Was Resilienz in der Informationssicherheit bedeutet
Resilienz ist die Fähigkeit eines Unternehmens, auch bei Störungen und Angriffen wesentliche Leistungen aufrechtzuerhalten oder in einer vertretbaren Zeit wiederherzustellen. Sie beginnt nicht erst nach einem Vorfall. Vorbereitung, Reaktion und Wiederanlauf gehören zusammen.
In meinem Modell der fünf Dimensionen ist Resilienz die Antwort auf eine unbequeme Erkenntnis: Nicht jeder Angriff lässt sich verhindern. Gute Prävention reduziert die Wahrscheinlichkeit und erschwert einen erfolgreichen Angriff. Sie garantiert jedoch keinen störungsfreien Betrieb. Resilienz sorgt dafür, dass aus einer Krise nicht automatisch ein Kontrollverlust wird.
Dabei geht es nicht nur um Technik. Systeme müssen wiederhergestellt werden können, Prozesse brauchen Ersatzwege und Menschen benötigen klare Zuständigkeiten. Ein Backup allein ist noch keine Resilienz. Es ist zunächst eine Datei mit guten Absichten – bis eine erfolgreiche Wiederherstellung das Gegenteil beweist.
Handlungsfähigkeit braucht Technik, Organisation und Menschen
Technische Resilienz entsteht beispielsweise durch geeignete Datensicherungen, Wiederherstellungsverfahren, Segmentierung, Protokollierung und angemessene Redundanz. Welche Maßnahmen sinnvoll sind, hängt von den kritischen Leistungen und der möglichen Schadwirkung ab. Nicht jedes System benötigt dieselbe Verfügbarkeit und nicht jede doppelte Technik löst eine doppelte Sicherheit aus.
Organisatorische Resilienz schafft einen Rahmen für Entscheidungen unter Zeitdruck. Dazu gehören erreichbare Verantwortliche, festgelegte Eskalationswege, verständliche Notfallpläne und vorbereitete Kommunikationswege. Ein hundertseitiges Handbuch hilft wenig, wenn im entscheidenden Moment niemand weiß, auf welcher Seite der erste Schritt steht.
Personelle Resilienz bedeutet, dass Menschen ihre Rollen kennen, Auffälligkeiten melden und auch unter Belastung zusammenarbeiten können. Dafür braucht es Übungen, Vertretungen und eine Kultur, in der Probleme früh angesprochen werden. Wer bei jeder Störung zuerst einen Schuldigen sucht, trainiert vor allem das Verschweigen.
Von der Schadwirkung zur passenden Vorsorge
Resilienz sollte nicht aus einer Sammlung beliebter Sicherheitsmaßnahmen entstehen. Ausgangspunkt sind die Geschäftsleistungen, deren Ausfall besonders schwere Folgen hätte. Für sie muss geklärt werden, wie lange eine Unterbrechung tragbar ist, welche Daten benötigt werden und welche Abhängigkeiten den Wiederanlauf bestimmen.
Daraus ergeben sich konkrete Fragen: Welche Systeme müssen zuerst verfügbar sein? Welcher Datenstand wird benötigt? Welche manuellen Ersatzverfahren sind für einige Stunden oder Tage möglich? Welche Dienstleister werden gebraucht und wie sind sie im Notfall erreichbar? Wer darf über Abschaltung, Wiederanlauf und externe Kommunikation entscheiden?
- Kritische Leistungen und ihre technischen wie organisatorischen Abhängigkeiten kennen.
- Datensicherungen nicht nur erstellen, sondern die Wiederherstellung unter realistischen Bedingungen testen.
- Rollen, Vertretungen und Entscheidungsbefugnisse für den Notfall eindeutig festlegen.
- Ersatzverfahren und Kommunikationswege so dokumentieren, dass sie auch ohne die ausgefallenen Systeme erreichbar sind.
- Übungen auswerten und erkannte Schwächen tatsächlich beseitigen.
Normen, gesetzliche Vorgaben und etablierte Verfahren können dafür Anforderungen oder Orientierung liefern. Welche davon für ein Unternehmen verbindlich sind und wie sie umgesetzt werden müssen, hängt jedoch von Branche, Größe, Tätigkeit und konkretem Anwendungsbereich ab. Resilienz pauschal mit einem einzelnen Regelwerk gleichzusetzen wäre fachlich zu einfach.
Ein Ausfall zeigt, ob Vorbereitung funktioniert
Nehmen wir ein Unternehmen, dessen zentrale Warenwirtschaft nach einem Sicherheitsvorfall abgeschaltet werden muss. Der Notfallplan benennt ein Krisenteam, die wichtigsten Ansprechpartner und die Reihenfolge der Wiederherstellung. Aktuelle Datensicherungen liegen getrennt vor, und die Rücksicherung wurde bereits geübt.
Trotzdem läuft nicht alles glatt. Ein externer Dienstleister ist zunächst nicht erreichbar, ein Ersatzverfahren enthält veraltete Kontaktdaten und einige Mitarbeitende kennen die vereinbarte Ablage nicht. Das ist realistisch. Resilienz bedeutet nicht, dass in einer Krise alles perfekt funktioniert. Sie bedeutet, dass die Organisation Abweichungen erkennt, Entscheidungen treffen und kontrolliert weiterarbeiten kann.
Das Unternehmen schaltet auf ein begrenztes manuelles Verfahren um, priorisiert wichtige Lieferungen und informiert betroffene Partner mit einem abgestimmten Lagebild. Parallel wird das System in einer kontrollierten Umgebung wiederhergestellt und geprüft. Erst danach folgt die Rückkehr in den Normalbetrieb. Die Krise bleibt anstrengend, aber sie beherrscht nicht vollständig das Unternehmen.
Nach dem Vorfall werden nicht nur technische Ursachen betrachtet. Ebenso wichtig sind Erreichbarkeit, Entscheidungen, Informationsfluss und die Belastung der beteiligten Menschen. Aus diesen Erkenntnissen entstehen Verbesserungen. Eine Übung oder ein Vorfall ohne anschließende Anpassung ist im Wesentlichen eine aufwendige Form der Erinnerung.
Resilienz lässt sich nur durch Üben entwickeln
Pläne schaffen eine Grundlage, Übungen machen sie brauchbar. Dabei muss nicht jedes Mal ein vollständiger technischer Ausfall simuliert werden. Eine moderierte Szenarioübung kann bereits zeigen, ob Verantwortlichkeiten, Telefonnummern und Entscheidungen geklärt sind. Technische Wiederherstellungstests prüfen zusätzlich, ob Daten und Systeme tatsächlich in der erwarteten Zeit verfügbar werden.
Sinnvolle Prüfgrößen sind zum Beispiel die Dauer bis zur Lageeinschätzung, die Erreichbarkeit wichtiger Rollen, der tatsächlich wiederherstellbare Datenstand und die Zeit bis zur Aufnahme einer kritischen Leistung. Solche Werte sind keine Trophäen für ein Dashboard. Sie sollen sichtbar machen, wo Anspruch und Wirklichkeit auseinanderliegen.
Auch Veränderungen im normalen Betrieb gehören in die Betrachtung. Neue Cloud-Dienste, andere Lieferanten, personelle Wechsel oder zusätzliche Schnittstellen verändern die Voraussetzungen für einen Wiederanlauf. Ein vor zwei Jahren getesteter Plan kann heute noch stimmen. Darauf verlassen sollte man sich ungefähr so sehr wie auf die Hoffnung, dass schon nichts passieren wird.
Resilienz wächst schrittweise. Ein klarer Meldeweg, eine getestete Sicherung oder eine benannte Vertretung sind jeweils überschaubare Verbesserungen. Entscheidend ist, sie an den kritischen Leistungen auszurichten und regelmäßig zu prüfen. Der lange Atem ist dabei meist wichtiger als das große einmalige Projekt.
Kurz gesagt
Resilienz hält ein Unternehmen trotz Angriffen und Störungen handlungsfähig. Sie entsteht aus dem Zusammenspiel von Technik, Organisation und Menschen und wird erst durch Tests und Übungen belastbar. Prävention bleibt wichtig, aber sie reicht allein nicht aus. Wer kritische Leistungen kennt, Wiederherstellung praktisch erprobt und Entscheidungen vorbereitet, kann eine Krise strukturierter bewältigen. Im abschließenden Teil der Reihe werden die fünf Dimensionen zusammengeführt und als gemeinsame Führungsaufgabe betrachtet.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: