Notfallpläne, Sicherheitsupdates und technologische Abhängigkeiten: Auf der Smart Country Convention ging es um die Krisenfestigkeit der öffentlichen Verwaltung. Die Themen des erstmals veranstalteten Resilience Day betreffen allerdings auch Unternehmen.
Wann wurde Ihr Notfallplan zuletzt praktisch getestet? Bei 46 Prozent der von PwC befragten Unternehmen liegt der letzte Test mehr als ein Jahr zurück. Das zeigt die Studie „Cyberresilienz im Mittelstand“, für die 400 Unternehmen befragt wurden.
Um Vorbereitung und Krisenfestigkeit ging es auch auf der Smart Country Convention, die vom 13. bis 15. Oktober 2026 in Berlin stattfand. Die Messe richtet sich vor allem an Behörden und Kommunen. Neu war der Resilience Day am letzten Messetag, an dem unter anderem Bundeskriminalamt, Technisches Hilfswerk und Bundeswehr beteiligt waren. Die Veranstaltung stieß auf großes Interesse: Die Besucherzahl stieg laut Kommune21 um rund 30 Prozent auf mehr als 30.000 Besucher an den drei Messetagen.
Notfallpläne müssen sich in der Praxis bewähren
Auf einem Panel zur digitalen Infrastruktur betonte Marcus Hacke von Vodafone, wie wichtig Schulungen, regelmäßige Übungen, klare Abläufe und Krisenstäbe sind. Verbesserungsbedarf sieht er bei eindeutigen Kommandostrukturen, sowohl in Politik und Behörden als auch bei Betreibern kritischer Infrastruktur. Das berichtet der Newsblog der Smart Country Convention.
Auch Unternehmen sollten sich nicht darauf verlassen, dass ein dokumentierter Notfallplan im Ernstfall automatisch funktioniert. Rund zwei Drittel der von PwC befragten Unternehmen haben einen solchen Plan. Allerdings liegt bei 46 Prozent der Befragten der letzte praktische Test mehr als ein Jahr zurück. PwC empfiehlt, einen Notfallplan mindestens halbjährlich zu testen. Entscheidend ist, ob Zuständigkeiten, Kommunikationswege und Abläufe auch unter Zeitdruck funktionieren.
Sicherheitslücken entstehen auch im laufenden Betrieb
Philipp Trinius, CTO der Deutschen Telekom Security, machte auf dem Panel auf ein alltägliches Problem aufmerksam: Manche Krisen entstünden, weil Lösungen nicht aktualisiert seien. Thomas Jarzombek, parlamentarischer Staatssekretär, forderte zugleich einen veränderten Umgang mit Risiken. Man müsse aus der Naivität aufwachen.
Die Zahlen aus dem Bitkom-Wirtschaftsschutz zeigen, wo Unternehmen genauer hinschauen sollten: Bei den Faktoren, die nach Einschätzung betroffener Unternehmen zu Schäden beitrugen, nannten 50 Prozent technische Schwachstellen und 43 Prozent veraltete Hard- und Software. 59 Prozent führten unzureichende Erkennung von Sicherheitsvorfällen und 57 Prozent Fehlkonfigurationen an.
Regelmäßige Sicherheitsupdates und die Behebung bekannter Schwachstellen sind deshalb wichtige Grundlagen. Gleichzeitig müssen Unternehmen verdächtige Aktivitäten möglichst früh erkennen können. Wir, die IT Works AG, empfehlen dafür, auch die Schutzmechanismen an den Übergängen zwischen Netzwerken in den Blick zu nehmen: Intrusion Detection Systems (IDS) erkennen verdächtigen Netzwerkverkehr und melden Auffälligkeiten; Intrusion Prevention Systems (IPS) können erkannte Bedrohungen zusätzlich automatisch blockieren. Solche Funktionen lassen sich je nach Lösung in Firewalls und in die Absicherung von VPN-Verbindungen integrieren. Entscheidend sind eine passende Konfiguration und laufende Pflege, damit relevante Aktivitäten erkannt werden und Fehlalarme die Arbeit nicht unnötig behindern.
Widerstandsfähigkeit entsteht nicht allein durch einen Notfallplan. Sie beginnt im laufenden IT-Betrieb – mit aktueller Software, sinnvoll konfigurierten Systemen und Schutzmechanismen, die Angriffe nicht nur erschweren, sondern auch erkennen helfen.
Weniger Abhängigkeiten schaffen mehr Handlungsspielraum
Jarzombek sprach sich auf dem Panel außerdem für mehr Unabhängigkeit bei KI-Rechenzentren und Satellitentechnologie aus. Europäische Produkte, Start-ups und Open-Source-Technologien könnten dazu beitragen. Staat und Industrie müssten gemeinsam die IT-Wirtschaft stärken.
Auch Unternehmen stehen vor der Frage, wie abhängig sie sich von einzelnen Anbietern und Technologien machen wollen. Was passiert, wenn ein Dienst ausfällt, ein Anbieter seine Bedingungen ändert oder eine benötigte Technologie nicht mehr verfügbar ist? Die Kriterien des Zentrums für Digitale Souveränität (ZenDiS) bieten einen Ansatzpunkt, um die eigene technologische Unabhängigkeit systematisch zu bewerten.
Drei Fragen, die sich daraus für den eigenen Betrieb ergeben:
- Wer entscheidet im Notfall, und sind Zuständigkeiten und Abläufe praktisch erprobt?
- Wie schnell werden Sicherheitsupdates eingespielt, und wer stellt sicher, dass bekannte Schwachstellen behoben werden?
- Von welchen Anbietern und Diensten hängt der Betrieb ab, und welche Alternativen gibt es bei einem Ausfall?
Wie sich Unternehmen auf IT-Ausfälle vorbereiten können und wo typische Sicherheitsrisiken im Alltag liegen, zeigen auch diese beiden Beiträge von uns:
- Was, wenn es morgen Sie trifft? Business Continuity Management für kleine und mittlere Unternehmen – wie Unternehmen ihre Handlungsfähigkeit sichern, wenn zentrale Systeme ausfallen.
- Blinde Flecken statt Superhacker: Erkenntnisse aus der Bitkom-Studie Wirtschaftsschutz 2026 – welche Schwachstellen und Versäumnisse zu Schäden beitragen und wo Unternehmen ihre IT-Sicherheit überprüfen sollten.