🚨 🚨 Incident Response Plan: Warum dein KMU einen Notfallplan braucht (und wie er aussieht)
Warum KMU im Ernstfall scheitern
Der typische Ablauf nach einem Cyberangriff in einem Schweizer KMU: Der erste Mitarbeiter bemerkt, dass Dateien verschlüsselt sind. Er ruft den Geschäftsführer an, der ruft den IT-Dienstleister an, der sagt, das Backup sei drei Wochen alt. Niemand weiss, ob man die Polizei informieren muss, ob Kundendaten betroffen sind oder wer überhaupt entscheiden darf, ob das Lösegeld gezahlt wird. Nach zwei Tagen steht fest: Der Schaden ist nicht die Verschlüsselung, sondern der Stillstand.
Das passiert nicht, weil KMU technisch schlecht aufgestellt sind. Es passiert, weil im Chaos niemand weiss, wer wofür zuständig ist. Ein Incident Response Plan ist kein technisches Dokument, sondern ein Organisationsplan: Wer trifft welche Entscheidungen, in welcher Reihenfolge werden Systeme wiederhergestellt, wann informierst du Kunden und Behörden. Das alles definierst du vor dem Angriff, nicht währenddessen.
Was ein Incident Response Plan enthält
Ein solider Plan besteht aus drei Komponenten: Rollen und Verantwortlichkeiten, Prozesse für jede Phase und Kontaktlisten. Du brauchst kein 50-Seiten-Dokument. Eine einseitige Übersicht mit Ablaufdiagramm und Telefonnummern reicht, solange jeder weiss, wo sie liegt und wie man sie im Notfall abruft.
Zuerst definierst du ein Incident Response Team. In einem KMU sind das oft drei bis fünf Personen: Geschäftsführung (entscheidet über Budget und Kommunikation), IT-Verantwortlicher intern oder extern (führt technische Massnahmen durch), eine Person aus der Buchhaltung oder Verwaltung (kümmert sich um Dokumentation und Behördenmeldungen). Jede Rolle hat klare Befugnisse. Beispiel: Der IT-Dienstleister darf ohne Rücksprache Systeme vom Netz nehmen, die Geschäftsführung entscheidet über Zahlungen ab 5000 Franken.
Dann legst du für jede Phase des Vorfalls fest, wer was tut. Die sechs Standard-Phasen sind Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. Für jede Phase schreibst du drei bis fünf konkrete Schritte auf. In der Eindämmungsphase steht zum Beispiel: Betroffene Systeme vom Netz trennen, Passwörter aller Admin-Konten ändern, prüfen ob Backup verfügbar und sauber ist.
Die sechs Phasen im Detail
Die Vorbereitungsphase passiert jetzt, nicht im Ernstfall. Du richtest Backups ein, definierst welche Systeme kritisch sind (Buchhaltung, Kundendatenbank, E-Mail) und stellst sicher, dass alle im Team wissen, wie man einen Vorfall meldet. Konkret: Eine zentrale E-Mail-Adresse (z.B. security@deinefirma.ch) oder eine Notfall-Hotline, die auch ausserhalb der Bürozeiten erreichbar ist.
Erkennung: Wer bemerkt den Angriff zuerst und wie wird er gemeldet? Typische Anzeichen sind verschlüsselte Dateien, ungewöhnlich langsame Systeme, Login-Fehler bei mehreren Mitarbeitern gleichzeitig. Der erste Schritt ist immer: Meldung an den IT-Verantwortlichen und die Geschäftsführung. Nicht erst drei Abteilungen durchfragen, ob das normal ist.
Eindämmung: Betroffene Systeme sofort vom Netz trennen. Nicht herunterfahren (das zerstört forensische Spuren), sondern Netzwerkkabel ziehen oder WLAN deaktivieren. Passwörter aller Admin-Konten und kritischen Benutzerkonten ändern. Prüfen, ob saubere Backups vorhanden sind und ob sie noch zugänglich sind (manche Ransomware greift gezielt Backups an).
Beseitigung: Malware entfernen, kompromittierte Konten sperren, Sicherheitslücken schliessen. Hier arbeitest du eng mit deinem IT-Dienstleister oder einem externen Forensik-Team zusammen. Dokumentiere jeden Schritt: Was wurde wann von wem gemacht.
Wiederherstellung: Systeme aus sauberen Backups wiederherstellen, Updates einspielen, Zugangsrechte neu vergeben. Kritische Systeme zuerst (Buchhaltung vor interner Wissensdatenbank). Jedes System erst nach Freigabe durch IT wieder ans Netz.
Nachbereitung: Was ist schiefgelaufen, was hat funktioniert, was ändern wir. Ein einstündiges Meeting zwei Wochen nach dem Vorfall reicht. Ergebnisse fliessen in die nächste Version des Plans ein.
Kommunikation: Wer erfährt wann was
Einer der häufigsten Fehler im Ernstfall: Unkoordinierte Kommunikation. Ein Mitarbeiter postet auf LinkedIn, dass die Firma gehackt wurde, bevor die Geschäftsführung Kunden informiert hat. Oder ein Journalist ruft an und niemand weiss, wer Auskunft geben darf.
Dein Plan muss definieren, wer mit wem spricht. Intern: Alle Mitarbeiter erhalten eine kurze Mitteilung, dass ein Sicherheitsvorfall untersucht wird und welche Systeme gesperrt sind. Keine Details, keine Spekulationen. Kunden: Wenn Kundendaten betroffen sind, informierst du sie innerhalb von 72 Stunden. Das fordert die Datenschutz-Grundverordnung (DSGVO), die auch für Schweizer Firmen mit EU-Kunden gilt. Die Vorlage für diese E-Mail schreibst du jetzt, nicht im Chaos. Behörden: Bei Personendaten-Lecks musst du den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) informieren. Bei kritischer Infrastruktur oder Verdacht auf staatliche Angreifer kontaktierst du das Nationale Zentrum für Cybersicherheit (NCSC) über ncsc.admin.ch.
Lege eine Person fest, die alle externe Kommunikation koordiniert. In einem KMU ist das meist die Geschäftsführung. Niemand sonst gibt Interviews, postet Updates oder beantwortet Journalisten-Anfragen.
Welche Systeme sind kritisch
Du kannst nicht alles gleichzeitig wiederherstellen. Deshalb brauchst du eine Prioritätenliste: Welche Systeme müssen innerhalb von vier Stunden wieder laufen, welche können eine Woche warten.
Typische Kategorien für KMU: Stufe 1 (sofort) sind Systeme, ohne die der Betrieb stillsteht. Buchhaltungssoftware, Kundendatenbank, E-Mail, Auftragsbearbeitung. Stufe 2 (innerhalb von 24 Stunden) sind Systeme, die den Alltag erleichtern, aber nicht geschäftskritisch sind. Intranet, Projektverwaltung, interne Wissensdatenbank. Stufe 3 (innerhalb einer Woche) sind Nice-to-have-Tools. Archiv, alte Dokumentationen, Test-Umgebungen.
Schreibe diese Liste auf und lege sie ins Backup-Verzeichnis und in den Incident Response Plan. Im Ernstfall hat niemand Zeit, darüber zu diskutieren, ob das Marketing-Tool wichtiger ist als die Lohnbuchhaltung.
Den Plan testen: 90 Minuten im Jahr reichen
Ein Plan, der nie getestet wurde, ist wertlos. Einmal im Jahr nimmst du dir 90 Minuten Zeit und spielst ein Szenario durch. Kein technischer Drill, sondern ein Table-Top-Übung: Alle Beteiligten sitzen im Sitzungszimmer, du beschreibst einen fiktiven Vorfall und jeder sagt, was er tun würde.
Beispiel-Szenario: Montagmorgen, 8 Uhr. Drei Mitarbeiter melden, dass ihre Dateien verschlüsselt sind. Auf dem Desktop erscheint eine Lösegeldforderung über 50'000 Franken in Bitcoin. Frage an die Runde: Wer informiert wen? Wer zieht welche Systeme vom Netz? Wer prüft das Backup? Wer ruft den IT-Dienstleister an? Wer informiert die Geschäftsführung?
Du wirst merken, wo Lücken sind. Vielleicht hat niemand die Telefonnummer des IT-Dienstleisters ausserhalb der Bürozeiten. Vielleicht weiss keiner, wo das Backup liegt. Vielleicht sind die Passwörter für kritische Systeme nur im Kopf einer Person, die gerade in den Ferien ist. Jede dieser Lücken schliesst du nach der Übung.
Dokumentiere die Erkenntnisse und aktualisiere den Plan. Nach einem Jahr wiederholst du die Übung mit einem anderen Szenario (z.B. CEO-Fraud, Phishing-Angriff auf die Buchhaltung, DDoS-Attacke auf die Webseite).
Konkrete Mitnahmen
Ein Incident Response Plan ist kein IT-Projekt, sondern ein Geschäftsführungs-Thema. Du brauchst kein Beratungsunternehmen, um die erste Version zu schreiben. Ein einseitiges Ablaufdiagramm mit Rollen, Kontakten und Prioritäten reicht für den Anfang.
Setze in den nächsten 14 Tagen drei Termine: Erstens, definiere dein Incident Response Team (wer gehört dazu, wer hat welche Befugnisse). Zweitens, erstelle eine Prioritätenliste deiner IT-Systeme. Drittens, schreibe die Telefonnummern und E-Mail-Adressen aller relevanten Kontakte auf (IT-Dienstleister, Geschäftsführung, NCSC, EDÖB, Versicherung). Lege diese Liste an drei Orten ab: gedruckt im Geschäftsführungs-Büro, digital im Backup und in einem Cloud-Speicher, der auch bei Ausfall der internen IT erreichbar ist.
Cybersecurity ist keine Frage der Technik, sondern der Vorbereitung. Der beste Virenschutz hilft dir nicht, wenn im Ernstfall niemand weiss, wer den Stecker ziehen darf.
Kostenlose Vorlagen für dein Unternehmen
Druckfertige Cybersecurity-Checklisten und Notfallpläne: gratis, sofort verwendbar.
Vorlagen herunterladen →