Gut geschützt ist noch nicht krisenfest

Gut geschützt und digital krisenfest sind zwei verschiedene Dinge. Die meisten Unternehmen merken den Unterschied erst an einem Montagmorgen, an dem die Warenwirtschaft nicht startet.

Schutz entscheidet darüber, wie wahrscheinlich ein Ausfall ist. Digitale Krisenfestigkeit entscheidet darüber, was danach passiert. Sie ist die Fähigkeit eines Unternehmens, handlungsfähig zu bleiben, wenn in seinen digitalen Abhängigkeiten etwas ausfällt: ein System, ein Zugang, ein Anbieter, eine Software oder die eine Person, die als Einzige weiß, wie alles zusammenhängt. Dazu gehört, danach geordnet wieder anzulaufen, statt sich durch die ersten Tage zu improvisieren.

Fragt man eine Geschäftsführung, wie es um die digitale Sicherheit steht, kommt erstaunlich oft eine Produktliste: Virenschutz, Firewall, Datensicherung und ein IT-Dienstleister, der sich kümmert. Alles vorhanden, alles bezahlt. Die Firewall ist modern und bestens gewartet. Sie weiß nur nicht, wer am Montag die Rechnungen schreibt, wenn das System steht.

Genau hier liegt der Denkfehler. Digitale Krisenfestigkeit klingt nach Technik, ist aber eine Führungsfrage. Informationssicherheit, Softwarequalität, der Einsatz von KI, der Notbetrieb und die gesetzlichen Vorgaben werden in den meisten Unternehmen von verschiedenen Leuten verantwortet, wenn überhaupt. Krisenfest wird das Ganze erst, wenn jemand die Verbindungen kennt: welche Abläufe an welchen Systemen hängen, wer im Ausfall entscheidet und was am ersten Tag zwingend laufen muss, während anderes drei Tage warten kann.

Woran man erkennt, dass diese Fähigkeit fehlt? Zuerst daran, dass auf die Frage nach dem Ernstfall Produkte genannt werden statt Zuständigkeiten. Dann daran, dass die Zugänge zur Domain, zum Onlinebanking oder zum Kundenportal bei einer einzigen Person liegen. Und schließlich daran, dass es zwar eine Datensicherung gibt, aber noch nie jemand ausprobiert hat, wie lange die Rücksicherung tatsächlich dauert. Ob sie hilft, erfährt man dann genau in dem Moment, in dem man es am wenigsten erfahren möchte.

Der Unterschied zeigt sich nicht im Alltag, sondern in den ersten Stunden nach einem Ausfall. Ein Unternehmen, das seine digitalen Abhängigkeiten kennt und geregelt hat, verliert dort keine Zeit mit der Suche nach Zuständigen und Passwörtern. Es entscheidet, setzt Prioritäten und arbeitet notfalls ohne das System weiter, bis es wieder läuft. Das ist kein Verdienst der IT, sondern das Ergebnis von Führung, die vorher stattgefunden hat.

Wenn morgen früh Ihr wichtigstes System nicht startet, wer entscheidet dann, was zuerst wieder laufen muss – und könnte diese Person das heute schon beantworten?