Cyber-Resilienz durch Business Continuity Management

Der BSI-Standard 200-4 (finale Version 1.0, Stand Mai 2023; Nachfolger des BSI-Standards 100-4) beschreibt Aufbau und Betrieb eines Business Continuity Management Systems (BCMS). Sein Stufenmodell erlaubt einen ressourcenschonenden Einstieg in drei Ausbaustufen: Reaktiv-BCMS für eine schnelle grundlegende Notfallbewältigungsfähigkeit, Aufbau-BCMS für den schrittweisen Ausbau und Standard-BCMS als Vollausbau. Die Stufe Standard-BCMS ist konform zu den Anforderungen der ISO 22301:2019, der international zertifizierbaren BCMS-Norm (2024 um das Amendment 1 ergänzt). Das IT-Notfallmanagement (IT-Service-Continuity-Management, ITSCM) verzahnt das BCM mit dem IT-Betrieb und dem ISMS.

Ausgangspunkt ist die Business-Impact-Analyse (BIA): Sie identifiziert zeitkritische Geschäftsprozesse, deren Ressourcen und mögliche Single Points of Failure. Die maximal tolerierbare Ausfallzeit (MTA, engl. MTPD) legt fest, wie lange ein Geschäftsprozess höchstens ausfallen darf; daraus wird die geforderte Wiederanlaufzeit (Recovery Time Objective, RTO) der unterstützenden Ressourcen abgeleitet. Der maximal zulässige Datenverlust (Recovery Point Objective, RPO) bestimmt, wie alt der letzte wiederherstellbare Datenstand sein darf – und damit die Sicherungsfrequenz. In der Praxis entscheidend ist der Abgleich mit den tatsächlich erreichbaren Werten (RTA/RPA): Liegen diese über den Soll-Werten, besteht eine Deckungslücke, die über technische Maßnahmen oder ein definiertes Notbetriebsniveau (MBCO) geschlossen werden muss.

Als Faustregel für die Datensicherung hat sich die 3-2-1-Regel etabliert: drei Kopien der Daten auf zwei unterschiedlichen Medientypen, davon eine Kopie an einem anderen Standort. Das BSI weist in seinem Maßnahmenkatalog Ransomware darauf hin, dass Angreifende mit zuvor erlangten Administrationsrechten gezielt nach Backups suchen und diese ebenso wie Produktivsysteme verschlüsseln – mindestens eine Kopie sollte daher offline gesichert und nach dem Backup vom Netz getrennt werden; diese Trennung ist regelmäßig zu überprüfen. Unveränderbare Speicher (Immutable Storage, etwa per WORM- oder Object-Lock-Mechanismen) ergänzen den Schutz, weil gesicherte Stände auch mit Administrationsrechten nicht nachträglich verändert oder gelöscht werden können. Zum Backup gehört zudem die geübte Rücksicherung: Wiederherstellung und Schwarzstart – der Wiederanlauf aller Server und Systeme – sollten regelmäßig praktisch getestet werden.

Notfallpläne sind erst dann belastbar, wenn sie geübt wurden. Der BSI-Standard 200-4 sieht dafür eine Jahresübungsplanung mit abgestuften Formaten vor: Planbesprechungen (international als Tabletop-Übungen bezeichnet) prüfen Pläne diskussionsbasiert „am grünen Tisch“, Stabs- und Stabsrahmenübungen trainieren die Krisenstabsarbeit unter realitätsnahen Bedingungen, Alarmierungsübungen testen Erreichbarkeit und Meldewege, Funktionstests weisen die technische Wirksamkeit einzelner Notfallmaßnahmen nach. Szenarien sollten unterschiedliche Ausmaße der Kompromittierung durchspielen – von einzelnen Systemen bis zum Totalausfall einschließlich unbrauchbarer Online-Backups. Auswertung und Nachbereitung jeder Übung fließen als Verbesserungen in Pläne und Playbooks zurück.

Für die Notfall- und Krisenkommunikation werden vorab Konzepte für den Umgang mit den relevanten Interessengruppen erarbeitet – Mitarbeitende, Kundschaft, Dienstleister, Medien und Behörden. Parallel zur Bewältigung laufen gesetzliche Meldepflichten: Nach Art. 23 der NIS2-Richtlinie ist bei erheblichen Sicherheitsvorfällen eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden nach Kenntnisnahme abzugeben, ein Abschlussbericht folgt spätestens einen Monat nach der Meldung. Die Kommunikationsfähigkeit muss auch dann gewährleistet sein, wenn die eigenen Systeme verschlüsselt sind – Kontaktlisten, Reaktionspläne und notwendige Zugangsdaten sollten deshalb offline oder in gedruckter Form vorgehalten werden.

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) verlangt in Art. 21(2)(c) als Mindestmaßnahme die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Für den Finanzsektor geht DORA (Verordnung (EU) 2022/2554, anwendbar seit 17.01.2025) weiter: Finanzunternehmen, die keine Kleinstunternehmen sind, müssen nach Art. 24 ein solides und umfassendes Programm zum Testen der digitalen operationalen Resilienz vorhalten; IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, sind mindestens einmal jährlich zu testen. Von den zuständigen Behörden bestimmte Finanzunternehmen müssen darüber hinaus nach Art. 26 mindestens alle drei Jahre erweiterte Tests mittels bedrohungsorientierter Penetrationstests (TLPT) durchführen – an Live-Produktionssystemen, die kritische oder wichtige Funktionen unterstützen.