Unternehmen müssen nicht damit rechnen, ob sie Ziel eines Angriffs werden – sondern wann.

Behörden, Stadtverwaltungen und Unternehmen der kritischen Infrastruktur (KRITIS) stehen im Fadenkreuz immer raffinierterer Cyberangriffe. IT-Notfallmanagement – also die systematische Vorbereitung auf IT-Krisen – ist daher heute essenziell, um handlungsfähig zu bleiben.

Ein eindrückliches Beispiel lieferte der Landkreis Anhalt-Bitterfeld, der im Juli 2024 von einem Ransomware-Angriff lahmgelegt wurde. Die Verwaltung musste den IT-Notfall ausrufen und war viele Wochen beeinträchtigt.
Der Schaden durch den Angriff belief sich auf rund 2,5 Millionen Euro (u.a. für Wiederaufbau der IT-Infrastruktur, Datenrettung und neue Hardware).
Dieses Ereignis zeigt, dass mangelnde Vorbereitung fatale Folgen haben kann.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell vor einer zuspitzenden Gefährdungslage. Die Bedrohungslage sei „weiterhin angespannt“ und es ist unabdingbar, dass Kommunen und Unternehmen sich selbst besser schützen.
Gerade für KRITIS-Sektoren und öffentliche Verwaltungen kann ein erfolgreicher Angriff die Versorgung der Bevölkerung beeinträchtigen oder kritische Dienste lahmlegen – mit gravierenden Folgen für Gesellschaft und Wirtschaft.
Zudem nehmen Cyberangriffe Jahr für Jahr zu. Cyber-Vorfälle wie Ransomware-Attacken, Datendiebstähle oder IT-Ausfälle gelten mittlerweile als das Top-Risiko für Unternehmen weltweit.

Laut Allianz Risk Barometer 2024 ranken Cybervorfälle bereits im dritten Jahr in Folge auf Platz 1 der Geschäftsrisiken – und zwar sowohl global als auch in Ländern wie Deutschland. Besonders gefürchtet sind dabei Datenlecks und Angriffe auf kritische Infrastrukturen. Diese Entwicklung unterstreicht, warum ein belastbares IT-Notfallmanagement heute Chefsache ist: Organisationen müssen damit rechnen, wann und nicht ob sie Ziel eines Angriffs werden.

Gesetzliche Anforderungen: NIS2 und KRITIS-Verordnung
Die NIS2-Richtlinie betrifft deutlich mehr Unternehmen als bisher: Neue Schwellenwerte bei Mitarbeiterzahl und Umsatz weiten den Geltungsbereich erheblich aus – und damit auch die Verantwortung, IT-Sicherheitsstandards umfassend anzuheben.
Gefordert werden unter anderem eine 24/7-Überwachung, automatisierte Reaktion auf Sicherheitsvorfälle sowie regelmäßige Berichte an die zuständigen Behörden. Doch NIS2 geht weiter: Auch physische und organisatorische Sicherheitsaspekte müssen in das Gesamtkonzept einfließen.

Laut einer Umfrage der Veeam Software Group fühlen sich 70% der Unternehmen gut vorbereitet – tatsächlich erfüllen aber nur 37% die NIS2-Vorgaben. Veraltete Technologien, zu geringe Budgets und organisatorische Hürden bremsen die Umsetzung. Zudem berichteten 87% der Befragten von mindestens einem Sicherheitsvorfall, der durch geeignete Maßnahmen vermeidbar gewesen wäre.
Besonders kritisch: Nur 23% der Sicherheitsexperten setzen auf fortgeschrittene Backup-Verfahren mit unveränderlichen und offline gespeicherten Sicherungen. In Zeiten wachsender Ransomware-Bedrohungen ist das existenzgefährdend.

Die Securam Consulting in Hamburg berät Unternehmen und Organisationen umfassend bei der Entwicklung und Einführung effektiver Backup- und Recovery-Strategien – stets auf Basis eines risikobasierten Ansatzes im IT-Notfallmanagement.

Dabei werden individuelle Gefährdungslagen, branchenspezifische Anforderungen sowie bestehende Abhängigkeiten zu externen Dienstleistern und Drittanbietern systematisch analysiert und berücksichtigt. Ziel ist es, maßgeschneiderte Maßnahmen zu entwickeln, die sowohl den regulatorischen Vorgaben – etwa im Rahmen der NIS2-Richtlinie – als auch den praktischen Anforderungen eines robusten Krisenmanagements gerecht werden.

Das Hamburger Consultingunternehmen unterstützt insbesondere bei der Integration externer IT-Partner in die Notfallplanung, der Definition von Wiederanlaufzielen und der Umsetzung belastbarer Sicherungskonzepte, damit der Geschäftsbetrieb auch im Ernstfall stabil und widerstandsfähig bleibt.
Vor allem KRITIS-Unternehmen und deren Zulieferer stehen unter Druck. Die Umsetzung der NIS2-Vorgaben – insbesondere eines Informationssicherheits-Managementsystems (ISMS) – kann bis zu ein Jahr dauern. Gleichzeitig binden komplexe IT-Infrastrukturen und knappe Ressourcen die Aufmerksamkeit der IT-Abteilungen.

Neben technischen Maßnahmen fordert NIS2 auch klare Prozesse und Strukturen – inklusive nachweislicher Verantwortung durch die Geschäftsführung. Verstöße können mit bis zu 10 Millionen Euro oder 2% des Jahresumsatzes geahndet werden.

KRITIS-Dachgesetz (geplant): Am 6. November 2024 hat das Bundeskabinett den Entwurf des KRITIS-Dachgesetzes beschlossen und ins parlamentarische Verfahren eingebracht. Ursprünglich war geplant, das Gesetz bis Oktober 2024 zu verabschieden, jedoch kam es zu Verzögerungen im Gesetzgebungsprozess. Derzeit befindet sich der Entwurf in der parlamentarischen Beratung; ein konkretes Datum für das Inkrafttreten steht noch aus.
Sobald das Gesetz in Kraft tritt, werden Betreiber Kritischer Infrastrukturen (KRITIS) verpflichtet sein, innerhalb festgelegter Fristen die geforderten Maßnahmen umzusetzen, um die Versorgungssicherheit und Funktionsfähigkeit dieser essenziellen Einrichtungen zu gewährleisten.
Fazit: Die Gesetzeslage fordert von KRITIS-Betreibern ein hohes Maß an IT-Sicherheit – von der Prävention bis zur Reaktion im Notfall. Entscheider sollten diese Vorgaben genau kennen und umsetzen, zumal bei Vernachlässigung neben Imageschäden auch rechtliche Konsequenzen drohen.

Bei der Beratung bietet die Securam-Consulting ein modulares Vorgehen, das immer an die Bedürfnisse der jeweiligen Kunden angepasst ist.

1. Initialer Workshop und Bestandsaufnahme: Zunächst verschaffen sich die Experten gemeinsam mit dem Kunden einen Überblick. Es werden die Geschäftsprozesse, bestehende IT-Architektur und bereits vorhandene Sicherheitsmaßnahmen erfasst. Wichtige Fragen dabei: Gibt es schon Teilkonzepte (z.B. Backup-Planung, Ausweichrechenzentrum)? Wurde eine Risikoanalyse durchgeführt? Gibt es vorgeschriebene Vorgaben (BSI-Grundschutz etc.) zu erfüllen? Diese Phase dient auch dazu, Ziele und Scope festzulegen – etwa ob nur IT-Infrastruktur oder auch Geschäftsprozesse betrachtet werden.

2. Individuelle Risikoanalyse und Business Impact Analyse: Im nächsten Schritt erfolgt eine tiefgehende Analyse der Risiken und der potenziellen Auswirkungen auf das Geschäft. Hier ermitteln die Ansprechpartner in Abstimmung mit dem Kunden, welche Kronjuwelen (kritischen Assets) besonders geschützt werden müssen und wie lange ein Ausfall maximal verkraftbar ist. Ergebnis ist oft ein Report mit identifizierten Risiken, einer Bewertung der aktuellen Sicherheitslage und einer Priorisierung der zu schützenden Prozesse. Diese Analyse bildet die Grundlage für alle weiteren Maßnahmen.

3. Konzeptentwicklung (Notfallkonzept): Auf Basis der Analyse entwickeln die Experten ein maßgeschneidertes IT-Notfallkonzept. Dieses umfasst die Struktur der Notfallorganisation (z.B. Einrichtung eines Krisenstabs, Rollen wie Incident-Manager, Ansprechpartner, Eskalationswege) und alle geplanten Maßnahmen zur Notfallvorsorge. Dazu gehören: Richtlinien für den Notfall (z.B. Entscheidungsbefugnisse im Krisenfall), technische Vorkehrungen (z.B. redundante Systeme, Offline-Backups), Notfallhandbuch-Struktur, Kommunikationskonzepte und mehr. In dieser Phase wird sich eng mit der Geschäftsführung und IT-Leitung abgestimmt, um sicherzustellen, dass das Konzept praxisgerecht ist und von allen mitgetragen wird.

4. Umsetzung der Maßnahmen: Ist das Konzept freigegeben, geht es an die Umsetzung. Jetzt werden z.B. detaillierte Notfalldokumentationen erstellt – die Security Consultant der Securam Consulting GmbH unterstützen beim Schreiben des IT-Notfallhandbuchs und der Wiederanlaufpläne. Technische Maßnahmen aus dem Konzept werden umgesetzt oder initiiert: Etwa Einrichtung zusätzlicher Backup-Systeme, Implementierung eines Angriffserkennungssystems, Einrichtung eines zweiten Internetanschlusses für Redundanz, etc., je nach zuvor definierten Anforderungen.

Die Beratung koordiniert oft auch die notwendigen Schulungen: Mitarbeitende werden in ihre Rollen im Notfallmanagement eingewiesen (z.B. wie funktioniert die Alarmierungskette, wer entscheidet was).

5. Tests und Übungen: Ein wesentlicher Bestandteil einer guten Beratung ist das Durchführen von Notfalltests. Gemeinsam mit dem Kunden werden realistische Szenarien durchgespielt, um die Wirksamkeit der Pläne zu überprüfen. Das kann ein Simulationstest am „grünen Tisch“ sein (Trockenübung mit dem Krisenteam) oder ein technischer Wiederanlauf-Test (z.B. Wiederherstellung eines Servers aus Backup in der vorgegebenen Zeit). Solche Übungen offenbaren oft noch Lücken oder Unklarheiten, die anschließend im Konzept nachgebessert werden. Die Securam Consulting sorgt dafür, dass ein Lessons-Learned-Prozess stattfindet und die Notfallplanung kontinuierlich verbessert wird.

6. Dokumentation und Abnahme: Abschließend werden alle Ergebnisse und Dokumente ordentlich zusammengestellt. Der Kunde erhält ein komplettes Notfallhandbuch, Übersichtspläne, Kontaktlisten und Reports.

Die Securam-Consulting bietet ihren Kunden an, diese Dokumentation auch zukünftig zu pflegen, falls sich Änderungen ergeben. Im Idealfall lässt man das Notfallkonzept nun noch auditieren bzw. abnehmen – z.B. durch einen internen Auditor oder externen Prüfer (gerade bei KRITIS-Betreibern vorgeschrieben, alle zwei Jahre).

Ein effektives IT-Notfallmanagement erfordert klare Zuständigkeiten. Doch wer im Unternehmen ist eigentlich dafür verantwortlich, die IT-Sicherheit und Notfallvorsorge zu koordinieren? Je nach Größe und Struktur können verschiedene Rollen beteiligt sein – entscheidend ist, dass die Verantwortlichkeiten klar verteilt und benannt sind:

Top-Management: Die Geschäftsführung trägt die Gesamtverantwortung, insbesondere auch juristisch (durch NIS2 sogar mit persönlicher Haftung).
Das Management muss die Priorität von IT-Sicherheit anerkennen, ausreichend Ressourcen bereitstellen und im Krisenfall über wichtige Weichenstellungen vollziehen. Das Management sollte einen Security Owner bestimmen und diesem das Mandat geben, notwendige Maßnahmen durchzusetzen.

-CISO (Chief Information Security Officer) bzw. IT-Sicherheitsbeauftragter: Diese Rolle – sofern vorhanden – ist üblicherweise federführend für die strategische IT-Sicherheit und somit auch für das Notfallmanagement. Der CISO entwickelt Sicherheitsrichtlinien, überwacht die Umsetzung von Maßnahmen und ist im Ernstfall Teil des Krisenstabs. In KRITIS-Organisationen verlangt das BSI-Gesetz ausdrücklich, einen Sicherheitsbeauftragten zu benennen, der als Ansprechpartner fungiert. Der CISO berichtet ans Top-Management und sorgt dafür, dass Prävention und Notfallplanung stetig weiterentwickelt werden.

-IT-Leitung (IT-Leiter / CIO): In vielen Kommunen oder mittelständischen Unternehmen gibt es keinen dedizierten CISO – hier übernimmt oft der IT-Leiter diese Aufgaben mit. Die IT-Leitung kennt die eigene Infrastruktur am besten und ist praktisch dafür verantwortlich, dass technische Vorkehrungen (Backups, Redundanzen, Updates) umgesetzt werden. Im Krisenfall koordiniert der IT-Leiter meist die technischen Teams (Admin-Team, Helpdesk usw.), um die Wiederherstellung durchzuführen. Wichtig ist, dass der IT-Leiter eng mit dem CISO bzw. Sicherheitsbeauftragten zusammenarbeitet – falls diese Rollen getrennt sind – damit organisatorische und technische Maßnahmen Hand in Hand gehen.

-BCM-Verantwortlicher / Notfallmanager: Größere Organisationen haben neben dem IT-Security-Verantwortlichen oft auch einen Business Continuity Manager (BCM) oder Notfallkoordinator. Dieser kümmert sich um die geschäftsseitige Notfallplanung, also die Aufrechterhaltung der Betriebsabläufe. Er/Sie erstellt Notfallhandbücher, organisiert Übungen und stellt sicher, dass Notfallpläne mit den Fachbereichen abgestimmt sind. In Unternehmen ohne dedizierte BCM-Stelle wird diese Aufgabe häufig vom Qualitätsmanagement oder dem Sicherheitsbeauftragten mit übernommen. In einer Kommune könnte z.B. der Verwaltungsleiter die Notfallplanung für die Verwaltungsprozesse koordinieren.

Zusammenfassend ist Teamarbeit gefragt: Ein Krisenteam sollte interdisziplinär besetzt sein (IT, Fachbereich, ggf. PR/Kommunikation, Recht etc.). Alle Beteiligten müssen ihre Rolle kennen. Empfehlenswert ist es, diese Verantwortlichkeiten in einer Notfallorganisationsstruktur schriftlich festzuhalten – etwa im Notfallhandbuch mit Organigramm und Kontaktdaten aller wichtigen Personen. So geht keine Zeit verloren, wenn ein Vorfall eintritt, weil klar ist, wer was zu tun hat.

Aktuelle Zahlen: Cyberangriffe auf deutsche Organisationen 2024
Ein Blick auf aktuelle Studien und Statistiken verdeutlicht, wie real und verbreitet Cyberangriffe in Deutschland inzwischen sind. Im Jahr 2024 erreichten die Schäden durch Cyberkriminalität neue Rekordhöhen. Eine vom Branchenverband Bitkom veröffentlichte Studie „Wirtschaftsschutz 2024“ fand heraus, dass in den letzten 12 Monaten 81% der deutschen Unternehmen Opfer von Datendiebstahl, Spionage oder Sabotage wurden; weitere 10% vermuten einen Vorfall.
Das bedeutet: nahezu jedes Unternehmen war betroffen. Der durch solche Angriffe entstandene Gesamtschaden wird für 2024 auf 266,6 Milliarden Euro beziffert – deutlich mehr als im bisherigen Rekordjahr 2021 (223,5 Mrd.)
Dieser Anstieg zeigt, dass Cyberangriffe wirtschaftlich inzwischen gravierendere Schäden verursachen als z.B. Naturkatastrophen.
Vor allem Cyberattacken (im Gegensatz zu analoger Industriespionage) sind für den Großteil der Schäden verantwortlich. Laut Bitkom entfielen zwei Drittel des Gesamtschadens – rund 178,6 Milliarden Euro – direkt auf digitale Angriffe wie Hacking, Malware und Co
Ransomware-Angriffe gelten dabei als kostspieligste Einzelbedrohung: Sie machten 31% der Schäden aus, gefolgt von Phishing (26%), Passwort-Diebstahl (24%) und sonstiger Malware (21%).
65% der Unternehmen fühlen sich durch Cyberangriffe in ihrer Existenz bedroht – eine dramatische Zahl, die die potentielle Vernichtungswirkung erfolgreicher Attacken unterstreicht.

Fazit:
Ein wirksames IT-Notfallmanagement basiert auf einem risikobasierten Ansatz, der alle relevanten internen und externen Faktoren berücksichtigt. Besonders in der Informationssicherheit ist es entscheidend, dass nicht nur unternehmenseigene Systeme und Prozesse abgedeckt sind – auch Dienstleister und Drittanbieter müssen konsequent in die Notfallplanung eingebunden werden. Externe IT- und Cloud-Dienstleister, Softwareanbieter oder Rechenzentren stellen kritische Glieder in der digitalen Lieferkette dar. Ihre Ausfälle oder Sicherheitsvorfälle können direkte Auswirkungen auf den Geschäftsbetrieb haben. Deshalb ist es unerlässlich, sie verbindlich in Notfallhandbücher, Kommunikationswege und Wiederanlaufpläne zu integrieren und klare Verantwortlichkeiten im Krisenfall zu definieren.

Wichtig ist das Thema proaktiv anzugehen: Im Zweifel externe Expertise hinzuzuziehen, alle relevanten Stellen im Unternehmen einzubinden und regelmäßig zu üben. So kann man mit klarem Kopf reagieren, wenn der Tag X kommt – und gewährleisten, dass Bürger, Kunden und Partner auch im Krisenfall auf die kritischen Dienste zählen können. IT-Notfallmanagement ist damit ein zentraler Baustein der Daseinsvorsorge und Unternehmenssicherheit in der digitalen Ära.

Quellenhinweis: Aktuelle Studien und Berichte (Allianz Risk Barometer, Bitkom, BSI) untermauern die hier dargestellten Fakten und Empfehlungen.

Seit 2012 steht die SECURAM Consulting GmbH für exzellente Beratung und praxisorientierte Lösungen im Bereich der IT- und Informationssicherheit. Als inhabergeführtes Unternehmen mit Sitz im Herzen Hamburgs haben wir uns darauf spezialisiert, Unternehmen und Organisationen vor den Herausforderungen der digitalen Welt zu schützen. Dabei steht der Schutz von Unternehmen vor den Risiken von morgen im Fokus, sodass sie sich voll und ganz auf ihr Kerngeschäft konzentrieren können. Gemeinsam mit unseren Kunden arbeiten wir an einer digitalen Welt, die auf Vertrauen und Sicherheit basiert.

Firmenkontakt
Securam Consulting GmbH
Nadine Eibel
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-0

http://www.securam-consulting.com

Pressekontakt
Securam Consulting GmbH
Anette Hollenbach
Neue ABC Straße 8
20354 Hamburg
+49 40-298 4553-21

http://www.securam-consulting.com

Die Bildrechte liegen bei dem Verfasser der Mitteilung.