Der Anruf kommt morgens um zwanzig vor sieben. Systeme verschlüsselt, der IT-Dienstleister hat beide Standorte vom Netz genommen, ins ERP kommt niemand mehr rein. Die erste Frage der Geschäftsleitung ist selten eine technische. Sie lautet: Können wir heute ausliefern?
Business Continuity im KMU entscheidet sich an dieser Frage, und zwar Wochen vorher. Nicht an der Redundanz der Firewall und nicht am Backup-Konzept, sondern daran, ob jemand vor dem Ausfall festgelegt hat, welche wenigen Dinge zuerst wieder laufen müssen und was so lange liegen bleiben darf. In den meisten Unternehmen ist dieser Entscheid nie gefallen. Also fällt er im Krisenstab, unter Zeitdruck, von Leuten, die in diesem Moment ganz andere Sorgen haben.
Business Continuity ist eine Priorisierung durch die Geschäftsleitung, keine Technikaufgabe: Welche Prozesse müssen in welcher Zeit zurück sein, was läuft so lange von Hand, was darf warten. Wer das vorher entscheidet, braucht weniger Hochverfügbarkeit und kommt trotzdem schneller zurück als ein Haus voller gespiegelter Systeme ohne Reihenfolge.
Warum "alles ist wichtig" die teuerste Antwort ist
Fragt man in einem KMU die Geschäftsleitung, welche Prozesse nach einem Ausfall zuerst zurückkommen müssen, lautet die Antwort fast immer: alle. Das ist menschlich verständlich und betriebswirtschaftlich eine Kapitulation. Wer nicht priorisiert, überlässt die Reihenfolge dem Zufall, dem lautesten Abteilungsleiter oder dem Techniker, der als Erster eine Idee hat.
Die IT übersetzt "alles ist wichtig" in die einzige Sprache, die sie dafür hat: Redundanz. Zweiter Standort, gespiegelte Systeme, Failover-Lizenzen, ein Wartungsvertrag mit kurzer Reaktionszeit über die ganze Breite. Das kostet, und gegen einen Verschlüsselungstrojaner hilft es nur begrenzt. Ein sauber gespiegeltes System spiegelt den Schaden mit.
Dazu kommt ein Denkfehler bei der Ursache. Wer Business Continuity nur gegen Angriffe plant, plant an vielen Ausfällen vorbei. In unserer Erfahrung steht ein KMU genauso oft still, weil eine Migration am Wochenende nicht zurückgedreht werden konnte, weil beim IT-Dienstleister etwas brannte, weil ein Cloud-Dienst regional ausfiel oder weil eine Änderung an der Firewall den Zugriff auf die halbe Produktion kappte. Für den Versand ist es egal, warum nichts geht. Die Priorisierung ist in allen diesen Fällen dieselbe, und das macht sie zur günstigsten Vorbereitung, die ein KMU treffen kann.
Die unbequeme Version: Priorisierung ist Verzicht. Business Continuity funktioniert erst, wenn jemand mit Autorität sagt, dass die Lohnbuchhaltung drei Tage warten kann. Dieser Satz kostet nichts und wirkt mehr als die meisten Investitionen in Verfügbarkeit. Mehr Schutz, weniger Tools, weniger Kosten fängt an dieser Stelle an, nicht beim nächsten Produkt.
Wie lange darf ein Ausfall dauern, bevor es weh tut?
Diese Frage kann keine IT beantworten und kein Berater. Die Zahl kommt aus dem Geschäft: ab wann ein stehender Prozess Umsatz, Konventionalstrafen, Lieferfähigkeit oder Vertrauen kostet. Beim einen Prozess sind das vier Stunden, beim anderen zwei Wochen. Genau diese Spreizung ist der ganze Punkt, weil sie entscheidet, wo Geld hingehört und wo nicht.
Im Fachjargon heissen die beiden Zahlen RTO und RPO. Die erste sagt, wie lange ein Prozess stillstehen darf, bis der Schaden nicht mehr tragbar ist. Die zweite sagt, wie viel Arbeit im schlimmsten Fall verloren gehen darf: eine Stunde Dateneingabe oder ein ganzer Tag. Beide Begriffe klingen technisch und sind trotzdem Geschäftsentscheide. Die IT kann liefern, was bestellt wird, und sie kann sagen, was eine kürzere Frist kostet. Bestellen muss die Geschäftsleitung.
So sieht eine ehrliche Priorisierung aus, hier am Beispiel eines Produktionsbetriebs. Die Zahlen gehören diesem Betrieb, nicht deinem:
| Prozess | Darf stillstehen | Was dann passiert |
|---|---|---|
| Versand und Lieferscheine | unter 8 Stunden | Liefertermine reissen, Kunden eskalieren bis in die GL |
| Produktion und Chargenfreigabe | unter 24 Stunden | Anlagen stehen, Personal ohne Arbeit, Nachholen nur mit Überzeit |
| Debitoren und Fakturierung | 3 bis 5 Tage | Liquidität verschiebt sich, Kunden merken nichts |
| Lohnbuchhaltung | bis zum nächsten Zahllauf | Nichts, solange der Stichtag hält |
Als Grundlage braucht Business Continuity im KMU nicht mehr als diese Tabelle. Sie ist in neunzig Minuten entstanden, mit Verkauf, Produktion und Finanzen am selben Tisch. Sie ersetzt keine Analyse, sie beendet eine Illusion: dass man im Ernstfall alles gleichzeitig retten kann.
Wann lohnt sich ein Notbetrieb von Hand?
Dann, wenn der Prozess auch ohne System physisch weiterläuft und der Schaden pro Tag grösser ist als der Aufwand für die Krücke. Versand gegen eine exportierte Liste, Produktion nach ausgedruckten Arbeitsplänen, Bestellannahme per Telefon und Notizblock. Unelegant, aber am zweiten Tag nach einem Ausfall oft das Einzige, was Kunden hält.
Es gibt die Gegenseite, und sie wird gern verschwiegen. Wo eine gesetzliche Nachweispflicht am System hängt, wo ein vollautomatisches Lager ohne Steuerung nur noch ein Regal ist, wo niemand mehr weiss, wie der Prozess vor der Einführung der Software lief, dort gibt es keinen Handbetrieb. Das ist keine Schwäche, das ist eine Information. Für diese Prozesse muss die Wiederanlaufzeit kurz sein, und das darf dann auch etwas kosten. Für alle anderen eben nicht.
Was ein Notbetrieb braucht, ist unspektakulär. Daten, die ausserhalb des Systems lesbar sind. Leute, die den Prozess noch ohne Software beherrschen, was in Betrieben mit tiefem Altersschnitt nicht mehr selbstverständlich ist. Und die ausgesprochene Erlaubnis, in dieser Lage von der Richtlinie abzuweichen, ohne dafür später geradestehen zu müssen. Wo bei euch der Handbetrieb endet, weiss die Produktion in der Regel genauer als die IT.
Was im Ernstfall trägt und was nur auf Papier steht
Notfallpläne scheitern selten am Inhalt und oft an Kleinigkeiten. Die Telefonliste liegt im verschlüsselten Fileshare. Der Plan steht im Intranet, das nicht läuft. Die Zugangsdaten für den Wiederanlauf stecken im Passwort-Tool, das am selben Verzeichnisdienst hängt wie alles andere. Das BACS stellt dafür ein Notfallkonzept mit Vorlage für KMU bereit, inklusive Notfallblatt und Vier-Phasen-Modell. Die Vorlage ist nützlich. Nur steht in einer Vorlage nie, wer bei euch entscheiden darf.
Was trägt, sind geklärte Entscheidungsrechte: Wer darf den Betrieb abschalten, auch gegen den Willen des Vertriebs. Wer spricht mit Kunden und ab welcher Lage. Wer erklärt den Notbetrieb für eröffnet und wer für beendet. Wie diese Rollen vor dem Ernstfall festgelegt werden, haben wir im Beitrag zum Incident-Response-Plan fürs KMU beschrieben.
Dazu kommt die Meldefrage, die viele erst im Ernstfall stellen. Betreiber kritischer Infrastrukturen müssen Cyberangriffe seit dem 1. April 2025 innert 24 Stunden nach Entdeckung an das BACS melden. Wer nicht darunter fällt, hat die gleiche Frist oft trotzdem im Kundenvertrag stehen. Eine Meldefrist von 24 Stunden bindet Menschen, die in diesem Moment bereits mit der Wiederherstellung beschäftigt sind. Welche Person diese Meldung macht, gehört zu den Dingen, die vorher feststehen.
Aus der Praxis: 190 Mitarbeitende, zwei Werke
Ein Hersteller von Medizintechnik-Komponenten mit 190 Mitarbeitenden und zwei Produktionsstandorten in der Westschweiz. Die IT-Leitung hatte zweimal Budget für einen zweiten Serverraum beantragt, zweimal kam die Antwort, das sei zu teuer. Das Thema lag danach ein Jahr still, nicht weil es jemand für unwichtig hielt, sondern weil niemand den Nutzen in Geschäftssprache ausdrücken konnte.
Im Mandat haben wir die Frage umgedreht und nach den Kosten von Stillstand gefragt, Prozess für Prozess, statt nach den Kosten von Redundanz. Von rund vierzig Anwendungen waren in den ersten vierundzwanzig Stunden vier relevant. Zwei Prozesse, Versand und Chargenfreigabe, brauchten eine kurze Wiederanlaufzeit. Der Rest konnte Tage warten, inklusive zweier Systeme, die im Budget als geschäftskritisch geführt waren.
Die Investition fiel am Ende kleiner aus als der ursprüngliche Antrag. Statt alles zu spiegeln, wurde der Wiederanlauf für vier Systeme beschrieben und einmal geübt, und für den Versand liegt seither täglich eine lesbare Exportliste ausserhalb der Umgebung. Die Übung lief nicht gut: geplant waren sechs Stunden, gebraucht wurden elf, und die Hälfte der Verzögerung ging auf Zugänge zurück, die niemand ausserhalb der Produktivumgebung hatte. Genau das war der Wert der Übung. Diese elf Stunden hätte sonst der Ernstfall gemessen.
Was die Geschäftsleitung davon hat
Business Continuity ist für ein KMU damit vor allem ein Führungsinstrument. Die Prioritätenliste beantwortet die Frage des Verwaltungsrats, was ein Ausfall das Unternehmen kostet, in belastbaren Sätzen statt in Vermutungen. Sie liefert dem Versicherungsfragebogen und dem Kundenaudit eine Antwort, die sich nachprüfen lässt. Und sie macht das Security-Budget verteidigbar, weil jede Position auf einen Prozess zeigt, für den jemand unterschrieben hat.
Spürbar wird das oft zuerst im Verkauf. In den Lieferantenfragebögen, die wir für Kunden beantworten, steht inzwischen regelmässig eine Frage nach der Wiederanlaufzeit für genau die Leistung, die der Kunde einkauft. Eine Zahl aus einer durchgeführten Übung beendet das Gespräch. "Wir haben ein Backup-Konzept" zieht die nächste Frage nach sich und danach noch eine. Der Unterschied kostet keine Lizenz, sondern einen Entscheid und einen Tag Übung.
Damit hängt die Liste direkt am Risikoregister. Eine akzeptierte Wiederanlaufzeit von fünf Tagen ist ein akzeptiertes Risiko, und akzeptieren darf das nur, wer den Schaden auch verantworten muss. Wer trägt, was im Register steht, haben wir im Beitrag zum IT-Risikomanagement im KMU ausgeführt.
Im Mandat gehört diese Arbeit zum Normalbetrieb: einmal jährlich die Prioritäten mit der Geschäftsleitung schärfen, einmal jährlich eine Übung, dazwischen die Lücken schliessen, die dabei auftauchen. Was das in welcher Tiefe umfasst, steht bei den Paketen und Preisen.
Häufige Fragen
Brauchen wir dafür eine Zertifizierung nach ISO 22301?
Selten. ISO 22301 ist der Standard für Business-Continuity-Managementsysteme und lohnt sich dann, wenn ein Kunde oder eine Aufsicht ihn ausdrücklich verlangt. Für die meisten KMU trägt die Logik dahinter auch ohne Zertifikat, und sie ist nicht gratis zu haben: Sie kostet eine Entscheidung der Geschäftsleitung und eine Übung, die weh tut. ISO 27001 verlangt ohnehin, dass Informationssicherheit auch während einer Störung aufrechterhalten wird.
Reicht ein geprüftes Backup nicht?
Ein Backup beantwortet, ob die Daten zurückkommen. Business Continuity beantwortet, was das Geschäft in der Zwischenzeit tut. Beides gehört zusammen, und zwischen beidem liegt die Wiederherstellungsdauer, die in unserer Erfahrung durchgehend unterschätzt wird. Ein grosses ERP zurückzuspielen dauert nicht Minuten, und solange es läuft, muss der Betrieb irgendwie weitergehen.
Wer besitzt Business Continuity, die IT oder die Geschäftsleitung?
Geteilt, aber nicht beliebig. Die Geschäftsleitung besitzt die Priorisierung und die akzeptierten Wiederanlaufzeiten. Die IT besitzt die technische Wiederanlaufplanung und die ehrliche Auskunft, was heute realistisch ist. Wenn beide dasselbe Dokument besitzen, besitzt es am Ende niemand, und das merkt man erst um zwanzig vor sieben.