IT-Notfall im Betrieb: 9 Schritte in den ersten 60 Minuten

Stand: November 2026

IT-Notfall: Warum die ersten 60 Minuten über den Schaden entscheiden

Wenn die IT ausfällt, stellt sich sofort die Frage: Was jetzt? Bei Ransomware entscheidet die erste Stunde über Schadenshöhe und Beweislage – wer zögert, verliert das kritische Zeitfenster für forensische Spuren und Eindämmung. Ein strukturierter IT-Notfallplan als PDF-Vorlage zeigt, welche Sofortmaßnahmen greifen und wie die Eskalation in festen Zeitfenstern läuft.

Der folgende 9-Schritte-Leitfaden ersetzt Panikreaktionen durch klare Handlungsaufträge – von der Alarmkette über Sofortmaßnahmen pro Szenario bis zur dokumentierten Wiederanlauf-Reihenfolge. Er orientiert sich an etablierten Rahmenwerken für KMU, wie sie etwa die Checkliste für IT-Notfallpläne bei KMU zusammenfasst.

Ein Plan, der nur digital auf dem ausgefallenen Server liegt, ist im Ernstfall wertlos. Das BSI empfiehlt daher eine physische Notfallkarte mit eigener Notfallnummer als Aushang im Serverraum und an zentralen Arbeitsplätzen. Die aktuelle BSI-Notfallkarte „Verhalten bei IT-Notfällen“ steht als Aushang-Vorlage bereit und nennt die zentrale Notfallnummer, die jeder Mitarbeitende kennen muss.

Bevor du startest: 3 Klärungsfragen

Bevor jemand eingreift, klären Verantwortliche drei Punkte:

• Handelt es sich um einen reinen technischen Ausfall oder um einen Cyberangriff?
• Welche Systeme sind betroffen und wie kritisch sind sie für den Betrieb?
• Wer muss sofort über die festgelegte Rufkette informiert werden?

Die Antworten steuern die ersten Maßnahmen. Bei einem reinen technischen Ausfall — etwa Festplattendefekt im RAID-Verbund oder Stromausfall im Rechenzentrum — steht die Wiederherstellung im Vordergrund. Bei einem Cyberangriff wie Ransomware oder Datenexfiltration hat die Beweissicherung Priorität. Wer Server voreilig abschaltet, löscht möglicherweise Spuren und erschwert die forensische Analyse. Isoliere betroffene Systeme stattdessen vom Netz, schalte sie aber nicht aus. Damit sicherst du den Zustand von Festplatten und Arbeitsspeicher für spätere Untersuchungen.

Die Rufkette folgt festen Zeitfenstern. Die IT-Notfallnummer erhält die Meldung sofort. Die Bereitschaft informiert die Notfallleitung innerhalb von 15 Minuten. Die Notfallleitung benachrichtigt IT-Dienstleister und Geschäftsführung innerhalb von 30 Minuten. Fachbereiche erfahren es innerhalb von 60 Minuten. Die Erreichbarkeit der ersten Person muss innerhalb von 5 Minuten sichergestellt sein — andernfalls greift die nächste Eskalationsstufe automatisch.

Ein ausgedruckter Plan mit definierten Meldewegen liegt griffbereit – nicht nur auf dem ausgefallenen Server. Der Leitfaden zum IT-Notfallplan zeigt, wie Teams die ersten Minuten strukturieren. Für KMU hält der Zurich-Ratgeber zum IT-Notfallplan konkrete Sofortmaßnahmen bei einem IT-Vorfall bereit.

Schritt 1: Störung melden und Alarmkette auslösen (Sofort)

Die Meldung geht unverzüglich an die zentrale IT-Notfallnummer. Danach läuft die Eskalation starr getaktet ab: Die Bereitschaft informiert die Notfallleitung innerhalb von 15 Minuten. Diese zieht IT-Dienstleister und Geschäftsführung innerhalb von 30 Minuten hinzu. Fachbereiche erhalten Statusinformation spätestens nach 60 Minuten. Die Geschäftsführung beruft den Krisenstab innerhalb von zwei Stunden ein. Ein praxisbewährter Ablaufplan zeigt diese Kaskade als verbindliche Zeitvorgaben.

Entscheidend ist die Erreichbarkeit der Nummer: Sie muss jedem Mitarbeitenden bekannt sein und ausgedruckt an definierten Stellen aushängen — ein Plan, der nur auf dem ausgefallenen Server liegt, ist wertlos. Das BSI empfiehlt dafür die Notfallkarte „Verhalten bei IT-Notfällen“ mit eigener Rufnummer. Ein Musterplan (PDF) enthält entsprechende Vorlagen für Aushang und Rufbereitschaft. Prüfen Sie jetzt: Kennt das Team die Nummer? Liegt der Zettel griffbereit? Fehlt beides, scheitert die gesamte Kette vor dem ersten Anruf.

Schritt 2: Betroffene Systeme isolieren – nicht abschalten

Bei Verdacht auf Ransomware entscheidet die erste Stunde über Schadenshöhe und Beweislage. Trennen Sie Backup-Systeme sofort vom Netz und kappen Sie Router- sowie Internet-Verbindungen, um eine laterale Ausbreitung zu stoppen. Server dürfen nicht einfach heruntergefahren werden – ein hartes Abschalten zerstört flüchtige Speicherinhalte und damit forensische Spuren, die Ermittler später benötigen. Die Sofortmaßnahmen bei Cyberangriff sehen zudem vor, kein Lösegeld zu zahlen und die Kommunikation nicht über internes E-Mail abzuwickeln, da Angreifer oft bereits Zugriff auf Postfächer haben.

Infizierte Systeme bleiben vom produktiven Betrieb fern, bis die Analyse abgeschlossen ist. Nutzen Sie separate Kommunikationskanäle – etwa Messenger auf privaten Geräten oder eine vorab eingerichtete Notfall-Hotline. Die technische Isolierung vor Wiederherstellung sichert die Beweiskette und verhindert, dass Schadcode auf bereinigte Bereiche überspringt. Dokumentieren Sie jeden Handgriff mit Zeitstempel; dieses Protokoll wird später für Versicherer und Behörden zur zentralen Nachweisgrundlage.

Schritt 3: Notfallleitung einsetzen und Krisenstab aktivieren

Die Notfallleitung übernimmt sofort die operative Koordination des IT-Notfalls. Die Geschäftsführung beruft den Krisenstab spätestens innerhalb von zwei Stunden ein. Wer jetzt zögert, riskiert Parallelstrukturen und Fehlentscheidungen in der Stresssituation.

Wichtig ist die klare Rollenverteilung. Die Notfallleitung entscheidet über technische Sofortmaßnahmen. Die Geschäftsführung trägt die strategische Verantwortung. Eine benannte Person steuert die interne Kommunikation, eine andere die externe Kommunikation gegenüber Kunden, Partnern und Behörden. So vermeidet das Team widersprüchliche Aussagen und Doppelarbeit.

Das BSI beschreibt im Notfallhandbuch, wie Unternehmen die Organisation für den Ernstfall festlegen. Praktische Vorlagen zur Alarmierung und Eskalation bietet zudem dieser IT-Notfallplan-Leitfaden.

• Notfallleitung: operative Steuerung und technische Entscheidungen — z. B. Freigabe der Netzwerk-Isolierung, Beauftragung forensischer Analyse
• Geschäftsführung: Krisenstab einberufen, strategische Freigaben — z. B. Budget für externe Forensik, Entscheidung zu Behördenmeldung
• Interne Kommunikation: Mitarbeiter informieren, Gerüchte vermeiden — z. B. vordefinierte Textbausteine für Messenger-Verteilung
• Externe Kommunikation: Kunden, Partner, Behörden, Medien — z. B. einheitliche Stellungnahme für Kunden-Hotline

Jede Rolle benötigt klare Kompetenzen. Im Krisenstab sitzt niemand nur zur Beobachtung. Jeder weiß, wen er anweist und wem er Bericht erstattet. Stellvertreter für jede Position sind namentlich benannt und gleichfalls erreichbar.

Schritt 4: Kommunikation steuern (intern & extern)

Bei einem Cyberangriff ist das interne E-Mail-System tabu – es kann kompromittiert sein oder vom Angreifer mitgelesen werden. Die Notfallkommunikation läuft stattdessen über Telefon, Messenger-Dienste oder persönliche Gespräche. Eine vorbereitete Telefonkette mit privaten Nummern der Kernmannschaft beschleunigt die Alarmierung.

Mitarbeiter erhalten präzise Anweisungen: welche Systeme sie nicht mehr nutzen, wen sie bei Verdachtsfällen kontaktieren und wie sie sich verhalten, wenn Medien oder Kunden nachfragen. Einheitliche Sprachregelungen verhindern Spekulationen und schützen die Beweislage.

Extern prüft das Krisenteam Meldepflichten. Nach DSGVO sind Verletzungen personenbezogener Daten binnen 72 Stunden der Aufsichtsbehörde zu melden, sofern ein Risiko für Betroffene besteht. NIS-2 fordert für wesentliche und wichtige Einrichtungen eine Frühwarnung innerhalb von 24 Stunden sowie einen Abschlussbericht nach einem Monat. TISAX-Teilnehmer beachten zusätzlich die vertraglichen Informationspflichten gegenüber Auftraggebern.

Jede Entscheidung, jeder Anruf und jede versendete Nachricht wird zeitnah protokolliert. Diese Dokumentation dient später als Nachweis gegenüber Regulatoren, Versicherern und Geschäftspartnern, dass der Betrieb strukturiert und rechtssicher gehandelt hat.

Schritt 5: Backup prüfen und Wiederanlauf vorbereiten

Das vom Netz getrennte Backup-System wird vor jeder Wiederherstellung auf Integrität geprüft. Hash-Vergleiche, Metadaten-Checks und Stichproben-Restores bestätigen, dass die Daten unverfälscht vorliegen. Erst nach diesem Nachweis beginnt der geplante Wiederanlauf.

Die Wiederanlauf-Reihenfolge legt fest, welche Systeme zuerst produktiv geschaltet werden. Kritische Kernanwendungen — ERP, Datenbanken, Authentifizierung — erhalten Vorrang vor peripheren Diensten. Abhängigkeiten zwischen Systemen werden im Plan explizit abgebildet, damit keine Race Conditions entstehen. Beispiel: Active Directory muss vor dem ERP-System stehen, da die Benutzerauthentifizierung sonst scheitert.

Ein Test-Restore oder Failover auf einer isolierten Testumgebung muss vor dem produktiven Gang erfolgen. Damit werden Sekundärschäden durch fehlerhafte Images, inkompatible Patches oder fehlende Konfigurationen ausgeschlossen. Die aktuelle Notfallplan-Vorlage 2026 fordert diesen Funktionstest als Mindeststandard. Auch das BACS-Template für KMU sieht einen separaten Wiederanlauf-Test vor, bevor Produktivsysteme wieder ans Netz gehen.

Dokumentiert werden: Prüfergebnisse der Backup-Integrität, gewählte Wiederanlauf-Reihenfolge, Testergebnis des Restores sowie Freigabe durch Notfallleitung. Erst mit dieser Freigabe erfolgt der kontrollierte Produktivgang.

Schritt 6 bis 9: Dokumentation, Nachweis, Übung und Wartung

Jede ergriffene Maßnahme lässt sich nach dem Vorfall nur dann belegen, wenn sie lückenlos protokolliert wurde. Zeitstempel, getroffene Entscheidungen und beteiligte Personen bilden die Grundlage für den Nachweis gegenüber Regulatoren wie DSGVO, NIS-2, TISAX oder dem BSI-Grundschutz. Wer die Dokumentation vernachlässigt, riskiert im Audit Lücken und lässt Compliance-Anforderungen unbelegt. Ein IT-Notfallplan ohne schriftliche Aufzeichnung verliert seine Aussagekraft.

Nach der Rückkehr zum Normalbetrieb folgt eine strukturierte Auswertung. Das Team prüft, welche Prozesse funktionierten und wo Verzögerungen auftraten. Auf Basis dieser Erkenntnisse aktualisiert die Verantwortliche den Plan und passt Meldewege sowie Wiederanlauf-Reihenfolgen an.

Als Mindeststandard gelten regelmäßige Tabletop-Übungen und Funktionstests. Tabletop-Szenarien schulen das Zusammenspiel der Rollen, ohne den laufenden Betrieb zu stören — Beispiel: simulierter Ransomware-Angriff am Freitagnachmittag, bei dem die Notfallleitung Entscheidungen zur Isolation und Kommunikation trifft. Funktionstests prüfen konkrete Abläufe wie Backup-Restore oder Failover — Beispiel: monatlicher Restore einer produktiven Datenbank auf Testsystem mit anschließender Applikationsprüfung. Nur so stellt die Organisation sicher, dass der Plan im Ernstfall funktioniert und nicht bloß auf dem Papier existiert.

Der Unterschied zwischen operativem Notfallplan und übergeordnetem Notfallhandbuch hilft bei der Zuordnung: Das Handbuch legt Richtlinien und Organisationsstruktur fest, während der Notfallplan die konkreten Handlungen für die ersten Stunden steuert.

Notfallplan griffbereit halten: Ausgedruckt und aktuell

Ein Notfallplan, der nur auf dem ausgefallenen Server liegt, nützt niemandem. Die Dokumentation muss physisch verfügbar sein – ausgedruckt, an zentraler Stelle im Büro aufgehängt und in der Tasche des Bereitschaftsdienstes. Das BSI empfiehlt KMU die IT-Notfallkarte „Verhalten bei IT-Notfällen“ als Aushang mit eigener Notfallnummer. Ergänzend gehören Zugangsdaten in einen verschlüsselten Passwort-Manager oder auf physische Notfallkarten, die im Safe oder Umschlag beim Notfallkoffer lagern.

Aktualität sichert Handlungsfähigkeit. Prüfen Sie den Plan mindestens jährlich sowie nach jeder größeren IT-Änderung: neuer Cloud-Dienst, veränderte Netzsegmentierung, Personalwechsel in der Rufkette. Veraltete Nummern oder falsche Wiederanlauf-Reihenfolgen kosten im Ernstfall Minuten. Eine aktuelle Vorlage bietet Hagel IT zum Download; ServerSonic fasst die BSI-Empfehlungen praxisnah zusammen. Versionieren Sie jede Änderung mit Datum und Unterschrift – das dient auch als Nachweis gegenüber Prüfern.

Fazit: Checkliste für die erste Stunde

Die erste Stunde entscheidet: Melden Sie den Vorfall sofort an die definierte Notfallnummer. Isolieren Sie betroffene Systeme vom Netz – Server nicht abschalten, um Beweise zu sichern. Notfallleitung einsetzen gemäß Eskalationsplan (Bereitschaft → Leitung ≤ 15 Min, GF ≤ 30 Min). Kommunizieren Sie über externe Kanäle, nicht per interner Mail. Backup prüfen: Sind Offline-Sicherungen intakt und getestet? Dokumentieren Sie jede Aktion lückenlos für Forensik und Regulatoren.

Externe Hilfe ziehen Sie hinzu, wenn Ransomware bestätigt ist, Datenabfluss droht oder interne Kapazitäten für forensische Analyse fehlen. Ein ausgedruckter Notfallplan mit Rufketten und Sofortmaßnahmen liegt griffbereit – nicht auf dem ausgefallenen Server. Die BSI-Notfallkarte als Aushang und der IHK-Musterplan bieten praxisnahe Vorlagen. Vorbereitung schützt vor Panik und verkürzt die Wiederanlaufzeit messbar.