Kurz gesagt: Eine Liste der IT-Notfallkontakte nennt für jede Rolle eine Person mit Stellvertretung, die Erreichbarkeit auch außerhalb der Geschäftszeit, den Anlass, zu dem sie informiert wird, und die Angaben, die man beim Anruf bereithalten muss. Sie liegt ausgedruckt und auf einem getrennten Gerät vor, wird regelmäßig getestet und enthält auch Behörden mit Meldefristen. So geht im Ernstfall keine Zeit mit Suchen verloren.
Die Nummer, die keiner hat
Ein Freitagabend, der Shop zeigt seltsame Umleitungen, der Admin hat einen Verdacht. Was jetzt? Den Hoster anrufen, aber welche Nummer gilt außerhalb der Geschäftszeit, und welche Kundennummer braucht man? Die Agentur, aber wer dort hat Zugang zum Server? Die Versicherung, aber wo steht die Policennummer? Und wer entscheidet, ob der Shop vom Netz geht?
Solche Momente kennen viele Unternehmen, und die PHP2Shell-Woche hat sie vervielfacht. Der Notfallplan liegt im Idealfall vor, aber die Kontaktliste darin ist oft das schwächste Glied: veraltet, unvollständig oder nur digital auf genau dem System gespeichert, das gerade nicht verfügbar ist. Wie der Plan als Ganzes aufgebaut ist, beschreibt IT-Notfallplan für Webserver erstellen. Hier geht es um die Liste selbst.
Wer gehört auf die Liste der Notfallkontakte?
Die folgende Tabelle ordnet die typischen Kontakte nach dem Anlass, zu dem sie informiert werden, und nennt, was man beim ersten Kontakt bereithalten sollte.
| Kontakt | Wann informieren | Was bereithalten |
|---|---|---|
| Notfallleitung (oft Geschäftsführung) | bei jedem Verdacht auf einen Vorfall | kurze Lage, erste Einschätzung |
| IT-Verantwortliche und Admins | sofort, zur technischen Prüfung | betroffene Systeme laut Inventar |
| Hoster (Notfallkanal) | bei Verdacht auf dem Server, für Abschaltung oder Logs | Kundennummer, Vertragsnummer, Kennwort für den Support |
| Agentur oder Entwickler | wenn die Anwendung betroffen ist | Projektname, Zugänge, Ansprechpartner |
| IT-Sicherheitsdienstleister | bei bestätigtem oder wahrscheinlichem Einbruch | bisherige Beobachtungen, Zeitpunkte |
| Datenschutzbeauftragter | sobald personenbezogene Daten betroffen sein könnten | Datenarten, Zeitraum, Systeme |
| Cyberversicherung | nach den Vorgaben der Police, meist früh | Policennummer, Schadenmeldeweg |
| Rechtsberatung | bei Meldepflichten, Erpressung, Haftungsfragen | Sachstand, bisherige Schritte |
| Datenschutz-Aufsichtsbehörde | bei meldepflichtiger Datenpanne, möglichst binnen 72 Stunden | Angaben nach Art. 33 Abs. 3 DSGVO |
| Zentrale Ansprechstelle Cybercrime | bei Anzeige einer Straftat | Beweise, Zeitlinie |
| BSI | bei Meldepflicht nach NIS2 | nach Vorgaben des BSI |
| Kommunikation | vor jeder Information nach außen | abgestimmte Fakten |
Die zuständige Zentrale Ansprechstelle Cybercrime finden Sie über die Polizei Ihres Bundeslandes; wie die Anzeige abläuft, steht unter Anzeige erstatten: Zentrale Ansprechstellen Cybercrime. Welche Fristen und Obliegenheiten Versicherungen typischerweise setzen, beschreibt Cyberversicherung: Was im Schadensfall zählt.
Was jeder Eintrag enthalten muss
Ein Name und eine Telefonnummer reichen nicht. Ein vollständiger Eintrag beantwortet sechs Fragen:
- Rolle: Wofür ist die Person zuständig, was darf sie entscheiden?
- Name und Stellvertretung: Wer springt ein, wenn die erste Person nicht erreichbar ist?
- Erreichbarkeit: Telefon, auch mobil, und ein zweiter Weg. Gilt die Nummer auch nachts und am Wochenende?
- Auslöser: Bei welchem Ereignis wird diese Person informiert?
- Legitimation: Kundennummer, Vertragsnummer, Support-Kennwort, damit der Anruf nicht an der Identitätsprüfung scheitert.
- Stand: Wann wurde der Eintrag zuletzt geprüft?
Besonders Punkt 5 wird oft unterschätzt. Hoster und Registrare prüfen am Telefon, ob der Anrufer berechtigt ist, und das zu Recht. Wer erst das Kundenkennwort suchen muss, verliert wertvolle Zeit. Bewahren Sie solche Angaben sicher auf, aber so, dass die Notfallleitung im Ernstfall darauf zugreifen kann.
Übernehmen Sie Telefonnummern von Dienstleistern aus dem Vertrag oder der offiziellen Website, nie aus einer E-Mail. Betrüger nutzen bekannte Sicherheitslagen gern für gefälschte Nachrichten mit „Notfallnummern“.
Die Reihenfolge im Ernstfall
Nicht alle Kontakte werden gleichzeitig gebraucht. Bewährt hat sich ein gestuftes Vorgehen: Zuerst Notfallleitung und Technik, damit eine erste Einschätzung entsteht und über Eindämmung entschieden werden kann. Danach Hoster, Agentur und Sicherheitsdienstleister für die technische Arbeit. Sobald personenbezogene Daten betroffen sein könnten, der Datenschutzbeauftragte, denn ab Bekanntwerden einer Datenpanne läuft die Frist nach Art. 33 DSGVO. Versicherung und Rechtsberatung folgen früh, bevor wichtige Entscheidungen fallen. Kommunikation nach außen kommt zuletzt und nur mit abgestimmten Fakten.
Welche Schritte nach der ersten Alarmierung folgen, fasst die Checkliste nach einem Hack zusammen. Diese Seite gibt allgemeine Hinweise; Meldepflichten und rechtliche Fragen klären Sie mit Datenschutzbeauftragtem und Anwalt.
Planen Sie außerdem einen zweiten Kommunikationsweg ein. Ist der Mailserver betroffen oder besteht der Verdacht, dass ein Angreifer interne Postfächer mitliest, sollte die Abstimmung über einen getrennten Kanal laufen, etwa per Telefon oder über eine vorher eingerichtete Gruppe auf einem anderen Dienst. Legen Sie diesen Kanal vorab fest und nehmen Sie ihn in die Liste auf. Im Ernstfall einen neuen Weg zu suchen, kostet Zeit und erzeugt Unsicherheit darüber, welche Nachricht echt ist.
Die Liste lebendig halten
Kontaktlisten veralten leise. Mitarbeitende wechseln, Dienstleister ändern Notfallnummern, Verträge laufen aus. Planen Sie deshalb zwei feste Prüftermine im Jahr und einen Anlass-Termin bei jedem Wechsel. Ein kurzer Testanruf außerhalb der Geschäftszeit zeigt am zuverlässigsten, ob ein Notfallkanal wirklich funktioniert. Fragen Sie dabei auch, ob die Person weiß, dass sie auf der Liste steht und was im Ernstfall von ihr erwartet wird.
Wie hilft PHP SOS konkret?
- Wir erstellen mit Ihnen die Liste der technischen Notfallkontakte und prüfen, ob Hoster und Agenturen tatsächlich einen Notfallkanal haben.
- Wir legen fest, welche Angaben je Kontakt bereitliegen müssen, damit ein Anruf sofort Wirkung hat.
- Wir begleiten einen Testlauf der Alarmierung und arbeiten die Lücken in Ihre Unterlagen ein.
- Im Ernstfall stehen wir als technischer Ansprechpartner per Incident Response auf Ihrer Liste.
Fazit: Eine gute Kontaktliste ist kurz, vollständig und getestet. Sie entscheidet darüber, ob die ersten Stunden eines Vorfalls mit Handeln oder mit Suchen vergehen.
Häufige Fragen
Wer gehört auf eine Liste der IT-Notfallkontakte?
Intern Geschäftsführung, IT, Datenschutzbeauftragter und Kommunikation, extern Hoster, Agentur, IT-Sicherheitsdienstleister, Cyberversicherung, Rechtsberatung, die zuständige Datenschutz-Aufsichtsbehörde und die Zentrale Ansprechstelle Cybercrime Ihres Bundeslandes, bei NIS2-Pflicht zusätzlich das BSI.
Wo bewahre ich die Notfallkontakte auf?
An mindestens zwei Orten, von denen einer ohne die eigene IT erreichbar ist, etwa ausgedruckt im Notfallordner und auf einem getrennten Gerät. Eine Liste, die nur im Mailpostfach oder auf dem betroffenen Server liegt, ist im Ernstfall nicht verfügbar.
Wie oft sollte die Liste geprüft werden?
Mindestens zweimal im Jahr und nach jedem Personal- oder Dienstleisterwechsel. Ein kurzer Testanruf zeigt, ob Nummern stimmen und ob die Personen wissen, dass sie auf der Liste stehen.
Muss die Datenschutz-Aufsichtsbehörde immer informiert werden?
Nicht bei jedem Vorfall. Art. 33 DSGVO verlangt eine Meldung bei einer Verletzung des Schutzes personenbezogener Daten, möglichst binnen 72 Stunden, außer sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Die Bewertung nehmen Sie mit dem Datenschutzbeauftragten vor; diese Seite ist keine Rechtsberatung.