Wiederanlaufplan: was der Auditor sehen will, was der Betrieb braucht

Ein Wiederanlaufplan ist eine Arbeitsanweisung, mit der die zuständigen Personen benötigte Ressourcen nach einer Unterbrechung rechtzeitig für den Notbetrieb bereitstellen. Er enthält Voraussetzungen, Zuständigkeiten, Arbeitsschritte und Abnahmekriterien. Im Wiederherstellungsplan steht, wie die Rückkehr zum Normalbetrieb erfolgt. Beide können gemeinsam dokumentiert sein, müssen ihre unterschiedlichen Ziele aber erkennbar machen.

Für das Audit zählt die nachvollziehbare Verbindung zwischen Bedarf, Plan und Wirksamkeitsnachweis. Für den Betrieb zählt, ob eine eingewiesene Person die richtigen Schritte auch unter Zeitdruck ausführen kann.

Den Plan aus einer konkreten Anforderung ableiten

Beginnen Sie mit dem Ergebnis der BIA: Welche Geschäftsleistung benötigt welche Ressource bis wann und auf welchem Mindestniveau? Eine Formulierung wie „Warenwirtschaft wiederherstellen“ lässt entscheidende Fragen offen. Genügen lesbare Bestandsdaten? Muss die Auftragsfreigabe funktionieren? Werden Drucker, mobile Geräte oder eine externe Schnittstelle benötigt?

Prüfen Sie bei der Abgrenzung, ob der Fachbereich mit der wiederhergestellten Technik arbeiten kann. Die unterschiedlichen Aufgaben finden Sie im Knowledge-Artikel zu Notfallhandbuch, Geschäftsfortführungs- und Wiederanlaufplan, die Methodik in Kapitel 11 bis 13 des BSI-Standards 200-4.

Die erste Seite muss den Start ermöglichen

Eine brauchbare Einstiegsseite enthält Planverantwortlichen, Version, Geltungsbereich und das Datum der letzten Prüfung. Danach folgen Auslöser, Freigabeberechtigung, Zielzustand und erste Handlungen. Leser müssen erkennen, wann sie den Plan verwenden dürfen und welche Situation ein anderes Vorgehen erfordert.

Ergänzen Sie Kontakte mit Vertretungen und einem erreichbaren Ersatzweg. Beschreiben Sie, wo die ausführenden Personen die vollständigen Anweisungen finden, wenn das gewöhnliche Dokumentationssystem ausfällt. Eine ausgedruckte Fassung hilft nur, wenn sie aktuell, geschützt und am vorgesehenen Ort verfügbar ist.

Vermerken Sie außerdem die Grenzen. Ein Plan für den Ausfall einzelner Infrastrukturkomponenten kann für einen Sicherheitsvorfall ungeeignet sein, solange die betroffene Umgebung nicht freigegeben wurde. Stimmen Sie die Entscheidung zur Wiederinbetriebnahme deshalb mit den zuständigen Personen für die Vorfallsbearbeitung ab.

Eine ausführbare Vorlage für jeden Arbeitsschritt

Die folgende Struktur ist ein Arbeitsvorschlag für die Informationen an jedem Schritt. Ergänzen Sie die systemspezifischen Betriebsanweisungen.

Feld	Eintrag im Plan
Voraussetzung	Welche Freigabe, Ressource oder Vorleistung vorliegen muss
Ausführung	Konkrete Handlung in eindeutiger Reihenfolge
Zuständigkeit	Verantwortliche Rolle und eingewiesene Vertretung
Zeitbedarf	Erwartete Dauer einschließlich notwendiger Wartezeiten
Erfolgskriterium	Beobachtbarer Zustand nach Abschluss
Abbruch oder Eskalation	Wann gestoppt wird und wer dann entscheidet
Nachweis	Zeitpunkt, Ergebnis und Verweis auf das Ausführungsprotokoll

Schreiben Sie „Fachbereich bestätigt erfolgreichen Testauftrag einschließlich Bestandsänderung“ anstelle von „Funktion prüfen“. Mit dem ersten Satz beschreiben Sie eine prüfbare Leistung. Bei „Funktion prüfen“ überlassen Sie der ausführenden Person, was sie darunter versteht. Genauso sollten unerwartete Datenstände oder fehlende Berechtigungen konkrete Stopppunkte auslösen.

Beispiel: vom technischen Start zur fachlichen Abnahme

Das folgende Beispiel ist fiktiv. Eine Auftragsbearbeitung soll vier Stunden nach Ausrufen des Notfalls im Notbetrieb arbeiten. Die vorherige Reaktionszeit wird bei der Toleranzgrenze separat berücksichtigt. Benötigt werden eine freigegebene Infrastruktur, ein konsistenter Datenstand, funktionierende Anmeldungen und zwei vorbereitete Arbeitsplätze. Die Reihenfolge hängt von diesen Voraussetzungen ab und wird vorab festgelegt.

1. Freigabe einholen: Die zuständige Einsatzleitung bestätigt den gewählten Wiederanlaufweg und die nutzbare Zielumgebung.
2. Vorleistungen prüfen: Netzwerkzugang, Identitätsdienst und benötigte Schnittstellen sind verfügbar oder durch vereinbarte Ersatzverfahren abgedeckt.
3. Daten und Anwendung bereitstellen: Das Betriebsteam dokumentiert den verwendeten Datenstand und prüft technische Integrität sowie Startfähigkeit.
4. Geschäftsleistung testen: Der Fachbereich führt einen definierten Testvorgang durch und bewertet, ob der vereinbarte Notbetrieb möglich ist.
5. Betrieb übergeben: Einschränkungen, offene Punkte, Verantwortlichkeiten und der nächste Lageabgleich werden protokolliert.

Zum Test gehört die fachliche Freigabe von Aufträgen. Wenn die Mitarbeiter sich anmelden können, aber Aufträge nicht freigeben dürfen, ist das Ziel verfehlt. Halten Sie Fehlversuche fest und korrigieren Sie die festgestellten Probleme. Hinweise zu Prüfzielen und Beobachtungen finden Sie unter Planung von BCMS-Übungen.

Welche Nachweise Sie für eine Prüfung brauchen

Welche Unterlagen im Einzelfall gefordert werden, hängt vom Auditumfang und den vereinbarten Kriterien ab. Ein sinnvolles Nachweispaket verbindet die freigegebene Wiederanlaufanforderung mit dem aktuellen Plan, dem letzten aussagekräftigen Test und dem Umgang mit festgestellten Abweichungen.

Dokumentieren Sie für den Test mindestens Ausgangslage, Umfang, verwendete Planversion, tatsächliche Zeiten und Abnahmeresultat. Benennen Sie bewusst ausgelassene Schritte. In einer Schreibtischbesprechung können die Beteiligten Unklarheiten aufdecken. Eine Datenwiederherstellung innerhalb der RTO ist damit noch nicht nachgewiesen.

Benennen Sie für jede wesentliche Feststellung einen Verantwortlichen und einen Termin. Prüfen Sie die betroffene Fähigkeit nach der Korrektur erneut. Mehr zur Organisation von Maßnahmen und Nachweisen bei verteilten Zuständigkeiten finden Sie unter KaitoSec für den Mittelstand.

Auch den Weg zurück vorbereiten

Notbetrieb kann zusätzliche Risiken schaffen: manuell erfasste Vorgänge, abweichende Datenstände oder aufgeschobene Prüfungen. Planen Sie deshalb, wie Rückstände übernommen, Dubletten erkannt und Änderungen abgeglichen werden. Benennen Sie die Person, die den Normalbetrieb freigibt, und die Bedingungen für eine Rückkehr zum Notbetrieb bei Problemen.

Prüfen Sie den Plan im Rahmen des Kontinuitätsmanagements nach ISO 22301 regelmäßig sowie bei Änderungen an Anwendungen, Abhängigkeiten, Dienstleistern und Zuständigkeiten.

Häufige Fragen

Ist ein Wiederanlaufplan dasselbe wie ein Backup-Konzept?

Nein. Im Backup-Konzept stehen Datensicherung und zugehörige Verfahren. Mit dem Wiederanlaufplan bereiten Sie die benötigten Ressourcen für ein konkretes Betriebsziel und die fachliche Abnahme vor.

Braucht jede Anwendung einen eigenen Plan?

Nicht zwingend. Gemeinsam betriebene Ressourcen können einen gemeinsamen Plan nutzen, wenn Verantwortlichkeiten, Reihenfolge und unterschiedliche Anforderungen eindeutig bleiben.

Muss die Geschäftsleitung jeden technischen Schritt freigeben?

Die Freigaberegeln sollten zur Tragweite passen. Routinetätigkeiten können delegiert sein; Entscheidungen mit erheblichen Geschäftsfolgen benötigen die dafür festgelegte Befugnis.

Wie ausführlich sollte ein Plan sein?

So ausführlich, dass eingewiesene Vertretungen ihn ausführen können. Lange Hintergrundtexte gehören in referenzierte Grundlagen; Voraussetzungen und Entscheidungspunkte direkt an die Handlung.