Notbetrieb ohne IT: Ersatzabläufe und Nacherfassung planen

Ausfälle der Informationstechnik sind für Betriebe kein seltenes Randereignis. Der Digitalverband Bitkom beziffert die Schäden, die Unternehmen im Zusammenhang mit Datendiebstahl, Industriespionage oder Sabotage durch Ausfall, Diebstahl oder Schädigung von Informations- und Produktionssystemen oder Betriebsabläufen entstanden sind, für 2026 auf 36,5 Milliarden Euro (Bitkom), nach 73,3 Milliarden Euro im Vorjahr. Grundlage ist eine Befragung von 1.003 Unternehmen ab zehn Beschäftigten. Bei 25 Prozent (Bitkom) der befragten Unternehmen haben Angreifer in den zwölf Monaten vor der Befragung Daten verschlüsselt und wollten sie nur gegen Lösegeld freigeben. Wessen Systeme verschlüsselt sind, arbeitet bis zur Rücksicherung ohne sie.

Ein Angriff ist nicht die einzige Ursache. Am 19. Juli 2024 (BSI und Bitkom 2024) führte ein fehlerhaftes Update einer Sicherheitssoftware weltweit zu zahlreichen IT-Ausfällen. In einer gemeinsamen, nicht repräsentativen Befragung des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Bitkom unter betroffenen Unternehmen gaben 48 Prozent (BSI und Bitkom 2024) an, den Betrieb vorübergehend eingestellt zu haben, im Schnitt für zehn Stunden. Bei den direkt betroffenen Unternehmen dauerte es im Schnitt zwei Tage (BSI und Bitkom 2024), bis die Störungen vollständig behoben waren. Zehn Stunden Stillstand sind ein voller Arbeitstag, an dem Bestellungen, Lieferungen und Anrufe trotzdem eintreffen. Warum Aktualisierungen selbst ein Ausfallrisiko sind und wie man sie planbar einspielt, beschreibt der Beitrag Updates einspielen, ohne den Betrieb anzuhalten.

Der Strom fällt dagegen selten lange aus. Die durchschnittliche Nichtverfügbarkeit von Elektrizität lag 2024 bei 11,7 Minuten (Bundesnetzagentur) je Letztverbraucher; erfasst werden ungeplante Unterbrechungen von mehr als drei Minuten ohne Ereignisse höherer Gewalt. Ein Notbetrieb muss deshalb vor allem den Ausfall der Systeme abdecken, über die ein Betrieb seine Abläufe steuert: Warenwirtschaft oder ERP, Kasse, Dateiserver, Telefonanlage und die Verbindung zum Rechenzentrum. Fehlen sie, fehlen Kundendaten, Bestände, Preise und Auftragshistorie gleichzeitig.

Dieser Beitrag behandelt, was der Betrieb tut, solange diese Systeme stehen, und wie er danach wieder zu einem vollständigen Datenstand kommt. Wie eine Sicherung beschaffen sein muss, damit die Rücksicherung gelingt, steht im Beitrag Datensicherung, die im Ernstfall trägt. Wie der stille Ausfall einer einzelnen Schnittstelle auffällt und Datensätze bis zur Wiederherstellung erhalten bleiben, zeigt der Beitrag Wenn eine Schnittstelle ausfällt. Hier geht es um die Menschen im Betrieb und um das, was sie ohne Bildschirm brauchen.

Nicht jeder Ablauf braucht ein Formular. Die Auswahl beginnt mit einer Frage je Prozess: Wie lange darf er ausfallen, bevor der Schaden nicht mehr tragbar ist? Der BSI-Standard nennt diese Größe maximal tolerierbare Ausfallzeit; sie wird je Geschäftsprozess anhand des Schadenspotenzials ermittelt (BSI-Standard 200-4). In der Lohnabrechnung kann ein Aufschub von einigen Tagen tragbar sein, in der Auftragsannahme eines Großhändlers kaum ein halber Vormittag. Abläufe mit kurzer Toleranz bekommen einen Ersatzweg, die übrigen werden bewusst zurückgestellt.

Gute Kandidaten sind die Abläufe, an denen Kunden und Ware hängen: Annahme von Aufträgen und Bestellungen, Entnahme im Lager, Warenausgang und Versand, Barverkauf an der Kasse und der Kundendienst am Telefon. Eine Prozesslandkarte für den Mittelstand mit den Hauptabläufen des Betriebs ist dafür eine gute Ausgangslage, weil sie zeigt, welcher Ablauf auf welchen vorgelagerten wartet. In den Prozessen im Großhandel etwa hängt der Versand an der Kommissionierung und diese an der Auftragsannahme; fällt die erste Station aus, stehen alle drei.

Die Tabelle zeigt das Prinzip: Das Ersatzmittel deckt nur die Angaben ab, die zum Weiterarbeiten nötig sind. Was das System sonst nebenbei erledigt, etwa Bestandsbuchung, Bonitätsprüfung oder Versandavis, wird nicht auf Papier nachgebaut, sondern nach der Wiederherstellung nachgeholt. Wer versucht, das ERP-System auf Papier abzubilden, bekommt Formulare, die im Ernstfall niemand vollständig ausfüllt.

Im Ausfall fehlen nicht nur Daten, sondern auch die Regeln, die das System sonst durchsetzt. Im Normalbetrieb verhindert die Software, dass jemand einen Auftrag über dem Kreditlimit annimmt oder einen Rabatt außerhalb der Preisliste gewährt. Im Notbetrieb entscheiden Menschen. Der BSI-Standard sieht deshalb vor, in der Geschäftsfortführungsplanung die gesonderten Rechte, Berechtigungen und Pflichten der Mitarbeitenden im Notfall festzuhalten, ausdrücklich auch Rechte bei Freigabeprozessen; sie gelten von der Aktivierung des Plans bis zur Deeskalation (BSI-Standard 200-4).

Jede dieser Rollen braucht eine benannte Vertretung. Ein Ausfall richtet sich nicht nach dem Urlaubsplan, und die Person, die sich mit dem System auskennt, wird im Ernstfall für die Wiederherstellung gebraucht, nicht für Kundengespräche. Wie Vertretungen und Wertgrenzen im Normalbetrieb digital geregelt werden, beschreibt der Beitrag Freigaben digital abbilden. Für den Notbetrieb genügt eine Seite Papier mit Namen, Mobilnummern und Grenzen, die in jedem Notfallkasten liegt.

Mit der Wiederherstellung der Systeme ist die Arbeit nicht getan. Zwischen dem Moment, in dem das System wieder läuft, und dem Moment, in dem es den tatsächlichen Stand des Betriebs abbildet, liegt die Nacherfassung, und für sie gelten Fristen. Jeder Geschäftsvorfall ist zeitnah, möglichst unmittelbar nach seiner Entstehung, in einer Grundaufzeichnung oder einem Grundbuch zu erfassen. Eine Erfassung von unbaren Geschäftsvorfällen innerhalb von zehn Tagen (Bundesministerium der Finanzen, GoBD Rz. 47) ist unbedenklich, Kasseneinnahmen und Kassenausgaben sind täglich (Bundesministerium der Finanzen, GoBD Rz. 48) festzuhalten.

Für die Zeit bis zur Erfassung verlangen die GoBD organisatorische Vorkehrungen, damit Unterlagen nicht verloren gehen, und nennen als Beispiel die laufende Nummerierung der eingehenden und ausgehenden Rechnungen (Bundesministerium der Finanzen, GoBD Rz. 50). Genau das leisten nummerierte Formularblöcke. Liegt zwischen Erfassung und Buchung mehr als der Ablauf des folgenden Monats (Bundesministerium der Finanzen, GoBD Rz. 52), sind die Anforderungen nur erfüllt, wenn die Vorgänge vorher fortlaufend richtig und vollständig in Grundaufzeichnungen festgehalten wurden. Ein Notbetrieb über mehrere Tage ist damit kein Problem, eine Nacherfassung, die liegen bleibt, schon.

Der vierte Schritt verdient besondere Sorgfalt. Ein Auftrag, der um 8:05 Uhr noch im System angelegt wurde und um 8:20 Uhr ein zweites Mal auf Papier, erscheint nach der Nacherfassung doppelt. Dasselbe passiert, wenn eine Schnittstelle nach der Wiederherstellung liegengebliebene Datensätze nachschiebt, die inzwischen von Hand erfasst wurden. Ein eindeutiger Vorgangsschlüssel und eine Prüfung vor dem Schreiben verhindern das; wie das technisch aussieht, zeigt der Beitrag Doppelbuchungen vermeiden.

Nach der Nacherfassung bleiben die Papierformulare Belege. Buchungsbelege sind acht Jahre (Abgabenordnung, § 147 Abs. 3) aufzubewahren, empfangene und abgesandte Handels- und Geschäftsbriefe sechs Jahre. Werden die Formulare gescannt, gelten die Regeln zur bildlichen Erfassung und zur Vernichtung des Papiers, die der Beitrag GoBD-konforme Belegablage beschreibt. Ein Vermerk im Datensatz, wo das Original liegt, erspart bei einer späteren Prüfung die Suche.

Ein Notfallplan, den niemand ausprobiert hat, ist eine Vermutung. Nach dem IT-Ausfall vom Juli 2024 hatten 62 Prozent (BSI und Bitkom 2024) der direkt oder indirekt betroffenen Unternehmen einen Notfallplan für solche IT-Ausfälle vorbereitet, und er hat zumeist gegriffen. Die Präsidentin des BSI zog daraus den Schluss, dass eingeübte IT-Notfallkonzepte wichtiger Bestandteil jeder Krisenvorsorge sein müssen (BSI und Bitkom 2024). Eingeübt heißt: Die Beschäftigten hatten die Formulare schon einmal in der Hand, bevor es ernst wird.

Eine Probe muss nicht den ganzen Betrieb lahmlegen. Ein angekündigter Nachmittag, an dem ein Bereich ohne System arbeitet, reicht für die erste Runde. Gemessen werden drei Dinge: wie lange es dauert, bis der erste Auftrag auf Papier angenommen ist, ob alle Beteiligten wissen, wo Formulare und Telefonliste liegen, und wie lange die Nacherfassung der Probevorgänge dauert. Die letzte Messung ist für die Planung entscheidend, denn sie zeigt, wie viele Stunden Rückstand ein echter Ausfall von einem Tag erzeugen würde.

Nach der Probe werden Formulare angepasst, die zu viele oder zu wenige Felder hatten, und die Erkenntnisse fließen in die Prozessdokumentation, damit sie nicht an einzelnen Personen hängen. Eine jährliche Wiederholung und eine Probe nach jeder größeren Systemumstellung halten den Plan aktuell. Neue Mitarbeitende lernen den Notfallkasten bei der Einarbeitung kennen; das lässt sich mit der Schulung und Einführung neuer Abläufe verbinden, bei der ohnehin festgelegt wird, welche Rückfallebene für den Notfall bestehen bleibt.