Inhalt in Kürze
- 25 Prozent der Unternehmen, die eine größere Katastrophe erleben, schließen dauerhaft
- Das BSI hat 2025 eigene BCM-Leitfäden speziell für KMU veröffentlicht — der Handlungsdruck steigt
- RTO und RPO sind die zwei Kennzahlen, die jeder Geschäftsführer kennen muss
- Cloud-basierte DR-Lösungen machen professionellen Schutz auch für kleine Unternehmen bezahlbar
Freitagabend, 18 Uhr. Ein Blitzschlag trifft die Stromversorgung Ihres Bürogebäudes in Hamburg-Wandsbek. Der Server ist beschädigt, die USV hat nicht gehalten. Am Montagmorgen stehen 25 Mitarbeiter vor dunklen Bildschirmen. Wie lange können Sie so überleben? Einen Tag? Eine Woche? Einen Monat?
Warum jedes Unternehmen einen Notfallplan braucht
Die Statistik ist unbarmherzig: 25 Prozent aller Unternehmen, die eine schwere Betriebsunterbrechung erleben, erholen sich davon nie wieder. Das BSI hat im November 2025 spezielle Broschüren zum Business Continuity Management für KMU veröffentlicht — ein klares Signal, dass auch kleine Unternehmen handeln müssen.
Und es geht nicht nur um Naturkatastrophen. Die häufigsten Auslöser für IT-Ausfälle:
- Ransomware-Angriffe — 950 dokumentierte Fälle im BSI-Berichtszeitraum 2025, die Mehrheit gegen KMU
- Hardware-Defekte — Server, Switches, Speichersysteme haben eine begrenzte Lebensdauer
- Menschliche Fehler — Falsche Konfiguration, versehentliches Löschen, fehlerhafte Updates
- Stromausfälle und Wasserschäden — Besonders in älteren Bürogebäuden ein reales Risiko
- Lieferkettenprobleme — Cloud-Anbieter oder ISP-Ausfälle, auf die Sie keinen Einfluss haben
RTO und RPO: Die zwei Zahlen, die Sie kennen müssen
Bevor Sie über Technik sprechen, brauchen Sie Antworten auf zwei Fragen:
Wie lange darf Ihre IT maximal ausfallen? 1 Stunde? 4 Stunden? 24 Stunden? Das ist Ihre RTO.
Wie viele Stunden Datenverlust können Sie verkraften? Null? 1 Stunde? 24 Stunden? Das ist Ihre RPO.
Ein Beispiel: Eine Spedition in der HafenCity hat Aufträge, die stündlich eingehen. Eine RPO von 24 Stunden würde bedeuten, dass ein ganzer Tag Aufträge verloren gehen könnte. Nicht akzeptabel. Die RPO muss bei 1 Stunde oder weniger liegen.
| Szenario | RTO | RPO | Typische Lösung |
|---|---|---|---|
| Büro mit 10 MA, geringe Datenänderung | 8 Std. | 24 Std. | Tägliches Cloud-Backup |
| Kanzlei mit Mandantenakten | 4 Std. | 4 Std. | NAS + Cloud-Backup, stündlich |
| Logistik mit Live-Aufträgen | 1 Std. | 1 Std. | Failover-System, kontinuierliche Replikation |
| E-Commerce mit Online-Shop | 15 Min. | 0 Std. | Hochverfügbarkeits-Cluster |
IT-Redundanz: Schwachstellen identifizieren und absichern
Redundanz bedeutet: Jede kritische Komponente existiert doppelt. Fällt eine aus, übernimmt die andere.
- Internetanbindung. Ein zweiter ISP (z. B. LTE-Failover) für den Fall, dass die Hauptleitung ausfällt.
- Stromversorgung. USV (unterbrechungsfreie Stromversorgung) für Server und Netzwerk. Überbrückt mindestens 15 Minuten für ein sauberes Herunterfahren.
- Server und Speicher. RAID-Systeme schützen vor einzelnen Festplattenausfällen. Für echte Redundanz: zweiter Server oder Cloud-Failover.
- Netzwerk. Redundante Switches und kein Single Point of Failure im Netzwerk-Design.
- Cloud-Dienste. Microsoft 365 hat eine SLA von 99,9 %. Aber auch hier sollten Sie ein [Backup Ihrer Cloud-Daten](/it-sicherheit/backup-unternehmen-datensicherung-guide) haben.
Wie lange überlebt Ihr Unternehmen ohne IT?
15 Minuten. Kostenlos. Ohne Vertriebsdruck.
Termin buchen →Der Disaster-Recovery-Plan: Was reingehört
Ihr DR-Plan muss keine 50 Seiten haben. Aber er muss die folgenden Fragen beantworten — klar, konkret und so, dass auch ein Nicht-Techniker damit arbeiten kann:
- Kontaktliste. Wer wird bei einem Ausfall informiert? IT-Dienstleister, Geschäftsführung, betroffene Mitarbeiter, ggf. Kunden.
- Kritische Systeme priorisieren. Was muss zuerst laufen? E-Mail? ERP? Telefonie? Dateizugriff?
- Wiederherstellungsschritte. Für jedes kritische System: Wo liegt das Backup? Wie wird es zurückgespielt? Wer macht das?
- Kommunikationsplan. Wie erreichen Sie Mitarbeiter, wenn E-Mail und Telefon ausfallen? Private Handynummern? Messenger-Gruppe?
- Ausweicharbeitsplätze. Können Mitarbeiter von zu Hause arbeiten? Gibt es Laptops mit VPN-Zugang?
- Testplan. Wann wird der Plan das nächste Mal getestet? Wer ist verantwortlich?
Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Cloud-basiertes Disaster Recovery: Auch für KMU bezahlbar
Früher war echtes Disaster Recovery nur für Großunternehmen mit eigenem Rechenzentrum bezahlbar. Heute gibt es Cloud-basierte Lösungen, die auch für ein 15-Personen-Unternehmen funktionieren:
- Azure Site Recovery repliziert Ihre Server in die Microsoft-Cloud. Bei Ausfall schalten Sie innerhalb von Minuten auf die Cloud-Kopien um.
- Veeam Cloud Connect sichert Ihre virtuellen Maschinen in ein externes Rechenzentrum. Wiederherstellung per Knopfdruck.
- Managed DR über Ihren IT-Partner: Der Partner übernimmt Planung, Einrichtung, Tests und im Ernstfall die Wiederherstellung.
Die Kosten für eine solide Cloud-DR-Lösung liegen bei 200 bis 500 Euro monatlich für ein typisches KMU — deutlich günstiger als ein einziger Tag Betriebsausfall.
Aus der Praxis: Ransomware um Weihnachten
„Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage." — Bernd Kühn, Geschäftsführer, Sanitärbetrieb, 20-25 Mitarbeiter
Drei Monate Stillstand. Für ein kleines Unternehmen kann das das Ende bedeuten. Mit einem getesteten DR-Plan und einem sauberen Offline-Backup wäre die Wiederherstellung in Tagen statt Monaten möglich gewesen.
DR-Test: So prüfen Sie, ob Ihr Plan funktioniert
Ein Plan, der in der Schublade liegt, ist wertlos. Testen Sie mindestens einmal pro Jahr:
- Tabletop-Übung: Das Team geht ein Szenario theoretisch durch. „Was tun wir, wenn morgen alle Server verschlüsselt sind?” Dauert 2 Stunden, kostet nichts.
- Partial Restore: Stellen Sie eine kritische Datenbank oder ein Postfach aus dem Backup wieder her. Funktioniert es? Wie lange dauert es?
- Full DR-Test: Simulieren Sie einen Komplettausfall. Alle Systeme aus dem Backup wiederherstellen. Aufwändig, aber der einzige Test, der wirklich zählt.
Ihr nächster Schritt
Sie haben keinen DR-Plan? Oder einen, der seit drei Jahren nicht mehr angeschaut wurde? Wir helfen Ihnen, Ihre kritischen Systeme zu identifizieren und einen pragmatischen Notfallplan aufzusetzen.
