IT-Dokumentation für kleine Betriebe erstellen ============================================== Synclaro · Arbeitsblatt zur eigenen Bearbeitung https://synclaro.de/it-dokumentation/ DEIN ZIEL Deine erste IT-Dokumentation ist eine Liste aller Systeme, Geräte und Dienste mit Zweck, zuständiger Person, Vertrag und Abhängigkeiten, dazu ein IT-Notfallplan auf einer ausgedruckten Seite. Passwörter stehen nicht darin, nur der Ort, an dem ein Zugang verwahrt wird. Eine Person pflegt die Dokumentation und prüft sie zu festen Terminen. VORBEREITUNG [ ] Eine Person, die die IT-Dokumentation verantwortet, und eine Vertretung. [ ] Vorhandene Unterlagen als Quelle, zum Beispiel Rechnungen und Verträge für Software, Internet und Telefon sowie Belege für eure Geräte. [ ] Ein Passwortmanager oder ein anderer geschützter Ort für Zugangsdaten, getrennt von der Dokumentation. [ ] Eine Stunde mit der Person oder dem Dienstleister, der eure Technik heute betreut. DEIN STARTAUFTRAG FÜR DIE KI Erstelle aus diesen Unterlagen einen Entwurf für unsere IT-Dokumentation: [Rechnungen, Verträge, Abbuchungen und Notizen, ohne Passwörter, PINs und Zugangscodes]. Lege für jedes System, Gerät und jeden Dienst eine Zeile mit diesen Spalten an: Name, Zweck, wer es nutzt, wo es läuft, zuständige Person, Dienstleister und Kontakt, Vertragslaufzeit und Kündigungsfrist, wo der Zugang verwahrt ist, hängt ab von, wird gesichert. Fasse gleich ausgestattete Geräte in einer Zeile zusammen und nenne die Anzahl. Markiere Verträge, deren Kündigungsfrist in den drei Monaten nach [heutiges Datum] endet. Übernimm nur Angaben, die in den Unterlagen stehen, und nenne zu jeder Angabe die Quelle. Lass unbekannte Felder leer und markiere sie mit „offen“. Sammle Lücken und Widersprüche am Ende als Fragen an [zuständige Person]. Erfinde keine Systeme, Verträge oder Zuständigkeiten. Gib keine Passwörter wieder, auch wenn sie in den Unterlagen stehen. Ändere, kündige oder versende nichts. SCHRITTE 1. Erfassen, womit ihr arbeitet Schreib alles auf, was zur Technik des Betriebs gehört: Geräte wie Rechner, Handys, Drucker, Router und Server, Programme und Cloud-Dienste, Website und Domain sowie Internet und Telefon. Das BSI empfiehlt kleinen und mittleren Unternehmen, ihre IT zu inventarisieren und zu dokumentieren. Gleiche Geräte fasst du als Gruppe zusammen, etwa acht gleich ausgestattete Büro-Rechner. Die KI liest Rechnungen, Verträge und Abbuchungen aus, schlägt Einträge vor und findet so auch vergessene Abos. In solchen Unterlagen stehen oft Namen von Beschäftigten. Nutze deshalb ein vom Betrieb freigegebenes KI-Werkzeug mit Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Prüfpunkt: Jedes System, Gerät und jeder Dienst steht mit Zweck in der Liste, gleiche Geräte sind als Gruppe erfasst. Eigene Notiz: ______________________________ 2. Je System dieselben Angaben festhalten Lege eine Tabelle mit festen Spalten an: Name, Zweck, wer es nutzt, wo es läuft, zuständige Person im Betrieb, Dienstleister mit Kontakt, Vertragslaufzeit und Kündigungsfrist, wo der Zugang verwahrt ist, wovon es abhängt und ob es gesichert wird. Für den Anfang reicht eine Tabelle, eine eigene Software brauchst du dafür nicht. Was niemand weiß, bleibt als offen markiert, statt geschätzt zu werden. Leg die Tabelle so ab, dass nur berechtigte Personen sie öffnen können, denn sie zeigt auch, wie euer Betrieb aufgebaut ist. Prüfpunkt: Jede Zeile hat eine zuständige Person, und unbekannte Angaben sind sichtbar als offen markiert. Eigene Notiz: ______________________________ 3. Zugänge festhalten, ohne Passwörter In die Dokumentation gehört, welche Administratorkonten es gibt, wer sie nutzt und unter welchem Eintrag im Passwortmanager der Zugang liegt. Halte fest, ob eine Zwei-Faktor-Anmeldung aktiv ist und auf welchem Gerät der zweite Faktor liegt. Das Passwort selbst gehört weder in die Dokumentation noch in E-Mails oder in Unterlagen für die KI. Prüfe bei dieser Gelegenheit, ob die voreingestellten Passwörter von Router, Druckern und anderen Geräten geändert sind und ob Administratorkonten besonders geschützt sind, etwa mit einer Zwei-Faktor-Anmeldung. Beides empfiehlt das BSI. Lege außerdem fest, wie die Geschäftsführung im Notfall an den Passwortmanager kommt. Prüfpunkt: Für jedes Administratorkonto ist bekannt, wer Zugriff hat und wo der Zugang verwahrt ist. In der Dokumentation steht kein Passwort. Eigene Notiz: ______________________________ 4. Datenwege und Abhängigkeiten aufzeichnen Frag für jedes wichtige System: Woher bekommt es Daten, wohin gibt es sie weiter, und was fällt aus, wenn es ausfällt? Typische Ketten sind Zeiterfassung und Lohnabrechnung oder Domain, E-Mail und Website. Das BSI rät zusätzlich zu einem Netzplan, also einer Skizze, welche Geräte wie verbunden sind. Die KI macht aus deiner Tabelle einen ersten Entwurf für eine solche Übersicht. Ob er stimmt, prüft die Person, die eure Technik kennt. Prüfpunkt: Für die fünf wichtigsten Systeme weißt du, welche anderen Systeme und Abläufe stillstehen, wenn eines davon ausfällt. Eigene Notiz: ______________________________ 5. Einen IT-Notfallplan auf einer Seite schreiben Der IT-Notfallplan passt auf eine Seite. Darauf stehen die Ansprechpartner bei IT-Problemen mit Telefonnummer und Erreichbarkeit, die Hotlines eures IT-Dienstleisters, eures Internetanbieters und eurer wichtigsten Programme sowie die Reihenfolge, in der die Systeme wieder laufen müssen. Dazu kommt, wo die Datensicherung liegt und wer sie zurückspielen kann. Die wichtigste Regel für alle: melden und nur nach Absprache eingreifen. Das BSI bietet dafür eine IT-Notfallkarte zum Aushängen an, in die du eure Notfallnummer einträgst. Druck den Notfallplan aus, denn bei einem Ausfall ist die digitale Fassung vielleicht nicht erreichbar. Prüfpunkt: Der IT-Notfallplan liegt ausgedruckt vor, und die Vertretung findet darin ohne Hilfe die richtige Nummer. Eigene Notiz: ______________________________ 6. Mit KI aktuell halten Neue Geräte, Vertragswechsel und Personalwechsel machen jede IT-Dokumentation schnell alt. Lass die KI einmal im Monat neue Rechnungen, Verträge und Meldungen des Dienstleisters mit der Liste vergleichen. Sie schlägt neue Einträge, geänderte Laufzeiten und veraltete Zeilen vor, eine Person prüft und übernimmt sie. Verlässt jemand den Betrieb, zeigt die Liste, welche Zugänge entzogen werden müssen. Die KI selbst ändert keine Zugänge, kündigt keine Verträge und schaltet nichts ab. Gib jedem Eintrag einen Stand und plane eine feste Überprüfung, zum Beispiel jedes Quartal. Prüfpunkt: Jeder Eintrag hat einen Stand, und die nächste Überprüfung steht mit Termin und Person im Kalender. Eigene Notiz: ______________________________ PRÜFLISTE [ ] Alle Systeme, Geräte und Verträge stehen in einer Liste. [ ] Jedes System hat eine zuständige Person und einen Stand. [ ] In der Dokumentation steht kein Passwort. [ ] Der IT-Notfallplan liegt ausgedruckt vor. [ ] Die nächste Überprüfung hat einen Termin. NÄCHSTER SCHRITT Verantwortliche Rolle: ______________________ Erster Testfall: ___________________________ Offene Frage: ______________________________ Termin für die Prüfung: ____________________ Mit Begleitung weiterlernen: https://synclaro.de/ki-kickstart/ Ein Vorhaben besprechen: https://synclaro.de/kontakt/