Inhalt
Vom Schutzdenken zur Resilienzstrategie
BCDR als wirtschaftliche Kernentscheidung
Moderne Bedrohungen erfordern neue Schutzmechanismen
BSI-Standard 200-4: Der Fahrplan für Business Continuity
Organisation schlägt Technologie
So erstellen Sie eine BCDR-Strategie Schritt für Schritt
Resilienz als Wettbewerbsfaktor
Weitere Beiträge der it-sa Expo&Congress zum Thema
FAQ zu Business Continuity
Gleichzeitig gewinnt Cyberresilienz in Europa eine neue strategische Bedeutung. Angriffe auf Unternehmen zielen längst nicht mehr nur auf Lösegeldzahlungen, sondern zunehmend auf wirtschaftliche Stabilität, Lieferketten und kritische Infrastrukturen. Staaten und staatsnahe Akteure nutzen Cyberoperationen gezielt als geopolitisches Instrument. Für Unternehmen bedeutet das: Resilienz ist nicht mehr nur IT-Schutz – sie wird Teil wirtschaftlicher und gesellschaftlicher Stabilität.
Ein Montagmorgen, 7:52 Uhr. Die Mitarbeitenden eines mittelständischen Unternehmens schalten ihre Rechner ein und nichts geht mehr. Verschlüsselte Dateien, ein Erpresserschreiben auf dem Bildschirm, die Produktion steht still. Was folgt, sind nicht nur Stunden, sondern oft Wochen des Stillstands: Datenverlust, Vertragsstrafen, Reputationsschäden. Für viele Unternehmen ist ein solches Ereignis existenzbedrohend.
Dass solche Szenarien keine Ausnahme sind, belegen die aktuellen Zahlen des Bundesamts für Sicherheit in der Informationstechnik (BSI): Allein im Januar 2026 wurden rund 4,61 Millionen neue Malware-Varianten registriert. Das entspricht 149.000 neuen Schadprogrammen pro Tag. Gleichzeitig lag der BSI-Botnetz-Index bei 800 Punkten: achtmal so viele aktiv infizierte Systeme wie noch 2019.
Was können Unternehmen machen, wenn ein Angriff trotz vieler Sicherheitsmaßnahmen gelingt? Genau darum geht es bei Business Continuity – dem Plan, der dafür sorgt, dass ein Unternehmen auch dann weiterarbeiten kann, wenn ein Teil seiner IT ausfällt oder kompromittiert wurde. Wer diesen Plan nicht hat, muss im schlimmsten Moment improvisieren.
Vom Schutzdenken zur Resilienzstrategie
Lange galt in Unternehmen ein einfaches Prinzip: Wer gut genug geschützt ist, wird nicht angegriffen. Firewalls, Virenscanner, Zugangsbeschränkungen – die Logik war die einer Festung. Doch diese Denkweise hat ein fundamentales Problem: Sie funktioniert nur, solange die Mauern halten.
Immer mehr europäische Sicherheitsverantwortliche denken heute anders. Das Prinzip heißt Assume Breach. Übersetzt: Geh davon aus, dass der Angriff bereits stattgefunden hat. Nicht als Pessimismus, sondern als Strategie. Wer nicht mehr fragt „Wie verhindern wir jeden Angriff?", sondern „Wie bleiben wir handlungsfähig, wenn er gelingt?", trifft grundlegend andere Entscheidungen.
Dieser Wandel ist kein rein technischer. Resilienz bedeutet, dass eine Organisation auch dann funktioniert, wenn Teile von ihr ausfallen: Mitarbeitende wissen, was zu tun ist. Es existieren Kommunikationswege, die nicht von betroffenen Systemen abhängen.
Gerade in Europa, wo Lieferketten, Energieversorgung und Produktionsprozesse tief digital verwoben sind, kann ein einzelner Ausfall Wellen schlagen, die weit über das betroffene Unternehmen hinausgehen.
Besonders Betreiber kritischer Infrastrukturen (KRITIS) – etwa Energie, Transport, Gesundheitswesen oder Finanzsysteme – stehen im Fokus moderner Angriffe. Hier kann ein IT-Ausfall nicht nur wirtschaftliche Schäden verursachen, sondern auch gesellschaftliche Auswirkungen haben.
Die wirtschaftliche Konsequenz ist ernüchternd: Die Kosten, die durch Stillstand entstehen – verpasste Aufträge, Vertragsstrafen, Wiederherstellung, Reputationsverlust – übersteigen in vielen Fällen den eigentlichen Schaden durch den Angriff selbst. Downtime ist teuer. Oft teurer als alles andere.
Business Continuity und Disaster Recovery (BCDR) ist die organisierte Antwort auf diese Erkenntnis. Kein Notfallordner, der verstaubt. Kein Krisenplan, den niemand kennt. Sondern die konkrete Vorbereitung darauf, dass man auch dann Entscheidungen treffen, liefern und kommunizieren kann, wenn die gewohnte Infrastruktur wegbricht. Unternehmen, die das ernst nehmen, haben in dem Moment, in dem es darauf ankommt, einen entscheidenden Vorsprung – gegenüber dem Angreifer, aber auch dem Wettbewerb.
BCDR als wirtschaftliche Kernentscheidung
Lange war Business Continuity eine Angelegenheit der IT-Abteilung: Backup-Frequenzen, Speicherorte, Wiederherstellungszeiten. Diese Zeiten sind vorbei, denn hinter den nüchternen Abkürzungen RTO und RPO – Recovery Time Objective und Recovery Point Objective – stecken Fragen, die unmittelbar ins Herz eines Unternehmens gehen:
- Wie lange darf eine Produktionslinie stillstehen, bevor Verträge platzen?
- Wie viele Stunden kann ein Zahlungsdienstleister offline sein, bevor Kunden das Vertrauen verlieren?
- Wie viel Datenverlust ist wirtschaftlich noch verkraftbar?
Das sind keine Infrastrukturparameter. Das sind Managemententscheidungen und sie sollten auch als solche getroffen werden.
Für europäische Unternehmen kommt dabei eine weitere Dimension hinzu: Resilienz darf nicht nur funktionieren. Sie muss es auch auf eine Art tun, die mit den hiesigen Anforderungen an Datenschutz, Governance und Regulierung vereinbar ist.
Mit der NIS-2-Richtlinie und der DORA-Verordnung verschärft der europäische Gesetzgeber die Anforderungen an Cyberresilienz deutlich. Unternehmen müssen künftig nachweisen können, dass sie kritische Geschäftsprozesse auch im Krisenfall aufrechterhalten können, Risiken systematisch bewerten und klare Notfallprozesse etabliert haben.
DORA für den Finanzsektor, NIS2 für kritische Infrastrukturen: Der europäische Gesetzgeber hat in den vergangenen Jahren unmissverständlich signalisiert, dass Ausfallsicherheit keine freiwillige Kür ist.
Resilienz bedeutet in Europa also: nicht nur schnell wieder auf den Beinen sein, sondern auch auf dem richtigen Fundament.
Moderne Bedrohungen erfordern neue Schutzmechanismen
Wer glaubt, ein gutes Backup sei die Antwort auf jeden Angriff, unterschätzt, wie professionell Angreifer heute vorgehen. Moderne Ransomware-Gruppen wissen, dass ein Unternehmen mit intakten Backups wenig Grund hat zu zahlen. Also greifen sie die Backups zuerst an.
Die Vorgehensweise ist dabei oft erschreckend geduldig: Angreifer bewegen sich wochenlang unbemerkt durch ein Netzwerk. Kartieren die Infrastruktur. Identifizieren Sicherungssysteme. Und löschen oder verschlüsseln sie, bevor sie ihre eigentliche Erpressung starten. Was zurückbleibt, ist ein Unternehmen, das glaubte, vorbereitet zu sein, und es im entscheidenden Moment nicht war.
Die Konsequenz ist ein Umdenken darüber, was ein Backup überhaupt leisten muss:
- Unveränderbare Backups, sogenannte Immutable Backups, können nachträglich weder verändert noch gelöscht werden, selbst dann nicht, wenn Angreifer Administratorenrechte übernommen haben.
- Physisch oder logisch getrennte Speicherumgebungen sorgen dafür, dass kompromittierte Systeme nicht als Brücke in die Sicherungsinfrastruktur dienen können.
- Und Zero-Trust-Prinzipien, ursprünglich für den Netzwerkzugang entwickelt, finden zunehmend Anwendung im Backup-Bereich: Kein System erhält automatisch Vertrauen, auch das eigene nicht.
Der Gedanke dahinter ist so simpel wie weitreichend: Die Wiederherstellungsinfrastruktur muss selbst als kritische Infrastruktur behandelt werden. Ein Unternehmen ist nur so resilient wie seine letzte saubere, unangreifbare Kopie.
