Ist Ihre IT für die Urlaubszeit vorbereitet?

4 wichtige Fragen für Ihr Unternehmen.

Die Sommerferien sind für viele Unternehmen ein Stresstest für Zuständigkeiten, Vertretungen und Prozesse. Was im Alltag selbstverständlich funktioniert, kann plötzlich davon abhängen, ob die richtige Person erreichbar ist.

Gerade in der IT-Sicherheit können schon kleine Veränderungen große Auswirkungen haben. Teams sind kleiner besetzt, Entscheidungen werden von Vertretungen getroffen und Warnmeldungen landen möglicherweise nicht mehr bei den gewohnten Ansprechpartnern. Nicht die Technik verändert sich in dieser Zeit, sondern die Menschen und Prozesse dahinter.

Genau deshalb lohnt sich vor der Ferienzeit ein kurzer, ehrlicher Blick auf vier Fragen. Sie kosten keine Stunden, aber sie schließen die Lücken, die im Ernstfall den Unterschied machen.

Frage 1:
Wer übernimmt Verantwortung, wenn zentrale Ansprechpartner fehlen?

In den meisten mittelständigen Unternehmen gibt es eine Person, die "es schon irgendwie regelt". Häufig ohne dass das jemand bewusst so festgelegt hat. Das funktioniert gut, solange diese Person greifbar ist.

Kritisch wird es oft erst dann, wenn diese zentrale Person im Urlaub ist.

Was passiert, wenn ein Lieferant anruft und keinen Zugang zu einem Portal erhält? Wer entscheidet bei einer kritischen Sicherheitswarnung? Wer darf Benutzer freischalten oder Berechtigungen ändern? Und wer weiß überhaupt, welche Systeme betroffen sind?

Entscheidend ist deshalb nicht, ob es eine Vertretung gibt, sondern ob diese Vertretung genau weiß wofür sie zuständig ist, und wofür nicht. Eine kurze schriftliche Übersicht reicht oft schon aus, um diese Unsicherheit zu beseitigen.

Frage 2:
Wer erkennt einen Sicherheitsvorfall, wenn die zuständige Person nicht erreichbar ist?

Sicherheitswarnungen sind nur so nützlich wie die Person, die sie liest und einordnet. Läuft die Meldung ins Leere, weil das zuständige Postfach drei Wochen lang nicht kontrolliert wird, verliert auch das beste Monitoring-System seinen Wert.

Hier hilft eine einfache Regel: Kritische Meldungen sollten nie an eine einzelne Person gebunden sein, sondern immer an eine Vertretungskette. Wer das im Vorfeld klärt, muss sich während der Ferienzeit keine Gedanken mehr darüber machen.

Ein Beispiel aus der Praxis

Ein mittelständischer Produktionsbetrieb hatte ein zuverlässiges IT-Setup, betreut von einer einzelnen internen IT-Fachkraft. Während deren Urlaub erreichte das Unternehmen eine augenscheinlich harmlose E-Mail mit einer angeblichen Rechnungskorrektur eines bekannten Lieferanten. Die Buchhaltungsvertretung öffnete den Anhang, da der Absendername vertraut wirkte.

Der Vorfall blieb zwei Tage unbemerkt, weil die reguläre Sicherheitsmeldung nur an das persönliche Postfach der IT-Fachkraft ging, die zu diesem Zeitpunkt nicht erreichbar war.

Am Ende ließ sich der Schaden eingrenzen, weil ein Backup vorhanden war. Doch die Wiederherstellung dauerte deutlich länger als nötig, weil nie getestet worden war, ob sie tatsächlich reibungslos funktioniert.

Der Fall zeigt exemplarisch: Es war nicht ein einzelner Fehler, der das Problem verursacht hat, sondern das Zusammenspiel mehrerer kleiner Lücken.

Frage 3:
Backup vorhanden. Aber funktioniert es auch im Ernstfall?

Ein Backup zu haben und ein Backup, das im Ernstfall tatsächlich funktioniert, sind zwei unterschiedliche Dinge.

Viele Unternehmen wissen, dass ihre Datensicherung läuft. Ob sich die gesicherten Daten aber auch vollständig und innerhalb einer akzeptablen Zeit zurückspielen lassen, wird deutlich seltener überprüft, und ein grüner Haken im Backup-System ist sicher noch kein Beweis dafür.

Ein kurzer Test vor der Ferienzeit (etwa die Wiederherstellung einer einzelnen, weniger kritischen Datei) zeigt zuverlässig, ob im Ernstfall alles wie erwartet funktioniert. Diese zehn Minuten investierter Zeit ersparen im Zweifel tagelange Unsicherheit.

Frage 4:
Gibt es einen Notfallplan, den auch eine Vertretung verstehen und anwenden kann?

Ein Notfallplan, der nur einer einzigen Person bekannt ist, ist streng genommen kein Notfallplan sondern eine persönliche Routine. Im Urlaubsfall ist genau diese Person aber häufig nicht erreichbar.
Ein brauchbarer Notfallplan beantwortet drei einfache Fragen:

• Wer wird informiert?
• In welcher Reihenfolge?
• Welche ersten Schritte sind sofort zu tun?

Diese Informationen sollten so dokumentiert sein, dass sie auch von einer Vertretung nachvollzogen werden können. Denn im Ernstfall fehlt oft die Zeit, um Zuständigkeiten oder Abläufe erst zu klären.

Der erste Schritt: eine ehrliche Bestandsaufnahme

Keine dieser vier Fragen erfordert große Investitionen oder aufwendige Projekte. Es geht zunächst nur darum, ehrlich hinzuschauen: Wo gibt es Klarheit und wo verlässt man sich eigentlich nur darauf, dass schon nichts passiert?

Gerade die Ferienzeit bietet einen guten Anlass, diese Punkte einmal in Ruhe zu prüfen. Nicht weil ein Vorfall unmittelbar bevorsteht, sondern weil sich mögliche Lücken jetzt oft leichter erkennen lassen als unter Zeitdruck.

Häufige Fragen zu IT-Sicherheit in der Urlaubszeit