Dokumentation hat einen schlechten Ruf, weil sie meist zu umfangreich begonnen und dann nicht gepflegt wird. Nach zwei Jahren ist sie in Teilen falsch – und falsche Dokumentation ist gefährlicher als gar keine, weil man ihr folgt. Der Ausweg liegt nicht in mehr Aufwand, sondern in einem klaren Zuschnitt und einer Pflegeregel, die im Alltag funktioniert.
Dahinter steht eine unternehmerische Frage, keine technische. Wenn nur eine Person weiß, wie die Firewall konfiguriert ist oder in welcher Reihenfolge die Server nach einem Stromausfall starten müssen, hängt der Betrieb an deren Verfügbarkeit – an Urlaub, Krankheit, Kündigung. Das gilt für eigene Beschäftigte ebenso wie für einen externen Dienstleister. Dokumentation ist deshalb in erster Linie ein Mittel der Unternehmensführung: Sie sorgt dafür, dass Wissen über die eigene Infrastruktur dem Unternehmen gehört und nicht einzelnen Köpfen.
Die Frage, die den Umfang bestimmt
Eine gute Leitfrage lautet: Was bräuchte eine fachkundige, aber ortsfremde Person, um dieses System an einem Sonntagmorgen wieder zum Laufen zu bringen? Alles, was diese Frage beantwortet, gehört hinein. Alles, was sich jederzeit im System selbst nachsehen lässt, gehört nicht hinein – oder wird automatisch erzeugt, statt von Hand abgeschrieben zu werden.
- Übersicht: Welche Systeme gibt es, wofür sind sie da, wovon hängen sie ab?
- Netzplan mit Adressbereichen, Standorten und Verbindungen nach außen.
- Zugänge: wo Zugangsdaten hinterlegt sind und wer sie verwaltet – nicht die Daten selbst im Klartext.
- Wiederanlauf: Reihenfolge und Besonderheiten beim Start nach einem Ausfall.
- Verträge, Lizenzen und Ansprechpartner bei Anbietern, mit Kunden- und Vertragsnummern.
- Abweichungen vom Standard und ihre Begründung – gerade die kosten sonst Stunden bei der Fehlersuche.
Drei Ebenen statt eines dicken Handbuchs
Bewährt hat sich eine Trennung nach Lesern. Die oberste Ebene ist eine Übersicht von wenigen Seiten, die auch die Geschäftsleitung versteht: Systemlandschaft, Verantwortlichkeiten, Dienstleister. Die mittlere Ebene enthält je System die Betriebsinformationen – Zweck, Standort, Abhängigkeiten, Sicherung, Wiederanlauf, Besonderheiten. Die unterste Ebene bilden Anleitungen für wiederkehrende Tätigkeiten, etwa das Anlegen eines Benutzers oder den Austausch eines Zertifikats.
Diese Trennung hat einen praktischen Vorteil: Die Übersicht ändert sich selten, die Anleitungen häufig. Wer beides in ein Dokument schreibt, muss bei jeder Kleinigkeit das Ganze anfassen – und lässt es deshalb irgendwann bleiben. Als Ablage genügt ein strukturiertes Wiki oder eine Dokumentationssoftware. Entscheidend ist, dass ein aktueller Auszug der ersten beiden Ebenen auch ohne laufende IT greifbar ist, denn gebraucht wird er vor allem dann, wenn die Systeme stehen.
Ebenso wichtig ist, was draußen bleibt. Passwörter gehören in einen Passwortmanager mit geregeltem Notfallzugriff, nicht in ein Textdokument. Lange Serien von Bildschirmfotos veralten mit jedem Update der Oberfläche. Kopien von Herstellerhandbüchern blähen die Ablage auf, ohne etwas zu erklären – ein Verweis auf die Quelle genügt. Und Listen, die sich automatisch aus den Systemen erzeugen lassen, etwa Inventare von Geräten oder Benutzerkonten, sollten auch automatisch erzeugt werden. Von Hand gepflegt, weichen sie nach wenigen Monaten von der Wirklichkeit ab.
Wo Dokumentation ohnehin verlangt wird
Neben dem betrieblichen Nutzen gibt es Anforderungen von außen, die ohne eine gepflegte IT-Dokumentation kaum zu erfüllen sind. Es lohnt sich, sie zusammen zu denken, statt für jede Pflicht ein eigenes, unverbundenes Dokument zu führen.
- Steuerrecht: Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern in elektronischer Form (GoBD) verlangen für buchführungsrelevante IT-Systeme eine Verfahrensdokumentation. Arbeitsanweisungen und Organisationsunterlagen, die zum Verständnis der Buchführung erforderlich sind, unterliegen zudem einer zehnjährigen Aufbewahrungsfrist.
- Datenschutz: Das Verzeichnis der Verarbeitungstätigkeiten und die Beschreibung der technischen und organisatorischen Maßnahmen setzen voraus, dass bekannt ist, welche Systeme welche Daten verarbeiten.
- Informationssicherheit: Unternehmen im Anwendungsbereich des NIS2-Umsetzungsgesetzes müssen ihre Risikomanagementmaßnahmen nachweisen. Ohne Systemübersicht fehlt dafür die Grundlage.
- Versicherung: Cyberversicherer fragen in ihren Risikofragebögen nach Sicherungen, Zugängen und Notfallvorsorge. Wer antworten kann, ohne zu schätzen, vermeidet spätere Streitfragen.
Aktuell bleiben – und unabhängig
Damit die Unterlagen aktuell bleiben, hilft eine einfache Regel: Jede Änderung an einem System endet mit der Aktualisierung ihres Abschnitts. Das dauert Minuten, solange die Änderung frisch ist – und Stunden, wenn es nachträglich rekonstruiert werden muss. Jeder Abschnitt sollte einen Verantwortlichen und das Datum der letzten Prüfung tragen; so ist auf einen Blick zu sehen, wo Unterlagen veralten.
Einmal im Jahr lohnt eine Probe: Eine Person, die das System nicht betreut, versucht anhand der Dokumentation eine typische Aufgabe zu erledigen. Wo sie stockt, fehlt etwas. Für die Geschäftsleitung genügt eine einfachere Probe: Sie lässt sich zeigen, wo die Übersicht liegt, und fragt, wann die Unterlagen zum wichtigsten System zuletzt geprüft wurden. Wird die IT durch einen Dienstleister betreut, sollte vertraglich geregelt sein, dass die Dokumentation dem Unternehmen gehört, in welchem Format sie übergeben wird und dass der Zugriff jederzeit besteht – nicht erst am Ende der Zusammenarbeit.
Unsere Einordnung: Eine gute IT-Dokumentation ist weniger eine Frage des Werkzeugs als der Gewohnheit. Sie macht das Unternehmen unabhängig von Einzelpersonen, verkürzt Störungen und erleichtert jeden Wechsel – des Mitarbeiters wie des Dienstleisters. Wer sie als festen Bestandteil jeder Änderung behandelt, braucht nie ein großes Nachdokumentationsprojekt.
Verwandte Themen: Wer hier weiterdenkt, liest bei IT-Inventar, RTO und digitale Souveränität weiter.
Quellen
- DER.4 Notfallmanagement · BSIamtlich
- OPS.1.1.2 Ordnungsgemäße IT-Administration · BSIamtlich
