{"id":38524,"date":"2026-07-03T14:26:38","date_gmt":"2026-07-03T12:26:38","guid":{"rendered":"https:\/\/enginsight.com\/?p=38524"},"modified":"2026-07-03T14:42:57","modified_gmt":"2026-07-03T12:42:57","slug":"business-continuity-cyber-resilienz","status":"publish","type":"post","link":"https:\/\/enginsight.com\/de\/blog\/business-continuity-cyber-resilienz\/","title":{"rendered":"Business Continuity: Was muss laufen, wenn nichts mehr l\u00e4uft?"},"content":{"rendered":"

Warum Business Continuity heute eine Frage der Cyber-Resilienz ist – und was das für die Geschäftsführung bedeutet.<\/em><\/p>\n\n\n\n

Sie sind auf einer Messe, zwei Flüge von zu Hause entfernt, und der Tag war ohnehin lang. Dann klingelt das Telefon: Ihre IT-Leiterin ist am Apparat, die Stimme angespannt: „Wir wurden angegriffen, die Systeme sind verschlüsselt, nichts geht mehr.“<\/p>\n\n\n\n

Für einen Moment verschwindet der Messelärm um Sie herum und wirkt seltsam fern. Der Magen zieht sich zusammen, und während Sie sich bemühen, ruhig zu klingen, rast im Kopf die Suche nach einer Lösung, was zu tun ist. Sonst sind Sie der Mensch mit den Antworten, für Bank und Beirat. Ausgerechnet jetzt haben Sie keine.<\/p>\n\n\n\n

Bräche stattdessen ein Feuer in der Lagerhalle aus, wüssten Sie es besser. Dann liefe ein eingeübter Ablauf an, bei dem jeder seine Aufgabe kennt und niemand am Telefon erst überlegen muss. Beim Cyberangriff fehlt in vielen Unternehmen genau dieser Ablauf, und damit die Ruhe, die daraus entsteht.<\/p>\n\n\n\n

Seit Dezember haftet die Geschäftsführung persönlich<\/h2>\n\n\n\n

Seit dem 6. Dezember 2025 ist Cybersicherheit in Deutschland Chefsache. An diesem Tag trat das NIS2-Umsetzungsgesetz in Kraft, ohne Übergangsfrist und mit einer klaren Ansage an die Führungsebene: Wer ein betroffenes Unternehmen leitet, haftet persönlich für ein angemessenes Sicherheitsniveau. Rund 29.500 Unternehmen aus 18 Sektoren fallen darunter.<\/p>\n\n\n\n

Das Gesetz verlangt unter anderem ein funktionierendes Krisen- und Notfallmanagement. Damit rückt die Frage nach Business Continuity nach vorne, die viele Mittelständler bisher gern dem IT-Team überlassen haben: Was passiert eigentlich in den ersten Stunden, wenn ein Angriff durchkommt?<\/p>\n\n\n\n

Der Schaden entsteht nach dem Angriff<\/h2>\n\n\n\n

Ein Angriff beginnt selten spektakulär. Häufig steht am Anfang eine einzige kompromittierte Zugangskennung. Das eigentliche Problem entsteht danach, wenn sich die Störung über vernetzte Systeme ausbreitet und auf einmal der Versand stillsteht und die Buchhaltung nicht mehr an ihre Daten kommt.<\/p>\n\n\n\n

Viele Unternehmen haben für diesen Moment keine belastbare Antwort. Auf dem Papier existiert ein Notfallplan, aber kaum jemand weiß genau, welche Prozesse das Geschäft wirklich am Leben halten und in welcher Reihenfolge sie wieder anlaufen müssen. Wenn dann tatsächlich etwas brennt, arbeiten IT, Geschäftsführung und Rechtsabteilung jeweils für sich, statt einer gemeinsamen Linie zu folgen.<\/p>\n\n\n\n

Was Stillstand kostet<\/h2>\n\n\n\n

Diese Lücke hat einen Preis. Der IBM Cost of a Data Breach Report 2025<\/a> (veröffentlicht am 30. Juli 2025) beziffert die durchschnittlichen Kosten eines Datenlecks in Deutschland auf 3,87 Millionen Euro je Vorfall. Ein großer Teil dieser Summe geht auf die Zeit bis zur Eindämmung zurück.<\/p>\n\n\n\n

Deutsche Unternehmen brauchten laut derselben Studie im Schnitt 170 Tage, um einen Vorfall zu erkennen und zu stoppen. Jeder dieser Tage kostet Umsatz und Vertrauen. IBM benennt die schnellere Erkennung als einen der wirksamsten Hebel, um die Schadenshöhe zu senken.<\/p>\n\n\n\n

Dazu kommt die persönliche Dimension. NIS2 sieht Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, und die Verantwortung dafür liegt bei der Geschäftsleitung. Ein gut gepflegter Backup-Ordner allein trägt vor diesem Hintergrund nicht mehr weit, es bedarf eines umfassenden Plans für Business Continuity.<\/p>\n\n\n\n

Womit resiliente Unternehmen für Business Continuity vorbauen<\/h2>\n\n\n\n

Weiter kommt man mit einer einfachen Einsicht: Resilienz lässt sich planen.<\/p>\n\n\n\n

Sie beginnt mit Sichtbarkeit. Solange ein Unternehmen nicht weiß, welche Systeme es betreibt und wie sie voneinander abhängen, bleibt jeder Notfallplan Theorie. Der erste Schritt ist deshalb eine ehrliche Bestandsaufnahme der eigenen IT.<\/p>\n\n\n\n

Der zweite Schritt bringt Verteidigung und Weiterbetrieb zusammen. Während ein Vorfall läuft, müssen Eindämmung und laufender Geschäftsbetrieb gleichzeitig gelingen. Das klappt nur, wenn vorher feststeht, wer entscheidet – von der Geschäftsführung bis zur IT-Leiterin.<\/p>\n\n\n\n

Drittens gehört der Ernstfall geübt. Ein Plan, der nie unter Druck getestet wurde, hält dem Druck selten stand. Realistische Übungen, die auch Ransomware und den Ausfall eines wichtigen Dienstleisters durchspielen, zeigen die Schwachstellen, bevor ein Angreifer sie findet.<\/p>\n\n\n\n

Und schließlich endet die eigene Verantwortung nicht am Firmentor. Cloud-Plattformen und externe Dienstleister gehören in jeden Notfallplan, weil ihr Ausfall das eigene Geschäft sofort trifft.<\/p>\n\n\n\n

So erfahren Sie, wie es um Ihre Business Continuity steht<\/h2>\n\n\n\n

Einen ersten Anhaltspunkt bekommen Sie schon in wenigen Minuten. Der folgende Selbstcheck geht Ihre Business Continuity entlang der Logik des BSI-Standards 200-4 durch und reicht bewusst über die reine IT hinaus. Jeder Punkt, den Sie ehrlich mit Nein beantworten, markiert eine konkrete Lücke. Einige davon sind als kritisch gekennzeichnet: Bleiben sie offen, trägt der Betrieb im Ernstfall selbst dann nicht, wenn das Gesamtergebnis gut aussieht.<\/p>\n\n\n\n