IT-Notfallplan für kleine Firmen: welche Zugänge greifbar sein müssen

Der Notfallplan einer kleinen Firma in Kurzform

Als Einstieg ins Notfallmanagement stellt die Allianz für Cyber-Sicherheit des BSI ein kostenloses Paket bereit, gedacht besonders für kleine und mittlere Firmen: die IT-Notfallkarte zum Aushängen, den Maßnahmenkatalog zum Notfallmanagement für die Geschäftsführung und die TOP 12 Maßnahmen bei Cyber-Angriffen für den IT-Dienstleister. Die Karte sagt jedem im Team, wen er anruft. Der Katalog sagt der Geschäftsführung, was vorher festgelegt sein muss.

Eine Liste der Zugänge enthalten die Vorlagen nicht, die muss jede Firma selbst anlegen. Im Ernstfall müssen die Verwaltungskonten für E-Mail, Domain, Router, Server und Datensicherung greifbar sein, dazu Wiederherstellungscodes und eine Liste mit Telefonnummern. Greifbar heißt: von einem Gerät aus, das nicht im betroffenen Büronetz hängt, und für die Nummern auch auf Papier. Diese Seite stützt sich auf die drei Dokumente der Allianz und auf das BSI-Arbeitspapier zur Ersten Hilfe bei schweren Vorfällen, abgerufen am 14.10.2026.

Die drei Dokumente des BSI-Pakets

Die Karte fragt bei einer Meldung: wer meldet, welches System betroffen ist, wie damit gearbeitet wurde, was auffiel, wann und wo. Dazu kommen drei Regeln: die Arbeit am System einstellen, Beobachtungen aufschreiben, nur auf Anweisung etwas unternehmen. Ob wirklich ein Notfall vorliegt, muss laut den Erläuterungen der Allianz nicht der einzelne Mitarbeiter beurteilen. Im Zweifel ruft er lieber einmal mehr an.

Vor dem Aushängen tragen Sie die Notfallnummer mit einem PDF-Programm in die Karte ein, etwa die Nummer Ihres IT-Dienstleisters. Die Nutzungsbedingungen erlauben, die Felder zu füllen und die Karte im Betrieb zu verbreiten, auch über Ihren Dienstleister. Weitere Änderungen sind nicht erlaubt. Für ein eigenes Logo gibt es eine eigene Fassung mit freier Fläche.

Was der Maßnahmenkatalog zu Zugängen verlangt

Ein eigenes Kapitel zu Passwörtern hat der Katalog nicht. Diese Punkte daraus betreffen Zugänge und Unterlagen, die im Ernstfall greifbar sein müssen:

• Standardpasswörter in allen Komponenten ändern, sichere Passwörter nutzen und, wo möglich, einen zweiten Faktor.
• Administrator-Konten und andere Konten mit besonderen Rechten zum Beispiel mit Zwei-Faktor-Anmeldung schützen und Rechte sparsam vergeben.
• Die IT inventarisieren und dokumentieren, einschließlich Netzplan.
• Regelmäßig sichern und die Wiederherstellung regelmäßig testen.
• Eine Liste aller Ansprechpartner führen und mit ihnen Erreichbarkeit und Verfügbarkeit vorab klären.
• Einen Erstkontakt für IT-Notfälle bestimmen, ein geschulter Mitarbeiter oder ein IT-Dienstleister, und seine Erreichbarkeit zu den Arbeitszeiten des Betriebs sicherstellen.

Wie Standardpasswörter auf Routern, Druckern und Kameras ersetzt werden, steht unter Standardpasswörter von Geräten. Wo die Übersicht über Geräte und Verträge hingehört, ohne dass Passwörter in die Dokumentation wandern, behandelt IT-Dokumentation und Zugangsdaten.

Diese Zugänge müssen im Ernstfall greifbar sein

Das Kennwort der Datensicherung gehört unbedingt dazu. Eine verschlüsselte Sicherung lässt sich ohne dieses Kennwort nicht zurückspielen. Kennt es nur der frühere Dienstleister, hat die Firma im Ernstfall keine brauchbare Sicherung. Für die Rechner gilt dasselbe beim Wiederherstellungsschlüssel, siehe BitLocker-Wiederherstellungsschlüssel in der Firma, und bei den lokalen Administratorkennwörtern. Wie die Notfallkonten in Microsoft 365 aufgebaut werden, beschreibt Microsoft 365: Admin-Notfallkonto, die Ablage von Codes Wiederherstellungscodes aufbewahren.

Im Ernstfall gelten eigene Regeln für Passwörter

Das BSI-Arbeitspapier „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ (PDF, Version 1.2 vom 07.10.2022) nennt als oberste technische Regel: Niemand meldet sich mit einem Administratorkonto an einem möglicherweise befallenen Rechner an, solange der im Firmennetz oder am Internet hängt. Betroffene Rechner trennen Sie vom Netz, indem Sie das Netzwerkkabel ziehen, und schalten sie nicht aus.

Alle Zugangsdaten, die auf befallenen Rechnern gespeichert sind oder dort nach der Infektion eingetippt wurden, gelten laut BSI als bekannt. Das Papier zählt dazu ausdrücklich die Passwörter im Browser, in Mailprogrammen, für Fernzugriffe und für Fachverfahren. Nach der Bereinigung ändert der IT-Dienstleister laut BSI von sauberen Geräten aus alle Administratorkennwörter und die Kennwörter der Dienste auf den Servern.

Für den Plan heißt das: Die Zugänge aus der Tabelle oben müssen von einem Gerät erreichbar sein, das nicht im Büronetz hängt, etwa dem Handy der Geschäftsführung über Mobilfunk. Außerdem braucht die Firma eine Liste der Zugänge, die nach dem Vorfall geändert werden müssen. Wer seine Passwörter im Browser der Büro-PCs gespeichert hat, muss sie nach einem Befall alle als verloren ansehen, mehr dazu unter Passwörter in Excel oder im Browser.

Auch die Telefone können ausfallen. Das BSI weist darauf hin, dass PC und Internettelefonie in einem schweren Vorfall nicht mehr nutzbar sein können, und rät zu Ersatz wie Handys oder einem Laptop mit mobilem Hotspot. Die Liste mit Namen, Nummern und Mailadressen der Ansprechpartner gehört deshalb ausgedruckt neben die Notfallkarte.

Papier für Nummern, Tresor für Passwörter

Auf Papier gehören die Dinge, die ohne Strom und Netz lesbar sein müssen und keinem Angreifer weiterhelfen: die Notfallkarte mit der Nummer, die Liste der Ansprechpartner mit Kundennummern, die Reihenfolge der ersten Schritte. Die Passwörter gehören nicht auf diese Liste.

Bei Passwortheld liegt der Tresor auf einem eigenen Server der Firma bei netcup und damit außerhalb des Büronetzes. Ist das Büronetz befallen, erreichen Geschäftsführung und IT-Dienstleister ihn mit der App auf einem anderen Gerät, sofern der Server selbst läuft. Eine Zusage für Verfügbarkeit ist das nicht. Ist der Server nicht erreichbar, lässt sich laut der Hilfe des App-Herstellers jede bereits entsperrte App weiter lesend nutzen, auch bei einem selbst betriebenen Server. Neue Einträge oder Änderungen gehen dann nicht. Legen Sie die Zugänge aus der Tabelle in eine eigene Sammlung „IT-Notfall“. Der IT-Dienstleister bekommt dafür ein eigenes Konto, das nur diese Sammlung sieht, ohne Aufpreis, weil es keine Nutzergrenze gibt.

Für den Ausfall einer Person gibt es eine eigene Vorlage: das kostenlose Notfallblatt für Firmenpasswörter (PDF). Es hält fest, wer vertritt und auf welchem Weg die Vertretung in den Tresor kommt. Für den IT-Notfall nutzen Sie den Abschnitt zum Weg in den Tresor genauso und ergänzen die Sammlung „IT-Notfall“ und die Nummer des IT-Dienstleisters. Was gilt, wenn nicht die Technik, sondern die Geschäftsführung ausfällt, steht im Ratgeber Notfallzugriff auf Firmenpasswörter.

Melden, holen, nachbereiten

Für die Bewältigung nennt der Maßnahmenkatalog die Zentrale Ansprechstelle Cybercrime beim Landeskriminalamt und eine mögliche Anzeige, dazu eine freiwillige Meldung an die Meldestelle der Allianz für Cyber-Sicherheit und die Meldepflichten, etwa beim Datenschutz. Die Ansprechstelle Ihres Landes finden Sie in der Übersicht nach Bundesland. Als Hilfe von außen nennt der Katalog unter anderem qualifizierte Dienstleister auf den Seiten des BSI und die Ansprechpartner der IHK. Das Service-Center des BSI ist unter 0800 274 1000 erreichbar.

Nach dem Vorfall verlangt der Katalog, die Dokumentation aktuell zu halten und zu prüfen, welche Regeln nachgebessert werden müssen. Für die Zugänge heißt das: Wer einen Zugang geändert hat, trägt ihn im Tresor nach, und die Geschäftsführung geht die Sammlung „IT-Notfall“ mit dem neuen Stand durch.

Einmal im Jahr durchspielen

Der Katalog empfiehlt, Notfallszenarien jeder Art zu üben. In einer kleinen Firma kann das eine Stunde am Besprechungstisch sein: Die Geschäftsführung sagt ein Szenario an, und jeder sagt, was er jetzt tun würde und welchen Zugang er dafür braucht.

Ein erfundenes Beispiel: Eine Fahrschule mit zwei Filialen und sechs Fahrlehrern spielt durch, dass der Router der Hauptfiliale ausgefallen ist und das Büro weder Internet noch Telefon hat. Die Inhaberin sitzt in der zweiten Filiale, will den Anbieter anrufen und merkt, dass Kundennummer und Störungsnummer nur in einer Mail im Büropostfach stehen. Auf ihrem Handy ist das Büropostfach nicht eingerichtet, und das Passwort dafür ist nur im Browser des PCs in der Hauptfiliale gespeichert. Nach der Übung stehen beide Nummern auf der ausgedruckten Liste und der Zugang zum Kundenkonto des Anbieters in der Sammlung „IT-Notfall“. Welche Zugänge eine Fahrschule sonst hat, zeigt die Seite für Fahrschulen.