Cloud & Hosting

Business Continuity

Definition, Planung und Management für Unternehmen

Das Wichtigste zu Business Continuity in Kürze

  • Business Continuity ist die Fähigkeit von Unternehmen, ihren Geschäftsbetrieb auch bei schweren und längerfristigen Krisen oder Marktverwerfungen aufrechtzuerhalten.
  • Über ein institutionalisiertes Business Continuity Management auf Geschäftsleitungsebene bereiten sich Unternehmen auf unterschiedliche Krisen vor.
  • Die ISO-Normen 22301 und 22313 sowie der BSI-Standard 200-4 liefern wertvolle Handlungsempfehlungen für die Krisenprävention – für Grundversorger gibt es weitere Empfehlungen der Branchenverbände und Aufsichtsbehörden.
  • Unternehmen können über ihre Geschäftsbeziehungen und Lieferketten von Krisen in Risikobranchen betroffen sein – auch wenn sie diesen selbst nicht angehören.
Junger Mann studiert das Vodafone Cyber Security Whitepaper am Laptop

Whitepaper: Cyber Security

Cyberangriffe und kein Ende: Die potenziellen Schäden sind gewaltig und auch der Mittelstand ist zunehmend betroffen. Unser Cyber-Security-Whitepaper verrät, wie wirksamer Schutz vor Kriminellen gelingt:

  • Zahlen, Daten und Fakten zur Bedrohung durch Cyberattacken
  • Einblicke in Angriffsmethoden wie Malware, Ransomware & Co.
  • Maßnahmenplan, um Ihr Unternehmen effektiv zu schützen

Was ist Business Continuity? – Definition und Grundlagen

Business Continuity (auf Deutsch: „Geschäftskontinuität“) beschreibt die Fähigkeit von Unternehmen, ihren Geschäftsbetrieb und ihre IT-Systeme auch während und nach einer Krise weiter aufrechtzuerhalten. Ursachen für solche Krisen können beispielsweise sein:
Business Continuity schützt Unternehmen vor finanziellen Verlusten, Imageschäden und rechtlichen Konsequenzen. Gleichzeitig erhöht sie die Sicherheit für Mitarbeiter, Kunden und Geschäftspartner. Sie gehört damit zum größeren Themenkomplex des organisatorischen Risikomanagements.
Besonders in Zeiten großer Unsicherheiten, politischer Umbrüche und globaler Veränderungen gewinnt Business Continuity an Bedeutung. Unternehmen stärken mittels Business Continuity ihre Widerstandsfähigkeit und bleiben auch unter schwierigen Bedingungen handlungsfähig.
Eine gute Krisenvorbereitung schafft nach innen wie nach außen Vertrauen, verbessert die eigene Wettbewerbsfähigkeit und unterstützt so den Unternehmenserfolg.
Weitere Begriffe aus dem Umfeld der Business Continuity sind:
  • Business Continuity Management (BCM)
  • Business Continuity Plan (BCP)
  • Business Impact Analysis (BIA)
Mehr dazu erfahren Sie im Verlauf dieses Artikels.

Ziele und Bedeutung

Grundlegendes Ziel der Business Continuity in Unternehmen ist es, die betrieblichen Abläufe auch in Krisensituationen sicherzustellen (materielle Komponente).
Darüber hinaus schützt die Business-Continuity-Strategie aber nicht nur operative Prozesse und wirtschaftliche Werte. Sie stärkt zugleich auch das Vertrauen von Kund:innen, Mitarbeiter:innen und Lieferanten (Reputationsmanagement, ideelle Komponente).
Unternehmen stärken ihre Reputation im laufenden Geschäftsbetrieb, indem sie die eigene Robustheit und Resilienz über entsprechende Zertifikate und Nachweise belegen. Die Resilienz wird besonders sichtbar in einer Krise, wenn ein Unternehmen dank gut vorbereiteter Business-Continuity-Maßnahmen schnell und kompetent auf wechselnde Herausforderungen reagieren kann, während weniger resiliente Wettbewerber sich auf die veränderten Umstände nur schlecht einstellen können.
Damit ist Business Continuity in einer zunehmend vernetzten und digitalen Welt zentraler Bestandteil nachhaltiger und resilienter Unternehmensführung und elementar für die langfristige Sicherheit von Wirtschaftsunternehmen. Dies gilt gleichermaßen für große Konzerne wie auch für kleine und mittlere Unternehmen (KMU).

Business Continuity Plan (BCP): Aufbau und Bestandteile

Business Continuity ist mehr als nur die Summe ihrer Einzelmaßnahmen. Für eine möglichst umfassende Vorbereitung auf unterschiedliche Krisen bedarf es vielmehr eines umfassenden Plans, damit die einzelnen Maßnahmen und Werkzeuge auch in unterschiedlichen Krisenszenarien lückenlos zusammenwirken. Denn in der Regel werden immer mehrere Werkzeuge und Maßnahmen gemeinsam benötigt, um eine Krise zu bewältigen.
Ein solcher Business Continuity Plan hat immer eine operative und eine technische Ebene. Zur operativen Ebene gehören:
  • Risikoanalysen
  • Notfallpläne
  • Klare Verantwortlichkeiten
  • Regelmäßige Tests
Auf technischer Ebene betrachtet der Business Continuity Plan folgende Komponenten:
  • Die IT-Infrastruktur im Unternehmen, unter anderem:
  1. Firmencloud, beziehungsweise Server On-Premises
  2. Alle Arbeitsplatzcomputer im Unternehmen
  3. Netzwerkarchitektur
  • Technische Einrichtungen für den Ersatzbetrieb im Fall einer Krise, darunter:
  1. Back-ups der aktuellen Datenbestände
  2. Verfügbare Ersatzarbeitsplätze außerhalb des Unternehmensstandortes
  3. Mobile Endgeräte für die Arbeit aus dem Homeoffice oder generell per Remote Work
  4. Zusätzliche Zugänge zum Unternehmensnetzwerk, beispielsweise per VPN-Tunnel
  5. Netzersatzanlagen (NEA) für größere Unternehmensbereiche, Unabhängige Stromversorgungen (USV) für Arbeitsplätze und Server, sonstige Akkuspeicher
Je nach möglichem Krisenszenario kommt den einzelnen Komponenten eine unterschiedliche Bedeutung zu. Bei einem Stromausfall am gesamten Firmensitz sind NEA und USV von großer Bedeutung für die Fortführung des Geschäftsbetriebes. Bei einem Ausfall eines Rechenzentrums entscheidet hingegen die Art des gewählten Back-ups und die Anzahl der getrennt gepflegten Datenreplikate über die Robustheit der Business Continuity. Business Continuity setzt daher auf ein breites Portfolio an unterschiedlichen Werkzeugen.

Business Continuity vs. Disaster Recovery: Unterschiede und Gemeinsamkeiten

Die Business Continuity wird häufig mit der Disaster Recovery (auf Deutsch: Wiederherstellung nach Schadensereignissen) und der Cloud Disaster Recovery (auf Deutsch: Cloud-Wiederherstellung nach Schadensereignissen) verwechselt, da sich alle drei Begriffe um die Resilienz eines Unternehmens bei Krisen drehen.
Doch eine solche Gleichsetzung ist nicht korrekt. Denn die Business Continuity soll den Geschäftsbetrieb im Fall einer Krise möglichst ohne Unterbrechungen erhalten. Die Disaster Recovery greift hingegen im Fall einer tatsächlichen Störung mit einhergehenden Systemausfällen. Sie kommt also dann zum Tragen, wenn der Geschäftsbetrieb bereits unterbrochen ist. Betrachtet werden hierbei meist Ausfälle von IT-Systemen, etwa durch:
  • Datenverluste
  • Technische Störungen
  • Hacking-Attacken
Disaster Recovery soll nach einem solchen Ausfall die Systeme möglichst schnell und vollumfänglich wiederherstellen. Der Unterbegriff Cloud Disaster Recovery bezieht sich hierbei speziell auf die Firmencloud, unabhängig davon, ob diese als Private Cloud, Public Cloud oder als Mischform aus beiden (Hybrid Cloud) angelegt ist.
Gemeinsam betrachten können Sie diese Begriffe gleichwohl in der Entwicklung von Schutzmaßnahmen gegen Krisen und Ausfälle. Denn ein Unternehmen, das bei Krisenfällen dank Business Continuity schnell auf Ersatzsysteme umschalten kann, erreicht damit gewissermaßen auch den Maximalstandard der Disaster Recovery: indem es eine tatsächliche Recovery gar nicht erst notwendig macht.
Empfohlener externer Inhalt
Hier ist ein Video-Inhalt von YouTube. Er ergänzt die Informationen auf dieser Seite.
Sie können ihn mit einem Klick anzeigen und wieder ausblenden.
Ich bin einverstanden, dass externe Inhalte angezeigt werden. So können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr in unserer  Datenschutzerklärung.
Datenschutzerklärung

Risikoanalyse und Business Impact Analysis (BIA) als Grundlage

Grundlage eines Business Continuity Plan ist eine vorherige sorgsame Analyse des Ist-Zustandes im Unternehmen selbst und aller externer Systeme und Datenbestände, die das Unternehmen nutzt. Daher gilt ein besonderer Fokus etwa der Geschäftssoftware, die externe Anbieter als Software-as-a-Service (SaaS) zur Verfügung stellen.
Ansätze wie Bring Your Own Device (BYOD) können die Produktivität Ihrer Mitarbeitenden erhöhen, bringen aber auch Gefahren mit sich und können bei falscher Konfiguration zum Einfallstor für Malware werden. Diesbezügliche Szenarien müssen daher heute in die Risikoanalyse mit einfließen.
Zu einer umfassenden, unternehmensweiten Betrachtung gehören aber auch:
  • Kabelgebundene oder Funk-Netzwerke, die ein externer Netzanbieter auf dem Unternehmensgelände als Campus-Netz betreibt
  • Produktionsanlagen, die ein externer Geschäftspartner bereitstellt, managt und über das Internet administriert
  • Lagerverwaltungssysteme oder autonome Transportfahrzeuge, die sich mithilfe des Internet oder externer Navigationssysteme orientieren oder ihre Daten extern speichern
  • Gebäudemanagementsysteme, die über externe Sensoren oder das Internet Daten erfassen
Die zunehmende Vernetzung in Unternehmen erleichtert das Arbeiten im Team und an wechselnden Einsatzorten. Sie bietet zudem in vielen Bereichen erhebliches Einsparpotenzial. Es entstehen damit aber auch potenziell neue Herausforderungen für das Risikomanagement und die Business Continuity. Denn wo Daten aus immer mehr Quellen zusammengeführt werden und wo wichtige Systeme eine dauerhafte Netzwerk- oder Internetverbindung benötigen, entstehen zwangsläufig auch neue Risiken und Ausfallszenarien. Entsprechend erfasst und bewertet eine Business Impact Analysis (BIA) für die Business Continuity alle Systeme im Unternehmen in einem 5-Schritte-Verfahren:
  1. Identifikation kritischer Geschäftsprozesse
  2. Analyse möglicher Auswirkungen von Ausfällen
  3. Festlegung maximal tolerierbarer Ausfallzeiten
  4. Bewertung finanzieller und organisatorischer Schäden
  5. Priorisierung von Wiederherstellungsmaßnahmen und Ressourcen
Stadtansicht mit Symbolen für Verkehrsmittel

Cyber Security für Ihr Business

Mit unseren Sicherheitslösungen schützen Sie Ihr Unternehmen vor Viren, Industrie-Spionage, Cyber-Angriffen und unautorisiertem Zugriff auf Ihre Netze.

  • Sichere Kommunikation
  • Für Homeoffice und Büro
  • Globales, sicheres Log-in-Verfahren

Normen und Standards: ISO 22301 und BSI-Grundschutz

Business Continuity Management (BCM) ist der Managementansatz, der Business Continuity im Unternehmen implementiert. Hierfür gibt es bereits zahlreiche Normen, Empfehlungskataloge und Standards, sodass Sie hierbei auf Wissen, Einschätzungen und Erfahrungen von Expert:innen zurückgreifen können. Die wichtigsten Normen und Standards im Bereich Business Continuity sind:
  • „Internationaler Standard für Business Continuity Management“ (ISO-Norm 22301)
  • Ergänzend zur ISO 22301 die ISO 22313 als offizieller Leitfaden für deren praktische Umsetzung
  • „Modernisierter BSI-Standard 200-4 Business Continuity Management Grundschutz“ des Bundesamtes für Sicherheit in der Informationstechnik

BCM im Unternehmen implementieren: Schritt-für-Schritt

Während größere Unternehmen in der Regel über ein fest etabliertes und institutionalisiertes Risikomanagement für unterschiedliche Krisenszenarien verfügen, fehlt in vielen KMU noch das nötige Bewusstsein hierfür. Mit einem einfachen 5-Schritte-Plan machen Sie ihre Firma sicher für viele Herausforderungen.
  1. Risiken und kritische Prozesse identifizieren: Analysieren Sie, welche Geschäftsbereiche und Prozesse für Ihren Betrieb absolut unverzichtbar sind. Skizzieren Sie hierfür alle Risiken wie mögliche IT-Ausfälle, Lieferengpässe, Cyberangriffe oder Veränderungen im wirtschaftlichen und politischen Umfeld.
  2. Notfallziele und Verantwortlichkeiten festlegen: Definieren Sie klare Ziele für den Ernstfall, beispielsweise maximale Ausfallzeiten. Bestimmen Sie Verantwortliche und Vertreter:innen für unterschiedliche Notfallmaßnahmen innerhalb Ihrer Organisation. Klare Zuständigkeiten verhindern Chaos und ermöglichen schnelle Entscheidungen im Krisenfall.
  3. Notfallmaßnahmen und Back-up-Lösungen etablieren: Erstellen Sie konkrete Maßnahmen für unterschiedliche Szenarien. Dazu gehören das schnelle Rückspielen von Back-ups, die Ausgabe von Ersatzgeräten, die Bereitstellung von alternativen Arbeitsplätzen. Sorgen Sie dafür, dass wichtige Informationen sicher gespeichert sind und auch bei Systemausfällen verfügbar bleiben.
  4. Mitarbeitende schulen und Abläufe testen: Informieren Sie Ihre Mitarbeitenden über die vorbereiteten Notfallprozesse und die geplanten Verhaltensregeln für Krisenfälle. Führen Sie regelmäßige Übungen durch, um Schwachstellen zu erkennen. Für sogenannte Pentests gibt es entsprechende Anbieter mit Spezialwissen zur Cyberkriminalität. Praktische Tests helfen Ihnen dabei, Abläufe zu verbessern und zugleich Sicherheit im Umgang mit Krisensituationen aufzubauen.
  5. Plan regelmäßig überprüfen und aktualisieren: Überarbeiten Sie Ihre Pläne regelmäßig – besonders nach technischen Änderungen oder wenn Sie neue, potenzielle Risiken identifiziert haben. So stellen Sie sicher, dass Ihr Unternehmen auch bei möglichen zukünftigen Störungen handlungsfähig bleibt.

Business Continuity in der Cloud: Chancen und Lösungen

Krisen können auch die eigene Firmen-Cloud oder die technische Anbindung an diese betreffen. Trotzdem macht eine Cloud Ihr Unternehmen in der Regel resilienter gegen viele Krisenszenarien:
  • Auf eine über das Internet angebundene Firmen-Cloud können Sie global zugreifen – auch dann, wenn an Ihrem Hauptfirmensitz beispielsweise ein Stromausfall vorliegt.
  • Über verteilte Back-ups können Sie Ihre Firmendaten parallel an verschiedenen Standorten ablegen. Selbst bei einem Totalausfall eines Rechenzentrums sind Ihre Daten somit sicher.
  • Mit sogenannten heißstartfähigen Back-ups können Sie Ihre Geschäftsdaten auch nach einer massiven Ransomware-Attacke oder andere Cybervorfällen sofort wieder zurückholen.
  • Große Rechenzentrenbetreiber und Cloud-Anbieter verfügen über eigene Abteilungen mit Cyberexpert:innen. Diese verfolgen aufmerksam alle Entwicklungen im Hackingsektor. Kommt es zu neuartigen Cyberattacken (zum Beispiel Zero-Day-Exploits) können diese Expert:innen dadurch schneller reagieren und viele Angriffe erfolgreich abwehren. So kann Ihre Firmen-Cloud bereits wieder produktiv arbeiten, wenn viele Wettbewerber mit eigenen On-Premises-Servern und ohne professionelle Interventionsteams von der Cyberattacke getroffen werden.
  • Viele Cloud-Anbieter stellen Ihnen Anmelde-, Überwachungs- und Protokollierungs-Werkzeuge zur Verfügung, um Ihre Cloud gegen unautorisierte Zugriffe abzusichern. Mittels Role Based Access Control und Zwei-Faktor-Authentifizierung schützen Sie wertvolle Daten so gegen Diebstahl und Sabotage durch Identitätsmissbrauch.
Junger Mann im Home Office schaut auf seinen Notebook-Bildschirm

Identitätsprüfung leicht gemacht

Nicht sicher, ob eine Person die ist, für die sie sich ausgibt? Mit den Vodafone Identity Verification Services haben Cyber-Kriminelle beim Identitätsbetrug keine Chance.

  • Unrechtmäßige Zugriffe entdecken
  • Identitätsdiebstähle aufdecken
  • Konten und Daten wirksam schützen

Praxisbeispiele: BCM in verschiedenen Branchen

Mit Blick auf bekannte Krisen aus der Vergangenheit und mögliche zukünftige Krisenszenarien haben sich bereits auch zahlreiche Branchenverbände und Spezialdienstleister mit Business Continuity für einzelne Sektoren und Branchen befasst. Für einzelne Bereiche und Risikobranchen, die für die öffentliche Ordnung und die Versorgung der Bevölkerung von großer Bedeutung sind, hat auch der Gesetzgeber entsprechende Vorgaben und Risikostandards verabschiedet. Dies betrifft namentlich:
  • Behörden
  • Gesundheitswesen
  • Unternehmen und Organisationen aus dem Bereich der Grundversorgung
  • Verkehr und Infrastruktur
  • Finanzwesen
Firmen aus diesen Sektoren unterliegen in der Regel erweiterten Meldeplichten bei Cyberattacken und -gefahren. Außerdem müssen sie sich je nach Sektor auf Stromausfälle und Naturkatastrophen vorbereiten: beispielsweise, indem sie schwarzstartfähige Netzersatzanlagen bereithalten und sich mit Betriebsstoffen und Lebensmitteln für Krisenfälle bevorraten.
Krankenhäuser erstellen für Krisenfälle sogenannte Krankenhausalarm- und Einsatzpläne (KAEP). Diese sollen sicherstellen, dass sie die Versorgung aufrechterhalten können, etwa bei Katastrophen. Die vorbereiteten Szenarien unterteilen dabei sich in interne (z.B. Stromausfall, Brand) und externe Gefahrenlagen (z.B. Massenanfall von Verletzten).
Auch andere Sektoren der Grundversorgung müssen sich besonders auf spezifische Notfälle vorbereiten. So bietet beispielsweise der Bundesverband der Energie- und Wasserwirtschaft (BDEW) seinen Mitgliedskörperschaften branchenspezifische Handlungsempfehlungen an – speziell für den Schutz kritischer Infrastrukturen, beziehungsweise deren Wiederherstellung.
Im Bankwesen führen die großen Aufsichtsbehörden wiederkehrende „Stresstests“ durch, um die Resilienz von öffentlichen und Privatbanken gegenüber Krisen im Finanzsystem zu überprüfen, etwa die Europäische Zentralbank, die Europäische Bankenaufsichtsbehörde und BaFin. Dabei prüfen die Behörden auch die operative Widerstandsfähigkeit (Cyber Resilience) von Banken gegenüber Cyberattacken gemäß dem Digital Operational Resilience Act (DORA) der Europäischen Union.
Beachten Sie: Ihr Unternehmen kann von einer Krise in einem wichtigen Sektor auch mittelbar betroffen sein, wenn Sie zwar selbst dieser Branche nicht angehören, aber wichtige Kund:innen oder Lieferanten aus diesen Bereichen kommen.

Fazit: Unsere Empfehlungen für Business Continuity in Ihrem Unternehmen

Eine Krise oder Naturkatastrophe kann jedes Unternehmen treffen. Das kann ein Stromausfall sein oder ein Starkwetterereignis mit Überflutung und unpassierbaren Straßen. Aber auch politische Rahmenbedingungen können sich heute sehr schnell verändern. Deren Folgen wie globale Liefer- oder Lieferkettenprobleme, kurzfristig eingeführte Zölle und Verwerfungen an den Rohstoffmärkten stellen Unternehmen immer wieder vor große Herausforderungen. Vermehrt nutzen Staaten regionale Rohstoffvorkommen auch geostrategisch und verknappen beispielsweise den globalen Zugang zu diesen Gütern oder verteuern sie.
Wer auf Wandel und Anpassung gut vorbereitet ist, kann schneller reagieren und im Idealfall Produktionsunterbrechungen sogar ganz verhindern. Dies ist das Ziel von Business Continuity. Sie sorgt dafür, dass Ihre Prozesse auch in schwierigem Umfeld zuverlässig funktionieren und die Produktion nicht stillsteht.
In einer digitalisierten Welt kommt außerdem Cybergefahren immer größere Bedeutung zu. Daher sollten Sie auch Ihre IT-Systeme gegen mögliche Schadensfälle absichern.
In diesem Bereich gibt es bereits viele Werkzeuge und Hilfsmittel, mit denen Sie Ihre Infrastruktur und Geschäftsprozesse schützen können. Mehr darüber lesen Sie auch in unserem Whitepaper zur Cyber Security.
Junger Mann studiert das Vodafone Cyber Security Whitepaper am Laptop

Whitepaper: Cyber Security

Cyberangriffe und kein Ende: Die potenziellen Schäden sind gewaltig und auch der Mittelstand ist zunehmend betroffen. Unser Cyber-Security-Whitepaper verrät, wie wirksamer Schutz vor Kriminellen gelingt:

  • Zahlen, Daten und Fakten zur Bedrohung durch Cyberattacken
  • Einblicke in Angriffsmethoden wie Malware, Ransomware & Co.
  • Maßnahmenplan, um Ihr Unternehmen effektiv zu schützen

Business Continuity: Häufig gestellte Fragen (FAQ)

Das könnte Sie auch interessieren:
Cloud & Hosting

Microsoft Sovereign Cloud

Die Microsoft Sovereign Cloud erweitert bestehende Dienste wie Azure und Microsoft 365 um zusätzliche Schutz- und Kontrollmechanismen. So können Unternehmen vertraute Cloud-Dienste nutzen und zugleich höhere Anforderungen an digitale Souveränität erfüllen

Digitalisierungsberatung

Die Beraterinnen und Berater helfen Ihnen kostenlos und unabhängig bei praktischen Fragen und geben konkrete Tipps. Vereinbaren Sie einen unverbindlichen Termin um Ihr Anliegen zu besprechen.

Termin vereinbaren