Wenn es ernst wird, zeigt sich, ob dein Notfallplan wirklich trägt
Solange alles läuft, wirken Notfallpläne oft wie ein Thema für später. Doch genau das ist der gefährliche Denkfehler. Ein Cyberangriff, ein Serverausfall oder ein Stromproblem reichen heute oft schon aus, um Prozesse zu stoppen. Daten werden unzugänglich und hektische Ad-hoc-Entscheidungen sind die Folge. Und dann kommt die eigentliche Frage: Bleibt Dein Unternehmen auch unter Druck datenschutzkonform und handlungsfähig?
Aus der Praxis können wir Dir sagen: In Krisen scheitern Unternehmen selten nur an fehlender Technik. Sie scheitern viel öfter an unklaren Zuständigkeiten, nicht getesteten Wiederanlaufplänen und daran, dass Datenschutz im Notfall plötzlich als Nebensache behandelt wird. Genau das darf nicht passieren.
Was Resilienzmanagement und Business Continuity wirklich bedeuten
Resilienzmanagement bedeutet nicht, jede Krise zu verhindern. Es bedeutet, auch dann arbeitsfähig zu bleiben, wenn etwas schiefläuft. Business Continuity Management, kurz BCM, schafft dafür die Struktur. Das BSI beschreibt den Standard 200-4 als praxisnahe Anleitung zum Aufbau eines Business Continuity Management Systems und betont dabei ausdrücklich die Verbindung zu Informationssicherheit und Krisenmanagement.
Das ist wichtig, denn BCM ist viel mehr als ein Backup-Konzept. Es geht um kritische Prozesse, Ausweichverfahren, Wiederanlauf, Verantwortlichkeiten und belastbare Entscheidungen unter Zeitdruck. Wer hier Datenschutz und IT-Sicherheit nicht von Anfang an mitdenkt, baut eine Lücke direkt in sein Notfallkonzept ein.
Datenschutz gilt auch im Notbetrieb
Ein besonders verbreiteter Irrtum lautet: „Im Notfall geht erst einmal alles andere vor.“ Genau so entstehen Datenschutzprobleme. Die DSGVO kennt keinen rechtsfreien Krisenmodus. Der Schutz personenbezogener Daten muss auch dann gewährleistet bleiben, wenn im Unternehmen improvisiert werden muss. Der Bundesbeauftragte für den Datenschutz und die Informationssicherheit (BfDI) verweist im Zusammenhang mit Art. 32 DSGVO darauf, dass geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik erforderlich sind, um Daten vor unbefugter Kenntnisnahme, unrechtmäßiger Verarbeitung und unbeabsichtigtem Verlust zu schützen.[3]
Das klingt juristisch, ist in der Praxis aber sehr konkret. Wenn Mitarbeitende im Störfall auf Ersatzsysteme wechseln, von zu Hause arbeiten oder manuell mit Daten umgehen, brauchst du trotzdem klare Regeln für Zugriffe, Berechtigungen, Übermittlungen und Dokumentation. Sonst wird aus einer Betriebskrise schnell auch noch eine Datenschutzverletzung.
Business Continuity ohne Datensicherheit ist nur die halbe Lösung
Natürlich gehören redundante Systeme, Backups und Wiederherstellungsprozesse zu jedem guten Notfallkonzept. Aber Hand aufs Herz: Wann wurde der Restore zuletzt wirklich getestet? Ein Backup, das sich im Ernstfall nicht sauber einspielen lässt, beruhigt nur auf dem Papier.
Genau deshalb sollte dein BCM immer auch die datenschutzrelevanten Schutzziele mitdenken: Vertraulichkeit, Integrität und Verfügbarkeit. In der Praxis heißt das etwa, dass auch Ausweichsysteme sauber abgesichert sind, Notfallzugänge dokumentiert werden und Verschlüsselung nicht plötzlich „vorübergehend“ entfällt. Gerade in Stresssituationen entstehen sonst Abkürzungen, die später teuer werden.
Standards verhindern Aktionismus
Wenn Du Dein Notfallmanagement strukturieren willst, musst Du das Rad nicht neu erfinden. Der BSI-Standard 200-4 bietet einen gut nutzbaren Einstieg ins BCM. Außerdem verweist das BSI auf ein Mapping zur ISO 22301:2019, um die Kompatibilität mit dem internationalen Standard sichtbar zu machen.
Für viele Unternehmen ist das ein pragmatischer Weg: erst die kritischen Prozesse identifizieren, dann realistische Ausfallszenarien bewerten und anschließend Wiederanlauf- und Kommunikationspläne sauber dokumentieren. Genau so entsteht Resilienz – nicht durch Hochglanzfolien im Krisenordner.
Die 72-Stunden-Frist läuft schneller, als Dir lieb ist
Wenn es zu einer Datenschutzverletzung kommt, brauchst Du mehr als gute Absichten. Nach Art. 33 DSGVO muss eine meldepflichtige Datenschutzverletzung unverzüglich und binnen 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Die Aufsicht in Niedersachsen weist zudem darauf hin, dass keine Meldung erforderlich ist, wenn voraussichtlich kein oder nur ein geringes Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Unabhängig davon bleibt aber die Dokumentationspflicht bestehen.
Genau hier trennt sich gute Vorbereitung von hektischem Krisenmodus. Wer im Vorfeld nicht festgelegt hat, wer bewertet, wer meldet, wer dokumentiert und wer intern kommuniziert, verliert wertvolle Zeit. Und Zeit ist im Vorfallmanagement fast immer die knappste Ressource.
Klare Rollen sind im Krisenfall wichtiger als perfekte Theorie
Ein wirksamer Krisenplan braucht keine zehn Freigabeschleifen, sondern klare Verantwortlichkeiten. Du solltest heute schon wissen, wer im Notfall Entscheidungen trifft, wer den Datenschutzbeauftragten einbindet, wer technische Maßnahmen koordiniert und wer gegenüber Kunden, Partnern oder Behörden spricht.
In Projekten erleben wir immer wieder denselben Punkt: Unternehmen investieren in Technik, aber nicht genug in Verantwortungsstrukturen. Dabei ist gerade das der Hebel, der im Ernstfall Ruhe schafft. Wenn jeder weiß, was zu tun ist, sinkt die Fehlerquote spürbar. Und genau diese Ruhe entscheidet oft darüber, ob ein Vorfall beherrschbar bleibt oder eskaliert.
Der Mensch bleibt ein zentrales Risiko im BCM
So unangenehm es klingt: Nicht jeder Sicherheitsvorfall beginnt mit einer technischen Schwachstelle. Das BSI betont im Kontext von Schulungen und Sensibilisierung, dass eine robuste Informationssicherheitsstrategie nur durch die Kombination aus Technik, Schulung und Sicherheitskultur funktioniert.[5]
Hinzu kommt, dass Social Engineering gezielt menschliche Eigenschaften wie Vertrauen, Hilfsbereitschaft, Angst oder Respekt vor Autorität ausnutzt. Das BSI beschreibt den Menschen dabei als vermeintlich schwächstes Glied der Sicherheitskette.
Deshalb gehören Phishing-Trainings, klare Verifikationswege und geübte Meldeprozesse fest in jedes Resilienzmanagement. Ein typisches Beispiel aus dem Alltag: Eine scheinbar dringende E-Mail der Geschäftsführung fordert eine schnelle Freigabe oder Datenweitergabe, „weil gerade Krise ist“. Wenn solche Situationen nicht trainiert wurden, kippt die Organisation unter Druck schneller als vielen lieb ist.
Diese Maßnahmen solltest Du jetzt konkret angehen
Wenn du Resilienzmanagement und Datenschutz sauber verzahnen willst, geh am besten Schritt für Schritt vor:
- Identifiziere Deine kritischen Prozesse und prüfe, wo dabei personenbezogene Daten verarbeitet werden.
- Definiere für diese Prozesse Notfallverfahren, Ausweichlösungen und Wiederanlaufziele.
- Bestimme klare Rollen für Incident Response, Datenschutzbewertung, Meldung und Kommunikation.
- Lege fest, welche technischen und organisatorischen Maßnahmen auch im Notbetrieb zwingend gelten.
- Teste Backups, Wiederherstellung und Notfallabläufe regelmäßig unter realistischen Bedingungen.
- Schule Mitarbeitende wiederkehrend zu Phishing, Social Engineering und sicherem Verhalten im Krisenfall.
- Dokumentiere Vorfälle, Entscheidungen und Lessons Learned sauber und nachvollziehbar.
Das klingt nach Aufwand. Ist es auch. Aber es ist der richtige Aufwand. Denn ein Notfallplan, der nie geübt wurde, ist oft nur ein beruhigendes Dokument im SharePoint.
Woran du ein belastbares Notfallkonzept erkennst
Ein gutes Konzept erkennst Du nicht an seiner Seitenzahl. Du erkennst es daran, dass es im Ernstfall funktioniert. Das bedeutet: Ansprechpartner sind erreichbar, Systeme lassen sich wiederherstellen, Ersatzprozesse sind bekannt und Datenschutzfragen blockieren nicht, weil sie schon vorher geklärt wurden.
Genau an diesem Punkt entsteht Vertrauen. Nicht, weil nie etwas passiert. Sondern weil Dein Unternehmen auch dann professionell bleibt, wenn etwas passiert. Das ist echte organisatorische Resilienz.
FAQ zu Resilienzmanagement, BCM und Datenschutz
Muss jede Datenschutzverletzung innerhalb von 72 Stunden gemeldet werden?
Nein. Gemeldet werden muss eine Datenschutzverletzung dann, wenn sie voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Liegt voraussichtlich kein oder nur ein geringes Risiko vor, ist keine Meldung erforderlich. Dokumentieren musst Du den Vorfall trotzdem.
Reichen regelmäßige Backups für Business Continuity aus?
Nein. Backups sind wichtig, aber BCM umfasst deutlich mehr: kritische Prozesse, Verantwortlichkeiten, Wiederanlaufplanung, Krisenkommunikation und abgestimmte Notfallverfahren. Das BSI versteht BCM als strukturiertes Managementsystem und nicht nur als technische Einzelmaßnahme.
Wie wichtig sind Schulungen im Krisenfall wirklich?
Sehr wichtig. Das BSI stellt klar heraus, dass Informationssicherheit nicht nur von Technik abhängt, sondern auch vom Verhalten der Mitarbeitenden. Regelmäßige Sensibilisierung und Trainings sind deshalb ein zentraler Bestandteil wirksamer Sicherheits- und Resilienzstrategien.
Warum ist Social Engineering für Business Continuity so relevant?
Weil Angreifer Krisensituationen besonders gern nutzen. Unter Druck hinterfragen Menschen Absender, Anweisungen und Dringlichkeit oft weniger kritisch. Das BSI beschreibt Social Engineering als gezielte Manipulation über den Faktor Mensch, etwa zur Preisgabe vertraulicher Informationen oder zum Umgehen von Sicherheitsmaßnahmen.
Fazit: Resilienz entsteht nicht im Ernstfall, sondern davor
Resilienzmanagement und Business Continuity sind keine reinen IT-Themen. Sie sind Führungsaufgabe, Organisationsaufgabe und Datenschutzaufgabe zugleich. Wenn Du heute klare Prozesse, belastbare Sicherheitsmaßnahmen, Zuständigkeiten und Übungen etablierst, handelst Du morgen nicht kopflos, sondern kontrolliert.
Und genau darum geht es. Nicht um Panik. Nicht um Perfektion. Sondern um Vorbereitung. Wer Datenschutz und IT-Sicherheit fest im Notfallmanagement verankert, schützt nicht nur Daten und Systeme. Er schützt auch Reputation, Kundenvertrauen und die eigene Handlungsfähigkeit. Aus unserer Sicht ist das einer der entscheidenden Unterschiede zwischen Unternehmen, die Krisen nur erleben, und denen, die sie wirklich beherrschen.
