Von Cyberattacken bis Stromausfall: Business Continuity auf dem Prüfstand : Maßnahmenkatalog für die Resilienz

Die Zeiten, in denen ein regelmäßiges Backup auf ein NAS-Laufwerk als ausreichende Sicherheitsmaßnahme galt, sind längst passé. Unternehmen stehen heute einer Bedrohungslage gegenüber, die nicht nur vielfältiger, sondern auch dynamischer geworden ist. Ransomware-Angriffe, Cloud-Ausfälle, Naturkatastrophen – und zunehmend auch gezielte, politisch oder wirtschaftlich motivierte Attacken auf IT-Infrastrukturen – bedrohen nicht nur den IT-Betrieb selbst, sondern immer häufiger auch ganze Geschäftsmodelle.

Cloud-Backup und Disaster Recovery: Geschwindigkeit ist entscheidend

Eine der Stellschrauben für eine wirksame Business Continuity ist die Fähigkeit, IT-Services schnell wiederherzustellen. Denn wenn der Ernstfall eintritt, zählt jede Minute. DRaaS-Lösungen (Disaster Recovery as a Service) bieten genau das, was klassische Backup-Konzepte nicht leisten können: Wiederanlaufzeiten im Stunden- oder sogar Minutenbereich; und das ohne eigene Hardware und ohne Wartungsaufwand. Hier spielt die Recovery Time Objective (RTO) eine entscheidende Rolle. Sie bezeichnet die maximale tolerierbare Ausfallzeit eines Systems oder einer Anwendung, bevor es zu Schäden kommt, und ist somit die Frist, die ein Unternehmen brauchen darf, um einen Ausfall zu meistern und die geschäftlichen Abläufe wieder zu normalisieren. Gerade im Mittelstand oder in zeitkritischen Branchen wie Logistik und Gesundheitswesen ist die Minimierung dieser RTO überlebenswichtig.

Immutable Storage & Air-Gap: Ransomware hat kein Verfallsdatum

Allerdings reicht eine schnelle Wiederherstellung allein nicht, um eine umfassende Resilienz zu gewährleisten. Gerade im Zusammenhang mit gezielten Ransomware-Angriffen müssen Organisationen zudem sicherstellen, dass auch die Backups vor Manipulation und Verschlüsselung geschützt sind – keine triviale Aufgabe, zumal die Bedrohung durch Ransomware nicht nur allgegenwärtig, sondern oft auch hochprofessionell, organisiert und langfristig kalkuliert stattfindet. Konkret erfolgen Angriffe oft zeitversetzt, mit mehreren Einfallstoren und dem perfiden Ziel, die vollständige Kontrolle über Daten und deren Sicherungen zu erhalten. Die Lösung für dieses Problem sind unveränderbare Backups. Immutable Storage ermöglicht es, dass gespeicherte Daten für einen definierten Zeitraum nicht gelöscht, verändert oder überschrieben werden können – weder absichtlich noch durch Angreifer.

Das Prinzip dahinter: Was nicht erreichbar ist, kann auch nicht verschlüsselt oder gelöscht werden. Technisch realisiert wird das in der Regel über Objektspeicher, WORM-Medien (Write Once, Read Many) oder Softwarelösungen mit festgelegten Retention Policies. Einige moderne Backup-Systeme umfassen sogar „Zero-Trust“-Ansätze mit Multifaktorzugriff, automatisches Backup-Hardening und Write-Once-Snapshots. Doch auch hier gilt: Redundanz schlägt Perfektion. Deshalb ergänzen viele Unternehmen den Immutable-Ansatz mit einem Air-Gap-Konzept, bei dem mindestens eine Backup-Kopie physisch oder logisch vom Netzwerk getrennt wird. Klassisches Beispiel dafür sind Offline-Tape-Backups, automatisierte Cloud-to-Cloud-Replikationen in isolierten Tenants oder die manuelle Entkopplung externer Speicher. Immutable Storage ist damit kein „Nice-to-have“ mehr, sondern tatsächlich eine digitale Lebensversicherung.

Microsoft 365 & SaaS-Anwendungen: Die Illusion der integrierten Sicherheit

Ein weiterer kritischer Punkt in der Business-Continuity-Strategie vieler Unternehmen ist der weitverbreitete Glaube, Standardsicherungen großer Hyperscaler wie Microsoft, Google oder Amazon seien ausreichend. Diese Annahme kann sich im Ernstfall als folgenschwerer Irrtum erweisen. Die Verantwortung für Daten liegt – juristisch wie operativ – klar beim Nutzer, nicht beim Anbieter. Das bedeutet: Ein Klick auf „Löschen“ in Microsoft 365 kann je nach Konfiguration und Ablauf von Aufbewahrungsfristen endgültig sein. Auch versehentliche Löschungen, korrupte Dateien oder Cyberangriffe auf Benutzerkonten fallen nicht automatisch unter die Verantwortung des Hyperscalers.

Gerade in SaaS-Umgebungen, wo Daten dezentral verwaltet und mehrfach synchronisiert werden, ist daher eine zusätzliche, unabhängige Backup-Strategie unerlässlich. Dazu gehören granulare Wiederherstellungen auf Dokumenten-, Postfach- oder Projektbasis, tägliche Snapshots wichtiger Daten sowie die Möglichkeit, Daten DSGVO-konform archivieren und endgültig löschen zu können. Entsprechende Drittanbieterlösungen ermöglichen heute nicht nur eine umfassendere Datensicherung, sondern bieten auch Vorteile wie flexible Aufbewahrungsfristen, schnelle Wiederherstellung einzelner Dateien und verschlüsselte Datenspeicherung in unabhängigen Infrastrukturen.

Zudem erfüllen spezialisierte Backup-Lösungen Anforderungen an Transparenz, Auditsicherheit und Revisionsfähigkeit, die in regulierten Branchen zunehmend gefordert werden. Unternehmen, die auf zusätzliche SaaS-Backups setzen, schützen sich nicht nur besser vor Datenverlust, sondern erhöhen auch ihre Resilienz gegenüber internen Fehlern und externen Angriffen – ein elementarer Baustein für moderne Business Continuity.

Incident Response & Krisenhotlines: Wenn jede Sekunde zählt

Doch selbst die beste Backup-Strategie hilft wenig, wenn im Ernstfall niemand weiß, wie zu reagieren ist. Incident Response Services und dedizierte Krisenhotlines schaffen hier Abhilfe. Sie bieten standardisierte Handlungsanweisungen (sogenannte Playbooks), die genau beschreiben, wer wann welche Schritte einzuleiten hat. Darüber hinaus stellen sie Soforthilfe durch erfahrene Spezialisten sowie garantierte Reaktionszeiten sicher, um im akuten Krisenfall keine Zeit zu verlieren. Professionelle Incident Response umfasst typischerweise mehrere Phasen – von der schnellen Identifikation und Eindämmung eines Vorfalls über die Ursachenanalyse bis hin zur Wiederherstellung betroffener Systeme und der anschließenden Nachbereitung inklusive Lessons Learned.

Besonders in regulierten Branchen oder bei börsennotierten Unternehmen ist so eine Incident Response mittlerweile unverzichtbar, um schnell, gezielt und nachvollziehbar handeln zu können. Schließlich verlangen gesetzliche Meldepflichten, etwa nach NIS2, DORA oder der DSGVO, nicht nur technisches Krisenmanagement, sondern auch umfassende Dokumentation und Berichtsstrukturen. Hinzu kommt, dass Backup-Pläne regelmäßig auf ihre Praxistauglichkeit geprüft werden sollten, um der Compliance gerecht zu werden. Nur durch solche gezielten Tests wird Business Continuity Management wirklich belastbar.

Krisenkommunikation & Alarmierung: Die richtigen Leute zur richtigen Zeit

Schlussendlich entscheidet auch die Kommunikation über den Ausgang einer Krise. Intelligente Alarmierungssysteme ermöglichen hier strukturierte und automatisierte Warnungen. Damit lassen sich Push-Nachrichten, SMS, Sprachanrufe, Eskalationsketten beispielsweise zentral steuern, dokumentieren und analysieren. Ob Cloud-Backup, Immutable Storage, Incident Response, Compliance und Krisenkommunikation: Business Continuity und Resilienz sind keine isolierten Projekte, sondern strategische Grundpfeiler moderner Unternehmensführung. Und dazu gehört neben Werkzeugen und einer passenden Strategie vor allem sehr viel Branchen-Know-how. Denn viele dieser Risiken und Aufwände lassen sich bei einem deutschen Anbieter wie noris network, bei dem Datenintegrität und -schutz zum Kerngeschäft gehört, von Haus aus minimieren.

Autor

Johannes Meyer Senior Market Development Manager bei der noris network AG.