IT-Notfallhandbuch: Was hineingehört, und was Vorlagen auslassen
Fast jeder Betrieb, der uns seine IT übergibt, hat irgendwo ein Notfallhandbuch. Und fast immer scheitert es an derselben Stelle: Im Ernstfall findet es niemand, oder es steht nichts darin, was in den ersten dreißig Minuten hilft.
Ein IT-Notfallhandbuch beantwortet eine einzige Frage: Was tun wir, wenn die IT steht? Nicht wenn ein Drucker klemmt, sondern wenn der Server verschlüsselt ist, der Serverraum unter Wasser steht oder das Rechenzentrum des Dienstleisters nicht erreichbar ist.
Die meisten Handbücher, die wir in die Hand bekommen, beantworten diese Frage nicht. Sie beschreiben Systeme. Das ist Dokumentation, und die ist wichtig, aber sie ist etwas anderes.
Warum Vorlagen selten tragen
Nach „IT-Notfallhandbuch Vorlage" wird häufig gesucht, und es gibt gute Muster, etwa die Hilfsmittel des BSI zum Baustein Notfallmanagement. Wir empfehlen durchaus, damit zu starten. Nur sollte man wissen, was eine Vorlage nicht leisten kann.
Eine Vorlage enthält die Struktur. Was sie nicht enthält, ist der Inhalt, auf den im Ernstfall alles ankommt: welche Ihrer Prozesse wie lange stillstehen dürfen, welche Anwendung von welchem Server abhängt, wer die Zugangsdaten zum Backup hat und unter welcher Nummer der Dienstleister nachts erreichbar ist.
Genau diese Angaben sind die Arbeit. Die Formatierung ist es nicht.
Der zweite Haken: Ein ausgefülltes Muster liegt oft auf demselben Fileserver, der im Notfall verschlüsselt ist. Ein Notfallhandbuch, das nur digital und nur im eigenen Netz existiert, ist im entscheidenden Moment nicht vorhanden.
Aus der Praxis: Bei einem Verschlüsselungsvorfall war das Notfallhandbuch vorbildlich gepflegt: als PDF auf dem Laufwerk, das mitverschlüsselt wurde. Die Telefonnummer des Dienstleisters hat dann jemand aus einer alten Rechnung im Papierordner geholt.
Die zehn Teile eines brauchbaren Notfallhandbuchs
Diese Gliederung nutzen wir, wenn wir mit einem Betrieb ein Handbuch aufbauen. Sie ist bewusst kurz gehalten: ein Dokument, das niemand liest, nützt nichts.
- 1. Alarmierung. Wer wird in welcher Reihenfolge informiert, über welchen Weg, und wer entscheidet, dass ein Notfall vorliegt? Mit Mobilnummern, nicht mit Durchwahlen, die bei Stromausfall tot sind.
- 2. Erstmaßnahmen für die ersten 30 Minuten. Netz trennen oder laufen lassen? Wer darf das anordnen? Bei einem Verschlüsselungsvorfall entscheiden diese Minuten über den Schaden.
- 3. Kritische Prozesse und ihre Fristen. Welcher Geschäftsprozess verträgt wie viel Stillstand, und was kostet eine Stunde davon? Daraus leiten sich alle weiteren Entscheidungen ab.
- 4. Abhängigkeiten. Welche Anwendung braucht welchen Server, welche Datenbank, welche Schnittstelle, welchen externen Dienst? Hier zeigt sich meist, dass eine Nebensache einen Kernprozess blockiert.
- 5. Wiederanlauf-Reihenfolge. Was kommt zuerst hoch? Ohne festgelegte Reihenfolge wird im Ernstfall das Lauteste zuerst bearbeitet, nicht das Wichtigste.
- 6. Backup und Rücksicherung. Wo liegen die Sicherungen, wer kommt daran, und wie lange dauert eine Rücksicherung tatsächlich? Nicht laut Datenblatt, sondern gemessen.
- 7. Ausweicharbeitsplätze. Von wo arbeiten die Menschen, wenn das Gebäude nicht nutzbar ist? Homeoffice trägt einen Teil, aber nicht jeden Prozess.
- 8. Kommunikation nach außen. Wer spricht mit Kunden, Lieferanten, Behörden, Presse? Und wenn personenbezogene Daten betroffen sind: Die Meldefrist an die Aufsichtsbehörde beträgt nach Art. 33 DSGVO 72 Stunden.
- 9. Externe Ansprechpartner. IT-Dienstleister, Internetanbieter, Softwarehersteller, Versicherung, Polizei. Mit Vertragsnummer und zugesagter Reaktionszeit.
- 10. Nachbereitung. Was ist passiert, was hat gefehlt, was wird geändert? Ohne diesen Teil wiederholt sich derselbe Vorfall.
Zehn Abschnitte, in der Regel zwanzig bis dreißig Seiten. Wird es deutlich dicker, wandert meist Systemdokumentation hinein, die dort nicht hingehört.
Diese zehn Abschnitte als Vorlage, sechzehn Seiten
Was eine Vorlage leisten kann, leistet diese: die Struktur, mit Platz für Ihre Angaben. Gemacht zum Ausdrucken, aus dem Grund, der oben steht. Ohne Formular, ohne E-Mail-Adresse.
Enthalten sind die Notfallkarte zum Aushängen, vier Szenarien für die erste halbe Stunde, die Meldefristen nach DSGVO und NIS2 sowie ein Abschnitt zu Ausweicharbeitsplätzen, den sonst kaum eine Vorlage hat.
Vorlage herunterladen, PDF →Dann gelten zusätzlich DORA, KWG § 25a, MaRisk und BAIT: kürzere Meldefristen, ein gepflegtes Informationsregister und erprobte Wiederanlaufpläne. Das Beiblatt ergänzt die vier Punkte auf vier Seiten.
Beiblatt Finanzsektor, PDF →Lieber am Rechner ausfüllen? Die bearbeitbare Word-Fassung schicken wir Ihnen zu. Sie bekommen zuerst eine kurze Bestätigungsmail, erst nach Ihrem Klick geht die Datei raus.
Felder mit * brauchen wir, alles andere ist freiwillig. Das Häkchen ist freiwillig und keine Bedingung für die Datei. Ohne es bekommen Sie keine Serienmails von uns. Dass wir uns einmal persönlich nach Ihrer Anfrage erkundigen, behalten wir uns vor; ein Wort von Ihnen genügt, und auch das unterbleibt. Mehr dazu in der Datenschutzerklärung.
Was das BSI dazu sagt
Das Bundesamt für Sicherheit in der Informationstechnik behandelt das Thema im BSI-Standard 200-4 zum Business Continuity Management, der den älteren Standard 100-4 ersetzt hat, sowie im IT-Grundschutz-Baustein DER.4 Notfallmanagement. Beides ist frei verfügbar und als Orientierung brauchbar.
Wichtig für kleinere Betriebe: Der Standard 200-4 kennt ausdrücklich Stufen. Man muss nicht mit dem vollständigen Managementsystem beginnen. Die Einstiegsstufe verlangt im Kern genau das, was oben in den Punkten 1 bis 6 steht.
Wer ein Zertifikat nach ISO/IEC 27001 anstrebt oder hält, findet die Anforderung in Anhang A der Fassung von 2022, in den Maßnahmen zur Informationssicherheit bei Störungen und zur IKT-Bereitschaft für die Betriebskontinuität. Die verwandte Norm ISO 22301 behandelt Business Continuity als eigenes Managementsystem.
Wer ein Notfallhandbuch braucht
Die ehrliche Antwort: jeder Betrieb, der ohne IT nicht arbeiten kann. Verpflichtend wird es in drei Fällen.
Über NIS-2. Die Risikomanagement-Pflichten des deutschen Umsetzungsgesetzes nennen die Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement ausdrücklich als Maßnahmen. Ob Ihr Betrieb betroffen ist, hängt von Sektor, Mitarbeiterzahl und Umsatz ab. Das klären wir auf unserer Seite zu IT-Sicherheit und NIS-2.
Über die Aufsicht. Für Banken, Versicherungen und Finanzdienstleister gilt mit DORA, MaRisk und BAIT ein deutlich strengerer Rahmen, bis hin zu jährlichen Tests mit Protokoll. Dazu haben wir einen eigenen Beitrag über DORA und Notfallarbeitsplätze.
Über die Lieferkette. Der in der Praxis häufigste Fall, und der am meisten überrascht: Ein größerer Kunde schickt einen Fragebogen zur Informationssicherheit, und darin steht die Frage nach dem Notfallkonzept. Das trifft Betriebe, die selbst unter keine Regelung fallen.
Der Test zeigt mehr als das Dokument
Ein Handbuch, das nie durchgespielt wurde, ist eine Absichtserklärung. Wir empfehlen zwei Tests im Jahr, und sie müssen nicht aufwendig sein.
Der erste ist ein Gespräch: eine Stunde, ein angenommenes Szenario, und jeder sagt, was er täte. Dabei fällt zuverlässig auf, wenn zwei Personen sich für zuständig halten oder niemand.
Der zweite ist technisch, und bei ihm wird gemessen: eine Rücksicherung tatsächlich durchführen und die Zeit notieren. Nach unserer Erfahrung liegt die gemessene Dauer regelmäßig über der angenommenen, und das ist die Zahl, die in Punkt 3 des Handbuchs gehört.
Beide Tests kurz protokollieren: Datum, Teilnehmer, Feststellungen, was geändert wird. Dieses Protokoll ist es, was ein Auditor oder ein Kunde sehen will. Das Handbuch allein überzeugt niemanden.
Wie wir dabei helfen
Wenn wir die IT eines Betriebs übernehmen, entsteht das Notfallhandbuch aus der Bestandsaufnahme, die Abhängigkeiten in Punkt 4 fallen dabei ohnehin an. Fehlt Dokumentation, rekonstruieren wir sie aus den laufenden Systemen; wie das abläuft, steht auf der Seite zur IT-Übernahme.
Für den Teil, an dem die meisten Konzepte dünn werden (Punkt 7, die Arbeitsplätze), betreiben wir Notfallarbeitsplätze an drei geografisch getrennten Standorten. Im laufenden Betrieb gehören Überwachung, Sicherung und die Prüfung der Rücksicherungen zu unseren Managed Services.
Unser Sitz ist Bad Vilbel bei Frankfurt. Vor Ort sind wir im Umkreis in 30 bis 45 Minuten, alles andere läuft remote.
Womit anfangen
Wenn Sie heute eine halbe Stunde haben, beantworten Sie drei Fragen schriftlich: Wer ruft nachts wen an? Wie lange darf Ihr wichtigster Prozess stillstehen? Und wann wurde zuletzt eine Rücksicherung tatsächlich durchgeführt: nicht geplant, sondern durchgeführt?
Diese drei Antworten sind mehr wert als dreißig Seiten ausgefüllte Vorlage. Alles Weitere baut darauf auf.
Häufige Fragen
Gibt es eine Vorlage zum Herunterladen?
Ja, auf dieser Seite, als PDF mit sechzehn Seiten und ohne Formular. Sie enthält die zehn Abschnitte, die Notfallkarte zum Aushängen, vier Szenarien für die erste halbe Stunde und die Meldefristen. Eine bearbeitbare Word-Fassung schicken wir auf Anfrage zu. Für Banken, Finanzdienstleister und Versicherungen gibt es ein Beiblatt zu DORA, MaRisk und BAIT.
Wie fange ich mit einem Notfallhandbuch an?
Mit der Alarmierung und den externen Ansprechpartnern. Beides dauert zusammen keine Stunde, weil Sie die Angaben bereits haben, sie liegen nur verteilt. Danach folgt der anstrengende Teil: festzulegen, welcher Prozess wie lange stillstehen darf. Diese Entscheidung trifft die Geschäftsführung, nicht die IT.
Was verlangt das BSI?
BSI-Standard 200-4 beschreibt das Notfallhandbuch als Teil eines Business-Continuity-Managements und liefert dazu eine amtliche Word-Vorlage. Sie ist auf ein vollständiges Managementsystem ausgelegt und für einen Betrieb mit dreißig Beschäftigten entsprechend umfangreich. Die Gliederung ist trotzdem der richtige Maßstab, auch wenn man sie kürzt.
Was ist der Unterschied zwischen Notfallhandbuch, Notfallplan und Notfallvorsorgekonzept?
Das Notfallvorsorgekonzept beschreibt die Strategie, also wie man sich vorbereitet. Das Notfallhandbuch enthält die Handlungsanweisungen für den eingetretenen Fall. Notfallplan wird umgangssprachlich für beides benutzt. Entscheidend ist nicht die Bezeichnung, sondern ob im Ernstfall jemand weiß, wen er anruft.
Braucht man dafür eine Software?
Nein. Eine Software hilft bei der Pflege, wenn das Handbuch groß wird, und sie erzeugt Nachweise für Prüfungen. Für den Anfang ist sie überflüssig und verzögert eher. Wichtiger ist, dass eine aktuelle Ausfertigung ausgedruckt außerhalb der eigenen IT liegt, denn eine Datei auf dem Server ist bei einem Verschlüsselungsvorfall nicht erreichbar.
Wie lang soll ein Notfallhandbuch sein?
Zwanzig bis dreißig Seiten reichen für die meisten Betriebe. Wird es deutlich dicker, wandert meist Systemdokumentation hinein, die dort nicht hingehört. Die ersten beiden Seiten entscheiden ohnehin über den Nutzen: Alarmierung, Zuständigkeiten, Sofortmaßnahmen.
Wer ist verpflichtet, ein Notfallhandbuch zu führen?
Eine allgemeine Pflicht gibt es nicht. Für Einrichtungen nach NIS2 gehört Betriebsfortführung seit dem 6. Dezember 2025 zu den Risikomanagementpflichten, für Finanzunternehmen verlangt DORA erprobte Reaktions- und Wiederherstellungspläne. Unabhängig davon greift Artikel 33 DSGVO mit 72 Stunden Meldefrist für jeden, sobald personenbezogene Daten betroffen sind.
Woher die Angaben stammen
- BSI-Standard 200-4 „Business Continuity Management" sowie IT-Grundschutz-Baustein DER.4 „Notfallmanagement", Bundesamt für Sicherheit in der Informationstechnik
- ISO/IEC 27001:2022, Anhang A, Maßnahmen zur Informationssicherheit bei Störungen und zur IKT-Bereitschaft
- ISO 22301, Business Continuity Management Systeme
- Art. 33 DSGVO, Meldung von Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden
- Deutsches NIS-2-Umsetzungsgesetz, Risikomanagementmaßnahmen einschließlich Betriebsfortführung und Krisenmanagement
- Verordnung (EU) 2022/2554 (DORA), MaRisk AT 7.3, BAIT, für Finanzunternehmen
Jürg Raess
Sales & Business Development / Project Coordinator, spezialisiert auf Notfallarbeitsplätze für Banken und Finanzinstitute.
Notfallhandbuch besprechen
Ein Gespräch über Ihren aktuellen Stand, unverbindlich und ohne Vorbereitung Ihrerseits. Oder zuerst der IT-Check in zwei Minuten.
Dieser Beitrag gibt den Stand vom Oktober 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung. Ob und in welchem Umfang Ihr Betrieb von NIS-2, ISO-Anforderungen oder aufsichtsrechtlichen Vorgaben betroffen ist, muss im Einzelfall geprüft werden.