Cyberangriff und IT-Ausfall: Wie Ihr Unternehmen handlungsfähig bleibt

Montagmorgen: Die Anmeldung funktioniert nicht, die Auftragsverwaltung ist unerreichbar und auch die gewohnte Kommunikation fällt aus. Ob dahinter ein Cyberangriff, ein defektes System oder eine Fehlkonfiguration steckt, ist zunächst offen. Für die Geschäftsführung zählt zuerst: Was können wir noch leisten, wer entscheidet und wie kommen wir kontrolliert zurück?

IT-Notfallvorsorge verbindet technische Schutzmaßnahmen mit einem geübten Betriebsablauf. Dieser Beitrag zeigt, wie kleine und mittlere Unternehmen einen sinnvollen Einstieg finden. Es geht um konkrete Handlungsfähigkeit statt um die Zusage, dass niemals etwas passieren wird.

Was die Krankenhaus-Krisensimulation tatsächlich zeigt

Fraunhofer SIT beschreibt in seinen Krankenhaus-Krisensimulationen Probleme wie schwer erreichbare Notfallpläne, unklare Zuständigkeiten und unzureichende Ersatzabläufe. Das sind Erkenntnisse aus Übungen; daraus lässt sich weder ein konkreter Angriff noch eine pauschal fehlende Sicherheit großer Unternehmen ableiten. Quelle: Fraunhofer SIT.

Für ein kleineres Unternehmen ist der übertragbare Gedanke die Abhängigkeit vom Alltagssystem: Wenn der einzige Telefonplan auf dem ausgefallenen Laufwerk liegt, hilft seine Vollständigkeit wenig. Ein Handwerksbetrieb, eine Kanzlei und eine Klinik unterscheiden sich erheblich in ihren Anforderungen. Die Frage, ob ein notwendiger Ersatzweg im Ausfall wirklich verfügbar ist, stellt sich jedoch überall.

Technik oder Organisation: Wer bringt die Sicherheit?

Die Gegenüberstellung führt in die falsche Richtung. Technische Maßnahmen können Zugriffe begrenzen, Systeme trennen und Daten wiederherstellbar machen. Organisatorische Entscheidungen legen fest, welcher Prozess zuerst zurückkommen muss und wer eine Abschaltung veranlassen darf. Ein Verbot allein verhindert keinen unberechtigten Zugriff; eine Sperre allein erklärt niemandem den Notbetrieb.

Unsere Empfehlung ist deshalb, jede wichtige Zusage mit einem technischen Nachweis zu verbinden. Aus „Wir haben Backups“ wird ein protokollierter Wiederherstellungstest. Aus „Wir sind erreichbar“ wird ein getesteter Kommunikationsweg ohne das ausgefallene System. Aus „Es gibt Vertretung“ wird eine Person, die tatsächlich an die benötigten Informationen und Befugnisse gelangt.

Vier Entscheidungen vor dem nächsten Vorfall

Beginnen Sie mit wenigen geschäftlichen Entscheidungen. Die IT kann Auswirkungen erklären und Varianten vorbereiten. Prioritäten, tragbare Einschränkungen und notwendige Investitionen müssen für die Geschäftsführung verständlich werden.

• Welcher Geschäftsprozess muss zuerst wieder funktionieren: Aufträge, Leistungserbringung, Kommunikation oder Abrechnung?
• Welche Unterbrechung ist im konkreten Prozess noch tragbar? Ein Tagesgeschäft kann andere Grenzen haben als ein Monatsabschluss.
• Welcher Datenverlust wäre verkraftbar und welche seit der letzten Sicherung entstandenen Vorgänge ließen sich nachtragen?
• Wer darf den Notbetrieb starten, externe Hilfe beauftragen und die Rückkehr zum Regelbetrieb freigeben?

Die Antworten gehören in eine kurze, erreichbare Übersicht. Eine feste Zahl von Stunden ohne Bezug zum tatsächlichen Prozess ist keine belastbare Zielvorgabe. Vor allem dürfen technische Wiederanlaufziele nicht mit bereits gemessenen Wiederanlaufzeiten verwechselt werden.

Ein durchgespieltes Beispiel statt einer beruhigenden Liste

Beispiel, ausdrücklich kein Kundenfall: Ein Dienstleistungsbetrieb kann seine Auftragsverwaltung nicht erreichen. Telefonische Anfragen werden vorübergehend in einem vorbereiteten Ersatzverfahren angenommen. Die IT prüft eine isolierte Wiederherstellung. Anschließend bestätigt der Fachbereich mit Testdaten, dass Auftrag, Dokument und Berechtigung zusammenpassen.

Schon dieser kleine Ablauf deckt wichtige Fragen auf: Sind aktuelle Kontaktdaten verfügbar? Dürfen Ersatzlisten sensible Daten enthalten? Wie verhindert man doppelte Aufträge bei der späteren Übernahme? Wer dokumentiert den Bearbeitungsstand? Ein Notbetrieb muss nicht den kompletten Normalbetrieb ersetzen. Er muss einen definierten Mindestbetrieb sicher ermöglichen.

Was Sie sich technisch zeigen lassen sollten

Verlangen Sie keine tausendseitige Konfigurationssammlung, sondern verständliche Nachweise zu den wichtigsten Abhängigkeiten. Dazu können ein erfolgreicher Anwendungstest nach Wiederherstellung, getrennte Administrationszugänge, verfügbare Wiederherstellungsschlüssel und ein geprüfter Ersatzkommunikationsweg gehören.

CISA empfiehlt unter anderem geschützte, offline verfügbare Sicherungen und regelmäßige Wiederherstellungstests. Welche Kombination im eigenen Betrieb sinnvoll ist, hängt von Architektur und Risiko ab. Eine Sicherung ist jedenfalls erst dann betrieblich nützlich, wenn Daten und notwendige Dienste rechtzeitig wieder nutzbar werden. Quelle: CISA StopRansomware Guide.

Woran sich Fortschritt messen lässt

Die Zahl verhinderter unbekannter Angriffe lässt sich nicht seriös aus einem Dashboard ablesen. Messen lassen sich dagegen die im Test benötigte Wiederanlaufzeit, der verfügbare Datenstand, nicht erfüllte Abhängigkeiten und die Zeit bis zu einer verantwortlichen Entscheidung.

• Anteil kritischer Prozesse mit praktisch geprüftem Ersatzverfahren
• Erreichbarkeit von Kontakten und Wiederanlaufunterlagen bei Ausfall der normalen IT
• Gemessene Zeit bis zum fachlich bestätigten Mindestbetrieb
• Offene Abweichungen mit Verantwortlichem, Termin und erneutem Test

Vergleichen Sie Übungen unter ähnlichen Bedingungen. Ein kürzerer Test mit erheblich weniger Prüfumfang beweist keine Verbesserung. Dokumentieren Sie deshalb neben dem Ergebnis auch Szenario, Annahmen und ausgeschlossene Systeme.

So starten Sie ohne übergroßes Projekt

Wählen Sie einen kritischen Prozess und einen realistischen Ausfall. Besprechen Sie zunächst den Ablauf am Tisch. Prüfen Sie anschließend die technischen Voraussetzungen in einer isolierten Umgebung. Eine unangekündigte Abschaltung produktiver Systeme ist dafür kein sinnvoller Einstieg.

Aus dem Ergebnis entsteht eine kleine Maßnahmenliste: Was verhindert den Wiederanlauf, was lässt sich kurzfristig verbessern und was braucht eine bewusste Entscheidung? Nach der Umsetzung wird genau die betroffene Stelle erneut geprüft. So wird aus einem einmaligen Dokument ein nachweisbarer Verbesserungsprozess.

Häufige Fragen zur IT-Notfallvorsorge

Reicht ein externer IT-Dienstleister? Er kann viel übernehmen. Ihre betrieblichen Prioritäten, Ansprechpartner und Freigaben muss er aber kennen. Zudem sollte geklärt sein, welche Leistungen und Reaktionswege tatsächlich vereinbart sind.

Muss dafür die ganze Firma stillstehen? Nein. Eine Besprechungsübung und ein isolierter technischer Test können wichtige Lücken zeigen. Ein produktiver Umschalttest braucht dagegen ein eigenes, freigegebenes Vorgehen.

Ist nach einer bestandenen Übung alles sicher? Nein. Die Übung belegt einen bestimmten Umfang zu einem bestimmten Zeitpunkt. Änderungen an Anwendungen, Personal und Infrastruktur können eine erneute Prüfung erforderlich machen.

Von der Erkenntnis zur Umsetzung

Hamburger IT-Service unterstützt dabei, technische Abhängigkeiten sichtbar zu machen, Wiederherstellung zu prüfen und Maßnahmen nachvollziehbar umzusetzen. Ziel ist eine Entscheidungsvorlage, mit der Sie Aufwand und verbleibende Einschränkungen verstehen. IT-Notfallvorsorge besprechen.

Weiterführend

• Partnerartikel: IT-Ausfall technisch üben: Abhängigkeiten, Notbetrieb und Wiederanlauf nachweisen
• Was kostet ein IT-Ausfall wirklich?
• Warum ein Backup einen Wiederherstellungsnachweis braucht
• Weitere Wissensartikel

Quellen und Datenstand

Datenstand: 21. September 2026. Herstellerangaben und Schutzfunktionen können sich ändern. Die verlinkten Primärquellen wurden für diesen Beitrag geprüft; die beschriebenen Prüfabläufe sind unsere praktische Empfehlung. Illustrationen sind KI-generiert.

• https://www.sit.fraunhofer.de/krankenhaus-cyber-krisensimulation/
• https://www.cisa.gov/stopransomware/ransomware-guide