Viele Sicherheitsprogramme zielen darauf, Angriffe zu verhindern. Das ist notwendig – aber nicht ausreichend. Die Frage ist längst nicht mehr ob, sondern wann ein Vorfall eintritt. Genau hier setzt Cyber-Resilienz an: die Fähigkeit einer Organisation, Angriffe und Störungen zu überstehen und den Geschäftsbetrieb schnell wiederherzustellen.

Resilienz statt reiner Prävention

Prävention und Resilienz sind kein Widerspruch, sondern zwei Seiten derselben Medaille. Während Prävention die Eintrittswahrscheinlichkeit senkt, begrenzt Resilienz die Auswirkungen. Ein resilientes Unternehmen akzeptiert, dass Schutzmaßnahmen versagen können – und bereitet sich systematisch auf diesen Fall vor.

Die vier Säulen der Cyber-Resilienz

Antizipieren: Bedrohungen kennen, kritische Prozesse identifizieren und Szenarien durchdenken. Eine Business-Impact-Analyse zeigt, welche Systeme wirklich geschäftskritisch sind.

Widerstehen: Schutzmaßnahmen so gestalten, dass ein einzelner Fehler nicht das Gesamtsystem kippt – Segmentierung, Least Privilege und Redundanz sind hier zentrale Prinzipien.

Wiederherstellen: Getestete Backups, klare Wiederanlaufpläne und definierte Zuständigkeiten. Entscheidend sind messbare Ziele: die Recovery Time Objective (RTO) und die Recovery Point Objective (RPO).

Anpassen: Aus jedem Vorfall und jeder Übung lernen und die Maßnahmen kontinuierlich verbessern.

Backups, die im Ernstfall funktionieren

Ransomware zielt gezielt auf Datensicherungen. Das bewährte Prinzip 3-2-1-1-0 – drei Kopien, zwei Medien, eine externe Kopie, eine unveränderliche (immutable) Kopie und null Fehler beim Wiederherstellungstest – ist heute Mindeststandard. Der wichtigste Satz dazu: Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Hoffnung.

Den Ernstfall üben

Notfallpläne entfalten ihren Wert erst, wenn sie geübt sind. Tabletop-Übungen, in denen Führungskräfte und Fachteams einen Angriff durchspielen, decken Lücken auf, bevor es teuer wird: Wer entscheidet über eine Abschaltung? Wie kommuniziert man ohne die eigenen E-Mail-Systeme? Wer informiert Behörden und Kunden? Solche Fragen sollten nicht zum ersten Mal im echten Krisenfall gestellt werden.

Resilienz messbar machen

Was sich nicht messen lässt, lässt sich schwer verbessern. Kennzahlen wie RTO, RPO, die Zeit bis zur Erkennung (MTTD) und bis zur Eindämmung (MTTR) machen Fortschritt sichtbar. Regulierungen wie NIS-2 und DORA verankern Resilienz zunehmend verbindlich – ein zusätzlicher Grund, sie strategisch anzugehen statt reaktiv. Wer Resilienz konsequent aufbaut, erfüllt nicht nur Vorgaben, sondern schützt das, worauf es ankommt: die Handlungsfähigkeit des Unternehmens.

Krisenkommunikation: der unterschätzte Faktor

Technische Wiederherstellung ist nur die halbe Miete. In einem ernsten Vorfall entscheidet oft die Kommunikation über den Schaden. Wer erfährt wann was – intern, gegenüber Kunden, Partnern, Behörden und gegebenenfalls der Öffentlichkeit? Fehlt ein abgestimmtes Konzept, entstehen Gerüchte, Widersprüche und Vertrauensverluste, die den eigentlichen technischen Schaden übersteigen können.

Vorbereitet in den Ernstfall

Bewährt haben sich vorformulierte Kommunikationsbausteine, klare Freigabewege und ein benanntes Kernteam, das im Krisenfall zusammenkommt. Wichtig ist auch ein Kommunikationskanal, der unabhängig von der eigenen, möglicherweise kompromittierten Infrastruktur funktioniert. Solche Vorbereitungen kosten wenig – und zahlen sich im Ernstfall vielfach aus. Resilienz ist damit nicht nur eine Frage der Technik, sondern der Organisation und der Menschen.