Es gehört zum Alltagswissen, dass Waschmaschine, Geschirrspüler und Mikrowelle im Haushalt gelegentlich den Dienst versagen. Bis in die IT-Abteilungen ist diese Erkenntnis nicht überall durchgedrungen. Business-Continuity-Lösungen und Disaster-Recovery-Strategien, die Vorkehrungen für den Ausfall von ITSystemen treffen, sind nicht überall vorhanden oder werden nur halbherzig umgesetzt. Aber während sich die große Wäsche problemlos einige Tage verschieben lässt, können IT-Ausfälle von mehreren Stunden - geschweige denn einigen Tagen - erhebliche Folgen haben.
Zwar hat die Sensibilität für die Gefahren durch Systemausfälle deutlich zugenommen: Die Terroranschläge vom 11. September 2001, das Hochwasser im Sommer 2002 und die Stromausfälle in den USA, London und Italien haben das Problem in den Blickpunkt gerückt. Experten warnen vor den gravierenden Folgen von Systemausfällen und fordern ein Umdenken in den Firmen. Nach einer Studie, die Dynamic Markets im Auftrag von Veritas Software durchgeführt hat, verfügen zwar inzwischen rund 95 Prozent der großen Unternehmen über einen Notfallplan. Der geht aber oft kaum über simples Daten-Backup hinaus. Und viel zu selten werden Notfallpläne auf dem neuesten Stand gehalten oder regelmäßig getestet. Hauptfehler: Die Firmen entwickeln eine Lösung und legen sie dann ad acta.
Ein Notfallplan muss genau passen
"Wer glaubt, mit regelmäßiger Datensicherung über eine Business-Continuity-Lösung zu verfügen, hat die Problematik nicht verstanden", sagt Hermann Wedlich, Produktmanager für Business Continuity bei Veritas Software. Was nützt es, wenn im Ernstfall zwar innerhalb kurzer Zeit die Daten wiederhergestellt werden können, aber auch Applikationen betroffen sind und die Geschäftsprozesse trotz Datenwiederherstellung hängen? Ein Notfallplan muss deshalb maßgeschneidert sein, und das fängt bei der Analyse der IT-Struktur und -Prozesse an. "Wir beginnen mit einer Bestandsaufnahme und der Priorisierung von Prozessen", sagt Stephanie Schmidt, Consultant für Business Continuity und Recovery bei IBM. Fragen nach geschäftskritischen Daten und Applikationen sowie nach vertretbaren System-Anlaufzeiten sind zu beantworten vor Entscheidungen darüber, in welchen Intervallen welche Daten gesichert, welche Anwendungen und Systeme auf Backup-Rechnern vorgehalten werden müssen.
Zwar gibt es auch heute noch Betriebe, die einen Totalausfall verkraften können: "Ein kleiner Handwerksbetrieb, der Lohn- und Finanzbuchhaltung auf einem PC macht, kommt zur Not auch mal ein paar Tage ohne aus", sagt Markus Hellenthal, Partner und Leiter des Kompetenzzentrums Business Continuity bei Accenture. Die Regel ist das allerdings nicht. Aber während bei Großunternehmen das Thema üblicherweise auf der Agenda steht - wenn auch dort oft nicht hinreichend geregelt -, hält er besonders solche Firmen für gefährdet, die gerade jenseits der Schwelle sind, "an der die IT zur essenziellen Voraussetzung für den Erfolg von Geschäftsprozessen geworden ist". Nach seiner Erfahrung sind das typischerweise Mittelständler mit 100 bis 1000 Mitarbeitern.
Auch hier hat das Bewusstsein für Sicherheitsfragen zugenommen, aber es fehlt vielfach der Schritt zur praktischen Umsetzung. Harter Wettbewerb mit engen Margen, knappe Personaldecke und fehlende IT-Kompetenz, beschränkte Budgets für Security-Investitionen, die zudem keinen unmittelbaren Gewinn versprechen, lassen Vorkehrungen für den Notfall allzu oft aus dem Blickfeld geraten. Zu kurz gedacht, sagt Hellenthal: "Airbags im Auto oder Sprinkleranlagen im Hotel sind heute doch auch eine Selbstverständlichkeit."
Sichere IT ist Basis für Geschäftserfolg
"Wer die IT nicht für seine Geschäftspartner verlässlich macht, beraubt sich der Möglichkeit, sich an firmenübergreifende Wertschöpfungsketten anzukoppeln, die gerade für Mittelständler zunehmend bedeutsam für den wirtschaftlichen Erfolg sein werden", sagt der Accenture-Experte, der bis 1997 im Bundesinnenministerium den Bereich Grenzpolizei und Luftsicherheit geleitet hat. Gute Gründe also, ebenso wie die viel zitierten gesetzlichen Regelungen im Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) und in der Eigenkapitalvereinbarung Basel II, um über Business Continuity nachzudenken.
Der Veritas-Studie zufolge sind es indes andere Aus-löser, die Firmen zu Investitionen in Business Continuity veranlassen. An erster Stelle rangieren Virenangriffe (36 Prozent), am zweithäufigsten gerät der Notfallplan infolge einer allgemeinen Security Policy ins Blickfeld (33 Prozent), gefolgt von Naturkatastrophen (25 Prozent), günstigeren Versicherungsbedingungen (23 Prozent) und Fehlbedienung durch Mitarbeiter (19 Prozent). Bei der Angst vor Terrorattacken zeigt sich ein transatlantischer Dissens: Für 30 Prozent der amerikanischen Unternehmen gab sie den Anlass für einen Notfallplan, im EMEA-Raum waren es nur 13 Prozent.
Nicht alles müssen Unternehmen sichern
Auf Kostenschätzungen wollen sich die Experten nicht einlassen - zu viele Faktoren spielten bei der maßgeschneiderten BC-Lösung eine Rolle: Gefährdungslage, Hard- und Softwareausstattung, Anzahl und Ausprägung der Geschäftsprozesse, Anforderungen an Verfügbarkeit bestimmen den Preis. Die wenigsten Firmen benötigen die "heiße" Lösung, bei der alle Hard- und Softwaresysteme doppelt und räumlich getrennt vorgehalten werden. "Damit ist man natürlich immer auf der sicheren Seite; eine solche Lösung scheidet aber meist aus Kostengründen aus", sagt IBM-Expertin Schmidt.
Es geht jedoch auch billiger. Von der regelmäßigen Bandsicherung über das Angebot von Speicherplatz und Rechenleistung sowie der Spiegelung einzelner Systeme und Applikationen bis zur heißen Lösung bieten IT-Dienstleister jeden Service. "Wir können auch unsere mo-bilen Vorsorgezentren in einen Notfallplan einbinden", sagt Schmidt. Innerhalb weniger Stunden stehe dann ein Truck mit komplettem Rechenzentrum beim Kunden vor der Tür und übernehme die Unternehmens-IT.
Häufig jedoch sind die notwendigen Abläufe nur im Kopf des IT-Leiters oder eines Mitarbeiters vorhanden. Wenn der im Notfall krank oder im Urlaub ist, fehlt das Wissen, was zu tun ist. Zu einem Notfallplan gehört deshalb unbedingt eine vernünftige, regelmäßig aktualisierte Dokumentation, in der Rollen und Verantwortliche benannt sind - eine Aufgabe für die Geschäftsführung. "Bei den Notfallplänen geht die Initiative meistens von IT-Leitern aus, die schlecht schlafen," hat Schmidt beobachtet. In Deutschland ist die Planung von Notfallmaßnahmen noch nicht in den Chefetagen angekommen. Nach der Veritas-Untersuchung sind in 80 Prozent der Unternehmen, die Disaster-Recovery-Strategien haben, die Pläne allein von IT-Managern ohne Zutun der Geschäftsleitung konzipiert.
IT-Leiter testen Notfallpläne zu selten
Viel zu selten werden die Notfallszenarien aktualisiert und getestet. Nur bei 14 Prozent der deutschen Unternehmen stehen sie monatlich auf dem Prüfstand, 60 Prozent testen nur einmal im Halbjahr oder noch seltener. Tritt der Ernstfall ein, zieht der IT-Leiter nicht selten einen Notfallplan aus der Schublade, der weder praxiserprobt noch auf dem neuesten Stand ist. Dabei muss der Ernstfall nicht immer eine Feuersbrunst oder der Angriff von Terroristen oder Hackern sein. Aus welchem Grund ein Server ausfällt, ein Betriebssystem, eine Applikation abstürzt, spielt für den Geschäftsbetrieb keine Rolle. Immerhin haben in Deutschland über 50 Prozent der Unternehmen voriges Jahr mehr als fünf Stunden ungeplante Downtime verzeichnet; nur 18 Prozent muss-ten weniger als eine Stunde auf ihre IT verzichten.
Ein weiterer Fehler: 73 Prozent der deutschen Firmen bewahren ihren Notfallplan im Rechenzentrum auf. Wenn dann tatsächlich ein Feuer ausbricht - nach Hard- und Softwareausfällen das drittwichtigste Argument für einen Notfallplan -, hätte man sich den Aufwand auch sparen können.