IT-Notfallhandbuch und Pläne für Katastrophen
IT-Notfälle treten nicht erst seit den Zunahmen von Ransomware-Angriffen und „Ransonware-as-a-Service“ Angeboten im Darknet sowie aus Staaten, in denen keine Strafverfolgung für solche Geschäftsaktivitäten droht, regelmäßig auf. Viele IT-Notfälle entstehen durch menschliche Fehler oder einer Kombination von verschiedenen Faktoren. Hinzu kommen in Deutschland vor Kurzem noch unwahrscheinlich scheinende Ereignisse wie Umweltkatastrophen (siehe Ahrtal-Katastrophe) oder aktuellen Diskussionen zur Energiesicherheit („Blackouts“).
Egal ob kleines Unternehmen oder weltweit agierender Konzern – die Vorbereitung auf Notfälle und die Entwicklung sowie das Ausführen und Testen eines IT-Notfallhandbuchs ist Pflicht.
Was ist ein IT-Notfallhandbuch bzw. ein IT-Notfallplan?
Ein IT-Notfallhandbuch bzw. ein Disaster-Recovery-Plan (DRP) ist ein Dokument, in dem die Richtlinien sowie die Prozesse und Zuständigkeiten für die Wiederherstellung von IT-Systeme und Daten eines Unternehmens und die Wiederaufnahme des IT-Betriebs im Katastrophenfall beschrieben sind. Dieser Plan ist ein Teil des betrieblichen Kontinuitätsmanagements (Business Continuity Management) der Organisation. Sobald der Notfallplan entwickelt ist, muss er getestet und geprobt werden, um sicherzustellen, dass das IT-Team die IT-Systeme des Unternehmens unabhängig von der Art der Katastrophe im beschriebenen Umfang wiederherstellen kann.
Welchen Nutzen bringt ein IT-Notfallhandbuch?
Katastrophen kommen unangekündigt, weshalb ein aktueller IT-Notfallplan immer verfügbar sein sollte. Ein voll funktionsfähiger Plan reduziert das Risiko bzw. den potentiellen Schaden aus ungeplanten Unterbrechungen und gewährleistet wirtschaftliche Stabilität. Darüber hinaus werden Versicherungsprämien für Cyber-Versicherungen und potenzielle Haftungsansprüche gegenüber dem Unternehmen sowie der Geschäftsführung gesenkt. Auch D&O-Versicherungen verlangen daher häufig die Existenz und Implementierung eines IT-Notfallplans, ansonsten mag die maximal regulierte Schadenshöhe reduziert sein. Vor allem aber kann ein gut ausgeführter IT-Notfallplan nicht nur tausende Euros an Versicherungsprämien sparen, sondern im Falle einer Katastrophe schnell hunderttausende oder Millionen von Euro und somit die Existenz des Unternehmens sichern.
Schritte zur Erstellung eines IT-Notfallhandbuchs
Jedes Unternehmen und jede Organisation benötigt ein auf die spezifischen Umstände und Anforderungen zugeschnittenes IT-Notfallhandbuch. Eine „One size fits it all“ Lösung gibt es nicht, dennoch können Vorlagen und Checklisten den Prozess der Erstellung erleichtern und beschleunigen. Das IT-Notfallhandbuch muss daher immer in Beziehung zum Risikomanagement der Organisation gesetzt werden – nicht jedes System hat die gleiche wirtschaftliche Bedeutung und muss in einem Katastrophenszenario sofort wieder online sein. Bei der Erstellung des Notfallhandbuchs sollten folgende Schritte berücksichtigt werden:
- Buy-In von der Geschäftsführung
- Erstellung der Projektgruppe, z.B. bestehend aus Mitarbeitenden der IT, der oder dem Verantwortlichen zur Informationssicherheit (ISB) und je nach Größe des Unternehmens weiterem Fachpersonal
- Erstellung eines Inventars der Werte (Asset Inventory) aus Informationswerten und Informationsträgern
- Durchführung einer Risikoanalyse für den Bereich der Informationssicherheit
- Bestimmung von akzeptablen Ausfallzeiten: Recovery Time Objective (RTO) sowie Recovery Point Objective (RPO)
- Bestimmung von Abhängigkeiten und der Priorisierung
- Bestimmung der kritischen Systeme, die im Notfallplan abgebildet werden sollen
- Entwicklung der Wiederherstellungsstrategien für die ausgewählten Systeme
- Erstellung der Dokumentation, Prüfkriterien, Prozessen und Verantwortlichkeiten (inkl. Stellvertretungen)
- Test des Plans
- Ausrollen des Plans
- Revision und Überprüfung des Plans („PDCA-Verfahren“)
Das IT-Notfallhandbuch sitzt hinsichtlich der Einordnung in betriebliche Managementsysteme an der Schnittstelle von Risikomanagement, Informationssicherheit sowie betrieblichen Kontinuitätsmanagement. Falls das Unternehmen bereits ein Informationssicherheits-Managementsystem (ISMS) betreibt, sind die Voraussetzungen (Punkte 2-5) womöglich schon vorhanden.
Ziel und Inhalt des IT-Notfallhandbuchs
Das Ziel des Notfallhandbuchs ist nicht, dass es möglichst lang, umfassend und ausführlich ist. Prozesse zur Wiederherstellung von Systemen im Rahmen des normalen Betriebsablaufs inkl. der Verfahren im Falle von vorhersehbaren Fehlern sollten in der üblichen IT-Dokumentation berücksichtigt sein. Das IT-Notfallhandbuch beschreibt Prozesse und Verfahren in absoluten Notfällen und ist reduziert auf die wichtigsten Systeme und Personen, die in potenziell außergewöhnlichen Katastrophenszenarien wieder in Betrieb genommen bzw. am Betrieb erhalten werden sollen. Dazu gehört auch zu ermitteln, was explizit nicht im Notfallhandbuch berücksichtigt wird. Zum Inhalt gehören unter anderem:
- Definition der Notfälle
- Verantwortungen und verantwortliche Personen und Rollen
- Kommunikationsmittel und Verhalten beim Ausfall der bewährten Kommunikationswege
- Informationsketten
- Kritische Systeme
- Beschreibung von Zugangsverfahren in Notfallsituationen
- Methoden und Prozesse zur Wiederherstellung der Systeme
- Übergang vom Notfall- in den (ggf. eingeschränkten) Normalbetrieb