IT-Notfallplan: Warum die meisten Pflegeeinrichtungen im Ernstfall improvisieren müssten
Ein Cyberangriff oder Systemausfall in der eigenen Einrichtung ist längst kein theoretisches Risiko mehr. Trotzdem hat nach einer bundesweiten Bitkom-Untersuchung fast jedes zweite Unternehmen in Deutschland keinen schriftlichen Notfallplan für den IT-Ernstfall. Was ein solcher Plan enthalten sollte – und wie er sich in überschaubaren Schritten aufbauen lässt.
Die Zahlen zeigen eine Lücke
Nach einer repräsentativen Bitkom-Untersuchung unter 1.066 Unternehmen ab zehn Beschäftigten verfügen 54 Prozent der deutschen Unternehmen über einen Notfallplan mit schriftlich geregelten Abläufen und Sofortmaßnahmen für IT-Sicherheitsvorfälle – im Umkehrschluss heißt das: 46 Prozent, also fast jedes zweite Unternehmen, haben keinen. Kleinere Unternehmen mit 10 bis 99 Beschäftigten schneiden mit 51 Prozent etwas schlechter ab als mittlere (71 Prozent) und große Unternehmen (78 Prozent) – aber selbst bei den Großen fehlt in mehr als jedem fünften Fall ein schriftlicher Plan. Für Sozialstationen und kleinere bis mittlere Pflegedienste, die IT-Sicherheit häufig nebenbei mitverwalten, ist das ein realistisches Bild: Ohne festen Ablaufplan trifft ein Ernstfall die eigene Organisation meist unvorbereitet.
Was ohne Plan im Ernstfall passiert
Fehlt ein schriftlicher Notfallplan, wird im Ernstfall improvisiert: Wer zuständig ist, wird erst geklärt, während das System bereits stillsteht. Wichtige Telefonnummern werden gesucht statt griffbereit zu sein, Entscheidungen über das Abschalten oder Isolieren betroffener Systeme werden unter Zeitdruck und ohne klare Zuständigkeit getroffen. Gerade in der Pflege, wo Dokumentations- und Dienstplansysteme den laufenden Betrieb direkt betreffen, verlängert diese Unklarheit die Ausfallzeit spürbar – und damit auch den Zeitraum, in dem mit Papier und Improvisation gearbeitet werden muss.
Was ein IT-Notfallplan enthalten sollte
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt für den Einstieg drei Bausteine: eine IT-Notfallkarte mit den wichtigsten Sofortmaßnahmen und Ansprechpartnern für den akuten Moment, einen ausführlicheren Maßnahmenkatalog für die Tage danach, sowie eine Liste der „TOP 12 Maßnahmen bei Cyber-Angriffen“ als Orientierung, was in welcher Reihenfolge zu tun ist. Der Grundgedanke dahinter: Im akuten Ernstfall – etwa bei einem Ransomware-Befall oder Totalausfall der Dokumentationssoftware – bleibt keine Zeit, um Zuständigkeiten und Abläufe erst zu klären. Wer vorher weiß, wer im Ernstfall was tut, wen man zuerst informiert und welche Systeme zuerst wieder laufen müssen, verkürzt die Ausfallzeit erheblich.
In sechs Schritten zum eigenen Notfallplan
Ein IT-Notfallplan lässt sich auch mit begrenzten Ressourcen aufbauen. Eine gängige Struktur umfasst sechs Schritte: die Identifikation der kritischen Systeme und Daten (bei einer Sozialstation typischerweise Dokumentations-, Dienstplan- und Abrechnungssoftware), die Festlegung von Verantwortlichkeiten und Vertretungsregelungen für den Fall von Urlaub oder Krankheit, die Definition konkreter Sofortmaßnahmen bei den wahrscheinlichsten Szenarien wie Ransomware oder Stromausfall, eine Kommunikationskette für den Ernstfall (wer informiert wen, in welcher Reihenfolge, über welchen Kanal), die Einbindung externer Ansprechpartner wie IT-Dienstleister, Versicherung oder gegebenenfalls Behörden, sowie – oft der am meisten vernachlässigte Punkt – ein regelmäßiger Test des Plans in einer Übung.
Warum der Test genauso wichtig ist wie der Plan
Ein Notfallplan, der nur in der Schublade liegt, hilft im Ernstfall wenig, wenn niemand ihn kennt oder er an der Praxis vorbeigeht. Eine jährliche Übung – und sei es nur ein einstündiges Durchspielen des Ablaufs im Team – zeigt zuverlässig, welche Annahmen nicht stimmen: falsche Telefonnummern, unklare Zuständigkeiten bei Urlaub oder Krankheit, vergessene Systeme, die im Plan gar nicht auftauchen. Gerade für kleinere Einrichtungen ohne eigene IT-Abteilung ist das der Punkt, an dem sich am ehesten zeigt, ob der Plan im Ernstfall tatsächlich trägt oder nur auf dem Papier gut aussieht.
Wir von bitman unterstützen Sozialstationen und Pflegedienste dabei, einen IT-Notfallplan zu erstellen, der zur eigenen Größe und den eigenen Systemen passt – und ihn gemeinsam mit dem Team zu erproben, bevor der Ernstfall eintritt. Sprechen Sie uns an unter 07141 141 6789 oder help@bitman.de.