Nicht der Server, sondern der Geschäftsprozess ist der Ausgangspunkt
Angenommen, nach einem Angriff ist Ihre Auftragsbearbeitung nicht mehr erreichbar. Dann zählt nicht nur, ob eine Datensicherung vorhanden ist: Können Mitarbeitende auf die wiederhergestellte Anwendung zugreifen? Funktionieren Anmeldung, Schnittstellen und die Verbindung zu anderen Systemen? Ein technisch gestarteter Server bedeutet noch keinen arbeitsfähigen Betrieb.
Für ein belastbares Sicherheitskonzept betrachten Sie deshalb den gesamten Ablauf: Welche Anwendungen, Daten, Dienstleister und Zugänge braucht ein Auftrag vom Eingang bis zur Rechnung? Die zuständigen Fachbereiche legen gemeinsam mit der IT fest, welche Ausfallzeiten und Datenverluste tragbar sind. Daraus ergeben sich konkrete Anforderungen an Sicherung, Wiederanlauf und Ausweichverfahren.
Wer entscheidet, wenn der normale Betrieb nicht mehr möglich ist?
Bei einem Vorfall müssen technische Arbeit und unternehmerische Entscheidungen zusammenlaufen. Wer darf betroffene Systeme vom Netz trennen? Wer entscheidet über einen eingeschränkten Weiterbetrieb? Wer informiert Beschäftigte, Kunden und externe Dienstleister? Diese Zuständigkeiten sollten vor dem Ernstfall abgestimmt sein – einschließlich Vertretung und eines Kontaktwegs, der auch ohne die übliche E-Mail funktioniert.
Ein IT-Dienstleister kann Systeme absichern und die Wiederherstellung unterstützen. Er ersetzt aber nicht die Entscheidungen und Pflichten der Geschäftsleitung. Auch bei Cloud- und Softwareanbietern sollten Zuständigkeiten, erreichbare Ansprechpartner und verfügbare Datenexporte geklärt sein. Gesetzliche Meldepflichten und Fristen werden gesondert eingeordnet; interne Eskalationswege müssen dazu passen.
Ein Nachweis ist mehr als ein grüner Status
Eine Meldung wie „Backup erfolgreich“ bestätigt zunächst nur den Sicherungslauf. Ein Wiederherstellungstest beantwortet die wichtigere Frage: Lässt sich der vereinbarte Geschäftsprozess mit diesen Daten tatsächlich wieder aufnehmen? Halten Sie fest, was getestet wurde, welches Ergebnis erreicht wurde und welche Einschränkungen bestehen.
Aus einem Testprotokoll wird erst dann eine Verbesserung, wenn offene Punkte einen Verantwortlichen und einen vereinbarten nächsten Schritt erhalten. Nach Änderungen an Fachanwendungen, Zugängen oder Dienstleistern muss geprüft werden, ob das bisherige Verfahren noch trägt. So entsteht eine nachvollziehbare Verbindung zwischen betrieblichem Risiko, getroffener Entscheidung und belegbarer Wirkung – statt einer Sammlung isolierter Checklisten.