Notfallplan für ein 10-Personen-Unternehmen: Was muss drinstehen, ohne dass es ein Wälzer wird?

Das Erste, was ihr tun solltet: den Plan nicht auf dem Firmenserver aufbewahren. Wenn Ransomware reinkommt, kommt ihr nicht mehr an euren eigenen Server. Eine gedruckte Kopie beim Geschäftsführer und beim technischen Lead, eine Kopie in einem unabhängigen externen Cloud-Ordner. Und für die Kommunikation sollte von Anfang an ein Kanal außerhalb der Firmen-E-Mail festgelegt werden.

Wir betreiben eine Agentur ähnlicher Größe in München. Letztes Jahr wurde das E-Mail-Konto eines Kunden übernommen. Weil wir vorher nicht aufgeschrieben hatten, wer wen anruft, haben wir die ersten 4 Stunden mit interner Panik und gegenseitigem Nachfragen verloren. Nach dem Vorfall haben wir ein einseitiges Flussdiagramm erstellt. Die Erstellung hat uns nur 3 Stunden gekostet, aber beim nächsten kleinen DNS-Problem waren wir in 20 Minuten organisiert.

Der größte Fehler auf technischer Seite ist, in Panik den Serverstecker zu ziehen oder sofort neu zu starten. Die flüchtigen Speicherinhalte im RAM werden gelöscht und ihr könnt nicht mehr feststellen, wo der Angreifer reingekommen ist. Im Plan muss klar die Regel stehen: „Maschine nicht ausschalten, nur das Netzwerkkabel ziehen oder den Netzwerkadapter der virtuellen Maschine deaktivieren".

Wenn ihr in Deutschland tätig seid, lasst die rechtliche Seite nicht außer Acht. In eurem Notfallplan muss die 72-stündige Meldepflicht an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO und gegebenenfalls der Prozess der Benachrichtigung der Betroffenen als klarer Schritt stehen. Unternehmen verpassen diese Frist im internen Chaos häufig.

Diese Audit-Formulare, die eure Kunden schicken, sind Unternehmens-Checklisten. Der zweiseitige Plan, den ihr erstellt, funktioniert intern super, aber ein Unternehmensprüfer sucht vielleicht nach Punkten wie einem 24/7-Betriebszentrum. Schreibt den Plan, aber zieht bei der Präsentation beim Kunden klare Grenzen, indem ihr sagt „agiler Plan, angepasst an eine 10-köpfige Organisationsstruktur", sonst geratet ihr unnötig unter Druck.

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

bei uns im team sind auch 8 leute als wir in eine ähnliche situation kamen, haben wir gemerkt dass keiner die nummer vom anwalt kennt. die liste mit den notfallnummern und die backup-kontaktadresse von allen ist der kritischste teil. die datei kann meinetwegen notfallplan heißen der inhalt soll eine 2-seitige zusammenfassung bleiben.

Fragt euer Kunde im Audit nur nach der Existenz des Plans oder verlangt er auch den letzten Testbericht und eine Drittanbieter-Bestätigung? Manche Audits wollen nur ein Übungsprotokoll sehen, andere verlangen einen externen Prüfbericht. Habt ihr den Sicherheitsanhang in eurem Vertrag geprüft?

Macht euch keinen Druck, ihr müsst euch überhaupt nicht in Unternehmensvorlagen ertränken. Fügt eurem Plan auch eine einfache Klassifizierung hinzu, die den Schweregrad des Vorfalls angibt: Niedrig (ein einzelner Nutzer betroffen), Mittel (Dienstausfall, aber Daten sicher), Hoch (Datenleck oder kritischer Datenverlust). Diese Klassifizierung macht sehr klar, wer wann benachrichtigt wird.

Ich bin in derselben Situation, deshalb frage ich. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich stimme zu, möchte das sogar besonders betonen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich hätte eine Frage möchte aber nicht vom Thema abschweifen. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels. Korrigiert mich falls ich falsch liege.

Vielen Dank, ich werde es heute testen.

ich probiere es aus und schauut zuerst welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

wenn es jemand anders macht, würde mich das auch interessieren.

Dieses Thema ist archiviert.

Bei uns war es so. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Wenn es jemand anders macht, würde mich das auch interessieren.

Ein Thema, das gerade aktuell ist.

ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab dann übrigens der meiste Zeitverlust entseht durch Arbeiten, die auf Freigaben warten.

ich hoffe, das hlft dir weiter.

Ja, die Situation bei Notfallplan ist genau so. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.