IT-Dokumentation: was drinstehen muss und wem sie gehört

Dann kommt die Kündigung, und mit ihr die Fragen. Welche Server stehen wo, welche Lizenzen laufen wann aus, wer hat die Zugänge zum Router, zur Domain, zum Microsoft-Konto. Wer hat das Netz so aufgebaut, und was war der Gedanke dahinter.

Wenn der bisherige Dienstleister an dieser Stelle nicht mehr reagiert, bleibt dem Betrieb das, was schriftlich da ist. Was dann fehlt, steckte in fremden Köpfen.

Eine kurze Antwort darauf gibt es nicht. Genau deshalb hat kaum ein Betrieb seine Dokumentation zufällig vollständig.

Beim Bundesamt für Sicherheit in der Informationstechnik gibt es keinen Baustein, der „IT-Dokumentation“ heißt. Die Anforderungen stehen im IT-Grundschutz an sechs verschiedenen Stellen, und was zusammengehört, muss man sich zusammensuchen.

Dass überhaupt dokumentiert werden muss, steht ganz vorn. Das BSI zählt die Aufgaben des IT-Betriebs auf, und der erste Punkt darin lautet „die Verwaltung, inklusive Inventarisierung und Dokumentation“.

Die brauchbarste Aufzählung steht bei den Betriebshandbüchern. Neun Themen nennt das BSI dort als Mindestinhalt, in normalen Worten:

• wer für welches System zuständig ist und wie man ihn erreicht
• welche Geräte und Programme erlaubt sind
• wie die Systeme eingestellt sind
• wie die empfindlichen Systeme zusätzlich abgesichert sind
• wer welche Rechte hat
• was überwacht und mitgeschrieben wird und wer Alarm bekommt
• wie gesichert wird und was im Notfall passiert
• was bei einer Störung zu tun ist
• welche Vorgaben für regelmäßige und außerplanmäßige Arbeiten gelten

Für den Notfallteil davon haben wir eine Vorlage zum Ausfüllen. Dazu zwei Sätze, die im Alltag mehr wert sind als die Liste: Die Handbücher sollen „stets verfügbar sein“ und „regelmäßig und anlassbezogen geprüft und angepasst werden“.

Die Geräte. Erfasst werden sollen alle Geräte, die im Betrieb laufen, dazu Testgeräte und Ersatzgeräte. Und ausdrücklich: „Auch vorhandene, aber nicht mehr genutzte IT-Assets SOLLTEN erfasst werden.“

Der alte Server im Keller, der noch am Strom hängt, gehört also in die Liste.

Werkzeuge nehmen einem das Suchen ab. Docusnap ist eins davon. Der Hersteller beschreibt es als Inventarisierung für Windows, Linux, VMware und weitere Systeme und nennt einen Einstiegspreis ab 465 Euro im Jahr. Worauf sich der Preis bezieht, steht dort nicht dabei. Das ist eine Angabe des Herstellers und keine Empfehlung von uns. Ob sich ein Werkzeug lohnt, hängt daran, wie viele Geräte Sie haben und wer die Liste am Ende pflegt.

Wir selbst arbeiten mit mehreren Werkzeugen, ziehen uns Inventarisierungslisten aus den Systemen und pflegen die Dokumentation selbst. Docusnap ist eine Möglichkeit, das zu machen, aber nicht die einzige.

Das Netz. Hier wird das BSI hart: „Es MUSS eine vollständige Dokumentation des Netzes erstellt werden. Sie MUSS einen Netzplan beinhalten.“

Ein Netzplan ist laut Glossar „eine graphische Übersicht über die Komponenten eines Netzes und ihrer Verbindungen“. Also ein Bild, auf dem steht, was womit verbunden ist. Änderungen müssen nachgetragen werden. Für Router, Switch und Firewall verlangt das BSI außerdem eine eigene Betriebsdokumentation.

Die Konten. Es muss dokumentiert sein, „welche Benutzendenkennungen, angelegte Benutzendengruppen und Rechteprofile zugelassen und angelegt wurden“.

Diese Übersicht muss regelmäßig gegen die Wirklichkeit geprüft werden, sie muss vor fremdem Zugriff geschützt sein und sie soll in die Datensicherung mit hinein.

Die Änderungen. Fünf Angaben sollen laut BSI je Änderung dokumentiert sein: was geändert wurde, wann, wer es gemacht hat, aus welchem Anlass, und ob dabei von einer Vorgabe abgewichen wurde. Dasselbe soll für Wartungs- und Reparaturarbeiten gelten, die jemand von außen erledigt.

Zwei Sätze fordern zwei Dinge, und beide zählen: Auf die Dokumentation sollen nur Berechtigte zugreifen können, und sie soll „zu jeder Zeit verfügbar“ sein. Ein Ordner, an den im Notfall niemand herankommt, erfüllt davon die Hälfte.

Nein. Das BSI verlangt an keiner Stelle, Passwörter zu dokumentieren. Es verlangt das Gegenteil, nämlich dass sie „so sicher wie möglich gespeichert werden“.

Wissen müssen Sie etwas anderes: welche Zugänge mit weitreichenden Rechten es bei Ihnen gibt und wer sie kennt. Wenn ein Administrator aufhört, müssen persönliche administrative Konten gesperrt und die Passwörter aller administrativen Konten geändert werden, „die der Person bekannt sind“. Das lässt sich nur machen, wenn diese Konten irgendwo stehen.

Wie ein Team Passwörter gemeinsam verwahrt, ohne dass eine Liste im Umlauf ist, steht auf der Seite zum Passwortmanager im Team. Was beim Abgang eines Mitarbeiters sonst noch ansteht, haben wir als Liste der Zugänge zusammengestellt.

Ein zweiter Punkt daraus betrifft Ihren Dienstleister. „Administrative Tätigkeiten MÜSSEN nachweisbar sein“, schreibt das BSI. Und Sie müssen jederzeit nachweisen können, welche Person welche administrative Tätigkeit durchgeführt hat. Dafür soll jeder Administrator eine eigene Zugangskennung haben. Sammelkonten sind nur in begründeten Ausnahmefällen zulässig.

Ein Zugang, den sich mehrere Leute beim Dienstleister teilen, fällt damit durch. Hinterher lässt sich nicht mehr sagen, wer an Ihren Systemen was gemacht hat. Wie Admin-Zugänge in Microsoft 365 aufgebaut sein sollten, steht auf einer eigenen Seite.

Ihnen. Nicht weil wir das finden, sondern weil die Verantwortung bei Ihnen bleibt. Das BSI schreibt zur Auslagerung: „Allerdings verbleibt die Verantwortung aus Sicht der Informationssicherheit stets bei der auslagernden Institution.“

Wer die Verantwortung trägt, braucht das Wissen dazu. Deshalb ist die Rückgabe im IT-Grundschutz eine Basis-Anforderung, also ein Muss:

„Für geplante sowie ungeplante Beendigungen des Outsourcing-Verhältnisses MÜSSEN Regelungen getroffen werden. Es MUSS festgelegt werden, wie alle Informationen, Daten und Hardware der Nutzenden vom Anbietenden von Outsourcing zurückgegeben werden.“

Diese Regelung trifft man vorher, denn nach der Kündigung bleibt nur das Bitten.

Und es geht noch weiter. Die Abhängigkeit selbst gilt als Gefährdung. Mit ihr kann laut BSI Wissen verloren gehen, und: „Gleichzeitig nimmt das Wissen über diese Bereiche bei Nutzenden von Outsourcing ab.“

Dann folgt der Satz, den man als Inhaber einmal gelesen haben sollte:

„Diese Situation könnte von Anbietenden von Outsourcing ausgenutzt werden, z. B. indem sie drastisch die Preise erhöhen oder die Qualität der Dienstleistungen abnimmt.“

Das steht nicht bei einem Wettbewerber, das steht im IT-Grundschutz des BSI. Wer nicht weiß, was bei ihm läuft, kann eine Preiserhöhung nicht beurteilen.

Zuletzt hatten wir so einen Fall bei einem Betrieb mit vielen Standorten. Der alte Dienstleister hatte in seiner Leistung nachgelassen. Aufgefallen ist das dem Kunden über externe Sicherheitstests. Nachgebessert wurde nicht zeitnah. Auf die Lücken, auf die er hingewiesen worden war, wurde nicht wirklich reagiert. Sie wurden abgetan. Dann kam der Wechsel zu uns.

Der alte Dienstleister hat die Daten danach häppchenweise zur Verfügung gestellt, manche Sachen gar nicht. Die Gegenseite war beleidigt, nachdem sie gekündigt wurde, und es gab keine vernünftige Übergabe.

Die Verträge gehören übrigens dazu, nur an anderer Stelle. Das BSI führt sie in einem Auslagerungsregister zusammen mit Leistungskennzahlen und Änderungen. Wer die Verträge beisammen hat, hat auch die Laufzeiten und damit die Fristen, an denen ein Wechsel sonst hängen bleibt.

Zum Schluss einer Zusammenarbeit bleibt ein Punkt gern liegen. Das BSI will hier geprüft sehen, ob die Zugangs-, Zutritts- und Zugriffsrechte des alten Anbieters mit dem Ende wirklich aufgehoben wurden. Wie so ein Wechsel bei uns abläuft, steht auf einer eigenen Seite.

Drei der vier Punkte stehen so im IT-Grundschutz.

Eine Kopie der Dokumentation, bei Ihnen im Haus. Das verlangt das BSI nicht ausdrücklich, es folgt aus Ihrer Verantwortung. Geschützt muss sie sein, verfügbar aber auch.

Eine schriftliche Regelung für den Fall, dass die Zusammenarbeit endet. Was Sie bekommen, in welcher Form und wann.

Einen Netzplan, der zum heutigen Netz passt. Nicht den von der Erstinstallation vor sechs Jahren.

Nachvollziehbare Änderungen. Wer wann was gemacht hat, mit einer eigenen Kennung je Administrator statt eines gemeinsamen Zugangs.

Das BSI empfiehlt sogar, Handlungsalternativen für den Fall einer Beendigung zu entwickeln, und „dabei SOLLTEN auch alternative Anbietende von Outsourcing ermittelt werden“. Sich das anzusehen ist also kein Misstrauen, sondern gehört zu einem ordentlich geführten Betrieb.

Wir fangen mit einer Übersicht über Lizenzen und Installationen an, wenn möglich mit einem Übergabegespräch mit dem, der es vorher gemacht hat. Welche Systeme laufen, wie wird gesichert, welche Berechtigungen gibt es, und was war der Gedanke hinter dem Aufbau.

Kommt vom alten Dienstleister nichts, holen wir uns das aus den Systemen selbst. Das dauert länger und es kostet mehr. Bei einer Übernahme ist das bei uns der Normalfall.

Im laufenden Betrieb haben Sie Zugang zu unserer Zeiterfassung und sehen täglich, was wir getan haben.

Für uns selbst dokumentieren wir auf technischer Seite durchgehend. Das ist keine fertige Dokumentation, die Sie direkt bekommen, sondern unser Arbeitsmittel. Daraus können wir aber jederzeit eine Kundendokumentation erstellen. Die bezahlen Sie nach Aufwand.

Wenn ein Kunde bei uns kündigt, bekommt er von uns automatisch ein Übergabegespräch für den neuen Dienstleister angeboten, schriftlich und persönlich, bei uns oder bei ihm im Haus. Auf Wunsch bereiten wir dafür eine Kundendokumentation vor, das steht so in unserem Vertrag. Auch die rechnen wir nach Aufwand ab. Drin steht, welche Systeme es gibt, wie das Netz eingerichtet ist, welche Lizenzen laufen und alle weiteren Abhängigkeiten, ein Blick von oben auf das System. Die Zugänge kommen separat und verschlüsselt.

Wir streiten uns bei einem Wechsel nicht darüber, weil die Dokumentation ja in dem Zustand vorliegen muss, in dem sie gebraucht wird.

Wenn Sie nicht sagen können, was Sie über Ihre eigene IT in der Hand haben, ist das ein guter erster Punkt fürs Erstgespräch. Was Sie danach daraus machen, entscheiden Sie.