Ein verschlüsselter Fileserver, ein Ausfall der Telefonie oder ein nicht erreichbares ERP-System kann einen Betrieb innerhalb weniger Stunden ausbremsen. Business Continuity im Mittelstand bedeutet deshalb nicht, jede Störung vollständig zu verhindern. Es bedeutet, kritische Geschäftsprozesse auch dann kontrolliert fortzuführen, wenn IT-Systeme, Daten oder externe Dienstleister zeitweise ausfallen.
Für Geschäftsführer und IT-Verantwortliche ist das eine Führungsaufgabe. Denn die entscheidende Frage lautet nicht: „Haben wir ein Backup?“ Sondern: „Welche Arbeit muss nach einer Störung weiterlaufen – und wie stellen wir das sicher?“
Business Continuity im Mittelstand beginnt bei den Abläufen
Viele Unternehmen verbinden Business Continuity zuerst mit Technik. Backup, Firewall und Ersatzhardware sind wichtige Bausteine. Sie reichen aber nicht aus, wenn unklar bleibt, welche Prozesse wirklich Vorrang haben und wer im Störungsfall Entscheidungen trifft.
Ein Handwerksbetrieb muss etwa Angebote, Einsatzplanung und Kommunikation mit Baustellen aufrechterhalten. In einer Kanzlei stehen Fristen, Mandantendaten und der Zugriff auf Fachanwendungen im Mittelpunkt. Ein Produktionsunternehmen braucht möglicherweise zuerst Warenwirtschaft, Maschinenanbindung oder den Austausch mit Lieferanten. Die Prioritäten unterscheiden sich – und genau deshalb lässt sich ein sinnvoller Plan nicht einfach aus einer Vorlage übernehmen.
Der erste Schritt ist eine kurze, ehrliche Bestandsaufnahme: Welche Anwendungen, Daten, Kommunikationswege und Personen sind erforderlich, damit der Betrieb nach einem IT-Ausfall weiterarbeiten kann? Dabei hilft es, Prozesse nicht nur als Softwareliste zu betrachten. Auch Zugriffsrechte, Internetverbindungen, Telefonie, externe IT-Partner und vorhandene Arbeitsplätze gehören dazu.
Kritische Prozesse klar priorisieren
Nicht jedes System muss nach 30 Minuten wieder verfügbar sein. Diese Unterscheidung spart Aufwand und verhindert, dass im Ernstfall an der falschen Stelle gearbeitet wird. Für jeden wesentlichen Prozess sollten Verantwortliche festlegen, wie lange ein Ausfall vertretbar ist und welche Folgen danach entstehen.
Bei der Priorisierung sind drei Fragen besonders hilfreich: Was kostet ein Ausfall pro Stunde oder pro Tag? Welche rechtlichen oder vertraglichen Folgen drohen? Und gibt es einen praktikablen manuellen Ersatzprozess? Eine Zeiterfassung kann für einen Tag übergangsweise manuell geführt werden. Bei einer Fristensache in einer Steuerkanzlei ist das oft keine Option.
Das Ergebnis muss kein umfangreiches Handbuch sein. Eine übersichtliche Tabelle mit Prozess, Verantwortlichen, abhängigen Systemen, maximaler Ausfallzeit und Ersatzverfahren ist für viele KMU ein sinnvoller Anfang.
Backup ist nur dann nützlich, wenn die Wiederherstellung gelingt
Ein vorhandenes Backup ist keine Garantie für Betriebsfähigkeit. Entscheidend ist, ob Daten vollständig sind, ob sie gegen Manipulation geschützt wurden und ob sie innerhalb der benötigten Zeit wiederhergestellt werden können.
Ransomware-Angriffe zeigen diese Schwachstelle regelmäßig: Angreifer verschlüsseln nicht nur produktive Systeme, sondern versuchen auch, Sicherungen zu löschen oder zu verschlüsseln. Deshalb sollten Sicherungskopien technisch vom Produktivnetz getrennt sein. Unveränderbare Sicherungen und getrennte Zugangsdaten reduzieren das Risiko, dass ein einzelner kompromittierter Administratorzugang beide Ebenen erreicht.
Ebenso wichtig ist der Wiederherstellungstest. Wer nur prüft, ob ein Backup-Auftrag grün angezeigt wird, kennt seine tatsächliche Wiederanlaufzeit nicht. Testen Sie mindestens in angemessenen Abständen die Wiederherstellung einer Datei, einer Anwendung und – soweit möglich – eines vollständigen Systems. Dokumentieren Sie dabei, wie lange der Vorgang gedauert hat und welche Abhängigkeiten sichtbar wurden.
Dabei gilt: Die passende Sicherungsstrategie hängt von Datenmenge, Anwendungen und Schutzzielen ab. Ein kleiner Betrieb mit zentralem Dateiserver hat andere Anforderungen als ein Unternehmen mit mehreren Standorten, Cloud-Anwendungen und Produktionsdaten. Wichtig ist, dass die Sicherung zur gewünschten Wiederanlaufzeit passt, nicht nur zum verfügbaren Speicherplatz.
Sicherer Zugriff entscheidet über die Handlungsfähigkeit
Wenn das Büro nicht nutzbar ist oder Mitarbeitende von außen arbeiten müssen, wird Remote Access zum Bestandteil der Business Continuity. Häufig wird dann auf bestehende VPN-Zugänge verwiesen. Diese können sinnvoll sein, erlauben aber oft einen weitreichenden Netzwerkzugriff und werden bei fehlender Pflege oder unzureichender Absicherung zum Risiko.
Ein sicherer Ansatz folgt dem Prinzip: Nutzer erhalten nur Zugriff auf die Anwendung und die Daten, die sie für ihre Aufgabe benötigen. Starke Authentifizierung, eindeutige Benutzerkonten und klar begrenzte Berechtigungen sind dabei unverzichtbar. Besonders bei externen Dienstleistern oder administrativen Konten sollte nachvollziehbar sein, wer wann auf welches System zugegriffen hat.
Browserbasierter, abgesicherter Zugriff auf interne Anwendungen kann den Betrieb im Störungsfall deutlich vereinfachen. Mitarbeitende benötigen dann nicht automatisch einen vollständigen Zugang zum internen Netzwerk. Gleichzeitig bleibt die Kontrolle über Berechtigungen und Zugriffsprotokolle beim Unternehmen. Lösungen wie Kyvion Secure Access unterstützen diesen Ansatz, wenn Anwendungen sicher und gezielt für berechtigte Personen erreichbar sein sollen.
Für privilegierte Konten gelten strengere Maßstäbe. Administratorzugänge dürfen nicht über gemeinsam genutzte Kennwörter oder dauerhaft offene Fernwartungswege abgesichert werden. Privileged Access Management hilft, besonders weitreichende Zugriffe zeitlich zu begrenzen, zu protokollieren und an eine zusätzliche Freigabe zu knüpfen. Das schützt nicht nur vor Missbrauch, sondern erleichtert auch die Ursachenanalyse nach einem Vorfall.
Technische Schutzmaßnahmen müssen zusammenwirken
Business Continuity und Cybersicherheit sind keine getrennten Projekte. Eine Firewall verhindert nicht jede Störung, kann aber die Ausbreitung eines Angriffs begrenzen. Segmentierte Netzwerke sorgen dafür, dass ein kompromittierter Arbeitsplatz nicht automatisch den Zugriff auf Server, Backups oder Produktionssysteme ermöglicht.
Moderne Firewall-Konzepte, etwa auf Basis von Fortinet, verbinden Netzwerkschutz mit zentralen Sicherheitsrichtlinien, Erkennung auffälliger Aktivitäten und kontrollierten Verbindungen zwischen Standorten. Der Nutzen entsteht jedoch erst durch eine saubere Planung: Welche Systeme müssen miteinander kommunizieren? Welche Verbindungen sind nur aus Gewohnheit offen? Wo sind getrennte Sicherheitszonen nötig?
Auch Identitäten gehören in diese Betrachtung. Viele erfolgreiche Angriffe beginnen mit gestohlenen Zugangsdaten. Mehrfaktor-Authentifizierung sollte daher für E-Mail, Fernzugriffe, Cloud-Dienste und administrative Konten verbindlich sein. Sie ersetzt kein Berechtigungskonzept, senkt aber das Risiko erheblich, dass ein einzelnes Passwort zum vollständigen Ausfall führt.
Der Notfallplan muss unter Zeitdruck funktionieren
Ein Notfallplan, der nur im SharePoint liegt, hilft wenig, wenn der Zugriff auf SharePoint nicht möglich ist. Halten Sie zentrale Kontaktdaten, Zuständigkeiten und die ersten Maßnahmen deshalb auch unabhängig von der regulären IT bereit – etwa als geschützte Offline-Version für den Notfallstab.
Der Plan sollte konkrete Situationen abdecken, ohne sich in Details zu verlieren. Dazu gehören mindestens Ransomware-Verdacht, Ausfall eines zentralen Servers, Ausfall der Internetanbindung und Verlust eines Administratorzugangs. Für jedes Szenario braucht es eine klare Reihenfolge: Wer bewertet den Vorfall? Wer darf Systeme isolieren? Wer informiert Mitarbeitende, Kunden oder Dienstleister? Und wer entscheidet über die Wiederinbetriebnahme?
Besonders wichtig ist die Kommunikation. Mitarbeitende sollten wissen, an wen sie verdächtige E-Mails, ungewöhnliche Anmeldeaufforderungen oder nicht erreichbare Anwendungen melden. Im Ernstfall verhindert eine klare Ansage, dass Geräte vorschnell neu gestartet, Daten überschrieben oder Angreifer unbemerkt weiterarbeiten können.
Tests zeigen die tatsächlichen Lücken
Ein Plan wird erst durch Übungen belastbar. Das muss keine aufwendige Krisensimulation sein. Ein 60-minütiger Test mit Geschäftsführung, IT und den Verantwortlichen für zentrale Fachbereiche bringt oft mehr Erkenntnisse als ein ungenutztes Dokument.
Spielen Sie beispielsweise durch, dass das ERP am Montagmorgen nicht verfügbar ist. Wie werden Aufträge erfasst? Welche Daten fehlen? Wie erreichen Mitarbeitende den IT-Verantwortlichen? Können externe Spezialisten sicher hinzugezogen werden? Nach dem Test sollten offene Punkte einen Verantwortlichen und einen Termin erhalten. Sonst bleiben sie bekannte Risiken.
Mit einem überschaubaren Einstieg beginnen
Der richtige Umfang hängt von Unternehmensgröße, Branche und IT-Landschaft ab. Ein kleiner Dienstleister braucht keine Leitstelle, aber er braucht verlässliche Sicherungen, sichere Zugriffe und klare Verantwortlichkeiten. Ein Unternehmen mit mehreren Standorten oder hoher regulatorischer Verantwortung muss stärker auf Redundanzen, Lieferantenabhängigkeiten und dokumentierte Wiederanlaufverfahren achten.
Beginnen Sie mit den drei Prozessen, deren Ausfall Ihr Unternehmen am stärksten trifft. Prüfen Sie anschließend Backup und Wiederherstellung, Zugriffsrechte sowie Kommunikationswege. Daraus entsteht Schritt für Schritt ein Continuity-Konzept, das zum Alltag passt und nicht in der Schublade verschwindet.
Handlungsfähigkeit entsteht nicht durch ein einziges Sicherheitsprodukt. Sie entsteht, wenn Menschen, Prozesse, Zugriffe und Daten im Notfall zusammenspielen – und wenn dieses Zusammenspiel regelmäßig überprüft wird, bevor es wirklich darauf ankommt.
