Inhalt
Kurzantwort
Ein einseitiger Notfallplan mit Verantwortlichen, Kontaktliste und ersten Schritten bringt kleinen Betrieben im Ernstfall oft mehr als jedes zusätzliche Tool. Dazu gehören ein Überblick, welche Dienstleister Zugriff haben, ein Notbetrieb für kritische Abläufe und klare, risikobasierte Regeln für KI-Werkzeuge.
Warum ist das für kleine Unternehmen relevant?
Im Vorfall fehlt die Zeit, Zuständigkeiten zu klären oder Telefonnummern zu suchen – erst recht, wenn E-Mail und Dateien nicht verfügbar sind. Gleichzeitig hängen kleine Betriebe stark von IT-Dienstleistern und Software-Anbietern ab, und mit KI-Werkzeugen entstehen neue Wege, auf denen vertrauliche Daten den Betrieb verlassen.
- Erkennen
- Eindämmen
- Wiederherstellen
- Lernen
Was gehört dazu?
Incident Response
Erste Schritte festlegen: eingrenzen, isolieren, Beweise sichern, Hilfe holen.
Sinnvoll bei wachsender IT
Cyber-Krisenplan und Verantwortlichkeiten
Wer koordiniert, wer entscheidet, wer kommuniziert? Mit Vertretungen.
Sinnvoll bei wachsender IT
Kontaktlisten
IT-Dienstleister, Bank, gegebenenfalls Versicherer, Datenschutz-Ansprechpartner – auch offline verfügbar.
Basis
Externe IT-Dienstleister und Lieferanten
Liste, wer worauf Zugriff hat, welche Sicherheitszusagen bestehen und wie Sie im Notfall erreichbar sind.
Relevant bei erhöhtem Risiko
Business Continuity
Kritische Abläufe benennen und einen Notbetrieb festlegen, etwa manuelle Rechnungen oder eine Telefonliste auf Papier.
Relevant bei erhöhtem Risiko
Awareness
Kurze, regelmäßige Formate zu Phishing, Zahlungsbetrug und Meldewegen.
Sinnvoll bei wachsender IT
Generative KI
Risikobasierte Regeln statt pauschaler Verbote: Welche Werkzeuge sind freigegeben, welche Daten dürfen hinein, wer prüft Ergebnisse?
Sinnvoll bei wachsender IT
Was schützt die Maßnahme?
- Chaos und verlorene Zeit im Vorfall
- Unklare Zuständigkeiten bei Dienstleistern
- Ungewollter Abfluss vertraulicher Daten über KI-Werkzeuge
Was schützt sie nicht?
- Den Vorfall selbst – der Plan begrenzt die Folgen
- Pläne, die niemand kennt oder die nie geübt wurden
- Rechtliche Bewertung im Einzelfall
Welche Basismaßnahmen reichen oft?
- 01Einseitiger Notfallplan mit Kontakten, offline abgelegt
- 02Liste aller Dienstleister mit Zugriff
- 03Kurze KI-Richtlinie: freigegebene Tools und verbotene Datenarten
- 04Einmal im Jahr den Plan gemeinsam durchgehen
Wann wird eine weitergehende Lösung sinnvoll?
Bei höherer IT-Abhängigkeit lohnen sich ein Rahmenvertrag mit einem Incident-Response-Dienstleister, ein dokumentiertes Business-Continuity-Konzept, Sicherheitsanforderungen in Dienstleisterverträgen und Planspiele. Bei KI-Einsatz mit Kunden- oder Personaldaten sind geprüfte Vertragsbedingungen und gegebenenfalls Datenschutzberatung sinnvoll.
Ein einfacher Cyber-Notfallplan für kleine Unternehmen
Diese Struktur passt auf eine Seite. Tragen Sie die Angaben in Ihr eigenes Dokument ein, drucken Sie es aus und bewahren Sie es auch offline auf.
- Verantwortliche Person
- Name, Rolle, Erreichbarkeit
- Stellvertretung
- Name, Rolle, Erreichbarkeit
- Interner IT-Kontakt
- Wer kennt die Systeme?
- Externer IT-Dienstleister
- Firma, Notfallkontakt, Vertragsnummer
- Versichererkontakt, falls vorhanden
- Schadenhotline, Versicherungsnummer
- Wichtigste Systeme
- z. B. Buchhaltung, Warenwirtschaft, Shop
- Wichtigste Cloud-Dienste
- z. B. E-Mail, Dateiablage, Banking
- Backup-Verantwortung
- Wer prüft und stellt wieder her?
- Kommunikationsverantwortung
- Wer informiert Mitarbeitende, Kunden, Partner?
- Eskalationsweg
- Wer wird in welcher Reihenfolge informiert?
- Relevante Kontaktdaten
- Bank, Datenschutz-Ansprechperson, Hosting, Domain-Registrar
Typische Fehler
- Notfallplan nur digital auf dem Server, der verschlüsselt wird
- Kontaktdaten des IT-Dienstleisters nur im Postfach
- KI pauschal verbieten – und damit unkontrollierte Nutzung fördern
- Dienstleistern dauerhaft Vollzugriff geben
Checkliste
- Notfallplan existiert und liegt offline vor
- Verantwortliche und Vertretungen benannt
- Dienstleisterliste mit Zugriffen aktuell
- Notbetrieb für kritische Abläufe beschrieben
- KI-Regeln schriftlich und bekannt
Häufige Fragen
Wie ausführlich muss ein Notfallplan sein?
Für den Anfang reicht eine Seite: Wer ist zuständig, wen rufen wir an, was tun wir zuerst. Wichtiger als Umfang ist, dass ihn alle kennen.
Sollten wir KI-Tools verbieten?
Pauschale Verbote führen oft zu heimlicher Nutzung. Besser: freigegebene Werkzeuge benennen, sensible Datenarten ausschließen und Ergebnisse prüfen lassen.
Muss jeder Vorfall gemeldet werden?
Nein. Ob eine Meldepflicht besteht, hängt vom Einzelfall ab. Im Zweifel fachlich beraten lassen.
Nächster sinnvoller Schritt
Schreiben Sie eine Seite mit Verantwortlichen, Kontakten und ersten Schritten und legen Sie sie ausgedruckt ab.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Allianz für Cyber-Sicherheit (BSI)
- ENISA – European Union Agency for Cybersecurity
- NIST Cybersecurity Framework
Geprüft am 06.10.2026.
Allgemeine Orientierung – ersetzt keine individuelle technische Sicherheitsprüfung, Rechts- oder Datenschutzberatung.