Suche
SupportIT-Dokumentation: Das unterschätzte Sicherheitswerkzeug
Dokumentation gilt als lästige Pflicht. Im Ernstfall entscheidet sie, wie schnell ein Unternehmen wieder arbeitet. Was hineingehört und wie sie ohne großen Aufwand aktuell bleibt.
Wenn wir einen neuen Kunden übernehmen, fragen wir als Erstes nach der Dokumentation. Allzu oft lautet die Antwort: „Das weiß nur der frühere Administrator.“ Gemeint ist der langjährige Administrator, ein engagierter Mitarbeiter oder der frühere Dienstleister. Doch was passiert, wenn diese Person im Urlaub, krank oder nicht mehr im Unternehmen ist – und ausgerechnet dann fällt die Firewall aus oder ein Angreifer ist im Netz?
Dann beginnt die Suche: Wer hat das Administratorkennwort der Firewall? Welche Internetleitung hängt an welchem Anschluss? Auf welchem Server läuft die Lizenzverwaltung der Konstruktionssoftware? Jede dieser Fragen kostet im Ernstfall Stunden. Dokumentation ist deshalb kein Selbstzweck, sondern eine Sicherheitsmaßnahme.
Warum Dokumentation Sicherheit schafft
Drei Zusammenhänge machen Dokumentation zu einem Sicherheitswerkzeug:
- Schützen: Nur wer weiß, welche Systeme existieren, kann sie aktualisieren und überwachen. Vergessene Server und alte Fernzugänge sind beliebte Einfallstore.
- Wiederherstellen: Nur wer weiß, wie Systeme zusammenhängen, kann sie nach einem Ausfall in der richtigen Reihenfolge wieder in Betrieb nehmen.
- Entziehen: Nur wer weiß, wer welche Zugänge besitzt, kann sie beim Ausscheiden von Mitarbeitenden oder beim Wechsel eines Dienstleisters vollständig sperren.
Hinzu kommt der Nachweis: NIS2, ISO 27001, Cyberversicherer und viele Kunden erwarten, dass ein Unternehmen seine IT kennt und dies belegen kann. Eine gepflegte Dokumentation ist dafür die Grundlage.
Was mindestens dokumentiert sein sollte
- Netzplan mit Netzsegmenten, Firewalls, Internetanbindungen, WLAN und Standortverbindungen
- Systemübersicht mit Funktion, Standort, Betriebssystem, Verantwortlichen und Abhängigkeiten
- Geräte und Software: Arbeitsplätze, Mobilgeräte, Drucker, eingesetzte Anwendungen und Lizenzen
- Benutzer und Berechtigungen: Wer darf worauf zugreifen, wer hat Administratorrechte?
- Zugangsdaten – nicht im Dokument selbst, sondern sicher verwahrt in einem Passwortmanager, mit einem Verweis, wo sie liegen
- Verträge und Ansprechpersonen bei Herstellern, Providern und Dienstleistern, inklusive Laufzeiten
- Ablaufdaten von Zertifikaten, Domains, Wartungsverträgen und Lizenzen
- Datensicherung: Was wird wie oft wohin gesichert, und wie wird wiederhergestellt?
- Änderungen: Was wurde wann von wem geändert und warum?
- Notfallhandbuch mit Wiederanlaufplan, Prioritäten und Kontaktliste
Für ein Unternehmen mit 20 bis 200 Arbeitsplätzen ist das kein Aktenordner voller Prosa. Die meisten Punkte lassen sich als Listen und Tabellen führen, ergänzt um einen Netzplan und kurze Beschreibungen der wichtigsten Abläufe.
Aktuell halten ohne großen Aufwand
Die beste Dokumentation nützt nichts, wenn sie veraltet ist. Eine Dokumentation, die vor drei Jahren für ein Audit erstellt wurde, beschreibt oft eine Umgebung, die es so nicht mehr gibt. Drei Prinzipien helfen:
Dokumentation ist Teil jeder Änderung
Keine Änderung gilt als abgeschlossen, bevor die Dokumentation angepasst ist. Wer eine neue Firewall-Regel anlegt, trägt sie mit Begründung ein. Wer einen Server ersetzt, aktualisiert die Systemübersicht.
Automatisch erfassen, was sich erfassen lässt
Benutzer, Geräte, Lizenzen und Berechtigungen ändern sich laufend. Diese Daten sollten nicht von Hand gepflegt, sondern automatisch aus den Systemen gelesen werden – etwa aus Microsoft 365, Entra ID und Intune. Von Hand dokumentiert wird nur, was sich nicht automatisch erfassen lässt: Zusammenhänge, Entscheidungen, Abläufe.
Regelmäßig prüfen
Einmal im Jahr lohnt ein strukturierter Durchgang: Stimmen Netzplan und Systemübersicht noch? Sind alle Ansprechpersonen aktuell? Haben noch alle Personen die Berechtigungen, die sie wirklich brauchen?
Im Ernstfall verfügbar
Liegt die Dokumentation ausschließlich auf einem Server, der vom Angriff betroffen ist, hilft sie im Notfall nicht weiter. Wichtige Teile – insbesondere Notfallhandbuch, Netzplan und Kontaktliste – sollten deshalb zusätzlich offline oder an einem getrennten Ort verfügbar sein, etwa ausgedruckt im Tresor und als Kopie außerhalb der eigenen Infrastruktur. Wie ein brauchbares Notfallhandbuch aufgebaut ist, beschreiben wir auf der Seite IT-Notfallhandbuch; wie es in den ersten Stunden eines Angriffs eingesetzt wird, im Beitrag Cyberangriff – die ersten 24 Stunden.
Die Dokumentation gehört Ihnen
Ein oft übersehener Punkt: Wird die IT von einem Dienstleister betreut, liegt die Dokumentation häufig nur in dessen Systemen. Beim Wechsel oder im Streitfall steht das Unternehmen dann ohne Unterlagen da. Klären Sie vertraglich, dass die Dokumentation Ihnen gehört, dass Sie jederzeit Einsicht haben und dass Sie sie in einem lesbaren Format exportieren können.
Häufige Lücken und wie Sie sie schließen
- Keine Abhängigkeiten: Die Systemübersicht listet Server auf, sagt aber nicht, welche Anwendung welche Datenbank und welchen Lizenzserver braucht. Ergänzen Sie für die wichtigsten Anwendungen eine Zeile „benötigt“.
- Zugänge ohne Eigentümer: Konten von Dienstleistern und Servicekonten sind niemandem zugeordnet. Jeder Zugang braucht eine verantwortliche Person.
- Wissen nur im Kopf: Abläufe wie der Neustart der Telefonanlage oder die Freigabe eines Fernzugangs sind nirgends beschrieben. Eine halbe Seite mit Schritten genügt.
- Verträge im Postfach: Wartungsverträge, Kündigungsfristen und Support-Rufnummern liegen in E-Mails einzelner Personen. Sammeln Sie sie zentral.
- Keine Zuständigkeit: Niemand ist dafür verantwortlich, dass die Dokumentation aktuell bleibt. Legen Sie fest, wer das ist – im eigenen Haus oder beim Dienstleister.
Die Dokumentation selbst schützen
Eine vollständige IT-Dokumentation ist auch für Angreifer wertvoll: Sie zeigt, wo die wichtigen Systeme stehen und wie sie zusammenhängen. Schützen Sie sie deshalb wie andere vertrauliche Informationen – mit Zugriffsrechten nach dem Bedarf, Mehr-Faktor-Anmeldung und ohne Kennwörter im Klartext. Die ausgedruckte Notfallversion gehört an einen verschlossenen Ort, zu dem die zuständigen Personen Zugang haben.
So gehen wir bei BABFE vor
Bei allen betreuten Kunden gehört eine gepflegte IT-Dokumentation zum Standard. Im Kundenportal sehen Sie dieselben Daten wie unser Technikteam: Benutzer, Gruppen und Postfächer, Geräte, Software und Lizenzen, Berechtigungen, das Änderungsregister, Ablaufdaten von Zertifikaten und Verträgen sowie ein Zugangsdaten-Inventar – selbstverständlich ohne Kennwörter. Die Daten aus Microsoft 365 und Intune werden laufend abgeglichen, jede Liste lässt sich als CSV herunterladen.
Mit einem Klick exportieren Sie das Nachweispaket: die komplette Dokumentation als ZIP-Archiv, inklusive einer Gesamtdokumentation als PDF. Diesen Export können Sie jederzeit ziehen – auch ohne Kündigung und ohne Aufpreis. Ihre Dokumentation bleibt damit auch dann bei Ihnen, wenn Sie den Dienstleister wechseln.
Ihr nächster Schritt
Machen Sie den Test: Könnte eine fremde Fachkraft mit Ihren Unterlagen morgen früh die Firewall neu starten und den wichtigsten Server wiederherstellen? Wenn nicht, unterstützen wir Sie beim Aufbau einer schlanken, praxistauglichen Dokumentation.
