Warum Business Continuity Management (BCM) überlebenswichtig ist

Ein Cyberangriff, ein Brand – und plötzlich steht das ganze Unternehmen still. Genau darauf müssen Organisationen vorbereitet sein. Business Continuity Management (BCM) schafft Strukturen, um im Ernstfall schnell zu reagieren und die Handlungsfähigkeit zu erhalten. In diesem Artikel betrachten wir, wie KMU von einem durchdachten BCM-Ansatz profitieren – und warum gerade die technische Komponente oft über Erfolg oder Stillstand entscheidet.

Definition: Was ist Business Continuity Management?

Business Continuity Management (BCM) umfasst alle Strategien und Maßnahmen, um bei schwerwiegenden Störungen den Geschäftsbetrieb aufrechtzuerhalten bzw. schnellstmöglich wiederherzustellen. Solche Störungen betreffen zum Beispiel IT-Ausfälle, Naturkatastrophen oder Lieferengpässe. Im Deutschen spricht man auch von Geschäftskontinuitätsmanagement oder Betriebskontinuitätsmanagement.

BCM ist kein einmaliges Projekt, sondern ein kontinuierlicher Managementprozess. Er umfasst unter anderem:

• Business Impact Analysis (BIA)
• Risikobewertung (Risk Assessment)
• Strategieentwicklung
• Notfall- und Wiederanlaufpläne
• Tests
• Schulungen
• Fortlaufende Optimierung

Es existieren Normen wie ISO 22301, die hier einen klaren Rahmen vorgeben.

Das Business Continuity Management ist eng verwandt mit dem betrieblichen Risikomanagement. Zudem bestehen große Überschneidungen mit dem Disaster Recovery (DR) in der IT. Letztere befasst sich mit der Wiederherstellung von IT-Systemen und Daten nach einem Ausfall. DR deckt damit den technischen Aspekt des BCM ab.

Warum ist BCM wichtig?

Es gibt mehrere Gründe, warum sich Unternehmen mit BCM befassen sollten:

1. Digitale Flächenbrände vermeiden

Die Digitalisierung bringt ein hohes Maß an Vernetzung mit sich. Das bedeutet: Bereits einzelne Störungen oder Angriffe können ganze Geschäftsprozesse lahmlegen. BCM antizipiert solche Dominoeffekte und vermeidet sie.

2. Den wirtschaftlichen Fortbestand sichern

25 Prozent aller Unternehmen, die einen Katastrophenfall erleben, müssen permanent schließen. BCM federt solche existenzbedrohenden Vorfälle ab.

3. Kosten vermeiden

Organisationen mit regelmäßigen Ausfällen haben im Schnitt 16-mal höhere Geschäftskosten. Durch BCM lassen sich diese hohen, unnötigen Ausgaben vermeiden.

4. Reputationsschäden vorbeugen

Stillstände treffen Unternehmen nicht nur finanziell, sondern beeinflussen auch die Wahrnehmung von Kunden und Partnern. Umgekehrt erzeugt ein verlässliches BCM bei Stakeholdern Vertrauen und kann sogar als Wettbewerbsvorteil genutzt werden.

5. Regulatorische Anforderungen erfüllen

In vielen Branchen sind Unternehmen gesetzlich verpflichtet, ihre Betriebsfähigkeit im Krisenfall nachzuweisen; andernfalls drohen hohe Strafzahlungen.

Standards für Business Continuity Management

Für die Umsetzung eines wirksamen Business Continuity Managements existieren verschiedene Normen und Leitlinien. Die wichtigsten sind:

ISO 22301

Die ISO 22301 ist eine weltweit anerkannte Norm für das Business Continuity Management. Sie stützt sich auf den PDCA-Zyklus (Plan-Do-Check-Act). Die Norm schreibt unter anderem vor:

• die Durchführung einer Business Impact Analysis (BIA)
• die Definition von Recovery-Zielen
• die Planung von Notfallmaßnahmen
• regelmäßige Tests und Audits

Die Zertifizierung nach ISO 22301 ist freiwillig, kann aber für Kunden, Partner und Behörden als glaubwürdiger BCM-Nachweis dienen.

Neben dem internationalen Standard existiert auch eine europäische Fassung, die DIN EN ISO 22301. Der Inhalt entspricht der internationalen Version, sie kann jedoch über nationale Normungsstellen bezogen werden.

ISO 27001

ISO/IEC 27001 befasst sich mit Informationssicherheit von Unternehmen, ist also kein dedizierter BCM-Standard. Um die Informationssicherheit zu gewährleisten, müssen allerdings Maßnahmen zur Bewältigung von Betriebsstörungen eingeplant werden. In der Praxis dient ISO 27001 damit in vielen Organisationen als Ausgangspunkt für BCM.

BSI-Standard 200-4

Das Bundesamt für Sicherheit in der Informationstechnik bietet mit dem BSI-Standard 200-4 ein weiteres Framework für das BCM. Der Standard richtet sich vor allem an staatliche und öffentliche Organisationen, ist aber auch für Unternehmen relevant. Er orientiert sich an ISO 22301, ist aber praxisnäher ausgearbeitet, zum Beispiel durch Checklisten.

Weitere Standards

Weitere Regelwerke mit BCM-Bezug sind:

• NIS-2-Richtlinie (Network and Information Security 2): Diese EU-Direktive verpflichtet Unternehmen in 18 kritischen Sektoren zu verschiedenen IT-Sicherheitsmaßnahmen. Das betrifft auch die Aufrechterhaltung der Betriebsfähigkeit bei IT-Sicherheitsvorfällen. Bei Nichteinhaltung drohen hohe Geldstrafen.

• DORA (Digital Operational Resilience Act): DORA richtet sich an Finanz- und Versicherungsunternehmen in der EU und schreibt unter anderem robuste BCM- und DR-Maßnahmen vor.

• KRITIS-Verordnung: Die deutsche KRITIS-Verordnung verlangt von Betreibern kritischer Infrastrukturen einige BCM-Maßnahmen. Die Verordnung überschneidet sich inhaltlich teilweise mit NIS-2, wobei der Lex-specialis-Grundsatz gilt (NIS-2 hat im Zweifelsfall Vorrang).

Bestandteile

Ein funktionierendes Business Continuity Management umfasst typischerweise die folgenden Bausteine:

1. Business Impact Analysis (BIA)

Die BIA bildet die Basis jedes BCM-Systems. Sie identifiziert kritische Geschäftsprozesse (zum Beispiel Produktionssysteme oder Kommunikationskanäle) und bewertet, welche Folgen deren Ausfall hätte. Dabei existieren mindestens vier Beurteilungsperspektiven:

• zeitliche Einbußen
• finanzielle Verluste
• rechtliche Konsequenzen
• reputationsbezogene Folgen

Für die entsprechenden Prozesse werden dann RTOs und RPOs definiert. Das RTO (Recovery Time Objective) legt fest, wie schnell der entsprechende Prozess nach einem Ausfall wieder verfügbar sein muss. Das RPO (Recovery Point Objective) definiert, wie viele Daten dabei maximal verloren gehen dürfen; das betrifft vor allem Backup-Intervalle.

2. Risikoanalyse (Risk Assessment)

Die Risikoanalyse betrachtet, welche Bedrohungen für einen bestimmten Geschäftsprozess am wahrscheinlichsten sind. Zum Beispiel könnte für den Warenausgang im Zentrallager das folgende Risiko-Ranking erstellt werden (von wahrscheinlich nach weniger wahrscheinlich):

• Stromausfall (= Stillstand der Fördertechnik)
• Brand (= Verlust von Waren und Infrastruktur)
• Cyberangriff auf die ERP-Software (= keine Kommissionierung mehr möglich)
• Streik beim Transportdienstleister (= keine Auffüllung der Bestände)

3. Strategie

Unter Einbezug der BIA und der Risikoanalyse wird im nächsten Schritt eine BCM-Strategie entwickelt. Das Ziel: Den Geschäftsbetrieb bei Störungen aufrechtzuerhalten bzw. schnellstmöglich wiederherzustellen. Das umfasst Themen wie Failover-Umgebungen, alternative Kommunikationskanäle oder Ausweicharbeitsplätze.

4. Notfall- und Wiederanlaufpläne

Die Strategie wird nun in konkrete Pläne übersetzt, die beschreiben, wie im Ernstfall vorzugehen ist. Dazu gehören:

• ein übergeordneter Business-Continuity-Management-Plan
• ein IT-Notfallplan zur Wiederherstellung der Systeme (Disaster-Recovery-Plan)
• Kommunikationspläne, sowohl was die Kanäle als auch die zu informierenden Stakeholder angeht

5. Schulungen

Mitarbeitende müssen wissen, was im Krisenfall zu tun ist. Das betrifft insbesondere die Nicht-Techniker im Unternehmen, die von IT-Ausfällen besonders stark betroffen sind. Am besten geschieht das über regelmäßige Schulungen. Themen sollten sein:

• Verhalten bei Cyberangriffen
• Ansprechpartner
• Alternative Arbeitsplätze und Logins
• Regeln zur Verwendung von eigenen Geräten
• Eskalationsketten

6. Tests

Die BCM-Pläne müssen regelmäßig getestet werden. Dafür sollten Planspiele, Wiederanlauftests und Evakuierungsübungen durchgeführt werden. Nur so lassen sich Prozesse realitätsnah trainieren.

7. Kontinuierliche Verbesserung

Die Gegebenheiten im Unternehmen ändern sich ständig. Das betrifft zum Beispiel Änderungen an IT-Systemen, Marktentwicklungen oder neue Organisationsstrukturen. Das BCM muss deshalb fortlaufend angepasst werden, um den Status quo widerzuspiegeln.

BCM vs. DR

Business Continuity Management (BCM) und Disaster Recovery (DR) werden häufig im selben Atemzug genannt – und tatsächlich bestehen große Überschneidungen. Sie sind aber nicht identisch.

BCM ist ein ganzheitlicher Managementansatz. Es geht darum, kritische Geschäftsprozesse aufrechtzuerhalten bzw. wiederherzustellen, und zwar auf jeder Ebene: organisatorisch, prozessual und technisch.

DR konzentriert sich auf die Wiederherstellung der IT-Infrastruktur nach einem schwerwiegenden Vorfall. Das umfasst zum Beispiel Backup-Strategien, Failover-Mechanismen und DR-Simulationen. Der Fokus liegt auf der technischen Ebene.

DR ist immer Bestandteil von BCM, BCM kann aber über DR hinausgehen. So wäre ein Streik beim Logistikpartner kein DR-Thema, aber sehr wohl ein Fall fürs BCM.

Aspekt	Business Continuity Management (BCM)	Disaster Recovery (DR)
Ziel	Aufrechterhaltung kritischer Geschäftsprozesse	Wiederherstellung der IT-Systeme und -Daten
Fokus	Die Gesamtorganisation	Die IT-Infrastruktur
Perspektive	Holistisch	Technisch
Maßnahmen	Ersatzprozesse, Kommunikation, Evakuierung	Backups, Failover-Mechanismen
Verantwortung	Geschäftsführung, BCM-Koordinatoren	IT-Abteilung
Beispiel	Fortführung der Kundenbetreuung bei Standortausfall	Wiederherstellung der Server nach Cyberattacke

Die flexible Erweiterung: EEaaS

Auch wenn Business Continuity Management über reine IT-Themen hinausgeht, liegt der Schwerpunkt in vielen Unternehmen auf der technischen Wiederherstellung. Das ist der stark digitalisierten Geschäftswelt geschuldet, in der wir leben.

Allerdings sehen sich viele IT-Verantwortliche mit Disaster-Recovery-Maßnahmen überfordert. Das hängt zum einen mit personellen Engpässen zusammen, Stichwort IT-Fachkräftemangel. Zum anderen fehlt intern auch oft das Know-how: wenn die Mitarbeiter stark ins Tagesgeschäft eingespannt sind, haben sie kaum noch Zeit, sich zum Beispiel über die neuesten Angriffsvektoren zu informieren. Und nicht zuletzt kann die interne Realisierung von IT-Notfallumgebungen auch mit erheblichen Anschaffungskosten verbunden sein, speziell was Hardware angeht.

Hier setzt Emergency-Environment-as-a-Service (EEaaS) an: Ein externer Provider stellt betroffenen Unternehmen eine IT-Notfallumgebung zur Verfügung. Diese cloud-basierten Lösungen können bei Bedarf kurzfristig aktiviert werden. Das ist so, als ob Sie bei einem Wasserschaden in der Wohnung schnell in ein Airbnb ausweichen können. Alles Wichtige – Bett, Küche, Bad, Internetverbindung – steht schon bereit.

Vorteile sind:

• Flexible Verfügbarkeit: Externe Notfallumgebungen können in kürzester Zeit aktiviert werden.

• Geringer Aufwand: Das Unternehmen muss keine eigene Failover-Umgebung aufsetzen und pflegen.

• Professionelle Wartung: Der Provider sorgt für regelmäßige Updates und Patches.

• Geringere RTOs: Notfallumgebungen, die vielfach getestet wurden, führen zu schnelleren Wiederherstellungszeiten.

Best Practices für Business Continuity Management

Mit diesen Best Practices stellen Sie sicher, dass Ihr BCM im Ernstfall greift.

1. Schaffen Sie analoge Alternativen

Überlegen Sie, wie Sie im schlimmsten Fall auch ohne digitale Tools den Betrieb fortsetzen können. Legen Sie dafür „Low-Tech-Krisensets“ an mehreren Stellen im Unternehmen an. Diese beinhalten zum Beispiel:

• Aktenordner mit Notfallplänen
• Die wichtigsten Formulare in Papierform, beispielsweise Bestellformulare
• Telefonlisten auf Papier, zum Beispiel von Kunden und Partnern
• Batteriebetriebene Radios, um die Nachrichten verfolgen zu können, falls die digitalen Medien ausfallen (Überschwemmungen, Erdbeben)

Führen Sie entsprechende Simulationen durch, in denen das Team keinerlei digitale Hilfsmittel benutzen darf. Beobachten Sie, wie gut oder schlecht Kernprozesse fortgeführt werden können, also beispielsweise die manuelle Dokumentation von Warenbewegungen. Justieren Sie gegebenenfalls nach.

Natürlich ist das keine langfristige Lösung; aber es sind sehr wohl Situationen denkbar, in denen nur noch ein analoger Betrieb möglich ist, gerade in den ersten 24 Stunden.

2. Nutzen Sie QR-Codes

Nutzen Sie offline verfügbare QR-Codes, zum Beispiel ein Papieraushang im Warenlager oder am Empfang. Kommt es zu einem Notfall, muss der Mitarbeiter lediglich eine Aktion durchführen – das Handy zücken und den QR-Code scannen. Dort wird ihm nun mitgeteilt, was als Nächstes zu tun ist. Das nimmt dem Mitarbeiter im Ernstfall die Denkarbeit ab.

Wichtig: Achten Sie darauf, dass die Anleitungen möglichst redundant gespeichert werden, also auch dann noch abgerufen werden können, wenn das Primärsystem bereits nicht mehr funktioniert. Das lässt sich gut über kleine, physisch vom Primärsystem isolierte Storage-Einheiten realisieren (Air Gapping).

3. Vereinbaren Sie Notfallpartnerschaften

Schließen Sie sich mit befreundeten Unternehmen oder Nachbarn am Standort zusammen. Hat einer von Ihnen einen Störfall, hilft der andere aus, indem zum Beispiel Leihgeräte oder alternative Arbeitsplätze zur Verfügung gestellt werden. Gerade kleinere Unternehmen mit begrenzten Ressourcen können so ohne großen Aufwand ihr Business Continuity Management verbessern.

4. Führen Sie Inkognito-Übungen durch

Testen Sie die Ernstfallbereitschaft, ohne das Team vorab zu informieren. Zum Beispiel könnten Sie einen Ausfall des CRM-Systems simulieren, indem Sie die Serververbindung kappen. Nun muss das Team Kundenprozesse manuell abwickeln.

Erfahrungsgemäß scheuen sich viele Verantwortliche, solche annähernd realen Tests durchzuführen, weil Umsatzeinbußen befürchtet werden. Man kann hier aber gegensteuern, indem man solche Inkognito-Übungen zeitlich begrenzt, zum Beispiel auf 30 Minuten.

5. Schaffen Sie dezentrale Krisenkompetenz

Im Ernstfall konzentriert sich alles auf die IT: Sie wird typischerweise mit Anfragen aus den verschiedenen Abteilungen geflutet. Das verzögert die Wiederherstellung der Systeme.

Verteilen Sie Verantwortung und Know-how deshalb bewusst auf mehrere Schultern. Am besten gelingt das, indem Sie in jeder Abteilung einen Krisenbeauftragten benennen, der gezielt für den Umgang mit Störungen geschult wird. Diese Person muss kein IT-Profi sein, aber sie sollte:

• die Prozesse der eigenen Abteilung genau kennen
• die Notfallpläne gelesen und verstanden haben
• die Kommunikationswege kennen
• erste Fragen abfangen und unnötige Eskalationen zur IT vermeiden

Dieses Vorgehen hat außerdem den Vorteil, dass das Querschnittsdenken gefördert wird. Mitarbeiter aus den Bereichen HR, Kundenservice oder Logistik haben oft wertvolle Impulse für das Business Continuity Management im Unternehmen, die vielleicht von den Technikern in der IT übersehen worden wären.

6. Erwägen Sie EEaaS

Im hektischen Arbeitsalltag bleibt IT-Verantwortlichen häufig zu wenig Zeit, um sich mit essenziellen Aufgaben wie der Planung und Umsetzung von Disaster-Recovery-Strategien zu befassen. Sie haben nicht die personellen Kapazitäten und häufig auch nicht das Sicherheits-Know-how, um diese Prozesse intern aufzusetzen. Hier kommt Emergency-Environment-as-a-Service (EEaaS) ins Spiel. Diese vorgeplanten Notfallumgebungen werden durch einen Provider bereitgestellt und bei Bedarf innerhalb von Minuten aktiviert.

Implementieren Sie BCM – mit Proact!

Möchten Sie Ihr Business Continuity Management verbessern und wünschen sich dafür einen verlässlichen Partner? Dann sollten Sie sich mit unseren Proact-Experten unterhalten. Wir unterstützen Unternehmen insbesondere bei der technischen Basis. Das schließt klassische Disaster-Recovery-Maßnahmen ein, aber auch moderne EEaaS-Lösungen (Emergency-Environment-as-a-Service). Bei letzteren handelt es sich um sofort aktivierbare Notfallumgebungen, die wir Ihnen flexibel aus der Cloud zur Verfügung stellen. Das steigert Ihre Wiederanlauffähigkeit deutlich.

Damit Ihr Business Continuity Management im Ernstfall wirklich greift, verwenden wir den folgenden, fünfstufigen Einführungsprozess:

1. Analyse

Im ersten Schritt verschaffen wir uns einen Überblick über Ihre Infrastruktur: Welche Systeme sind unternehmenskritisch? Welche Abhängigkeiten bestehen zwischen Systemen? Welche Wiederanlaufzeiten (RTOs) und Datenstände (RPOs) werden angestrebt? Dabei arbeiten wir eng mit Ihren internen IT-Experten zusammen. Wir stellen Fragen und hören genau zu, um Ihre Situation besser zu verstehen.

2. Design

Auf Basis der Analyse entwerfen wir Ihre individuelle Notfallumgebung. Sie spiegelt z.B. Ihre wichtigsten Systeme in einer sicheren, gut skalierenden Cloud. Dabei achten wir auf strikte Mandantentrennung sowie minimale Latenz im Ernstfall. Praktisch: Es entsteht keine zusätzliche Rechenlast für Ihre Primärumgebung, wie das bei traditionellen DR-Lösungen häufig der Fall ist; die Notfallumgebung läuft vollständig entkoppelt im Hintergrund.

3. Integration

Ihr Live-System wird über ein automatisiertes Verfahren fortlaufend mit der Backup-Umgebung synchronisiert. Snapshots und Replikationen erfolgen in Echtzeit oder in individuell definierten Intervallen. Natürlich werden sämtliche Daten verschlüsselt, sowohl im Transit als auch im Ruhezustand. Auf diese Weise ist Ihre Backup-Umgebung immer auf dem neuesten Stand, ohne dass manuelle Eingriffe nötig wären.

4. Validierung

In regelmäßigen Failover-Übungen simulieren wir verschiedene Ausfallszenarien. So stellen wir sicher, dass im Ernstfall jede Komponente greift, vom Systemverhalten über die Zugriffsverwaltung bis hin zur Kommunikation.

5. Aktivierung

Tritt der Notfall ein, steht Ihre Emergency-Umgebung binnen Minuten bereit. Auch unser Expertenteam wird sofort aktiv, egal zu welcher Tages- oder Nachtzeit. Wir koordinieren Notfallmaßnahmen, nehmen Optimierungen vor und reagieren unverzüglich auf Support-Anfragen. Das Ergebnis: Ihre Systeme laufen weiter bzw. sind in kürzester Zeit wieder online.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!