Seit Jahren wird Cyber-Resilienz durch Technologie definiert – Sicherheitsmaßnahmen, ausgefeilte Erkennungsfunktionen und immer robustere Backup-Strategien, die darauf ausgelegt sind, Angriffe zu verhindern oder eine schnellere Wiederherstellung zu ermöglichen. Diese Investitionen sind nach wie vor unverzichtbar, reichen aber nicht mehr aus. Künstliche Intelligenz (KI) hat die Art von Cyberangriffen grundlegend verändert; diese vollziehen sich mittlerweile in einem Tempo, das selbst etablierte Unternehmen vor Herausforderungen stellt. Da sich das Zeitfenster zwischen einer Kompromittierung und einem Betriebsausfall immer weiter verkürzt, geht es bei der Resilienz weniger darum, jeden Angriff zu verhindern, als vielmehr darum, den Geschäftsbetrieb aufrechtzuerhalten, wenn die Prävention unvermeidlich versagt.
Dieser Wandel steht im Mittelpunkt des neuen IDC-Berichts „Resilience Operations: The Discipline that Makes Readiness Provable“. Basierend auf einer Umfrage unter mehr als 500 nordamerikanischen Unternehmen kommt der Bericht zu dem Schluss, dass sich Resilienz zu einer funktionsübergreifenden Betriebsdisziplin entwickelt, die geschäftliche Prioritäten mit Cybersicherheit, ITOps und Notfallwiederherstellung verknüpft. Vor allem aber deckt er mehrere Lücken auf, die darauf hindeuten, dass sich viele Unternehmen immer noch auf eine Bedrohungslandschaft vorbereiten, die es gar nicht mehr gibt. Hier sind die wichtigsten Erkenntnisse.
Die Wiederherstellung sollte bei den geschäftlichen Zielen ansetzen – nicht bei den technischen.
In der Vergangenheit lag der Schwerpunkt bei der Notfallplanung auf der schnellstmöglichen Wiederherstellung der Infrastruktur, wobei der Erfolg anhand von Wiederherstellungszeitzielen, Backup-Abschlussraten und der Verfügbarkeit von Anwendungen gemessen wurde. Diese Kennzahlen sind zwar nach wie vor wertvoll, geben jedoch nicht unbedingt Antwort auf die Frage, die Führungskräften am meisten am Herzen liegt: Wann können wir den Geschäftsbetrieb wieder aufnehmen?
IDC vertritt die Ansicht, dass sich Resilienz eher an geschäftlichen Ergebnissen als an technischen Meilensteinen orientieren sollte – nämlich an der Wiederherstellung der Fähigkeiten, die es dem Unternehmen ermöglichen, Kunden zu bedienen, Umsatz zu generieren und seinen Verpflichtungen nachzukommen. Das mag nach Semantik klingen, verändert jedoch die Art und Weise, wie Prioritäten bei der Wiederherstellung gesetzt werden. Technologie wird zum Mittel zum Zweck und nicht zum Selbstzweck.
Die meisten Unternehmen haben noch immer nicht definiert, was am wichtigsten ist.
Fast 6 von 10 Unternehmen haben ihr „Minimum Viable Business“ (MVB) noch nicht vollständig definiert – also die kleinste Menge an Funktionen, Systemen, Prozessen und Daten, die erforderlich ist, um den Betrieb nach einer Störung aufrechtzuerhalten.
Ohne ein gemeinsames Verständnis dafür, wovon das Unternehmen wirklich abhängt, wird jede Maßnahme während der Wiederherstellung zu einer reaktiven Reaktion. Indem Sie Ihr MVB bereits vor einer Krise definieren, ermöglichen Sie schnellere Entscheidungen, eine bessere Koordination während der Wiederherstellung und letztlich eine widerstandsfähigere Organisation.
Die Automatisierung wird zunehmend zur Trennlinie zwischen Resilienz und Sanierungsschulden.
Während Angreifer die Erkundung, die Ausnutzung von Schwachstellen und die laterale Bewegung zunehmend automatisieren, setzen viele Unternehmen nach wie vor auf manuelle Recovery-Prozesse. Dieses Ungleichgewicht lässt sich immer schwerer ignorieren. KI verkürzt die Dauer von Angriffen, doch die Zeiträume für die Recovery haben damit nicht Schritt gehalten. Unternehmen, denen es nicht gelingt, diese Recovery-Aufgaben zu automatisieren, verbringen möglicherweise Tage damit, Pläne zu erstellen und umzusetzen, während der Schaden bereits angerichtet ist. Die automatisierte Koordination der Recovery, die eindeutige Identifizierung von Recovery-Punkten und die koordinierte Validierung entwickeln sich zu grundlegenden Funktionen, um die Recovery mit der Geschwindigkeit durchzuführen, die moderne Angriffe erfordern.
Nicht die Technologie stellt die größte Herausforderung für die Widerstandsfähigkeit dar – sondern die organisatorische Abstimmung.
Sicherheitsteams konzentrieren sich auf die Eindämmung, Infrastrukturteams auf die Wiederherstellung, Führungskräfte auf die Auswirkungen auf die Kunden und Compliance-Teams auf die gesetzlichen Verpflichtungen. Keine dieser Prioritäten ist an sich falsch, doch wenn sie sich unabhängig voneinander entwickeln, geraten Unternehmen ohne ein gemeinsames Betriebsmodell in eine Krise.
Hier kommt ResOps ins Spiel. Anstatt Resilienz als Aufgabe der IT zu betrachten, stellt der Bericht sie als eine Disziplin dar, die Geschäftsabläufe, Sicherheit, Infrastruktur und Wiederherstellungsplanung gezielt miteinander verbindet. Die Botschaft ist klar: Resilienz hängt weniger von einzelnen Tools ab als vielmehr davon, gemeinsame Prioritäten festzulegen, bevor ein Vorfall Sie dazu zwingt, schwierige Entscheidungen zu treffen.
Das Testen ist nach wie vor einer der aussagekräftigsten Indikatoren für die Widerstandsfähigkeit.
IDC stellte fest, dass relativ wenige Unternehmen regelmäßig Tabletop-Übungen oder Cyber-Range-Simulationen durchführen, obwohl seit Jahrzehnten bekannt ist, dass solche Übungen die Leistung bei tatsächlichen Vorfällen durchweg verbessern.
Übungen decken verborgene Abhängigkeiten auf, machen Kommunikationslücken sichtbar und ermöglichen es Teams, Entscheidungen zu treffen, ohne dass dies reale Konsequenzen nach sich zieht. Unternehmen, die ihre Wiederherstellungsprozesse wiederholt überprüfen, entwickeln ein Maß an Zuversicht, das über die reine Planung hinausgeht.
Die zukünftigen Herausforderungen im Bereich der Resilienz zeichnen sich bereits ab.
Ransomware dominiert nach wie vor die Schlagzeilen, doch die nächsten Herausforderungen im Bereich der Resilienz zeichnen sich bereits ab – von agentenbasierter KI über maschinelle Identitäten bis hin zur Post-Quanten-Kryptografie.
Diese Bedrohungen machen deutlich, dass sich die Resilienzplanung nicht ausschließlich auf die heutige Infrastruktur konzentrieren darf. Bei der Wiederherstellung spielen zunehmend „Cloud“-Dienste, „SaaS“-Anwendungen, KI-Modelle, maschinelle Identitäten, Drittanbieter und verteilte digitale Ökosysteme eine Rolle, die es vor einem Jahrzehnt noch nicht gab.
Resilienz lässt sich zunehmend messen.
Das ResOps-Reifegradmodell von IDC ist von unschätzbarem Wert für die Bewertung der aktuellen Situation Ihres Unternehmens. Anstatt Resilienz als etwas zu betrachten, das Unternehmen entweder besitzen oder nicht besitzen, beschreibt das Rahmenwerk einen Entwicklungsprozess weg von reaktiven, isolierten Abläufen hin zu einer ausgereiften, anpassungsfähigen Resilienz, die auf Governance, Automatisierung und kontinuierlicher Verbesserung basiert. Für mich bestätigt dieser Fortschritt eine wichtige Tatsache: Resilienz ist niemals abgeschlossen. Es geht nicht darum, eine Plattform zu kaufen oder ein Projekt abzuschließen. Unternehmen werden resilient, indem sie kontinuierlich verbessern, wie Technologie, Menschen und Geschäftsprozesse unter Druck zusammenwirken. Aus dieser Perspektive betrachtet gleicht Resilienz weniger einer Versicherung als vielmehr operativer Exzellenz – einer Fähigkeit, die im Laufe der Zeit bewertet, gestärkt und unter Beweis gestellt werden kann.
Derzeit vollzieht sich ein umfassender Wandel in der Art und Weise, wie Organisationen das Thema Resilienz betrachten.
Bei Diskussionen zum Thema Resilienz verlagert sich der Fokus zunehmend vom Schutz der Infrastruktur hin zum Schutz des Unternehmens selbst. Das bedeutet, dass die Notfallplanung bei den Kunden und nicht bei den Servern ansetzt, dass Governance ebenso wichtig wird wie Technologie und dass Vertrauen eher durch den Nachweis von Fähigkeiten als durch die Dokumentation von Absichten entsteht. ResOps ist kein wirklich neues Rahmenwerk, sondern vielmehr die umfassendere Erkenntnis, dass Cyber-Resilienz zu einer operativen Disziplin geworden ist. Da Angriffe immer schneller und komplexer werden, wird Resilienz nicht mehr an der Abwesenheit von Vorfällen gemessen, sondern an der Fähigkeit eines Unternehmens, trotz Störungen weiterhin Kunden zu bedienen, Mitarbeiter zu unterstützen und Vertrauen aufrechtzuerhalten. Genau das soll ResOps letztendlich beweisen. Rajiv Kottomtharayil ist Chief Products Officer bei Commvault.