⛑Notfälle

Jetzt, in dieser Reihenfolge:

1. Zugang abschalten. Nicht Kennwort ändern — abschalten. Das beendet auch laufende Sitzungen.
2. Kennwörter ändern, die dieselbe Person anderswo benutzt hat: Postfach, Domainverwaltung, alle Dienste.
3. Prüfen, was passiert ist. Zugriffsprotokoll ansehen: Wann, was, von wo.
4. Postfach prüfen — sind Weiterleitungsregeln eingerichtet worden? Das ist der typische Angriff: Ein Angreifer legt eine Regel an, die Kopien aller Mails woandershin schickt, und die überlebt jede Kennwortänderung.
5. Dokumentieren und bewerten, ob eine Meldepflicht besteht.

Danach: Kennwortspeicher einführen, Zwei-Faktor-Anmeldung überall aktivieren, wo es sie gibt.

Jetzt:

1. Kennwort des betroffenen Dienstes sofort ändern — von einem anderen Gerät aus.
2. Alle Dienste mit demselben Kennwort ebenso.
3. Weiterleitungsregeln im Postfach prüfen.
4. Kollegen warnen. Phishing kommt selten allein; wenn eine Person es bekommen hat, haben es andere auch.
5. Bei Zahlungsdaten: Bank informieren, Karte sperren.

Nicht: die Person beschimpfen. Wer sich meldet, hat richtig gehandelt, und wer beim ersten Mal Ärger bekommt, meldet es beim zweiten Mal nicht.

Und die Vorbeugung, die tatsächlich wirkt: Zwei-Faktor-Anmeldung. Ein abgefangenes Kennwort allein nützt dem Angreifer dann nichts.

Jetzt:

1. Aus der Ferne sperren oder löschen, wenn das eingerichtet ist.
2. Kennwörter ändern für alles, was auf dem Gerät angemeldet war — Postfach, CRM, Cloudspeicher.
3. Zugänge abschalten, wenn Sie nicht sicher sind, was darauf angemeldet war.
4. Bewerten: Waren personenbezogene Daten darauf? Ein Notebook mit Kundenliste ist ein meldepflichtiger Vorfall, wenn es nicht verschlüsselt war.
5. Anzeige erstatten, wenn gestohlen.

Der entscheidende Punkt steht in Nummer 4: War die Festplatte verschlüsselt? Wenn ja, ist der Vorfall meist folgenlos. Wenn nein, ist er eine Datenpanne.

Das ist die Vorbereitung, die diesen Fall entschärft, und sie kostet einmal zwanzig Minuten je Gerät.

Jetzt:

1. Kampagne anhalten. Sofort, bevor Sie irgendetwas anderes tun. Was noch nicht raus ist, geht dann nicht raus.
2. Feststellen, wie viele schon draußen sind und an wen.
3. Entscheiden, ob eine Richtigstellung nötig ist. Bei einer falschen Preisangabe: ja. Bei einer Mail an eine falsche Gruppe: meistens nein — eine zweite Mail macht es schlimmer.
4. Auf Reaktionen vorbereitet sein. Wer sich meldet, bekommt eine ehrliche, kurze Antwort.
5. Dokumentieren, was passiert ist und warum.

Was Sie nicht können: die Mails zurückholen. Was raus ist, ist raus.

Danach: Prüfen, wie es passieren konnte. In den meisten Fällen war ein Filter nicht gesetzt oder eine Zielgruppe leer — und für Letzteres gibt es die Bremse.

Zuerst die Frage: Wie schlimm ist es?

• Tippfehler, falscher Name: nichts tun. Eine Richtigstellung macht mehr Aufmerksamkeit als der Fehler.
• Falscher Preis, falscher Termin, falsche Zusage: richtigstellen — kurz, sachlich, ohne lange Erklärung. „Im gestrigen Schreiben stand ein falscher Preis. Richtig ist …“
• Rechtlich heikler Inhalt — falsche Werbeaussage, fehlender Pflichthinweis: richtigstellen und rechtlichen Rat einholen.
• Personenbezogene Daten an Falsche: Das ist eine Datenpanne mit eigener Prüfungspflicht.

Wenn die Kampagne noch läuft: anhalten, Vorlage korrigieren, danach fortsetzen. Der Rest bekommt die richtige Fassung.

Und ein falscher Preis kann als bindendes Angebot ausgelegt werden — deshalb ist die schnelle Richtigstellung hier nicht nur Höflichkeit.

Jetzt:

1. Nichts weiter tun. Keine Reparaturversuche, keine Neuanlage. Jede Änderung macht eine Wiederherstellung schwieriger.
2. Feststellen, was genau weg ist. Ein Kontakt, eine Kampagne, ein ganzer Bereich?
3. Ins Zugriffsprotokoll sehen: wer, wann, was.
4. Melden — mit Angabe, was gelöscht wurde und ungefähr wann.

Was möglich ist, hängt vom Fall ab:

• Ein einzelner Datensatz: Manchmal ist er nur archiviert und nicht gelöscht. Erst nachsehen.
• Größere Verluste: Eine Sicherung kann zurückgespielt werden — aber das holt den ganzen Stand von damals zurück, samt allem, was seitdem passiert ist.

Deshalb gilt: Wiederherstellung ist ein Eingriff, keine Rückgängig-Taste.

Jetzt:

1. Prüfen, ob es an Ihnen liegt. Anderes Gerät, anderes Netz (Handy als Hotspot), anderer Browser.
2. Betriebszustand aufrufen, wenn er erreichbar ist. Er sagt oft, welcher Dienst betroffen ist.
3. Melden — mit der genauen Fehlermeldung, nicht mit „geht nicht“.
4. Auf Papier weiterarbeiten. Notizen später nachtragen; besser eine Notiz auf einem Zettel als keine.

Was Sie vorbereitet haben sollten, damit ein Ausfall keine Betriebsstörung ist:

• Die wichtigsten Telefonnummern auch außerhalb des Systems erreichbar.
• Wer im Ernstfall informiert wird.
• Eine Vorstellung davon, wie lange Sie ohne auskommen.

Kein Anbieter der Welt garantiert hundert Prozent. Die Frage ist nicht, ob ein Ausfall kommt, sondern was er kostet.

Jetzt:

1. Prüfen, ob es wirklich die Lizenz ist. Die Meldung sagt es; der Betriebszustand auch.
2. Den Betreiber erreichen. Das ist ein Fall, den nur er lösen kann.
3. Ruhe bewahren: Ihre Daten sind da. Eine abgelaufene Lizenz sperrt den Zugang, sie löscht nichts.

Was Sie danach ändern sollten:

• Ablaufdatum im Kalender, mit Vorlauf von einem Monat.
• Zwei Personen kennen den Ansprechpartner beim Betreiber, nicht nur eine.
• Rechnungen prüfen, ob eine Verlängerung offen ist.

Es gibt eine Gnadenfrist für den Fall, dass der Lizenzabgleich technisch nicht durchkommt. Sie hilft nicht, wenn die Lizenz tatsächlich abgelaufen ist.

Der Fall, der am meisten Schaden anrichtet und am seltensten vorbereitet ist.

Jetzt:

1. Zugang abschalten, wenn das Ausscheiden endgültig ist.
2. Offene Wiedervorlagen und Aufgaben dieser Person sichten und verteilen.
3. Laufende Kampagnen prüfen: Wer beantwortet jetzt die Antworten?
4. Zugangsdaten Dritter klären: Domain, Postfach, Dienstleister. Das ist der Punkt, an dem es teuer wird.
5. Kontakte durchsehen, bei denen sie die einzige Ansprechpartnerin war.

Was das für die Zukunft heißt: Alles, was nur eine Person weiß, ist ein Risiko. Zwei Verwalter, dokumentierte Zugänge, Notizen im System statt im Kopf — das sind die drei Dinge, die diesen Fall entschärfen.

Das ist der ernsteste Fall in dieser Liste. Jetzt:

1. Betroffene Geräte vom Netz trennen. Nicht ausschalten — trennen. Ein Ausschalten kann Spuren vernichten.
2. Nicht zahlen, jedenfalls nicht als erste Reaktion.
3. Anzeige erstatten. Die Polizei hat dafür spezialisierte Stellen.
4. Aufsichtsbehörde: Bei betroffenen personenbezogenen Daten läuft die 72-Stunden-Frist.
5. Fachliche Hilfe holen. Das ist kein Fall für die eigene IT-Kraft nebenbei.
6. Sicherungen prüfen — und zwar getrennt vom betroffenen Netz. Eine Sicherung, die am selben Netz hing, ist oft mitverschlüsselt.

Vorher entscheidet sich, wie schlimm es wird: getrennte Sicherungen, Zwei-Faktor-Anmeldung, aktuelle Systeme, und Menschen, die eine seltsame Mail melden statt sie zu öffnen.

Eine Seite, ausgedruckt, an einem Ort, den man ohne Rechner erreicht:

• Wer ist im Ernstfall zu erreichen — Betreiber, IT, Datenschutz, Geschäftsführung. Mit Telefonnummern.
• Wo liegen welche Daten und wer hat Zugang.
• Wo liegen die Zugangsdaten zu Domain, Postfach, Diensten — im Kennwortspeicher, mit mindestens zwei Berechtigten.
• Die 72-Stunden-Regel, damit sie im Fall der Fälle jemand kennt.
• Was bei Ausfall passiert: Wie arbeiten wir weiter, wen informieren wir.

Das ist der ganze Notfallplan für einen kleinen Betrieb. Eine Seite, einmal im Jahr durchgesehen.

Und die wirksamste Einzelmaßnahme von allen: Zwei-Faktor-Anmeldung überall, wo es sie gibt. Sie verhindert den häufigsten Vorfall.

An dieser Trennung:

Selbst lösbar: - Etwas ist nicht sichtbar (Filter, Zeitraum, Rolle). - Eine Mail kam nicht an (Spam-Ordner, Adresse). - Etwas sieht falsch aus (Zwischenspeicher, hart neu laden). - Jemand kommt nicht hinein (Kennwort zurücksetzen).

Fall für den Betreiber: - Nichts geht mehr, von mehreren Geräten aus. - Eine englische, technische Fehlermeldung. - Daten fehlen, die niemand gelöscht hat. - Verdacht auf einen Angriff oder Datenabfluss. - Etwas funktioniert reproduzierbar nicht, wie es soll.

Im Zweifel melden. Eine Meldung zu viel kostet fünf Minuten; eine zu wenig kann bedeuten, dass ein Fehler wochenlang unbemerkt bleibt.

Der Teil, der am häufigsten ausfällt, und der einzige, der verhindert, dass es wieder passiert.

1. Aufschreiben, was war. Was ist passiert, wann bemerkt, was getan, wie lange bis zur Behebung.
2. Ursache suchen, nicht Schuldige. Wer nach Schuldigen sucht, bekommt beim nächsten Mal keine Meldung mehr.
3. Eine Sache ändern. Nicht zehn — eine, die den Fall unmöglich oder unwahrscheinlicher macht.
4. Im Team besprechen. Kurz, ohne Namen, mit dem, was jeder daraus mitnehmen soll.
5. In drei Monaten nachsehen, ob die Änderung noch gilt.

Punkt 3 ist der entscheidende. Ein Vorfall, aus dem zwölf Maßnahmen folgen, führt zu null umgesetzten. Einer, aus dem eine folgt, verändert etwas.