Vertrauen für IT-Resilienz im Vorstand schaffen

Der großflächige Stromausfall in Spanien, Portugal und in Teilen Südfrankreichs Ende April war ein echter Stresstest für die digitale Infrastruktur in diesen Ländern. Der Blackout hatte den Verkehr lahmgelegt, IT-Dienste zum Erliegen gebracht und gezeigt, wie fragil gerade Systeme sind, die immer betriebsbereit sein sollten – selbst in Regionen mit einer historisch stabilen Infrastruktur.

Für Technologieexperten stellen sich solche Ereignisse wie dieser großflächige Stromausfall nicht als isolierte Anomalien dar. Unabhängig davon, ob solche Ausfälle durch extreme Wetterbedingungen, Cyberangriffe, Probleme in der Lieferkette, Sabotage oder geopolitische Instabilität verursacht werden, sie treten zunehmend häufiger und in größerem Umfang auf. Aus diesem Grund ist es auch durchaus nachvollziehbar, wenn der Vorstand oder die Geschäftsführungsebene zu Recht gezielte Fragen an die IT-Experten stellt. Wurden ausreichend Vorkehrungen gegen solche Störungen getroffen? Sind die IT-Teams speziell auf solche Szenarien vorbereitet? Und wie steht es generell um die Cyber-Resilienz des Unternehmens? CIOs und CISOs müssen dann in der Lage sein, Antworten auf diese Fragen zu liefern und sie mit Belegen untermauert jederzeit vortragen zu können. Nur so können sie den Vorstand von der Sicherheit des eigenen Systems überzeugen.

Resiliente Infrastruktur bedeutet mehr als Redundanz

Auf Vorstandsebene ist das Bewusstsein gereift, dass ein Backup-System keine Garantie für die Kontinuität des Geschäftsbetriebs ist. Wenn sich das primäre IT-System und dessen Backup-System in derselben geografischen Region befinden, kann ein einziger regionaler Ausfall beide Systeme zum Erliegen bringen. Es muss also der Nachweis erbracht werden können, dass die Infrastrukturstrategie geografische Diversität berücksichtigt – über Städte, Ländergrenzen und Service Provider hinweg.

Cloud- und Rechenzentrumspartner sollten nicht nur nach ihren technischen Spezifikationen, sondern auch anhand ihrer Fähigkeit zur Aufrechterhaltung des Betriebs bewertet werden. Hier stellt sich zum Beispiel die Frage nach unabhängigen Stromquellen und Verträgen zur Kraftstoffversorgung, um Generatoren am Laufen zu halten, wenn diese benötigt werden. Ebenso entscheidend ist auch die Planung von Szenarien, die sich mit den Auswirkungen von Ausfällen von einer Stunde, einem Tag oder einer Woche in verschiedenen Regionen befassen. Diese Übung für den Ernstfall kann einzelne Schwachstellen, Abhängigkeiten und Wiederherstellungszeiten aufzeigen und den Verantwortlichen ein klareres Bild der Risikoexposition vermitteln.

Kontinuitätspläne müssen der Realität entsprechen, nicht nur der Compliance

Viele Business Continuity- und Disaster-Recovery-Pläne (BC/DR) mögen auf dem Papier gut aussehen, aber im Ernstfall einer Krise dennoch nicht ausreichen. Der Vorstand weiß das und fordert daher ein, dass die Pläne unter realem Druck getestet wurden. CIOs und CISOs sollten dementsprechend nachweisen, dass sie in der Lage sind, Vorfälle sofort zu erkennen, Reaktionsmaßnahmen effektiv zu koordinieren und die Kontinuität wichtiger Dienste auch bei größeren Ausfällen gewährleisten zu können. Dies erfordert ein integriertes Monitoring, getestete Failover-Prozesse und eine klare Sichtbarkeit auf Führungsebene, wenn etwas aus dem Ruder läuft.

Auch die Fähigkeit zur Wiederherstellung ist ein wichtiger Aspekt. Der Neustart von Hunderten oder Tausenden von Systemen nach einem plötzlichen Ausfall ist selten sofort möglich und die Rückkehr zum Normalbetrieb kann durch anhaltende Ausfälle bei Drittparteien zusätzlich erschwert werden. Deshalb ist es wichtig, dass Teams diese Prozesse in Simulationen, Planspielen oder realen Stresstests geübt haben und Reaktionspläne für Worst-Case-Szenarien darlegen können. Für Vorstand und Geschäftsführung ist es wichtig, zu wissen, dass CIOs und CISOs auf alle Eventualitäten vorbereitet sind. Gerade solche Worst-Case-Szenarios sollten daher von den IT-Teams im Blick behalten werden, wenn es um die Absicherung der eigenen Infrastruktur geht. Mit einem klaren Messaging sollten CIOs und CISOs deshalb ihre Pläne für Resilienz und Widerherstellung dem Vorstand vorlegen können.

Validierte Resilienz, die nicht auf Mutmaßungen beruht

Die meisten digitalen Infrastrukturen von Unternehmen hängen von Drittanbietern ab, insbesondere von Cloud-Plattformen. Vorstände stellen sich zu Recht die Frage, wie belastbar die Services dieser Service Provider wirklich sind. Um die Vorstände zu beruhigen, muss über SLAs und Betriebszeiten hinausgegangen werden. Beschaffungs-, Risiko- und IT-Teams müssen die Resilienz und Ausfallsicherheit des Lieferanten bewerten, am besten bevor der Vertrag unterzeichnet wird. Dazu gehört die Bewertung der geografischen Verteilung des Anbieters, seiner Backup-Fähigkeiten, des Eigentums an der Infrastruktur und der Abhängigkeiten von Dritten.

Die Zusammenarbeit mit einem Anbieter, der der Ausfallsicherheit Priorität einräumt, ist oft mit höheren Kosten verbunden. Aber gerade diese zusätzliche Investition zahlt sich im Krisenfall aus. Unternehmen, die sich auf weniger robuste Dienstleister verlassen, müssen mit längeren Ausfallzeiten, Umsatzeinbußen, Reputationsschäden und Kundenabwanderung rechnen. Um festzustellen, ob die Mehrkosten gerechtfertigt sind, sollten Technologieexperten die potenziellen geschäftlichen Auswirkungen eines Ausfalls quantifizieren und eine schwierige Beschaffungsentscheidung in einen klaren strategischen Imperativ verwandeln.

Fazit

Gerade in geopolitisch turbulenten Zeiten sind Extremfälle wie Cyberangriffe und Blackouts wie auf der iberischen Halbinsel keine theoretischen Überlegungen mehr. Naturkatastrophen und Probleme in der Lieferkette stellen einen echten Stresstest für Unternehmen dar, gegen die es sich zu wappnen gilt. CIOs und CISOs stehen in der Verantwortung der Geschäftsführung darzulegen, dass ihr Unternehmen sicher ist – egal was kommt. Dabei haben sich auch die Anforderungen erhöht. Vorstände erwarten keine Zusicherungen mehr, die auf vergangenen Leistungen oder auf Papierrichtlinien basieren. Sie wollen Beweise dafür, dass das Unternehmen auf alles vorbereitet ist, was als Nächstes kommen könnte – sei es eine Naturkatastrophe, ein Cyberangriff oder ein Systemausfall.

CIOs und CISOs müssen dafür Sorge tragen, dass die internen wie externen IT Infrastrukturen des Unternehmens Störungen standhalten können. Gleichzeitig muss diese Bereitschaft dem Vorstand klar, messbar und glaubwürdig demonstriert werden. Denn auch wenn dadurch ein mehr an Kosten entsteht, so zahlt sich das bei kürzeren Ausfallzeiten, weniger Umsatzeinbußen und generell geringeren bis hin zu keinen Reputationsschäden bei einen erfolgten Versuch eines Angriffs aus. Beim Thema Resilienz geht es nicht darum, wieder auf die Beine zu kommen. Es geht vielmehr darum, vorausblickend die Notwendigkeit von Wiederherstellungsmaßnahmen zu minimieren. Je weniger Systeme ausfallen, desto besser.