Die Bundeszentrale für politische Bildung bestätigt in einem Datenreport von 2021[1], dass die überwiegende Mehrheit der Beschäftigten bei ihrer Arbeit auf digitale Informations- und Kommunikationstechnologien angewiesen ist. Im Falle eines IT-Systemausfalls fallen somit nicht nur ein Großteil der Arbeitsprozesse weg, ebenso ist ein Austausch mit der Außenwelt faktisch unmöglich. Das kann weitreichende Konsequenzen für Unternehmen haben, von finanziellen Verlusten bis hin zu Reputationsschäden. Der IBM Cost of a Data Breach Report 2023 beziffert den durchschnittlichen Schaden pro Vorfall weltweit auf 4,45 Millionen USD (ca. 3,75 Millionen Euro in Deutschland)[2]. Daher ist ein effektives Business Continuity Management (BCM) von großer Bedeutung. Dieses geht dabei weit über die reine IT-Sicherheit hinaus und umfasst Strategien und Maßnahmen, die sicherstellen, dass Unternehmen auch in Krisenzeiten handlungsfähig bleiben. Dazu zählt u.a. auch eine erprobte Krisenkommunikation, um im Schadensfall handlungsfähig zu bleiben und Vertrauen zu erhalten. Ob Naturkatastrophen, Cyberangriffe oder unerwartete Systemausfälle – ein gut durchdachter Notfallplan, der präventive Maßnahmen und Risikomanagementstrategien integriert, kann den Unterschied zwischen einer schnellen Erholung und einer existenziellen Bedrohung ausmachen. Eine PwC-Studie zeigt, dass 72% der Unternehmen mit implementiertem BCM in Krisensituationen schneller wieder operativ handlungsfähig sind[3]. Dieser Artikel beleuchtet die typischen Ursachen von IT-Systemausfällen und die notwendige Krisenkommunikation sowie präventive Maßnahmen und Risikomanagementstrategien.
Ursachen und Szenarien von IT-Systemausfällen
Der Crowdstrike Fall im Juli 2024 hat kürzlich bewiesen, wie folgenschwer sich ein Systemausfall für viele Unternehmen auswirken kann und dass dafür nicht zwangsläufig Hackerangriffe zuständig sein müssen. Viele Organisationen unterschätzen die Wahrscheinlichkeit und das Ausmaß eines solchen Ausfalls. Neben fehlerhaften Updates können aber auch Elementarschäden zu einem hardwareseitigen Ausfall der digitalen Infrastruktur führen, wie Feuer, Wasser, Blitzschlag und Sturm. Ein Blitzschlag kann beispielsweise zu umfassenden Stromausfällen und damit zur Unterbrechung kritischer IT-Infrastrukturen führen. Oft unterschätzt wird hier auch die mögliche Abhängigkeit von Drittanbietern. Sollten diese betroffen sein, kann es schnell zu einer Kettenreaktion kommen, wodurch auch das eigene Unternehmen darunter leidet. Das BSI warnt aber auch vor der zunehmenden digitalen Bedrohung durch Cyberangriffe: Eine Viertelmillion neuer Schadprogramm-Varianten wurden durchschnittlich täglich im vergangenen Jahr entdeckt[4]. Und auch Ransomware-Angriffe nehmen stetig zu. Überraschend hierbei war, dass nicht nur große Unternehmen auf dem Radar der Hacker standen, sondern auch kleine und mittlere Organisationen sowie staatliche Institutionen und Kommunen. Aufgrund solcher Attacken müssen 60% dieser mittleren und kleinen Unternehmen innerhalb eines halben Jahres Insolvenz anmelden[5]. Ein effektives Krisenmanagement ist also von großer Bedeutung, egal für welche Unternehmensgröße.
Faktoren einer Krise und Reaktionsmöglichkeiten
Mit dem Wegfall von digitaler Infrastruktur ist schnelles Handeln unabdingbar. Hier setzt BCM an und bestimmt somit das Ausmaß des Systemausfalls. Jetzt sollten vorher erprobte Basismaßnahmen zum Einsatz kommen wie u. a. das sofortige Aktivieren von Notfallplänen und eine klare Kommunikation mit allen Betroffenen. Ein spezifisches Beispiel: Eine Firma wird Opfer einer Ransomware-Attacke. Alle Daten werden verschlüsselt; Arbeitsprozesse stehen still. Hier muss Krisenkommunikation sofort greifen: Kunden und Partner müssen informiert werden, um das Vertrauen aufrechtzuerhalten. Die IT-Abteilung arbeitet parallel an der Wiederherstellung der Systeme, während die Geschäftsführung die Öffentlichkeit über die Schritte zur Behebung des Problems auf dem Laufenden hält.
Prävention und Risikomanagement
Eine grundlegende Computerhygiene sowie präventive Maßnahmen setzen die Grundpfeiler, um für den Ernstfall gewappnet zu sein. Dazu zählen regelmäßige Backups, Sicherheitsmaßnahmen wie die Implementierung von Firewalls, Antiviren-Software und Multi-Faktor-Authentifizierung sowie Schulungen für Mitarbeiter, um das Risiko von IT-Ausfällen zu minimieren. Zusätzlich können Cyber-Versicherungen finanzielle Verluste auffangen, während Haftpflichtversicherungen für Schäden an Dritten aufkommen.
Ein häufiges Missverständnis ist im Krisenfall die Annahme, dass die IT-Abteilung allein für die Bewältigung der Krise verantwortlich sei. Natürlich spielt die sie eine Schlüsselrolle, insbesondere bei der Wiederherstellung kritischer Systeme und Daten. Doch gerade in den ersten entscheidenden Stunden einer Krise sollte die IT-Abteilung nicht damit beschäftigt sein, ad hoc Kommunikationskanäle aufzubauen, um das Unternehmen wieder (untereinander) erreichbar zu machen. Hier zeigt sich die wahre Stärke eines umfassenden Business Continuity Managements: Es ist nicht nur wichtig, einen Notfallplan zu haben, sondern auch im Vorfeld geeignete Kommunikationslösungen zu etablieren, auf welche im Krisenfall sofort zurückgegriffen werden kann. So können alle Beteiligten effizient informiert und koordiniert werden, während sich die IT-Abteilung auf das Wesentliche konzentriert – die schnelle Wiederherstellung der Unternehmenssysteme.
Indem Organisationen und Unternehmen diese duale Herangehensweise verfolgen, minimieren Sie nicht nur das Ausfallrisiko, sondern schaffen auch die Voraussetzungen für eine schnelle und geordnete Rückkehr zur Normalität.
Fazit
Ein plötzlicher Ausfall von IT-Systemen kann Unternehmen vor erhebliche Herausforderungen stellen. Die unmittelbaren Folgen reichen von gestoppten Arbeitsabläufen bis hin zu uninformierten Mitarbeitern und Kunden. In solchen kritischen Momenten zählt jede Minute, und die richtige Vorbereitung kann den Unterschied machen.
Krisenkommunikation ist daher ein entscheidender Bestandteil eines effektiven Business Continuity Managements. Während das IT-Team sich um die technische Wiederherstellung kümmert, sollte die Kommunikation bereits reibungslos laufen, um Vertrauen zu bewahren und Schaden zu minimieren. Ein gut durchdachter Notfallplan, der klare Kommunikationsstrategien sowie Notfallübungen beinhaltet, stellt sicher, dass alle Beteiligten informiert und handlungsfähig bleiben. Nur durch eine Kombination aus präventiven Maßnahmen und einer robusten Krisenkommunikation können Unternehmen den Ernstfall sicher bewältigen und schnell wieder zur Normalität zurückkehren.
[1] https://www.bpb.de/kurz-knapp/zahlen-und-fakten/datenreport-2021/arbeitsmarkt-und-verdienste/329845/verbreitung-computergestuetzter-informations-und-kommunikationsmittel/
[2] https://d110erj175o600.cloudfront.net/wp-content/uploads/2023/07/25111651/Cost-of-a-Data-Breach-Report-2023.pdf
[3] https://www.pwc.de/de/managementberatung/pwc-deutschland-global-crisis-and-resilience-survey-2023.pdf
[4] https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html
[5] https://www.allianz.com/content/dam/onemarketing/azcom/Allianz_com/press/document/Allianz-Risk-Barometer-2023.pdf
https://www.inc.com/joe-galvin/60-percent-of-small-businesses-fold-within-6-months-of-a-cyber-attack-heres-how-to-protect-yourself.html