Wie erstelle ich einen Business Continuity Plan?

Ein verschlüsselter Dateiserver um 7:30 Uhr ist kein reines IT-Problem. Wenn Angebote, Aufträge, Produktionsdaten oder Kundendaten nicht erreichbar sind, muss die Geschäftsführung entscheiden: Welche Leistung bleibt lieferfähig, wer informiert Kunden und Dienstleister, und wie wird der Betrieb kontrolliert wieder aufgenommen? Auf die Frage „wie erstelle ich einen Business Continuity Plan“ kommt es deshalb nicht auf ein umfangreiches Dokument an. Entscheidend ist ein Plan, der unter Zeitdruck klare Prioritäten, Zuständigkeiten und Handlungswege vorgibt.

Ein Business Continuity Plan, kurz BCP, regelt die Aufrechterhaltung kritischer Geschäftsprozesse bei einer gravierenden Störung. Dazu zählen Cybervorfälle ebenso wie Ausfall von IT-Dienstleistungen, beschädigte Infrastruktur oder der Verlust zentraler Kommunikationswege. Er ersetzt weder technische Schutzmaßnahmen noch einen Incident-Response-Plan. Er verbindet beides mit der operativen Frage: Wie bleibt das Unternehmen handlungsfähig, wenn wesentliche Ressourcen ausfallen?

Wie erstelle ich einen Business Continuity Plan mit Priorität?

Der häufigste Fehler liegt am Anfang: Unternehmen versuchen, sämtliche Prozesse gleichzeitig abzusichern. Das führt zu langen Listen, aber selten zu belastbaren Entscheidungen. Ein wirksamer BCP beginnt stattdessen mit den Geschäftsprozessen, deren Ausfall kurzfristig Umsatz, Vertragserfüllung, Sicherheit oder Vertrauen gefährdet.

Betrachten Sie beispielsweise nicht nur „IT-Ausfall“, sondern konkrete Folgen: Kann der Vertrieb noch Angebote erstellen? Kann die Buchhaltung Zahlungen freigeben? Kann die Produktion mit vorhandenen Daten und Materialien weiterarbeiten? Sind Service-Teams für Kunden erreichbar? Aus diesen Fragen entsteht eine Business Impact Analysis. Sie macht sichtbar, welche Prozesse kritisch sind, welche Abhängigkeiten bestehen und wie lange ein Ausfall vertretbar ist.

Für jeden kritischen Prozess sollten drei Werte festgelegt werden: die maximale tolerierbare Ausfallzeit, die notwendige Wiederanlaufzeit und der höchstens akzeptable Datenverlust. In der Praxis werden dafür häufig MTPD, RTO und RPO verwendet. Die Begriffe sind weniger wichtig als die Entscheidung dahinter. Ein Prozess, der nach vier Stunden wieder funktionieren muss, benötigt andere Vorkehrungen als ein Prozess, der zwei Tage pausieren kann.

Diese Priorisierung muss von der Geschäftsführung mitgetragen werden. IT kann technische Möglichkeiten bewerten, aber nicht allein entscheiden, ob ein Auftrag, eine Zahlung oder eine Kundenkommunikation geschäftskritisch ist. Gerade in mittelständischen Unternehmen liegt hier ein wesentlicher Haftungs- und Steuerungspunkt: Die Geschäftsleitung muss Risiken erkennen, bewerten und angemessene Maßnahmen veranlassen.

Die Business Impact Analysis konkret durchführen

Führen Sie strukturierte Gespräche mit den Verantwortlichen aus Vertrieb, Betrieb, Finanzen, Personal, IT und Kundenservice. Nicht jedes Unternehmen benötigt dafür ein umfangreiches Projekt. Wichtig ist, dass Antworten dokumentiert, hinterfragt und in ein gemeinsames Lagebild überführt werden.

Für jeden priorisierten Prozess erfassen Sie mindestens:

• Prozessverantwortliche und Stellvertretung
• benötigte Anwendungen, Daten, Geräte und Zugänge
• interne und externe Abhängigkeiten, etwa Dienstleister oder Lieferanten
• manuelle Ersatzverfahren für eine begrenzte Übergangszeit
• Folgen eines Ausfalls für Kunden, Verträge, Liquidität und Compliance

Besonders aufschlussreich sind Abhängigkeiten, die im normalen Betrieb unsichtbar bleiben. Ein Rechnungsprozess kann etwa formal in der Finanzabteilung liegen, hängt aber von E-Mail, Freigabeworkflows, Bankzugängen, Stammdaten und einzelnen Schlüsselpersonen ab. Fällt nur eine dieser Komponenten aus, kann der gesamte Ablauf stocken.

Setzen Sie bei der Bewertung auf realistische Annahmen. Ein Ersatzprozess auf Papier hilft wenig, wenn Ansprechpartner nicht erreichbar sind oder niemand weiß, welche Daten verwendet werden dürfen. Ebenso ist eine Datensicherung nur dann ein wirksames Kontinuitätsmittel, wenn Wiederherstellung, Zugriff und zeitlicher Aufwand getestet wurden.

Rollen definieren, bevor der Ernstfall eintritt

Im Krisenfall entstehen Verzögerungen oft nicht durch fehlende Technik, sondern durch unklare Entscheidungen. Wer darf Systeme abschalten? Wer beauftragt externe Spezialisten? Wer stimmt die Kommunikation mit Kunden, Beschäftigten, Behörden oder Versicherern ab? Ein BCP muss diese Rollen benennen und mit erreichbaren Stellvertretungen hinterlegen.

Bewährt hat sich eine kleine Krisenorganisation mit klaren Funktionen: Geschäftsleitung für priorisierte Entscheidungen, IT oder IT-Dienstleister für technische Koordination, Fachbereiche für Prozessfortführung sowie Kommunikation für abgestimmte Informationen nach innen und außen. In kleineren Unternehmen kann eine Person mehrere Rollen übernehmen. Dann sind Vertretungen umso wichtiger.

Legen Sie außerdem Eskalationsstufen fest. Nicht jede Störung erfordert die vollständige Aktivierung des Plans. Ein einzelner Ausfall kann zunächst durch den IT-Betrieb bearbeitet werden. Sobald mehrere kritische Prozesse betroffen sind, sensible Daten im Spiel sein könnten oder die Wiederanlaufzeit gefährdet ist, sollte die Krisenorganisation einberufen werden. Klare Auslösekriterien verhindern, dass wertvolle Zeit mit Zuständigkeitsfragen verloren geht.

Kommunikation verdient ein eigenes Kapitel. Vorbereitete Textbausteine helfen, sachlich und konsistent zu informieren, ohne voreilige Ursachen oder Zeitprognosen zu veröffentlichen. Entscheidend sind geprüfte Kontaktlisten, alternative Kommunikationswege und die Regel, wer welche Aussage freigibt. Bei möglichen Datenschutz- oder vertraglichen Meldepflichten sollte frühzeitig die zuständige interne Stelle eingebunden werden. Die konkrete rechtliche Bewertung gehört in die Hände der jeweils zuständigen Fachleute.

Technische Wiederanlaufplanung und Notbetrieb verbinden

Ein Business Continuity Plan ist kein Backup-Konzept. Backups sind jedoch ein zentraler Baustein, wenn Daten oder Systeme wiederhergestellt werden müssen. Der BCP beschreibt zusätzlich, in welcher Reihenfolge Anwendungen zurückkehren, welche Daten zunächst benötigt werden und wie der Geschäftsbetrieb bis dahin eingeschränkt fortgesetzt wird.

Definieren Sie für jeden kritischen Prozess einen Notbetrieb. Das kann ein abgestimmter manueller Freigabeprozess sein, eine zeitweise Arbeit mit begrenzten Datensätzen oder die Verlagerung einzelner Aufgaben auf einen alternativen Standort. Der Notbetrieb muss sicher und nachvollziehbar bleiben. Schnelligkeit darf nicht dazu führen, dass Zugriffsschutz, Dokumentation oder Freigaben vollständig entfallen.

Hier zeigt sich ein typischer Zielkonflikt: Maximale Ausfallsicherheit verursacht Kosten und Komplexität. Nicht jede Anwendung benötigt dieselbe Wiederanlaufzeit, nicht jeder Datenbestand eine sofortige Kopie. Der angemessene Aufwand hängt von Geschäftsmodell, Schadenspotenzial, Vertragsanforderungen und vorhandenen Ressourcen ab. Ein guter Plan macht diese Abwägungen transparent, statt pauschale Höchststandards zu versprechen.

Beziehen Sie externe IT-Dienstleister früh ein. Vereinbarte Reaktionszeiten, administrative Zugänge, Ansprechpartner außerhalb der Geschäftszeiten und Zuständigkeiten für Wiederherstellung müssen zum BCP passen. Häufig existieren technische Leistungen zwar vertraglich, sind aber nicht in die operativen Abläufe des Unternehmens übersetzt. Genau diese Lücke wird im Ernstfall teuer.

Cyberversicherung im Business Continuity Plan berücksichtigen

Eine Cyberversicherung kann finanzielle Folgen eines versicherten Cyberereignisses abfedern und spezialisierte Unterstützung für Krisenbewältigung bereitstellen. Sie ist aber kein Ersatz für einen funktionierenden BCP. Versicherer erwarten zunehmend nachvollziehbare Sicherheitsmaßnahmen, geregelte Verantwortlichkeiten und belastbare Wiederherstellungsprozesse. Ein ungeprüfter Plan im Ablageordner verbessert weder die Reaktionsfähigkeit noch automatisch die Versicherbarkeit.

Der BCP sollte daher festlegen, wann der Versicherer oder der vorgesehene Notfallkontakt informiert wird, welche Informationen intern gesammelt werden und wer die Kommunikation koordiniert. Dokumentieren Sie auch Entscheidungen, Ausfallzeiten und entstandene Mehrkosten. Das unterstützt die Steuerung des Vorfalls und kann für die spätere Schadenbearbeitung relevant sein.

Ebenso wichtig ist der Abgleich mit der bestehenden Police. Deckt sie Betriebsunterbrechung, Wiederherstellungskosten und externe Krisendienstleistungen in einer Struktur ab, die zu Ihrem tatsächlichen Risikoprofil passt? Gibt es Obliegenheiten oder Sicherheitsanforderungen, die im BCP berücksichtigt werden müssen? Eine Deckungsanalyse sollte dabei technische Realität und Versicherungsbedingungen zusammenbringen. CyberShield begleitet Unternehmen genau an dieser Schnittstelle unabhängig und strukturiert.

Den Plan testen, nicht nur freigeben

Ein BCP gewinnt erst durch Übungen an Wert. Beginnen Sie pragmatisch mit einem moderierten Szenario: Ein zentraler Server ist nicht verfügbar, E-Mail funktioniert nur eingeschränkt und ein wichtiger Auftrag muss am selben Tag bearbeitet werden. Lassen Sie die vorgesehenen Rollen anhand des Plans handeln. Wo fehlen Kontaktdaten? Welche Entscheidung ist nicht geregelt? Welche Annahme erweist sich als unrealistisch?

Solche Übungen müssen keine technische Angriffssimulation sein. Für die Geschäftsfortführung reichen zunächst Entscheidungsszenarien und Wiederanlaufproben. Testen Sie anschließend gezielt einzelne technische Annahmen, etwa die Wiederherstellung priorisierter Daten oder den Zugriff auf alternative Kommunikationskanäle. Halten Sie Ergebnisse, Maßnahmen und Verantwortliche fest.

Überprüfen Sie den Plan mindestens jährlich sowie nach größeren Veränderungen: neue Kernsoftware, Wechsel des IT-Dienstleisters, neue Standorte, relevante Lieferantenabhängigkeiten oder Änderungen der Cyberpolice. Auch Erkenntnisse aus kleineren Störungen gehören in die Überarbeitung. Ein Plan bleibt nur dann belastbar, wenn er mit dem Unternehmen mitwächst.

Der sinnvollste erste Schritt ist nicht, ein hundertseitiges Handbuch zu schreiben. Benennen Sie Ihre drei bis fünf kritischsten Prozesse, legen Sie Verantwortliche und tolerierbare Ausfallzeiten fest und prüfen Sie diese Annahmen in einer Übung. Daraus entsteht ein Business Continuity Plan, der im entscheidenden Moment Orientierung gibt - und der technische Sicherheit, unternehmerische Verantwortung und finanziellen Risikotransfer sinnvoll zusammenführt.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.