Die Zusammenarbeit mit uns

Allgemeine Definition eines Notfalls

An dieser Stelle ist ein Blick in den BSI-Standard 100-4 sinnvoll. Der ca. 120 Seiten umfassende Standard 100-4 Notfallmanagement wurde vom Bundesamt für Sicherheit in der Informationstechnik Ende 2008 veröffentlicht und beschreibt eine Methode zum Aufbau eines eigenständigen Managementsystems für die Notfallvorsorge und die Notfallbewältigung. Das BSI ordnet den Standard 100-4 formal der Standardreihe zur Informationssicherheit und dem IT-Grundschutz zu.

Auf Seite 5 heißt es hier: »Ein Notfall ist ein Schadensereignis, bei dem Prozesse oder Ressourcen einer Institution nicht wie vorgesehen funktionieren. Die Verfügbarkeit der entsprechenden Prozesse oder Ressourcen kann innerhalb einer geforderten Zeit nicht wiederhergestellt werden. Der Geschäftsbetrieb ist stark beeinträchtigt. Eventuell vorhandene SLAs (Service Level Agreements) können nicht eingehalten werden. Es entstehen hohe bis sehr hohe Schäden, die sich signifikant und in nicht akzeptablem Rahmen auf das Gesamtjahresergebnis eines Unternehmens oder die Aufgabenerfüllung einer Behörde auswirken. Notfälle können nicht mehr im allgemeinen Tagesgeschäft abgewickelt werden, sondern erfordern eine gesonderte Notfallbewältigungsorganisation«.

Vor allem zwei Punkte sind hier wesentlich:

• Im Mittelpunkt stehen das Unternehmen und dessen Geschäftsprozesse.

• Ein Notfall ist definiert durch eine erhebliche Schadenshöhe mit Auswirkungen auf das Gesamtunter­nehmen und das Erfordernis einer gesonderten Organisation zur Bewältigung des Notfalls.

Betrachten wir die Definition allerdings genauer, wird deutlich, dass es sich hierbei eher um einen „Lückentext“, als um eine umsetzbare Definition handelt. Denn was sich hinter den Begriffen „nicht wie vorgesehen funktionieren“, „innerhalb der geforderten Zeit“, „stark beeinträchtigt“, „hohe bis sehr hohe Schäden“ und ein „nicht akzeptabler Rahmen“ verbirgt ist unternehmensspezifisch und muss aus Sicht der jeweiligen Geschäftsprozesse definiert werden.

Demzufolge kann auch der im Beispiel beschriebene Vorfall, nicht pauschal als Notfall eingestuft werden. Zwar gab es einen Totalausfall des Systems und ein Wechsel auf ein identisches Backup-System war notwendig, der dann länger gedauert hat, als erwartet. Einen Notfall würde dies aber nur begründen, wenn beispielweise aufgrund von Imageschäden oder Strafzahlungen aufgrund von SLA-Verletzungen, die vom Unternehmen definierten Schwellenwerte für hohe oder sehr hohe Schäden überschritten werden würden. Der Totalausfall allein rechtfertigt hingegen nicht die Einstufung als Notfall.

Häufig vernachlässigt: Die Business Impact Analyse – BIA

Das Instrument zur Ermittlung der notwendigen Kenngrößen ist die Business Impact Analyse (BIA). Aufgabe der Business Impact Analyse ist es, zu untersuchen, wie gravierend sich Ausfälle von Prozessen und Ressourcen auswirken können. Das Ergebnis gibt Aufschluss darüber, welche Prozesse und Ressourcen besonders abzusichern sind, damit Unternehmen auch in Notfällen ihre wichtigsten Ziele und Aufgaben erfüllen kann.  Diese Einordnung bildet die Grundlage für die Risikoanalyse und die Entwicklung von Notfallvorsorgemaßnahmen.

Nur auf Basis der Ergebnisse einer BIA ist es letztendlich möglich die tolerierbaren Ausfallzeiten einzelner Prozesse und der sie unterstützenden IT-Komponenten zu definieren. Für die IT-Organisation spielen dabei die folgenden Parameter eine wichtige Rolle:

• Maximal tolerierbare Ausfallzeit (MTA): Dieser Wert gibt an, wann ein System/Anwendung wie lange ein System/Anwendung maximal ausfallen darf.

• Recovery time Objective (RTO): Maximale Zeit vom Zeitpunkt des Schadens bis zur vollständigen Wiederherstellung des Geschäftsprozesses.

• Recovery Point Objective (RPO): Maximal tolerierbarer Datenverlust- hieraus resultiert welcher Zeitraum maximal zwischen zwei Datensicherungen liegen darf.

• Maximal tolerierbare Wiederanlaufzeit (WAZ): Dieser Wert gibt an, wie lange es dauern darf, bis ein System im Notbetrieb zur Verfügung stehen muss.

Ohne individuell abgestimmtes Notfallhandbuch

Beispiele “für einen Notfall”

Ausfall eines zentralen IT-Systems: Wenn ein zentrales und unternehmenskritisches IT-System (z.B. ERP-System) im vollem Umfang nicht mehr nutzbar ist.

Ausfall einer zentralen IT-Infrastruktur: Wenn die Netzwerk-Infrastruktur durch den Ausfall von Kompontenten (z.B. zentralen Core-Switch) von über 50% nicht mehr benutzbar ist.

Ausfall einer Verbindung nach extern: Wenn ein Standort nicht mehr mit dem Internet verbunden ist und dadurch die Arbeit am IT-System zu 100% nicht mehr möglich ist. Zum Beispiel bei Einsatz einer Terminal-Lösung.

Beispiele, was “kein Notfall” ist

Teilweiser Ausfall von IT-Systemen: ein Drucker geht nicht, ein Computer geht nicht, einzelne Programme an einzelnen Arbeitsplätzen funktionieren nicht.

Teilweiser Ausfall einer IT-Infrastruktur: Ein Switch in einem Unterverteiler funktioniert nicht. Ein Access Point funktioniert nicht. Ein Computer kann sich nicht mit dem Netzwerk verbinden.

Meldung eines Notfalls

Ein Notfall muss mindestens durch Anruf auf der Hotline +49 9573 25320 40 klar und unmissverständlich mitgeteilt werden.
Es reicht nicht, nur eine E-Mail an support [at] acomm.de oder an einen der Mitarbeiter von ACOMM zu senden. Diese E-Mails können teilweise nicht innerhalb der vereinbarten Reaktionszeiten bearbeitet werden und sind für den Standard-Prozess von 48 Stunden ausgelegt.

unsere Geschäftszeiten sind werktags von 08:00 Uhr bis 12:00 Uhr und von 13.00 Uhr bis 17.00 Uhr. In dieser Zeit sind wir für Sie telefonisch oder schriftlich (z.B. per E-Mail) erreichbar.

Individuelle Verfügbarkeiten außerhalb unserer Geschäftszeiten müssen mit uns vertraglich vereinbart werden.

Gesetzliche Feiertage in Bayern (am Standort Bad Staffelstein) sind:

• 1. Januar – Neujahr
• 6. Januar – Heilige Drei Könige (Epiphanias)
• Karfreitag
• Ostermontag
• 1. Mai – Tag der Arbeit
• Christi Himmelfahrt
• Pfingstmontag
• Fronleichnam
• 3. Oktober – Tag der Deutschen Einheit
• 1. November – Allerheiligen
• 25. Dezember – Erster Weihnachtstag
• 26. Dezember – Zweiter Weihnachtstag

Stand: 09.2021

Wir sind uns der zunehmenden Wichtigkeit von IT-Systemen bei unseren Kunden bewusst und versuchen immer so schnell als möglich zu helfen. Wir bieten Ihnen als Standard-Service eine Reaktion innerhalb von 48 Stunden, während unserer Geschäftszeiten an. Wenn dies nicht ausreichend sein sollte, können mit uns Wartungsvereinbarungen inkl. einer verkürzten Reaktionszeit (von bis zu 1 Stunde während unserer Arbeitszeit) abgeschlossen werden.

Was ist eine Reaktionszeit?
Die Reaktionszeit definiert nicht den Zeitraum für eine Behebung eines gemeldeten Problems. Leider ist eine Behebung in der IT-Branche nicht definierbar, da das Problem innerhalb von Minuten oder im schlechtesten Fall erst nach Tagen/Wochen behoben werden kann. Reaktionszeiten bedeuteten somit immer, bis wann sich ein Mitarbeiter aus der Technik mit dem Thema beschäftigen und an einer Lösung arbeiten wird. Somit ist bei einem Vor-Ort-Einsatz schon der Beginn der Fahrt zu Ihnen, der Start der Behebung.

Erklärung zu Leistung und/oder Tätigkeit:

Wir kontrollieren hier mit einem Techniker die Datensicherung in unserer Datensicherungs-Überwachungssoftware und teilweise auf dem Kundensystem. Dieses Vorgehen hat den Vorteil, dass wir Fehler auch dann entdecken, wenn die Datensicherungs-Software nicht mehr funktioniert und auch keine Fehlermeldungen mehr sendet.

Erklärung zu Leistung und/oder Tätigkeit:

Wir erstellen für den Kunden ein Protokoll über den erfolgten Datenrücksicherungstest. Dazu nehmen wir eine aktuelle Datensicherung (z.B. aus dem Rechenzentrum) und versuchen die Datensicherung wiederherzustellen. Die Zeit, den Aufwand und die Arbeitsschritte dazu dokumentieren wir in einem Protokoll, um eine Anleitung für den Notfall zur Verfügung zu haben.

Wichtiger Hinweis: Durch einen Rücksicherungstest kann nicht die komplette Funktionalität der Rücksicherung einer virtuellen Maschine und die Funktion von Diensten und Datenbanken sichergestellt werden. Es wird lediglich geprüft, ob eine grundsätzliche Rücksicherung ohne schwerwiegende Fehler (z.B. Bluescreen beim Start) möglich ist.

Erklärung zu Leistung und/oder Tätigkeit:

Die Sensoren [WV-LN-003] liefern uns einige Informationen zum Zustand Ihres IT-Systems. Diese Informationen können jährlich für Sie in einem Bericht dargestellt werden. Je nach gebuchtem Leistungsumfang senden wir Ihnen diesen Bericht zu.

Erklärung zu Leistung und/oder Tätigkeit:

Die IT-Dokumentation ist eines der wichtigsten Dokumente für ein Unternehmen. Wir halten Ihre IT-Dokumentation immer auf einen aktuellen Stand und händigen Ihnen diese je nach gebuchter Leistung aus. Darin enthalten sind alle von uns erfassten Geräte, Software und alle wichtigen Passwörter.

Folgende Inhalte könnten wir größtenteils in Textform aushändigen:
(einzelne Punkte können ggfs. nicht enthalten sein, wenn keine Inhalte von uns gepflegt wurden)
Deckblatt
Beziehungen (zu weiteren wichtigen Lieferanten wie Software-Herstellern usw.)
Checklisten (z.B. für Installation von Software)
Dokumente (z.B. kurze Dokumentationen zu verschiedensten Themen)
Domains (z.B. welche Domains der Kunde besitzt)
Wichtige Firmeninformationen
IP-Adressbereiche
Komponenten
Ansprechpartner/Mitarbeiter
PC (z.B. die Liste der gepflegten Computers)
Peripherie (z.B. die Liste der gepflegten Endgeräte/Peripherie)
E-Mail-Postfächer
Server (z.B. die Liste der gepflegten Server)
Lizenzen
Wartungsverträge

Erklärung zu Leistung und/oder Tätigkeit:

Jährlich vereinbaren wir ein Strategie-Meeting bei Ihnen vor Ort oder bei uns in Bad Staffelstein, bei dem wir über die möglichen Weiterentwicklungen Ihres IT-Systems sprechen. Hierbei wird auch eine Rückbetrachtung des vergangen Jahres durchgeführt und bei Bedarf auf Rückfragen eingegangen.
Wir planen dieses Meeting mit einer Dauer von bis zu 2 Stunden.

Erklärung zu Leistung und/oder Tätigkeit:

Die Sensoren [WV-LN-003] liefern uns einige Informationen zum Zustand des IT-Systems. Diese Informationen können wir monatlich für Sie in einem Bericht darstellen.

Erklärung zu Leistung und/oder Tätigkeit:

Wir können Ihnen einen sicheren Ort für die Aufbewahrung Ihrer Datensicherung im Rechenzentrum bieten. Dort halten wir einen Speicherplatz für die Datensicherungs-Daten für Sie bereit. Die Bereitstellung des Speicherplatzes bedeutet noch nicht die Einrichtung der Datensicherung und garantiert nicht automatisch die Funktionsfähigkeit der Datensicherung. Dies muss gesondert (z.B. mit [WV-LN-001] oder [WV-LN-002]) sichergestellt werden.

z.B. buchbarer Wert ist 2 TB (TerraByte) und bedeutet der nutzbare Speicherplatz beträgt bis zu 2 Terrabyte

Erklärung zu Leistung und/oder Tätigkeit:

Wir bieten Ihnen einen sicheren Ort für die rechtssicherer Archivierung Ihrer E-Mails bei uns im Rechenzentrum. Dazu nutzten wir die Lösung von Mailstore, die herstellerseitig die Rechtssicherheit garantiert. Damit können Sie beweisen, wie eine externe Mail bei Ihnen angekommen ist oder wie sie die E-Mail verschickt haben. Sie erhalten ein Outlook-Addin, mit dem Sie im Archiv recherchieren können.

Pro Postfach wird ein Stück von unserem Produkt (“E-Mail Archiv”) benötigt. Oder pro von außen erreichbare E-Mail-Adresse wird ein Produkt (“E-Mail Archiv”) benötigt.
Die Maximale Kapazität der einzelnen E-Mail Archive beträgt 25GB. Der Mehraufwand wird Ihnen gesondert in Rechnung gestellt

Erklärung zu Leistung und/oder Tätigkeit:

Wir können Ihnen die Möglichkeit bieten, die Lösung von CI-Sign als Miet-Variante zu buchen.