IT-Dokumentation: Was drinstehen muss, damit Sie nicht abhängig sind

Wozu braucht ein kleiner Betrieb eine IT-Dokumentation?

Eine IT-Dokumentation beschreibt, woraus die IT eines Betriebs besteht, wie die Teile zusammenhängen und was im Ernstfall zu tun ist. Solange alles läuft, vermisst sie niemand. Gebraucht wird sie in drei Situationen: wenn der Dienstleister gewechselt wird, wenn der interne Administrator geht und wenn eine Störung oder ein Angriff den Betrieb lahmlegt. In allen drei Fällen ist die Person, die alles weiß, gerade nicht verfügbar — oder nicht mehr kooperativ.

Ohne Dokumentation hängt ein Betrieb am Wissen einzelner Personen. Das ist keine Frage des Vertrauens, sondern der Erreichbarkeit: Auch der zuverlässigste Techniker ist mal im Urlaub, krank oder hat gekündigt. Was dann zu tun ist, beschreiben der Notfallplan beim Weggang des IT-Administrators und der Ratgeber IT-Dienstleister wechseln.

Auch das BSI behandelt die Dokumentation als Grundlage und nicht als Formalie. Im „Maßnahmenkatalog zum Notfallmanagement“, der sich an kleine und mittlere Unternehmen richtet, steht unter der Vorbereitung auf IT-Notfälle die Aufforderung, die IT-Infrastruktur zu inventarisieren und zu dokumentieren — ausdrücklich einschließlich Netzplan.

Was gehört in eine IT-Dokumentation?

Neun Bereiche decken ab, was ein Betrieb ohne eigene IT-Abteilung braucht. Die Tabelle zeigt, was jeweils hineingehört und wofür Sie es brauchen:

Nicht jeder Bereich muss am ersten Tag vollständig sein. Wenn Sie priorisieren müssen, beginnen Sie mit Zugängen, Datensicherung und Ansprechpartnern. Diese drei Bereiche entscheiden, ob Sie im Ernstfall überhaupt handeln können.

Worauf kommt es bei den einzelnen Bereichen an?

Netzplan und Geräteinventar

Ein Netzplan ist eine grafische Übersicht über die eingesetzten Komponenten und ihre Verbindungen. So beschreibt ihn das BSI im Standard 200-2 zum IT-Grundschutz: Er soll mindestens die IT-Systeme zeigen — Arbeitsplätze, Server, Switches, Router, WLAN-Zugangspunkte, Netzwerkdrucker — und wie sie verbunden sind. Für einen kleinen Betrieb reicht eine Zeichnung auf einer Seite. Wichtig ist, dass sie stimmt.

Das Geräteinventar ergänzt den Plan um die Einzelheiten. Die Spalte Betriebssystem ist die unscheinbarste und die wichtigste: An ihr sehen Sie, welche Geräte keine Sicherheitsupdates mehr bekommen und ersetzt oder abgeschottet werden müssen.

Dienste und Abhängigkeiten

Diesen Bereich braucht man im Ernstfall am dringendsten. Beschreiben Sie für jeden Dienst, wo er läuft und wovon er abhängt: Die Fachanwendung braucht den Datenbankserver, der Scanner eine Freigabe, die Telefonie den Internetanschluss. Dazu gehören auch die unscheinbaren Dinge — eine Portweiterleitung für die Videoüberwachung, ein Skript, das nachts Dateien verschiebt, eine E-Mail-Weiterleitung an ein Postfach, das niemand mehr liest.

Zugänge: Verweis statt Passwort

In die IT-Dokumentation gehört, welche Zugänge es gibt, wofür sie gebraucht werden und wer sie verwaltet. Das Passwort selbst gehört in einen Passwort-Tresor, und die Dokumentation verweist auf den Eintrag. Der Grund ist einfach: Eine Dokumentation wird gelesen, kopiert und weitergegeben. Ein Passwort in einem Textdokument ist ein Passwort, das Sie nicht mehr kontrollieren. Wie die Umstellung auf einen Tresor abläuft, beschreibt der Ratgeber zum Passwortmanager im Unternehmen.

Lizenzen, Verträge, Domains und Zertifikate

Hier zählen Daten, nicht Beschreibungen: Laufzeit, Kündigungsfrist, Verlängerungstermin, Vertragspartner und Kundennummer. Bei Domains kommt der Inhaber hinzu — das sollte Ihr Betrieb sein, nicht der Dienstleister. Bei Zertifikaten zählt das Ablaufdatum. Ein abgelaufenes Zertifikat legt Website, E-Mail-Abruf oder VPN-Zugang lahm, obwohl technisch alles in Ordnung ist. Tragen Sie jedes Ablaufdatum zusätzlich in einen Kalender ein, der nicht an einer einzelnen Person hängt.

Datensicherung und Notfallhandbuch

Für die Datensicherung reicht der Satz „läuft jede Nacht“ nicht. Dokumentiert werden muss, was gesichert wird, wohin, wie lange die Sicherungen aufbewahrt werden — und Schritt für Schritt, wie eine Wiederherstellung funktioniert. Diese Anleitung schreibt man beim Wiederherstellungstest, nicht im Ernstfall. Wie eine belastbare Sicherung aufgebaut ist, steht im Ratgeber zum Backup-Konzept nach 3-2-1.

Das Notfallhandbuch beantwortet vor allem eine Frage: In welcher Reihenfolge laufen die Systeme nach einem Totalausfall wieder an? Der „Maßnahmenkatalog Ransomware“ des BSI nennt dafür zwei Grundlagen: festhalten, welche Geschäftsprozesse kritisch sind und welche Systeme sie zwingend brauchen, und die Notfalldokumente zusätzlich ausgedruckt an einer allen Beteiligten bekannten Stelle hinterlegen. Welche Schritte ein Angriff konkret verlangt, beschreibt der Ratgeber Ransomware: die ersten 24 Stunden.

Ansprechpartner und Herstellersupport

Gebraucht wird eine Liste mit Namen, Telefonnummern und Erreichbarkeit: interne Zuständige, IT-Dienstleister, Internetanbieter, Hersteller der Fachanwendung, Telefonanbieter. Dazu Kunden- und Vertragsnummern, ohne die eine Hotline nicht weiterhilft. Das BSI rät im Maßnahmenkatalog zum Notfallmanagement, eine solche Liste anzulegen und mit den Beteiligten vorab Erreichbarkeit und Verfügbarkeit zu klären.

Wo sollte die IT-Dokumentation liegen?

Die beste IT-Dokumentation nützt nichts, wenn nur der Dienstleister sie öffnen kann. Vier Anforderungen an die Form:

• Zentral: ein Ort für alles, nicht verteilt auf E-Mails, Notizzettel und das Notebook eines Technikers.
• Versioniert: Jede Änderung ist mit Datum und Autor nachvollziehbar, ältere Stände bleiben abrufbar. Das leisten ein Wiki, ein Dokumentensystem mit Versionsverlauf oder eine gemeinsame Ablage mit Versionierung.
• Für Sie selbst zugänglich: Die Geschäftsleitung hat einen eigenen Zugang und kann die Dokumentation jederzeit lesen und exportieren, auch ohne Mitwirkung des Dienstleisters.
• Auch im Ausfall erreichbar: Eine Kopie liegt außerhalb der Systeme, die sie beschreibt. Eine Dokumentation, die nur auf dem ausgefallenen Server liegt, fehlt genau dann, wenn man sie braucht.

Welches Werkzeug Sie nutzen, ist zweitrangig. Ein gepflegtes Dokument in einer gemeinsamen Ablage ist besser als eine teure Dokumentationssoftware, die niemand öffnet. Entscheidend ist, dass die Dokumentation Ihrem Betrieb gehört. Das sollte im Vertrag mit dem Dienstleister stehen — welche Punkte dort sonst noch hineingehören, beschreibt der Ratgeber zum Managed-Services-Vertrag.

Wie halten Sie die Dokumentation aktuell?

Eine IT-Dokumentation veraltet ab dem Tag, an dem sie fertig ist. Vier feste Anlässe halten sie brauchbar:

1. 01

   Bei jeder Änderung

   Wer etwas ändert, trägt es ein: neues Gerät, neuer Dienst, geänderte Firewall-Regel, neuer Vertrag. Eine Änderung gilt erst als erledigt, wenn sie dokumentiert ist.

2. 02

   Bei jedem Ein- und Austritt

   Neue und ausscheidende Mitarbeiter verändern Inventar, Lizenzen und Zugänge. Die Dokumentation ist Teil der Checkliste, kein Nachtrag. Die Punkte dazu stehen in der IT-Checkliste für neue und ausscheidende Mitarbeiter.

3. 03

   Einmal im Jahr

   Die gesamte Dokumentation wird gegen die Wirklichkeit geprüft: Stimmen Netzplan und Inventar? Sind alle Verträge und Ablaufdaten aktuell? Funktioniert die Wiederherstellungsanleitung noch? Das Ergebnis wird mit Datum festgehalten.

4. 04

   Nach jedem Notfall

   Was hat gefehlt, was war falsch? Das BSI nennt die Aktualisierung der Notfalldokumentation ausdrücklich als Teil der Nachbereitung eines IT-Notfalls.

Den jährlichen Termin vermisst im Alltag niemand, deshalb fällt er leicht aus. Legen Sie ihn fest in den Kalender und verbinden Sie ihn mit einem Wiederherstellungstest der Datensicherung. Dann prüfen Sie zwei Dinge in einem Durchgang.

Könnte ein fremder Dienstleister damit arbeiten?

Der beste Test für eine IT-Dokumentation ist eine einfache Frage: Könnte ein Dienstleister, der Ihren Betrieb nicht kennt, damit morgen übernehmen, ohne den bisherigen anzurufen? Wenn die Antwort nein lautet, sind Sie abhängig — egal, wie gut die Zusammenarbeit gerade läuft.

So prüfen Sie das selbst: Nehmen Sie drei Fragen aus dem Alltag und suchen Sie die Antwort nur in der Dokumentation. Wo läuft die Fachanwendung, und wer ist beim Hersteller zuständig? Wann läuft das Zertifikat der Website ab? Wie spielt man die Datensicherung vom letzten Dienstag zurück? Jede Frage, die Sie so nicht beantworten können, ist eine Lücke.

Eine Dokumentation, die der Dienstleister nur für sich selbst geschrieben hat — voller Kürzel, verteilt auf seine internen Systeme, ohne Zugang für Sie —, besteht diesen Test nicht, auch wenn sie umfangreich ist. Für unsere IT-Betreuung gilt deshalb genau dieser Maßstab: Die Systemdokumentation ist so geschrieben, dass ein anderer Dienstleister damit arbeiten könnte.

Checkliste: Ist Ihre IT-Dokumentation vollständig?

Haken Sie ab, was vorhanden und aktuell ist. Jeder offene Punkt ist ein Auftrag — an Ihren Dienstleister oder an Ihre eigene IT:

• Netzplan mit Internetanschluss, Firewall, Switches, WLAN, Servern und Druckern, nicht älter als ein Jahr
• Geräteinventar mit Standort, Nutzer, Kaufdatum und Betriebssystem
• Liste aller Dienste mit Standort und Abhängigkeiten
• Liste aller Zugänge mit Verweis auf den Eintrag im Passwort-Tresor, ohne Passwörter
• Notfallzugang zum Passwort-Tresor geregelt und versiegelt hinterlegt
• Lizenzen und Verträge mit Laufzeit, Kündigungsfrist und Vertragspartner
• Domains mit Registrar und Inhaber, Zertifikate mit Ablaufdatum, alle Fristen im Kalender
• Datensicherung beschrieben, Wiederherstellungsanleitung beim letzten Test geprüft
• Notfallhandbuch mit Wiederanlaufreihenfolge, zusätzlich ausgedruckt hinterlegt
• Ansprechpartner, Dienstleister und Herstellersupport mit Kunden- und Vertragsnummern
• Eigener Lesezugang der Geschäftsleitung und eine Kopie außerhalb der beschriebenen Systeme
• Datum der letzten vollständigen Prüfung