglichen Notfall-Szenarien erstellt und in das IT-Not­fall­hand­buch auf­ge­nom­men. Das Anlegen eines IT-Not­fall­hand­buchs, ins­be­son­de­re der Wie­der­her­stel­lungs­plä­ne, ist aufwendig und nur in enger Ab­stim­mung mit allen Un­ter­neh­mens­be­rei­chen möglich. Auch trotz der Mög­lich­keit, auf IT -Not­fall­hand­buch-Vorlagen und -Leitfäden zu­rück­grei­fen zu können, bleibt es stets ein zeit­in­ten­si­ver Prozess. Denn neben der Er­stel­lung des komplexen Leit­fa­dens gehören auch re­gel­mä­ßi­ge Ak­tua­li­sie­run­gen zur Vor­be­rei­tung auf even­tu­el­le Notfälle – ebenso wie Schu­lun­gen der Mit­ar­bei­ter. Un­ter­neh­mer sollten daher abwägen, ob es eventuell sinn­vol­ler ist, auf einen externen Dienst­leis­ter zu setzen, statt das IT-Disaster-Ma­nage­ment komplett durch das eigene Team zu or­ga­ni­sie­ren. 

Die Er­stel­lung eines IT-Not­fall­hand­buchs ist eine not­wen­di­ge und wertvolle Arbeit. Unter Umständen schützt sie Un­ter­neh­men von Verlusten in Höhe von vielen tausend Euro, wie eine Studie aus dem Jahr 2013 zeigt. Demnach benötigt die Wie­der­her­stel­lung nach einem IT-Sys­tem­aus­fall im Schnitt 3,8 Stunden, die Kosten pro Stunde liegen bei gut 25.000 Euro. Bei durch­schnitt­lich vier Ausfällen pro Jahr beläuft sich der Ge­samt­scha­den auf 380.000 Euro im Jahr. Durch die genauen Analyse und das Durch­spie­len ver­schie­de­ner Was-wäre-wenn-Szenarien können Schwach­stel­len iden­ti­fi­ziert und behoben werden. So bereitet man sich nicht nur auf den Notfall vor, sondern man erhöht gleich­zei­tig auch die Si­cher­heit des Systems. Die Aus­fall­si­cher­heit wird maximiert, während die Ein­tritts­wahr­schein­lich­keit der durch­ge­spiel­ten Szenarien minimiert wird.