Aktuelle Themen wie Digitalisierung der Wirtschaft, Industrie 4.0 und eine Verlagerung vieler Geschäftsmodelle und Geschäftsprozesse in das Internet (E-Procurement, E-Commerce, E-Logistik, E-Recruitment, etc.) haben zu einer immer größeren Abhängigkeit vieler Unternehmen von einer leistungsfähigen und zuverlässigen IT-Infrastruktur geführt. Für die meisten Unternehmen in Deutschland gilt deshalb heute: Streikt die IT, ruht das Geschäft.

Bereits 2013 errechnete das Marktforschungsinstitut techconsult durchschnittliche IT-Ausfallkosten bei mittelständischen Unternehmen in Deutschland in Höhe von 25.000 Euro – pro Stunde! Multipliziert man diese Kosten mit der ebenfalls von techconsult ermittelten durchschnittlichen Wiederherstellungszeit von 3,8 Stunden, ergeben sich durchschnittliche Ausfallkosten pro Ausfall von fast 100.000 Euro.

Stromausfall, Systemschaden, Fehlbedienung, Hackerangriff

Gründe und Ursachen für einen Ausfall von Teilen oder sogar des gesamten IT-Systems gibt es natürlich viele. Sie reichen von dem häufig zitierten Fall, dass bei Bauarbeiten ein Stromkabel „gekappt“ wird und dadurch der Strom ausfällt bis zum unumgänglichen Fall, dass Hardware- und/oder Software-Komponenten „ihren Geist aufgeben“. Darüber hinaus passieren natürlich überall dort, wo Menschen arbeiten, Fehler – und auch diese können zu einem Systemausfall führen, sei es durch einen Fehler eines Endanwenders oder eines Mitarbeiters in der IT-Abteilung.

Immer häufiger wird in jüngster Vergangenheit von externen Angriffen auf IT-Systeme von Unternehmen berichtet, die im schlimmsten Fall einen Ausfall des Systems verursachen. Dabei kann der Ausfall durch den Angriff selbst, aber auch als Vorsichtsmaßnahmen von IT-Security-Lösungen ausgelöst werden, um den Angriff abzuwehren. In letzterem Fall sollte man dann auch nicht von einem Ausfall, sondern von einem Herunterfahren sprechen. Das Ergebnis ist allerdings das gleiche: Das IT-System steht für eine gewisse Zeit nicht zur Verfügung.

Lückenlose und kontinuierlich aktualisierte  IT-Dokumentation als wichtige Grundlage

Eine wichtige Voraussetzung, um für den Notfall gewappnet zu sein, ist es, generell alle wichtigen Informationen über das IT-System in einer IT-Dokumentation „sauber“, d.h. lückenlos und kontinuierlich zu dokumentieren.

Zu den Informationen, die im Rahmen einer IT-Dokumentation erfasst werden sollten, gehören u.a. technische Informationen und Daten, z.B. zu:

• Hardware-Komponenten (Server, Endgeräte)
• Peripheriegeräten (Drucker, Scanner, Telefax)
• Software-Anwendungen
• IP-Adressen
• Installations- und Konfigurationshinweisen
• VPN/Terminalserverzugängen
• E-Mail/Exchange Daten
• Sicherheitssoftware und Hardware
• Backup-Plänen

aber auch organisatorische Informationen wie:

• User-Listen
• Verantwortliche und Ansprechpartner für bestimmte IT-Bereiche
• externe Dienstleister und deren Kontaktdaten
• Internet/Telefon Provider und Vertragsinformationen.

An dieser Stelle nochmals der wichtige Hinweis: Diese Dokumentation muss regelmäßig gepflegt und aktualisiert werden.

Worst Case: IT-Notfallhandbuch – Struktur und Inhalte

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert das Notfallhandbuch wie folgt: „Das Notfallhandbuch umfasst alle Dokumente, die eine angemessene Reaktion auf Krisen und Notfälle unterstützen sollen.“

Ziel ist es dabei, gezielt kritische Stellen (besonders ausfallgefährdet und besonders stark für den Betriebsablauf notwendig) im IT-System zu suchen und für diese Bereich Szenarien zu erstellen, mit denen im Falle eines Notfalls eine schnelle Lösung gefunden werden kann.

Zentrale Bestandteile eines IT-Notfallhandbuchs sind laut BSI:

• Geschäftsfortführungspläne
  Diese Dokumente beschreiben die Handlungsschritte für die Wiederherstellung der Geschäftsprozesse nach Krisen und Notfällen, beispielsweise die Schritte zur Inbetriebnahme eines Ausweichrechenzentrums.
• Wiederanlaufpläne
  Diese Dokumente beschreiben die Handlungsschritte für die Wiederherstellung oder den Wiederanlauf wichtiger Ressourcen, die Priorität, mit der diese Schritte erfolgen müssen sowie die zugehörigen Verantwortlichkeiten. Wiederanlaufpläne umspannen einen Zyklus beginnend mit der Fehlerbehebung und der Aufnahme des Notbetriebs, beispielsweise dem Anlauf eines Ausweichrechenzentrums, der Inbetriebnahme alternativer Produktionsanlagen oder der Einrichtung mobiler Arbeitsplätze, bis hin zur Rückführung in den Normalbetrieb.

Struktur und Inhalt eines IT-Notfallhandbuchs hängen natürlich maßgeblich vom Struktur und Aufbau des jeweiligen IT-Systems ab. Denn sollten die folgenden Punkte in keinem IT-Notfallhandbuch fehlen:

• Personalliste mit Rufnummern, E-Mail, etc.
• Alarmierungspläne und Meldewege
• Beschaffungsprozesse im Notfall
• Maßnahmen nach Beendigung eines Notfalls, Dokumentation des Vorfalls
• Maßnahmen zur Notfallvorsorge, Notfallvorsorgeplan

Fazit: Die hohe IT-Abhängigkeit vieler Unternehmen wird zukünftig weiter steigen und zwingt diese Unternehmen förmlich dazu, sich mit dem „worst case“, einem Systemausfall, zu beschäftigen und ein entsprechendes „worst case scenario“ zu durchdenken. Das IT-Notfallhandbuch ist dabei eine zentrale Komponente, um einen Systemausfall schnellstmöglich zu beheben und damit die mit einem Notfall verbunden Kosten so gering wie möglich zu halten.

Externe Hilfe beim Erstellen und Aktualisieren des IT-Notfallhandbuchs

Wie aus den Ausführungen hier im Beitrag deutlich wurde, ist das Erstellen eines IT-Notfallhandbuchs nichts, was man „mal schnell nebenher“ erledigen kann. Auf der einen Seite ist dessen Bedeutung – insbesondere im Notfall – viel zu hoch, auf der anderen Seite kann das Erstellen bei einer heterogenen IT-Landschaft sehr schnell komplex werden. Dasselbe gilt natürlich auch für die regelmäßige Aktualisierung. Aus diesem Grund macht es in vielen Fällen Sinn, die Kompetenz und Erfahrung externer Fachleute zu nutzen.

Falls Sie also beim Erstellen und Aktualisieren Ihres eigenen IT-Notfallhandbuchs Unterstützung benötigen, stehen wir Ihnen gerne zur Verfügung.