Cyberangriffe im Mittelstand: Warum Notfallmanagement für Unternehmen entscheidend ist
Cyberangriffe können zentrale Geschäftsprozesse im Mittelstand unterbrechen. So planen IT-Leitung und Geschäftsführung betroffener Unternehmen in Deutschland NIS2-Notfallmanagement und Wiederherstellung.
Aktuelle Vorfälle zeigen uns mit großer Schärfe, wie verwundbar vernetzte Organisationen sind und wie wichtig ein etabliertes Notfallmanagement ist. Nach dem schweren Hackerangriff auf Verwaltungssysteme in Berlin traf es jüngst auch die Tiefkühlsysteme hunderter Supermärkte in Frankreich und das dänische Melderegister. Laufende Erhebungen der Threat-Intelligence-Plattform Ransomware.live belegen, dass die Zahl der Angriffe kontinuierlich hoch bleibt: Täglich werden im Schnitt rund zwei neue schwerwiegende Erpressungsvorfälle öffentlich dokumentiert. Die Plattform liefert damit einen aktuellen Einblick in öffentlich sichtbare Fälle, erfasst aber nicht alle Angriffe.
Viele mittelständische Betriebe wiegen sich dennoch in trügerischer Sicherheit: Man sei im Internet kaum sichtbar, setze wenig Künstliche Intelligenz ein oder produziere schlicht im verarbeitenden Gewerbe. Doch Cyberkriminalität ist längst ein hochgradig arbeitsteiliges Milliardengeschäft. Spezialisierte Gruppen spähen Ziele aus, andere identifizieren Software-Schwachstellen, die nächste Gruppe führt die Verschlüsselung durch und weitere Akteure treiben das Lösegeld ein. Für diese oft internationalen Tätergruppen zählt jeder digitalisierte Prozess – unabhängig von Unternehmensgröße oder Branche.
Ein Cyberangriff ist deshalb kein reines IT-Thema, sondern gefährdet die wirtschaftliche Existenz. Neben reinem Datenabfluss führt die Verschlüsselung von Produktions- oder ERP-Systemen oft zum vollständigen Stillstand. Deshalb verpflichtet die europäische NIS-2-Richtlinie Unternehmen in kritischen und wichtigen Sektoren, organisatorische Vorkehrungen zu treffen. Das Notfallmanagement – auch Business Continuity Management (BCM) genannt – bildet dabei das entscheidende Rückgrat.
Wie stellen Sie sicher, dass Ihr Unternehmen im Ernstfall handlungsfähig bleibt?
NIS2 verbindet IT-Sicherheit mit Business Continuity Management
Ein Sicherheitsvorfall entwickelt sich oft dynamisch. Technische Resilienz bedeutet nicht allein, Angriffe abzuwehren, sondern den Betrieb auch dann aufrechtzuerhalten, wenn die primäre Infrastruktur ausfällt. Die NIS-2-Richtlinie verlangt von betroffenen Einrichtungen geeignete Maßnahmen zum Risikomanagement. Dazu zählen unter anderem Konzepte für den Geschäftsbetrieb im Krisenfall, Datensicherungen, Wiederherstellung nach einem Notfall und Krisenmanagement.
Damit rückt ein Thema in den Mittelpunkt, das über die IT-Abteilung hinausgeht: Business Continuity Management (BCM). Es hilft, kritische Geschäftsprozesse auch dann weiterzuführen oder geordnet wieder aufzunehmen, wenn IT-Systeme oder Standorte beeinträchtigt sind. Der BSI-Standard 200-4 bietet dafür einen Standard zur Strukturierung von BCM-Strategien. In der Praxis sollte ein BCM in andere Managementsysteme integriert werden.
Um die Anforderungen von NIS2 praxistauglich zu erfüllen, greifen drei Pläne ineinander:
- Incident Response Plan (IRP): Regelt die technische Reaktion auf den Vorfall. IT-Leiter*innen und Sicherheitsteams nutzen ihn, um Schadsoftware zu isolieren, forensische Analysen einzuleiten und Schwachstellen zu schließen.
- Business Continuity Plan (BCP): Steuert die Weiterführung unverzichtbarer Geschäftsprozesse. Er definiert den geregelten Notbetrieb – im Zweifelsfall auch temporär mit Papier und Stift, damit Logistik und Produktion nicht kollabieren.
- Disaster Recovery Plan (DRP): Beschreibt die strukturierte und sichere Wiederherstellung der Systeme aus intakten Sicherungen, sobald die Bedrohung neutralisiert ist.
Zusammen beantworten diese Pläne drei praktische Fragen: Wie begrenzen wir den Angriff? Wie halten wir den Betrieb aufrecht? Und wie nehmen wir die IT kontrolliert wieder in Betrieb?
NIS2 macht Resilienz zur gemeinsamen Führungsaufgabe
Das verlangt mehr als technische Schutzmaßnahmen. Die IT kann Risiken bewerten, Sicherungen organisieren und die technische Reaktion vorbereiten. Die Geschäftsführung muss jedoch mitentscheiden, welche Geschäftsprozesse Vorrang haben, welche Ausfallrisiken tragbar sind und welche Ressourcen für Schutz und Wiederanlauf benötigt werden. Notfallmanagement wird so zur gemeinsamen Aufgabe von IT-Leitung und Unternehmensführung.
Vor dem Vorfall: Gemeinsam Prioritäten festlegen
Ein Notfallplan beginnt mit einer einfachen, aber entscheidenden Frage: Welche Abläufe müssen schnell wieder verfügbar sein, damit das Unternehmen weiterarbeiten kann? Eine Business Impact Analyse (BIA) hilft, kritische Prozesse und ihre Abhängigkeiten zu erfassen. Sie schafft eine gemeinsame Grundlage für technische Planung und unternehmerische Entscheidungen.
Auch Datensicherungen gehören in diese Planung. Die IT sollte festlegen, welche Daten gesichert werden, wie häufig Sicherungen erfolgen und wie ihre Wiederherstellbarkeit getestet wird. Unveränderliche oder vom übrigen Netzwerk getrennte Backups können helfen, Sicherungen vor Manipulation oder Verschlüsselung zu schützen.
Die Geschäftsführung muss zugleich dafür sorgen, dass Verantwortlichkeiten geklärt sind: Wer darf im Notfall Systeme abschalten oder den Betrieb unterbrechen? Wer entscheidet über die Reihenfolge des Wiederanlaufs? Wer informiert Beschäftigte, Kund*innen und weitere relevante Stellen? Solche Fragen sollten vor einem Vorfall beantwortet sein – nicht erst im Krisenstab.
Während des Vorfalls: Lage verstehen und Entscheidungen ermöglichen
Bei einem Cyberangriff muss das Unternehmen möglichst schnell klären, was betroffen ist. Jede Stunde Ausfallzeit kann finanzielle Verluste verursachen und eine längere Unterbrechung der Kern-IT kann im Extermfall zur Insolvenz führen. Wurden Daten entwendet, verschlüsselt oder verändert? Welche Systeme sind ausgefallen? Können Beschäftigte wichtige Abläufe noch ausführen? Die IT koordiniert die technische Analyse, die Erkennung und Eindämmung; die Geschäftsführung braucht verständliche Informationen über Auswirkungen, Optionen und Entscheidungsbedarf für die weitere Bewältigung.
Dabei spielt die Rolle der Forensik heutzutage eine sehr wichtige Rolle. Während in der Vergangenheit der Schwerpunkt in der Behebung des Schadens durch die IT lag, ist heute die professionelle Beweissicherung von ähnlicher Bedeutung wie bei einem klassischen Verbrechen. Vordefinierte Prozesse helfen in solchen Situationen, Panik zu vermeiden und die Bearbeitung von Entscheidungen zu beschleunigen.
Zu den wichtigsten Maßnahmen gehören auch klare Melde- und Kommunikationswege. Nach Artikel 23 der NIS-2-Richtlinie ist bei erheblichen Sicherheitsvorfällen grundsätzlich eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden vorgesehen. Welche konkreten Pflichten für ein Unternehmen gelten, hängt von seiner Betroffenheit und dem geltenden nationalen Recht ab; im Fall meldepflichtiger Vorfälle sind auch Behörden und andere Institutionen fristgerecht zu informieren. Für IT-Notfälle ohne eigene interne Expertise kann für Betroffene zudem externe Unterstützung oder schnelle Hilfe bei Kommunikation oder Sofortmaßnahmen sinnvoll sein.
Auch die interne Abstimmung muss bei einem Ausfall der üblichen Kommunikationsmittel weitergehen können. Wenn E-Mail oder die gewohnte Kollaborationsplattform nicht verfügbar sind, helfen vorab festgelegte Alternativen – zum Beispiel eine aktuelle Telefonkette und gesondert abgesicherte Kommunikationskanäle. Solche Ereignisse sollten fortlaufend dokumentiert werden, damit die Nachvollziehbarkeit gewahrt bleibt. Das ist die Reaktionsphase als mittlere von drei Phasen im IT Notfallmanagement für IT-Notfälle.
Nach dem Vorfall: Sicher wiederherstellen und Verantwortung wahrnehmen
Nach der Eindämmung zählt ein kontrollierter Wiederanlauf. Betroffene Systeme sollten geprüft und Daten in einer vertrauenswürdigen Umgebung wiederhergestellt werden. Ein zu schneller, unkoordinierter Wiederanlauf kann dazu führen, dass Probleme erneut auftreten oder Geschäftsprozesse auf unsicherer Grundlage starten. Der IT-Notfallplan sollte deshalb regelmäßig getestet und aktualisiert werden.
Anschließend sollten IT und Geschäftsführung gemeinsam auswerten, was funktioniert hat und wo es hakte: Waren Zuständigkeiten klar? Konnten Entscheidungen rechtzeitig getroffen werden? Waren Backups nutzbar? Haben die Kommunikationswege funktioniert? Die Ergebnisse sollten in die Notfallpläne und die nächste Übung einfließen.
Notfallmanagement gehört auf die Agenda der Geschäftsführung
Ein Plan, den niemand kennt oder geübt hat, hilft im Ernstfall nur begrenzt. Regelmäßige Krisensimulationen – etwa ein Tabletop-Szenario zu einem Ransomware-Angriff – zeigen, ob technische Abläufe und unternehmerische Entscheidungen zusammenpassen. Dabei sollten Unternehmen auch die Etablierung eines ISMS nach anerkannten Standards prüfen.
So wird Notfallmanagement zur gemeinsamen Führungsaufgabe: Die IT-Leitung schafft die technische Grundlage und macht Risiken verständlich. Der BSI-Standard 100-4 bietet einen Rahmen für die Umsetzung im Notfallmanagement. Der BSI-Standard 200-4 unterstützt Unternehmen bei Resilienz und BCM. Die Geschäftsführung übernimmt Verantwortung für Prioritäten, Zuständigkeiten und die notwendigen Ressourcen und braucht dabei oft konkrete Hilfestellung. Gemeinsam stärken sie die Fähigkeit des Unternehmens, einen Cyberangriff zu bewältigen und den Betrieb wieder aufzunehmen. Auch Künstliche Intelligenz schafft neue Herausforderungen für das Notfallmanagement und sollte in Übungen mitgedacht werden.
Unverbindliches Erstgespräch vereinbaren
ORBIT unterstützt Sie dabei, IT-Risiken, kritische Prozesse und Notfallabläufe strukturiert zu betrachten. Sprechen Sie mit unserem Experten darüber, wie Sie Ihr Notfallmanagement auf die Anforderungen Ihres Unternehmens und NIS2 ausrichten können.
- 30 Minuten
- Online per Teams
- kostenfrei und unverbindlich