IT-Ausfall: Unternehmen schlecht für den Notfall vorbereitet

Jedes zweite deutsche Unternehmen hat keinen Notfallplan für IT-Sicherheitsvorfälle. Dabei können Ausfälle teuer werden, die jährlichen Schäden wachsen pro Unternehmen schnell auf mehrere hunderttausend Euro. Firmen sollten zeitnah eine umfassende Bedrohungs- und Risikoanalyse starten und die Reaktionen für den Ernstfall regelmäßig üben.

Denn auch der beste Plan ist wirkungslos, wenn im Notfall das Administrator-Passwort eines wichtigen IT-Systems fehlt. Das ist das Ergebnis einer Marktbeobachtung von Steria Mummert Consulting.

Vor wenigen Tagen schaffte es ein Hardwarefehler, den deutschen Aktienhandel zum Erliegen zu bringen – fast eineinhalb Stunden fiel die elektronische Handelsplattform Xetra aus. Und das ist kein Einzelfall: In nahezu jedem Unternehmen können IT-Probleme für massiven Schaden sorgen. Die Umsatzeinbußen durch IT-Ausfälle in Deutschland werden jährlich auf mehr als vier Milliarden Euro geschätzt. Schon der Ausfall eines Etikettendruckers kann in einem Chemieunternehmen zu massiven Problemen und Kosten durch Lieferungsverzug führen.

Laut Steria Mummert Consulting werde Notfallplanung in vielen Unternehmen noch stiefmütterlich behandelt, da sich die Investition nur in einem Fall auszahlt, den niemand haben möchte. Doch Notfallvorsorge zahlt sich auch aus, wenn kein K-Fall eintritt, denn durch die Beschäftigung mit ihren kritischen Geschäftsprozessen können Unternehmen Maßnahmen zur Effizienzsteigerung und Absicherung treffen.

Einige Unternehmen verfügen zwar über Backup-Server oder sogar über ein teures Ausweich-Rechenzentrum, doch nur wenige haben überhaupt eine Definition, wann genau ein Notfall eingetreten ist, wer dann benachrichtigt werden muss und wer im Fall des Ausfalls Entscheidungen trifft. Fehlt ein Notfallplan komplett, kann das dem Geschäftsführer oder Vorstand sogar als Vorsatz ausgelegt werden – schließlich ist die Firmenleitung gesetzlich verpflichtet, die Existenz des Unternehmens zu sichern.

Vielen Unternehmen fehlt schlicht die Vorstellung, was bei einem IT-Ausfall passieren kann. Die Abhängigkeit von der IT ist über die Jahre hinweg deutlich gewachsen und die Verfügbarkeit ist in der Regel immer noch sehr gut. Oft würden Unternehmen ihre Fähigkeit überschätzen, bei einem IT-Ausfall die Prozesse manuell weiterführen zu können. Selbst wenn eine manuelle Kompensation bei einem Ausfall möglich ist, können viele Unternehmen aufgrund ihrer dünnen Personaldecke in der IT-Abteilung dies im Ernstfall nicht umsetzen.

Nur eine umfassende Bedrohungsanalyse, die ausgehend von Gefahrenkatalogen nüchtern die möglichen Auswirkungen betrachtet, helfe laut Steria Mummert Consulting weiter. Und selbst diese müsse alle drei bis fünf Jahre aktualisiert werden. Anschließend werden in einer Risikoanalyse die für das Unternehmen tatsächlich relevanten Bedrohungen bewertet und dann die Prioritäten für risikomindernde Maßnahmen gesetzt.

Was selbst nach der Erstellung eines Notfallplans noch fehlt, ist Übung. Der Dieselgenerator, der im Keller des Rechenzentrums auf den Strom-Notfall wartet, müsse regelmäßig angeworfen werden. Auch Notfall-Prozessabläufe bedürften der Übung - schon allein, um Kontaktdaten und hinterlegte Administrator-Passwörter auf dem neuesten Stand zu halten.

Weitere Informationen: Steria Mummert Consulting