Cyberresilienz ist mehr als nur ein paar Security-Produkte

Illustration Absmeier foto magnific ki

Cyberrisiken treffen nicht nur Konzerne, sondern insbesondere auch den Mittelstand. Entscheidend ist nicht allein, ob Firewall, Virenschutz und Backups vorhanden sind. Über das Überleben nach einem Angriff entscheidet, wie planvoll und effektiv ein Unternehmen reagiert.

Management Summary

Cyberresilienz ist eine Managementaufgabe, keine Produktsammlung. Firewalls, Virenschutz und Backups bilden nur die technische Basis. Entscheidend ist, ob Organisation, Verantwortlichkeiten und Entscheidungswege auch außerhalb regulärer Geschäftszeiten funktionieren.
Die Angriffserkennung entscheidet über das Schadensausmaß. Werden kompromittierte Konten, ungewöhnliche Zugriffe oder laterale Bewegungen nicht früh erkannt, können Angreifer über längere Zeit Rechte ausweiten, Daten kopieren und Sicherungssysteme kompromittieren.
Incident Response muss vorbereitet, autorisiert und eingeübt sein. Geschäftsführung, IT, Kommunikation und Recht benötigen verbindliche Rollen, erreichbare Ansprechpartner sowie dokumentierte Befugnisse. Das aktuelle Incident-Response-Modell des National Institute of Standards and Technology umfasst die Phasen Erkennen, Reagieren und Wiederherstellen, flankiert von kontinuierlicher Verbesserung.
Backups schaffen erst durch nachgewiesene Wiederherstellbarkeit Resilienz. Regelmäßige Sicherungen reichen nicht aus. Unternehmen müssen Wiederanlauf, Prioritäten, Abhängigkeiten und benötigte Zeiten unter realistischen Bedingungen testen und dokumentieren.
Cyberresilienz schützt vor allem den Geschäftsbetrieb. Im Mittelpunkt stehen die Fortführung kritischer Prozesse, ein kontrollierter Notbetrieb und die möglichst schnelle Rückkehr zum Regelbetrieb. Das Bundesamt für Sicherheit in der Informationstechnik gliedert das IT-Notfallmanagement in Vorbereitung, Bereitschaft, Bewältigung und Nachbereitung.

Sonntagabend, 22:40 Uhr: Das ERP fällt aus, E-Mail und Dateiserver sind nicht mehr erreichbar, Produktionsdaten und Auftragsverwaltung stehen still. Am Montagmorgen wartet nicht nur ein technisches Problem, sondern eine Unternehmenskrise. Mitarbeiter und Kunden verlangen Antworten, Lieferzusagen geraten in Gefahr, Meldefristen laufen – und die Geschäftsführung muss Entscheidungen treffen, für die es keinen eingeübten Ablauf gibt.

Dieses Szenario ist für den Mittelstand keineswegs exotisch. Angreifer wählen ihre Opfer häufig nicht gezielt nach Bekanntheit oder Größe aus. Automatisierte Systeme scannen das Internet, analysieren Webseiten, sammeln E-Mail-Adressen und suchen nach verwertbaren Schwachstellen. Kleine und mittlere Unternehmen werden nicht übersehen, sondern gezielt gefunden.

Der Angriff beginnt lange vor dem Stillstand

Das Beispiel eines Familienunternehmens mit drei Standorten, 180 Beschäftigten und einer vierköpfigen IT zeigt das typische Muster: Firewall, Virenschutz, tägliche Backups und eine Cyberversicherung sind vorhanden. Aus Sicht der Geschäftsführung scheint das Unternehmen gut aufgestellt. Dann erhält ein Mitarbeiter der Buchhaltung eine täuschend echte Lieferanten-Mail – mit passendem Sprachstil, echter Bestellnummer und glaubwürdigem Kontext. Er meldet sich an und gibt damit unbemerkt seine Zugangsdaten preis.

In den folgenden sechs Wochen lesen die Angreifer E-Mails mit, übernehmen weitere Konten, sammeln Administratorrechte, analysieren Systeme, identifizieren Backups und kopieren Daten. Es gibt weder einen Alarm noch einen offensichtlichen Verdacht. Erst als die Verschlüsselung startet, wird sichtbar, was längst geschehen ist.

Jetzt ist ein definierter Aktionsplan erforderlich

Fehlt die Vorbereitung, ersetzt Improvisation den Plan. Server werden neu gestartet, Systeme zurückgesetzt und Administratoren hektisch koordiniert. Genau das kann die Lage verschärfen: Flüchtige Spuren im Arbeitsspeicher gehen verloren, Beweise werden vernichtet und die forensische Aufklärung wird erschwert. Auch der Versicherungsschutz kann betroffen sein, wenn vereinbarte Pflichten nicht eingehalten oder Maßnahmen nicht nachvollziehbar dokumentiert werden.

Selbst vorhandene Backups sind keine Garantie. Im Fallbeispiel sind sie ebenfalls verschlüsselt, nicht sauber getrennt abgespeichert oder ihre Wiederherstellung wurde nie praktisch getestet. Die relevante Managementfrage lautet deshalb nicht: »Haben wir Backups?«, sondern: »Können wir morgen früh produktiv daraus arbeiten – und wann haben wir das zuletzt bewiesen?«

Die ersten Stunden richtig nutzen

Im Ernstfall zählt ein klarer, eingeübter Ablauf:

Isolieren statt ausschalten: Betroffene Systeme vom Netz trennen, aber nicht vorschnell herunterfahren. So bleiben wichtige Spuren für die Forensik erhalten.
Nicht improvisieren: Keine Server neu starten, Systeme zurücksetzen oder Passwörter planlos ändern. Maßnahmen müssen koordiniert und nachvollziehbar sein.
Krisenstab aktivieren: Geschäftsführung, IT, Kommunikation und Recht arbeiten nach festgelegten Rollen. Klar ist, wer entscheidet, wer kommuniziert und wer dokumentiert.
Partner und Pflichten einbinden: Incident-Response-Partner und Cyberversicherung werden sofort informiert; gesetzliche und vertragliche Meldefristen werden geprüft.
Ab Minute eins dokumentieren: Entscheidungen, Maßnahmen, Zeitpunkte und Verantwortliche werden lückenlos festgehalten.

Cyberresilienz beruht auf vier Fähigkeiten

Einhundertprozentigen Schutz gibt es nicht. Cybersecurity versucht, Angriffe zu verhindern. Cyberresilienz geht einen Schritt weiter: Sie verbindet Prävention mit der Fähigkeit, auch nach einem erfolgreichen Angriff handlungsfähig zu bleiben. Dafür braucht es vier Säulen.

Erkennen: Verdächtige Aktivitäten müssen möglichst früh sichtbar werden – auch nachts, am Wochenende und ohne konkreten Anfangsverdacht. Je länger Angreifer unbemerkt bleiben, desto mehr Konten, Rechte, Systeme und Daten können sie kompromittieren.
Reagieren: Es muss innerhalb von Minuten möglich sein, Konten zu sperren, Server zu isolieren und Verbindungen zu trennen, nicht erst am nächsten Werktag. Dazu braucht es klare Bereitschaften, erreichbare Ansprechpartner und vorab erteilte Befugnisse.
Wiederherstellen: Backups gelten erst als belastbarer Schutz, wenn die Wiederherstellung regelmäßig unter realistischen Bedingungen getestet und die benötigte Zeit dokumentiert wurde. Entscheidend ist nicht die Existenz einer Sicherung, sondern ein verlässlich erreichbarer Wiederanlauf.
Steuern und lernen: Governance bildet das Dach. Notfallpläne, Meldepflichten, Entscheidungswege, Krisenkommunikation und Nachbereitung dürfen nicht nur im Kopf einer einzelnen Person existieren. Übungen machen Schwachstellen sichtbar, bevor ein echter Angriff sie offenlegt.

Cyberresilienz ist daher keine reine IT-Aufgabe – sie ist Teil guter Unternehmensführung.

Der größte Schaden entsteht im Geschäftsbetrieb

Auch sechs Wochen nach dem Angriff läuft die Produktion im Fallbeispiel nur im Notbetrieb. Lieferzusagen wurden verfehlt, der Umsatz ist eingebrochen, das Kundenvertrauen und die Reputation haben gelitten und das Management war dauerhaft gebunden. Nicht die Verschlüsselung selbst war der größte Schaden, sondern der Ausfall des Geschäftsbetriebs.

Hinzu kommen häufig weitere Belastungen. Kopierte Mitarbeiter- und Kundendaten können veröffentlicht oder zur Erpressung genutzt werden. Parallel prüft der Versicherer, ob die im Antrag zugesagten Schutzmaßnahmen tatsächlich umgesetzt waren. Wenn beispielsweise die Mehrfaktor-Authentifizierung nur teilweise ausgerollt oder die Wiederherstellung nie dokumentiert und getestet wurde, entsteht eine gefährliche Lücke zwischen Antrag und Realität.

Cyberversicherung ist Teil des Gesamtkonzepts

Eine Cyberversicherung ersetzt keine Vorbereitung, ergänzt sie jedoch um finanzielle Resilienz. Sie kann Schäden durch Betriebsunterbrechung und Wiederanlauf abfedern, Kosten für Forensik, Rechtsberatung und Krisenkommunikation auffangen und Liquidität sichern, während der Betrieb wieder hochgefahren wird.

Dafür müssen Unternehmen ihre Angaben und Pflichten kontinuierlich mit der betrieblichen Realität abgleichen. Versicherbarkeit ist damit auch ein Nachweis gelebter Resilienz: Wer Sicherheitsmaßnahmen konsequent umsetzt, Wiederherstellungen testet und Ergebnisse dokumentiert, macht den Versicherer im Ernstfall eher zum Partner als zum Konfliktgegner.

Drei Fragen für die Geschäftsführung

Ein realistischer Resilienz-Check beginnt nicht mit dem Kauf eines weiteren Produkts. Er beginnt mit drei Fragen an die IT-Leitung:

Wann haben wir zuletzt eine vollständige Wiederherstellung aus dem Backup getestet – und wie lange hat sie gedauert?
Wer entscheidet bei uns sonntagnachts um zwei Uhr – und ist das verbindlich dokumentiert und eingeübt?
Stimmen die Angaben in unserem Cyberversicherungsantrag noch mit der Realität überein?

Wer diese Fragen souverän beantworten kann, hat damit bereits wichtige Voraussetzungen geschaffen. Wer bei einer Antwort zögert, kennt zugleich seinen nächsten Schritt. Cyberresilienz bedeutet nicht, Unverwundbarkeit zu versprechen. Sie bedeutet, einen Angriff frühzeitig zu erkennen, entschlossen zu handeln, den Betrieb verlässlich wiederherzustellen und aus dem Vorfall zu lernen. Genau diese Fähigkeiten entscheiden darüber, ob aus einem Sicherheitsvorfall eine beherrschbare Krise oder eine existenzielle Katastrophe wird.

Tom Schätz,
Geschäftsführender Gesellschafter und Experte für Cyberresilienz,
NETILITY GmbH | www.netility.de

Tipps für die Praxis

Geschäftskritische Prozesse priorisieren
Identifizieren Sie zuerst die Abläufe, deren Ausfall Produktion, Lieferfähigkeit, Umsatz, Sicherheit oder regulatorische Pflichten unmittelbar beeinträchtigt.
Entscheidungsfähigkeit für den Ernstfall schaffen
Legen Sie fest, wer einen Krisenstab einberuft, Systeme isolieren lassen darf, externe Spezialisten beauftragt und die Kommunikation mit Kunden, Behörden und Versicherern freigibt.
Einen analogen Notfallkontaktplan bereithalten
Kontaktdaten, Eskalationswege und erste Handlungsanweisungen sollten auch verfügbar sein, wenn E-Mail, Cloudspeicher, Netzwerk und Identitätsdienste ausgefallen sind. Die IT-Notfallkarte des Bundesamts für Sicherheit in der Informationstechnik ist ausdrücklich als Einstieg in diese Vorbereitung gedacht. [bsi.bund.de]
Wiederherstellung praktisch beweisen
Testen Sie nicht nur einzelne Dateien, sondern einen vollständigen geschäftskritischen Prozess. Halten Sie fest, welche Systeme, Identitäten, Daten, Dienstleister und manuellen Ersatzverfahren dafür benötigt werden.
Forensische Spuren schützen
Unkoordinierte Neustarts, Rücksetzungen oder Änderungen können die spätere Untersuchung erschweren. Erste Maßnahmen sollten deshalb in einem abgestimmten Incident-Response-Plan beschrieben und dokumentiert werden. [Cyberresil…manage it], [csrc.nist.gov]
Notbetrieb vorbereiten
Definieren Sie, welche Leistungen bei eingeschränkter IT weiterhin erbracht werden müssen und welche manuellen beziehungsweise alternativen Verfahren dafür zulässig sind.
Cyberversicherung regelmäßig abgleichen
Prüfen Sie, ob Angaben zu Mehrfaktor-Authentifizierung, Backups, Protokollierung und weiteren Sicherheitsmaßnahmen noch der betrieblichen Realität entsprechen. Diese Empfehlung greift einen zentralen Prüfpunkt des Artikels auf. [Cyberresil…manage it]
Tabletop-Übungen mit der Geschäftsführung durchführen
Spielen Sie mindestens ein konkretes Szenario durch, etwa den Ausfall von ERP, E-Mail und Dateisystem am Wochenende. Übungen dienen dazu, Mängel in Notfallplänen aufzudecken und das Verhalten im Ernstfall zu trainieren. [bsi.bund.de]
Lieferanten und IT-Dienstleister einbeziehen
Erfassen Sie Ansprechpartner, zugesagte Reaktionszeiten, Abhängigkeiten und Eskalationsmöglichkeiten wichtiger Dienstleister im Notfallhandbuch.
Aus jedem Vorfall lernen
Entscheidungen, Maßnahmen und technische Erkenntnisse sollten nachbereitet und anschließend in Pläne, Übungen und Sicherheitsmaßnahmen überführt werden. Kontinuierliche Verbesserung ist sowohl im BSI-Modell als auch im aktuellen NIST-Ansatz verankert. [bsi.bund.de], [csrc.nist.gov]

10 FAQ zur Cyberresilienz

Was unterscheidet Cybersecurity von Cyberresilienz?

Cybersecurity konzentriert sich auf den Schutz von Systemen, Daten und Zugängen. Cyberresilienz schließt zusätzlich die Fähigkeit ein, Störungen zu erkennen, darauf zu reagieren, kritische Leistungen fortzuführen und den Betrieb kontrolliert wiederherzustellen. Technische Schutzmaßnahmen sind dabei wichtig, laut Bundesamt für Sicherheit in der Informationstechnik aber nicht allein entscheidend. [Cyberresil…manage it], [bsi.bund.de]

Warum ist Cyberresilienz Aufgabe der Geschäftsführung?

Ein schwerwiegender IT-Vorfall betrifft nicht nur Server und Anwendungen. Er kann Produktion, Lieferfähigkeit, Kundenkommunikation, Liquidität, Vertragsbeziehungen und regulatorische Pflichten beeinträchtigen. Außerdem müssen im Krisenfall Entscheidungen zu Prioritäten, Ressourcen, Kommunikation und Geschäftskontinuität getroffen werden. [Cyberresil…manage it], [bsi.bund.de]

Welche Fähigkeiten benötigt ein cyberresilientes Unternehmen?

Der Artikel nennt vier zentrale Fähigkeiten: Angriffe erkennen, koordiniert reagieren, den Betrieb wiederherstellen sowie die Maßnahmen steuern und aus Vorfällen lernen. Der aktuelle NIST-Ansatz ordnet Incident Response den Funktionen Detect, Respond und Recover zu und verbindet diese mit kontinuierlicher Verbesserung. [Cyberresil…manage it], [csrc.nist.gov]

Reicht ein vorhandenes Backup aus?

Nein. Ein Backup wird erst dann zu einem belastbaren Resilienzinstrument, wenn seine Wiederherstellung regelmäßig getestet wird. Dabei sollten Unternehmen prüfen, ob Daten vollständig, Systeme verfügbar, Abhängigkeiten berücksichtigt und die benötigten Wiederanlaufzeiten mit den betrieblichen Anforderungen vereinbar sind. NIST empfiehlt für OT-Backups unter anderem regelmäßige Erstellung, Tests und eine Überprüfung im Rahmen von Wiederherstellungsübungen. [Cyberresil…manage it], [csrc.nist.gov]

Was gehört in ein Notfallhandbuch?

Das Bundesamt für Sicherheit in der Informationstechnik nennt insbesondere Geschäftsfortführungspläne, Wiederanlaufpläne, Pläne für Sofortmaßnahmen, einen Krisenstabsleitfaden und einen Krisenkommunikationsplan. Hinzu kommen Verantwortlichkeiten, Prioritäten und relevante Kontaktdaten. [bsi.bund.de]

Welche Rolle spielt Business Continuity Management?

Business Continuity Management richtet den Blick auf die Fortführung kritischer Geschäftsprozesse. Es betrachtet nicht nur den Ausfall von IT, sondern auch mögliche Ausfälle von Personal, Infrastruktur und Dienstleistern. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt, Informationssicherheitsmanagement und Notfall- beziehungsweise Business-Continuity-Management miteinander zu verzahnen. [bsi.bund.de], [bsi.bund.de]

Wie sollte ein Unternehmen auf einen erkannten Angriff reagieren?

Die Reaktion sollte einem vorher festgelegten Plan folgen. Dazu gehören die Aktivierung der verantwortlichen Personen, die kontrollierte Eindämmung des Vorfalls, die Dokumentation aller Maßnahmen und die Vorbereitung der Wiederherstellung. Konkrete technische Schritte müssen an den jeweiligen Vorfall und die vorhandene Infrastruktur angepasst werden. [Cyberresil…manage it], [csrc.nist.gov]

Welche Bedeutung hat Zero Trust für die Cyberresilienz?

Zero Trust beruht nach Darstellung des Bundesamts für Sicherheit in der Informationstechnik auf dem Assume-Breach-Ansatz und dem Prinzip minimaler Rechte. Dadurch können Zugriffe stärker abgesichert und mögliche Schäden nach einer Kompromittierung begrenzt werden. Das BSI weist zugleich darauf hin, dass Zero Trust vor allem Integrität und Vertraulichkeit unterstützt, nicht automatisch die Verfügbarkeit sicherstellt. [bsi.bund.de]

Welche Verbindung besteht zwischen Cyberresilienz, NIS 2 und DORA?

Business Continuity Management gehört nach Angaben des Bundesamts für Sicherheit in der Informationstechnik zu den Mindestmaßnahmen für von NIS 2 betroffene Einrichtungen. DORA enthält sektorspezifische Anforderungen für zahlreiche Unternehmen des Finanzsektors und wird seit dem 17. Januar 2025 verbindlich angewendet. Soweit DORA mindestens gleichwertige Vorgaben enthält, hat die Verordnung bei Risikomanagement und Vorfallmeldung Vorrang vor den entsprechenden nationalen NIS-2-Regelungen. [bsi.bund.de], [bsi.bund.de]

Wie lässt sich der Reifegrad der Cyberresilienz beurteilen?

Ein pragmatischer Einstieg besteht aus überprüfbaren Fragen: Sind geschäftskritische Prozesse priorisiert? Existieren verbindliche Entscheidungswege? Wurden Wiederanlaufpläne unter realistischen Bedingungen getestet? Sind externe Partner erreichbar? Werden Ergebnisse dokumentiert und in Verbesserungen überführt? Das BSI-Prozessmodell sieht ausdrücklich Tests, Übungen, regelmäßige Wirksamkeitsprüfungen und kontinuierliche Weiterentwicklung vor. [Cyberresil…manage it], [bsi.bund.de]

Quellen

[1] Cyberresilienz ist mehr als nur ein paar Security-Produkte – manage it
[2] BSI: IT-Notfallkarte und Einstieg ins Notfallmanagement
[3] BSI: Maßnahmenkatalog zum Notfallmanagement
[4] BSI: Notfallhandbuch
[5] BSI: Notfallmanagement-Prozess
[6] BSI: Zero Trust
[7] BSI: Zusammenhang zwischen DORA und NIS 2
[8] NIST: Incident Response
[9] NIST: Guide for Cybersecurity Incident Recovery
[10] NIST: OT Backup Quick Start Guide

Business | IT-Security | News | Strategien