Die klassische Frage der IT-Sicherheit lautet: Wie bleiben Angreifer draußen? Cyber-Resilienz stellt eine zweite, unbequemere Frage daneben: Was geschieht mit dem Geschäft, wenn es trotzdem jemand hineinschafft?
Produktion und Kundenservice hängen heute fast vollständig an funktionierender IT. Ein mehrtägiger Ausfall bedroht viele Unternehmen in ihrer Existenz, gleichgültig, ob ihn ein Angreifer, ein Softwarefehler oder ein ausgefallener Dienstleister auslöst. Resilienz verschiebt deshalb das Ziel: weg von der Illusion vollständiger Sicherheit, hin zu einem Betrieb, der Störungen aushält und sich schnell davon erholt.
Was ist Cyber-Resilienz?
Cyber-Resilienz vereint zwei Fähigkeiten: die Widerstandsfähigkeit gegen Angriffe und Störungen sowie die Wiederanlauffähigkeit, also die schnelle Rückkehr zu einem funktionierenden Betrieb. Der Gedanke stammt aus dem Business Continuity Management und wurde durch Rahmenwerke wie das NIST Cybersecurity Framework auf digitale Risiken übertragen. Resilienz umfasst Technik, Prozesse und Organisation gleichermaßen: Redundante Systeme nützen wenig, wenn im Ernstfall unklar ist, wer entscheidet.
Auch der Gesetzgeber hat den Gedanken aufgegriffen. Die EU-Verordnung DORA verpflichtet Finanzunternehmen ausdrücklich zur digitalen operationalen Resilienz, inklusive regelmäßiger Tests und Ausstiegsstrategien für kritische IT-Dienstleister. Die NIS2-Richtlinie weitet vergleichbare Pflichten auf viele weitere Sektoren aus, vom Energieversorger bis zum produzierenden Mittelständler. Resilienz wird damit vom guten Vorsatz zur nachweispflichtigen Anforderung.
Wie Resilienz entsteht
Resilienz baut auf Bausteinen auf, die ineinandergreifen:
- Widerstand aufbauen: Solide Grundhygiene bleibt die Basis, darunter Patch-Management, Multifaktor-Authentifizierung und gehärtete Konfigurationen. Sie senkt die Zahl erfolgreicher Angriffe.
- Störungen früh erkennen: Monitoring und Anomalieerkennung verkürzen die Zeit, in der ein Angreifer unbeobachtet agiert. Ohne Erkennung bleibt jede Reaktionsfähigkeit Theorie.
- Ausbreitung begrenzen: Segmentierung und Zero-Trust-Prinzipien sorgen dafür, dass ein kompromittiertes System ein lokales Problem bleibt. Diese Eindämmung verbindet Sicherheit und Weiterbetrieb.
- Wiederanlauf vorbereiten: Unveränderliche, getestete Backups, dokumentierte Wiederanlaufreihenfolgen und definierte Zeitziele wie RTO und RPO entscheiden, wie schnell das Geschäft zurückkommt.
- Redundanz schaffen: Kritische Verbindungen und Dienste brauchen einen zweiten Weg, etwa mehrere Netzanbindungen pro Standort, damit einzelne Ausfälle nicht auf den Betrieb durchschlagen.
- Üben und verbessern: Notfallübungen unter realistischen Bedingungen zeigen, ob die Pläne tragen. Die Erkenntnisse fließen zurück in Architektur und Prozesse.
Warum Resilienz wichtig ist
- Vorfälle sind Betriebsrealität: Trotz guter Abwehr kommt es zu Kompromittierungen und zu Ausfällen von Dienstleistern. Resilienz entscheidet, ob daraus ein Zwischenfall oder eine Krise wird.
- Regulatorik verlangt Nachweise: DORA und NIS2 fordern Risikomanagement, Meldeprozesse und belegbare Wiederanlauffähigkeit. Verantwortlich ist ausdrücklich die Leitungsebene.
- Stillstand kostet mehr als Vorsorge: Umsatzausfall und Vertragsstrafen übersteigen die Kosten resilienter Architektur schnell. Resilienz ist eine Investition in Planbarkeit.
- Lieferketten hängen mit: Kunden fragen die Ausfallsicherheit ihrer Zulieferer zunehmend ab. Nachweisbare Resilienz wird zum Kriterium in Ausschreibungen.
- Versicherer setzen sie voraus: Cyber-Versicherungen prüfen Backups und Notfallpläne, bevor sie zeichnen. Fehlende Resilienzbausteine verteuern Prämien oder verhindern den Abschluss.
Typische Szenarien
Ransomware ist der Härtetest schlechthin. Resiliente Unternehmen begrenzen die Verschlüsselung über Segmentierung auf wenige Systeme, stellen aus unveränderlichen Backups wieder her und halten Kernprozesse währenddessen über Notbetriebsverfahren am Laufen.
Ein zweites Szenario ist der Ausfall eines zentralen Dienstleisters, etwa eines Cloud- oder Softwareanbieters. Resilienz zeigt sich hier in Ausweichprozessen und in Verträgen, die Ausstiegs- und Wiederanlaufszenarien vorsehen. DORA macht genau das für Finanzunternehmen zur Pflicht.
Auch der unspektakuläre Fall zählt: der Bagger, der die Glasfaser vor dem Firmengelände durchtrennt. Standorte mit redundanter Anbindung und automatischem Umschalten arbeiten weiter, während andere stillstehen. In der Praxis liefern Managed-Service-Provider solche Bausteine als Dienst, etwa SD-WAN mit mehreren parallelen Anbindungen je Standort.
Cyber-Resilienz und klassische IT-Sicherheit
Klassische IT-Sicherheit fragt, wie sich Angriffe verhindern lassen. Sie misst sich an abgewehrten Bedrohungen und geschlossenen Schwachstellen. Cyber-Resilienz spannt den Rahmen weiter: Sie behandelt den erfolgreichen Angriff als einkalkulierten Fall und misst sich daran, wie stark der Geschäftsbetrieb beeinträchtigt wird und wie schnell er zurückkehrt.
IT-Sicherheit ist damit ein Teil der Resilienz, aber kein Ersatz für sie. Ein Unternehmen kann exzellente Abwehr besitzen und trotzdem fragil sein, wenn Backups ungetestet bleiben oder ein einzelner Leitungsausfall die Produktion stoppt. Umgekehrt macht Resilienz ohne solide Sicherheit den Ernstfall unnötig häufig. Beide Disziplinen gehören deshalb in eine gemeinsame Strategie mit klaren Verantwortlichkeiten.
Häufige Fragen
Worin unterscheiden sich Cyber-Resilienz und Business Continuity Management?
Business Continuity Management betrachtet die Fortführung des Geschäfts bei Störungen aller Art, vom Stromausfall bis zur Pandemie. Cyber-Resilienz ist die Ausprägung dieses Gedankens für digitale Risiken und verbindet ihn mit IT-Sicherheit: Angriffe abwehren, ihre Wirkung begrenzen, den Betrieb wiederherstellen. In der Praxis sollte Cyber-Resilienz fest im übergreifenden BCM verankert sein.
Wen betreffen NIS2 und DORA?
DORA gilt seit Januar 2025 verbindlich für den Finanzsektor, von Banken über Versicherer bis zu deren kritischen IT-Dienstleistern. NIS2 erfasst deutlich mehr Branchen, darunter Energie, Transport, Gesundheit und viele produzierende Unternehmen ab mittlerer Größe. Auch wer selbst keiner Regulierung unterliegt, spürt die Wirkung über die Anforderungen seiner regulierten Kunden.
Woran lässt sich ein resilientes Unternehmen erkennen?
An überprüfbaren Fähigkeiten statt an Dokumenten: Die Wiederherstellung aus Backups wird regelmäßig getestet, Notfallrollen sind besetzt und geübt, kritische Systeme laufen segmentiert, und für zentrale Abhängigkeiten existieren Ausweichwege. Ein einfacher Selbsttest ist die Frage, wie lange das Unternehmen ohne sein wichtigstes IT-System lieferfähig bliebe und woher diese Zahl stammt.
Welche Rolle spielt Segmentierung für die Resilienz?
Eine zentrale: Segmentierung verwandelt einen potenziellen Totalausfall in ein lokales Problem. Bleibt ein Angriff auf ein Segment begrenzt, laufen die übrigen Bereiche weiter, und die Wiederherstellung konzentriert sich auf wenige Systeme. Zusätzlich schützt Ringfencing die Backup-Umgebung, damit die wichtigste Rückfallebene im Ernstfall intakt bleibt.
Wie beginnt ein Resilienzprogramm?
Mit einer Bestandsaufnahme entlang der Geschäftsprozesse: Welche Abläufe sind existenziell, welche Systeme tragen sie, und wie lange darf ein Ausfall dauern? Daraus entstehen priorisierte Maßnahmen, typischerweise beginnend mit getesteten Backups, Segmentierung kritischer Systeme und redundanter Anbindung wichtiger Standorte. Kleine, überprüfbare Schritte schlagen den großen Masterplan, der nie fertig wird.