Playbook-Serie · Incident Response
Incident-Playbooks für KMU.
Im Ernstfall entscheidet, was die Person am Bildschirm in den ersten Minuten tut. Das Handbuch im Ordner hilft ihr dabei nicht. Diese Serie gibt pro Vorfall eine A4-Seite: Sofortmaßnahmen, Meldeweg, typische Fehler.
Worum es geht
Der Notfallplan scheitert selten an der Technik.
Die meisten Vorfälle in kleinen und mittleren Unternehmen beginnen an einem Arbeitsplatz: ein angeklickter Link, ein verlorenes Gerät, eine Mail an den falschen Empfänger. Was in den nächsten fünfzehn Minuten passiert, entscheidet über den Schaden. Ein sechzigseitiger Notfallplan hilft in diesem Moment niemandem.
Diese Serie zerlegt den Notfallplan in 30 einzelne Vorfälle, gruppiert in sieben Bereiche. Jedes Playbook passt auf eine A4-Seite und folgt derselben Struktur: Situation, Sofortmaßnahmen, Melden, Nicht tun, Was danach passiert. Damit lässt sich das passende Blatt in Sekunden finden und ohne Vorwissen abarbeiten.
Die Serie erscheint schrittweise. Die vollständige Struktur steht bereits, veröffentlichte Playbooks sind verlinkt.
Die Serie
30 Playbooks in sieben Bereichen.
Die Kennung jedes Playbooks trägt ihren Bereich im Kürzel — DEV für Geräte, ACC für Konten, PHI für Phishing, DAT für Daten, MAL für Malware, CLD für Cloud, SUP für Lieferanten. Neue Fälle wachsen innerhalb ihres Bereichs weiter, ohne dass sich bestehende Nummern ändern.
Geräte & Datenträger
Verlorene, gestohlene, fremde oder private Geräte und Datenträger.
Konto & Identität
Zugangsdaten, Multi-Faktor-Authentifizierung und übernommene Konten.
- ACC-01 Passwort oder Zugangsdaten preisgegeben Ein Passwort ist in fremde Hände geraten. Es wurde auf einer nachgebauten Seite eingetippt, am Telefon genannt, in einem Chat geteilt oder lag sichtbar für andere zugänglich. Ob damit schon jemand angemeldet ist, weißt du nicht.
- ACC-02 MFA-Gerät verloren oder gewechselt Das Gerät mit der Authenticator-App oder dem Sicherheitsschlüssel ist weg, defekt oder wurde getauscht. Anmeldungen, die einen zweiten Faktor verlangen, sind damit blockiert. Bei Verlust oder Diebstahl kommt hinzu, dass ein Fremder das Gerät in der Hand hält.
- ACC-03 Verdacht auf Kontoübernahme Es gibt Anzeichen, dass jemand anderes Zugriff auf ein dienstliches Konto hat. Typisch sind Anmeldungen zu ungewöhnlichen Zeiten, Nachrichten, die du nie geschrieben hast, oder Einstellungen, die sich von selbst geändert haben.
- ACC-04 Unerwartete MFA-Anfragen Auf dem Handy erscheint eine Bestätigungsanfrage für eine Anmeldung, die du nicht ausgelöst hast. Manchmal einmal, manchmal in Serie und mitten in der Nacht. Jede dieser Anfragen bedeutet, dass jemand dein Passwort bereits kennt.
Phishing & Social Engineering
Manipulative Nachrichten, Links, Anhänge, Anrufe und QR-Codes.
- PHI-01 Verdächtige Nachricht erhalten Eine Mail oder Chat-Nachricht wirkt nicht echt. Sie drängt zur Eile, kommt von einem unerwarteten Absender oder verlangt eine Anmeldung, eine Zahlung oder die Weitergabe von Daten. Du hast noch nichts angeklickt und nichts eingegeben.
- PHI-02 Phishing-Link angeklickt Du hast einen Link aus einer Nachricht geöffnet und erst danach gemerkt, dass etwas nicht stimmt. Die Seite verlangt eine Anmeldung, einen Bestätigungscode oder einen Download. Vielleicht hast du schon etwas eingetippt.
- PHI-03 Verdächtigen Anhang geöffnet Du hast einen Anhang geöffnet und danach stimmt etwas nicht. Das Dokument verlangt, den Bearbeitungsschutz aufzuheben oder Inhalte zu aktivieren, es öffnet ein Fenster, das nach Zugangsdaten fragt, oder es bleibt leer, obwohl eine Rechnung angekündigt war.
- PHI-04 CEO-Fraud oder Rechnungsbetrug Eine Zahlung soll ausgelöst oder eine Bankverbindung geändert werden. Die Anweisung kommt scheinbar von der Geschäftsführung oder von einem bekannten Lieferanten, wirkt dringend und bittet um Vertraulichkeit oder darum, den üblichen Weg abzukürzen.
- PHI-05 Verdächtiger Anruf oder Identitätsbetrug Jemand ruft an und gibt sich als IT-Support, Bank, Behörde, Lieferant oder Kollege aus. Verlangt werden Zugangsdaten, ein Bestätigungscode, eine Fernwartungssitzung oder Auskunft über interne Abläufe. Der Anruf kommt unerwartet und drängt zur Eile.
- PHI-06 Verdächtiger QR-Code oder SMS-Link Ein QR-Code oder eine SMS führt auf eine Seite, die Zugangsdaten, eine Zahlung oder eine App-Installation verlangt. Beide Wege umgehen den Mail-Schutz des Unternehmens, weil sie am Handy und außerhalb des Postfachs ankommen.
Daten & Datenschutz
Fehlversand, unbeabsichtigte Freigaben und mögliche Datenschutzverletzungen.
Malware & verdächtiges Verhalten
Virenmeldungen, auffällige Systeme, Ransomware und Erpressungsmeldungen.
- MAL-01 Virenmeldung oder Sicherheitswarnung Auf dem Bildschirm erscheint eine Warnung über einen Virus, eine Bedrohung oder ein Sicherheitsproblem. Unklar ist, ob die Meldung vom installierten Schutzprogramm stammt oder von einer Website, die eine Warnung nur nachbaut.
- MAL-02 Rechner verhält sich ungewöhnlich Das Gerät reagiert anders als sonst. Es wird ohne erkennbaren Grund langsam, der Lüfter läuft dauerhaft, Fenster öffnen sich von selbst, der Mauszeiger bewegt sich eigenständig oder Programme starten und beenden sich ohne Zutun.
- MAL-03 Verdacht auf Ransomware Dateien lassen sich nicht mehr öffnen, tragen plötzlich fremde Endungen oder es erscheint eine Erpressungsnachricht. Jede Minute zählt, weil die Verschlüsselung weiterläuft, solange das Gerät im Netzwerk hängt.
- MAL-04 Lösegeldforderung am Bildschirm Auf dem Bildschirm steht eine Forderung nach Zahlung, damit Dateien wieder zugänglich werden oder angeblich gestohlene Daten nicht veröffentlicht werden. Oft nennt sie eine Frist und einen Kontaktweg für die Verhandlung.
Cloud & Zusammenarbeit
Cloud-Konten, Kollaborationsplattformen und unsichere Netzwerke.
Lieferanten & Softwareentwicklung
Kompromittierte Lieferanten, Abhängigkeiten, Secrets und Entwicklungsumgebungen.
Euer Teil
Was ihr selbst ergänzen müsst.
Die Playbooks nennen bewusst nur Rollen: IT-Verantwortliche, Datenschutz-Ansprechperson, Geschäftsführung. Wer das konkret ist und unter welcher Nummer diese Person um 22 Uhr erreichbar ist, weiß nur ihr.
Diese Angaben gehören auf ein einziges Blatt, das neben den Playbooks liegt. Ändert sich eine Zuständigkeit, wird ein Blatt getauscht statt 30 Dokumente.
-
Meldekontakte mit Rolle
Wer nimmt Meldungen an, mit Name, Rolle, Durchwahl und Mobilnummer. Dazu eine benannte Vertretung, damit der Meldeweg bei Urlaub nicht endet.
-
Erreichbarkeit außerhalb der Geschäftszeiten
Eine Nummer, die abends, am Wochenende und im Urlaub tatsächlich jemand abhebt. Vorfälle halten sich nicht an Bürozeiten.
-
IT-Dienstleister und Vertragsbasis
Ansprechpartner, Notfallnummer, Ticket-System und die vereinbarte Reaktionszeit. Im Ernstfall zählt, was im Vertrag steht.
-
Datenschutz-Ansprechperson
Wer die Bewertung nach Art. 33 DSGVO übernimmt und die 72-Stunden-Frist im Blick hat. Bei bestelltem Datenschutzbeauftragten dessen Kontaktdaten.
-
Cyber-Versicherung und Behörden
Polizzennummer und Schadenshotline, dazu die für euch zuständigen Meldestellen. Viele Versicherungen verlangen eine Meldung binnen weniger Stunden.
-
Wer nach außen spricht
Eine festgelegte Person für Kunden, Presse und Belegschaft. Ohne diese Festlegung antworten im Ernstfall fünf Personen unterschiedlich.
In Arbeit
Das Minimal-Notfallhandbuch.
Die Playbooks decken den Moment des Vorfalls ab. Was darüber hinaus dokumentiert sein muss, damit ein Unternehmen einen Ausfall übersteht, kommt als eigenes Dokument: Kontakte und Meldewege, ein minimales System- und Zugangsinventar, Wiederanlauf-Reihenfolge, Versicherungs- und Vertragsdaten sowie Kommunikationsvorlagen für Kunden und Belegschaft.
Bewusst schlank gehalten: alles, was man mindestens haben sollte, und nichts, was im Ernstfall niemand liest.
Erscheint nach Abschluss der Playbook-Serie unter /tools/it-notfallhandbuch/
FAQ
Häufige Fragen.
Für wen sind diese Playbooks gedacht?
Für alle Mitarbeitenden ohne IT-Hintergrund. Jedes Playbook beantwortet die Frage, was in den ersten Minuten zu tun ist und wohin die Meldung geht. Die technische Analyse, Eindämmung und Wiederherstellung bleibt bei der IT und gehört in separate Runbooks.
Ersetzen die Playbooks einen IT-Notfallplan?
Sie decken den Teil ab, der Mitarbeitende betrifft: Erkennen, Sofortmaßnahmen, Melden. Ein vollständiger IT-Notfallplan enthält darüber hinaus Wiederanlaufpläne, Systeminventar, Zuständigkeiten im Krisenstab und Kommunikationsvorlagen. Genau dafür entsteht ergänzend das Minimal-Notfallhandbuch.
Wie hängen die Playbooks mit ISO 27001 und NIS2 zusammen?
ISO/IEC 27001:2022 verlangt in Annex A definierte Meldewege und die Beurteilung von Sicherheitsereignissen. Das österreichische NISG 2026 verpflichtet wesentliche und wichtige Einrichtungen in § 34 zu Berichtspflichten mit einer 24- und 72-Stunden-Stufe. Beides funktioniert nur, wenn ein Vorfall intern überhaupt ankommt. Die Playbooks sind dieser erste Schritt.
Warum stehen keine Telefonnummern in den Playbooks?
Weil sie in jedem Unternehmen anders lauten. Die Playbooks nennen deshalb konsequent Rollen. Die konkreten Namen, Nummern und Meldewege trägst du einmalig ins Incident-Kontaktblatt ein, auf das jedes Playbook verweist.
Sind die Playbooks kostenlos nutzbar?
Ja. Alle Seiten und PDFs stehen ohne Anmeldung zur Verfügung und dürfen intern verteilt, ausgedruckt und im Onboarding verwendet werden. Den genauen Rahmen beschreibt der Abschnitt Nutzung der kostenlosen Vorlagen im Impressum.
Wie oft sollten Mitarbeitende das üben?
Ein Playbook wirkt erst, wenn es im Ernstfall erinnert wird. Bewährt hat sich eine kurze Tabletop-Übung ein- bis zweimal pro Jahr, in der ein Szenario entlang des passenden Playbooks durchgespielt wird. Mehr dazu in den Insights zu Übungen und Incident Response.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.