Wenn der Ernstfall eintritt, ist es zu spät um gut zu planen

Notfallpläne gehören zu den Themen, die in den meisten Unternehmen auf der Liste stehen und trotzdem selten fertig werden. Man kennt das Risiko, man hat es schon einmal in einer Sitzung besprochen und dann ist wieder Tagesgeschäft dazwischengekommen. Das Muster wiederholt sich in vielen Organisationen, unabhängig von Größe und Branche, und es hat einen einfachen Grund. Ein Notfallplan zahlt sich erst aus, wenn der Notfall tatsächlich eintritt, und bis dahin fühlt sich die Zeit, die man in seine Erstellung investiert, wie eine Wette auf ein Ereignis an, das vielleicht nie kommt.

Zwei Szenarien tauchen in der Praxis besonders häufig auf und verdienen eine genauere Betrachtung. Das eine ist der plötzliche Ausfall der Geschäftsführung durch Krankheit, Unfall oder Tod. Das andere ist der Ausfall der IT-Infrastruktur durch einen technischen Defekt oder einen Cyberangriff. Beide Szenarien unterscheiden sich in ihrer Ursache erheblich, folgen aber dennoch einer ähnlichen Logik, zumindest wenn man sie aus rechtlicher und organisatorischer Sicht durchspielt.

Der Ausfall der Geschäftsführung

Ich war selbst einmal Teil einer solchen Notlösung, nachdem ein Geschäftsführer ausgefallen war und kein Notfallplan existierte. Am Ende entstand daraus ein Topsharing-Modell, bei dem sich zwei Personen die Geschäftsführung teilten und dieses Modell hat damals trotz aller Spontanität erstaunlich gut funktioniert. Was dabei dennoch deutlich wurde, war der Unterschied zwischen einer im Vorfeld geplanten Lösung und einer, die erst unter Druck zusammengebaut werden muss und die mit Sicherheit nicht immer so gut verlaufen kann.

Ein ungeplantes Topsharing ist wie eine Operation am offenen Herzen, während der Patient noch wach ist. Man kümmert sich gleichzeitig um die eigentliche Aufgabe, um die Klärung von Zuständigkeiten, die eigentlich längst hätte feststehen müssen, und um die eigene Legitimation gegenüber Gesellschaftern, Mitarbeitenden und Geschäftspartnern. Auch die neue Konstellation selbst muss erst von denjenigen akzeptiert werden, die künftig mit ihr arbeiten sollen. Ein von Anfang an geplantes Topsharing hat diese Reibung nicht, weil Rollen, Zuständigkeiten und Kommunikationswege bereits vor dem Ernstfall geklärt sind. Es wird nie so rund laufen wie eine Lösung, die man in Ruhe hätte planen können, egal wie viel Erfahrung und guter Wille auf allen Seiten vorhanden ist.

Eine GmbH mit nur einem Geschäftsführer steht bei dessen plötzlichem Ausfall vor einem handfesten Problem. Die Gesellschaft bleibt zwar rechtlich existent, verliert aber ihr einziges Vertretungsorgan. Verträge können nicht mehr unterschrieben werden, Zahlungen können nicht mehr freigegeben werden und auch Bankgeschäfte können ins Stocken geraten, wenn keine andere vertretungsberechtigte oder bevollmächtigte Person zur Verfügung steht.

Eine Gesellschafterversammlung kann zwar grundsätzlich schnell einen neuen Geschäftsführer bestellen, doch dieser Prozess braucht Zeit, gerade wenn Gesellschafter im Ausland sitzen oder sich uneinig sind oder im schlimmsten Fall die ausgefallene Person 100% der Anteile hält und keine Vollmachten ausgestellt hat. In besonders zugespitzten Fällen kann auf Antrag eines Gesellschafters oder auch eines Gläubigers das zuständige Amtsgericht einen Notgeschäftsführer bestellen, wenn die Gesellschafter trotz Aufforderung keinen neuen Geschäftsführer bestellen und der Gesellschaft dadurch ein nicht ersetzbarer Nachteil droht.

Genau an diesem Punkt zeigt sich der Wert einer vorbereiteten Vollmachtsregelung. Eine bereits im Vorfeld erteilte Vollmacht kann eine solche Übergangsphase überbrücken, sofern sie ausdrücklich für den Todesfall fortgeltend ausgestaltet ist, denn sonst erlischt eine Vollmacht in vielen Fällen mit dem Tod des Vollmachtgebers. Ihre konkrete Reichweite hängt außerdem davon ab, ob sie auch für die betreffenden Rechtsgeschäfte und gegenüber den jeweiligen Geschäftspartnern anerkannt wird.

Gerade bei Bankgeschäften akzeptieren viele Institute private Vollmachten nur, wenn sie bei der Bank selbst hinterlegt oder notariell beurkundet sind. Prokura kann die Handlungsfähigkeit im laufenden Geschäft erheblich erweitern, ersetzt aber nicht die organschaftliche Geschäftsführung. Grundlagengeschäfte wie Satzungsänderungen, Kapitalmaßnahmen oder die Bestellung von Geschäftsführern bleiben ausschließlich Sache der Gesellschafterversammlung und lassen sich schon begrifflich nicht auf den Prokuristen übertragen. Bei der GmbH setzt die Erteilung der Prokura zudem intern einen Gesellschafterbeschluss voraus. Fehlt dieser Beschluss, bleibt die Prokura nach außen zwar wirksam, der Geschäftsführer verletzt mit der eigenmächtigen Erteilung aber seine Pflichten im Innenverhältnis. Ergänzend sollte gesellschaftsvertraglich und organisatorisch geprüft werden, wie die Bestellung eines neuen Geschäftsführers im Ausfallfall möglichst schnell erfolgen kann.

Ein Notfallordner beziehungsweise ein gesichertes Notfallkonzept, das die wesentlichen Vollmachten, Informationen zu Bankverbindungen, laufenden Verträgen und wichtigen Fristen sowie die erforderlichen Zugriffswege enthält, klingt zunächst nach einer bürokratischen Fleißaufgabe. In der Praxis entscheidet genau dieser Ordner darüber, ob eine Gesellschaft binnen weniger Tage wieder handlungsfähig ist oder ob sich die Lähmung über Wochen hinzieht, während Löhne nicht ausgezahlt werden können und Lieferanten auf ausstehende Zahlungen warten.

Der Ausfall der IT

Die IT-Seite folgt einer eigenen Logik. Hier steht meist die technische und organisatorische Wiederherstellung im Vordergrund und weniger eine Frage der rechtlichen Vertretungsmacht. Ein Systemausfall oder ein erfolgreicher Cyberangriff trifft Unternehmen selten vorbereitet, weil die eigentliche Betriebsblindheit oft darin liegt, dass man sich auf die Verhinderung des Angriffs konzentriert und die Frage vernachlässigt, was passiert, wenn die Verhinderung scheitert. Ein Notfallplan für die IT beantwortet deshalb vor allem die Frage, wie das Unternehmen in den ersten Stunden nach der Entdeckung handelt und weniger, wie ein Angriff von vornherein verhindert wird.

Zunächst müssen die Zuständigkeiten geklärt sein. Wer trifft die Entscheidung, betroffene Systeme sofort vom Netz zu nehmen und wer hat außerhalb der üblichen Geschäftszeiten überhaupt die Befugnis dazu? Ebenso wichtig ist eine vorbereitete Kommunikationskette, die unabhängig von den eigentlich betroffenen Systemen funktioniert, etwa über private Mobiltelefone oder eine externe Kommunikationsplattform. Im Ernstfall kann die interne E-Mail-Kommunikation ebenfalls lahmgelegt sein.

Wer datenschutzrechtlich betroffene Systeme betreibt, muss zusätzlich prüfen, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und ob daraus eine Meldepflicht nach Artikel 33 DSGVO folgt. Eine zusätzliche Benachrichtigungspflicht nach Artikel 34 DSGVO besteht nur dann, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat. Die Schwelle liegt hier also höher als bei der Meldung nach Artikel 33.

Für eine meldepflichtige Verletzung gilt die Frist von 72 Stunden ab dem Zeitpunkt, zu dem der Verantwortliche mit hinreichender Sicherheit Kenntnis von der Verletzung hat. Diese Frist beginnt nicht erst mit der vollständigen technischen Aufklärung des Vorfalls, setzt aber auch mehr als bloße Verdachtsmomente voraus. Die Tatsachen müssen mit hinreichender Wahrscheinlichkeit feststehen. Sie läuft zudem kalendertäglich, also auch am Wochenende und an Feiertagen. Gerade deshalb muss frühzeitig geklärt sein, wer eine erste datenschutzrechtliche Bewertung vornimmt und gegebenenfalls die Meldung veranlasst.

Ein Wiederanlaufplan, der die kritischen Systeme priorisiert und realistische Zeitfenster für die Wiederherstellung benennt, gehört ebenso dazu wie eine regelmäßige, tatsächlich durchgeführte Datensicherung, deren Rücksicherung regelmäßig getestet wurde. Viele Unternehmen verfügen über Backups, deren Funktionsfähigkeit im Ernstfall noch nie überprüft wurde, und genau das rächt sich in dem Moment, in dem die Rücksicherung tatsächlich gebraucht wird.

Was beide Szenarien verbindet

Ein Notfallplan ist in beiden Fällen kein Dokument, das einmal geschrieben und dann in einer Schublade abgelegt wird. Zuständigkeiten ändern sich, Vollmachten laufen ab oder werden widerrufen, Systeme werden ausgetauscht und Ansprechpartner wechseln die Organisation. Ein Plan, der seit drei Jahren nicht mehr überprüft wurde, vermittelt eine Sicherheit, die im Ernstfall trügerisch ist, weil die darin genannten Personen möglicherweise gar nicht mehr im Unternehmen arbeiten oder die hinterlegten Vollmachten längst nicht mehr aktuell sind.

Ein Punkt wird dabei häufig übersehen, obwohl er beide Szenarien direkt miteinander verbindet. Ich habe selbst einmal Notfallpläne für ein Unternehmen erstellt. Erst bei einer Evaluierung zwei Jahre später stellte sich heraus, dass genau diese Pläne ausschließlich digital vorlagen, ohne eine einzige Analogvorlage. Im Ernstfall, für den sie gedacht waren, wären sie damit selbst nicht erreichbar gewesen, sofern der Ernstfall auch die digitalen Daten umfasst hätte. Wer seinen Notfallplan ernst meint, braucht deshalb eine analoge oder zumindest systemunabhängige Fassung der wichtigsten Vollmachten und Kontaktwege, an einem Ort, der von der eigenen IT-Infrastruktur unabhängig ist.

Ähnliches gilt für weitere Betriebsunterbrechungen, so unterschiedlich ihre Ursache jeweils ist. Fällt eine zentrale Maschine dauerhaft aus, entscheidet meist, ob ein Wartungsvertrag mit garantierten Reaktionszeiten existiert und ob es bereits im Vorfeld eine zweite Bezugsquelle für Ersatzteile oder eine abgesprochene Ausweichkapazität bei einem Lohnfertiger gibt.

Brennt ein Lager vollständig ab, hängt vieles davon ab, ob der Bestand überhaupt so dokumentiert war, dass er nicht nur physisch im Lager selbst existierte und mit ihm verloren ging. Eine gezielte Falschbehauptungskampagne gegen das Unternehmen verlangt vor allem eine autorisierte Stelle, die schnell reagieren darf, ohne erst tagelang durch interne Freigabeschleifen gehen zu müssen, und einen vorbereiteten Kontakt zu einem Medienanwalt für eine zügige Unterlassungsverfügung. Ein Hackerangriff mit Erpressungsabsicht schließlich stellt dieselben Fragen wie ein gewöhnlicher IT-Ausfall, verlangt aber zusätzlich eine vorab getroffene Entscheidung darüber, ob und wie mit einer Lösegeldforderung überhaupt kommuniziert wird und wer diese Entscheidung im Ernstfall treffen darf.

Genauso wichtig wie die schriftliche Fixierung ist eine gewisse Übung im Umgang mit dem Plan. Eine Organisation, die einmal jährlich in einer überschaubaren Simulation durchspielt, wie eine Vertretungsregelung im Ernstfall greifen würde oder wie schnell ein Wiederanlauf nach einem simulierten Systemausfall tatsächlich gelingt, entdeckt dabei zuverlässig Lücken, die auf dem Papier nicht sichtbar waren.

Diese Übung kostet Zeit, die sich im Tagesgeschäft schwer rechtfertigen lässt, solange kein Ernstfall eingetreten ist. Sie ist trotzdem die einzige verlässliche Methode, um aus einem theoretischen Plan ein Instrument zu machen, das im entscheidenden Moment tatsächlich trägt.

 Notfallpläne unterscheiden sich von den meisten anderen Compliance-Themen dadurch, dass ihr Nutzen sich erst dann zeigt, wenn er dringend gebraucht wird und genau das macht sie so anfällig dafür, in der Prioritätenliste immer wieder nach hinten zu rutschen. Wer diese Logik einmal durchschaut hat, kann bewusst gegensteuern und die Erstellung eines Notfallplans als das behandeln, was sie tatsächlich ist, weit mehr als eine lästige Pflichtübung, nämlich eine der wenigen Investitionen, die im schlimmsten Fall über die Handlungsfähigkeit der gesamten Organisation entscheidet.