Ein Verschlüsselungsvorfall in der Verwaltung ist längst kein Ausnahmefall mehr. In der Berichterstattung geht es danach meist um Fachverfahren, Bürgerportale und E-Mail. Die Frage, die in den ersten Stunden tatsächlich zählt, lautet aber anders: Nimmt im Rathaus noch jemand den Hörer ab? Fällt die Erreichbarkeit aus, bricht der Kontakt zu Bürgerinnen und Bürgern, zu Aufsichtsbehörden, zu Rettungsdiensten und zur eigenen Belegschaft gleichzeitig ab. Genau dieser Punkt fehlt in vielen Notfallplänen, weil die Telefonie stillschweigend als „läuft ohnehin immer“ mitgedacht wird.

Ich beschreibe Ihnen hier, warum moderne Telefonie bei IT-Störungen mit ausfällt, welche Rückfallebenen tragfähig sind, wie Sie den Notbetrieb planen und was davon in eine Ausschreibung gehört.

Warum fällt das Telefon aus, wenn die IT ausfällt?

Weil Sprache heute über dasselbe Netz läuft wie alles andere. Die Trennung zwischen Telefonanlage und IT, die in vielen Köpfen noch existiert, gibt es technisch seit Jahren nicht mehr. Sprache ist ein Dienst auf dem Datennetz und teilt sich mit den Fachverfahren die Verteiler, die Verkabelung, die Firewall und den Anschluss nach außen. Wird ein Netzsegment abgeschaltet, ist die Telefonie mit abgeschaltet.

Dazu kommen zwei Punkte, die häufig unterschätzt werden. Erstens ist die Anlage selbst ein Server, entweder als virtuelle Maschine auf demselben Wirtssystem wie die Fachverfahren, als Gerät im selben Serverraum oder als Dienst eines Anbieters, den Sie nur über die eigene Internetleitung erreichen. Zweitens beziehen die Endgeräte ihren Strom über das Netzwerkkabel. Ohne aktiven Verteiler bleibt der Apparat dunkel, auch wenn die Anlage im Serverraum noch läuft. Die technischen Grundlagen dazu habe ich unter VoIP-Anlagen zusammengestellt.

Was passiert bei einem Verschlüsselungsvorfall konkret?

Die Telefonie fällt in aller Regel nicht deshalb aus, weil sie selbst verschlüsselt wurde, sondern weil das Netz zur Eindämmung abgeschaltet wird. Diese Entscheidung ist fachlich richtig, trifft die Erreichbarkeit aber sofort und vollständig.

Im Einzelnen erleben Sie dann Folgendes: Die Anlage ist über das Netz nicht mehr erreichbar, die Endgeräte melden sich nicht mehr an und zeigen nur noch eine Fehlermeldung. Der Verzeichnisdienst steht nicht zur Verfügung, damit fehlen Anmeldung, Namensauflösung, Telefonbuch und Kurzwahlen. Selbst wenn einzelne Verbindungen noch zustande kommen, weiß niemand mehr, welche Nummer zu welcher Stelle gehört. Voicemail und Sprachnachrichten liegen auf demselben System und sind mit ihm weg, oft zusammen mit der Weiterleitung in das E-Mail-Postfach. Der Vermittlungsplatz schließlich ist eine Anwendung auf einem Arbeitsplatzrechner, und wenn dieser gesperrt ist, gibt es keine Vermittlung mehr.

Für die Wiederherstellung gilt eine Reihenfolge, die selten vorbereitet ist. Die Anlage darf erst zurück ans Netz, wenn sie als unbedenklich gilt. Sie ist ein Server mit Betriebssystem und gehört damit in die forensische Prüfung und in die Wiederanlaufplanung, und zwar mit hoher Priorität. Wer die Telefonie in der Wiederanlaufreihenfolge nicht ausdrücklich benennt, findet sie dort erfahrungsgemäß weit hinten.

Was passiert bei einem Stromausfall?

Zuerst gehen die Apparate auf den Etagen aus, lange bevor der Serverraum ein Problem bekommt. Die unterbrechungsfreie Stromversorgung im Serverraum ist in aller Regel nach einem einzigen Ziel ausgelegt, nämlich Server geordnet herunterzufahren. Das ist eine Frage von Minuten, nicht von Stunden, und es ist keine Auslegung für den Weiterbetrieb der Telefonie.

Die Netzwerkverteiler in den Fluren und Nebengebäuden haben dagegen meist überhaupt keine Pufferung. Sie versorgen die Telefone über das Datenkabel mit Strom, und mit dem Verteiler fällt jeder daran angeschlossene Apparat aus. Hinzu kommt die Alterung: Batterien verlieren über die Jahre an Kapazität, und eine Anlage, die bei der Abnahme eine bestimmte Überbrückungszeit erreicht hat, erreicht sie nach mehreren Jahren ohne Prüfung nicht mehr.

Zwei weitere Punkte gehören zur ehrlichen Einordnung. Auch die Technik des Anbieters im Zugangsnetz braucht Strom, ebenso die Mobilfunkstandorte, deren Batteriepufferung begrenzt ist. Bei einem großflächigen und länger andauernden Ausfall ist der Mobilfunk deshalb kein verlässlicher Ersatz, sondern eine Überbrückung für die ersten Stunden. Und der „analoge Notanschluss“, der in vielen Plänen noch steht, existiert in dieser Form nicht mehr. Alle Anschlüsse sind heute IP-basiert, der analoge Anschlusspunkt sitzt am Endgerät des Anbieters, und dieses Endgerät braucht ebenfalls Strom.

Welche Rückfallebenen gibt es?

Es gibt nicht die eine Lösung, sondern Stufen, die Sie vorher festlegen, beschaffen und üben müssen. Sinnvoll ist eine Abstufung, die mit dem geringsten Aufwand beginnt und erst am Ende zur teuersten Technik greift.

  • Getrennte Sprachanschlüsse für wenige Apparate. Ein zweiter Anschluss, möglichst über einen anderen Anbieter und einen anderen Zuführungsweg ins Gebäude, versorgt eine kleine Zahl fest definierter Notfallapparate. Diese Apparate hängen nicht am Verwaltungsnetz und haben eine eigene Stromversorgung. Entscheidend ist, dass dieser Weg an keiner Stelle wieder im selben Verteiler und an derselben Batterie endet.
  • Vorbereitete Umleitung im Netz des Anbieters. Eine Umleitung, die in der ausgefallenen Anlage eingerichtet werden müsste, hilft nicht. Sie brauchen die netzseitige Umleitung beim Anbieter, mit hinterlegten berechtigten Personen, einer vereinbarten Reaktionszeit und einem Ziel, das vorher schriftlich festgelegt ist.
  • Mobilfunk mit fester Zuordnung. Ein kleiner Bestand vorbereiteter Mobilgeräte, jedes einem Aufgabenbereich zugeordnet, geladen, beschriftet und in der Notfalldokumentation aufgeführt. Karten zweier Netzbetreiber erhöhen die Chance, dass wenigstens ein Netz trägt. Prüfen Sie bei dieser Gelegenheit auch ältere Meldegeräte wie Aufzugnotruf und Alarmwählgeräte, die noch über ältere Mobilfunktechnik anbinden; Hinweise dazu finden Sie in meinem Beitrag zur Abschaltung der 2G-Netze.
  • Getrennte Wege für Krisenstab und Bürgertelefon. Beides über dieselbe Nummer und denselben Weg zu führen, führt verlässlich dazu, dass der Krisenstab im Bürgeraufkommen untergeht. Trennen Sie die Rufnummern, die Geräte und, wenn möglich, den Anschluss.
  • Satellitentelefon als letzte Stufe. Sinnvoll allein für Krisenstab und Führungsebene. Es braucht freie Sicht zum Himmel, also einen festgelegten Standort im Freien oder am Fenster, geladene Akkus, einen aktiven Vertrag und mindestens einen dokumentierten Testruf im Jahr.
  • Notstrom für die zentralen Verteiler. Nicht das ganze Haus, sondern der zentrale Technikraum und die wenigen Etagenverteiler, an denen die Notfallarbeitsplätze hängen. Diese Auswahl treffen Sie einmal bewusst und halten sie in den Unterlagen fest.

Wie planen Sie den Notbetrieb, statt ihn zu improvisieren?

Am Anfang steht keine Technikfrage, sondern eine Liste. Sie müssen entscheiden, welche Rufnummern in der ersten Stunde erreichbar sein müssen, und diese Entscheidung ist Sache der Fachbereiche und der Verwaltungsleitung, nicht der IT.

Bewährt hat sich dieses Vorgehen: Zuerst eine Kritikalitätsanalyse der Rufnummern, in der jede zentrale Nummer eine Einstufung erhält. In den obersten Rang gehören typischerweise die Zentrale, das Bürgertelefon, das Ordnungsamt, die Bereitschaften von Sozial- und Jugendamt, das Standesamt für Sterbefälle, der Bauhof, die Pressestelle und der Krisenstab. Danach folgt die Priorisierung der Arbeitsplätze: eine kleine, benannte Zahl von Notfallarbeitsplätzen mit festem Ort und fester Ausstattung, nicht eine Wunschliste aller Ämter. Anschließend das Umleitungskonzept, in dem für jede kritische Nummer das Ziel bereits eingetragen ist und benannt wird, wer die Umleitung auslösen darf. Dazu eine Übung, mindestens einmal jährlich, mit gemessener Zeit bis zur ersten wieder erreichbaren Nummer. Und schließlich die Dokumentation außerhalb der IT, gedruckt, an der Pforte und beim Krisenstab, mit Anbieterhotline, Kundennummer, Anschlusskennungen und Ansprechpartnern. Eine Rufnummernliste, die nur auf dem verschlüsselten Dateiserver liegt, ist im Ernstfall keine Dokumentation.

Sinnvoll ist es, diese Planung an das vorhandene Notfallmanagement anzudocken, etwa an ein Vorgehen nach BSI-Standard 200-4. Rechtlich gilt, Stand Juli 2026: Das NIS2-Umsetzungsgesetz des Bundes erfasst kommunale Stellen nicht unmittelbar, denn ob und wie Kreise und Kommunen einbezogen werden, entscheiden die Länder in eigenen Regelungen. Prüfen Sie deshalb die Vorgaben Ihres Landes, statt von einer bundesweiten Pflicht auszugehen. Wo im eigenen Haus die tatsächlichen Schwachstellen liegen, lässt sich am schnellsten über ein ITK-Audit feststellen.

Was gehört in die Ausschreibung?

Was Sie im Notbetrieb erwarten, muss in der Leistungsbeschreibung stehen, sonst erhalten Sie es nicht. Formulieren Sie diese Punkte produktneutral über Funktion und nachprüfbare Werte, wie es § 31 Abs. 6 VgV oberschwellig und § 23 UVgO unterschwellig verlangen.

  • Geforderte Überbrückungszeit der Stromversorgung, getrennt angegeben für Serverraum, zentralen Verteiler und die benannten Etagenverteiler.
  • Verhalten der Anlage beim Ausfall zentraler Dienste: Welche Grundfunktionen bleiben ohne Verzeichnisdienst, ohne Namensauflösung und ohne Verbindung zur Zentrale erhalten?
  • Örtliche Rückfallfunktion an den definierten Notfallarbeitsplätzen, einschließlich der Frage, welche Rufnummern dort weiterhin ankommen.
  • Netzseitige Umleitung als vertragliche Zusage: Erreichbarkeit rund um die Uhr, benannte Berechtigte, vereinbarte Reaktionszeit, schriftlicher Auslöseweg.
  • Getrennte Zuführung und getrennte Sprachanschlüsse als eigene Positionen, damit sie im Preisblatt sichtbar und vergleichbar bleiben.
  • Übergabe eines Notbetriebshandbuchs in Papierform sowie die jährliche Prüfung der Batterien und eine begleitete Notbetriebsübung als Leistung des Wartungsvertrags.

Auf der Kostenseite lohnt es sich, die Treiber zu benennen statt Pauschalen anzusetzen: Zahl der Standorte und Verteiler, geforderte Überbrückungszeit, Zahl der getrennten Anschlüsse, vereinbarte Reaktionszeiten und Umfang der Übungen. Wie Sie das Verfahren insgesamt aufsetzen, habe ich im Leitfaden zur Ausschreibung einer Telefonanlage beschrieben. Wenn Sie den Betrieb bei einem Anbieter belassen möchten, sollten Sie zusätzlich die Fragen zu Cloud-Telefonanlagen in Behörden berücksichtigen, denn ein Dienst aus dem Netz ist bei gestörter Internetanbindung genauso wenig erreichbar wie eine Anlage im eigenen Haus.

Welche Fehler sehe ich am häufigsten?

Fast immer sind es dieselben fünf, und keiner davon ist teuer zu vermeiden. Der Notfallplan beschreibt den Wiederanlauf der IT, aber nicht die Erreichbarkeit. Die Rückfallgeräte liegen ungeladen und ohne Zuordnung in einer Schublade. Die Umleitung soll „im Fall der Fälle“ beim Anbieter beantragt werden, ohne hinterlegte Berechtigte, was ausgerechnet dann am längsten dauert. Der zweite Anschluss endet im selben Technikraum, am selben Verteiler und an derselben Batterie wie der erste. Und die Übung findet nie statt, weil sie im Tagesgeschäft immer verschoben wird.

Checkliste für die telefonische Erreichbarkeit im Notbetrieb

Diese Punkte lassen sich in einer Arbeitssitzung durchgehen und geben Ihnen ein belastbares Bild:

  • Liste der Rufnummern, die in Stunde eins erreichbar sein müssen, freigegeben von der Verwaltungsleitung.
  • Benannte Notfallarbeitsplätze mit Ort, Ausstattung und zuständiger Person.
  • Umleitungsziele je kritischer Rufnummer, schriftlich hinterlegt und beim Anbieter angemeldet.
  • Nachweis der tatsächlichen Überbrückungszeit im Serverraum und am zentralen Verteiler, mit Datum der letzten Messung.
  • Übersicht der Etagenverteiler mit Angabe, welche gepuffert sind und welche nicht.
  • Getrennter Sprachweg vorhanden, dokumentiert und mindestens einmal jährlich geprüft.
  • Mobilgeräte geladen, zugeordnet, beschriftet, mit Karten zweier Netzbetreiber.
  • Getrennte Rufnummern für Krisenstab und Bürgertelefon.
  • Notfalldokumentation gedruckt, an zwei Orten, außerhalb der IT-Systeme.
  • Telefonie ausdrücklich in der Wiederanlaufreihenfolge benannt, mit Priorität und Zuständigkeit.
  • Protokoll der letzten Notbetriebsübung mit gemessenen Zeiten.

Wie Sie vorgehen können

Erreichbarkeit im Notbetrieb ist keine Frage einzelner Geräte, sondern eine Planungsaufgabe, die Fachbereiche, IT und Beschaffung zusammenbringt. Ich unterstütze Sie dabei als unabhängiger Fachplaner: Bestandsaufnahme und Bewertung der vorhandenen Anlage, Kritikalitätsanalyse der Rufnummern, Notbetriebskonzept mit den passenden Rückfallebenen und die vergaberechtlich saubere Leistungsbeschreibung. Die Ausführung übernehmen die beauftragten Fachfirmen, die fachliche Begleitung bis zur Abnahme bleibt bei mir.

Die Beauftragung ist als freiberufliche Leistung nach § 50 UVgO möglich und lässt sich phasenweise vergeben, etwa zunächst nur Bestandsaufnahme und Konzept. Einen Überblick über mein Vorgehen finden Sie unter TK-Fachplanung und Ausschreibungen und Vergabe; ergänzende Arbeitshilfen stehen im Bereich Downloads bereit.