Business Continuity Management (BCM) stellt sicher, dass kritische Geschäftsprozesse bei schweren Störungen wie Cyberangriffen weiterlaufen oder in definierter Zeit wieder anlaufen.
Business Continuity Management (BCM) betrachtet Sicherheit aus Sicht der Geschäftsprozesse statt der Technik. Die Leitfrage lautet nicht „Wie verhindern wir einen Ausfall?", sondern „Wie lange darf die Produktion, die Auftragsabwicklung oder der Zahlungsverkehr stillstehen, bevor der Schaden nicht mehr tragbar ist, und wie stellen wir sicher, dass wir innerhalb dieser Zeit wieder arbeiten können?" BCM umfasst dafür die Analyse der kritischen Prozesse, Strategien zu deren Aufrechterhaltung, Notfallpläne und regelmäßige Übungen.
Der IT-Teil des BCM ist die IT-Service-Continuity beziehungsweise das Disaster Recovery; der Notfallplan ist das operative Dokument. Rahmenwerke sind ISO 22301 und der BSI-Standard 200-4.
Die Bausteine des BCM
- Business-Impact-Analyse (BIA): Welche Prozesse sind kritisch, welche IT-Systeme, Lieferanten und Personen brauchen sie, und wie groß ist der Schaden je Stunde oder Tag Ausfall?
- Kennzahlen: Die maximal tolerierbare Ausfallzeit (MTA), die angestrebte Wiederanlaufzeit (RTO) und der maximal akzeptable Datenverlust (RPO) je Prozess und System.
- Kontinuitätsstrategien: Redundante Systeme, Ausweichstandorte, manuelle Ersatzverfahren, alternative Lieferanten, abgestufte Wiederanlaufreihenfolge.
- Notfallpläne: Konkrete Handlungsanweisungen, Rollen und Kommunikationswege für den Ernstfall.
- Tests und Übungen: Von der Planbesprechung über Tabletop-Übungen bis zur technischen Wiederherstellung und zur Simulation eines Angriffs.
- Kontinuierliche Verbesserung: Jeder Test und jeder reale Vorfall fließt in die Pläne zurück.
Bedeutung für Unternehmen
Cyberangriffe sind zum häufigsten BCM-Szenario geworden. Laut Bitkom Wirtschaftsschutz 2025 waren 87 Prozent der Unternehmen von Angriffen betroffen und 59 Prozent sahen ihre Existenz bedroht; Ransomware traf 34 Prozent. Regulatorisch verlangt DORA von Finanzunternehmen eine IKT-Geschäftsfortführungsleitlinie mit regelmäßigen Tests, und NIS2 nennt Backup-Management, Wiederherstellung und Krisenmanagement ausdrücklich als Mindestmaßnahmen.
Was wir in Einsätzen sehen: BCM-Pläne gehen von einem Ausfall aus, nicht von einem Angriff. Bei einem Brand ist das Backup intakt und der Ausweichstandort sauber. Bei Ransomware ist das Backup möglicherweise ebenfalls verschlüsselt, der Ausweichstandort hängt am selben Active Directory, und die Wiederherstellung darf erst beginnen, wenn die Forensik den Angreifer ausgeschlossen hat. Die geplante Wiederanlaufzeit von 24 Stunden wird dann zu zwei Wochen. Unsere Ransomware-Simulation macht genau diesen Unterschied sichtbar.
Praxis: Umsetzung und Prüfung
- Angriffsszenario in die BIA aufnehmen: Rechnen Sie Wiederanlaufzeiten für den Fall, dass Identitätsdienste, Backups und Ausweichsysteme gleichzeitig betroffen sind.
- Wiederanlaufreihenfolge festlegen: Identitätsdienste, Netzwerk, Backup-Infrastruktur, dann Kernanwendungen. Dokumentieren Sie Abhängigkeiten, die oft erst im Ernstfall auffallen (Lizenzserver, Zertifikate, DNS).
- Manuelle Ersatzverfahren vorhalten: Kann die Produktion einige Tage ohne ERP laufen? Können Rechnungen manuell geprüft werden? Diese Verfahren müssen geübt sein.
- Saubere Wiederherstellung sicherstellen: Unveränderbare Backups (3-2-1-Regel) und eine isolierte Wiederherstellungsumgebung, in der Systeme vor der Rückkehr in den Betrieb geprüft werden.
- Unter realistischen Bedingungen üben: Eine Red-Team-Simulation mit dem Ziel „Backup-Infrastruktur und Domänencontroller" zeigt, ob die Annahmen Ihres BCM gegen einen Angreifer standhalten. Die simulierte Verschlüsselung erfolgt ausschließlich auf einem Testsystem; die Erkenntnisse gelten für das gesamte Unternehmen.