Cyber Notfallplan Workshop: In 90 Minuten zum einsatzbereiten Plan (KMU 2026)

Wenn eine Ransomware-Verschlüsselung nachts um drei beginnt, entscheidet sich in der ersten Stunde, ob ein Unternehmen am Montag wieder arbeitsfähig ist oder tagelang stillsteht. In den meisten KMU gibt es dafür keinen abgestimmten Ablauf: Niemand weiß verbindlich, wer Systeme trennen darf, wer die Geschäftsführung weckt und wer die Behördenmeldung übernimmt. Wertvolle Zeit geht dann in Diskussionen statt in Handeln verloren. Ein Cyber Notfallplan Workshop mit klaren Rollen, einer Meldekette und einer Sofortmaßnahmen-Checkliste lässt sich in 90 Minuten erarbeiten, wenn die Struktur vorher feststeht — inklusive der Frage, ab wann eine laufende Überwachung über Managed Services den Plan sinnvoll ergänzt.

Wie erstellt man einen Cyber-Notfallplan in 90 Minuten?

Ein Cyber Notfallplan Workshop in 90 Minuten braucht fünf feste Zeitblöcke: 15 Minuten für kritische Systeme, 20 für die Meldekette, 20 für Sofortmaßnahmen, 20 für die Kommunikation und 15 für einen Testlauf. Das Ergebnis ist ein erster einsatzfähiger Plan, kein vollständiges Business-Continuity-Management-System (BCMS).

Warum ein Cyber Notfallplan Workshop in nur 90 Minuten funktioniert

Ein vollständiges BCMS nach BSI-Standard 200-4 mit Business-Impact-Analyse und dokumentierten Wiederanlaufplänen braucht mehrere Wochen. Genau deshalb sieht der Standard bewusst ein dreistufiges Einstiegsmodell vor: Es beginnt mit einem einfachen Reaktiv-BCMS, das auf einen Vorfall reagiert statt ihn vorzubeugen, gefolgt von Aufbau- und Standard-BCMS für höhere Reifegrade. Ein 90-Minuten-Workshop deckt genau diese Einstiegsstufe ab: kein vollständiges Regelwerk, aber ein erster Plan, der im Ernstfall sofort nutzbar ist.

Der Zeitrahmen ist bewusst knapp gewählt. Länger als 90 Minuten verlieren Workshops in KMU erfahrungsgemäß an Fokus, weil Teilnehmer parallel ins Tagesgeschäft abgezogen werden. Kürzer reicht die Zeit nicht für die fünf notwendigen Bausteine.

Wer muss beim Notfallplan-Workshop im Raum sitzen?

Der Workshop scheitert häufig nicht an der Methode, sondern an der falschen Teilnehmerliste. Vier Rollen sind für einen belastbaren Plan zwingend:

• Geschäftsführung oder ein Vertreter mit Entscheidungsbefugnis — muss im Ernstfall Systeme abschalten oder Zahlungen freigeben können.
• IT-Verantwortlicher oder externer IT-Dienstleister — kennt die kritischen Systeme und deren Abhängigkeiten.
• Eine Person für interne und externe Kommunikation — informiert Mitarbeitende, Kunden und bei Bedarf die Presse.
• Datenschutzbeauftragter oder externer DSB — beurteilt, ob eine Meldung an die Aufsichtsbehörde nötig wird.

Fehlt eine dieser Rollen, entstehen im Plan Lücken, die genau in der Stresssituation sichtbar werden, für die der Plan gedacht ist.

Ablauf: Die fünf Phasen des 90-Minuten-Workshops

Die folgende Struktur hat sich in der Praxis bewährt, weil jede Phase ein konkretes, greifbares Ergebnis liefert statt nur Diskussion:

Wird die Tabelle am Ende des Workshops ausgedruckt, ist sie bereits das erste nutzbare Arbeitsdokument des Notfallplans — nicht nur eine Zusammenfassung des Gesprächs.

Sofortmaßnahmen-Checkliste: Die ersten 60 Minuten nach der Entdeckung

Diese Punkte gehören auf jede Notfallkarte, die aus dem Workshop entsteht:

1. Betroffene Systeme vom Netzwerk trennen, aber nicht ausschalten — sonst gehen forensische Spuren im Arbeitsspeicher verloren.
2. Zeitpunkt der Entdeckung, betroffene Systeme und erste Beobachtungen schriftlich festhalten.
3. Meldekette aus Phase 2 aktivieren, beginnend mit der Geschäftsführung.
4. Prüfen, ob personenbezogene Daten betroffen sein könnten — das entscheidet über die DSGVO-Meldefrist.
5. Bei wesentlichen oder wichtigen Einrichtungen nach NIS2: Erstmeldung binnen 24 Stunden ab Kenntnis des Vorfalls an die zuständige Meldestelle prüfen.
6. Backup-Status kontrollieren, bevor über Wiederherstellung oder Lösegeldforderung diskutiert wird.

Eine ausführlichere Schritt-für-Schritt-Anleitung für die Stunden nach der Entdeckung liefert der Beitrag Incident Response: Was tun nach einem Cyberangriff. Die konkreten NIS2-Fristen und Ausnahmen fasst die NIS2-Checkliste für KMU zusammen.

Typische Fehler bei Notfallplänen in KMU

• Der Plan liegt ausschließlich digital auf einem Server, der im Ernstfall selbst verschlüsselt sein könnte — ohne Ausdruck oder Alternativkanal ist er dann nicht erreichbar.
• Es gibt keine Vertretungsregelung, falls die erste Ansprechperson im Urlaub oder nicht erreichbar ist.
• Der Plan wurde einmal erstellt und seitdem nie mit den Teilnehmern geübt.
• NIS2-Meldepflichten wurden im Plan nicht berücksichtigt, obwohl das Unternehmen betroffen sein könnte.
• Es fehlt eine externe Ansprechperson für forensische Unterstützung, die kurzfristig eingebunden werden kann.
• Die Meldekette nennt nur Namen, aber keine gültigen Telefonnummern — nach einem Jahr ohne Pflege ist mindestens ein Kontakt veraltet.

Wann sich ein extern moderierter Workshop lohnt

Ein interner Workshop reicht für den ersten Plan aus. Sobald jedoch mehrere Standorte, ein größeres IT-Team oder branchenspezifische Meldepflichten dazukommen, ist es häufig sinnvoll, den Workshop extern moderieren zu lassen — ein Berater erkennt blinde Flecken der eigenen Organisation leichter als das interne Team selbst. Passende Formate finden sich im Bereich Schulungen & Compliance sowie im Sophos-Portfolio, das neben Awareness-Trainings auch laufende Überwachung umfasst.

Ein Managed-SOC-Service wie BLACKSOC All-in-One verändert vor allem Punkt 3 der Checkliste oben: Wird ein Angriff bereits durch laufende Überwachung erkannt, muss die Meldekette oft nicht mehr von Hand durch einen Mitarbeiter angestoßen werden, der den Vorfall rein zufällig als Erster bemerkt.

Häufige Fragen zum Cyber-Notfallplan-Workshop

Wie oft sollte der Notfallplan aktualisiert werden?

Mindestens einmal jährlich sowie nach jeder größeren Änderung an kritischen Systemen oder Verantwortlichkeiten. Ein veralteter Ansprechpartner in der Meldekette macht den Plan im Ernstfall wertlos.

Ersetzt der Workshop eine vollständige BCM-Einführung nach BSI 200-4?

Nein. Der Workshop deckt nur die Einstiegsstufe Reaktiv-BCMS ab. Für ein vollwertiges BCMS nach BSI-Standard 200-4 sind zusätzlich eine Business-Impact-Analyse und dokumentierte Wiederanlaufpläne nötig.

Welche Rolle spielt NIS2 beim Notfallplan?

Für wesentliche und wichtige Einrichtungen gilt eine Erstmeldepflicht binnen 24 Stunden ab Kenntnis eines erheblichen Sicherheitsvorfalls. Der Notfallplan sollte festlegen, wer diese Meldung prüft und wer sie absetzt.

Braucht jede Abteilung eine eigene Meldekette?

Nicht zwingend, aber jede Abteilung mit kritischen Systemen sollte in der zentralen Meldekette namentlich vertreten sein, inklusive Vertretung.

Was passiert, wenn der Notfallplan nur digital gespeichert ist?

Im schlechtesten Fall ist er während des Angriffs selbst nicht erreichbar, weil der Server verschlüsselt oder das Netzwerk isoliert wurde. Ein ausgedrucktes Exemplar an einem bekannten Ort gehört deshalb zum Ergebnis jedes Workshops.

Der erste Workshop kostet 90 Minuten und ersetzt kein Jahresprojekt — er verkürzt aber genau die Stunde, in der die meisten KMU sonst nur diskutieren statt handeln. Wer diesen Workshop extern moderieren lassen möchte oder direkt eine laufende Überwachung ergänzen will, klärt den passenden Umfang am schnellsten im Gespräch mit dem Produktberater oder direkt über den Kontakt. Wann haben Sie Ihren eigenen Notfallplan zuletzt getestet?