4. Praktikable Ausweichlösungen vorbereiten
Nicht jeder ausgefallene Geschäftsprozess lässt sich sofort wiederherstellen. Deshalb sollten Unternehmen für kritische Abläufe stets praktikable Alternativen bereithalten. Dazu zählen Ersatzsysteme für wichtige Anwendungen, alternative Kommunikationskanäle oder manuelle Verfahren, mit denen sich bestimmte Tätigkeiten vorübergehend fortführen lassen. Auch der Zugriff auf geschäftskritische Daten und Dokumente sollte im Notfall möglich sein. Zudem müssen mögliche Abhängigkeiten von externen IT-Dienstleistern und Cloud-Anbietern berücksichtigt und deren Unterstützungsmöglichkeiten im Vorfeld geklärt werden. Entscheidend ist, dass die betroffenen Mitarbeiter die jeweiligen Ausweichlösungen kennen und nutzen können.
5. Ein klarer Kommunikationsplan
Im Fall einer Betriebsunterbrechung sollten Unternehmen vorab festlegen, wer im Ernstfall welche Informationen erhält, über welche Kanäle kommuniziert wird und wer dafür verantwortlich ist. Eine frühzeitige und abgestimmte Kommunikation gegenüber Kunden oder Lieferanten kann Unsicherheiten reduzieren und weitere negative Auswirkungen begrenzen.
Hier gilt es auch, die gesetzlichen Meldepflichten zu beachten: Je nach Art des Cybervorfalls und den geltenden regulatorischen Anforderungen müssen Unternehmen gegebenenfalls Behörden innerhalb festgelegter Fristen informieren. Entsprechende Vorgaben ergeben sich je nach Land, Branche und Unternehmen unter anderem aus der DSGVO, der nationalen Umsetzung der NIS2-Richtlinie oder DORA.
6. Regelmäßig testen
Regelmäßige Datensicherungen bzw. Backups garantieren keine erfolgreiche Wiederherstellung. Entscheidend ist, dass die gesicherten Daten im Ernstfall auch verfügbar und vollständig sind sowie innerhalb eines vertretbaren Zeitraums wiederhergestellt werden können. Hierbei können Wiederherstellungstests helfen.
Ebenso wichtig ist eine durchdachte Disaster-Recovery-Strategie für den sicheren Wiederanlauf geschäftskritischer Systeme. Externe IT-Dienstleister können dabei unterstützen. Auch die Backups selbst müssen ausreichend geschützt sein, etwa durch getrennte oder besonders gesicherte Sicherungskopien.
7. Den Ernstfall regelmäßig proben
Unternehmen sollten ihre Notfall- und Wiederherstellungspläne regelmäßig unter möglichst realistischen Bedingungen testen, etwa durch die Simulation eines IT-Ausfalls oder das Durchspielen konkreter Krisenszenarien. Solche Übungen helfen einerseits Mitarbeitern dabei, sich mit ihren Aufgaben vertraut zu machen, andererseits decken sie auch Schwachstellen in bestehenden Abläufen auf. Die gewonnenen Erkenntnisse sollten Unternehmen anschließend nutzen, um ihre Pläne kontinuierlich zu verbessern und an veränderte Geschäftsprozesse oder IT-Infrastrukturen anzupassen.
Es ist nicht immer ein Cyberangriff
Betriebsunterbrechungen müssen nicht zwangsläufig durch schwerwiegende Cyberangriffe oder Katastrophenfälle ausgelöst werden. Schon ein fehlerhaftes Software-Update oder der unerwartete Ausfall eines zentralen IT-Systems kann erhebliche Auswirkungen auf den Geschäftsbetrieb haben. Umso wichtiger ist es, nicht erst im Ernstfall über die Wiederherstellung nachzudenken. Unternehmen, die ihre kritischen Prozesse und Abhängigkeiten kennen, klare Verantwortlichkeiten und Prioritäten festgelegt haben und ihre Wiederanlaufpläne regelmäßig überprüfen, können Ausfallzeiten begrenzen, schneller zum Normalbetrieb zurückkehren und wirtschaftliche Schäden reduzieren.
