Was tun im IT-Notfall? Wie kleine Betriebe in Augsburg vorsorgen

In Bayerisch-Schwaben berichten 26 Prozent der befragten Betriebe von Cyberangriffen, nach 15 Prozent in der Vorumfrage. Die Zahlen stammen aus dem Digital-Report 2026, den die Industrie- und Handelskammer (IHK) Schwaben nach einer Befragung regionaler Unternehmen veröffentlicht hat. Betriebe in Augsburg und Umgebung ohne eigene IT-Abteilung sollten deshalb vorab einen IT-Notfallplan aufstellen. Ein IT-Notfallplan ist die Festlegung, wer entscheidet und angerufen wird, wie Daten aus einer getrennten Sicherung zurückkommen und wann Polizei und Datenschutzaufsicht Bescheid wissen sollten.

Was ist ein IT-Notfall?

Von einem IT-Notfall spricht man, wenn ein Betrieb wegen einer Störung oder eines Angriffs nicht mehr normal mit seinen Rechnern und Daten arbeiten kann. Auslöser kann ein technischer Ausfall sein oder ein Cyberangriff, ein gezielter Angriff auf die IT eines Betriebs. Bei Ransomware verschlüsselt eine Schadsoftware die Daten. Für die Entschlüsselung verlangen die Täter Geld. Beim Phishing erschleichen sie mit gefälschten Nachrichten Zugangsdaten oder Zahlungen. Laut IHK Schwaben tauchen Deepfakes besonders häufig zusammen mit solchen Versuchen auf, und mit künstlicher Intelligenz können Angriffe schneller ablaufen und schwerer zu erkennen sein.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI), die Cybersicherheitsbehörde des Bundes, sieht kleine und mittlere Unternehmen aller Branchen ebenso betroffen wie Großkonzerne. Die Schäden können existenzbedrohend sein. Einer der drei häufigsten Einfallswege von Ransomware-Gruppen ist laut BSI eine Sicherheitslücke, die der Hersteller meist schon geschlossen hat. Sicherheitsupdates, sogenannte Patches, sollten deshalb regelmäßig und unverzüglich installiert werden.

Vorbereiten kann sich laut BSI jede Organisation, auch ohne spezielles Technikwissen. Zur Vorbereitung gehört, die zeitkritischen Geschäftsprozesse und die wichtigsten Werte des Betriebs zu bestimmen.

Wer wird im Ernstfall angerufen?

Damit das Personal den richtigen Ansprechpartner kennt, gibt das BSI eine IT-Notfallkarte heraus. Die IT-Notfallkarte des BSI ist ein Aushang wie der Hinweis für den Brandfall, auf dem die Nummer steht, die bei einem IT-Notfall angerufen wird. Sie soll an zentralen Stellen im Betrieb hängen. Die Nummer trägt der Betrieb selbst in ein freies Feld ein.

Welche Nummer das ist, muss vorher feststehen. Ein Leitfaden, den das BSI für kleine und mittlere Unternehmen bereitstellt, rät, einen Erstkontakt für IT-Notfälle zu bestimmen und dafür zu sorgen, dass er erreichbar ist. Infrage kommt jemand aus dem Betrieb oder der externe IT-Dienstleister, sofern er bei solchen Vorfällen hilft. Ergänzend gehört eine Liste mit Ansprechpartnern samt Erreichbarkeiten und Verfügbarkeiten in den Plan.

Für den Anruf gibt die Karte Fragen vor, von „Wer meldet?“ bis zum Standort des betroffenen Geräts.

Welche Datensicherung hilft nach einem Angriff?

Für den Fall eines Ransomware-Angriffs nennt das BSI die Datensicherung die wichtigste vorbeugende Maßnahme, um die Daten verfügbar zu halten. Angreifer suchen inzwischen aber gezielt nach allen Backups. Damit trifft Ransomware auch Datensicherungen, die im Netz erreichbar sind.

Das BSI rät deshalb, mindestens eine Kopie offline zu sichern. Eine Offline-Datensicherung ist nach dem Sichern vom Netz des Betriebs getrennt, etwa auf einem eigenen Band. Weitere Kopien gehören an andere Orte. Auch Brand oder Hochwasser können Daten zerstören.

Eine Sicherung nützt nur, wenn sie sich zurückspielen lässt. Regelmäßige Praxistests sollen laut BSI Probleme vor dem Ernstfall aufdecken. Vor dem Zurückspielen nach einem Angriff ist zudem zu prüfen, ob das Backup selbst schon Schadsoftware enthält.

Was ist im Ernstfall als Erstes zu tun?

Gleich zu Beginn eines IT-Notfalls rät das BSI, die Arbeit am betroffenen Rechner einzustellen, Beobachtungen festzuhalten und nur nach Anweisung einzugreifen. So steht es auf der IT-Notfallkarte. Die BSI-Checkliste für den laufenden Vorfall mahnt außerdem, Ruhe zu bewahren und nicht übereilt zu handeln. Nach ihr wird intern die Geschäftsleitung informiert und festgelegt, wer was bis wann erledigt. Damit das im Ernstfall sitzt, empfiehlt der Leitfaden, IT-Notfallszenarien vorher zu üben.

Die Checkliste fragt auch, welche Auswirkungen der Vorfall auf Kunden und Partner haben kann. Regeln für die Kommunikation nach innen und außen legt der Betrieb laut Leitfaden schon in der Vorbereitung fest. Vertragliche Informationspflichten, etwa gegenüber Auftraggebern oder Versicherungen, nennt die Checkliste ebenfalls.

Wann sollten Polizei und Datenschutzaufsicht Bescheid wissen?

Eine Strafanzeige ist freiwillig. Die Zentrale Ansprechstelle Cybercrime (ZAC) ist beim Bayerischen Landeskriminalamt angesiedelt und für die bayerische Polizei der feste Ansprechpartner von Unternehmen bei IT-Sicherheitsvorfällen. Neben der Strafverfolgung unterstützt die ZAC bei der Schadensbewältigung. Ist eine Strafverfolgung vorgesehen, fragt die BSI-Checkliste, ob deshalb beweissicher gehandelt werden muss. Das macht das Vorgehen in der Regel aufwändiger.

Beim Datenschutz gibt es dagegen eine Pflicht. Eine Datenpanne ist nach Art. 4 Nr. 12 der europäischen Datenschutz-Grundverordnung (DSGVO) jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig. Schon der unbefugte Zugang zählt, etwa wenn Ransomware Kundendaten erreicht. Wo ein Datenschutzbeauftragter benannt ist, wird er frühzeitig eingebunden.

Unternehmen mit Sitz in Bayern müssen eine Datenpanne mit Risiko für Betroffene beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach melden, unverzüglich und möglichst binnen 72 Stunden, nachdem sie davon erfahren haben. So verlangt es Art. 33 DSGVO. Wer das Risiko für die Rechte und Freiheiten der Betroffenen noch nicht abschließend bewerten kann, darf vorläufig melden und später nachmelden. Das BayLDA nimmt Meldungen von Datenpannen bayerischer Unternehmen über ein Online-Formular entgegen. Laut Leitfaden sollte dieser Meldeweg schon vor dem Ernstfall vorbereitet sein.

Was kann ein externer Dienstleister übernehmen?

Betriebe ohne eigene IT-Abteilung können die Technik einem Systemhaus anvertrauen, das die IT von Unternehmen plant, liefert und betreut. Ein solcher Dienstleister kann Updates einspielen und festhalten, wie die IT eingerichtet ist. Bei einer Störung kann sich ein Techniker aus der Ferne auf den betroffenen Rechner schalten, sobald der Betrieb diese Fernwartung erlaubt.

Laut Leitfaden sollte der Betrieb vorher mit seinem Dienstleister klären, bei welcher Art von IT-Vorfällen er unterstützen kann. In der Region bietet etwa masea, ein IT-Systemhaus mit Sitz in Neusäß, IT-Betreuung für Betriebe im Raum Augsburg an. Deckt der eigene Dienstleister nicht jede Art von Vorfall ab, rät der Leitfaden, gegebenenfalls weitere Dienstleister zu kontaktieren.

Ein externer IT-Dienstleister kann Rechner überwachen und Sicherungen prüfen, die Entscheidungen und Meldepflichten im Notfall bleiben aber beim Betrieb. Deshalb legt der IT-Notfallplan fest, wer im Betrieb diese Entscheidungen trifft.