Business Continuity

Business Continuity hält wichtige Geschäftsprozesse auch bei IT-Ausfällen, Cyberangriffen oder anderen Störungen am Laufen – mit klaren Zuständigkeiten und Notfallplänen.

Wir zeigen, was BCM bedeutet, welche Risiken Unternehmen berücksichtigen sollten und mit wie sich der Geschäftsbetrieb auch in Krisensituationen aufrechterhalten lässt.

Was ist Business Continuity?

Business Continuity bezeichnet die Fähigkeit eines Unternehmens, wichtige Geschäftsprozesse auch während einer Störung aufrechtzuerhalten oder innerhalb einer festgelegten Zeit wieder aufzunehmen. Dabei geht es nicht ausschließlich darum, einzelne Computer oder Server wieder zum Laufen zu bringen.

Entscheidend ist, dass die für das Unternehmen wichtigen Abläufe und Dienstleistungen weiter funktionieren. Dazu können beispielsweise die Auftragsbearbeitung, Produktion, Kommunikation mit Kunden, Warenwirtschaft, Buchhaltung oder der Zugriff auf Unternehmensdaten gehören. Unternehmen müssen deshalb zunächst wissen, welche Prozesse für ihren Geschäftsbetrieb besonders wichtig sind und von welchen IT-Systemen, Anwendungen, Mitarbeitern und externen Dienstleistern diese abhängen.

Die systematische Planung und Organisation dieser Vorsorge wird als Business Continuity Management, kurz BCM, bezeichnet. Das Bundesamt für Sicherheit in der Informationstechnik stellt mit dem BSI-Standard 200-4 eine Anleitung zum Aufbau eines Business Continuity Management Systems bereit.

Warum Business Continuity für Unternehmen wichtiger wird

Viele Geschäftsprozesse sind heute unmittelbar von einer funktionierenden IT-Infrastruktur und Internetverbindung abhängig. E-Mails, Cloud-Anwendungen, Warenwirtschaft, Telefonie, digitale Produktionssysteme oder der Zugriff auf Kundendaten funktionieren häufig nur, solange die benötigten technischen Systeme erreichbar sind.

Wie groß diese Abhängigkeit inzwischen ist, zeigen aktuelle Zahlen des Digitalverbands Bitkom. Bei einem Internetausfall könnten Unternehmen in Deutschland ihren Geschäftsbetrieb im Durchschnitt lediglich 20 Stunden aufrechterhalten. 21 Prozent der befragten Unternehmen geben sogar an, dass sie ihre Arbeit sofort einstellen müssten. Nur acht Prozent könnten länger als 48 Stunden ohne Internet weiterarbeiten.

Gleichzeitig schätzen viele Betriebe ihre eigene Vorbereitung auf Krisensituationen kritisch ein. In der Bitkom-Befragung zu hybriden Angriffen bezeichneten sich lediglich zwölf Prozent der Unternehmen als eher gut vorbereitet. 38 Prozent sahen sich eher schlecht und weitere 40 Prozent gar nicht vorbereitet.

Welche Ereignisse können den Geschäftsbetrieb unterbrechen?

Ein Ausfall der IT kann unterschiedliche Ursachen haben. Möglich sind beispielsweise technische Defekte an Servern oder Netzwerkkomponenten, ein Ausfall der Internetverbindung, Probleme bei einem Cloud-Anbieter oder eine Unterbrechung der Stromversorgung.

Hinzu kommen Cyberangriffe. Ransomware kann Dateien und Systeme verschlüsseln und dadurch ganze Unternehmensbereiche lahmlegen. Laut BSI richteten sich rund 80 Prozent der angezeigten Ransomware-Angriffe im betrachteten Zeitraum des Lageberichts 2025 gegen kleine und mittlere Unternehmen.

Auch Fehlkonfigurationen, fehlerhafte Softwareupdates oder menschliche Fehler können dazu führen, dass wichtige Anwendungen vorübergehend nicht zur Verfügung stehen. Unternehmen sollten ihre Business-Continuity-Planung deshalb nicht ausschließlich auf Cyberangriffe ausrichten. Zu berücksichtigen sind ebenso externe Abhängigkeiten. Fällt beispielsweise ein wichtiger IT-Dienstleister, Telekommunikationsanbieter oder Zulieferer aus, kann sich dies auf den eigenen Betrieb auswirken.

Welche Bereiche müssen Unternehmen absichern?

Am Anfang einer Business-Continuity-Planung steht die Frage, welche Prozesse im Unternehmen besonders zeitkritisch sind. Nicht jede Anwendung muss nach einem Ausfall innerhalb weniger Minuten wieder zur Verfügung stehen.

Bei einer sogenannten Business Impact Analysis lässt sich untersuchen, welche Folgen der Ausfall eines Geschäftsprozesses hätte und wie lange das Unternehmen auf diesen Prozess verzichten könnte. Wichtig sind beispielsweise zentrale Server und Netzwerke, Cloud-Dienste, Telefonie, Internetzugänge, E-Mail, Warenwirtschafts- und ERP-Systeme sowie Anwendungen für Produktion und Auftragsabwicklung. Auch die Verfügbarkeit wichtiger Unternehmensdaten spielt eine zentrale Rolle.

Für Unternehmen, die als wichtige oder besonders wichtige Einrichtungen unter das BSI-Gesetz fallen, ist das Thema zusätzlich regulatorisch relevant. § 30 BSIG nennt die Aufrechterhaltung des Betriebs einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement ausdrücklich als Bestandteil der geforderten Risikomanagementmaßnahmen.

Backup und Wiederanlauf als wichtige Bestandteile

Ein Backup ist eine zentrale Maßnahme für Business Continuity. Nach Hardwaredefekten, Cyberangriffen oder Bedienfehlern ermöglichen aktuelle Datensicherungen die Wiederherstellung wichtiger Daten. Entscheidend ist jedoch, dass Backups auch regelmäßig kontrolliert und Wiederherstellungen getestet werden.

Das BSI empfiehlt geschützte Datensicherungen, die Trennung der Backups von den Originaldaten, mindestens eine georedundante Sicherungskopie sowie regelmäßige Offline-Kopien. Auch die Wiederherstellung sollte dokumentiert und überprüft werden.

Zusätzlich müssen Unternehmen festlegen, in welcher Reihenfolge Systeme nach einem Ausfall wieder gestartet werden. Ein Wiederanlaufplan hält fest, welche Systeme besonders wichtig sind, wer verantwortlich ist, welche Schritte für die Wiederherstellung notwendig sind und wie der Betrieb möglichst schnell weiterläuft.

Wie erstellen Unternehmen einen Business-Continuity-Plan?

Ein Business-Continuity-Plan legt fest, was im Ernstfall zu tun ist. Unternehmen sollten Risiken identifizieren und prüfen, welche Folgen der Ausfall wichtiger Systeme und Geschäftsprozesse hätte. Anschließend werden Prioritäten definiert: Welche Prozesse müssen zuerst wieder verfügbar sein und welche Ausfallzeiten sind vertretbar?

Auch Verantwortlichkeiten und Ansprechpartner müssen klar geregelt sein. Kontaktdaten von IT-Dienstleistern, Providern oder Cloud-Anbietern sollten auch ohne Zugriff auf die normalen Systeme verfügbar bleiben.

Zusätzlich kann der Plan Ersatzhardware, redundante Systeme oder alternative Kommunikationswege vorsehen. Er sollte regelmäßig aktualisiert und durch Notfallübungen getestet werden, damit Abläufe, Zuständigkeiten und technische Maßnahmen im Ernstfall tatsächlich funktionieren und Beschäftigte ihre Aufgaben kennen.

IT-Dienstleister unterstützen bei Business Continuity

Ein funktionierendes Business Continuity Management verbindet IT-Infrastruktur, Datensicherung, IT-Sicherheit, Notfallplanung und Wiederherstellung. Unternehmen müssen dabei sowohl ihre eigenen Systeme als auch Abhängigkeiten von externen Diensten berücksichtigen.

Vor der Erstellung eines Business-Continuity-Konzepts sollte deshalb geprüft werden, welche Systeme und Anwendungen für den Geschäftsbetrieb besonders wichtig sind. Auch bestehende Backup-Lösungen, Server, Netzwerke, Cloud-Dienste und Internetverbindungen sollten in die Analyse einbezogen werden. Die Experten aus dem IT-SERVICE.NETWORK unterstützen Unternehmen dabei, ihre IT-Infrastruktur auf mögliche Ausfallrisiken zu überprüfen und geeignete Maßnahmen für den Ernstfall umzusetzen.

Sie können beispielsweise Backup- und Wiederherstellungskonzepte einrichten, Server und Netzwerke absichern, redundante Lösungen planen und bestehende Systeme regelmäßig überwachen. Denn entscheidend ist nicht nur, ob ein IT-Ausfall eintritt, sondern wie gut ein Unternehmen darauf vorbereitet ist und wie schnell wichtige Geschäftsprozesse anschließend wieder funktionieren.

---

Weiterführende Informationen:
BSI, Bitkom, BSI, BSI, Bitkom, Bitkom
Zur besseren Lesbarkeit verwenden wir im Text die männliche Form. Gemeint sind jedoch immer alle Geschlechter und Geschlechtsidentitäten.