Business Continuity Management – Geschäftskontinuität sicherstellen

Business Continuity Management (BCM) umfasst alle Strategien, Pläne und Maßnahmen, die sicherstellen, dass ein Unternehmen auch bei schwerwiegenden Störungen — von Cyberangriffen über Naturkatastrophen bis hin zu Lieferkettenausfällen — seine kritischen Geschäftsprozesse aufrechterhalten oder schnellstmöglich wiederherstellen kann.

Die Pandemie, zunehmende Ransomware-Angriffe und geopolitische Krisen haben gezeigt: Unternehmen ohne BCM geraten in existenzbedrohende Situationen, während resiliente Organisationen gestärkt aus Krisen hervorgehen. Die DATUREX GmbH unterstützt Unternehmen in Sachsen und bundesweit beim Aufbau professioneller BCM-Strukturen.

Was ist Business Continuity Management?

Business Continuity Management ist ein vollständiger Managementansatz, der potenzielle Bedrohungen für eine Organisation identifiziert und deren Auswirkungen auf den Geschäftsbetrieb bewertet. Es stellt einen Rahmen bereit, um die Widerstandsfähigkeit des Unternehmens zu stärken und eine effektive Reaktion auf Störfälle zu ermöglichen.

BCM unterscheidet sich von reinem Incident Response durch den strategischen, unternehmensweiten Ansatz. Während Incident Response die operative Reaktion auf Vorfälle steuert, betrachtet BCM das Gesamtbild: Welche Prozesse sind geschäftskritisch? Wie lange können sie ausfallen? Welche Alternativen gibt es?

BCM vs. Disaster Recovery vs. Krisenmanagement

• Business Continuity Management – Strategischer Rahmen für die Aufrechterhaltung aller geschäftskritischen Prozesse
• Disaster Recovery – Fokussiert auf die Wiederherstellung der IT-Infrastruktur nach einem Ausfall
• Krisenmanagement – Operative Führung und Kommunikation während einer akuten Krise
• IT-Notfallmanagement – Spezifische IT-bezogene Notfallprozesse als Teil des BCM

Alle vier Disziplinen ergänzen sich und sollten in einem integrierten System zusammenwirken.

Warum ist BCM wichtig?

Existenzbedrohende Risiken nehmen zu

Die Bedrohungslandschaft für Unternehmen hat sich dramatisch verändert:

• Cyberangriffe – Ransomware kann den gesamten IT-Betrieb innerhalb von Stunden lahmlegen
• Lieferkettenausfälle – Globale Abhängigkeiten machen Unternehmen verwundbar
• Naturkatastrophen – Hochwasser, Stürme und extreme Wetterereignisse nehmen zu
• Pandemien – COVID-19 hat gezeigt, dass ganze Geschäftsmodelle über Nacht wegbrechen können
• Energiekrisen – Stromausfälle und Energieknappheit bedrohen die Produktion
• Personalausfälle – Schlüsselpersonen können durch Krankheit, Unfall oder Kündigung ausfallen

Regulatorische Anforderungen

• NIS2-Richtlinie – Verpflichtet wesentliche und wichtige Einrichtungen zu BCM-Maßnahmen
• ISO 27001 – Anhang A.17 fordert Informationssicherheitsaspekte des BCM
• DORA – Digital Operational Resilience Act für den Finanzsektor
• KRITIS-Verordnung – BCM-Pflicht für Betreiber kritischer Infrastrukturen
• BSI IT-Grundschutz – DER.4 Notfallmanagement

Wirtschaftliche Auswirkungen

Unternehmen ohne BCM erleiden bei Störfällen durchschnittlich 2-3x höhere finanzielle Verluste als Unternehmen mit etabliertem BCM. Die Kosten eines mehrtägigen Betriebsausfalls übersteigen die BCM-Investitionen um ein Vielfaches.

Der BCM-Lebenszyklus nach ISO 22301

Die internationale Norm ISO 22301 definiert den Standard für Business Continuity Management Systeme (BCMS). Der BCM-Lebenszyklus umfasst folgende Phasen:

Phase 1: Business Impact Analyse (BIA)

Die BIA ist das Herzstück des BCM. Sie identifiziert kritische Geschäftsprozesse und bewertet die Auswirkungen eines Ausfalls:

• Kritische Prozesse identifizieren – Welche Prozesse sind für das Überleben des Unternehmens unverzichtbar?
• Maximum Tolerable Period of Disruption (MTPD) – Wie lange darf ein Prozess maximal ausfallen?
• Recovery Time Objective (RTO) – Innerhalb welcher Zeit muss der Prozess wiederhergestellt sein?
• Recovery Point Objective (RPO) – Wie viel Datenverlust ist maximal akzeptabel?
• Abhängigkeiten kartieren – Welche Ressourcen (IT, Personal, Lieferanten, Räumlichkeiten) werden benötigt?
• Finanzielle Auswirkungen bewerten – Umsatzverlust, Vertragsstrafen, Reputationsschäden pro Ausfallstunde/-tag

Phase 2: Risikoanalyse und Bedrohungsszenarien

• Identifikation relevanter Bedrohungen für die kritischen Prozesse
• Bewertung von Eintrittswahrscheinlichkeit und Schadenshöhe
• Entwicklung konkreter Szenarien (Cyberangriff, Gebäudeausfall, Personalausfall, IT-Totalausfall)
• Priorisierung der Szenarien nach Risiko

Phase 3: BCM-Strategie entwickeln

Basierend auf BIA und Risikoanalyse werden Strategien für verschiedene Szenarien entwickelt:

• Präventionsstrategien – Maßnahmen zur Risikovermeidung und -minimierung
• Reaktionsstrategien – Sofortmaßnahmen bei Eintritt eines Schadensereignisses
• Wiederanlaufstrategien – Schrittweise Wiederherstellung des Normalbetriebs
• Kommunikationsstrategien – Interne und externe Kommunikation in der Krise

Phase 4: Business Continuity Pläne erstellen

• Notfallhandbuch – Zentrale Dokumentation aller Notfallprozesse
• Wiederanlaufpläne – Detaillierte Schritt-für-Schritt-Anleitungen pro kritischem Prozess
• Kommunikationsplan – Kontaktlisten, Eskalationswege, Mediensprechfähigkeit
• IT-Disaster-Recovery-Plan – Technische Wiederherstellung der IT-Systeme
• Ausweichstandort-Konzept – Alternativer Arbeitsplatz bei Gebäudeausfall

Phase 5: Tests und Übungen

• Tabletop-Exercises – Durchspielen von Szenarien am Tisch mit Entscheidungsträgern
• Funktionstest – Prüfung einzelner BCM-Komponenten (z.B. Backup-Wiederherstellung)
• Simulationen – Realitätsnahe Übungen unter Zeitdruck
• Lessons Learned – Auswertung und Verbesserung nach jeder Übung

Phase 6: Kontinuierliche Verbesserung

BCM ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Regelmäßige Reviews, Updates der BIA und Anpassungen an veränderte Bedrohungslagen sind essentiell.

BCM und Informationssicherheit

Business Continuity Management und Informationssicherheit sind eng verknüpft. Ein effektives ISMS bildet die Grundlage für ein robustes BCM:

• ISO 27001 Anhang A.17 – Fordert die Planung der Informationssicherheits-Kontinuität
• Datensicherung – Backup-Strategien als zentrales Element der Business Continuity
• Incident Response – Verfahren zur Reaktion auf Sicherheitsvorfälle, die BCM-relevant werden
• Zero Trust – Reduziert die Angriffsfläche und begrenzt die Auswirkungen von Sicherheitsvorfällen
• Cyber-Versicherung – Finanzielle Absicherung als ergänzende BCM-Maßnahme

Die ISO 22301 (BCM) und ISO 27001 (ISMS) lassen sich hervorragend integrieren und ergänzen sich zu einem vollständigen Resilienz-Framework.

BCM für den Mittelstand

Auch ohne dediziertes BCM-Team können mittelständische Unternehmen ein wirksames Business Continuity Management aufbauen:

Pragmatischer Einstieg

1. Top 5 kritische Prozesse identifizieren — nicht alles auf einmal
2. Einfache BIA durchführen — Was passiert, wenn Prozess X eine Stunde/einen Tag/eine Woche ausfällt?
3. Backup-Strategie prüfen und testen — 3-2-1-Regel: 3 Kopien, 2 Medien, 1 Offsite
4. Notfallkontakte definieren — Wer entscheidet was im Ernstfall?
5. Einen Wiederanlaufplan für das wahrscheinlichste Szenario erstellen
6. Einmal jährlich üben — Tabletop-Exercise mit der Geschäftsführung

Typische Kosten

Ein BCM-Grundschutz für KMU (bis 250 Mitarbeiter) lässt sich mit überschaubarem Aufwand etablieren. Die Investition steht in keinem Verhältnis zu den potenziellen Kosten eines unvorbereiteten Betriebsausfalls, der schnell in den sechsstelligen Bereich gehen kann.

BCM-Standards und Normen

• ISO 22301 – Internationaler Standard für Business Continuity Management Systeme (BCMS)
• ISO 22313 – Leitfaden zur Implementierung von ISO 22301
• BSI-Standard 200-4 – Business Continuity Management (Nachfolger des BSI-Standard 100-4)
• BCI Good Practice Guidelines – Praxisleitfaden des Business Continuity Institute
• NIST SP 800-34 – Contingency Planning Guide for Federal Information Systems

IT-Disaster-Recovery als BCM-Kernkomponente

Die IT-Disaster-Recovery ist der technische Kern jedes Business-Continuity-Plans. In einer digitalisierten Wirtschaft sind praktisch alle Geschäftsprozesse von der IT abhängig — ein vollständiger IT-Ausfall bedeutet für die meisten Unternehmen einen vollständigen Geschäftsstillstand. Die Disaster-Recovery-Planung muss daher mit derselben Sorgfalt behandelt werden wie die übergeordnete BCM-Strategie.

Backup-Strategie nach der 3-2-1-1-0-Regel

Die bewährte 3-2-1-Backup-Regel wurde angesichts moderner Bedrohungen — insbesondere Ransomware, die gezielt Backups verschlüsselt — zur 3-2-1-1-0-Regel erweitert:

• 3 Kopien der Daten (Original plus zwei Backups)
• 2 verschiedene Medientypen (z.B. lokale Festplatten und Cloud-Storage)
• 1 Offsite-Kopie an einem geographisch getrennten Standort
• 1 Offline-/Air-Gapped-Kopie die nicht über das Netzwerk erreichbar ist und somit vor Ransomware geschützt bleibt
• 0 Fehler bei der regelmäßigen Wiederherstellungsprüfung — Backups, die nie getestet wurden, sind keine echten Backups

Recovery-Szenarien und Zeitrahmen

Für jeden kritischen Geschäftsprozess müssen realistische Recovery-Szenarien geplant und getestet werden:

• Einzelsystem-Ausfall – Ein Server fällt aus. RTO: 4-8 Stunden. Lösung: Wiederherstellung aus dem letzten Backup oder Failover auf Standby-System
• Standort-Ausfall – Das gesamte Rechenzentrum oder Bürogebäude ist nicht verfügbar. RTO: 24-72 Stunden. Lösung: Ausweichstandort, Cloud-basierte Disaster Recovery
• Ransomware-Totalverschlüsselung – Alle Systeme inklusive Active Directory sind verschlüsselt. RTO: 48-168 Stunden. Lösung: Air-Gapped-Backups, vorbereitete Wiederherstellungsprozeduren, priorisierte Wiederherstellungsreihenfolge
• Cloud-Provider-Ausfall – Der primäre Cloud-Anbieter ist nicht verfügbar. RTO: abhängig von Multi-Cloud-Strategie. Lösung: Multi-Cloud-Redundanz, lokale Kopien kritischer Daten

BCM und Supply Chain Resilience

Die NIS2-Richtlinie betont die Bedeutung der Lieferkettensicherheit als integralen Bestandteil des BCM. Unternehmen müssen nicht nur ihre eigene Geschäftskontinuität sicherstellen, sondern auch die Abhängigkeiten von kritischen Lieferanten und Dienstleistern bewerten und absichern:

• Kritische Lieferanten identifizieren – Welche Lieferanten und Dienstleister sind für die Aufrechterhaltung der Geschäftsprozesse unverzichtbar? Gibt es Single Points of Failure?
• BCM-Anforderungen vertraglich festlegen – Vertragliche Vereinbarungen über Verfügbarkeitsgarantien, Wiederherstellungszeiten und Meldepflichten bei Störungen
• Alternative Lieferanten vorhalten – Für kritische Zulieferungen und Dienstleistungen mindestens einen qualifizierten Alternativlieferanten identifizieren und vorbereiten
• Regelmäßige Überprüfung – Die BCM-Fähigkeiten kritischer Lieferanten regelmäßig prüfen, z.B. durch Fragebögen, Audits oder gemeinsame Übungen
• IT-Dienstleister einbeziehen – Cloud-Provider, Managed-Service-Provider und SOC-Dienstleister in die BCM-Planung integrieren und deren SLAs an die eigenen RTO/RPO-Anforderungen anpassen

BCM-Übungen und Krisenszenarien

Die regelmäßige Durchführung von BCM-Übungen ist der wichtige Faktor, der ein theoretisches Planwerk von einer funktionierenden Krisenreaktion unterscheidet. In der Praxis zeigt sich bei fast jeder Erstübung, dass der Plan erhebliche Lücken aufweist — veraltete Kontaktdaten, unrealistische Wiederherstellungszeiten, unklare Entscheidungsbefugnisse oder fehlende Ressourcen.

Übungstypen und empfohlene Frequenz

• Tabletop-Exercise (halbjährlich) – Die Geschäftsführung und Schlüsselpersonen durchlaufen ein Krisenszenario am Tisch. Dauer: 2-3 Stunden. Fokus: Entscheidungsfindung, Kommunikation, Eskalation. Geringster Aufwand, aber hoher Erkenntnisgewinn
• Funktionstest (quartalsweise) – Einzelne BCM-Komponenten werden real getestet: Backup-Wiederherstellung, Umschaltung auf Ausweichstandort, Aktivierung des Kommunikationsplans. Validiert die technische Funktionsfähigkeit
• Vollübung (jährlich) – Realistische Simulation eines Krisenszenarios mit Zeitdruck und ohne Vorwarnung der Teilnehmer. Die anspruchsvollste, aber auch aussagekräftigste Übungsform. Erfordert sorgfältige Planung und einen erfahrenen Übungsleiter

Bewährte Krisenszenarien für BCM-Übungen

• Ransomware-Angriff am Freitagabend – Alle IT-Systeme sind verschlüsselt, Backups werden geprüft. Die IT-Verantwortlichen sind im Urlaub. Wie reagiert das Unternehmen?
• Gebäudeausfall durch Wasserschaden – Das Hauptbüro ist nicht betretbar. Wie arbeiten die Teams weiter? Wo sind die kritischen Unterlagen?
• Ausfall des Cloud-Providers – Microsoft 365 ist 48 Stunden nicht erreichbar. Wie wird kommuniziert? Wie laufen die Geschäftsprozesse weiter?
• Ausfall eines kritischen Lieferanten – Der wichtigste IT-Dienstleister stellt den Betrieb ein. Gibt es einen Alternativplan?

Die Ergebnisse jeder Übung werden in einem After-Action-Report dokumentiert, der konkrete Verbesserungsmaßnahmen mit Verantwortlichen und Fristen enthält. Die Umsetzung dieser Maßnahmen wird beim nächsten BCM-Review überprüft und bildet den Kern der kontinuierlichen Verbesserung des ISMS und BCM.

DATUREX GmbH — Ihr BCM-Partner

Die DATUREX GmbH unterstützt Unternehmen beim Aufbau und der Optimierung ihres Business Continuity Managements:

• Business Impact Analyse – Identifikation und Bewertung kritischer Geschäftsprozesse
• BCM-Strategie – Entwicklung individueller Kontinuitätsstrategien
• Notfallpläne – Erstellung operativer Wiederanlauf- und Kommunikationspläne
• IT-Disaster-Recovery – Technische Wiederherstellungskonzepte und Backup-Strategien
• Tests und Übungen – Tabletop-Exercises und realistische Simulationen
• ISO 22301 Begleitung – Unterstützung auf dem Weg zur BCM-Zertifizierung
• ISMS-Integration – Verknüpfung von BCM und Informationssicherheits-Management