Das Betriebswissen stand nur in den Köpfen
Am Ende einer Bestandsaufnahme vor Kurzem stand eine einfache Frage: Wenn morgen jemand Neues anfängt und übermorgen fällt ein wichtiger Dienst aus, kommt diese Person zurecht?
Die ehrliche Antwort war Nein. Nicht, weil die Technik so kompliziert war. Sondern weil fast nichts davon aufgeschrieben war.
Was wir gesehen haben
Die Umgebung lief. Die Kollegen, die schon länger dabei waren, kannten sie gut. Sie wussten, welche VM wovon abhängt, welcher Dienst wo doppelt läuft und was man im Störfall umschalten muss. Einiges wusste nur noch der frühere Dienstleister.
Im Alltag fällt das nicht auf. Wer fragt, bekommt eine Antwort. Es fällt erst auf, wenn die Person mit der Antwort nicht da ist. Urlaub, Krankheit, Kündigung. Oder einfach drei Uhr nachts.
Bei Bestandsaufnahmen sehen wir das immer wieder, gerade in kleinen IT-Abteilungen. Je kleiner das Team, desto mehr hängt an Einzelnen. Und desto weniger Zeit bleibt, es aufzuschreiben.
Was der Grundschutz dazu sagt
Er ist deutlich. Der BSI-Baustein OPS.1.1.2 „Ordnungsgemäße IT-Administration“ verlangt schon in den Basis-Anforderungen: Für jede Administrationsaufgabe muss eine Vertretung benannt sein. Sie braucht die nötigen Berechtigungen und die nötigen Kenntnisse. Und die Regelung muss Mangel- und Notfallsituationen berücksichtigen.
Der Baustein ORP.2 „Personal“ sagt dasselbe aus Sicht der Vorgesetzten. Es muss sichergestellt sein, dass die Vertretung über das nötige Wissen verfügt. Wenn nicht, wird sie geschult, oder der Stand wird so dokumentiert, dass er reicht.
Eine Vertretung, die im Notfall nicht weiß, was zu tun ist, gibt es nur auf dem Papier.
Was wir vorschlagen
- Wissen schrittweise in die Dokumentation holen. Nicht als großes Projekt am Ende, sondern Bereich für Bereich, mit jeder Änderung. Wie das praktisch geht, steht in Die Dokumentation, die nie fertig wird . Wohin was gehört, in Drei Werkzeuge, drei Aufgaben .
- Für jede Administrationsaufgabe eine Vertretung benennen. Mit Namen, nicht mit „das Team“. Und sie einweisen: einmal gemeinsam durchgehen, einmal selbst machen lassen.
- Das Notfallhandbuch mit einer Übung prüfen. Jemand ohne Vorwissen bekommt das Handbuch und eine Aufgabe aus dem Störfall. Jede Rückfrage zeigt eine Lücke im Handbuch. Der Baustein DER.4 „Notfallmanagement“ verlangt genau das: regelmäßig durch Tests und Übungen prüfen, ob die Maßnahmen im Handbuch so funktionieren wie beschrieben.
Der unbequeme Teil
Die Übung ist unangenehm für die, die das Wissen haben. Sie zeigt, wie viel nur in ihrem Kopf steht. Das ist kein Vorwurf an sie. Sie haben die Umgebung am Laufen gehalten, oft ohne Zeit für mehr.
Aber genau deshalb gehört das Wissen dort heraus. Sonst hängt der Wiederanlauf an der Frage, wer gerade Urlaub hat.
Wie wir das bei uns selbst machen, mit Hudu als einziger Pflegestelle und Tickets, die daraus von selbst entstehen, steht in Eine Pflegestelle, und die Tickets kommen von selbst .