Krisenstab bei IT-Notfällen: Zusammensetzung, Entscheidungsbefugnisse und Arbeitsweise im Ernstfall

Ein Krisenstab bei IT-Notfällen ist das Gremium, das bei einem schwerwiegenden Sicherheitsvorfall die Führung übernimmt, Entscheidungen bündelt und die Reaktion des Unternehmens koordiniert. Wenn Systeme verschlüsselt sind, Daten abfließen oder zentrale Dienste ausfallen, reicht die technische Fehlerbehebung allein nicht mehr aus. Es müssen Entscheidungen über Betriebsunterbrechungen, Meldungen an Behörden, Kommunikation mit Kunden und Mitarbeitern sowie den Einsatz externer Dienstleister getroffen werden, und zwar unter Zeitdruck und mit unvollständigen Informationen.

Unternehmen, die diese Struktur nicht vorab geschaffen haben, improvisieren im Ernstfall. Zuständigkeiten sind unklar, Entscheidungen werden doppelt oder gar nicht getroffen, und wertvolle Stunden gehen verloren. Dieser Beitrag beschreibt, wie ein Krisenstab für den Mittelstand aufgebaut wird, welche Rollen er benötigt, wie er arbeitet und woran seine Wirksamkeit gemessen wird. Eine Rollentabelle, ein Praxisbeispiel und eine Checkliste unterstützen die Einführung.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt sowie fachkundige Beratung zu regulatorischen Anforderungen. Für verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an eine zugelassene Fachperson.

Titelbild: Foto von Annie Spratt auf Unsplash.

Krisenstab und Incident-Response-Team: Die Abgrenzung

Der Krisenstab ist nicht identisch mit dem technischen Team, das den Vorfall analysiert und behebt. Das Incident-Response-Team arbeitet operativ: Es isoliert betroffene Systeme, sichert Spuren, bewertet das Ausmaß und stellt Dienste wieder her. Der Krisenstab arbeitet strategisch: Er entscheidet über Prioritäten, Ressourcen, Kommunikation und die Abwägung zwischen Geschäftsfortführung und Sicherheit.

Beide Gremien benötigen eine klare Schnittstelle. Das technische Team berichtet in festen Intervallen an den Krisenstab, und der Krisenstab gibt Entscheidungen und Rahmenbedingungen zurück. Ohne diese Trennung geraten Techniker in die Rolle, Entscheidungen mit weitreichenden geschäftlichen Folgen allein treffen zu müssen, oder die Geschäftsführung greift in technische Details ein, die sie nicht beurteilen kann.

Wann der Krisenstab einberufen wird

Nicht jeder Vorfall rechtfertigt die Einberufung. Der Betrieb sollte Eskalationsstufen festlegen, die an messbare Kriterien anknüpfen. Typische Auslöser sind der Ausfall geschäftskritischer Systeme über einen definierten Zeitraum, der Verdacht auf Abfluss personenbezogener Daten, eine Erpressung mit Verschlüsselung oder Veröffentlichungsdrohung sowie ein Vorfall, der Kunden oder Lieferanten unmittelbar betrifft. Je klarer die Kriterien, desto weniger Zeit geht mit der Frage verloren, ob der Fall groß genug ist.

Verhältnis zum Notfallplan

Der Krisenstab ist Bestandteil des Notfallmanagements. Der IT-Notfallplan beschreibt technische Wiederanlaufschritte, der Krisenstab regelt die Führung und Koordination. Standards wie der BSI-Standard 200-4 zum Business Continuity Management und die ISO 22301 sehen Strukturen für die Bewältigung von Krisen ausdrücklich vor. Wer ein Informationssicherheitsmanagement nach ISO 27001 betreibt, findet im Annex A Anforderungen zum Umgang mit Informationssicherheitsvorfällen, die sich mit einem Krisenstab praktisch umsetzen lassen.

Zusammensetzung des Krisenstabs bei IT-Notfällen

Die Besetzung richtet sich nach Größe und Struktur des Unternehmens. Für den Mittelstand hat sich ein Kern von fünf bis acht Personen bewährt, der bei Bedarf um Fachleute erweitert wird. Entscheidend ist, dass jede Rolle benannt, vertreten und im Voraus informiert ist.

Rolle	Aufgabe im Ernstfall	Vertretung nötig
Leitung des Krisenstabs (meist Geschäftsführung)	Gesamtentscheidung, Priorisierung, Freigaben	ja
IT-Leitung oder Leitung des Incident-Response-Teams	Lagebericht, technische Bewertung, Wiederanlauf	ja
Informationssicherheitsbeauftragte	Bewertung der Sicherheitslage, Abstimmung der Maßnahmen	ja
Datenschutzbeauftragte	Bewertung der Auswirkungen auf personenbezogene Daten, Meldungen	ja
Kommunikation	Interne und externe Kommunikation, Abstimmung der Texte	ja
Recht und Compliance	Bewertung von Pflichten, Verträgen und Haftung	ja
Personal	Mitarbeiterinformation, Schichtplanung, Betreuung	ja
Protokollführung	Lagebilder, Entscheidungen, Maßnahmen dokumentieren	ja

Die Leitung des Krisenstabs

Die Leitung sollte bei der Geschäftsführung oder bei einer von ihr ausdrücklich bevollmächtigten Person liegen. Sie muss Entscheidungen treffen und verantworten dürfen, etwa über das Abschalten von Systemen, den Zukauf externer Unterstützung oder die Information von Kunden. Wird diese Befugnis nicht im Voraus schriftlich geregelt, kommt es im Ernstfall zu Rückfragen und Verzögerungen. Die Leitung moderiert die Lagebesprechung, hält den Fokus auf den Prioritäten und sorgt dafür, dass Entscheidungen eindeutig formuliert und dokumentiert werden.

Externe Unterstützung einplanen

Viele mittelständische Unternehmen verfügen nicht über das Fachwissen, um einen komplexen Angriff allein zu bewältigen. Es empfiehlt sich, bereits im Vorfeld Kontakte zu einem Dienstleister für Vorfallsbewältigung, zu einer auf IT-Recht spezialisierten Kanzlei und gegebenenfalls zum Versicherer herzustellen. Deren Erreichbarkeit rund um die Uhr, Vertragskonditionen und Ansprechpartner gehören in die Notfallunterlagen. Die Mitwirkung externer Stellen ersetzt nicht die Verantwortung des Krisenstabs, entlastet ihn aber erheblich.

Entscheidungsbefugnisse vorab regeln

Im Ernstfall bleibt keine Zeit für Grundsatzdiskussionen. Deshalb sollten Entscheidungsbefugnisse im Voraus festgelegt werden. Ein Entscheidungskatalog benennt, wer über welche Maßnahmen entscheiden darf und ab welcher Tragweite die Geschäftsführung einzubinden ist.

• Isolierung von Systemen und Netzwerksegmenten: durch das technische Team sofort, mit nachträglicher Information.
• Abschaltung zentraler Dienste mit Kundenwirkung: Entscheidung durch die Leitung des Krisenstabs.
• Einschaltung externer Dienstleister und Kostenübernahme: Entscheidung durch die Leitung, mit vorab vereinbartem Budgetrahmen.
• Meldung an Behörden und Aufsichtsstellen: Vorbereitung durch Datenschutz und Recht, Freigabe durch die Leitung.
• Kundenkommunikation und Pressemitteilungen: Abstimmung mit Recht, Freigabe durch die Leitung.
• Umgang mit Erpressungsforderungen: nur nach Beratung mit Rechtsberatung, Versicherer und Behörden.

Meldepflichten im Blick behalten

Bei einem IT-Notfall können Meldepflichten entstehen. Verletzungen des Schutzes personenbezogener Daten sind nach Art. 33 der Datenschutz-Grundverordnung in der Regel innerhalb von 72 Stunden an die Aufsichtsbehörde zu melden, sofern ein Risiko für die Betroffenen besteht. Je nach Branche und Einordnung des Unternehmens können weitere Pflichten nach dem NIS2-Umsetzungsrecht oder vertraglichen Vorgaben hinzukommen. Die Fristen laufen ab Kenntnis, daher gehört die Bewertung der Meldepflichten von Beginn an auf die Tagesordnung des Krisenstabs. Weitere Informationen bietet das Bundesamt für Sicherheit in der Informationstechnik.

Arbeitsweise im Ernstfall

Ein Krisenstab arbeitet nach einem festen Rhythmus, der Ruhe und Struktur schafft. Entscheidend sind ein gemeinsames Lagebild, klare Zuständigkeiten und eine lückenlose Dokumentation. Die folgende Abfolge hat sich bewährt.

1. Alarmierung: Die Mitglieder werden über einen vorab definierten Weg informiert, der auch bei Ausfall der regulären IT funktioniert.
2. Erstes Lagebild: Was ist bekannt, was ist unbekannt, was ist betroffen, welche Maßnahmen laufen bereits?
3. Prioritäten festlegen: Schutz von Menschen, Eindämmung des Vorfalls, Fortführung kritischer Geschäftsprozesse, Wiederherstellung.
4. Aufgaben verteilen: Jede Maßnahme erhält eine verantwortliche Person und einen Termin.
5. Lagebesprechung im festen Takt: etwa alle zwei bis vier Stunden, je nach Dynamik.
6. Entscheidungen und Begründungen protokollieren, auch verworfene Alternativen.
7. Abschluss und Nachbereitung: Übergang in den Normalbetrieb und Auswertung der Erfahrungen.

Das Lagebild als gemeinsame Grundlage

Das Lagebild fasst den Stand knapp zusammen und wird von der Protokollführung laufend aktualisiert. Es beantwortet die Fragen nach betroffenen Systemen, vermuteter Ursache, erkannten Auswirkungen auf Daten und Prozesse, eingeleiteten Maßnahmen und offenen Entscheidungen. Eine einheitliche Vorlage verhindert, dass jede Besprechung bei null beginnt. Wichtig ist die Trennung zwischen gesicherten Fakten und Vermutungen, denn nur gesicherte Informationen sollten extern kommuniziert werden.

Kommunikation ohne die reguläre IT

Bei vielen Angriffen sind E-Mail, Telefonanlage oder Chatsysteme kompromittiert oder nicht verfügbar. Der Krisenstab benötigt daher einen alternativen Kommunikationsweg, der unabhängig von der regulären IT funktioniert. Das können private Mobiltelefone mit vorab erfasster Rufnummernliste, ein separater Messenger-Dienst oder ein außerhalb des Netzes bereitgestellter Telefonkonferenzzugang sein. Die Zugänge und Kontaktdaten gehören in eine gedruckte Notfallmappe, die auch ohne funktionierende Systeme erreichbar ist.

Umgang mit Unsicherheit

Zu Beginn eines Vorfalls ist die Informationslage fast immer unvollständig. Der Krisenstab muss trotzdem entscheiden, und zwar auf Grundlage der besten verfügbaren Annahmen. Hilfreich ist die Regel, Entscheidungen so zu treffen, dass sie sich bei neuen Erkenntnissen korrigieren lassen, und die zugrunde liegenden Annahmen im Protokoll festzuhalten. So bleibt nachvollziehbar, warum eine Maßnahme zu einem bestimmten Zeitpunkt sinnvoll war, auch wenn sich die Lage später anders darstellt.

Durchhaltefähigkeit und Ablösung

Größere Vorfälle dauern Tage oder Wochen. Der Krisenstab muss deshalb einen Schichtplan haben, der Ruhezeiten ermöglicht und eine Übergabe zwischen den Teams regelt. Erschöpfte Entscheider treffen schlechtere Entscheidungen, und Fehler häufen sich. Die Vertretung jeder Rolle sollte nicht nur auf dem Papier existieren, sondern in Übungen erprobt worden sein.

Dokumentation und Nachbereitung

Die Dokumentation erfüllt mehrere Zwecke zugleich. Sie dient der Nachvollziehbarkeit gegenüber Aufsichtsbehörden, Versicherern und gegebenenfalls Gerichten, sie unterstützt die Beweissicherung und sie bildet die Grundlage für die Auswertung nach dem Vorfall. Protokolliert werden Zeitpunkte, Beteiligte, Informationen, getroffene Entscheidungen mit Begründung sowie umgesetzte Maßnahmen. Die Protokolle sollten an einem gesicherten Ort liegen, der von den betroffenen Systemen unabhängig ist.

Nach der Bewältigung folgt eine strukturierte Auswertung, häufig als Nachbesprechung ohne Schuldzuweisung durchgeführt. Sie klärt, wie der Vorfall entstanden ist, was gut funktioniert hat und wo Verzögerungen auftraten. Die Ergebnisse münden in konkrete Maßnahmen mit Verantwortlichen und Terminen, etwa die Anpassung von Befugnissen, zusätzliche Schulungen oder technische Verbesserungen. Wird die Auswertung konsequent umgesetzt, wird jeder Vorfall zu einem Beitrag für die Widerstandsfähigkeit des Unternehmens. Die Erkenntnisse sollten außerdem in die Risikobewertung und den Notfallplan einfließen, damit der Krisenstab beim nächsten Mal auf einer besseren Grundlage arbeitet.

Vorbereitung: Was vor dem Ernstfall stehen muss

Die Wirksamkeit eines Krisenstabs wird vor dem Vorfall entschieden. Folgende Bausteine gehören zur Vorbereitung und sollten regelmäßig geprüft werden.

• Schriftliche Beauftragung der Mitglieder mit Rollenbeschreibung und Vertretung.
• Aktuelle Kontaktliste mit mehreren Erreichbarkeiten pro Person, auch außerhalb der Arbeitszeit.
• Entscheidungskatalog mit Befugnissen und Budgetrahmen.
• Vorlagen für Lagebild, Protokoll, Meldungen und Kommunikation.
• Vereinbarungen mit externen Dienstleistern, Kanzlei und Versicherer.
• Ein Raum oder virtueller Ort, der auch ohne reguläre IT nutzbar ist.
• Regelmäßige Übungen, zum Beispiel als Planspiel am Tisch.

Übungen als Wirksamkeitsprüfung

Ein Krisenstab ist erst dann belastbar, wenn er geübt hat. Ein Planspiel am Tisch mit einem realistischen Szenario, etwa einem Verschlüsselungsangriff am Freitagabend, zeigt Lücken in Erreichbarkeit, Befugnissen und Kommunikation. Die Erkenntnisse fließen in die Notfallunterlagen zurück. Einmal jährlich eine Übung genügt für den Anfang, danach kann der Schwierigkeitsgrad erhöht werden, etwa durch zusätzliche Störungen oder unvollständige Informationen.

Praxisbeispiel: Verschlüsselungsangriff in einem Fertigungsbetrieb

Das folgende Beispiel ist konstruiert und zeigt typische Abläufe. In einem Fertigungsunternehmen fallen am Montagmorgen mehrere Server aus, und auf Bildschirmen erscheint eine Erpressungsnachricht. Die IT-Leitung alarmiert den Krisenstab über den vorab definierten Messenger, die Mitglieder treffen sich im festgelegten Raum und im Telefonkonferenzzugang.

Die Leitung legt als Prioritäten fest: Eindämmung des Angriffs, Schutz der Produktionssteuerung, Bewertung der Datenlage und Kommunikation mit Kunden. Das technische Team isoliert betroffene Segmente, der Datenschutz prüft, ob personenbezogene Daten betroffen sein könnten, und die Rechtsberatung klärt Meldefristen. Die Kommunikation informiert die Belegschaft über ein vorbereitetes Telefonsystem. Alle zwei Stunden gibt es eine Lagebesprechung, und sämtliche Entscheidungen werden protokolliert. Auch wenn der Wiederanlauf mehrere Tage dauert, bleibt die Führung durchgehend geregelt, und die Nachbereitung liefert konkrete Verbesserungen.

Typische Fehler beim Aufbau eines Krisenstabs

In der Praxis zeigen sich immer wieder dieselben Schwächen. Sie lassen sich mit überschaubarem Aufwand beseitigen.

• Der Krisenstab existiert nur auf dem Papier, ohne geübte Abläufe und ohne Vertretungen.
• Entscheidungsbefugnisse sind nicht geregelt, sodass Entscheidungen verzögert werden.
• Die Notfallunterlagen liegen ausschließlich auf Systemen, die im Ernstfall nicht erreichbar sind.
• Die Geschäftsführung greift in technische Details ein, statt Prioritäten zu setzen.
• Die Dokumentation ist lückenhaft, sodass Meldepflichten und spätere Aufarbeitung erschwert werden.
• Kommunikation erfolgt ohne Abstimmung und mit ungesicherten Informationen.

Im Ernstfall entscheidet nicht die beste Technik, sondern die Klarheit darüber, wer was entscheiden darf.

Diese Erfahrung zeigt, dass der Krisenstab weniger ein technisches als ein organisatorisches Instrument ist. Wer Rollen, Befugnisse und Kommunikationswege vorab klärt, verschafft sich im Ernstfall den entscheidenden Zeitvorsprung.

Checkliste für den Aufbau

• Auslöser und Eskalationsstufen für die Einberufung festgelegt.
• Mitglieder, Rollen und Vertretungen schriftlich benannt.
• Entscheidungskatalog mit Befugnissen und Budgetrahmen erstellt.
• Alternative Kommunikationswege und gedruckte Notfallmappe eingerichtet.
• Externe Dienstleister, Kanzlei und Versicherer mit Notfallkontakten hinterlegt.
• Vorlagen für Lagebild, Protokoll und Meldungen vorbereitet.
• Schichtplan für längere Vorfälle entworfen.
• Jährliche Übung terminiert und Verantwortliche für die Nachbereitung benannt.

FAQ

Was ist ein Krisenstab bei IT-Notfällen?
Ein Krisenstab ist das Führungsgremium, das bei einem schweren IT-Vorfall Entscheidungen bündelt, Prioritäten setzt und die Reaktion des Unternehmens koordiniert. Er arbeitet strategisch, während das technische Team den Vorfall operativ bearbeitet.

Wer gehört in einen Krisenstab?
Üblich sind die Geschäftsführung, die IT-Leitung, Informationssicherheit, Datenschutz, Kommunikation, Recht, Personal und eine Protokollführung. Jede Rolle benötigt eine benannte Vertretung.

Wann sollte der Krisenstab einberufen werden?
Bei Vorfällen mit erheblichen Auswirkungen, etwa beim Ausfall kritischer Systeme, bei Verdacht auf Datenabfluss oder bei einer Erpressung. Die Kriterien sollten vorab schriftlich festgelegt werden.

Wie oft sollte ein Krisenstab üben?
Mindestens einmal jährlich, zum Beispiel mit einem Planspiel am Tisch. Zusätzliche Übungen empfehlen sich nach größeren Änderungen in der IT oder im Personal.

Welche Meldepflichten sind im Krisenstab zu beachten?
Dazu gehört insbesondere die Meldung von Datenschutzverletzungen nach Art. 33 DSGVO innerhalb von 72 Stunden. Je nach Branche können weitere gesetzliche oder vertragliche Pflichten bestehen, die frühzeitig zu prüfen sind.