Ein Notfallplan ist ein vorab dokumentiertes Handlungskonzept, das festlegt, wer bei einem Notfall was in welcher Reihenfolge tut, um Schäden zu begrenzen und zeitkritische Abläufe aufrechtzuerhalten oder schnell wieder aufzunehmen. Ein Notfallplan regelt Auslösekriterien, Alarmierung, Zuständigkeiten, Sofortmaßnahmen, Wiederanlauf und Kommunikation. Maßgebliche Bezugspunkte sind ISO 22301, der BSI-Standard 200-4 sowie branchenspezifische Vorgaben wie NIS-2 oder das Arbeitsschutzgesetz.

Was ist ein Notfallplan?

Ein Notfallplan ist die schriftliche Übersetzung einer Notfallvorsorge in konkrete Handlungsanweisungen. Er beantwortet vier Fragen, die im Ereignisfall keine Zeit für Diskussion lassen: Ab wann liegt ein Notfall vor, wer wird alarmiert, wer entscheidet, und welche Schritte folgen in welcher Reihenfolge. Ein Notfall ist dabei ein Ereignis, das den Normalbetrieb so stark stört, dass die üblichen Linienzuständigkeiten und Standardprozesse nicht mehr ausreichen – anders als eine Störung, die im Tagesgeschäft behoben wird.

Der Notfallplan unterscheidet sich damit grundlegend von einem Konzept oder einer Richtlinie. Ein Konzept beschreibt, wie eine Organisation Vorsorge betreibt; der Notfallplan wird im Ereignis in die Hand genommen und abgearbeitet. Aus dieser Zweckbestimmung ergeben sich seine Gestaltungsanforderungen: kurz, handlungsorientiert, ohne Rückfragen nutzbar und auch dann verfügbar, wenn die betroffenen Systeme nicht laufen.

In größeren Organisationen existiert selten ein einzelner Notfallplan, sondern eine Plansammlung, häufig als Notfallhandbuch geführt. Sie enthält übergreifende Festlegungen wie Alarmierung und Krisenstabsarbeit sowie prozess- und ressourcenbezogene Einzelpläne für IT, Gebäude, Personal und Dienstleister. Eingebettet ist diese Sammlung in das Business Continuity Management (BCM), das die Grundlagen für die Pläne liefert und ihre Wirksamkeit regelmäßig überprüft.

Warum ist ein Notfallplan wichtig?

Ein Notfallplan ist wichtig, weil im Ereignisfall Entscheidungszeit die knappste Ressource ist. Cyberangriffe verschlüsseln Systeme innerhalb weniger Stunden, ein Wasserschaden macht ein Gebäude über Nacht unbenutzbar, der Ausfall eines Dienstleisters trifft mehrere Prozesse gleichzeitig. Wer in dieser Lage erst klärt, wer zuständig ist und welche Nummer gilt, verliert genau die Stunden, in denen sich der Schaden noch begrenzen ließe.

Hinzu kommt der Verlauf des Schadens. In den ersten Stunden lässt sich vieles improvisieren, danach steigen die Folgekosten überproportional: Termine reißen, Vertragsstrafen greifen, Meldefristen laufen, Kunden und Aufsichtsbehörden fragen nach. Ein Notfallplan verschiebt die Denkarbeit in die Vorbereitungsphase, in der Alternativen in Ruhe geprüft, Ressourcen beschafft und Zuständigkeiten geklärt werden können.

Der dritte Grund ist der Nachweis. Nach größeren Vorfällen prüfen Versicherer, Aufsichtsbehörden, Wirtschaftsprüfer und teilweise Gerichte, ob die Organisation vorbereitet war. Ein aktueller, geübter und dokumentierter Notfallplan ist in dieser Situation der Beleg dafür, dass die Leitung ihre Sorgfaltspflichten erfüllt hat. Ein Plan, dessen letzte Änderung Jahre zurückliegt, wirkt an dieser Stelle eher belastend als entlastend.

Welche Arten von Notfallplänen gibt es?

Notfallpläne unterscheiden sich nach dem Zweck, den sie im Ereignisverlauf erfüllen. Wer alle Themen in ein einziges Dokument presst, erhält ein Handbuch, das im Ernstfall niemand liest. Üblich ist deshalb eine Aufteilung nach Funktion.

Plantyp	Zweck	Typischer Adressat
Alarmierungs- und Meldeplan	Erreichbarkeit, Meldewege, Eskalationsstufen, Rufbereitschaft	Leitstelle, Rufbereitschaft, Führungskräfte
Sofortmaßnahmenplan	erste Schritte in den ersten Minuten und Stunden, Schadensbegrenzung	Personal vor Ort, Schichtleitung
Geschäftsfortführungsplan	Notbetrieb für zeitkritische Prozesse mit reduzierter Leistung	Fachbereiche, Prozessverantwortliche
Wiederanlauf- und Wiederherstellungsplan	geordnete Rückkehr in den Notbetrieb und danach in den Normalbetrieb	IT, Technik, Fachbereiche
IT-Notfallplan	Reaktion auf IT-Ausfälle und Sicherheitsvorfälle, Wiederherstellung aus Backups	IT-Betrieb, IT-Sicherheit, Dienstleister
Krisenhandbuch / Krisenstabsleitfaden	Führung, Lagebild, Entscheidungswege, externe Kommunikation	Krisenstab, Leitung, Kommunikation
Flucht-, Rettungs- und Evakuierungsplan	Personenschutz, Räumung, Sammelstellen, Erste Hilfe	alle Beschäftigten, Brandschutzhelfer

Der BSI-Standard 200-4 ordnet diese Pläne entlang des Ereignisverlaufs: von Sofortmaßnahmen über die Geschäftsfortführung bis zu Wiederanlauf und Wiederherstellung. Diese Reihenfolge ist mehr als eine Gliederungshilfe – sie verhindert die häufigste Lücke in der Praxis, nämlich vorhandene technische Wiederherstellungspläne bei gleichzeitig fehlenden fachlichen Notbetriebsverfahren. Solange Server wiederhergestellt werden, muss der Fachbereich trotzdem arbeitsfähig bleiben.

Wie unterscheidet sich ein Notfallplan von Krisenplan, BCP und Disaster-Recovery-Plan?

Ein Notfallplan regelt die Bewältigung eines konkreten, eingetretenen Ereignisses auf operativer Ebene. Die benachbarten Plandokumente setzen an anderen Punkten an: Der Krisenplan organisiert Führung und Kommunikation, der Business Continuity Plan die Fortführung der Geschäftstätigkeit, der Disaster-Recovery-Plan die technische Wiederherstellung.

Dokument	Fokus	Verhältnis zum Notfallplan
Notfallplan	operative Bewältigung eines eingetretenen Ereignisses	Ausgangsdokument im Ereignisfall
Krisenplan / Krisenhandbuch	Krisenstab, Lagebild, Entscheidungs- und Kommunikationswege	greift bei Ereignissen, die über den Notfall hinauswachsen
Business Continuity Plan (BCP)	Aufrechterhaltung zeitkritischer Prozesse im Notbetrieb	fachliche Ergänzung; im deutschen Sprachraum oft Teil des Notfallplans
Disaster-Recovery-Plan (DR)	technische Wiederherstellung von Systemen und Daten	Umsetzungsebene innerhalb des IT-Notfallplans
Notfallkonzept	Vorsorgestrategie, Rahmen und Verantwortlichkeiten	beschreibt die Vorsorge, der Notfallplan setzt sie um

Praktisch bedeutet diese Abgrenzung: Wer nur einen Disaster-Recovery-Plan besitzt, kann Systeme wiederherstellen, weiß aber nicht, wie die Fachbereiche in der Zwischenzeit arbeiten. Wer nur ein Krisenhandbuch hat, kann entscheiden, verfügt aber über keine vorbereiteten Verfahren. Die Begriffe werden in der Literatur uneinheitlich verwendet – wichtiger als die Bezeichnung ist, dass alle vier Funktionen abgedeckt sind und die Dokumente aufeinander verweisen.

Was gehört in einen Notfallplan?

Ein vollständiger Notfallplan enthält Geltungsbereich, Auslösekriterien, Alarmierung, Rollen, Sofortmaßnahmen, Wiederanlaufschritte, Kommunikationswege, Ressourcen und Meldepflichten. Diese Bestandteile haben sich unabhängig von Branche und Organisationsgröße als Minimum bewährt:

Geltungsbereich und Auslösekriterien: Für welche Standorte, Prozesse und Szenarien gilt der Plan, und woran wird ein Notfall erkannt? Auslösekriterien sollten messbar sein, etwa eine Ausfalldauer.
Alarmierung und Erreichbarkeit: Meldewege, Rufbereitschaften, Eskalationsstufen, Erreichbarkeit außerhalb der Dienstzeiten, Vertretungen.
Rollen und Befugnisse: Wer entscheidet über die Auslösung, wer leitet den Krisenstab, wer gibt Ausgaben frei, wer spricht nach außen.
Sofortmaßnahmen: die ersten Schritte in klarer Reihenfolge, mit Prioritäten für Personenschutz, Schadensbegrenzung und Beweissicherung.
Geschäftsfortführung und Wiederanlauf: Notbetriebsverfahren je Prozess, Reihenfolge des Wiederanlaufs und die zugehörigen Zeitvorgaben.
Kommunikation: interne und externe Kommunikationswege, Ansprechpartner, vorbereitete Textbausteine, Rückfallkanäle.
Ressourcen und Kontakte: Ausweichstandorte, Ersatzgeräte, Dienstleister und Notfallnummern, jeweils mit Verantwortlichen.
Melde- und Nachweispflichten: gesetzliche Fristen, Ansprechstellen bei Behörden, Versicherern und Kunden, laufende Ereignisdokumentation.
Nachbereitung: Rückkehr in den Normalbetrieb, Auswertung und Aktualisierung des Plans.

Für die Gestaltung gilt: Ein Notfallplan wird unter Stress gelesen, häufig von Personen, die ihn nicht geschrieben haben. Kurze Sätze, nummerierte Schritte, eindeutige Rollenbezeichnungen statt Personennamen und ein Umfang, der die wesentlichen Handlungsanweisungen auf wenige Seiten bringt, sind deshalb keine Formalie, sondern entscheiden über die Nutzbarkeit. Detailinformationen gehören in Anhänge, nicht in den Handlungsteil.

Wie erstellt man einen Notfallplan?

Ein Notfallplan entsteht in sieben Schritten, die aufeinander aufbauen. Der Aufwand skaliert mit der Organisation, die Reihenfolge bleibt gleich.

Auftrag und Geltungsbereich klären. Die Leitung beauftragt die Planung, benennt Verantwortliche und legt fest, welche Standorte und Prozesse erfasst werden. Ohne diesen Rahmen bleibt der Notfallplan eine Abteilungsinitiative und scheitert an Zuständigkeitsfragen.
Kritische Prozesse und Ausfalltoleranzen bestimmen. Die Business Impact Analyse (BIA) ermittelt, welche Prozesse zeitkritisch sind, wie schnell der Schaden wächst und welche Ressourcen sie benötigen. Ergebnis sind Zeitvorgaben wie RTO und RPO, an denen sich der Plan messen lassen muss.
Szenarien nach ausgefallener Ressource bilden. Statt Pläne für jede denkbare Ursache zu schreiben, wird nach Ausfall geplant: Personal, Gebäude, IT, Kommunikation, Dienstleister, Betriebsmittel. Ob ein Rechenzentrum durch Ransomware, Wasserschaden oder Stromausfall nicht verfügbar ist, ändert an den Handlungsoptionen der Fachbereiche wenig.
Maßnahmen und Notbetriebsverfahren festlegen. Zu jeder Zeitvorgabe gehört eine hinterlegte Maßnahme: Redundanz, Ausweichstandort, manuelles Ersatzverfahren, Vorsorgevertrag. Eine Wiederanlaufzeit ohne Maßnahme ist eine Absichtserklärung.
Plan schreiben und abstimmen. Die Handlungsanweisungen werden mit den Fachbereichen abgestimmt, die sie im Ereignisfall ausführen. Diese Abstimmung deckt regelmäßig Abhängigkeiten auf, die in der Analyse nicht sichtbar waren.
Verteilen und offline verfügbar machen. Der Notfallplan muss auch dann erreichbar sein, wenn das Netzwerk, das Intranet oder die Dateiablage ausgefallen sind – als Ausdruck an definierten Orten, auf verschlüsselten mobilen Endgeräten oder in einem unabhängigen System.
Üben, auswerten, aktualisieren. Erst die Übung zeigt, ob der Plan funktioniert. Erkenntnisse fließen zurück in das Dokument, das damit in den Regelbetrieb übergeht.

Welche Normen und Standards gelten für Notfallpläne?

Für Notfallpläne sind zwei Regelwerke maßgeblich: die internationale Norm ISO 22301 für Business-Continuity-Managementsysteme, die dokumentierte Pläne und Verfahren für die Reaktion auf Störungen verlangt, und der BSI-Standard 200-4, der im deutschsprachigen Raum vor allem in Behörden und bei Betreibern kritischer Infrastrukturen genutzt wird. Der BSI-Standard 200-4 löst den früheren BSI-Standard 100-4 ab und beschreibt mit dem Reaktiv-, Aufbau- und Standard-BCMS drei Ausbaustufen, sodass Organisationen mit begrenzten Ressourcen zunächst grundlegende Reaktionsfähigkeiten aufbauen können.

Ergänzend gelten fachspezifische Regelwerke. Im Bereich der Informationssicherheit fordert ISO/IEC 27001 Maßnahmen zur Kontinuität der Informationssicherheit und zur IKT-Bereitschaft; der IT-Grundschutz-Baustein DER.4 „Notfallmanagement“ konkretisiert dies für den deutschen Kontext. Im baulichen und organisatorischen Brandschutz regeln die Brandschutzordnung nach DIN 14096 mit ihren Teilen A, B und C sowie Flucht- und Rettungspläne nach DIN ISO 23601 und die Technische Regel für Arbeitsstätten ASR A2.3 die Anforderungen an Räumung und Personenschutz.

Welche gesetzlichen Anforderungen gelten für Notfallpläne?

Notfallpläne sind für viele Organisationen keine freiwillige Übung, sondern rechtlich gefordert. Das Arbeitsschutzgesetz verpflichtet Arbeitgeber nach § 10 ArbSchG, Maßnahmen für Erste Hilfe, Brandbekämpfung und Evakuierung zu treffen und die dafür zuständigen Beschäftigten zu benennen – die organisatorische Grundlage jedes Räumungs- und Alarmierungsplans.

Für die Cybersicherheit hat die NIS-2-Richtlinie (EU) 2022/2555 die Anforderungen deutlich verschärft. Sie verlangt von wesentlichen und wichtigen Einrichtungen Risikomanagementmaßnahmen, die Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement ausdrücklich einschließen, und setzt kurze Meldefristen: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Diese Fristen gehören in jeden Notfallplan, weil sie parallel zur technischen Bewältigung eingehalten werden müssen. Für Betreiber kritischer Infrastrukturen ergeben sich weitere Pflichten aus dem BSI-Gesetz, im Finanzsektor aus der DORA-Verordnung (EU) 2022/2554 mit ihren Anforderungen an Reaktions- und Wiederherstellungspläne sowie deren regelmäßige Tests.

Branchenspezifisch kommen weitere Vorgaben hinzu: Betriebsbereiche nach der Störfall-Verordnung (12. BImSchV) müssen interne Alarm- und Gefahrenabwehrpläne vorhalten, während die zuständige Behörde externe Notfallpläne für die Umgebung erstellt. Krankenhäuser führen eine Krankenhausalarm- und -einsatzplanung (KAEP) nach landesrechtlichen Vorgaben. Aktienrechtlich flankiert § 91 Absatz 2 AktG das Ganze mit der Pflicht zur Risikofrüherkennung. Gemeinsam ist diesen Regelungen eine Entwicklung: Gefordert ist nicht mehr nur das Vorhandensein von Plänen, sondern deren regelmäßige Erprobung und Dokumentation.

Welche Rolle spielt die Kommunikation im Notfallplan?

Kommunikation ist im Notfallplan eine eigenständige Ressource – und im Ereignisfall auffallend häufig selbst betroffen. Fällt die primäre Infrastruktur aus, sind Alarmierung, Krisenstabsarbeit und Meldepflichten unmittelbar gefährdet. Ein Notfallplan, der Kommunikationswege nur voraussetzt, statt sie zu planen, verliert im Ernstfall genau die Funktion, die alle anderen Schritte trägt.

Vier Anforderungen sind dabei entscheidend. Erstens die Erreichbarkeit rund um die Uhr, auch außerhalb der Dienstzeiten, mobil und über Standorte hinweg. Zweitens die Unabhängigkeit von den betroffenen Systemen: E-Mail, Telefonanlage, Intranet und Dateiablagen können Teil des Ausfalls sein, weshalb Kontaktlisten, Eskalationswege und der Notfallplan selbst nicht ausschließlich dort liegen dürfen. In Ransomware-Fällen scheitert die Bewältigung erfahrungsgemäß genau an diesem Punkt. Drittens die Arbeitsfähigkeit des Krisenstabs mit gemeinsamem Lagebild, getrennten Kommunikationskreisen für Stab, Fachbereiche und Gesamtorganisation sowie einer nachvollziehbaren Dokumentation von Meldungen und Entscheidungen, die später auch Nachweispflichten bedient. Viertens die Sicherheits- und Datenschutzanforderungen, die im Notfall unverändert gelten: Fehlen freigegebene Kanäle, weichen Beteiligte auf private Consumer-Messenger aus, und es entsteht Schatten-IT in dem Moment, in dem Kontrolle und Beweisfähigkeit am dringendsten gebraucht werden.

Organisationen lösen diese Anforderung in der Regel über vorab freigegebene, von der regulären Infrastruktur unabhängige Kommunikationslösungen mit verwalteten Verteilern, Alarmierungsfunktionen und – bei Einsatzkräften wie BOS – sprachbasierten Funktionen wie Push-to-Talk. Wichtig ist, dass diese Kanäle nicht nur beschafft, sondern im Notfallplan benannt, im Alltag genutzt und in Übungen mitgeprüft werden. Ein Kanal, den niemand kennt, ist im Ereignisfall kein Kanal.

Wie oft muss ein Notfallplan geübt und aktualisiert werden?

Ein Notfallplan sollte mindestens jährlich überprüft und geübt werden, zusätzlich immer dann, wenn sich Prozesse, IT-Systeme, Standorte, Dienstleister oder Verantwortlichkeiten wesentlich ändern. Kontaktdaten und Alarmierungslisten benötigen einen kürzeren Turnus – sie veralten schneller als jeder andere Teil des Dokuments und sind zugleich der Teil, der im Ereignisfall zuerst gebraucht wird.

Übungsformate lassen sich nach Aufwand staffeln: Der Plan-Review prüft Aktualität und Vollständigkeit am Schreibtisch, die Tabletop-Übung spielt ein Szenario im Gespräch durch, die Stabsübung testet Führung und Kommunikation unter Zeitdruck, technische Failover-Tests und Vollübungen prüfen die tatsächliche Umsetzbarkeit. Der Zweck einer Übung ist dabei nicht die Bestätigung, dass alles funktioniert, sondern das Auffinden von Lücken. Eine Übung ohne dokumentierte Erkenntnisse und ohne anschließende Planänderung war in aller Regel zu einfach angelegt.

Wer ist für den Notfallplan verantwortlich?

Die Gesamtverantwortung für den Notfallplan liegt bei der Leitung der Organisation und ist rechtlich nicht delegierbar. Operativ steuert eine Notfall- oder BCM-Beauftragte beziehungsweise ein Beauftragter die Erstellung, koordiniert Übungen und hält das Dokument aktuell. Die inhaltliche Substanz liefern die Prozessverantwortlichen in den Fachbereichen, denn nur sie kennen die tatsächlichen Abläufe, Abhängigkeiten und Ausweichmöglichkeiten.

Im Ereignisfall trennen sich die Rollen erneut: Der Krisenstab entscheidet, Notfallteams setzen die vorbereiteten Maßnahmen um. Diese Trennung ist zentral, weil Personen, die operativ mitarbeiten, gleichzeitig keine Lagebeurteilung leisten können. In kleineren Organisationen fallen Rollen zwangsläufig zusammen – umso wichtiger sind dann benannte Vertretungen, weil sonst der Ausfall einer einzigen Person den gesamten Plan blockiert.

Braucht auch ein kleines Unternehmen einen Notfallplan?

Ja – der Aufwand skaliert mit der Organisation, die Notwendigkeit nicht. Kleine Unternehmen und Einrichtungen sind von Ausfällen häufig sogar unmittelbarer betroffen, weil Funktionen auf wenige Personen und Systeme konzentriert sind und Ausweichkapazitäten fehlen. Fällt in einem Betrieb mit fünfzehn Beschäftigten die einzige Person aus, die den Zahlungsverkehr abwickelt, ist die Wirkung ähnlich gravierend wie ein Systemausfall im Konzern.

Ein schlanker Notfallplan mit einer priorisierten Liste kritischer Abläufe, benannten Verantwortlichen und Vertretungen, aktuellen Kontakt- und Alarmierungsdaten, den wichtigsten Sofortmaßnahmen und einer jährlichen Durchsprache ist deutlich wirksamer als ein umfassend geplantes System, das nie fertig wird. Für den Einstieg genügen wenige Seiten, sofern sie aktuell sind und alle Beteiligten wissen, wo sie liegen.

Welche Fehler treten bei Notfallplänen häufig auf?

Der häufigste Fehler ist der Notfallplan, der ausschließlich digital in dem System liegt, das im Ernstfall ausgefallen ist. Weitere typische Schwachstellen aus der Praxis:

veraltete Kontakt- und Alarmierungslisten sowie fehlende Vertretungsregelungen
unrealistisch kurze Wiederanlaufzeiten ohne hinterlegte Maßnahmen und Ressourcen
Verengung auf die IT, während Personal, Gebäude, Kommunikation und Dienstleister unbeachtet bleiben
zu umfangreiche Dokumente, in denen die Handlungsanweisungen zwischen Anlagen und Erläuterungen untergehen
Personennamen statt Rollenbezeichnungen, sodass der Plan bei jedem Personalwechsel veraltet
fehlende Einbindung kritischer Dienstleister und Lieferanten in die eigene Notfallplanung
Meldefristen gegenüber Behörden, Aufsicht und Versicherern nicht im Plan hinterlegt
Pläne, die geschrieben, aber nie geübt und nach Vorfällen nicht ausgewertet wurden

Zusammenfassung: Wichtige Punkte zu Notfallplänen

Ein Notfallplan legt vorab fest, wer bei einem Notfall was in welcher Reihenfolge tut, um Schäden zu begrenzen und zeitkritische Abläufe aufrechtzuerhalten oder wieder aufzunehmen.
Ein Notfallplan ist ein Handlungsdokument, kein Konzept: kurz, nummeriert, mit Rollen statt Personennamen und ohne Rückfragen nutzbar.
Zu den Pflichtinhalten zählen Geltungsbereich, Auslösekriterien, Alarmierung, Rollen, Sofortmaßnahmen, Wiederanlauf, Kommunikationswege, Ressourcen und Meldepflichten.
Übliche Plantypen sind Alarmierungsplan, Sofortmaßnahmenplan, Geschäftsfortführungsplan, Wiederanlauf- und Wiederherstellungsplan, IT-Notfallplan, Krisenhandbuch sowie Flucht- und Rettungsplan.
Grundlage jeder belastbaren Planung ist die Business Impact Analyse mit Zeitvorgaben wie RTO und RPO; jede Zeitvorgabe braucht eine hinterlegte Maßnahme.
Maßgebliche Regelwerke sind ISO 22301 und der BSI-Standard 200-4, ergänzt um ISO/IEC 27001, den IT-Grundschutz-Baustein DER.4 sowie DIN 14096 und DIN ISO 23601 für Brandschutz und Räumung.
Rechtliche Vorgaben ergeben sich unter anderem aus § 10 ArbSchG, der NIS-2-Richtlinie (EU) 2022/2555, dem BSI-Gesetz, der DORA-Verordnung (EU) 2022/2554 und der Störfall-Verordnung.
NIS-2-Meldefristen von 24 Stunden, 72 Stunden und einem Monat gehören in den Notfallplan, weil sie parallel zur technischen Bewältigung laufen.
Ein Notfallplan muss offline und unabhängig von den betroffenen Systemen verfügbar sein – der häufigste Fehler ist die alleinige Ablage im ausgefallenen System.
Mindestens jährlich üben und aktualisieren, Kontakt- und Alarmierungsdaten häufiger; Übungen dienen dem Auffinden von Lücken, nicht der Bestätigung.