Cyber-Bereitschaft in Unternehmen: So vermeiden Sie Unternehmenskrisen

Der jüngste Ausfall von Amazon Web Services (AWS) hat Unternehmen aller Branchen eine unangenehme Wahrheit vor Augen geführt: Selbst die größten und modernsten Anbieter sind nicht vor Ausfällen gefeit. 

Von Störungen in Rechenzentren bis hin zu gezielten Cyberangriffen – Ausfälle sind mittlerweile fester Bestandteil der modernen Betriebslandschaft geworden. Die eigentliche Frage ist nicht mehr, ob es zu einem Vorfall kommen wird, sondern wie gut Ihr Unternehmen darauf vorbereitet ist, wenn es soweit ist.  

Zusammen mit Tautvydas Jašinskas, Chief Information Security Officer (CISO) bei ConnectPay, schauen wir uns einmal an, was oft dazu führt, dass aus einem kleinen Ausfall eine große Krise wird – und was Unternehmen tun können, um widerstandsfähig zu bleiben.  

Notfallpläne: schriftlich vs. in der Praxis erprobt 

Viele Unternehmen haben einen Notfallplan (BCP) auf einem gemeinsamen Laufwerk gespeichert, doch nur wenige testen ihn regelmäßig.  

Warum das wichtig ist:  

• Pläne, die einmal erstellt und nie aktualisiert werden, sind schnell veraltet.  

• Durch die Fluktuation sind neue Mitarbeiter möglicherweise noch nicht mit ihrer Rolle in einer Krisensituation vertraut.  

• Durch technologische Veränderungen und Anbieterwechsel bleiben Wiederherstellungsschritte oft unvollständig.  

“Der Unterschied zwischen einem Plan, der nur auf dem Papier steht, und einem Plan, der funktioniert, liegt im Testen”, erklärt Jašinskas. “Unternehmen müssen reale Szenarien simulieren – von Cloud-Ausfällen bis hin zu Datenbeschädigungen –, um zu sehen, wie schnell sie den normalen Betrieb wiederherstellen können.”  

Durch die Durchführung von Live-Übungen lassen sich Schwachstellen aufdecken, wie beispielsweise unklare Zuständigkeiten, fehlende Ansprechpartner oder technische Abhängigkeiten, die nicht dokumentiert und geklärt wurden. 

Der menschliche Faktor: Durch Schulungen werden Richtlinien in die Tat umgesetzt  

Technologie allein garantiert keine Widerstandsfähigkeit – das tun die Menschen. Sie sind das stärkste Bindeglied in jeder Organisation. Bei einem Ausfall zählt jede Minute, und es kommt schnell zu Verwirrung, wenn die Teams ihre Aufgaben nicht einstudiert haben.  

Warum dies nach wie vor eine Herausforderung darstellt:  

• IT-Teams legen großen Wert auf Prävention und nicht auf Wiederherstellungsübungen.  

• Die Entscheidungsbefugnis bei Vorfällen ist oft unklar.  

• Die Mitarbeiter gehen davon aus, dass “jemand anderes” etwas unternehmen wird.  

“Wenn Systeme ausfallen, hat man keine Zeit, Anweisungen zu lesen”, sagt Jašinskas. “Der Instinkt zu reagieren entsteht durch Training – die stille Vorbereitung, die Unsicherheit in Handeln verwandelt.”   

Regelmäßige Tabletop-Übungen oder Live-Simulationen stellen sicher, dass die Teams im Falle eines Ausfalls automatisch und nicht erst reaktiv reagieren. 

Abhängigkeiten von Drittanbietern: das versteckte Schwachstelle  

Cloud-Dienstleister, Zahlungsgateways, und Datenverarbeiter bilden das Rückgrat digitaler Abläufe, bergen aber auch gemeinsame Risiken.  

Warum es so wichtig ist, dies zu regeln:  

• Die meisten Ausfälle haben Ursachen, die außerhalb des direkten Einflussbereichs eines Unternehmens liegen.  

• Anbieter geben Ausfallzeiten möglicherweise nicht umgehend oder transparent bekannt.  

• Die Zeiträume für die Erholung sind unterschiedlich, was die Unternehmen in einer ungewissen Lage zurücklässt.  

“Fast jedes Unternehmen ist auf eine Kette von Lieferanten angewiesen”, betont Jašinskas. “Das bedeutet, dass die Widerstandsfähigkeit eines Unternehmens nur so stark ist wie das schwächste Glied in dieser Kette.”  

Unternehmen sollten ihre Abhängigkeiten erfassen, die Ausfallsicherheit ihrer Anbieter bewerten und sicherstellen, dass in den SLAs (Service Level Agreements) die Erwartungen hinsichtlich Verfügbarkeit, Reaktionszeiten und Kommunikation bei Störungen klar definiert sind. Sollte ein Anbieter ausfallen, muss es einen getesteten Ausweichweg geben, sei es eine sekundäre Cloud-Region, Zahlungsabwickler, oder Kommunikationskanal.  

Prüfung auf Realitätsnähe, nicht auf Konformität  

Compliance-Rahmenwerke legen den Schwerpunkt auf operative Widerstandsfähigkeit, doch Checklisten allein reichen nicht aus, um Unternehmen auf tatsächliche Störungen vorzubereiten. Das Ziel besteht nicht nur darin, ein Audit zu bestehen, sondern auch darin, die Geschäftskontinuität und das Vertrauen der Geschäftspartner aufrechtzuerhalten, wenn Ihre Systeme ausfallen.  

“Viele Organisationen gehen das Thema Resilienz und Geschäftskontinuität auf bürokratische Weise an – sie schreiben mehr darüber, als dass sie es tatsächlich umsetzen. Sie erstellen Richtlinien, Verfahren und Dokumente, aber Resilienz entsteht nicht durch Papierkram. Sie entsteht durch Praxis”, bemerkt Jašinskas. 

Echte Resilienz entsteht durch Wiederholung – durch realistische, manchmal unangenehme Tests, die Schwachstellen aufdecken und Teams lehren, wie sie reagieren müssen. Und die Ironie dabei ist, dass sich kein echter Vorfall jemals genau so entwickelt wie das einstudierte Szenario. Der wahre Wert von Tests liegt jedoch darin, zu lernen, wie man Probleme löst – Muster zu erkennen, Ursachen zu finden und die Ordnung wiederherzustellen, wenn Pläne nicht mehr greifen. Unternehmen, die regelmäßig Tests durchführen und Anpassungen vornehmen, erholen sich schneller, kommunizieren effektiver und erleben weniger Betriebsstörungen, wenn es doch einmal zu einem Vorfall kommt. 

Eine Kultur der Resilienz aufbauen 

Die tatsächliche Bereitschaft geht über den IT-Bereich hinaus. Auch die Bereiche Finanzen, Betrieb, Kundensupport und Kommunikation tragen dazu bei, die Auswirkungen so gering wie möglich zu halten.  

Was zeichnet eine widerstandsfähige Organisation aus?  

• Vorbereitete Teams, die ihre Aufgaben kennen und deren Stellvertreter bereits benannt und geschult sind. 

• Bewährte Verfahren, die dem aktuellen technologischen Umfeld Rechnung tragen.  

• Transparente Kommunikation mit Partnern und Kunden während Vorfällen.  

• Kontinuierliche Verbesserung nach jeder Übung oder jeder tatsächlichen Störung.  

“In der Praxis muss Resilienz zur Gewohnheit werden”, betont Jašinskas. “Wenn man sich nur einmal im Jahr Gedanken über die Geschäftskontinuität macht, hinkt man bereits hinterher.” 

Resilienzdenken in den täglichen Betrieb zu integrieren, anstatt es als einmal im Jahr anfallende Compliance-Aufgabe zu betrachten – das ist es, was proaktive Organisationen von denen unterscheidet, die unvorbereitet sind.

Wie Archilochos sagte: “Wir erreichen nicht das Niveau unserer Erwartungen, sondern sinken auf das Niveau unserer Vorbereitung.” Ausfälle und Cybervorfälle werden nicht verschwinden, aber ihre Auswirkungen lassen sich abmildern. Unternehmen, die sich am schnellsten davon erholen, haben eines gemeinsam: Sie schulen, testen und passen sich kontinuierlich an. 

Häufig gestellte Fragen: Cyber-Bereitschaft in Unternehmen

Was ist der Unterschied zwischen einem Notfallplan und dessen tatsächlicher Erprobung?

Ein schriftlicher Notfallplan, der unberührt bleibt, ist schnell veraltet, da sich Personal, Technologie und Anbieter ändern. Tests durch Live-Simulationen, wie zum Beispiel das Einüben von Reaktionen auf Cloud-Ausfälle oder Datenbeschädigungen, decken Schwachstellen wie unklare Zuständigkeiten oder fehlende Dokumentation auf, bevor ein echter Vorfall diese offenbart. Der Unterschied zwischen einem Plan, der nur auf dem Papier steht, und einem, der tatsächlich funktioniert, liegt in regelmäßigen Übungen, nicht in der Papierarbeit.

Warum fällt es Mitarbeitern oft schwer, bei einem Ausfall effektiv zu reagieren?

Wenn Systeme ausfallen, bleibt keine Zeit, Anweisungen zu lesen. IT-Teams konzentrieren sich in der Regel eher auf Prävention als auf Wiederherstellungsübungen, die Entscheidungsbefugnisse bei Vorfällen sind oft unklar, und Mitarbeiter gehen häufig davon aus, dass jemand anderes Maßnahmen ergreifen wird. Regelmäßige Tabletop-Übungen und Live-Simulationen fördern das instinktive Handeln, sodass nicht mehr reaktiv, sondern automatisch reagiert wird.

Warum gelten Drittanbieter als verstecktes Risiko für die Geschäftsresilienz?

Die meisten Ausfälle haben ihre Ursache außerhalb des direkten Einflussbereichs eines Unternehmens, beispielsweise bei Cloud-Anbietern, Zahlungsgateways oder Datenverarbeitern. Anbieter geben Ausfallzeiten möglicherweise nicht umgehend bekannt, und die Zeiträume für die Wiederherstellung können erheblich variieren, was ein Unternehmen in eine ungewisse Lage bringt. Die Ausfallsicherheit eines Unternehmens ist nur so stark wie das schwächste Glied in seiner Lieferantenkette. Daher ist es unerlässlich, Abhängigkeiten zu erfassen und klare SLAs für Verfügbarkeit und Kommunikation festzulegen.

Wie können Unternehmen Resilienz über ihre IT-Abteilung hinaus aufbauen?

Die tatsächliche Bereitschaft erstreckt sich auf die Bereiche Finanzen, Betrieb, Kundensupport und Kommunikation. Eine widerstandsfähige Organisation verfügt über gut vorbereitete Teams mit fest zugewiesenen Stellvertretern, erprobte Verfahren, die dem aktuellen technologischen Umfeld Rechnung tragen, eine transparente Kommunikation mit Partnern und Kunden während Vorfällen sowie kontinuierliche Verbesserungen nach jeder Übung oder tatsächlichen Störung.

Was macht Tests zur Geschäftskontinuität effektiv und unterscheidet sie von reinen Compliance-Maßnahmen?

Viele Organisationen gehen das Thema Resilienz bürokratisch an und verfassen Richtlinien und Verfahren, ohne diese in die Praxis umzusetzen. Der wahre Nutzen liegt in realistischen, manchmal unangenehmen Tests, die Schwachstellen aufdecken und den Teams beibringen, wie sie reagieren müssen. Kein echter Vorfall verläuft jemals genau wie ein einstudiertes Szenario, aber wiederholte Tests fördern die Fähigkeit zur Mustererkennung und Problemlösung, die erforderlich sind, wenn die Pläne nicht mehr greifen.

Wie oft sollte ein Unternehmen seinen Geschäftskontinuitätsplan überprüfen?

Resilienz muss zur Gewohnheit werden und darf keine einmal im Jahr zu erledigende Aufgabe sein. Unternehmen, die sich nur einmal im Jahr Gedanken über die Geschäftskontinuität machen, hinken bereits hinterher, da sich Personalfluktuation, technologische Veränderungen und Lieferantenbeziehungen ständig wandeln. Die Verankerung des Resilienzdenkens im täglichen Geschäftsbetrieb – anstatt es als einmal im Jahr stattfindende Compliance-Maßnahme zu betrachten – ist es, was proaktive Organisationen von denen unterscheidet, die unvorbereitet sind.