IT-Notfallplan erstellen: 5 Bausteine, auf die es ankommt

Deutsche Unternehmen können bei einem vollständigen Internetausfall im Schnitt nur 20 Stunden lang geschäftskritisch weiterarbeiten – jedes fünfte müsste sogar sofort den Betrieb einstellen. Das zeigt eine Bitkom-Befragung unter 604 Unternehmen, erhoben zwischen November 2025 und Januar 2026. Wer jetzt einen IT-Notfallplan erstellen will, startet also nicht aus akademischem Interesse, sondern weil zwischen “Ausfall” und “Stillstand” häufig nur wenige Stunden liegen.

Genau hier setzt dieser Beitrag an: kein weiterer Grundsatzartikel darüber, warum ein Notfallplan wichtig ist, sondern eine kompakte Anleitung mit den 5 Bausteinen, die beim IT-Notfallplan erstellen tatsächlich den Unterschied machen. Wer tiefer in einzelne Aspekte einsteigen will, findet am Ende Verweise auf unsere ausführlicheren Beiträge zum Thema IT-Notfallmanagement.

Bevor es an die 5 Bausteine geht, lohnt sich ein kurzer Blick auf typische Fragen, die uns Kunden stellen, wenn sie zum ersten Mal einen IT-Notfallplan erstellen wollen: Wer im Unternehmen sollte den Plan überhaupt schreiben? Reicht eine Excel-Liste, oder braucht es gleich ein vollständiges BCMS? Und wie oft muss der Plan aktualisiert werden, damit er im Ernstfall noch etwas taugt? Die Antworten darauf ergeben sich fast automatisch, sobald die 5 Bausteine sauber durchdacht sind.

Warum jetzt einen IT-Notfallplan erstellen?

Die Ausgangslage hat sich in den letzten Jahren verschärft. Ransomware-Angriffe auf deutsche Mittelständler, Microsoft-Exchange-Sicherheitslücken und Fehlkonfigurationen im Homeoffice haben in den vergangenen Jahren Tausende Unternehmen getroffen. Eine gemeinsame Studie von BSI und Bitkom zum CrowdStrike-Vorfall 2024 kommt zu einem ernüchternden Ergebnis: Bei 12 Prozent der Unternehmen hat der bestehende Notfallplan im Ernstfall nicht funktioniert – zwei Drittel wollen ihren Plan seitdem grundlegend überarbeiten.

Wer jetzt einen IT-Notfallplan erstellen möchte, muss also nicht bei null anfangen, aber sollte die eigene Dokumentation ehrlich gegen die Realität prüfen. Der IT-Notfallplan ist im IT-Grundschutz kein optionales Dokument, sondern fester Bestandteil des Bausteins DER.4 Notfallmanagement – und mit dem BSI-Standard 200-4 gibt es seit 2023 einen modernisierten, praxisnahen Rahmen dafür.

IT-Notfallplan erstellen: der richtige Ausgangspunkt

Der häufigste Fehler beim IT-Notfallplan erstellen passiert schon vor dem ersten Baustein: Viele Unternehmen beginnen mit einer Inventarliste von Servern, Switches und Lizenzen – statt mit der Frage, welche Geschäftsprozesse bei einem Ausfall am schnellsten wirtschaftlich getroffen würden. In einem Handelsunternehmen sind das oft Auftragsannahme und Kommissionierung, in einer Kanzlei DMS und E-Mail, in einem Produktionsbetrieb ERP-System und Maschinenanbindung.

Erst wenn diese Prozesse feststehen, lassen sich die technischen Bausteine sinnvoll zuordnen – aus einem abstrakten Sicherheitsprojekt wird eine betriebliche Prioritätenliste. Mit dieser Reihenfolge im Kopf lassen sich die folgenden 5 Bausteine deutlich zielgerichteter umsetzen.

Die 5 Bausteine im Überblick

Baustein 1: Risikoanalyse mit konkreten Szenarien

Der erste Baustein bei jedem IT-Notfallplan erstellen ist eine Risikoanalyse, die nicht bei “Cyberangriff” stehenbleibt, sondern konkrete Szenarien durchspielt:

• Ransomware-Verschlüsselung zentraler Systeme
• Serverausfall durch Hardwaredefekt
• Längerer Stromausfall am Standort
• Brand oder Wasserschaden im Serverraum
• Ausfall eines wichtigen IT-Dienstleisters
• Sperrung oder Ausfall eines Cloud-Dienstes

Für jedes realistische Szenario braucht der Plan eine grobe Einschätzung der Eintrittswahrscheinlichkeit und der Schadenshöhe. Das muss keine akademische Übung werden – eine halbtägige Risikoanalyse mit den relevanten Fachbereichen reicht für den Einstieg völlig aus.

Ein Beispiel aus der Praxis: Ein mittelständischer Zulieferer, der seinen IT-Notfallplan erstellen wollte, stellte in der Risikoanalyse fest, dass ein Ausfall der ERP-Anbindung ans Lager teurer wäre als ein kompletter Serverausfall im Verwaltungsbereich – schlicht, weil die Produktion sofort stillstand, während die Verwaltung tageweise auf Papier ausweichen konnte. Diese Priorisierung entscheidet später, welcher Baustein zuerst detailliert ausgearbeitet wird.

Baustein 2: RTO und RPO je System festlegen

Der zweite Baustein entscheidet später über Tempo und Kosten der Wiederherstellung: Für jedes geschäftskritische System werden zwei Werte definiert – die Recovery Time Objective (RTO, maximal tolerierbare Ausfallzeit) und die Recovery Point Objective (RPO, maximal tolerierbarer Datenverlust). Ein ERP-System verträgt in der Regel weniger Ausfallzeit als ein internes Wiki, eine Kundendatenbank weniger Datenverlust als ein Testsystem.

Baustein 3: Alarmierungs- und Kommunikationskette

Wer beim IT-Notfallplan erstellen die Kommunikation vergisst, verliert im Ernstfall wertvolle Zeit durch Improvisation. Der dritte Baustein legt fest:

1. Wer erkennt einen Vorfall und wen informiert er zuerst
2. Welche Rolle Entscheidungen trifft (IT-Leitung, Geschäftsführung, externe Dienstleister)
3. Wie Mitarbeitende informiert werden, wenn E-Mail und Intranet selbst betroffen sind
4. Ab welchem Schweregrad Kunden, Partner oder Behörden benachrichtigt werden müssen

Gerade der dritte Punkt wird häufig unterschätzt: Wenn der Vorfall genau die Systeme trifft, über die intern normalerweise kommuniziert wird, braucht es einen Kommunikationsweg außerhalb der eigenen Infrastruktur – etwa eine private Telefonliste oder eine Messenger-Gruppe auf privaten Geräten.

Baustein 4: Wiederanlaufplan mit konkreten Schritten

Der vierte Baustein ist das operative Herzstück: eine Schritt-für-Schritt-Anleitung, wie Systeme in der festgelegten Reihenfolge wiederhergestellt werden. Dazu gehören die Backup-Wiederherstellung mit Angabe des Speicherorts, Failover-Prozeduren für redundante Systeme und die Zugangsdaten-Verwaltung für den Notfall, getrennt von den regulären Systemen.

Wie eine belastbare Backup- und Wiederherstellungsstrategie technisch aufgebaut wird, beschreiben wir im Detail auf unserer Leistungsseite Backup & Disaster Recovery.

Baustein 5: Testen, üben, aktuell halten

Der letzte und meistübersprungene Baustein: Ein IT-Notfallplan, der nur für die Schublade geschrieben wird, hält im Ernstfall selten, was er verspricht. Wer seinen IT-Notfallplan erstellen und ihn anschließend nie wieder anfassen möchte, sollte sich bewusst sein, dass genau das der Grund ist, warum viele bestehende Pläne im Ernstfall versagen.

Sinnvoll sind mindestens einmal jährlich eine Tabletop-Übung mit den Verantwortlichen und punktuelle technische Tests einzelner Wiederherstellungsschritte, etwa eine Test-Wiederherstellung aus dem Backup. Nach jeder personellen oder technischen Veränderung – neuer Server, neuer Dienstleister, neue Verantwortlichkeit – sollte der Plan überprüft und aktualisiert werden.

IT-Notfallplan erstellen: was danach kommt

Mit diesen 5 Bausteinen steht ein funktionsfähiger, pragmatischer IT-Notfallplan. Das BSI empfiehlt für die meisten mittelständischen Unternehmen genau diesen Einstieg über das Reaktiv-BCMS, das schrittweise zu einem vollständigen Notfallhandbuch und perspektivisch zu einem vollständigen Business-Continuity-Management ausgebaut werden kann. Wichtig ist der erste, funktionsfähige Entwurf – nicht die Perfektion beim ersten Anlauf. Wer diesen ersten IT-Notfallplan erstellen und danach jährlich weiterentwickeln möchte, ist bereits deutlich besser aufgestellt als der Bitkom-Durchschnitt, bei dem nur jedes zehnte Unternehmen regelmäßige Krisenübungen durchführt.

Für Unternehmen, die zusätzlich unter die NIS2-Richtlinie fallen, ist ein dokumentiertes Notfallmanagement ohnehin keine Kür mehr, sondern Teil der regulatorischen Nachweispflicht. Wie Gemakom Mittelständler dabei mit einem herstellerunabhängigen 360-Grad-Sicherheitskonzept unterstützt, zeigt unser Beitrag zu Disaster Recovery im Mittelstand unter NIS2.

Häufige Fragen beim IT-Notfallplan erstellen

Wer sollte im Unternehmen den IT-Notfallplan erstellen? In der Praxis funktioniert es am besten, wenn die IT-Leitung den Plan fachlich verantwortet, die Geschäftsführung ihn aber formal freigibt – schließlich geht es um Geschäftsprozesse, nicht nur um Technik. Bei kleineren Unternehmen ohne eigene IT-Abteilung übernimmt das häufig der externe IT-Dienstleister gemeinsam mit der Geschäftsführung.

Reicht eine einfache Vorlage, oder muss ich gleich ein vollständiges BCMS aufbauen? Für den Einstieg reicht eine pragmatische Vorlage mit den 5 hier beschriebenen Bausteinen völlig aus. Das BSI selbst empfiehlt diesen Weg über das Reaktiv-BCMS als niedrigschwelligen ersten Schritt, der sich später bei Bedarf zu einem vollständigen Business-Continuity-Management-System ausbauen lässt.

Wie lange dauert es, einen IT-Notfallplan zu erstellen? Für einen ersten funktionsfähigen Entwurf nach den 5 Bausteinen sind bei einem typischen Mittelständler 2 bis 4 Personentage realistisch – verteilt auf Risikoanalyse, RTO/RPO-Festlegung, Kommunikationskette und Wiederanlaufplan. Die anschließende Pflege und die jährlichen Tests kommen als laufender Aufwand hinzu.

Wie oft muss der Plan aktualisiert werden? Mindestens einmal jährlich sowie nach jeder wesentlichen Veränderung an Systemen, Dienstleistern oder Verantwortlichkeiten. Ein IT-Notfallplan, der seit Jahren unverändert in der Schublade liegt, ist im Ernstfall oft wertlos, weil er längst überholte Zugangsdaten oder nicht mehr existierende Ansprechpartner enthält.

Fazit

Ein IT-Notfallplan erstellen heißt nicht, ein perfektes 100-seitiges Handbuch zu verfassen. Es heißt, mit Risikoanalyse, RTO/RPO-Werten, Kommunikationskette, Wiederanlaufplan und regelmäßigen Tests fünf konkrete Bausteine sauber umzusetzen – und diese Basis danach kontinuierlich zu pflegen. Wer diese Struktur einmal aufgebaut hat, ist im Ernstfall in Stunden statt in Tagen wieder handlungsfähig.

Vertiefende Beiträge zum Thema finden Sie hier: IT-Notfallplan: Damit Sie im Ernstfall handlungsfähig bleiben, Warum sich BSI-konformes IT-Notfallmanagement auszahlt und Die häufigsten Stolpersteine bei der Einführung von BSI-konformem IT-Notfallmanagement.