Regulierung

Business Continuity Management

Abkürzung: BCM

Managementprozess der sicherstellt, dass eine Organisation kritische Geschäftsfunktionen auch bei schwerwiegenden Störungen oder Katastrophen aufrechterhalten kann.

🧒

Einfach erklärt

Für jeden verständlich — ohne Vorkenntnisse

“Was passiert wenn dein Büro abbrennt? Wenn der Hauptserver ausfällt? Wenn alle Mitarbeiter krank sind? BCM ist der Plan dafür — der sicherstellt, dass dein Unternehmen auch in einer Krise weiterarbeiten kann, zumindest das Wichtigste. Vorbereitung statt Panik.”

Ausführliche Erklärung

BCM umfasst Business Impact Analysis (BIA), Risk Assessment, Business Continuity Plan (BCP), Disaster Recovery Plan (DRP) und regelmäßige Tests. Kernbegriffe: RTO (Recovery Time Objective — wie lange darf ein System ausfallen?), RPO (Recovery Point Objective — wie viel Datenverlust ist akzeptabel?), MTPD (Maximum Tolerable Period of Disruption). Relevante Standards: ISO 22301 (BCM-Standard), BSI-Standard 200-4. BCM deckt mehr ab als nur IT — auch Personal, Räumlichkeiten und Lieferanten.

>Wie funktioniert das?

Business Impact Analysis: Welche Prozesse sind kritisch, welche Ausfallzeit ist akzeptabel? 2

Risk Assessment: Welche Ereignisse könnten diese Prozesse bedrohen? 3

Planung: BCP und DRP für jede kritische Funktion entwickeln

Umsetzung: Redundanzen, Backup-Systeme und alternative Prozesse einrichten

Test: Regelmäßige Übungen und Audits

Pflege: Pläne aktuell halten.

?Häufig gestellte Fragen

Antwort

KRITIS-Betreiber und NIS2-pflichtige Unternehmen sind gesetzlich verpflichtet. Alle anderen Unternehmen profitieren erheblich — besonders wenn ein Ausfall existenzbedrohend wäre.

Antwort

Der Business Continuity Plan (BCP) beschreibt wie das Unternehmen während einer Störung weiterarbeitet. Der Disaster Recovery Plan (DRP) beschreibt die technische Wiederherstellung von IT-Systemen nach einem Ausfall.

Antwort

Recovery Time Objective — die maximale akzeptable Ausfallzeit eines Systems oder Prozesses. Sie bestimmt wie viel in Redundanz und Recovery-Fähigkeiten investiert werden muss.

Antwort

Weil sie nie getestet wurden, veraltet sind, Mitarbeiter sie nicht kennen oder der Plan zu komplex für den Krisenfall ist. Regelmäßige Übungen sind entscheidend für die Wirksamkeit.

Antwort

Durch Tabletop-Übungen (Szenario-Diskussionen), technische Failover-Tests, vollständige Disaster-Recovery-Tests und unangekündigte Teil-Übungen — mit anschließenden Lessons-Learned-Reviews.

Alle Begriffe im Glossar

APT Brute-Force-Angriff Botnet CVE Credential Stuffing DDoS EDR Firewall Honeypot IDS KI-Angriff (Adversarial AI)Lateral Movement LLM-Sicherheit Malware MFA Netzwerksegmentierung OSINT Passkeys Patch Management Phishing Prompt Injection Ransomware SIEM Social Engineering SQL-Injection Threat Intelligence TTP WAF XDR Zero-Day Zero Trust XSS CSRF MitM Supply-Chain-Angriff Spear-Phishing Vishing Smishing Watering-Hole-Angriff Drive-by-Download Insider-Bedrohung Typosquatting Clickjacking DNS-Spoofing Session-Hijacking BEC Cryptojacking SIM-Swapping SOC Pentest Threat Hunting Red Team Blue Team DevSecOps Security Awareness Training Vulnerability Management SAST DAST 3-2-1 Backup-Strategie Cyber-Versicherung NIS2 DSGVO ISO/IEC 27001 BSI IT-Grundschutz NIST CSF KRITIS — Kritische Infrastrukturen PCI-DSS CRA TISAX — Automotive Informationssicherheit BCM Meldepflicht bei Datenpannen Adversarial Machine Learning Model Poisoning Deepfake KI-Halluzination LLM-Jailbreak Federated Learning Shadow AI Trojaner Computerwurm Spyware Rootkit Keylogger Fileless Malware Backdoor Infostealer Wiperware Adware OAuth 2.0 SAML SSO PAM IAM RBAC Passwort-Manager Biometrische Authentifizierung Hardware-Sicherheitsschlüssel VPN DMZ VLAN Port-Scanning BGP-Hijacking IPS NAC TLS SSH HTTPS — HyperText Transfer Protocol Secure SPF, DKIM & DMARC — E-Mail-Authentifizierung IPsec — Internet Protocol Security API-Sicherheit DNSSEC