IT-Notfallplan für KMU: Was tun wenn die IT ausfällt?

Ransomware schlägt um 2 Uhr nachts zu – alle Dateien verschlüsselt. Der Hauptserver gibt nach einem Stromausfall den Geist auf. Ein Mitarbeiter löscht versehentlich den gesamten Kundenordner. Diese Szenarien klingen dramatisch, treffen aber kleine und mittlere Unternehmen in Deutschland regelmäßig. Wer ohne IT-Notfallplan dasteht, verliert nicht nur Daten – sondern oft Kunden, Vertrauen und im schlimmsten Fall die Existenzgrundlage.

Warum KMU besonders gefährdet sind

Große Konzerne verfügen über dedizierte Security-Teams und ausgereifte Incident-Response-Prozesse. KMU mit 5 bis 150 Mitarbeitern kämpfen hingegen mit begrenzten Ressourcen und gewachsenen IT-Strukturen – und das wissen Angreifer. Allein im Mai 2026 wurde die Ransomware-Gruppe „Nitrogen” bei gezielten Angriffen auf Fertigungsunternehmen aktiv. Parallel kursieren kritische Zero-Day-Lücken in Microsoft Exchange und Cisco SD-WAN-Systemen – Infrastruktur, die viele ostdeutsche KMU täglich nutzen.

Ein IT-Notfallplan ist keine bürokratische Pflichtübung. Er ist die Feuerwehrübung für Ihren Betrieb – durchgeführt bevor es brennt.

Was gehört in einen IT-Notfallplan für KMU?

Ein praxistauglicher IT-Notfallplan besteht aus vier Bausteinen, die aufeinander aufbauen.

1. Risikoanalyse: Was kann passieren?

Bevor Sie einen Plan formulieren, müssen Sie wissen, gegen welche Szenarien Sie sich absichern. Typische IT-Notfälle für KMU:

• Ransomware-Angriff: Daten werden verschlüsselt, Lösegeld gefordert
• Hardware-Ausfall: Server, NAS oder Router sterben plötzlich
• Menschliches Versagen: Daten versehentlich gelöscht oder überschrieben
• Stromausfall / Naturkatastrophen: Feuer, Hochwasser, Blitzschlag
• Phishing mit Folgeschäden: Zugangsdaten kompromittiert, E-Mail-Konten gekapert

Für jedes Szenario halten Sie fest: Wie wahrscheinlich ist es? Wie hoch wäre der Schaden? Diese einfache Einschätzung hilft Ihnen, Prioritäten zu setzen und Ressourcen gezielt einzusetzen.

2. Notfallkontakte und Verantwortlichkeiten

Wenn der IT-Notfall eintritt, darf keine Zeit mit der Frage verschwendet werden, wer jetzt anzurufen ist. Legen Sie schriftlich fest:

• Wer ist interner IT-Ansprechpartner – auch wenn es „der Kollege, der sich mit Computern auskennt” ist?
• Welcher externe IT-Dienstleister ist im Notfall erreichbar?
• Wann informieren Sie die Geschäftsleitung?
• Ab wann müssen Kunden oder Behörden informiert werden? Laut DSGVO muss eine Datenpanne binnen 72 Stunden an die zuständige Datenschutzbehörde gemeldet werden.

Notieren Sie alle Telefonnummern auf einem gedruckten Dokument – Ihr digitales Adressbuch hilft nicht, wenn der Server weg ist.

3. Sofortmaßnahmen je Szenario

Für jeden Notfalltyp brauchen Sie eine klare Handlungsanweisung. Beispiel Ransomware-Angriff:

1. Sofort: Betroffene Systeme vom Netzwerk trennen (Kabel ziehen, WLAN deaktivieren)
2. Innerhalb 15 Minuten: IT-Notfallkontakt anrufen
3. Parallel: Backup-Status prüfen – gibt es ein aktuelles, sauberes Backup?
4. Nicht tun: Lösegeld zahlen (keine Garantie auf Entschlüsselung, finanziert weitere Angriffe)
5. Innerhalb 24 Stunden: BSI-Meldestelle informieren, ggf. Strafanzeige beim LKA Sachsen erstatten
6. Wiederherstellung: Systeme neu aufsetzen, Backup einspielen, Sicherheitslücken schließen

Vergleichbare Checklisten sollten Sie für Hardware-Ausfall, Datenverlust und kompromittierte Benutzerkonten anlegen.

4. Backup-Strategie als Kern des Plans

Kein IT-Notfallplan funktioniert ohne funktionierende Backups. Die 3-2-1-Regel gilt weiterhin als Mindeststandard:

• 3 Kopien Ihrer Daten
• auf 2 unterschiedlichen Medientypen (z. B. NAS + externe Festplatte)
• davon 1 Kopie außerhalb des Unternehmens (Offsite-Backup oder verschlüsselte Cloud)

Entscheidend: Backups müssen regelmäßig getestet werden. Ein Backup, das sich nicht wiederherstellen lässt, ist wertlos. Planen Sie mindestens einmal pro Quartal einen echten Restore-Test ein.

Praxisteil: IT-Notfallplan in 5 Schritten erstellen

Diese Anleitung ist auf kleine Unternehmen in Dresden und Sachsen ausgerichtet – pragmatisch, ohne aufgeblähte Bürokratie.

Schritt 1 – IT-Inventar aufnehmen
Welche Systeme sind geschäftskritisch? Server, Arbeitsplätze, Cloud-Dienste, Telefonanlage – alles dokumentieren, inklusive Verantwortlicher und Wiederherstellungsanleitung.

Schritt 2 – Maximale Ausfallzeit definieren (RTO)
Wie lange kann Ihr Betrieb ohne E-Mail, ohne ERP, ohne Telefon arbeiten? Diese maximal tolerierbare Ausfallzeit (Recovery Time Objective) bestimmt, wie schnell Ihr Plan greifen muss.

Schritt 3 – Verantwortliche benennen
Bestimmen Sie einen IT-Notfallbeauftragten. Stellen Sie sicher, dass seine Stellvertretung den Plan ebenso kennt – Urlaub und Krankheit kommen immer zum ungünstigsten Zeitpunkt.

Schritt 4 – Plan ausdrucken und verteilen
Ein IT-Notfallplan im Kopf hilft nicht, wenn Sie im Urlaub sind. Drucken Sie ihn aus und hinterlegen Sie ihn an mehreren Stellen: im Büro, beim Steuerberater, zu Hause.

Schritt 5 – Regelmäßig üben und aktualisieren
Führen Sie mindestens einmal jährlich eine Notfallübung durch. Simulieren Sie einen Ransomware-Befall oder einen Server-Ausfall im Trockentraining. Passen Sie den Plan nach jedem Vorfall und nach jeder größeren IT-Änderung an.

Welche Systeme unterstützen den Notfallplan?

Für KMU haben sich folgende technische Bausteine bewährt:

• OPNsense Firewall: Netzwerkschutz und Überwachung des Datenverkehrs – erkennt Anomalien frühzeitig
• WireGuard VPN: Sichere Fernzugriffe auch im Notfall, wenn Mitarbeiter von zu Hause arbeiten müssen
• Nextcloud mit Versionierung: Schutz vor versehentlichem Datenverlust durch automatische Dateihistorie
• Monitoring-Lösung (z. B. Grafana/Prometheus oder Zabbix): Frühwarnsystem für drohende Hardware-Ausfälle
• Offline-Backups: Bandlaufwerk oder externe Festplatte, die regelmäßig getrennt gelagert wird

Dresden und Sachsen: Besondere Ausgangslage für ostdeutsche KMU

Viele ostdeutsche KMU sind in Fertigung, Handwerk und Dienstleistung tätig – Branchen mit gewachsenen IT-Strukturen, die selten sauber dokumentiert sind. Gerade hier zeigt sich der Wert eines strukturierten IT-Notfallplans: Er zwingt dazu, die eigene Infrastruktur einmal vollständig zu durchleuchten.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet mit dem BSI-Grundschutz kostenloses Begleitmaterial speziell für KMU an – ein guter Ausgangspunkt für die eigene Planung.

Sie suchen Unterstützung in Dresden? Rexoma IT hilft KMU in Sachsen dabei, einen praxistauglichen IT-Notfallplan zu erstellen, Backups einzurichten und Systeme abzusichern. Vom ersten Beratungsgespräch bis zur vollständigen Umsetzung begleiten wir Sie Schritt für Schritt. Jetzt Kontakt aufnehmen

Häufige Fragen zum IT-Notfallplan für KMU

Was kostet ein IT-Notfallplan?

Die Erstellung eines einfachen IT-Notfallplans erfordert primär Zeit, keine teuren Werkzeuge. Für KMU ohne eigene IT-Abteilung empfiehlt sich ein externer IT-Dienstleister, der Risikoanalyse und Dokumentation strukturiert übernimmt.

Bin ich als KMU gesetzlich verpflichtet, einen IT-Notfallplan zu haben?

Unter der NIS2-Richtlinie (in Deutschland seit Oktober 2024 in Umsetzung) sind KMU in bestimmten kritischen Sektoren zu Business Continuity Management verpflichtet. Auch ohne gesetzliche Pflicht ist ein IT-Notfallplan betriebswirtschaftlich unverzichtbar.

Wie oft sollte der Plan aktualisiert werden?

Mindestens einmal jährlich sowie nach jeder größeren Änderung der IT-Infrastruktur oder nach einem tatsächlichen Notfall. Veraltete Pläne können im Ernstfall mehr schaden als nützen.

Was ist der Unterschied zwischen IT-Notfallplan und Backup?

Ein Backup ist eine wichtige Komponente des IT-Notfallplans, aber nur ein Teil davon. Der Plan umfasst zusätzlich Verantwortlichkeiten, Kommunikationswege, Sofortmaßnahmen und Wiederherstellungsprozesse.

Muss ich bei einem Cyberangriff die Polizei informieren?

Das ist freiwillig, aber empfohlen. Die Landeskriminalämter haben spezialisierte Cybercrime-Einheiten. In Sachsen ist das LKA Sachsen der richtige Ansprechpartner. Bei einem Datenschutzvorfall muss außerdem der Sächsische Datenschutzbeauftragte binnen 72 Stunden informiert werden.