Disaster Recovery: Weil’s pressiert, wenn’s passiert

Die beste Versicherung ist die, die Sie nie brauchen. Das gilt auch für Disaster Recovery. Wer denkt schon an einen Wasserschaden, ein Feuer oder einen Cyberangriff? Trotzdem sollten KMU die Wiederherstellung geschäftskritischer Daten und IT-Systeme im Notfall lieber früh planen als spät bereuen.

Hand aufs Herz: Ist Ihr Unternehmen sicher vor Cyberangriffen und den möglichen Risiken wie einem Produktions- oder Betriebsstillstand? 57 Prozent der befragten KMU in der Cyberstudie 2024 der Fachhochschule Nordwestschweiz (FHNW) fühlen sich sicher, 55 Prozent gaben an, für Cyberattacken gerüstet zu sein. Der Umkehrschluss lautet, dass fast die Hälfte der KMU ungenügend vorbereitet ist. Und Cyberattacken sind eine reale Gefahr: 4 Prozent der Befragten gaben an, bereits einmal Opfer geworden zu sein – bei drei Vierteln entstand dabei ein ernsthafter finanzieller Schaden. Disaster Recovery – ein Plan, wie nach einer erfolgreichen Attacke oder einem Elementarschaden der Betrieb möglichst schnell wiederhergestellt werden kann –, sollte deshalb auch für KMU ein wichtiges Thema sein.

Bei KMU fehlt es an organisatorischen Schutzmassnahmen

Die wichtigsten Hausaufgaben haben viele KMU gemacht. Bei technischen Massnahmen geben weit über 80 Prozent an, ein Backup eingerichtet zu haben und Updates regelmässig vorzunehmen. Allerdings: ein Drittel hat nie geprüft, ob im Ernstfall auch die Wiederherstellung aus dem Backup funktioniert – ein zentrales Element der Disaster Recovery.

Drei Viertel verwenden zudem sichere Passwörter. Im Widerspruch dazu nutzen nur 37 Prozent einen Passwort-Manager. Das lässt den Schluss zu, dass beim Umgang mit Passwörtern Nachholbedarf besteht. Wie sollen sich Mitarbeitende ohne Passwort-Manager individuelle, sichere Passwörter für jedes Konto merken können?

Weniger gut sieht es bei vielen KMU aber aus, wenn es um die organisatorischen Notfallmassnahmen geht. Nur ein Drittel der befragten KMU besitzt einen Notfallplan oder ein Business Continuity Management (BCM), also ein Konzept, um die Produktion oder den Betrieb sicherzustellen. Anders gesagt: Über 60 Prozent sind unvorbereitet auf Ausfälle oder Störungen. Das muss kein Cyberangriff sein, auch ein Bedienungsfehler oder Elementarschaden wie Wasser, Feuer oder ein Erdbeben kann IT-Systeme lahmlegen.

Zudem ist nur bei 20 Prozent ein Mitarbeitender oder die Geschäftsleitung für IT-Sicherheit verantwortlich – obwohl ein funktionierender Geschäftsbetrieb in ihre Zuständigkeit fällt. 29 Prozent delegieren diese Aufgabe an den IT-Dienstleister, und bei 44 Prozent ist gar niemand zuständig. Das erschwert eine schnelle Reaktion im Ernstfall.

Auch KMU brauchen ein Disaster-Recovery-Konzept

Ausfälle oder Störungen können lange dauern, teuer werden und im schlimmsten Fall Existenzen gefährden. Darum brauchen Unternehmen ein Disaster-Recovery-Konzept, unabhängig von ihrer Grösse. Besonders, wenn ihre Produktion oder ihr Betrieb mit der IT vernetzt ist und davon abhängt. Der deutsche Begriff Notfall- oder Katastrophenwiederherstellung bringt auf den Punkt, worum es bei Disaster Recovery geht: Die IT-Infrastruktur nach einem Störungs- oder Katastrophenfall oder nach einer erfolgreichen Ransomware-Attacke so schnell wie möglich wieder in Betrieb nehmen und alle wichtigen Daten wiederherstellen.

Disaster Recovery planen statt panisch reagieren

Der Disaster-Recovery-Plan ist das Fundament der Notfall- oder Katastrophenwiederherstellung. Darin werden alle Massnahmen und Verfahren definiert sowie Vorgaben, was im Notfall zu tun ist. Unter anderem werden die einzelnen Massnahmen Schritt für Schritt als Checkliste aufgeführt, die abgearbeitet werden müssen. Ein Disaster-Recovery-Plan legt ausserdem Eskalationsstufen, Meldewege und Verantwortlichkeiten fest: Wer ist zuständig für die Wiederherstellung nach einem Hardware-Defekt oder einem Elementarschaden? Welche IT-Sicherheitsprofis helfen schnell bei einem Ransomware-Angriff?

Wichtig ist, dass der Plan nicht nur geschrieben und irgendwo abgelegt wird. Die verantwortlichen Mitarbeitenden müssen ihn kennen und regelmässig geschult werden.

Testen statt blind vertrauen

Auf dem Papier sehen die meisten Pläne gut aus. Wenn Sie nicht erst im Notfall herausfinden wollen, wie viel Ihr Disaster-Recovery-Plan wert ist, testen Sie alle Massnahmen und Verfahren regelmässig – auch die Wiederherstellung eines Backups. So stellen Sie sicher, dass Ihr Unternehmen den Betrieb oder die Produktion nach einer Störung oder einem Ausfall ohne langen und teuren Stillstand hochfahren kann. Ausserdem verbessern Sie den Disaster-Recovery-Plan und die Massnahmen, schulen alle verantwortlichen Mitarbeitenden für den Notfall und sensibilisieren die anderen Mitarbeitenden für die Folgen möglicher Bedienungsfehler.

Disaster Recovery geht auch einfacher

Disaster Recovery ist aufwändig. Vielen KMU fehlen die personellen und/oder finanziellen Ressourcen für einen wirksamen Schutz und eine effiziente Notfallwiederherstellung. Für sie ist Disaster Recovery as a Service sinnvoll, also als Dienst aus der Cloud. Ein IT-Dienstleister richtet Backups, Speicherplatz sowie virtuelle Systeme beispielsweise in der Swisscom Cloud ein. Dabei entsteht ein virtueller Zwilling der individuellen Infrastruktur eines Unternehmens. Lokale Server und Daten werden in der Cloud gespiegelt und gesichert. Im Katastrophenfall kann der IT-Partner gewissermassen den Schalter umlegen, wodurch das KMU auf der gespiegelten virtuellen Infrastruktur weiterarbeiten kann. Damit sind KMU besser gerüstet für einen Fall, der hoffentlich nie eintritt.