Ein Kanal für den Tag, an dem die IT ausfällt

Fällt die IT eines Instituts aus, etwa nach einem Angriff mit einem Verschlüsselungstrojaner, sind E-Mail, interner Chat und interne Server nicht mehr nutzbar. Genau dann brauchen die Mitarbeitenden Lageinformationen und Anweisungen.

Die Vorgaben des Instituts: nur für Mitarbeitende, ein fortlaufender Chat, Hosting und Adresse außerhalb der eigenen Infrastruktur sowie ein eigener Zugang, über den der Krisenstab moderiert. Eine Standard-Chatsoftware passte nicht zu diesen Vorgaben, und unsere Recherche fand keine passende Open-Source-Lösung.

Das Institut wollte einen Kanal, der im Ernstfall funktioniert, ohne auf die eigenen Systeme angewiesen zu sein. Alle Mitarbeitenden sollen ihn ohne Hürden erreichen. Gleichzeitig soll klar erkennbar sein, welche Mitteilungen vom Krisenstab kommen und damit verbindlich sind.

1. Ohne Installation erreichbar. Mitarbeitende rufen die Adresse von der ausgedruckten Notfallkarte auf oder scannen deren QR-Code. Die Web-App läuft in jedem aktuellen Browser und lässt sich auf dem Smartphone wie eine installierte App auf den Home-Bildschirm legen.

2. Ein fortlaufender Chat. Alle schreiben in einen gemeinsamen Verlauf, neue Nachrichten erscheinen automatisch. Eigene Nachrichten lassen sich auf dem Gerät bearbeiten oder löschen, auf dem sie geschrieben wurden.

3. Moderation durch den Krisenstab. Über einen eigenen Zugang kennzeichnet der Krisenstab Mitteilungen als offiziell, heftet sie an oder löscht sie.

4. Offizielles ist signiert. Offizielle Mitteilungen sind digital signiert. Jedes Gerät prüft die Signatur, und nur geprüfte Mitteilungen erhalten das Siegel „Offiziell · geprüft“.

5. Wichtiges bleibt sichtbar. Es gibt einen Bereich „Angepinnt“, einen Filter „Nur offizielle“ und einen Hinweis, wann das nächste offizielle Update kommt. Bei Abfragen wie „Ich bin erreichbar“ sieht der Krisenstab nur die Anzahl der Rückmeldungen, nicht, wer geantwortet hat.

6. Werkzeuge für den Ernstfall. Vorlagen für Lagemeldungen, ein Übungsmodus, Export und Druck sowie ein Protokoll der Krisenstab-Aktionen. Ohne Verbindung bleibt auf bereits angemeldeten Geräten der zuletzt geladene Stand lesbar, mit Uhrzeit.

• Server in Deutschland, getrennt vom Institut. Fällt die IT des Instituts aus, bleibt der Kanal erreichbar.
• Ende-zu-Ende-Verschlüsselung im Browser. Server und Datenbank enthalten nur verschlüsselte Inhalte, auch die Namen der Schreibenden.
• Bewusst schlank gebaut. Eigenentwicklung ohne Fremdbibliotheken und ohne externe Skripte, also wenig Angriffsfläche. Auf Barrierefreiheit wurde geachtet, eine formale Prüfung gab es nicht.
• Datensparsam. So wenig personenbezogene Daten wie möglich, keine Tracker, keine Werbung. Die Anwendung speichert keine IP-Adressen. Nachrichten löscht der Server automatisch nach einer Frist, die der Krisenstab einstellt, und die Sicherung enthält keine Nachrichten.
• Sicherheit intern geprüft. Mehrere interne Sicherheitsprüfungen während der Entwicklung, bestätigte Befunde sind behoben.
• Getestet und überwacht. Automatisierte Ablauftests im Browser bei Änderungen. Vor dem Livegang liefen ein Lasttest und ein Test der Wiederherstellung aus der Sicherung, Erreichbarkeit und Zertifikat werden extern überwacht.

Mehr zum Thema: Custom Web Apps & Company Apps · KI für Forschung & Wissenschaft · Glossar: AVV

Der Kanal ist seit November 2026 in Betrieb, bisher ohne Übung und ohne Ernstfall. Die Einführung bei den Mitarbeitenden steht noch aus. Heute lässt sich sagen:

• Es gibt einen Kommunikationsweg, der unabhängig von der Infrastruktur des Instituts erreichbar ist.
• Vor dem Livegang gab es eine Abnahme, einen Lasttest ohne Fehler und eine getestete Wiederherstellung aus der Sicherung.
• Offizielle Mitteilungen sind signiert und auf jedem Gerät als geprüft erkennbar.
• Von der ersten Version bis zum Betrieb vergingen wenige Wochen.

Messwerte aus dem Einsatz gibt es noch nicht. Die erste Übung mit allen Mitarbeitenden steht noch aus.

• Einfach ist ein Feature. Im Ernstfall zählt, dass alle schnell hineinkommen: ohne Installation, direkt im Browser.
• Unabhängigkeit ist Architektur. Ein Notfallkanal auf der Infrastruktur, die ausfällt, ist keiner.
• Vertrauen braucht Prüfbarkeit. Offizielle Mitteilungen sind signiert, damit jedes Gerät selbst erkennt, was vom Krisenstab kommt.
• Üben, bevor es ernst wird. Ein Kanal, den niemand kennt, hilft nicht. Deshalb folgen Notfallkarte und erste Übung mit allen Mitarbeitenden.