Vorsorge statt Ausnahmezustand

Ein Rettungsschirm – also eine gut vorbereitete Notfallplanung – kann für Unternehmen im Fall der Fälle die Existenz sichern.
Foto: Lustre Art Group/stock.adobe.com

Resilienz
Wenn IT-Systeme ausfallen, Lieferketten ins Stocken geraten oder Naturereignisse den Geschäftsbetrieb lahmlegen, zeigt sich, wie verwundbar Unternehmen heute sind. Business Continuity Planning (BCP) ist daher keine Kür, sondern Voraussetzung für wirtschaftliche Stabilität und Wettbewerbsfähigkeit.

Während geopolitische Spannungen, Cyberangriffe und Klimarisiken zunehmen, stehen Unternehmen unter wachsendem Druck, Ausfälle nicht nur zu bewältigen, sondern aktiv vorzubeugen. Moderne BCP-Konzepte entwickeln sich daher vom reinen Krisenhandbuch zu einem strategischen Instrument, das Geschäftsmodelle resilient macht – und im Ernstfall über Fortbestand oder Stillstand entscheidet.

Jeder weiß es: Notfallplanung für den Fall der Fälle ist überlebensnotwendig! Gerade für kleine und mittelständische Unternehmen, in denen das Wissen um das Unternehmen oft  nur auf wenige Köpfe verteilt ist. 99,3 Prozent der Unternehmen in Deutschland sind KMU (kleine und mittelständische Unternehmen) laut Statistischem Bundesamt. Was ist also zu tun, wenn der Chef ausfällt? Oder wenn von außen der Betrieb mit unvorhersehbaren Ereignissen konfrontiert wird?  

Mit dieser Frage sollten sich Unternehmerinnen und Unternehmer unbedingt beschäftigen. Bei Dennis Feldmann, geschäftsführender Gesellschafter der Agentur Designraketen GmbH in Koblenz, stand das Thema auf der Prioritätenliste. „Ich hatte 2021 schon einmal daran gedacht, ein Notfallhandbuch zu erstellen, aber es landete auf der Prio D“, gesteht Feldmann. Das änderte sich abrupt zwei Jahre später. Feldmann wurde während eines Urlaubs in Kolumbien Opfer eines schweren Raubüberfalls. „Einer meiner ersten Anrufe war der ins Büro“, erinnert er sich: „Wir haben ein Problem. Mein Handy ist weg, mein Pin-Code erpresst und damit der Schlüssel zu allem.“

Kontaktdaten, Passwörter, E-Mail-Zugänge, Serverzugänge – ein Worstcase-Szenario, das unmittelbar einen Datenschutzvorfall auslöste. Sein Team musste improvisieren: Passwörter ändern, Kunden informieren, Systeme sperren. „Es war absolutes Chaos – aber wir haben einen Plan entwickelt, während wir mitten drin waren.“ Der Vorfall wurde zum Wendepunkt und die Notfallplanung zur Chefsache. Mit Akribie dokumentierte die Designraketen-Crew alle Abläufe, die Mitarbeitende wissen müssen, wenn ein Ansprechpartner nicht erreichbar ist. Aktuell umfasst das entstandene Notfallhandbuch rund 600 Seiten – inklusive eines umfassenden Qualitätsmanagements nach ISO 9001. „Für mich ist es mehr als ein Notfallhandbuch. Es ist auch ein Betriebshandbuch, ein Nachschlagewerk und eine Zukunftssicherung.“

Checklisten für den Ernstfall gehen dabei Hand in Hand mit Prozessen für den Alltag: Onboarding neuer Mitarbeitender, Wissenssicherung beim Personalwechsel, standardisierte Abläufe. Künftig sollen auch interaktive KI-Elemente integriert werden.
Angesichts geopolitischer Spannungen und steigender Cyberkriminalität hat sich die Perspektive weiter verändert. „Heute müssen wir uns sogar fragen, was im Kriegsfall passiert. Daran hätte ich früher nie gedacht“, so Feldmann. Im Frühjahr trat dann der Ernstfall erneut ein: Ein Cyberangriff auf einen der Kundenserver erfolgte. „Es wurde versucht, Daten abzugreifen und den Server zu kapern, dabei wurde ein Teil der Webseiten kompromittiert.“ Diesmal griff der Notfallplan. Schritt für Schritt arbeitete das Team die Checklisten ab: Server abschalten, IT-Dienstleister anrufen für die erste Forensik, Cyberschutzversicherung informieren, Datenschutzjuristen und -beauftragten einschalten. „Der Plan hat uns geholfen, einen kühlen Kopf zu bewahren. Gerade die gesetzliche 72-Stunden-Frist für die Datenschutzmeldung muss man im Ernstfall erst einmal im Blick behalten.“
Maik Rönnefarth, Geschäftsführer der Schreinerei Rönnefarth – Die Holzwürmer in Dernau, weiß aus eigener Erfahrung, wie plötzlich ein Unternehmen in den Ausnahmezustand geraten kann. Er war der erste Coronainfizierte im Landkreis Ahrweiler – nach einem Urlaub in Ischgl. „Viereinhalb Wochen durfte ich nicht vor die Tür. Ich hatte keinen Notfallplan, aber gesunden Menschenverstand.“ Rückblickend sei alles gut gegangen, sagt er, doch damals wurde ihm klar, wie verletzlich der Betrieb war. „Ich konnte nicht von außen auf den Server zugreifen.“ Er übertrug seinen Mitarbeitern die Verantwortung, die sie auch angenommen hatten – etwas, das für ihn nicht selbstverständlich ist.

Kurz darauf wurde Dernau von der Ahr überflutet. Das Wasser stand 2,80 Meter hoch in der Werkstatt. „Wir haben als erstes den Server aus der Wand gerissen und in die obere Etage gebracht – und uns selbst gerettet.“ Die Katastrophe wurde zum Wendepunkt. Beim Wiederaufbau setzte Rönnefarth konsequent auf Schutzmechanismen: Drei Rückflussklappen, zusätzliche Vorrichtungen für 1,20 Meter hohe Aluplanken, die bei Hochwasser eingesetzt werden können. „Für ein erneutes Hochwasser heißt es bei uns jetzt: Sicherungen ausschalten, Gebäude verlassen, Autos wegfahren, Schutzplanken einsetzen und Feuerwehr rufen.“

Auch digitale Risiken nimmt Rönnefarth inzwischen systematisch in den Blick. „Bei einem Hackerangriff haben wir unsere Checklisten Schritt für Schritt abgearbeitet und konnten so das Schlimmste verhindern.“ Einmal im Jahr führt er sogenannte Notfallgespräche mit seinem Team – ein festes Ritual, um Abläufe zu schärfen und Erfahrungen auszutauschen. Besonders geprägt hat ihn eine Übung mit der Feuerwehr. „Ich dachte, ich würde mich blind in meiner Schreinerei bewegen können – aber von wegen. Durch den Rauch wusste ich nicht mehr, wo ich war.“ Diese Erfahrung habe er sofort in die Notfallgespräche übernommen.
Für Dennis Feldmann steht fest: Die investierten Stunden in die Notfallplanung zahlen sich aus. „Das ist keine Zeitverschwendung. Ich investiere in mein Unternehmen, damit ich in Zukunft keine existenziellen Probleme aufgrund eines Notfalls und unklarer Prozesse bekomme. Allein ein Datenschutzverstoß kann bis zu fünf Prozent des Jahresumsatzes kosten. Noch schlimmer ist, das Vertrauen der Kunden zu verlieren – doch wir haben jetzt Schritte unternommen, um das zu verhindern.“

Interview

Das neue Rechenzentrum des Zentrums für Datenverarbeitung der Uni Mainz ist Teil der Strategie zur Business Continuity Planung. Die WIRTSCHAFT sprach mit dem Geschäftsführer und technischen Leiter des ZDV Carsten Allendörfer:

Bei welchen Ereignissen greift Ihre 100-prozentige Ausfallsicherheit?

Die nahezu 100-prozentige Ausfallsicherheit bezieht sich auf die technische Infrastruktur des Gebäudes, also insbesondere auf die Stromversorgung und die Kühlung der IT-Systeme. Die technische Infrastruktur zur Versorgung der IT-Systeme ist redundant ausgelegt, sodass die IT-Systeme praktisch immer betrieben werden können. Die Verfügbarkeit jedes einzelnen IT-Services der JGU hängt wiederum vom Design der einzelnen Dienste ab. Auch diese müssen redundant konzipiert werden, also wenigstens auf mehreren Servern laufen, damit man eine hohe Verfügbarkeit für IT-Services realisieren kann.

Worin besteht der Unterschied zu früher? 

Im Unterschied zum alten Rechenzentrum haben wir jetzt eine redundante Anbindung an die Mittelspannungsversorgung, redundante Transformatoren und zwei unterbrechungsfreie Stromversorgung-Anlagen sowie einen deutlich leistungsfähigeren Dieselgenerator zur Notstromversorgung. Auch die Kühlung im neuen Rechenzentrum ist redundant und für eine höhere Leistung ausgelegt.

Für wen ist diese Sicherheit besonders wichtig?

Die hohe Verfügbarkeit eines Rechenzentrums ist für alle Universitätsmitglieder wichtig, also für Studierende, Lehrende, Forschende und Verwaltungsmitarbeiter. Sie stellt die ständige Verfügbarkeit kritischer Dienste sicher.
Im hochverfügbaren Bereich der IT-Infrastruktur laufen zentrale Systeme, die die Grundlage für Basisdienste wie Verwaltungsprogramme, Lernmanagementsysteme, E-Mail-Dienste und Forschungsdatenbanken bilden. Ausfälle können den Lehrbetrieb, die Forschung oder administrative Prozesse massiv stören. 
 
Was passiert, wenn der Notfall eintritt (zum Beispiel Stromausfall oder Hackerangriff)?

Bei einem Stromausfall laufen alle Server im Enterprise Raum des neuen Rechenzentrums ohne Unterbrechung weiter. Die Konzeption für den Bereich High Perfomance Computing sieht vor, dass im Falle eines Stromausfalls nur noch die Fileserver und Managementinfrastruktur mit Strom versorgt wird. Die eigentlichen Berechnungen würden abbrechen und müssten dann wieder neu gestartet werden, sobald der Strom wieder zur Verfügung steht.