Checkliste: IT-Sicherung in den ersten 72 Stunden nach dem Insolvenzantrag

Nach dem Insolvenzantrag entscheidet sich in wenigen Tagen, ob die Daten der Schuldnerin vollständig erhalten bleiben. Server laufen noch, Zugänge bestehen noch, Mitarbeitende mit Systemwissen sind noch erreichbar. Gleichzeitig werden Hosting-Verträge gekündigt, Lizenzen gesperrt und Rechner verkauft. Diese Checkliste zeigt, was vorläufige Verwalter, Gutachter und Insolvenzverwalter in den ersten 72 Stunden für die IT-Sicherung tun sollten und welche Fehler sich vermeiden lassen.

Warum die ersten Tage entscheidend sind

Die Geschäftsbücher gehören nach § 36 Abs. 2 Nr. 1 InsO zur Insolvenzmasse. Nach § 155 InsO bleiben die handels- und steuerrechtlichen Buchführungs- und Rechnungslegungspflichten bestehen; im eröffneten Verfahren erfüllt sie der Verwalter in Bezug auf die Masse. Bereits der vorläufige Verwalter nach § 22 InsO hat die Aufgabe, das Vermögen der Schuldnerin zu sichern und zu erhalten. Daten sind heute ein zentraler Teil dieses Vermögens: Sie bilden die Grundlage für die Forderungseinziehung, für die Prüfung von Anfechtungsansprüchen nach §§ 129 ff. InsO und für die Erfüllung steuerlicher Pflichten.

Anders als ein Lagerbestand verschwinden Daten oft unbemerkt. Ein gekündigter Cloud-Vertrag, ein überschriebenes Notebook oder ein abgeschalteter Server reichen aus, damit Buchhaltung und Korrespondenz unwiederbringlich verloren gehen.

Schritt 1: Bestandsaufnahme der IT

Bevor gesichert werden kann, muss klar sein, was es überhaupt gibt. Die Bestandsaufnahme sollte schnell und pragmatisch erfolgen, nicht perfekt. Wichtig sind folgende Fragen:

• Systeme: Welche Server, Arbeitsplatzrechner, Notebooks, NAS-Systeme und externen Datenträger sind vorhanden? Welche Fachanwendungen laufen darauf, etwa Finanzbuchhaltung, Warenwirtschaft, Lohn oder CRM?
• Standorte: Wo steht die Hardware? Gibt es Filialen, Lager, Homeoffice-Geräte oder ein externes Rechenzentrum?
• Cloud-Dienste: Werden Microsoft 365, Google Workspace, DATEV-Cloud-Lösungen, Online-Shops oder Branchensoftware als Software-as-a-Service genutzt?
• Dienstleister: Welche IT-Dienstleister, Systemhäuser, Hoster oder Steuerberater haben Zugriff oder halten Daten?
• Zugangsdaten: Wo sind Passwörter dokumentiert? Gibt es einen Passwortmanager, eine Liste beim Dienstleister oder nur das Wissen einzelner Personen?
• Admin-Konten: Wer besitzt Administratorrechte für Server, Domäne, Firewall und Cloud-Mandanten? Gibt es globale Administratoren in Microsoft 365?

Die Schuldnerin und ihre organschaftlichen Vertreter sind nach § 97 InsO zur Auskunft und Mitwirkung verpflichtet. Diese Pflicht umfasst in der Praxis auch Angaben zur IT-Landschaft und zu Zugängen. Es empfiehlt sich, die Auskünfte schriftlich festzuhalten.

Schritt 2: Sofortmaßnahmen

Parallel zur Bestandsaufnahme sollten einige Maßnahmen ohne Verzögerung umgesetzt werden.

Zugangsdaten sichern

Lassen Sie sich die Zugangsdaten zu allen zentralen Systemen übergeben und bewahren Sie sie getrennt und geschützt auf. Besonders wichtig sind Administratorkonten der Domäne, der Cloud-Mandanten, des Hosters und der Domainverwaltung. Wer die Domain kontrolliert, kontrolliert auch E-Mail und viele Cloud-Anmeldungen. Prüfen Sie, ob ein zusätzliches Administratorkonto für die Verwaltung eingerichtet werden kann, statt dauerhaft mit persönlichen Konten von Mitarbeitenden zu arbeiten.

Zugriffe ehemaliger Mitarbeiter sperren

Ausgeschiedene oder freigestellte Mitarbeitende sollten keinen Zugriff mehr auf Systeme haben. Sperren Sie deren Konten, statt sie zu löschen. Eine Löschung kann bei Cloud-Diensten wie Microsoft 365 dazu führen, dass das zugehörige Postfach und der OneDrive-Speicher nach einer Frist endgültig entfernt werden. Ebenso sollten Fernwartungszugänge externer Dienstleister geprüft und gegebenenfalls eingeschränkt werden.

Kündigungen von Hosting und Lizenzen prüfen

Klären Sie, welche Verträge bereits gekündigt sind oder wegen Zahlungsrückständen gesperrt werden könnten. Bei Cloud-Diensten folgt nach Ablauf oder Kündigung typischerweise eine Übergangszeit von wenigen Wochen bis Monaten, danach werden die Daten endgültig gelöscht. Die genauen Fristen hängen vom Anbieter und Vertrag ab. Bis die Daten gesichert sind, sollten Verträge, die Daten vorhalten, nicht beendet werden. Mehr dazu auf unserer Seite zur Sicherung von Microsoft 365 und Cloud-Diensten.

Daten nicht löschen

Weisen Sie die Schuldnerin, Mitarbeitende und Dienstleister ausdrücklich an, keine Daten zu löschen, keine Geräte zurückzusetzen und keine Hardware zu entsorgen oder zu verkaufen. Das gilt auch für scheinbar alte Rechner und Datenträger. Eine kurze schriftliche Anweisung schafft Klarheit und dokumentiert Ihr Vorgehen.

Schritt 3: Prioritäten setzen

Nicht alles lässt sich gleichzeitig sichern. Bewährt hat sich folgende Reihenfolge:

1. Cloud-Konten und E-Mail. Sie sind am stärksten von Sperrung und Löschung bedroht und lassen sich häufig sofort remote sichern.
2. Finanzbuchhaltung, Lohn und Warenwirtschaft. Diese Daten sind für Forderungseinzug, Anfechtungsprüfung und steuerliche Pflichten zentral. Gesichert werden sollte nicht nur der Datenbestand, sondern möglichst das lauffähige System.
3. Fileserver und NAS. Verträge, Korrespondenz, Projektunterlagen und Personalakten liegen häufig auf zentralen Freigaben.
4. Arbeitsplatzrechner und Notebooks. Lokal gespeicherte Dateien und Postfacharchive gehen oft vergessen, besonders bei mobilen Geräten.
5. Mobilgeräte und sonstige Datenträger. USB-Festplatten, Sicherungsbänder und Smartphones können relevante Daten enthalten.

Für jede Sicherung sollte festgehalten werden, wann, von wem und in welchem Umfang gesichert wurde. Prüfsummen wie SHA-256 ermöglichen es später, die Unverändertheit der Abbilder nachzuweisen. Wie wir dabei vorgehen, beschreibt die Seite Datensicherung bei Insolvenz.

Typische Fehler

In der Praxis wiederholen sich einige Fehler, die sich mit wenig Aufwand vermeiden lassen:

• Nur einen Export der Buchhaltung ziehen. Ein PDF- oder CSV-Export ersetzt nicht das System. Für spätere Auswertungen und den Datenzugriff der Finanzverwaltung wird häufig das Originalsystem benötigt.
• Hardware zu früh verwerten. Wird ein Rechner verkauft, bevor er gesichert ist, sind die Daten verloren. Vor der Verwertung muss gesichert und anschließend nachweisbar gelöscht werden.
• Benutzerkonten löschen statt sperren. Gerade in Cloud-Umgebungen kann das den Verlust von Postfächern auslösen.
• Sich auf vorhandene Backups verlassen. Vorhandene Sicherungen der Schuldnerin sind oft unvollständig, veraltet oder verschlüsselt, ohne dass der Schlüssel bekannt ist.
• Keine Dokumentation. Ohne Protokoll lässt sich später kaum belegen, welcher Stand gesichert wurde und ob er unverändert ist.
• Datenschutz übersehen. Auch gesicherte Daten enthalten personenbezogene Informationen. Sie sind angemessen zu schützen, etwa durch Verschlüsselung und beschränkte Zugriffe nach Art. 32 DSGVO.

Die Checkliste für die ersten 72 Stunden

1. Ansprechpartner bei der Schuldnerin und beim IT-Dienstleister benennen lassen.
2. Übersicht über Server, Clients, NAS, Datenträger und Standorte anfordern.
3. Alle genutzten Cloud-Dienste und Software-as-a-Service-Anwendungen erfassen.
4. Zugangsdaten zu Domäne, Cloud-Mandanten, Hoster und Domainverwaltung übernehmen.
5. Administratorkonten identifizieren und ein eigenes Konto für die Verwaltung einrichten lassen.
6. Konten ausgeschiedener Mitarbeitender und nicht benötigte Fernzugänge sperren, nicht löschen.
7. Laufende Kündigungen, Zahlungsrückstände und Sperrdrohungen bei Hosting und Lizenzen prüfen.
8. Schriftliche Anweisung erteilen: keine Löschung, kein Zurücksetzen, keine Veräußerung von Hardware.
9. Cloud-Konten und E-Mail-Postfächer vorrangig sichern.
10. Finanzbuchhaltung, Lohn und Warenwirtschaft als lauffähiges System sichern.
11. Fileserver, NAS und Arbeitsplatzrechner sichern.
12. Jede Sicherung mit Zeitpunkt, Umfang und Prüfsumme protokollieren.
13. Gesicherte Daten verschlüsselt und zugriffsbeschränkt aufbewahren.
14. Weitere Nutzung planen: Virtualisierung des Altsystems, Recherche und Archivierung.

Wenn Sie Unterstützung bei der Umsetzung benötigen, übernehmen wir die Sicherung vor Ort oder remote. Einen Überblick über die Zusammenarbeit finden Sie auf der Seite für Insolvenzverwalter und im Ablauf.

Häufige Fragen

Muss der vorläufige Verwalter bereits die IT sichern?

Der vorläufige Verwalter hat nach § 22 InsO die Aufgabe, das Vermögen der Schuldnerin zu sichern und zu erhalten. Da die Geschäftsbücher zur Masse gehören, spricht vieles dafür, die Datensicherung so früh wie möglich einzuleiten. Der konkrete Umfang hängt von der Anordnung des Gerichts ab.

Reicht es, die vorhandenen Backups der Schuldnerin zu übernehmen?

Häufig nicht. Vorhandene Backups sind oft unvollständig, veraltet oder lassen sich ohne die ursprüngliche Software nicht zurückspielen. Sie sollten geprüft werden, ersetzen aber in der Regel keine eigene, dokumentierte Sicherung.

Was ist bei Microsoft 365 besonders zu beachten?

Konten sollten nicht gelöscht und Verträge nicht beendet werden, bevor Postfächer, OneDrive und SharePoint gesichert sind. Nach Ablauf oder Kündigung bleibt nur eine begrenzte Übergangszeit, danach werden die Daten endgültig gelöscht.

Wie lässt sich belegen, dass gesicherte Daten unverändert sind?

Über kryptografische Prüfsummen wie SHA-256, die bei der Sicherung berechnet und mit Zeitpunkt und Umfang protokolliert werden. Eine spätere Neuberechnung zeigt, ob der Bestand verändert wurde.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Maßgeblich sind die jeweils geltenden Vorschriften und die Umstände des konkreten Verfahrens.