Es gibt eine Sorte Dokument, die man herunterlädt, einmal durchscrollt und nie wieder öffnet. Vorlagen von Behörden gehören oft dazu.
Das Bundesamt für Cybersicherheit stellt seit Mai eine KMU-Fassung seines IT-Notfallplans bereit, dazu ein Notfallblatt und eine Vorlage für die Nachbesprechung. Alles kostenlos, alles als Word-Datei zum Ausfüllen.
Wir haben sie Zeile für Zeile durchgesehen. Das Ergebnis ist gemischt, aber deutlich: Ein Teil davon ist das Beste, was ein Kleinbetrieb an einem Nachmittag für seine Ausfallsicherheit tun kann. Ein anderer Teil ist bei sechs Leuten schlicht nicht umsetzbar — und das sollte man wissen, bevor man aufgibt.
Der erste Eindruck täuscht, und zwar in die falsche Richtung
Wer die KMU-Vorlage öffnet, sieht als Erstes eine ausgefüllte Beispieltabelle. Darin steht: «Abweichung bei Gefahrstoffklassifizierung», «Mengendifferenz max. ± 1%», ein ferngesteuertes Produktionssystem, SAP, eine Abteilung für Forschung und Entwicklung.
Das ist ein mittelständischer Industriebetrieb. Ein Treuhandbüro mit sechs Leuten liest das und macht das Dokument wieder zu.
Das ist schade, denn darunter liegt genau die richtige Frage — sie ist nur in fremden Beispielen versteckt.
Die eine Tabelle, die alles trägt
Die erste Tabelle der Vorlage fragt drei Dinge ab: Welche Abläufe Ihres Betriebs hängen an der IT, wie lange dürfen sie ausfallen, und was passiert, wenn es länger dauert.
Das ist keine IT-Frage. Das ist eine Geschäftsfrage, und sie lässt sich ohne jede technische Kenntnis beantworten — von der Person, die den Betrieb führt, allein, in einer Stunde.
Und alles Weitere folgt daraus. Was zuerst wiederhergestellt wird, wie viel eine Sicherung kosten darf, ob sich eine zweite Leitung lohnt: Diese Entscheidungen sind unmöglich, solange niemand gesagt hat, ob die Auftragsbearbeitung einen Tag oder eine Woche stillstehen darf.
Wenn Sie aus dem ganzen Dokument nur eine Seite ausfüllen, dann diese.
Was ein Kleinbetrieb sofort hinbekommt
Vier weitere Teile sind ohne Aufwand ausfüllbar und sofort nützlich.
Die Kontaktliste. Wer wird bei einem Verdacht angerufen, in welcher Reihenfolge, unter welchen Nummern. Die Vorlage sieht dafür mehrere Wege vor — Mobil, Festnetz, Messenger —, weil im Ernstfall möglicherweise gerade die Mail nicht geht.
Die Liste der Abhängigkeiten. Welcher externe Partner hält welches System am Laufen, und wie erreichen Sie ihn. Das ist die Liste, die man sucht, wenn man sie nicht hat.
Die Ablageorte. Ein Notfallplan auf dem Server, der verschlüsselt ist, ist kein Notfallplan. Die Vorlage nennt deshalb ausdrücklich den Ausdruck im Schrank und den USB-Stick. Altmodisch und richtig.
Und das Notfallblatt. Ein einzelnes Blatt zum Aufhängen, mit vier Schritten — melden, schildern, betroffene Systeme nennen, Standort nennen — und zwei leeren Feldern für eine Haupt- und eine Ersatznummer. Dazu drei Verhaltenshinweise: Arbeit am System stoppen, Vorfall dokumentieren, Massnahmen erst nach Anweisung. Das auszufüllen dauert eine Minute, und es gehört an jeden Arbeitsplatz, ausdrücklich auch ins Homeoffice.
Der Satz, den man leicht überliest
In der Kontaktliste steht als erste Rolle der «Verantwortliche für das Notfallmanagement», in Klammern dahinter: «darf extern sein».
Für einen Kleinbetrieb ist das der wichtigste Zusatz im ganzen Dokument. Die Rolle muss besetzt sein, aber sie muss nicht im Haus sitzen. Wer keine eigene IT hat, trägt dort seinen Dienstleister ein — und hat damit genau das erfüllt, woran die meisten zu scheitern glauben.
Was bei sechs Leuten Theater ist
Ehrlich bleiben gehört dazu. Drei Abschnitte sind für einen Kleinbetrieb nicht zu machen, und man sollte sie überspringen, statt daran zu verzweifeln.
Der Notfallbesprechungsraum. Die Vorlage verlangt einen Raum, der nicht von aussen einsehbar ist, ausreichend gross inklusive Nebenräumen zum Drucken und Telefonieren, mit einem Internetanschluss unabhängig vom normalen Firmenanschluss, dazu Projektor oder Whiteboard. Für einen Betrieb mit sechs Leuten ist das eine Fantasie.
Die dahinterliegende Frage ist aber echt: Wo treffen wir uns, wenn das Büro nicht benutzbar ist oder das Netz steht? Die ehrliche Antwort darf «bei mir zu Hause» oder «im Sitzungszimmer des Nachbarn» lauten. Hauptsache, sie ist vorher einmal ausgesprochen.
Die jährliche Schulung. Die Vorlage erwartet, dass jedes Mitglied der Notfallorganisation eine allgemeine Ausbildung im Notfallmanagement hat und jährlich geschult wird. Das wird nicht passieren. Was stattdessen geht: einmal im Jahr zehn Minuten am Kaffeetisch durchgehen, wer bei einem Verdacht wen anruft.
Netzwerk- und Datenflussdiagramm. Sinnvoll, aber nichts, was ohne Fachperson entsteht. Überspringen — die Liste der Systeme und wo die Daten liegen genügt fürs Erste.
Eine Zeile, die zum gestrigen Beitrag passt
Unter den Vorbereitungsaufgaben steht ein Satz, der gestern schon Thema war: Alle zur Wiederherstellung notwendigen Daten sollen regelmässig auch offline gespeichert und an einem sicheren Drittort aufbewahrt werden.
Wir haben gestern über acht Lücken im Synology-NAS geschrieben, zwei davon ohne Anmeldung und mit Schreib- und Löschrecht. Genau deshalb steht diese Zeile in einem Notfallplan und nicht in einer Werbebroschüre: Eine Sicherung, die am Netz hängt und die ein Angreifer löschen kann, hilft im Ernstfall nicht.
Was zu tun ist
Der Plan liegt beim Bundesamt für Cybersicherheit unter dem Stichwort Notfallkonzept, zusammen mit Notfallblatt und Debriefing-Vorlage.
Nehmen Sie sich einen Sonntagnachmittag für die erste Tabelle, füllen Sie Kontaktliste, Abhängigkeiten und Ablageorte aus, drucken Sie das Notfallblatt und hängen Sie es auf. Das sind die Teile, die im Ernstfall tatsächlich etwas ändern.
Den Rest lassen Sie stehen, bis Sie grösser sind. Ein zu zehn Prozent ausgefüllter Notfallplan, der die richtigen zehn Prozent enthält, ist unendlich viel besser als keiner.
Wenn Sie bei der ersten Tabelle nicht weiterkommen — die Frage nach der tolerierbaren Ausfallzeit klingt einfacher, als sie ist — gehen wir sie gern mit Ihnen durch. Das ist eine Stunde und danach steht etwas, das vorher niemand im Betrieb aufgeschrieben hatte.