In diesem Artikel 11 Abschnitte
Gute IT-Dokumentation spart nicht nur im Alltag Zeit. Sie wird besonders wertvoll, wenn ein Server ausfällt, ein Konto gesperrt ist oder die gewohnte Ansprechperson nicht verfügbar ist. Dann entscheidet eine aktuelle, verständliche Übersicht darüber, ob Verantwortliche geordnet handeln können oder zuerst Grundlagen zusammensuchen müssen.
Für Schweizer KMU ohne eigene IT-Abteilung muss daraus kein umfassendes Handbuch mit hunderten Seiten werden. Ziel ist eine kompakte Arbeitsgrundlage, die Zuständigkeiten, Abhängigkeiten und die ersten Schritte für relevante Szenarien festhält.
Dokumentation und Notfallplan sind nicht dasselbe
Die technische Dokumentation beschreibt, was vorhanden ist und wie es zusammenhängt. Der Notfallplan legt fest, wer in welcher Reihenfolge was tut. Beides ergänzt sich.
NIST behandelt die Notfallplanung als strukturierten Prozess: Systeme und Geschäftsabläufe werden bewertet, Anforderungen und Prioritäten bestimmt, Wiederanlaufverfahren entwickelt und die Pläne getestet. Für ein KMU lässt sich dieser Gedanke pragmatisch umsetzen. Nicht jede Komponente braucht dieselbe Detailtiefe; besonders wichtig sind jene Systeme, deren Ausfall zentrale Abläufe unterbricht.
Was in eine belastbare IT-Dokumentation gehört
System- und Abhängigkeitsübersicht
Listen Sie Geräte, Server, Cloud-Dienste, Fachanwendungen, Internetanschlüsse und zentrale Netzwerkkomponenten auf. Ergänzen Sie, welche Dienste voneinander abhängen. Ein Cloud-Dateidienst kann beispielsweise funktionieren, während die Anmeldung wegen einer Störung des Identitätsdienstes trotzdem nicht möglich ist.
Für jeden wichtigen Eintrag genügen zunächst:
- Bezeichnung und Zweck
- Standort oder Betriebsplattform
- verantwortliche interne und externe Stelle
- Hersteller, Produkt und Supportstatus
- abhängige Dienste und Schnittstellen
- Sicherungs- und Wiederherstellungsverfahren
- vertragliche oder technische Referenzen
Kontakte und Entscheidungswege
Im Ereignisfall müssen Kontaktdaten auch ausserhalb der üblichen Systeme erreichbar sein. Dokumentieren Sie Geschäftsleitung, IT-Partner, Internet- und Cloud-Anbieter, Versicherungs- und gegebenenfalls Kommunikationskontakte. Ebenso wichtig ist die Frage, wer Entscheidungen treffen darf: Wer kann einen Dienst abschalten, eine Wiederherstellung freigeben oder Mitarbeitende informieren?
Zugänge – aber sicher getrennt
Ein Notfalldokument darf nicht zur ungeschützten Passwortliste werden. Halten Sie fest, wo administrative Zugangsdaten und Wiederherstellungscodes geschützt verwahrt sind, wer darauf zugreifen darf und wie der Zugriff im Notfall erfolgt. Für Passwörter sollte ein dafür vorgesehener Passwortmanager verwendet werden; in ein frei zugängliches Dokument oder Tabellenblatt gehören sie nicht.
Bei externen Partnern sollte zudem geregelt sein, wie Berechtigungen übergeben, geprüft und bei einem Wechsel entzogen werden. Das reduziert Abhängigkeiten von einzelnen Personen.
Wiederanlauf und Prioritäten
Definieren Sie gemeinsam mit den Fachverantwortlichen, welche Abläufe zuerst wieder verfügbar sein müssen. Daraus entsteht eine nachvollziehbare Reihenfolge: etwa Identität und Netzwerk vor Dateizugriff, Fachanwendung und Druck.
Zu jedem wichtigen Szenario gehören kurze, ausführbare Schritte:
- Ereignis erkennen und intern melden
- Auswirkungen und betroffene Systeme eingrenzen
- weitere Schäden begrenzen
- zuständige Personen und Partner aktivieren
- Wiederherstellung in festgelegter Reihenfolge starten
- Funktion prüfen und Freigabe dokumentieren
- Erkenntnisse anschliessend in Plan und Technik übernehmen
Die NIST-Leitlinien zur Behandlung von Sicherheitsvorfällen betonen Vorbereitung und klar organisierte Reaktion. Auch wenn die konkrete Umsetzung für ein kleines Unternehmen deutlich schlanker ausfallen darf, bleibt dieser Grundsatz sinnvoll.
Papier, offline oder Cloud?
Eine ausschliesslich im betroffenen System gespeicherte Notfalldokumentation kann im entscheidenden Moment unerreichbar sein. Mindestens eine aktuelle, geschützte Kopie sollte deshalb unabhängig von der produktiven Umgebung verfügbar sein. Das kann eine verschlüsselte Offline-Kopie oder ein kontrolliert aufbewahrter Ausdruck mit den nötigsten Kontakten und Startschritten sein.
Dabei gilt: Je mehr sensible technische Informationen eine Kopie enthält, desto strenger müssen Zugriff, Verschlüsselung und Aufbewahrung geregelt sein. Notfallzugriff und Vertraulichkeit sind gemeinsam zu planen, nicht gegeneinander auszuspielen.
Dokumentieren, testen, aktualisieren
Ein ungeprüfter Plan kann Lücken enthalten. NIST empfiehlt Übungen und Tests als Bestandteil der Notfallplanung. Für ein KMU reicht zum Einstieg eine kurze Tischübung: Eine verantwortliche Person gibt ein Szenario vor, und die Beteiligten gehen ohne Eingriff in Produktivsysteme durch, wen sie kontaktieren und welche Unterlagen sie benötigen würden.
Praktische Prüffragen sind:
- Sind Kontakte und Stellvertretungen aktuell?
- Kann eine berechtigte Person ausserhalb der normalen IT auf die Unterlagen zugreifen?
- Stimmen Systemnamen, Abhängigkeiten und Anbieterinformationen?
- Ist klar, wo Datensicherungen liegen und wie eine Wiederherstellung ausgelöst wird?
- Sind offene Entscheidungen mit Termin und Verantwortlichkeit festgehalten?
Zusätzlich sollte die Dokumentation nach grösseren Änderungen aktualisiert werden – etwa bei einem neuen Internetanbieter, einer Cloud-Migration, einem Personalwechsel oder einer neuen Fachanwendung. Managed IT Services können diesen Pflegeprozess in den laufenden Betrieb einordnen; Sicherheit & Resilienz behandelt Schutz und Wiederherstellung als eigene Aufgabenbereiche.
Offene Formate reduzieren Abhängigkeiten
Dokumentation erfüllt ihren Zweck besser, wenn sie exportierbar und ohne Spezialzugang lesbar ist. Bevorzugen Sie daher verbreitete Dateiformate, dokumentierte Schnittstellen und regelmässige Exporte aus Inventar-, Netzwerk- oder Cloud-Werkzeugen. Konfigurationen sollten – soweit das jeweilige System es unterstützt – maschinenlesbar gesichert und mit Versionsstand sowie Herkunft versehen werden.
Open-Source-Werkzeuge können dafür geeignet sein, insbesondere wenn Datenmodelle und Exportwege offen dokumentiert sind. Proprietäre Lösungen können denselben Zweck erfüllen. Entscheidend ist, dass Ihr KMU seine Informationen vollständig herausbekommt und ein anderer qualifizierter Partner sie übernehmen kann. Anbieterunabhängigkeit bedeutet in der Praxis: verständliche Dokumentation, klar geregelte Zugriffe und keine Übergabe, die nur mit dem Wissen einer einzelnen Person funktioniert.
Der sinnvolle Mindestumfang
Starten Sie mit einer Seite für Kontakte und Entscheidungswege, einer Systemübersicht, den wichtigsten Abhängigkeiten sowie drei kurzen Szenarien: Internetausfall, Ausfall eines zentralen Dienstes und Verdacht auf einen Sicherheitsvorfall. Legen Sie einen Verantwortlichen und einen festen Prüftermin fest. So entsteht eine Notfallvorsorge, die im Alltag pflegbar bleibt und im Ereignisfall tatsächlich genutzt werden kann.