Firewall, Backup-Konzept, Mitarbeiterschulungen und regelmäßige Updates: All das ist wichtig und richtig. Aber selbst eine gut geschützte IT verhindert nicht jeden Vorfall. Ein Zero-Day-Exploit lässt sich nicht ausschließen, ein Stromausfall nicht wegpatchen und auf die Entscheidung eines externen Dienstleisters haben Sie keinen direkten Einfluss.
Die entscheidende Frage ist deshalb nicht nur, wie gut ein Unternehmen seine IT schützt, sondern auch, wie es weiterarbeitet, wenn zentrale Systeme oder Dienste trotzdem einmal ausfallen.
Was, wenn morgen früh das ERP nicht funktioniert? Wenn E-Mail ausfällt? Wenn ein Cyberangriff die Systeme lahmlegt oder ein wichtiger Dienstleister plötzlich nicht mehr erreichbar ist?
Könnte Ihr Unternehmen dann weiterarbeiten? Drei Fragen zeigen, wie gut Sie auf einen solchen Fall vorbereitet sind:
- Wüssten Sie und Ihr Team, wer im Ernstfall wen informiert und wie schnell das passieren müsste?
- Wie lange könnte Ihr Betrieb ohne Zugriff auf zentrale digitale Werkzeuge überhaupt noch arbeiten?
- Wann haben Sie Ihren Notfallplan zuletzt getestet – wenn es überhaupt schon einen gibt?
Drei Entwicklungen zeigen, warum Vorbereitung und klares Handlungswissen im Ernstfall heute wichtiger sind als je zuvor.
Drei Entwicklungen, die man ernst nehmen sollte
1. Cyberangriffe nehmen messbar zu.
Laut einer aktuellen Bitkom-Erhebung entstand der deutschen Wirtschaft 2025 ein Schaden von rund 289 Milliarden Euro durch Diebstahl, Spionage und Sabotage. Etwa 202 Milliarden Euro davon gehen auf Cyberangriffe zurück. 73 Prozent der befragten Unternehmen berichten von einer steigenden Zahl an Angriffen, kein einziges rechnet mit einem Rückgang.
Betroffen sind längst nicht nur Konzerne. Eine laufend aktualisierte Übersicht von Security-Insider zu Cyberangriffen auf deutsche Unternehmen zeigt ein breites Spektrum, von Industriekonzernen bis hin zu kleineren Betrieben. Gerade Unternehmen, die sich selbst für „zu klein“ oder „unbedeutend“ halten, sollten sich deshalb nicht in falscher Sicherheit wiegen.
2. Die Spur führt immer häufiger nach Russland und China.
Bitkom beziffert den Anteil der Unternehmen, die Angriffe mit einer Spur nach Russland beziehungsweise China feststellen, auf jeweils rund 46 Prozent. Wirtschaftsspionage und Sabotage durch staatliche oder staatsnahe Akteure sind damit kein Randphänomen mehr.
3. Die Sorge vor einem Kill Switch zieht mit der vor Cyberangriffen gleich.
Eine Umfrage des Anbieters Proton unter Unternehmen in Deutschland, Frankreich und Großbritannien, über die auch heise berichtete, zeigt: 74 Prozent befürchten, dass ein US-Anbieter unter politischem Druck den Zugang zu kritischen digitalen Diensten kappen könnte. 54 Prozent der Unternehmen könnten nach eigener Einschätzung bereits nach einem einzigen Arbeitstag ohne Zugriff auf ihre digitalen Werkzeuge den Betrieb nicht mehr fortsetzen.
Ob Cyberkriminelle, staatliche Akteure oder politischer Druck auf einen Anbieter: Für das Unternehmen ist das Ergebnis am Ende dasselbe. Der Betrieb kann seine kritischen Prozesse nicht mehr wie gewohnt ausführen.
Warum gute IT-Sicherheit allein nicht reicht
IT-Sicherheit setzt dort an, wo Risiken entstehen: Sie soll Angriffe abwehren, Schwachstellen schließen und Vorfälle möglichst verhindern. Business Continuity Management setzt einen Schritt später an: Was passiert, wenn diese Maßnahmen nicht ausreichen und der Betrieb tatsächlich beeinträchtigt ist?
Dann geht es nicht mehr nur um die Frage, wie sich ein Vorfall verhindern lässt. Entscheidend ist, wie schnell ein Unternehmen reagieren und seine kritischen Geschäftsprozesse trotzdem aufrechterhalten kann.
Genau hier setzt Business Continuity Management, kurz BCM, an. Das Ziel ist nicht, jeden Ausfall zu verhindern. Das Ziel ist, dass das Unternehmen auch während einer Störung handlungsfähig bleibt.
Mit dem BSI-Standard 200-4 bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI) dafür einen praxisnahen Rahmen.
Die drei Stufen eines Business Continuity Managementsystems
Das BSI unterscheidet drei Entwicklungsstufen eines Business Continuity Managementsystems (BCMS):
- Reaktiv-BCMS: Fokus auf schnelle Reaktion im Schadensfall, minimaler Ressourceneinsatz, einfache Notfallpläne.
- Aufbau-BCMS: Ergänzt um präventive Analysen wie Business-Impact-Analyse und Risikoanalyse, stärker mit dem Management verzahnt.
- Standard-BCMS: Vollständig ausgereiftes System nach internationalen Normen wie ISO 22301, für das gesamte Unternehmen.
Für viele kleine und mittlere Unternehmen ist ein Reaktiv-BCMS ein sinnvoller Einstieg. Denn bevor ein umfangreiches Managementsystem aufgebaut wird, sollte zunächst eine viel einfachere Frage beantwortet werden können: Was machen wir, wenn morgen etwas Wichtiges ausfällt?
Der erste konkrete Schritt: der Geschäftsfortführungsplan
Kernstück des Reaktiv-BCMS ist der Geschäftsfortführungsplan. Sein Ziel: den Betrieb während eines Notfalls zumindest auf einem definierten Mindestniveau weiterführen zu können.
Vier Fragen helfen beim Einstieg:
- Welche Geschäftsprozesse sind wirklich kritisch?
Welche Aufgaben müssen auch bei einem größeren Ausfall weiterlaufen? Und wie lange dürfen sie maximal unterbrochen werden? - Was tun wir unmittelbar nach dem Ausfall?
Welche Maßnahmen müssen innerhalb der ersten Minuten und Stunden ergriffen werden? - Welche Infrastruktur brauchen wir für den Notbetrieb?
Das reicht von einem isolierten Backup-Server über alternative Kommunikationswege bis zu Zettel und Stift für eine vorübergehend papierbasierte Auftragsabwicklung. - Wer ist verantwortlich und wer wird wie schnell informiert?
Mitarbeitende, Kunden, Lieferanten – und auch die Frage, wer einspringt, wenn die eigentlich verantwortliche Person nicht erreichbar ist.
Ein Beispiel: Bei einer Ransomware-Attacke lässt sich die Kommunikation über eine vorbereitete, vom betroffenen Netzwerk unabhängige Möglichkeit aufrechterhalten. Aufträge und Rechnungen können vorübergehend manuell bearbeitet werden, während mobile Geräte zum Einsatz kommen, die nicht mit der kompromittierten Infrastruktur verbunden sind.
Nichts davon ist Zauberei. Der entscheidende Punkt ist, dass diese Maßnahmen vorher durchdacht und vorbereitet sein müssen. Mitten in der Krise bleibt dafür keine Zeit.
Ein Notfallplan muss getestet werden
Ein fertiger Plan bedeutet allerdings noch nicht, dass ein Unternehmen vorbereitet ist. Ein ungetesteter Notfallplan ist zunächst eine Annahme. Eine Übung muss dafür nicht gleich ein mehrtägiges Krisenszenario sein. Schon ein gemeinsames Planspiel kann Schwachstellen sichtbar machen:
„Es ist Montag, 8 Uhr. Das ERP ist nicht erreichbar. E-Mail funktioniert nicht. Die Ursache ist noch unklar. Was tun wir jetzt?“
Wer diese Situation einmal gemeinsam durchgespielt hat, steht im Ernstfall deutlich besser da als ein Unternehmen, das seinen Notfallplan nur als Datei auf dem Server liegen hat.
Vom Notfallplan zum vollständigen BCMS
Ist der Geschäftsfortführungsplan etabliert und getestet, kann das BCM schrittweise erweitert werden. Das BSI unterscheidet dafür weitere Pläne:
- Wiederanlaufplan: Wie werden die für den Notbetrieb benötigten Ressourcen bereitgestellt?
- Wiederherstellungsplan: Wie wird das Unternehmen zurück in den Normalbetrieb geführt?
Mit einem Aufbau-BCMS kommen außerdem systematische Analysen hinzu, etwa die Business-Impact-Analyse. Sie hilft dabei festzulegen, welche Prozesse wie schnell wieder verfügbar sein müssen.Der entscheidende Punkt bleibt aber derselbe: BCM beginnt nicht beim Server. BCM beginnt beim Geschäftsprozess.
Erst wenn klar ist, was im Unternehmen unbedingt weiterlaufen muss, lässt sich sinnvoll entscheiden, welche technischen und organisatorischen Maßnahmen dafür notwendig sind.
Wo IT Works unterstützt
Wer den Aufbau eines Business Continuity Managements nicht allein angehen möchte, kann sich dabei begleiten lassen – von der Identifikation kritischer Geschäftsprozesse über die Ausarbeitung eines praxistauglichen Geschäftsfortführungsplans bis zur technischen Umsetzung.
IT Works unterstützt Unternehmen dabei unter anderem mit Managed Services für Backups, IT-Notfallplanung und isolierten Ausweichinfrastrukturen. Auch ein CyberRisikoCheck kann ein sinnvoller Ausgangspunkt sein, um technische Schwachstellen zu identifizieren und weitere Maßnahmen abzuleiten.
Der beste Zeitpunkt, sich mit der Frage zu beschäftigen, wie das Unternehmen einen Ausfall übersteht, ist nicht der Tag des Ausfalls, sondern jetzt. Sprechen Sie uns an!