Business Continuity Plan erstellen: Der praxisnahe Leitfaden für KMU
Jedes dritte Unternehmen in Deutschland erlebt pro Jahr einen IT-Notfall, der den Betrieb gefährdet. Ohne einen Business Continuity Plan (BCP) drohen Umsatzausfälle, Imageschäden und im schlimmsten Fall die Insolvenz. Gerade für KMU ist der BCP nicht nur sinnvoll – seit der NIS2-Richtlinie wird er für viele Unternehmen zur Pflicht.
In diesem Leitfaden erklären wir als IT-Beratung aus Langenfeld, wie Sie einen pragmatischen Business Continuity Plan erstellen, der wirklich schützt – ohne übermäßigen Bürokratieaufwand.
Was ist ein Business Continuity Plan (BCP)?
Ein Business Continuity Plan (auch: Notfall- oder Krisenmanagementplan) ist ein dokumentiertes Verfahren, das sicherstellt, dass kritische Geschäftsprozesse bei einer Störung (z. B. IT-Ausfall, Cyberangriff, Naturkatastrophe) schnell wieder aufgenommen werden können.
| Begriff | Bedeutung | Fokus |
|---|---|---|
| Business Continuity Plan (BCP) | Gesamtkonzept zur Aufrechterhaltung kritischer Prozesse | Organisation & Prozesse |
| Disaster Recovery Plan (DRP) | Wiederherstellung von IT-Systemen und Daten | Technik & Infrastruktur |
| Incident Response Plan | Reaktion auf Sicherheitsvorfälle (z. B. Ransomware) | Cybersecurity |
| Crisis Management Plan | Kommunikation & Führung in der Krise | Management & PR |
Tipp: Der BCP ist das Dach – DRP und Incident Response sind wichtige Teilelemente, die in den BCP integriert werden.
Warum brauchen KMU unbedingt einen BCP?
Die Zahlen sprechen für sich
- 43% der KMU erleiden innerhalb von 3 Jahren einen schwerwiegenden IT-Notfall
- 60% der betroffenen Unternehmen geben nach einem Ransomware-Angriff innerhalb von 6 Monaten auf
- Durchschnittliche Ausfallkosten: 8.000 € pro Stunde bei 20 Mitarbeitern
- Nur 28% der deutschen KMU haben einen dokumentierten Notfallplan
Gesetzlicher Druck durch NIS2
Die NIS2-Richtlinie verpflichtet Unternehmen aus 18 kritischen Sektoren (inkl. Gesundheitswesen, Energie, Transport, Finanzen, IT-Dienstleister) zur Implementierung von Business Continuity Management:
Art. 21 NIS2: Betreiber kritischer Infrastrukturen müssen Maßnahmen zur Sicherstellung der Verfügbarkeit ihrer Netz- und Informationssysteme umsetzen – inkl. Wiederherstellungsplänen nach schweren Sicherheitsvorfällen.
Bußgelder bei Nicht-Erfüllung: Bis zu 10 Mio. € oder 2% des weltweiten Jahresumsatzes.
Die 8 Schritte zum Business Continuity Plan
Schritt 1: Geschäftsprozess-Analyse (Woche 1–2)
Ziel: Identifizieren Sie alle kritischen Prozesse und deren Abhängigkeiten.
Ablauf:
-
Listen Sie alle Geschäftsprozesse auf (Vertrieb, Produktion, Buchhaltung, IT, Kundenservice)
-
Bewerten Sie jeden Prozess nach kritischer Wichtigkeit:
- Kritisch: Unternehmen kann nicht ohne funktionieren (z. B. Auftragsabwicklung)
- Wichtig: Beeinträchtigt den Betrieb erheblich (z. B. Marketing)
- Nicht kritisch: Kann vorübergehend pausieren (z. B. Weiterbildung)
-
Erfassen Sie Abhängigkeiten:
- Welche IT-Systeme braucht der Prozess?
- Welche Personen sind essenziell?
- Welche externen Dienstleister sind involviert?
Praxis-Tipp: Führen Sie Kurz-Interviews mit Abteilungsleitern. Eine simple Tabelle reicht:
| Prozess | Kritikalität | Max. Ausfalldauer | Abhängigkeiten |
|---|---|---|---|
| Auftragsannahme | Kritisch | 2 Std. | ERP, Telefon, Internet |
| Rechnungsstellung | Wichtig | 24 Std. | ERP, E-Mail |
| Lohnabrechnung | Kritisch | 48 Std. | Lohnsoftware, Steuerberater |
| Social Media | Nicht kritisch | 1 Woche | Keine |
Schritt 2: Risikoanalyse & Bedrohungsbewertung (Woche 2–3)
Ziel: Welche Gefahren drohen Ihrem Unternehmen konkret?
Typische Bedrohungen für KMU:
| Bedrohung | Wahrscheinlichkeit | Schadensausmaß | Beispiel |
|---|---|---|---|
| Ransomware-Angriff | Hoch | Existenzbedrohend | Verschlüsselung aller Daten |
| Hardware-Ausfall | Hoch | Erheblich | Server-Crash, Festplatten-Defekt |
| Stromausfall | Mittel | Erheblich | 4+ Stunden ohne Strom |
| Internet-Ausfall | Hoch | Mittel | DSL/Leitung unterbrochen |
| Naturkatastrophe | Niedrig | Existenzbedrohend | Überschwemmung, Brand |
| Lieferanten-Ausfall | Mittel | Erheblich | Cloud-Anbieter offline |
| Pandemie / Personalausfall | Mittel | Mittel | 30% der Belegschaft krank |
Bewertung: Nutzen Sie eine einfache Risikomatrix (Wahrscheinlichkeit x Auswirkung). Konzentrieren Sie sich auf die roten Felder.
Schritt 3: Definieren Sie Recovery-Ziele (Woche 3)
Zwei zentrale Kennzahlen:
RTO (Recovery Time Objective): Maximal akzeptable Ausfalldauer bis zur Wiederherstellung.
- Kritische Prozesse: 2–4 Stunden
- Wichtige Prozesse: 24–48 Stunden
- Nicht kritische: 1–2 Wochen
RPO (Recovery Point Objective): Maximal akzeptabler Datenverlust.
- Kritische Daten: 15–60 Minuten (stündliche Backups)
- Wichtige Daten: 4–24 Stunden
- Archiv-Daten: 1 Woche
Praxis-Beispiel für ein KMU (25 Mitarbeiter):
| System | RTO | RPO |
|---|---|---|
| E-Mail / Exchange Online | 2 Std. | 15 Min. |
| ERP / Buchhaltung | 4 Std. | 1 Std. |
| Dateiablage (SharePoint) | 4 Std. | 1 Std. |
| Telefonie | 2 Std. | Keine Daten |
| Website | 24 Std. | 24 Std. |
Schritt 4: Notfallstrategien entwickeln (Woche 4–5)
Für jeden kritischen Prozess definieren Sie:
A) Präventive Maßnahmen (Vorbeugung)
- Redundante Internetanbindung (z. B. LTE-Backup)
- Uninterruptible Power Supply (USV) für Server
- Regelmäßige Backups (3-2-1-Regel)
- MFA auf allen Systemen
- Patch-Management
- Awareness-Schulungen
B) Reaktive Maßnahmen (Während des Notfalls)
- Manuelle Arbeitsabläufe als Fallback (Papier, Excel-Listen)
- Ausweichstandorte (Home-Office, Coworking-Space)
- Ersatzhardware (Cold Standby, Leasingverträge)
- Kommunikationsketten (Telefonbaum, WhatsApp-Gruppe)
C) Recovery-Maßnahmen (Nach dem Notfall)
- Schritt-für-Schritt-Wiederherstellungspläne
- Daten-Restore-Verfahren
- Testprotokolle für Wiederherstellung
Schritt 5: Kommunikationsplan erstellen (Woche 5)
Wer muss wann informiert werden?
Interne Kommunikation:
- Sofort: Geschäftsführung, IT-Verantwortlicher
- Innerhalb 1 Std.: Alle Mitarbeiter (SMS/WhatsApp/Teams)
- Innerhalb 4 Std.: Abteilungsleiter (Lagebesprechung)
- Täglich: Update an alle während der Krise
Externe Kommunikation:
- Kunden: Wenn Aufträge/Services betroffen sind (transparent, aber beruhigend)
- Lieferanten: Bei Abhängigkeiten
- Versicherung: Bei Schadensfällen sofort
- Behörden: Bei personenbezogenen Datenverlusten (DSGVO: 72 Std. Meldepflicht!)
- Presse: Nur bei großem öffentlichem Interesse
Praxis-Tipp: Erstellen Sie Vorlagen für alle Standard-Szenarien:
- Kunden-E-Mail: "Aufgrund eines technischen Problems können wir aktuell ..."
- Mitarbeiter-Info: "Aufgrund eines IT-Notfalls arbeiten wir heute wie folgt ..."
- Behörden-Meldung: DSGVO-konforme Vorlage für Datenschutzverletzungen
Schritt 6: Dokumentation & Verantwortlichkeiten (Woche 6)
Der BCP als schriftliches Dokument sollte enthalten:
-
Deckblatt & Versionierung
- Erstellungsdatum, letzte Überarbeitung, nächste Prüfung
- Verantwortliche Person
-
Einleitung & Geltungsbereich
- Für welche Standorte/Abteilungen gilt der Plan?
- Wann wird der Plan aktiviert?
-
Kontaktdaten & Rollen
- Notfallteam mit Telefonnummern (auch privat!)
- Ersatzpersonen bei Abwesenheit
- Externe Dienstleister (24/7-Nummern)
- Behördenkontakte
-
Prozessbeschreibungen
- Alle kritischen Prozesse mit RTO/RPO
- Schritt-für-Schritt-Notfallverfahren
- Checklisten für Wiederherstellung
-
Anlagen
- Netzwerkplan / Server-Inventar
- Lizenzschlüssel & Zugangsdaten (verschlüsselt!)
- Backup-Verzeichnis & Restore-Anleitungen
- Versicherungspolicen
Verantwortlichkeiten definieren:
| Rolle | Person | Aufgabe im Notfall |
|---|---|---|
| Notfallkoordinator | GF / IT-Leiter | Gesamtkoordination, Entscheidungen |
| IT-Recovery | IT-Dienstleister | Systemwiederherstellung |
| Kommunikation | Marketing / HR | Interne & externe Kommunikation |
| Ersatz-GF | Stellvertreter | Entscheidungen bei Abwesenheit GF |
Schritt 7: IT-Disaster-Recovery-Plan (DRP) integrieren (Woche 7)
Der technische Kern Ihres BCP:
A) Backup-Strategie (3-2-1-Regel)
- 3 Kopien Ihrer Daten
- 2 verschiedene Speichermedien
- 1 Kopie offline / offsite
B) Wiederherstellungsverfahren
- Virtualisierung: VMware/Hyper-V-Snapshots
- Cloud-Backup: Microsoft 365-Backups (nicht nur Microsoft!)
- Hardware-Ersatz: Vorab vereinbarte Lieferzeiten beim Händler
C) Failover-Szenarien
| Primär | Failover | Umsetzung |
|---|---|---|
| On-Premise Server | Cloud-VM | Azure Site Recovery |
| Lokales ERP | Browser-basiertes ERP | SaaS-Alternative temporär |
| Festnetz-Telefonie | Mobil / Teams | Call-Weiterleitung aktivieren |
| Lokale Dateiablage | OneDrive / SharePoint | Synchronisation prüfen |
D) Recovery-Tests
- Table-Top-Test: Monatlich – Diskussion von Szenarien im Team
- Funktionstest: Quartalsweise – Einzelne Systeme testweise wiederherstellen
- Volltest: Jährlich – Komplette Simulation eines Notfalls
Schritt 8: Schulung, Test & Pflege (Woche 8 & laufend)
Mitarbeiterschulung:
- Bei Einstellung: BCP-Grundlagen im Onboarding
- Halbjährlich: Kurz-Update mit aktuellen Bedrohungen
- Jährlich: Notfall-Übung (z. B. simulierter Stromausfall für 2 Stunden)
Regelmäßige Überprüfung:
- Monatlich: Backup-Logs prüfen, Kontaktdaten aktualisieren
- Quartalsweise: Table-Top-Test, Software-Versionen prüfen
- Halbjährlich: Rollen & Verantwortlichkeiten überprüfen
- Jährlich: Vollständige Überarbeitung des BCP
KPIs für Ihren BCP:
- Durchschnittliche Wiederherstellungszeit (target vs. actual)
- Backup-Erfolgsrate (sollte >99% sein)
- Zeit bis zur Eskalation
- Mitarbeiter-Kenntnisstand (Quiz nach Schulungen)
NIS2 & BCP: Was müssen betroffene Unternehmen beachten?
Bin ich von NIS2 betroffen?
NIS2 gilt für Unternehmen aus 18 Sektoren ab einer Größe von 50+ Mitarbeitern oder einem Jahresumsatz von 10+ Mio. €. Betroffen sind u. a.:
- Energie, Transport, Banken, Gesundheitswesen
- IT-Dienstleister, Digital-Infrastruktur
- Öffentliche Verwaltung, Abfallwirtschaft
- Zulieferer kritischer Infrastruktur (auch kleinere Firmen!)
NIS2-Anforderungen an Business Continuity
| NIS2-Anforderung | BCP-Element | Umsetzung |
|---|---|---|
| Risikoanalyse für Netz- & Informationssysteme | Schritt 2 | Dokumentierte Risikomatrix |
| Incident Response | Schritt 4 & 5 | Reaktionspläne, Kommunikation |
| Business Continuity Management | Schritt 3 & 4 | RTO/RPO, Failover-Szenarien |
| Wiederherstellung nach Vorfällen | Schritt 7 | DRP, Backup-Tests |
| Kryptografie & Verschlüsselung | Schritt 4 | BitLocker, TLS, VPN |
Wichtig: NIS2 verlangt nicht nur den Plan – sondern auch den Nachweis, dass er funktioniert. Doku-mentieren Sie alle Tests und Schulungen!
Kosten: Was kostet ein BCP für KMU?
| Unternehmensgröße | Eigenentwicklung | Mit externer Beratung |
|---|---|---|
| 5–15 Mitarbeiter | 20–40 Std. intern | 2.500 – 5.000 € |
| 15–50 Mitarbeiter | 40–80 Std. intern | 5.000 – 12.000 € |
| 50–150 Mitarbeiter | 80–150 Std. intern | 12.000 – 25.000 € |
Laufende Kosten pro Jahr:
- Backup-Lösung: 500 – 5.000 €
- Tests & Schulungen: 1.000 – 3.000 €
- Wartung & Updates: 500 – 2.000 €
Die Investition lohnt sich: Ein einziger Tag Betriebsunterbrechung kostet ein KMU mit 20 Mitarbeitern durchschnittlich 6.000 – 10.000 €. Der BCP ist also nach dem ersten vermiedenen Notfall amortisiert.
Kostenlose BCP-Checkliste für KMU
Sofort umsetzbar – Ihre 10-Punkte-Schnell-Checkliste:
- Kritische Prozesse identifiziert & priorisiert
- Top-5-Risiken bewertet (Risikomatrix)
- RTO & RPO für jeden kritischen Prozess definiert
- Backup-Strategie implementiert (3-2-1-Regel)
- MFA auf allen Admin-Konten aktiv
- Notfallteam mit Telefonnummern benannt
- Kommunikationsplan (intern & extern) erstellt
- Manuelle Fallback-Prozesse dokumentiert
- Erster Table-Top-Test durchgeführt
- BCP-Dokumentation zentral abgelegt (inkl. Papierkopie!)
FAQ: Häufige Fragen zum Business Continuity Plan
Was ist der Unterschied zwischen BCP und DRP?
Der Business Continuity Plan umfasst das gesamte Unternehmen (Prozesse, Personen, Kommunikation). Der Disaster Recovery Plan ist der technische Teil – Wiederherstellung von IT-Systemen und Daten. Der DRP ist ein Teil des BCP.
Wie oft sollte ein BCP aktualisiert werden?
Mindestens einmal jährlich vollständig überarbeiten. Bei organisatorischen Änderungen (Neue Abteilung, neue Software, Umzug) sofort anpassen. Kontaktdaten und Telefonnummern halbjährlich prüfen.
Braucht jedes Unternehmen einen BCP?
Ja – in unterschiedlichem Umfang. Selbst ein Ein-Personen-Unternehmen profitiert von einem einfachen Plan: Was mache ich, wenn mein Laptop gestohlen wird? Für NIS2-Betroffene ist er ab 2025 gesetzlich vorgeschrieben.
Was ist ein Table-Top-Test?
Eine Diskussionsübung am Besprechungstisch. Das Team durchläuft ein Szenario (z. B. "Serverraum brennt") und bespricht, wer was tun würde. Keine technische Umsetzung nötig – ideal für den Einstieg.
Wie verknüpft man BCP mit der NIS2-Richtlinie?
Nutzen Sie NIS2 als Katalysator: Die geforderten Elemente (Risikoanalyse, Incident Response, BCM, Recovery) bilden die perfekte Struktur für Ihren BCP. Dokumentieren Sie alles – die Behörde kann Auskünfte verlangen.
Fazit: Kein Plan ist der schlechteste Plan
Ein Business Continuity Plan ist kein Papier-Tiger – er ist Ihre Versicherung gegen den Ernstfall. Die gute Nachricht: Für KMU muss er nicht 100 Seiten umfassen. Ein pragmatischer, gut durchdachter Plan mit klaren Verantwortlichkeiten, getesteten Backups und einer funktionierenden Kommunikationskette schützt Ihr Unternehmen besser als die teuerste Firewall ohne Plan.
Starten Sie heute:
- Identifizieren Sie Ihre 5 wichtigsten Prozesse
- Definieren Sie maximale Ausfallzeiten
- Prüfen Sie Ihre Backups
- Benennen Sie einen Notfallkoordinator
- Führen Sie in 30 Tagen einen ersten Table-Top-Test durch
Brauchen Sie Unterstützung beim BCP? Als IT-Beratung aus Langenfeld begleiten wir KMU bei der Erstellung, Implementierung und regelmäßigen Prüfung von Business Continuity Plänen – inkl. NIS2-konformer Dokumentation. Jetzt kostenloses Erstgespräch vereinbaren.