Disaster Recovery: Weil’s pressiert, wenn’s passiert

Die beste Versicherung ist die, die Sie nie brauchen. Das gilt auch für Disaster Recovery. Wer denkt schon an einen Wasserschaden, ein Feuer oder einen Cyberangriff? Trotzdem sollten KMU die Wiederherstellung geschäftskritischer Daten und IT-Systeme im Notfall lieber früh planen als spät bereuen.

Hand aufs Herz: Ist Ihr Unternehmen sicher vor Cyberangriffen und den möglichen Risiken wie einem Produktions- oder Betriebsstillstand? 18 Prozent der 504 befragten KMU-Geschäftsführerinnen und -Geschäftsführer schätzen das Risiko eines eintägigen Stillstands hoch ein, nur 6 Prozent fürchten sich vor existenzgefährdenden Angriffen. Und das, obwohl jedes vierte KMU in der Schweiz schon einmal Opfer eines Cyberangriffs war. Das ist eines der Ergebnisse der Studie «Auswirkungen der Corona-Krise auf die Digitalisierung und Cybersicherheit in Schweizer KMU», die gfs-zürich im Juni 2022 veröffentlicht hat.

Bei KMU fehlt es an organisatorischen Schutzmassnahmen

Technisch sind die meisten kleinen und mittleren Unternehmen gut geschützt. 93 Prozent schützen ihre IT-Systeme mit Antivirenprogrammen, 86 Prozent aktualisieren ihre Software regelmässig und 92 Prozent haben eine Firewall installiert.

Weniger gut sieht es bei vielen KMU aber aus, wenn es um die organisatorischen Notfallmassnahmen geht. Nur etwas mehr als die Hälfte (57 Prozent) der befragten KMU besitzt einen Notfallplan oder ein Konzept, um die Produktion oder den Betrieb sicherzustellen. Anders gesagt: Über 40 Prozent sind unvorbereitet auf Ausfälle oder Störungen. Das muss kein Cyberangriff sein, auch ein Bedienungsfehler oder Elementarschaden wie Wasser, Feuer oder ein Erdbeben kann IT-Systeme lahmlegen.

Zudem ist nur bei 55 Prozent die Geschäftsleitung für IT-Sicherheit verantwortlich – obwohl ein funktionierender Geschäftsbetrieb in ihre Zuständigkeit fällt. Gut ein Drittel delegiert diese Aufgabe an den IT-Dienstleister, und bei 7 Prozent ist gar niemand zuständig. Das erschwert eine schnelle Reaktion im Ernstfall.

Auch KMU brauchen ein Disaster-Recovery-Konzept

Ausfälle oder Störungen können lange dauern, teuer werden und im schlimmsten Fall Existenzen gefährden. Darum brauchen Unternehmen ein Disaster-Recovery-Konzept, unabhängig von ihrer Grösse. Besonders, wenn ihre Produktion oder ihr Betrieb mit dem IT-System vernetzt ist und davon abhängt. Der deutsche Begriff Notfall- oder Katastrophenwiederherstellung bringt auf den Punkt, um was es bei Disaster Recovery geht: Die IT-Infrastruktur nach einem Störungs- oder Katastrophenfall oder nach einer erfolgreichen Ransomware-Attacke so schnell wie möglich wieder in Betrieb nehmen und alle wichtigen Daten wiederherstellen.

Planen statt panisch reagieren

Der Disaster-Recovery-Plan ist das Fundament der Notfall- oder Katastrophenwiederherstellung. Darin werden alle Massnahmen und Verfahren definiert sowie Vorgaben, was im Notfall zu tun ist. Unter anderem werden die einzelnen Massnahmen Schritt für Schritt als Checkliste aufgeführt, die abgearbeitet werden müssen. Ein Disaster-Recovery-Plan legt ausserdem Eskalationsstufen, Meldewege und Verantwortlichkeiten fest: Wer ist zuständig für die Wiederherstellung nach einem Hardware-Defekt oder einem Elementarschaden? Welche IT-Sicherheitsprofis helfen schnell bei einem Ransomware-Angriff?

Wichtig ist, dass der Plan nicht nur geschrieben und irgendwo abgelegt wird. Die verantwortlichen Mitarbeitenden müssen ihn kennen und regelmässig geschult werden.

Testen statt blind vertrauen

Auf dem Papier sehen die meisten Pläne gut aus. Wenn Sie nicht erst im Notfall herausfinden wollen, wie viel Ihr Disaster-Recovery-Plan wert ist, testen Sie alle Massnahmen und Verfahren regelmässig. So stellen Sie sicher, dass Ihr Unternehmen den Betrieb oder die Produktion nach einer Störung oder einem Ausfall ohne langen und teuren Stillstand hochfahren kann. Ausserdem verbessern Sie den Disaster-Recovery-Plan und die Massnahmen, schulen alle verantwortlichen Mitarbeitenden für den Notfall und sensibilisieren die anderen Mitarbeitenden für die Folgen möglicher Bedienungsfehler.

Disaster Recovery geht auch einfacher

Disaster Recovery ist aufwändig. Vielen KMU fehlen die personellen und/oder finanziellen Ressourcen für einen wirksamen Schutz und eine effiziente Notfallwiederherstellung. Für sie ist Disaster Recovery as a Service sinnvoll, also als Dienst aus der Cloud. Ein Provider richtet Backups, Speicherplatz sowie virtuelle Systeme in seinem Rechenzentrum ein und betreut die Infrastruktur. Wichtig zu wissen: Disaster Recovery ist mehr als ein Backup. Zum einen, weil die Daten regelmässig automatisch synchronisiert und darum aktuell sind, zum anderen, weil die ganze IT-Infrastruktur gespiegelt wird. Die Unternehmens-IT ist deshalb schnell wieder einsatzbereit im Katastrophenfall – der hoffentlich nie eintritt.