Website-Notfallplan für KMU: Ausfälle meistern

Wenn die Firmenwebsite plötzlich nicht mehr erreichbar ist, zählt nicht nur die technische Lösung. Kundinnen und Kunden suchen weiter nach Öffnungszeiten, Kontaktmöglichkeiten, Produkten oder einem Termin. Gleichzeitig müssen Hosting, Domain, Formulare und mögliche Sicherheitsrisiken geprüft werden. Ohne vorbereiteten Ablauf entstehen parallele Anrufe, unklare Zuständigkeiten und vorschnelle Änderungen, die eine spätere Analyse erschweren.

Ein Website-Notfallplan für KMU übersetzt diese Situation in konkrete Schritte: Wer entscheidet? Wer ruft Hosting oder Agentur an? Welche Informationen werden gesichert? Wo wird eine Ersatzmeldung veröffentlicht? Und nach welchen Prüfungen darf die Seite wieder online gehen? Der folgende Leitfaden richtet sich an österreichische Betriebe, die keinen eigenen IT-Bereitschaftsdienst haben, aber bei einem Ausfall dennoch geordnet handeln wollen.

Ein Notfallplan beginnt nicht mit einem technischen Handbuch

Für kleine Betriebe muss der Plan kurz genug sein, um im Ernstfall tatsächlich verwendet zu werden. Eine zweiseitige Arbeitsanweisung mit Kontakten, Rollen, Prüfschritten und Entscheidungspunkten ist oft hilfreicher als ein umfangreiches Sicherheitskonzept, das niemand griffbereit hat. Technische Detailanleitungen können als Anlage folgen.

Die Wirtschaftskammer nennt regelmäßige Backups, den Schutz des Internetauftritts und einen Notfallplan als grundlegende Maßnahmen der Informationssicherheit. Entscheidend ist die Verbindung dieser Punkte: Ein Backup allein hilft wenig, wenn niemand weiß, wo es liegt, wer es einspielen darf und wie geprüft wird, ob es sauber ist.

Welche Störungen der Plan abdecken sollte

Nicht jede Nichterreichbarkeit ist ein Angriff. Der erste Schritt ist daher eine sachliche Einordnung. Typische Szenarien sind:

Technischer Ausfall: Hosting, Datenbank, DNS oder ein externer Dienst antwortet nicht.
Fehler nach einer Änderung: Ein Update, Deployment oder Plugin verursacht eine leere Seite, Fehlermeldung oder defekte Funktionen.
Überlastung: Viele legitime Zugriffe oder ein DDoS-Angriff machen die Website langsam oder unerreichbar.
Manipulation: Inhalte, Weiterleitungen, Benutzerkonten oder Dateien wurden unbefugt verändert.
Teilausfall: Die Website lädt, aber Kontaktformular, Shop, Terminbuchung, Zahlung oder E-Mail-Zustellung funktionieren nicht.

Der Notfallplan sollte diese Fälle nicht vorschnell gleichsetzen. Bei einem fehlerhaften Update kann ein kontrolliertes Rollback richtig sein. Bei einem vermuteten Einbruch könnten dieselben Änderungen hingegen Spuren überschreiben oder eine Hintertür bestehen lassen.

Die ersten 15 Minuten: prüfen, begrenzen, dokumentieren

In der ersten Viertelstunde geht es um ein verlässliches Lagebild. Eine einfache Reihenfolge verhindert Aktionismus:

Störung von einem zweiten Gerät und einer anderen Internetverbindung bestätigen.
Uhrzeit, betroffene URL, Fehlermeldung und erste Beobachtung notieren.
Prüfen, ob nur eine Funktion, die gesamte Website, die Domain oder auch E-Mail betroffen ist.
Interne Notfallverantwortliche und technische Betreuung verständigen.
Bei Manipulationsverdacht keine Dateien löschen und keine unkoordinierten Updates starten.
Wenn eine akute Gefahr für Besucher besteht, Seite oder betroffene Funktion kontrolliert sperren.

Ein Screenshot, die genaue URL und ein Zeitstempel sind wesentlich nützlicher als die Meldung „Die Website geht nicht“. Für die technische Betreuung sind auch letzte Änderungen wichtig: Wurde kurz zuvor ein neues Formular aktiviert, ein DNS-Eintrag geändert oder eine Erweiterung aktualisiert?

Klare Rollen statt einer langen Telefonkette

Auch ein Betrieb mit fünf Personen braucht mindestens drei Rollen. Eine Person koordiniert und führt das Protokoll. Eine technisch zuständige Person arbeitet mit Hosting, Agentur oder interner IT. Eine dritte Person verantwortet Kundeninformation und Ersatzkanäle. Bei sehr kleinen Unternehmen kann eine Person mehrere Rollen übernehmen, die Aufgaben müssen dennoch getrennt beschrieben sein.

Der Plan sollte außerdem festlegen, wer die Wiederfreigabe erteilt. Wer technisch repariert, sollte nicht allein entscheiden müssen, dass Shop, Formulare und Zahlungen wieder produktiv sind. Eine kurze fachliche Abnahme durch den Betrieb senkt das Risiko, dass die Startseite funktioniert, aber wichtige Kundenwege weiterhin ausfallen.

Vier Kontaktlisten müssen offline verfügbar sein

Kontaktdaten gehören nicht ausschließlich in ein Cloud-Dokument, das während einer Kontosperre unerreichbar sein könnte. Eine aktuelle Offline-Kopie sollte folgende Stellen enthalten:

Hosting-Anbieter mit Kundennummer, Supportweg und Eskalationsmöglichkeit,
Domain-Registrar und DNS-Betreuer,
Webagentur, IT-Dienstleister sowie verantwortliche interne Personen,
Anbieter kritischer Dienste wie Shop, Zahlung, Buchung, Newsletter oder Formularzustellung.

CERT.at empfiehlt bei der Vorbereitung auf Nichtverfügbarkeit, relevante Kontakte offline und direkt verfügbar zu halten. Für österreichische Unternehmen ist zusätzlich sinnvoll, den Link zur CERT.at-Vorfallsmeldung im Plan zu hinterlegen. CERT.at ist allerdings kein allgemeiner Helpdesk; bei einem normalen Konfigurationsfehler bleibt zunächst der beauftragte technische Dienstleister zuständig.

Eine Ersatzinformation braucht einen unabhängigen Kanal

Eine Wartungsseite auf demselben Hosting ist bei einem vollständigen Ausfall nicht erreichbar. KMU sollten daher festlegen, welcher unabhängige Kanal aktuelle Informationen übernimmt. Das kann ein Statusdienst, ein gepflegtes Google-Unternehmensprofil, ein Social-Media-Kanal oder eine sehr einfache Ersatzseite bei einem getrennten Anbieter sein.

Die Nachricht sollte knapp bleiben: Welche Funktion ist betroffen? Welche Alternative steht zur Verfügung? Wann folgt das nächste Update? Unsichere Ursachen oder Wiederherstellungszeiten gehören nicht als Vermutung veröffentlicht. Bei einem Webshop kann beispielsweise stehen, dass Online-Bestellungen vorübergehend nicht möglich sind und dringende Anfragen telefonisch angenommen werden. Eine Zusage wie „in 30 Minuten wieder online“ ist ohne belastbare technische Grundlage kontraproduktiv.

Backups sind erst nach einem Wiederherstellungstest belastbar

Ein Website-Backup umfasst je nach System Dateien, Datenbank, Medien, Konfiguration und gegebenenfalls Produkt- oder Bestelldaten. ENISA empfiehlt für KMU regelmäßige, möglichst automatisierte und vom Produktivsystem getrennte Sicherungen. Besonders wichtig ist der Test, ob sich Daten tatsächlich vollständig wiederherstellen lassen.

Der Website-Notfallplan sollte deshalb vier Angaben enthalten: Speicherort, Sicherungsrhythmus, verantwortliche Person und Datum des letzten Restore-Tests. Bei einem Shop oder Buchungssystem muss zusätzlich geklärt werden, wie Änderungen seit dem letzten Backup behandelt werden. Ein altes Backup kann die Website wieder sichtbar machen, aber neue Bestellungen, Termine oder Anfragen verlieren.

Zugänge sichern, ohne Passwörter in den Plan zu schreiben

Der Notfallplan enthält keine Klartext-Passwörter. Er verweist auf den betrieblichen Passwortmanager und beschreibt, wer im Ernstfall Zugriff auf Domain, Hosting, CMS, DNS, E-Mail und Analysewerkzeuge erhält. Für besonders kritische Konten sollten Wiederherstellungscodes geschützt und getrennt aufbewahrt werden.

Prüfen Sie außerdem, ob der Betrieb selbst als Vertrags- oder Kontoinhaber eingetragen ist. Wenn Domain und Hosting ausschließlich im Konto einer früheren Agentur liegen, wird ein technischer Vorfall schnell zum Eigentums- und Zugangsproblem. Unsere Checkliste zum Agenturwechsel bei der Firmenwebsite zeigt, welche Zugänge Unternehmen dauerhaft unter Kontrolle halten sollten.

Ausfall und Datenschutzverletzung getrennt beurteilen

Eine nicht erreichbare Website ist nicht automatisch eine Verletzung personenbezogener Daten. Umgekehrt kann eine Website normal aussehen, obwohl Formulardaten oder Benutzerkonten unbefugt eingesehen wurden. Deshalb sollte der Notfallplan eine eigene Entscheidung enthalten: Gibt es Anzeichen für Verlust, Veränderung, Offenlegung oder unbefugten Zugriff auf personenbezogene Daten?

Die WKO-Checkliste zu kompromittierten Websites weist auf mögliche Meldepflichten hin, wenn personenbezogene Daten betroffen sind. Ob eine Meldung notwendig ist, hängt vom konkreten Vorfall und Risiko ab; die DSGVO nennt dafür enge Fristen. Dieser Beitrag ersetzt keine rechtliche oder forensische Prüfung. Im Zweifel sollten Datenschutzverantwortliche und qualifizierte Beratung früh eingebunden werden, statt erst nach der technischen Reparatur.

Anfragen und Verkäufe während des Ausfalls geordnet weiterführen

Die betriebliche Priorität hängt vom Geschäftsmodell ab. Eine Tischlerei braucht vielleicht einen Ersatzweg für Projektanfragen und Fotos. Eine Ordination muss Termin- und Notfallhinweise erreichbar halten. Ein Händler benötigt Klarheit zu Bestellungen, Zahlungen und Abholung. Definieren Sie für jede kritische Website-Funktion eine einfache Alternative.

Dabei muss nachvollziehbar bleiben, welche Anfrage über welchen Kanal eingegangen ist. Lose Notizzettel und private Messenger erzeugen nach dem Wiederanlauf Doppelarbeit und Datenschutzrisiken. Besser ist eine vorbereitete, zugriffsgeschützte Erfassung mit Zeit, Kontakt, Anliegen, Einwilligung und Bearbeitungsstatus. Nach der Wiederherstellung werden offene Vorgänge einmalig in den regulären Prozess übertragen.

Suchmaschinen und Besucher nach einer Manipulation schützen

Bei eingeschleusten Weiterleitungen oder betrügerischen Unterseiten reicht es nicht, nur die sichtbare Startseite zu reparieren. Die WKO empfiehlt unter anderem, Zeitpunkt und Umfang der Manipulation zu untersuchen, Logdateien zu prüfen, Schadcode zu entfernen und Sicherheitslücken zu schließen. Wurde die Seite von Google als unsicher markiert, kann nach der Bereinigung eine erneute Überprüfung erforderlich sein.

Für die SEO-Nachsorge sollten KMU außerdem wichtige Suchergebnisse, indexierte URLs und die Google Search Console kontrollieren. Nicht jede unbekannte URL darf einfach auf die Startseite umgeleitet werden. Manipulierte Seiten sollten fachlich bereinigt und passend aus dem Index entfernt werden, während legitime bestehende URLs erhalten bleiben.

Der Wiederanlauf erfolgt stufenweise

„Website ist wieder erreichbar“ ist noch kein vollständiger Abschluss. Ein stufenweiser Wiederanlauf reduziert Folgeschäden:

Technische Grundfunktion, Zertifikat, Domain und zentrale Seiten prüfen.
Admin-Zugänge, Benutzerkonten, Weiterleitungen und Integrität kontrollieren.
Formulare, E-Mail-Zustellung, Buchung, Shop und Zahlungen mit sicheren Tests prüfen.
Mobile Darstellung sowie wichtige Links und Downloads kontrollieren.
Ersatzmeldung aktualisieren und erst danach entfernen.
Monitoring für die nächsten Stunden enger beobachten.

Bei einem Sicherheitsvorfall sollte die technische Betreuung bestätigen, dass die Ursache behoben und nicht nur das sichtbare Symptom entfernt wurde. Ein Restore aus einer sauberen Version kann sinnvoll sein, ersetzt aber weder das Schließen der Eintrittsstelle noch den Wechsel betroffener Zugangsdaten.

Eine einfache Prioritätenmatrix spart Zeit

Ordnen Sie Funktionen nach Auswirkung und Wiederanlaufziel. Priorität A umfasst etwa Kontakt, kritische Informationen, Shop oder Terminbuchung. Priorität B betrifft Leistungsseiten, Downloads und Analyse. Priorität C sind Inhalte, die für einige Stunden entbehrlich sind. Für jede Stufe werden verantwortliche Person, Ersatzweg und maximale tolerierbare Unterbrechung intern festgelegt.

Diese Zeiten sind keine öffentliche Garantie. Sie dienen der internen Reihenfolge und müssen zu Ressourcen und Dienstleisterverträgen passen. Ein kleiner Betrieb sollte lieber realistische Ziele festlegen als eine rund um die Uhr verfügbare Reaktion zu versprechen, die organisatorisch nicht abgesichert ist.

Der Notfallplan muss geübt werden

Einmal pro Halbjahr genügt für viele KMU eine kurze Tischübung: Eine Person meldet, dass die Website manipuliert wirkt. Das Team arbeitet den Plan durch, ohne produktive Systeme zu verändern. Sind Telefonnummern aktuell? Ist klar, wer entscheidet? Kann die Ersatzmeldung veröffentlicht werden? Ist das letzte getestete Backup auffindbar?

Nach der Übung werden Lücken mit Verantwortlichen und Termin dokumentiert. Auch nach jedem echten Vorfall gehört eine kurze Nachbesprechung dazu: Was wurde zuerst bemerkt, welche Information fehlte, welcher Kanal funktionierte und welche Maßnahme verhindert eine Wiederholung? So wird der Plan mit jedem Test konkreter.

Sieben-Tage-Plan für die Einführung

Tag 1: Kritische Website-Funktionen und externe Anbieter erfassen.
Tag 2: Rollen, Vertretungen und Freigabe für den Wiederanlauf festlegen.
Tag 3: Domain-, Hosting-, CMS- und Dienstzugänge prüfen.
Tag 4: Backup-Status und letzten Restore-Test dokumentieren.
Tag 5: Ersatzkanal und zwei vorbereitete Meldungstexte einrichten.
Tag 6: Ablauf für Ausfall, Manipulation und möglichen Datenvorfall formulieren.
Tag 7: 30-minütige Tischübung durchführen und Plan korrigieren.

Ergänzend lohnt sich ein Blick auf die präventive Website-Sicherheitscheckliste für KMU. Unternehmen, die möglicherweise unter das österreichische NISG 2026 fallen oder Teil einer betroffenen Lieferkette sind, finden im Beitrag zur Vorbereitung auf das NISG 2026 eine gesonderte Einordnung. Der hier beschriebene Ablauf ersetzt keine branchenspezifischen gesetzlichen Pflichten.

Kompakte Checkliste für den Ernstfall

Störung unabhängig bestätigt und Beginn dokumentiert?
Betroffene Funktionen und letzte Änderungen erfasst?
Koordination, Technik und Kommunikation eindeutig zugeteilt?
Hosting, Domain, Agentur und kritische Dienstleister erreichbar?
Bei Manipulationsverdacht Spuren gesichert und Risiko begrenzt?
Ersatzinformation über einen unabhängigen Kanal veröffentlicht?
Personenbezogene Daten und mögliche Meldepflichten geprüft?
Sauberes Backup und kontrollierter Wiederanlauf möglich?
Formulare, Zahlungen, Buchungen und E-Mail wirklich getestet?
Vorfall nachbesprochen und Plan aktualisiert?

Fazit: Vorbereitung verkürzt nicht nur den Ausfall

Ein Website-Notfallplan für KMU schafft vor allem Entscheidungsfähigkeit. Er hält Kontakte offline verfügbar, trennt technische Störung und Sicherheitsvorfall, schützt wichtige Kundenwege und definiert eine kontrollierte Rückkehr in den Normalbetrieb. Das reduziert nicht nur Ausfallzeit, sondern auch widersprüchliche Kommunikation und vermeidbaren Datenverlust.

Beginnen Sie mit einer Seite: drei Rollen, vier Kontaktgruppen, fünf kritische Funktionen und ein getesteter Ersatzkanal. Prüfen Sie danach Zugänge und Backups gemeinsam mit Ihrer technischen Betreuung. Ein realistischer, geübter Plan ist wertvoller als ein umfangreiches Dokument, das im entscheidenden Moment niemand öffnen kann.

Quellen und weiterführende Hinweise

Hinweis: Dieser Beitrag bietet eine organisatorische Orientierung und keine individuelle Rechts-, Datenschutz-, Sicherheits- oder Forensikberatung. Anforderungen und Meldewege sind anhand des konkreten Vorfalls und des betroffenen Unternehmens zu prüfen.

Website-Notfallplan für KMU: Ausfall und Wiederanlauf richtig vorbereiten