In den meisten kleinen und mittleren Unternehmen lebt der „Notfallplan" im Kopf einer Person. Meistens ist es derselbe IT-Mensch, der jeden Server beim Namen kennt, die Nummer des Internetanbieters im Handy hat und weiß, wo der Schlüssel zum Serverschrank liegt. Solange diese Person ans Telefon geht, läuft alles. In dem Moment, in dem sie nicht abnimmt, hat das Unternehmen plötzlich ein sehr ernstes Problem.
Das ist keine Paranoia, sondern schlichte Wahrscheinlichkeitsrechnung. Innerhalb von zwei Jahren trifft jedes Unternehmen auf etwas aus der Liste: ein Server fällt aus, ein Glasfaserkabel wird durchtrennt, eine Schlüsselperson wird krank, Ransomware kommt ins Netzwerk, der Strom fällt sechs Stunden aus. Das sind keine Filmszenarien. Das sind Dienstage im Mittelstand.
„Business Continuity Plan" klingt nach Konzern. So muss er nicht aussehen.
Ein Notfallplan ist kein 200-Seiten-Bericht
Manche Beratungen verkaufen „BCP-Erstellung" als monatelanges Projekt mit einem Waggon voller Dokumente. Die meisten KMU brauchen so etwas nicht. Sie brauchen eine A4-Seite, auf der drei Dinge stehen:
- was wir tun, wenn X ausfällt,
- wer wen anruft, in welcher Reihenfolge,
- wo die Passwörter, Schlüssel und Kontakte liegen, mit denen man anfangen kann.
Diese Seite liegt ausgedruckt an mehreren Orten — Empfang, Tresor, Wohnung der Geschäftsführung — denn wenn das Netzwerk ausfällt, fällt auch der Zugriff auf die Datei in SharePoint aus. Dieses Detail klingt banal, bis du versuchst, ein Passwort aus einem Passwort-Manager zu holen, der ohne Internet nicht aufgeht.
Fünf Szenarien, auf die du eine Antwort brauchst
Du musst nicht jeden möglichen Ausfall durchdenken. Es reicht, dass du auf fünf Szenarien eine schriftliche Antwort hast:
- Kein Internet im Büro. Haben wir eine Ersatzleitung (LTE, eine zweite Leitung von einem anderen Anbieter)? Wer schließt sie an? Wie lange halten wir ohne Netz aus, bevor die Kunden wütend anrufen?
- Ein kritischer Server ist ausgefallen. Wo ist die Hardware-Dokumentation? Wer hat einen aktuellen Kontakt zum Server-Lieferanten und zum Lizenzgeber? Welche Funktionen können wir vorübergehend in die Cloud oder auf eine zweite Maschine schieben?
- Ransomware oder ein ernster Sicherheitsvorfall. Wen benachrichtigen wir in der ersten Stunde (CSIRT, Versicherung, Anwalt, vertraglich gebundene Kunden)? Was trennen wir sofort vom Netz? Woher stellen wir wieder her?
- Die zentrale IT-Person ist eine Woche lang nicht erreichbar. Weiß sonst jemand im Unternehmen, wo die Passwörter für ERP, Hosting und Domain liegen? Hat die IT-Person eine echte, eingearbeitete Vertretung?
- Stromausfall oder physischer Schaden im Büro (Brand, Wasser, Evakuierung). Kann das Team aus dem Stand remote arbeiten? Hat es überhaupt Laptops und Heimzugang? Hat kürzlich jemand getestet, dass das VPN von außen tatsächlich funktioniert?
Jede dieser fünf Situationen kommt statistisch häufiger vor, als man es wahrhaben will. Der Plan für jede sollte in ein paar Sätze passen.
Bei einem unserer Kunden — einem 35-Personen-Großhändler für Industrieteile bei Posen — fiel an einem Freitagnachmittag der RAID-Controller im Server aus, auf dem Comarch Optima und das Lagersystem liefen. Der Haupt-IT-Mann war auf einer Hochzeit und ging nicht ans Telefon. Sonst wusste niemand im Unternehmen, wo die Backups liegen, wen man beim Server-Lieferanten anrufen kann oder ob überhaupt ein Plan B existiert. Am Montagmorgen war das Unternehmen noch immer offline; der Wiederaufbau dauerte vier Arbeitstage und kostete rund 80.000 PLN an verzögerten Lieferungen und Vertragsstrafen mit zwei größeren Kunden. Ein einseitiger Plan — wer ruft wen an, in welcher Reihenfolge, mit welchen Nummern zur Hand — hätte diesen Ausfall von Tagen auf Stunden verkürzt.
Die eine Seite — was draufsteht
Konkret sollte auf dieser einen Seite stehen:
- Kritische Systeme — namentlich aufgelistet: ERP (Comarch Optima, enova365, Subiekt), E-Mail, Kassen, Lagersystem, Zutrittskontrolle. Ohne diese Liste weiß niemand, was zuerst gerettet wird.
- Notfallkontakte — Name, Mobilnummer, Rolle. Internetanbieter, ERP-Lieferant, Server-Service-Firma, IT-Person und Vertretung, Steuerberater, Anwalt, Versicherung. Mit Mobilnummern, nicht nur Festnetz — am Freitag um 17 Uhr nimmt das Bürotelefon keiner ab.
- Wo Passwörter und Schlüssel liegen — nicht die Passwörter selbst (die liegen im Manager), sondern „wo zu suchen ist": welcher Manager, wer hat das Master-Passwort, wo liegt der physische Schlüssel zum Serverschrank, wer kennt den PIN für die Alarmanlage nach Feierabend.
- Ein kurzes Runbook für die drei häufigsten Szenarien — in der Form „wenn X, dann tu Y". Drei bis fünf Schritte, kein Handbuch. Das Ziel: eine Buchhalterin mit fünf Jahren im Haus soll die ersten drei Schritte ausführen können, ohne jemanden anzurufen.
- Wer hat Vollmacht für finanzielle Entscheidungen in der Krise — etwa die Freigabe eines Sonntagseinsatzes des Server-Notdienstes für 8.000 PLN oder den Kauf von Ersatzgeräten auf die Firmenkarte.
Das ist alles. Eine A4-Seite, beidseitig gedruckt — im Mittelstand reicht das meistens.
Eine „Was wäre, wenn …"-Übung
Ein Plan, der nie getestet wurde, ist so viel Mythos wie ein Backup, das nie wiederhergestellt wurde. Zweimal im Jahr lohnt sich eine kurze Trockenübung im Unternehmen.
Wähle ein Szenario. Zum Beispiel: „in den nächsten zwei Stunden tun wir so, als wären Internet und ERP-Server aus". Schalte den Router physisch aus (oder erkläre ihn für ausgeschaltet — es geht um die Simulation, nicht darum, den Betrieb lahmzulegen). Beobachte, was im Team passiert. Wer weiß, was zu tun ist? Wer läuft zum Chef? Greift jemand zum ausgedruckten Plan oder sucht ihn auf den Laufwerken?
Nach zwei Stunden hol das Team für fünfzehn Minuten zusammen und schreibt auf: was funktionierte, was nicht, wo war Chaos, was hat im Plan gefehlt. Aktualisiere die Seite. Wiederhole in sechs Monaten mit einem anderen Szenario.
Das kostet nichts außer zwei Stunden zweimal im Jahr. Die meisten Unternehmen, die das regelmäßig machen, verlieren in einer echten Krise Stunden statt Tage.
Wie geht es weiter
Wenn es in deinem Unternehmen eine solche Seite nicht gibt — keine Panik, aber nimm es als Signal. Fang mit zwanzig Minuten und einem Notizblock an: wer ruft wen an, wo liegen die Passwörter, was machen wir, wenn das ERP ausfällt. Den Rest kann man später ergänzen. Wichtig ist, dass jemand außer einer einzigen Person überhaupt weiß, wo das Dokument zu finden ist.
Wenn du nicht weißt, wo du in deinem Unternehmen anfangen sollst — wir helfen KMU, das in zwei oder drei Gesprächen à eine halbe Stunde aufzuräumen. Ohne 200-Seiten-Bericht am Ende. Das erste Gespräch ist kostenlos.
Ein Notfallplan ist kein Dokument fürs Regal. Es ist eine Seite, die du um drei Uhr nachts lesen kannst, wenn der Server gerade ausgefallen ist.