Business-Continuity-Plan für KMU: Was er ist und wo Sie anfangen

Fast kein KMU geht wegen eines filmreifen Cyberangriffs unter. Es geht wegen des Langweiligen unter: ein Server, der sich abschaltet und nicht mehr hochfährt, eine Ransomware, die freitagnachmittags den freigegebenen Ordner verschlüsselt, ein geplatztes Rohr über dem Rack, ein Cloud-Anbieter mit einem sechsstündigen Ausfall. Die Frage, auf die es wirklich ankommt, ist nicht, ob es passiert, sondern wie viele Stunden Ihr Unternehmen ohne Fakturierung, ohne Produktion oder ohne Kundenbetreuung durchhalten kann, bevor der Schaden irreversibel wird. Ein Business-Continuity-Plan für KMU ist genau die Antwort auf diese Frage – schriftlich und erprobt.

Und nein, Sie brauchen weder ein 200-seitiges Handbuch noch das Budget eines Konzerns. Sie müssen wissen, welche Prozesse nicht stillstehen dürfen, wie lange Sie wirklich durchhalten und welche drei Dinge Sie in der ersten Stunde tun. Der Rest ist Zierrat. Kommen wir zum Konkreten.

Kontinuität vs. Wiederherstellung: Was ein BCP ist und was ein DRP

Sie werden ständig verwechselt, und diese Verwechslung ist teuer. Der BCP (Business Continuity Plan) beantwortet: „Wie läuft mein Geschäft weiter, während etwas kaputt ist?“ Der DRP (Disaster Recovery Plan) beantwortet: „Wie stelle ich die ausgefallene Technik wieder her?“ Der eine blickt aufs Geschäft, der andere auf die Systeme.

Ein Beispiel: Ihr ERP fällt aus. Der DRP beschreibt, wie Sie die Datenbank aus dem Backup wiederherstellen und auf welchem Server Sie sie hochfahren. Der BCP beschreibt, wie das Fakturierungsteam in der Zwischenzeit auf einer Behelfsvorlage weiter Lieferscheine ausstellt, damit das Lager nicht stillsteht. Der DRP repariert die Maschine; der BCP hält das Geld am Fließen. Sie brauchen beide, und sie müssen miteinander reden.

Das System in zwei Tagen wiederherzustellen nützt nichts, wenn Ihr Geschäft ohne es in vier Stunden stirbt.

Der klassische Fehler des KMU ist, (im besten Fall) einen Fetzen DRP zu haben – die Backups – und keine Spur eines BCP. Sie haben Backups, ja, aber niemand weiß, wer über die Auslösung der Wiederherstellung entscheidet, wer benachrichtigt wird, wie die Kunden in der Zwischenzeit betreut werden oder ab wann es „zu lange“ ist. Das ist kein Plan: Das ist ein Ordner voller Dateien und gekreuzte Finger.

Welche Prozesse nicht stillstehen dürfen und wie lange Sie durchhalten: RTO und RPO auf Deutsch

Jeder ernsthafte Plan beginnt gleich: Nicht alles ist gleich wichtig. Wenn Sie jedes System mit derselben Dringlichkeit schützen wollen, werden Sie nie fertig und können es sich nicht leisten. Erstellen Sie eine ehrliche Liste Ihrer Prozesse – fakturieren, produzieren, Bestellungen abwickeln, Löhne zahlen, Support leisten – und ordnen Sie sie danach ein, was passiert, wenn sie eine Stunde, einen Tag, eine Woche stillstehen. Die, die schon nach Stunden wehtun, sind Ihre kritischen Prozesse. Die geben den Ton an.

Über dieser Liste tauchen zwei Kürzel auf, die technisch klingen, aber reiner gesunder Menschenverstand sind:

• RTO (Recovery Time Objective): wie lange ein Prozess ausfallen darf, bevor der Schaden ernst wird. Das ist Ihre „Uhr“. Wenn Ihr Onlineshop nicht länger als 2 Stunden ohne Verkäufe sein darf, beträgt Ihr RTO 2 Stunden.
• RPO (Recovery Point Objective): wie viele Daten Sie sich zu verlieren leisten können, gemessen in Zeit. Wenn Sie alle 24 Stunden sichern, beträgt Ihr RPO einen Tag: Bei einer Katastrophe verlieren Sie bis zu einem Tag Arbeit. Für ein Fakturierungs-ERP ist das meist inakzeptabel.

Der Zauber liegt darin, beide mit der Realität abzugleichen. Wenn Ihr kritischer Prozess ein RTO von 2 Stunden verlangt, Ihr einziges Backup aber auf einer USB-Platte liegt, die jemand freitags mit nach Hause nimmt, beträgt Ihre reale Wiederherstellungsfähigkeit Tage, nicht Stunden. Da ist die Lücke, gemessen und in Zahlen. Und mit diesen Zahlen können Sie nun entscheiden, wo Sie investieren: Cloud-Replikation, häufigere Backups, ein Zweitserver. Nicht aus Angst, sondern mit Augenmaß.

Ein Rat, der Geld spart: Richten Sie RTO und RPO am Wert des Prozesses aus, nicht an Ihrer Angst. Der Datei-Server des Marketings verträgt ein RPO von 24 Stunden ohne Drama. Die Bestelldatenbank nicht. Alles zu schützen, als wäre es kritisch, ist der schnellste Weg, das Budget zu sprengen und den Plan nie fertigzustellen.

Ein einfacher Plan, den Sie tatsächlich nutzen

Der beste Continuity-Plan ist nicht der vollständigste: Es ist der, den Ihr Team um 3 Uhr nachts unter Adrenalin ausführen kann, ohne dass der Bereitschafts-ITler erreichbar ist. Das heißt kurz, klar und umsetzbar. Ein gut gemachtes Dokument von zwei oder drei Seiten ist mehr wert als ein Wälzer, den nie jemand geöffnet hat.

Das Minimum, das er enthalten muss:

• Kritische Prozesse und ihre RTO/RPO: die Liste aus dem vorigen Punkt, priorisiert. Was zuerst wiederhergestellt wird und was warten kann.
• Wer entscheidet und wer ausführt: Namen und Vertretungen. Wer den Vorfall ausruft, wer die Wiederherstellung freigibt, wer mit den Kunden spricht. Ohne Rollen herrscht Lähmung.
• Wichtige Kontakte außerhalb des Systems: Telefonnummern des Teams, des IT-Dienstleisters, der Bank, der Versicherung. Gedruckt oder auf dem Handy, denn wenn das Netz ausfällt, haben Sie keinen Zugriff aufs Drive.
• Wo die Backups liegen und wie man sie wiederherstellt: Speicherort, kontrollierte Zugangsdaten und die Schritt-für-Schritt-Prozedur. Ein Backup, das niemand wiederherzustellen weiß, ist kein Backup.
• Der manuelle Plan B: wie jeder kritische Prozess ohne sein System weiterläuft. Auf einer Vorlage fakturieren, Bestellungen telefonisch aufnehmen – was auch immer das Geschäft in diesen Stunden am Leben hält.

Beachten Sie, was nicht dabei ist: Fachjargon, wunderschöne Architekturdiagramme, unwahrscheinliche Szenarien. Der Plan beschreibt, was in der ersten Stunde der drei oder vier Ausfälle zu tun ist, die Ihnen wirklich passieren können. Alles Weitere ist überflüssig, bis dieser Kern funktioniert. Fangen Sie klein an, bringen Sie es heute zu Papier und verbessern Sie es später.

Wie Sie ihn testen, damit er wirklich funktioniert

Ein ungetesteter Plan ist eine Hypothese. Und in der Kontinuität brechen Hypothesen genau dann zusammen, wenn Sie sie am dringendsten brauchen. Das Backup, das „von allein lief“, versagte seit drei Monaten still; die Wiederherstellungsprozedur dauerte acht statt zwei Stunden, weil niemand sie gestoppt hatte. Solche Dinge entdeckt man nicht durch Lesen des Plans: Man entdeckt sie, indem man ihn ausführt.

Sie müssen keinen Brand simulieren. Testen Sie in Schichten:

• Echte Backup-Wiederherstellung: Nehmen Sie ein Backup und stellen Sie es in einer separaten Umgebung wieder her. Stoppen Sie die Zeit. Erfüllt es Ihr RTO? Sind alle Daten da? Das macht man jedes Quartal, nicht einmal im Leben.
• Planübung am Tisch: Versammeln Sie das Team für eine Stunde, werfen Sie „es ist 9:00 Uhr und das ERP startet nicht“ in den Raum und lassen Sie jeden sagen, was er tut. Die Lücken kommen zum Vorschein, ohne ein einziges System anzurühren.
• Test des manuellen Plan B: Verbringen Sie einen halben Tag mit Fakturieren oder Bestellannahme, als gäbe es das System nicht. Sie werden herausfinden, was fehlt, bevor Sie es wirklich brauchen.

Jeder Test hinterlässt Aufgaben: einen Kontakt aktualisieren, ein Backup korrigieren, einen verwirrenden Schritt klären. Dieser Zyklus – testen, den Fehler finden, ihn beheben – ist es, was aus einem Dokument eine echte Fähigkeit macht. Und hier spielt das Monitoring eine stille, aber entscheidende Rolle: Wenn Sie Systeme und Backups in Echtzeit überwachen, werden viele Vorfälle erkannt und eingedämmt, bevor sie zur Katastrophe werden, die den ganzen Plan auslöst. Vorbeugen kommt weit günstiger als Wiederherstellen.

Wie MagicBoxDesk ihn aufsetzt

All das – Prozesse klassifizieren, realistische RTO und RPO festlegen, Backups aufbauen, die sich wirklich wiederherstellen lassen, den Plan schreiben und jedes Quartal testen – ist spezialisierte, fortlaufende Arbeit. Genau das tun wir, wenn wir die IT-Abteilung eines Unternehmens auslagern: Wir verkaufen kein PDF und verschwinden, sondern hinterlassen die reale Fähigkeit, einen Schlag einzustecken und weiter zu fakturieren. Wir konzipieren BCP und DRP maßgeschneidert für Ihren Betrieb, mit 24/7-Monitoring, das Probleme erkennt, bevor sie Sie umhauen, und mit Backups, die automatisch verifiziert werden, nicht „in der Theorie“.

Wir bieten Remote- und Vor-Ort-Support in ganz Spanien, mit der Erfahrung derer, die ausgefallene Systeme an einem Sonntagabend öfter wieder hochgefahren haben, als ihnen lieb ist. Wenn Sie nicht wissen, wie viele Stunden Ihr Unternehmen ohne seine Systeme durchhält, ist genau das der Ausgangspunkt. Fordern Sie ein unverbindliches Angebot an und wir sagen Ihnen mit Zahlen, wo Ihr reales Risiko liegt und was Sie wirklich brauchen, um ruhig zu schlafen.