Wie Unternehmen ihr schlechtes Gewissen beruhigen, bevor es brennt
Es gibt Themen, die stehen auf der unternehmerischen To-do-Liste ungefähr dort, wo auch „Keller aufräumen“, „Versicherungspolicen verstehen“ und „Excel-Listen konsolidieren“ stehen: irgendwo zwischen wichtig, unangenehm und „machen wir, sobald es ruhiger wird“.
Business Continuity Management (BCM), gehört für viele Unternehmen genau in diese Kategorie. Man weiß, dass es wichtig ist. Man weiß auch, dass es besser wäre, vorbereitet zu sein. Und trotzdem wird es regelmäßig nach hinten priorisiert, weil der Alltag andere Brände liefert: Kundenprojekte, Personalthemen, Audits, IT-Probleme, Lieferanten, Budgetrunden oder die berühmte „nur ganz kurze“ Eskalation, die dann doch den halben Tag frisst.
Das Problem: BCM ist ausgerechnet der Brand, den man nicht erst löschen sollte, wenn er ausgebrochen ist. Die Feuerwehr kann hier nur bedingt helfen. Sie löscht vielleicht den Serverraum. Aber sie stellt keine Geschäftsprozesse wieder her, kommuniziert nicht mit Mitarbeitenden, Kunden und Dienstleistern und entscheidet auch nicht, worauf im Notbetrieb zuerst verzichtet werden kann.
Genau dafür braucht es BCM. Es beantwortet eine unbequeme, aber zentrale Frage:
Was muss in unserem Unternehmen funktionieren, damit wir auch im Ernstfall handlungsfähig bleiben?
Wer diese Frage beantwortet, schläft meistens besser. Nicht, weil alle Risiken verschwinden. Sondern weil aus einem diffusen schlechten Gewissen ein konkreter Plan wird.
Das schlechte Gewissen hat meistens recht
Viele Geschäftsführungen, IT-Leitungen und Sicherheitsverantwortliche kennen dieses leise Hintergrundrauschen:
„Wir müssten eigentlich mal einen Notfallplan machen.“
„Wir sollten unsere kritischen Prozesse dokumentieren.“
„Wir müssten testen, ob die Wiederherstellung wirklich funktioniert.“
„Wir sollten klären, wer im Krisenfall eigentlich entscheidet.“
Und dann passiert: erst einmal nichts.
Nicht aus Ignoranz. Sondern weil Unternehmen im Tagesgeschäft permanent priorisieren müssen. Informationssicherheit, Business Continuity und IT-Notfallmanagement konkurrieren mit operativen Anforderungen, Umsatzdruck, Kundenprojekten und begrenzten Ressourcen. Das ist nachvollziehbar. Es ändert aber nichts daran, dass die Verantwortung bleibt.
Der erste sinnvolle Schritt ist deshalb oft keine große BCM-Initiative, sondern eine nüchterne Situationsanalyse: Welche kritischen Prozesse kennen wir? Welche Abhängigkeiten sind dokumentiert? Welche Notfallpläne wurden getestet? Welche Entscheidungen wären im Ernstfall unklar?
Eine solche Gap-Analyse ersetzt kein BCM. Aber sie macht aus einem unguten Gefühl konkrete Handlungsfelder.
Wenn Vorsorge zur Pflicht werden kann
Neben der unternehmerischen Verantwortung kommt für viele Organisationen eine regulatorische Perspektive hinzu. Für wichtige und besonders wichtige Einrichtungen nach BSIG gehören Risikomanagementmaßnahmen zum Pflichtenkatalog. Dazu zählt auch die Aufrechterhaltung des Betriebs, etwa durch Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement. Das BSI ordnet diese Themen ausdrücklich im Kontext von NIS-2 und Business Continuity Management ein.
Nicht jedes Unternehmen ist betroffen. Aber viele Unternehmen sollten ihre Betroffenheit prüfen, statt sich auf Bauchgefühl oder Branchenvermutungen zu verlassen.
Eine erste Orientierung bietet unser NIS-2-Check, mit dem Unternehmen ihre potenzielle Betroffenheit unverbindlich prüfen können.
Auch das KRITIS-Dachgesetz, das im März 2026 in Kraft getreten ist, erhöht die Relevanz organisatorischer Resilienz. Ziel des Gesetzes ist die Stärkung der Resilienz kritischer Infrastrukturen (KRITIS) und anderer wesentlicher Einrichtungen.
Die regulatorische Frage lautet also nicht nur: „Sind wir betroffen?“
Die bessere Frage lautet: „Wenn wir betroffen sind: Welche Vorsorge müssen wir nachweisbar, wirksam und verhältnismäßig organisieren?“
Was bedeutet „Ernstfall“ eigentlich?
Der Begriff „Ernstfall“ klingt dramatisch. Nach Blaulicht, Krisenstab und Presseanfragen. Manchmal ist er das auch. Häufig beginnt er aber viel unspektakulärer.
Ein Ernstfall kann ein Ransomware-Angriff sein, der zentrale Systeme verschlüsselt. Oder ein Ausfall des wichtigsten IT-Dienstleisters. Oder eine nicht verfügbare Cloud-Plattform. Oder ein längerer Strom- oder Netzwerkausfall. Oder der Ausfall von Schlüsselpersonen. Oder ein Brand-, Wasser- oder Gebäudeschaden. Oder eine Kombination aus allem, natürlich bevorzugt an einem Freitagmittag.
Der Ernstfall ist also nicht nur das große Katastrophenszenario. Er beginnt dort, wo wesentliche Geschäftsprozesse nicht mehr wie vorgesehen funktionieren und das Unternehmen unter Zeitdruck entscheiden muss.
Die entscheidende Frage lautet daher nicht: „Kann uns etwas passieren?“
Die bessere Frage lautet: „Was darf uns nicht gleichzeitig passieren?“
Warum BCM mehr ist als ein IT-Notfallplan
Viele Unternehmen starten bei der Notfallvorsorge zuerst mit der IT. Das ist nachvollziehbar. Ohne IT funktioniert in den meisten Organisationen wenig bis gar nichts. Aber BCM ist breiter.
Ein IT-Notfallplan beantwortet typischerweise Fragen wie: Welche Systeme müssen wiederhergestellt werden? Welche Backups gibt es? Wer administriert die Infrastruktur? Welche technischen Wiederanlaufzeiten sind vorgesehen?
BCM fragt zusätzlich: Welche Geschäftsprozesse sind kritisch? Welche Leistungen müssen auch im Notbetrieb erbracht werden? Welche Personen, Räume, Daten, Dienstleister und Systeme werden dafür benötigt? Wer entscheidet im Krisenfall mit welcher Befugnis? Wie kommunizieren wir, wenn E-Mail, Telefonie oder Kollaborationstools ausfallen? Welche Kunden, Behörden oder Partner müssen wann informiert werden?
Kurz gesagt: Die IT kann Systeme wiederherstellen. BCM schafft die Grundlage dafür, dass das Unternehmen weiß, wofür, in welcher Reihenfolge und unter welchen Bedingungen Wiederanlauf und Notbetrieb organisiert werden müssen.
Hier kommt die Business Impact Analyse ins Spiel. Sie zeigt, welche Prozesse bei einem Ausfall welche Folgen haben, welche Wiederanlaufzeiten realistisch sind und wo technische Wiederherstellung und geschäftliche Priorisierung auseinanderlaufen.
Verantwortung lässt sich nicht delegieren
Ein häufiger Irrtum lautet: „Das macht unsere IT.“
Ein anderer: „Das liegt beim Informationssicherheitsbeauftragten.“
Und der Klassiker: „Unser Dienstleister hat dafür bestimmt etwas.“
Vielleicht. Vielleicht auch nicht.
Natürlich sind IT, Informationssicherheit, Datenschutz, Facility Management, Einkauf und externe Dienstleister wichtige Beteiligte. Aber BCM betrifft Geschäftsentscheidungen.
Welche Prozesse zuerst wieder anlaufen müssen, kann nicht allein die IT entscheiden. Welche Ausfallzeit akzeptabel ist, ist keine rein technische Frage. Welche Kunden priorisiert werden, welche Leistungen vorübergehend eingestellt werden können und welche Kommunikation nach außen erfolgt, gehört in die Verantwortung der Organisation und ihrer Leitung.
Das ist nicht immer bequem. Aber genau hier liegt der Wert von BCM: Es bringt Unternehmen dazu, Entscheidungen vorab zu klären, statt sie in der Krise improvisieren zu müssen.
Improvisation ist großartig im Jazz. Im Krisenmanagement ist sie eher Plan B. Und Plan B sollte nicht darin bestehen, dass alle hektisch in alten E-Mails nach Telefonnummern suchen und jeder die Lage nach seiner eigenen Facon versteht.
Was Unternehmen mindestens vorbereiten sollten
Die gute Nachricht: BCM muss nicht mit einem 300-seitigen Konzept beginnen, das anschließend niemand liest. Ein pragmatischer Einstieg ist möglich und oft wirksamer als ein theoretisch perfektes, aber praktisch ungenutztes Dokument.
Entscheidend ist, mit den richtigen Fragen zu starten.
- Kritische Geschäftsprozesse identifizieren
Nicht jeder Prozess ist gleich kritisch. Genau diese Priorisierung ist der erste Schritt zu einem funktionierenden BCM. Wer nicht weiß, welche Leistungen zuerst wieder anlaufen müssen, kann weder IT-Wiederherstellung noch Notbetrieb sinnvoll planen.
- Abhängigkeiten sichtbar machen
Kritische Prozesse hängen fast immer von mehreren Faktoren ab: IT-Systemen, Personen, Gebäuden, Dienstleistern, Daten, Maschinen oder Plattformen. In der Praxis sind die offensichtlichen Abhängigkeiten meist bekannt. Die wirklich schmerzhaften werden oft erst im Ernstfall sichtbar.
- Notbetrieb definieren
BCM bedeutet nicht, im Krisenfall sofort wieder auf Normalbetrieb zu schalten. Oft geht es zunächst darum, die Voraussetzungen für einen geordneten Notbetrieb zu schaffen. Er ist gewissermaßen der Sicherheitsgurt des Unternehmens. Man hofft, ihn nicht zu brauchen. Aber wenn es knallt, ist man froh, dass er da ist.
- Rollen und Entscheidungswege festlegen
Im Ernstfall zählt Geschwindigkeit. Nicht durch Hektik, sondern durch Klarheit. Ohne definierte Rollen entsteht schnell eine gefährliche Zwischenlage: Viele fühlen sich zuständig, aber niemand entscheidet verbindlich.
- Kommunikation vorbereiten
Kommunikation ist im Ernstfall oft genauso wichtig wie Technik. Ein Unternehmen kann technisch bereits an der Wiederherstellung arbeiten und trotzdem Vertrauen verlieren, wenn Kunden, Mitarbeitende oder Partner keine klaren Informationen erhalten.
- Übungen durchführen
Ein Plan ist erst dann belastbar, wenn er getestet wurde. Das muss nicht sofort eine groß angelegte Krisensimulation sein. Schon eine einfache Tabletop-Übung kann zeigen, ob Annahmen realistisch sind.
Denn lieber stellt man Lücken in einem Konferenzraum fest als Montagmorgen um 7:42 Uhr während eines echten Vorfalls.
Fünf Sätze, die im Ernstfall teuer werden können
„Wir machen das, wenn wir Zeit haben.“
Das ist vermutlich der häufigste Satz im BCM-Umfeld. Leider ist er auch einer der gefährlichsten. Zeit entsteht selten von allein. BCM muss bewusst priorisiert werden, sonst bleibt es dauerhaft hinter den lauteren Themen zurück.
„Unsere IT hat Backups.“
Backups sind wichtig. Aber Backups sind kein BCM. Entscheidend ist, ob sie vollständig, aktuell, geschützt, wiederherstellbar und in die Geschäftsprioritäten eingebettet sind.
Ein Backup, das niemand rechtzeitig zurückspielen kann, ist im Ernstfall ungefähr so hilfreich wie ein Ersatzschlüssel in einem Haus, das gerade nicht erreichbar ist.
„Unsere Leute wissen schon, was zu tun ist.“
Vielleicht. Aber verlassen sollte man sich darauf nicht. Gerade in Krisen verändern Stress, Zeitdruck und Informationsmangel das Verhalten. Was im Normalbetrieb selbstverständlich erscheint, ist im Ernstfall plötzlich unklar.
„Das betrifft uns nicht.“
Diese Annahme ist oft zu optimistisch. Nicht jedes Unternehmen ist regulatorisch betroffen. Aber fast jedes Unternehmen ist abhängig von IT, Daten, Dienstleistern, Kommunikation und Schlüsselpersonen. Auch ohne gesetzliche Pflicht kann ein Ausfall erhebliche wirtschaftliche, rechtliche und reputative Folgen haben.
„Wir haben ein Dokument.“
Sehr gut. Aber weiß jemand, wo es liegt? Ist es aktuell? Wurde es getestet? Kennen die relevanten Personen ihre Rolle?
Ein Notfallkonzept ist kein dekoratives Compliance-Objekt. Es muss im Ernstfall funktionieren.
Empfehlung: klein anfangen, aber verbindlich
Der Einstieg in BCM muss nicht kompliziert sein. Sinnvoll ist ein pragmatischer, strukturierter Ansatz:
- regulatorische Betroffenheit prüfen
- kritische Geschäftsprozesse identifizieren
- zentrale Abhängigkeiten erfassen
- realistische Ernstfallszenarien definieren
- Notbetrieb und Wiederanlauf priorisieren
- Rollen, Eskalationswege und Kommunikation festlegen
- Maßnahmen testen und regelmäßig aktualisieren
Wichtig ist nicht, sofort alles perfekt zu machen. Wichtig ist, aus dem schlechten Gewissen ein steuerbares Thema zu machen.
Wer unsicher ist, ob NIS-2 oder weitere Resilienzanforderungen relevant sind, sollte mit einer Betroffenheitsprüfung und einer kompakten BCM-Gap-Analyse beginnen. So wird sichtbar, welche Anforderungen tatsächlich greifen, welche Vorbereitungen bereits vorhanden sind und wo Handlungsbedarf besteht.
Fazit: Hoffnung ist kein Notfallkonzept
BCM ist kein Papierprojekt und keine lästige Pflichtübung für besonders ordnungsliebende Organisationen. BCM ist die Antwort auf eine sehr praktische Frage:
Wie bleibt unser Unternehmen handlungsfähig, wenn etwas Wesentliches ausfällt?
Wer diese Frage nicht beantwortet, verlässt sich im Ernstfall auf Hoffnung, Improvisation und die Belastbarkeit einzelner Personen. Das kann gut gehen. Es ist aber keine Strategie.
Gerade Geschäftsführungen sollten BCM daher nicht als weiteres Projekt betrachten, das irgendwann noch dazukommt. Es ist eine grundlegende Vorsorgemaßnahme für die eigene Organisation, die Mitarbeitenden, Kunden und je nach Rolle des Unternehmens auch für Kundenketten, Partner oder öffentliche Versorgung.
Der beste Zeitpunkt, sich mit BCM zu beschäftigen, ist nicht während des Vorfalls. Dann ist der Brand bereits da. Und bei diesem Brand hilft keine Feuerwehr.
Der beste Zeitpunkt ist, bevor aus dem schlechten Gewissen ein echter Ernstfall wird.
