Messung, Berichterstattung und Verbesserung der betrieblichen Widerstandsfähigkeit

Operative Widerstandsfähigkeit ist zum entscheidenden Faktor geworden, der erfolgreiche Unternehmen von denen unterscheidet, die Störungen lediglich überstehen. Mit78 % der Unternehmen gaben an, dass sie im vergangenen Jahr Opfer einer Ransomware-Attacke geworden sind… die Fähigkeit, kritische Geschäftsdienste während und nach Vorfällen aufrechtzuerhalten, ist ausschlaggebend für den Wettbewerbsvorteil.

Moderne Unternehmen stehen vor einer dreifachen Herausforderung: ausgeklügelte Cyberbedrohungen, strenge gesetzliche Anforderungen und die Komplexität verteilter Infrastrukturen. Dieglobale mittlere Verweildauer von 11 TagenDie Zeitspanne zwischen dem ersten Sicherheitsverstoß und dessen Aufdeckung zeigt, dass herkömmliche Sicherheitsansätze allein möglicherweise nicht ausreichen, um die Geschäftskontinuität vollständig zu gewährleisten.

Building true resilience often involves more than backup plans and disaster recovery procedures. It demands a systematic approach to measuring, reporting, and continuously improving your organization’s ability to absorb and recover from disruptions while maintaining service delivery within acceptable tolerances.

Operative Widerstandsfähigkeit represents your organization’s ability to prevent, adapt, respond to, and recover from disruptions while continuing to deliver critical business services. Unlike traditional business continuity planning that focuses on specific scenarios, operational resilience takes a holistic view of your entire ecosystem, including technology, processes, people, and third-party dependencies.

Die fünf Säulen der operativen Widerstandsfähigkeit bilden einen strategischen Rahmen für die Entwicklung eines umfassenden Schutzkonzepts:

1. Dienstleistungstaxonomie und Toleranzen: Ermittlung kritischer Geschäftsdienste (CBS) und Festlegung von Auswirkungstoleranzen.
2. Abhängigkeitszuordnung: Alle Komponenten, einschließlich Drittanbieter, verstehen.
3. Szenariotests: Regelmäßige Übungen zur Überprüfung der Recovery-Fähigkeiten.
4. Reaktion und Recovery: Bewährte Pläne, bei denen nachgewiesen wurde, dass die Toleranzgrenzen eingehalten wurden.
5. Governance und kontinuierliche Verbesserung: Aufsicht durch den Vorstand, Selbstbewertung und finanzierte Abhilfemaßnahmen.

Bei der Geschäftskontinuität liegt der Schwerpunkt in der Regel auf der Wiederherstellung nach bestimmten Ereignissen, während die operative Widerstandsfähigkeit die umfassendere Herausforderung angeht, Dienste auch bei verschiedenen Arten von Störungen aufrechtzuerhalten. Diese Verlagerung spiegelt die Erwartungen der Regulierungsbehörden wider: So gilt beispielsweise im Vereinigten Königreich,Die Financial Conduct Authority verlangt seit 2025 von den Unternehmen, nachzuweisen, dass sie die Auswirkungstoleranzen einhalten können..

Diese Tabelle bietet einen strukturierten Fahrplan für die Umsetzung jeder Säule mit klaren Meilensteinen und Validierungskriterien.

Das Verständnis des Unterschieds zwischen Kennzahlen und KPIs ist für ein effektives Resilienzmanagement von entscheidender Bedeutung. Kennzahlen stellen Rohdaten dar, die bestimmte Aspekte Ihrer Betriebsabläufe messen, während KPIs ausgewählte Leistungsindikatoren sind, die in direktem Zusammenhang mit strategischen Resilienzzielen und regulatorischen Anforderungen stehen.

Wichtige Kennzahlen zur Messung der Resilienz

Die folgenden Kennzahlen bilden die Grundlage für die quantitative Messung der Ausfallsicherheit und ermöglichen eine datengestützte Entscheidungsfindung:

• Erkennungszeit (TTD): Misst, wie schnell Ihre Systeme Anomalien oder Sicherheitsvorfälle erkennen. Mit einerweltweiten mittleren Verweildauer von 11 Tagenkönnen Unternehmen, die die TTD verkürzen, potenzielle Schäden und die Komplexität der Recovery erheblich begrenzen.
• Mean time to clean recovery (MTCR): Represents the actual time required to restore services to a verified clean state, helping confirm it’s free from known malware or corruption. This metric goes beyond simple restoration; it validates that recovered systems are trustworthy. Organizations report that but clean recovery often takes longer.
• Erfolgsquote bei der Recovery: Erfasst den Prozentsatz der Recovery-Tests, die Ihre festgelegten Ziele hinsichtlich der Auswirkungstoleranz erfüllen. Mitnur 13 % der Unternehmen ihre Daten nach einem Ransomware-Angriff vollständig wiederherstellen können, verdeutlicht diese Kennzahl die Kluft zwischen Wiederherstellungsversuchen und erfolgreichen Ergebnissen.
• Drift-/Lückenanalyse: Quantifiziert, inwieweit Ihr aktueller CBS-Zustand von den angestrebten Resilienzniveaus abweicht. Dazu gehören Lücken in der Kontrollabdeckung, wie beispielsweise Dienste, für die keine unveränderlichen Backups oder getesteten Runbooks vorliegen.

Vorstandsmitglieder und Aufsichtsbehörden konzentrieren sich in erster Linie auf eine entscheidende Frage: Kann das Unternehmen bei Störungen seine Dienste innerhalb definierter Ausfalltoleranzen aufrechterhalten? Dieser zentrale Fokus bestimmt Struktur und Inhalt einer effektiven Berichterstattung zur operativen Resilienz.

Impact tolerance reporting must demonstrate clear evidence of your ability to sustain CBS. An effective operational resilience report contains three essential sections that provide comprehensive visibility into your organization’s readiness:

1. CBS status overview: This section provides a clear visual representation of each critical service’s current position relative to its tolerance threshold. Use traffic-light indicators (red/amber/green) to show whether services operate within tolerance, approach limits, or exceed acceptable boundaries.
2. Nachweise zur Testsicherheit: Legen Sie Belege dafür vor, dass alle Wiederherstellungspläne regelmäßig durch automatisierte Tests validiert werden. Führen Sie dabei Kennzahlen wie die Erfolgsraten von Commvault Cleanroom, die Testhäufigkeit und die erreichten Wiederherstellungszeiten an. Diese Nachweise belegen nicht nur die theoretische Leistungsfähigkeit, sondern auch die nachgewiesene Leistungsfähigkeit.
3. Maßnahmenplan: Stellen Sie eine nach Prioritäten geordnete Übersicht über die identifizierten Risiken und den Ressourcenbedarf vor, um Lücken in der Widerstandsfähigkeit zu schließen. Konzentrieren Sie sich dabei auf Verbesserungen mit großer Wirkung, die sich direkt auf die Einhaltung der CBS-Toleranzanforderungen auswirken, und legen Sie dabei klare Zeitpläne und Zuständigkeiten fest.

ResOpswandelt fragmentierte Daten in einheitliche Erkenntnisse um, die zu messbaren Verbesserungen der organisatorischen Widerstandsfähigkeit führen. Durch den Abbau traditioneller Silos zwischen den Teams für Sicherheit, IT-Betrieb und Geschäftskontinuität,ResOps bietet einen umfassenden Überblick über den Stand der Ausfallsicherheit.

Einheitliche Datenquelle

ResOps fasst Kennzahlen aus unterschiedlichen Systemen in einer einzigen zuverlässigen Datenquelle zusammen. Diese Integration löst das Problem, bei dem77 % der Unternehmen geben an, dass die mangelnde Integration von Tools die Erkennung von Bedrohungen behindert. Durch das Abrufen von Daten aus Backup-Systemen,Identitätsmanagement, Sicherheitstools undKoordination der RecoveryPlattformen: ResOps bietet einen umfassenden Überblick über die Readiness der Ausfallsicherheit.

Automatisierte Qualitätssicherung

Kontinuierliche automatisierte Tests durch Funktionen wieCommvault-Reinraumstellt verifizierte MTCR-Daten bereit, die einer behördlichen Überprüfung standhalten. Diese Automatisierung verwandelt die Tests von periodischen Maßnahmen in eine kontinuierliche Validierung, sodass einige Organisationen nun in der Lage sind,Auf Wunsch monatliche Tests zur Recovery.

Die Automatisierung vereinfacht zudem komplexe technische Daten und wandelt sie in für Führungskräfte aufbereitete Erkenntnisse um. Anstatt roher Recovery-Protokolle zu präsentieren, erstellen ResOps-Plattformen übersichtliche Berichte, aus denen hervorgeht, ob jedes CBS innerhalb der festgelegten Toleranzgrenzen wiederhergestellt werden kann – gestützt durch zeitgestempelte Nachweise aus tatsächlichen Tests.

Berichterstattungsstrategien für Resilienz

Um aussagekräftige Resilienzberichte zu erstellen, müssen Inhalt und Darstellung auf die jeweilige Zielgruppe zugeschnitten werden, wobei die Konsistenz der zugrunde liegenden Daten gewahrt bleiben muss. Dashboards für Führungskräfte müssen ein Gleichgewicht zwischen umfassender Abdeckung und Übersichtlichkeit schaffen und umsetzbare Erkenntnisse liefern, ohne mit zu vielen Details zu überfrachten.

Verschiedene Interessengruppen benötigen unterschiedliche Einblicke in Resilienzdaten. Führungskräfte der obersten Ebene benötigen Trendanalysen und Zusammenfassungen der Risikoposition; Wirtschaftsprüfer benötigen detaillierte Nachweise und Compliance-Zuordnungen; Geschäftsbereiche wünschen sich dienstspezifische Fähigkeiten zur Recovery und Abhängigkeiten.

Consistent communication builds accountability throughout the organization. Regular reporting cycles, standardized metrics, and clear ownership assignments create a culture where resilience becomes everyone’s responsibility, not just IT’s domain.

Aufbau des Führungs-Dashboards

Das folgende Rahmenkonzept umreißt die wesentlichen Komponenten eines umfassenden Dashboards für Führungskräfte mit angemessenen Aktualisierungsintervallen:

Der Aufbau von Widerstandsfähigkeit erfordert systematische Ansätze, die proaktive Planung, regelmäßige Überprüfung und kontinuierliche Verbesserung auf der Grundlage von Erfahrungen aus der Praxis miteinander verbinden.

Tabletop-Übungen sind nach wie vor von grundlegender Bedeutung, um Reaktionsabläufe zu testen, ohne den Betrieb zu stören. Diese Simulationen sollten aktuelle Bedrohungsinformationen widerspiegeln, wobei die Szenarien auf tatsächlichen Vorfällen basieren sollten, von denen vergleichbare Organisationen betroffen waren. Beziehen Sie Dritte mit ein, dazwei Drittel der öffentlich gemeldeten Ausfälle auf Fehler von Drittanbietern zurückzuführen sind.

Nachbesprechungen nach Vorfällen verwandeln Ausfälle in Lernmöglichkeiten. Organisationen müssen über Schuldzuweisungen hinausgehen, um systemische Probleme zu verstehen;85 % der größeren Ausfälle aufgrund menschlicher Fehler resultieren daraus, dass Mitarbeiter Verfahren nicht befolgenoder dass Prozesse Mängel aufweisen.

Leitfaden zur Umsetzung von Maßnahmen zur Stärkung der Resilienz

Dieser Leitfaden bietet einen strukturierten Ansatz zum Aufbau und zur Aufrechterhaltung von Resilienzfähigkeiten mit klaren Zuständigkeiten und Erfolgskriterien.

Ein weltweit tätiges Logistikunternehmen mit über 200 Standorten learned that operational resilience isn’t theoretical when ransomware encrypted its production data and backup infrastructure. The attack left trucks parked and customers waiting, but strategic decisions made months earlier enabled recovery at least two weeks faster than otherwise possible.

The company’s Senior Systems Engineer reflects on the experience: “Expect a breach. It’s not if, it’s when.”

Die Herausforderung: Fragmentierter Schutz trifft auf echte Angriffe

Durch häufige Übernahmen musste das IT-Team mehrere Datensicherungslösungen in seiner Hybrid-Cloud-Infrastruktur verwalten, zu der Microsoft 365, SQL, Oracle, Sybase, OneDrive, SharePoint, Active Directory, Dateiserver und virtuelle Maschinen gehörten. Das Unternehmen hatte begonnen, seine Systeme weltweit mit Commvault Cloud zu konsolidieren, was die Verwaltung und Recovery vereinfachen kann.

Als der Ransomware-Angriff zuschlug, verschlüsselte er alle Produktionsdaten und legte CommServe sowie die MediaAgents lahm. Die Angreifer hatten sowohl die Primärsysteme als auch die Backups kompromittiert. Eine entscheidende Entscheidung erwies sich jedoch als lebenswichtig: Das Unternehmen hatte eine Disaster-Recovery-Sicherungskopie seines CommServe in der Commvault Cloud gespeichert – getrennt von seiner lokalen Infrastruktur –, was die Recovery-Bemühungen unterstützte.

Die Lösung: Critical System Recovery innerhalb von 72 Stunden

The IT team immediately engaged Commvault Support and the 24×7 Incident Response Services team. Support first restored the CommServe database from the cloud, enabling the team to rebuild its on-premises server and three MediaAgents. The Incident Response team then took over, working through a triaged list of applications based on business impact.

“We got a fleet of Commvault engineers supporting our team day and night in recovering our systems,” said the Senior Systems Engineer. “They were mindful of our priorities and advised us on best practices to restore faster. It was true collaboration.”

Die kritischsten Systeme waren innerhalb von 72 Stunden nach Einschalten des Incident-Response-Teams wieder online. Die übrigen Produktionssysteme wurden innerhalb einer Woche wiederhergestellt, sodass die Lieferungen wieder aufgenommen werden konnten und die Beeinträchtigungen für Einzelhandelskunden und Endkunden auf ein Minimum reduziert wurden.

Die Auswirkungen: Quantifizierter Wert der Recovery

The Director of IT Infrastructure and Operations estimates that without Commvault’s response, downtime would have extended by at least two weeks. The company avoided ransomware payouts and maintained operations, protecting both revenue and customer relationships.

This real-world incident validates the resilience metrics discussed earlier. The company’s MTCR for critical systems measured 72 hours, significantly better than from ransomware attacks.

Gewonnene Erkenntnisse: Stärkung der zukünftigen Widerstandsfähigkeit

Nach dem Vorfall führte das Unternehmen auf der Grundlage der gewonnenen Erkenntnisse mehrere Verbesserungen ein. Es dokumentierte einen umfassenden Recovery-Plan, erweiterte die Sicherungskopien auf die Cloud und verschiedene Medien und überprüfte den Abschluss der Sicherungen durch gründliche Tests.

Das Logistikunternehmen hat seitdem weltweit auf Commvault standardisiert und Commvault Grid für hochleistungsfähige Backup- und Recovery-Prozesse, verbesserten Ransomware-Schutz sowie größere Skalierbarkeit eingeführt. Zudem wurden Remote Managed Services für die Überwachung rund um die Uhr, Fehlerbehebung sowie jährliche Zustands- und Sicherheitsanalysen hinzugefügt.

“Commvault Cloud is now our cyber resilience solution globally,” said the Director of IT Infrastructure and Operations. “When a breach came, Commvault came out with flying colors and sealed my confidence in them. They are a true partner, not a vendor.”

Commvault’s data protection platform helps addresses the measurement, reporting, and improvement challenges that organizations face in building operational resilience. The platform’s unified architecture can help reduce the fragmentation that hampers resilience efforts, helping provide visibility and control across hybrid environments.

Automatisiertes Backup capabilities help reduce human error while maintaining consistency across diverse infrastructure. With built-in validation and testing features, organizations gain confidence that recovery will succeed when needed. The platform’s ability to 50 bis über 100 Schritte bei komplexen Recovery-Vorgängen wie der Wiederherstellung einer Active Directory-Gesamtstruktur automatisierenträgt dazu bei, mehrtägige manuelle Prozesse in eine koordinierte Recovery-Aktion innerhalb weniger Stunden umzuwandeln.

Dank der Features zur Cloud-Portabilität können Unternehmen ihre Ausfallsicherheit auch in sich wandelnden Infrastrukturlandschaften gewährleisten. Ob beim Schutz von SaaS-Anwendungen, Cloud-nativen Workloads oder herkömmlichen lokalen Systemen – Commvault ist darauf ausgelegt, konsistente Schutz- und Recovery-Funktionen bereitzustellen, die sich an die geschäftlichen Anforderungen anpassen.

Commvault-Leistungs-Scorecard

This scorecard outlines the key performance targets and validation methods for Commvault’s core resilience capabilities.

Die Messung und Berichterstattung zur operativen Resilienz verwandelt abstrakte Konzepte in verwertbare Erkenntnisse, auf deren Grundlage Vorstände, Aufsichtsbehörden und operative Teams fundierte Entscheidungen treffen können. Die Organisationen, die in Zeiten von Disruptionen erfolgreich sind, sind diejenigen, die Resilienz als kontinuierlichen Prozess und nicht als einmaliges Projekt betrachten.