Die unbequeme Wahrheit vorweg: Ob ein Unternehmen einen schweren IT-Ausfall erlebt, ist keine Frage des Ob, sondern des Wann. Ransomware, ein Wasserschaden im Serverraum, ein fehlerhaftes Update — die Auslöser sind vielfältig. Der Unterschied zwischen einem unangenehmen Tag und einer existenzbedrohenden Woche liegt fast immer in der Vorbereitung.
Erst die Geschäftssicht, dann die Technik
Ein tragfähiger Notfallplan beginnt nicht bei Servern, sondern bei Prozessen: Welche Geschäftsabläufe müssen wie schnell wieder laufen? Die Auftragsannahme verträgt vielleicht vier Stunden Ausfall, die Lohnabrechnung drei Tage, die Produktionssteuerung keine dreißig Minuten. Aus dieser Business-Impact-Analyse ergeben sich zwei Kennzahlen je System: die maximal tolerierbare Ausfallzeit (RTO) und der maximal verkraftbare Datenverlust (RPO). Erst diese Zahlen machen technische Entscheidungen begründbar — und Budgets verhandelbar.
Backups, die den Ernstfall überleben
Fast jedes Unternehmen hat Backups. Deutlich weniger haben Backups, die einen Ransomware-Angriff überstehen — denn moderne Angreifer verschlüsseln gezielt zuerst die Sicherungen. Der Standard heißt 3-2-1: drei Kopien, zwei Medientypen, eine Kopie außer Haus und idealerweise unveränderbar (immutable). Genauso wichtig: regelmäßige Wiederherstellungstests. Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung, kein Konzept.
Der Plan gehört aufs Papier — wörtlich
Im Ernstfall sind Wiki und Dokumentenmanagement möglicherweise ebenfalls verschlüsselt oder nicht erreichbar. Die wichtigsten Dokumente — Kontaktkette, Systemprioritäten, Wiederanlaufreihenfolge, Zugangsdaten-Depot — müssen offline verfügbar sein: gedruckt im Tresor oder auf einem verschlüsselten, getrennten Medium. Dazu gehört eine klare Rollenverteilung: Wer entscheidet über die Abschaltung von Systemen? Wer kommuniziert mit Kunden, wer mit Behörden?
Üben statt hoffen
Ein Plan, der nie geprobt wurde, zerfällt beim ersten Kontakt mit der Realität. Bewährt haben sich jährliche Tabletop-Übungen: Das Führungsteam spielt ein realistisches Szenario durch — etwa „Ransomware, Montagmorgen, Backups teilweise betroffen“ — und dokumentiert, wo Zuständigkeiten, Informationen oder Entscheidungswege fehlen. Zwei Stunden Übung decken regelmäßig mehr Lücken auf als hundert Seiten Konzeptpapier.
Fazit
Business Continuity ist kein IT-Luxus, sondern Risikomanagement in seiner konkretesten Form. Wer Ausfallzeiten definiert, Backups härtet, Verantwortlichkeiten klärt und den Ernstfall übt, verwandelt eine potenzielle Katastrophe in einen beherrschbaren Zwischenfall. Wir unterstützen Sie von der Business-Impact-Analyse bis zur Notfallübung — nehmen Sie Kontakt auf.
