Business Continuity Management: Auf das Schlimmste 
vorbereitet

Es muss gar nicht gleich eine globale Pandemie sein, um einen Geschäftsbetrieb lahmzulegen – es geht auch eine Nummer kleiner: „Stellen Sie sich vor, Sie kommen morgens zur Arbeit und das Bürogebäude ist abgebrannt. Da ist nur noch ein rauchender Trümmerhaufen“, beschreibt Matthias Rosenberg ein denkbares Szenario. „Hat Ihr Unternehmen für diesen Fall einen Plan B, wie das Geschäft trotzdem weiterlaufen kann?“ Rosenberg ist Vorstand der Controllit AG in Hamburg. Das Unternehmen hilft Firmen seit mehr als 20 Jahren, auf genau solche Fragen eine Antwort zu finden – lange bevor irgendetwas passiert. Business Continuity Management, kurz BCM, nennt sich das auf Englisch. „Geschäftskontinuitäts-Management“ ist eine allzu wörtliche und etwas sperrige, aber nicht ganz falsche Übersetzung.

Mit Hilfe von BCM können sich Unternehmen auf Ereignisse vorbereiten, die ihr Geschäft maßgeblich beeinträchtigen können, sodass sie im Fall der Fälle bereits eine genaue Anleitung in der Schublade haben, was von wem zu tun ist. So wird die Kontinuität des Business gewährleistet. „BCM ist wie eine Versicherung – hoffentlich braucht man die Notfallpläne nie, aber falls doch, dann ist es sehr viel besser, schon welche zu haben“, sagt Denis Žiga, der als Manager bei Controllit die Bereiche Business Continuity und Krisenmanagement verantwortet. Tatsächlich soll BCM verhindern, dass durch einen Krisenfall der Fortbestand des Unternehmens gefährdet wird. „Das ist nämlich alles andere als selten.“

Die Controllit AG nahm ihre Anfänge im Finanzbereich. Inzwischen kommen die Kunden aus vielen Branchen in ganz Europa, immer öfter sind jetzt auch Luftfahrtunternehmen dabei, zum Beispiel eine große Airline aus Deutschland und eine eher preisgünstige aus Spanien. Auch Flughäfen nahmen die Dienste der Hamburger schon in Anspruch. Als Kandidaten für ein BCM kämen aber ebenso Flugzeughersteller und deren viele Zulieferer in Frage.

„Es ist nicht sinnvoll, sich direkt auf konkrete Ereignisse vorzubereiten – es gibt einfach zu viele Möglichkeiten“, erklärt Matthias Rosenberg das Vorgehen bei der Erstellung von Business-Continuity-Plänen. Stattdessen unterschieden die Sicherheitsexperten vier Worst-Case-Szenarien.

»Wir bereiten 
die Reaktion auf 
vier Worst-Case-
Szenarien vor«
Matthias Rosenberg
, Vorstand Controllit AG

Das erste ist der Gebäudeausfall. „Die Ursache ist dabei egal: Wasserschaden, Feuer, Erdbeben – alles hat ähnliche Folgen. Einzige Randbedingung: Die Gebäude sind weg, aber die Menschen sind noch da.“

Die sind im zweiten Szenario betroffen, erklärt Denis Žiga. „Man identifiziert essenzielle Prozesse, auf die das Geschäft keinesfalls verzichten kann, damit das Unternehmen überlebt. Und dann überlegt man: Was passiert, wenn das Personal, dass für diese Prozesse benötigt wird, nicht mehr zur Verfügung steht?“ Das muss gar nicht immer der schlimmstmögliche Fall sein, dass etwa eine Gruppe von Personen auf einer gemeinsamen Dienstreise verunglückt. „Da geht eine Abteilung mittags in ein Restaurant und alle holen sich eine Lebensmittelvergiftung“, skizziert Rosenberg eine Möglichkeit. Auch ein Streik fällt in diese Kategorie.

Szenario 3: „Das Gebäude steht, die Menschen sind da – und auf einmal ist die IT weg. Die Computer sind von einem Virus befallen, von Hackern wurden alle Daten verschlüsselt oder sie sind auf andere Weise nicht verfügbar“, beschreibt Žiga.

Und dann ist da noch die vierte Möglichkeit: Im eigenen Unternehmen läuft zwar alles, aber ein fürs Geschäft kritischer Zulieferer oder Dienstleister fällt aus – zum Beispiel aus einem der vorgenannten Gründe.

Ein fünftes Szenario widmen die BCM-Experten von Controllit Produktionsunternehmen. Wenn deren Anlagen ausfallen, kann es sehr kompliziert und langwierig sein, spezielle Maschinen und Gerätschaften zu ersetzen oder auch nur zu reparieren. Außerdem spielt die Abhängigkeit von Lieferketten eine besonders große Rolle. So genügt manchmal das Fehlen eines winzigen Bauteils, um die Herstellung zum Stillstand zu bringen.

Wendet man diese Grundprinzipien zum Beispiel auf eine Airline an, ändern sich einige Details. So geht es im ersten Fall nicht nur um Gebäude, sondern auch um den potenziellen Ausfall von Flugzeugen. Das Grounding der Boeing 737 MAX ist ein typisches Beispiel. „Da fiel eine Ressource aus, die für das Geschäft einer Airline zentral ist. Also braucht man einen Plan, wie man damit umgeht.“

IT ist besonders gefährdet

Was sind große Bedrohungen für das Funktionieren der zivilen Luftfahrt? IT, also die Computer-Infrastruktur, nennt Denis Žiga als erstes. Eine Analyse des Bundesamts für Sicherheit in der Informationstechnik (BSI) stellt dabei auch die Rolle der Fluglotsen heraus, ohne die ein Flugverkehr nicht möglich ist. Doch es geht auch um Personal: „Erkrankt eine Person in der Betriebszentrale einer Airline an Covid-19, müssen womöglich alle anderen in Quarantäne. Wer plant dann noch Flüge?“

Dennoch sind Airlines ein Sonderfall: „Im Bereich Krisenmanagement sind Fluggesellschaften besser vorbereitet als viele andere Unternehmen. Für das Szenario eines Unfalls oder Absturzes haben sie bereits einen Plan“, erklärt Rosenberg. „Auch die Reaktion bei überraschend auftretenden Problemen im laufenden Betrieb ist dort normal, zum Beispiel, wenn ein Flugzeug an einem weit entfernten Ort ausfällt oder ein Airport wegen Wetter nicht planmäßig angeflogen werden kann.“

»In Deutschland gibt es noch 
erheblichen 
Nachholbedarf«
Denis Žiga, 
Manager Controllit AG

Es gibt noch viel Potenzial, meint Rosenberg. Er vergleicht die BCM-Vorbereitungen in der Luftfahrt mit Branchen, die gesetzliche Vorgaben in diesem Bereich erfüllen müssen. Das gilt zum Beispiel für den Finanzsektor und für manche Unternehmen, die kritische Infrastruktur bereitstellen, kurz KRITIS genannt. Dazu zählen etwa die Strom- und Wasserversorgung – und ab einer bestimmten Größe auch Airlines und Flughafenbetreiber.

„Im Vergleich zu den USA oder dem Vereinigten Königreich haben wir in Deutschland aber noch erheblich Nachholbedarf, was BCM angeht“, erklärt Denis Žiga. Er nennt ein Beispiel: „Es ist dort nicht ungewöhnlich, dass zum Beispiel eine Airline einen Anbieter von Passagier-Catering fragt, was der denn so an BCM-Planung hat. Schließlich müssten die Flüge im Extremfall ausfallen, wenn der Caterer kein Essen liefern kann. Das ist das klassische Szenario: ,Zulieferer fällt aus’.“

Krise, nicht Katastrophe

Bei einer Airline, erläutert Žiga, geht es im BCM darum, alle erforderlichen Prozesse zu analysieren und zu überlegen, wie ein Betrieb weitergehen kann, obwohl es zu Unterbrechungen kommt. „Das betrifft beispielsweise die Passagierabfertigung am Boden, die Flugverkehrskontrolldienste oder die Verfügbarkeit von Wetterdaten für die Flugvorbereitung. Das sind alles Prozesse, die für einen Betrieb erforderlich sind.“ Eine der wichtigsten Fragen: Wie schnell muss ein Prozess wieder anlaufen, damit das Geschäft nicht kritisch betroffen wird. Katastrophenfälle wie die derzeitige Pandemie oder die weiträumigen Luftraumsperrungen anlässlich des isländischen Vulkanausbruchs 2010 gehen dagegen über den Bereich BCM hinaus, weil sie alle Marktteilnehmer betreffen. „Bei uns geht es eher um Krisen als um Katastrophen.“

Zurück zum Beispiel der Flugwettervorhersage: BCM macht konkrete Pläne, was zu geschehen hat, wenn sie nicht mehr wie vorgesehen geliefert wird. Gibt es dann alternative Anbieter? Verpflichtet man den Dienstleister, für diesen Fall vorzusorgen? Am Ende entsteht nach gründlichem Eindenken in die Abläufe eines Unternehmens eine Art Checkliste, die ein Vorgehen im Krisenfall klar definiert – und auch genau festlegt, wer dann in welchem Zeitraum zu handeln hat.

Die Kunst beim Continuity Management, sagt Žiga, bestehe darin, zwar kritische Prozesse und deren Ausfall zu behandeln, sich dabei aber nicht zu sehr in Details zu verlieren. „Man kann nicht jede Eventualität abdecken, sonst ist das ganze Unternehmen am Ende nur noch mit BCM beschäftigt.“ Vor allem die konkrete Ursache für den Ausfall eines geschäftsrelevanten Prozesses ist bei der Planung unwichtig. „Die Frage ist: was tun, wenn es passiert? Es ist egal, warum es passiert“, sagt Žiga.

»Wenn die Geschäftsführung kritisch 
für den Fortbestand der Firma ist, dann läuft etwas falsch«
Matthias Rosenberg, 
Controllit AG

Zu Beginn einer Business-Impact-Analyse, also der Bewertung, wie sich Krisen aufs Geschäft auswirken, sind die Überlegungen sehr generell, erklärt Matthias Rosenberg: „Womit verdienen wir vorrangig unser Geld? Das ist der Bereich, der zuerst geschützt werden muss.“ Das Ziel ist nicht, einen reibungslosen Betrieb sicherzustellen, sondern den kompletten Stillstand zu verhindern. „Wir versuchen, eine Art Notbetrieb zu ermöglichen. Wenn also an irgendeinem Flughafen normalerweise 1000 Passagiere abgefertigt werden, sind es im Krisenfall vielleicht nur noch 250.“

Manche Manager sind von den Erkenntnissen einer Business-Impact-Analyse durchaus überrascht, wenn es darum geht, welche Abläufe und welche Personen für das Geschäft kritisch sind: „Wenn ein Unternehmen so organisiert ist, dass Geschäftsführung oder Vorstand wichtig sind, dann ist etwas grundsätzlich falsch gelaufen“, sagt Rosenberg. „Das Kernwissen darf nicht wegfallen – und das ist ganz woanders zu finden als in der Chefetage.“ So ist eine der grundlegenden Erkenntnisse, dass kritisches Personal dienstlich nicht gemeinsam reisen sollte. „Da sollten nicht alle im gleichen Flugzeug zum Firmenausflug nach Mallorca sitzen.“

Wie lange darf es dauern?

Sind die Business-Continuity-Pläne fertig, werden sie ausführlich getestet. „Am Anfang machen wir das am Schreibtisch, rein theoretisch. Dennoch notieren wir genau, wie lange die Bewältigung der Aufgaben jeweils dauert“, sagt Žiga. Die nächste Stufe ist ein funktionaler Test, bei dem Personen zum Beispiel tatsächlich die Wege zurücklegen, die auch im Ernstfall zu gehen wären. „Es ist ganz wichtig zu klären, wie lange es dauern darf, bis zumindest ein Notbetrieb steht. Das kann im Fall von IT-Problemen oder Datenverlusten Wochen dauern.“ Wie viel Zeit vergehen darf, bevor der Fortbestand des Unternehmens gefährdet ist, beeinflusst am Ende auch, wie viel Aufwand man in die Vorbereitung auf Krisenfälle steckt. „Das ist eine Kostenabwägung“, sagt Rosenberg.

In einer Krise nicht intuitiv vorgehen, sondern gemäß einem vorbereiteten Plan – das ist das Ziel von BCM. „Nicht alle Unternehmen verstehen anfangs die Notwendigkeit, weil BCM erstmal natürlich kein Geld verdient“, sagt Žiga. „Doch am Ende verstehen die meisten, dass diese Art der Vorsorge überlebenswichtig sein kann.“

Controllit AG
Seit mehr als 20 Jahren hat sich das Hamburger Unternehmen mit seinen heute 26 Mitarbeitern auf Business Continuity Management spezialisiert. Seit der Gründung ist das Bewusstsein für den Wert einer Notfallplanung gestiegen: Die starke Vernetzung der globalen Wirtschaft macht Unternehmen anfälliger für Unterbrechungen aller Art. Inzwischen gehören zu den Geschäftsfeldern der Controllit AG auch das IT Service Continuity Management sowie Krisenmanagement. Eine speziell entwickelte Software von Controllit unterstützt die Kunden bei ihrer Planung; deren Verantwortliche werden im Tochterunternehmen BCM Academy ausgebildet.
Weitere Informationen: www.controll-it.de