Messung, Berichterstattung und Verbesserung der betrieblichen Widerstandsfähigkeit

Operative Resilienz ist mittlerweile zu einem entscheidenden Faktor geworden, der erfolgreiche Unternehmen von denen unterscheidet, die Störungen lediglich überstehen. Angesichts der Tatsache, dass 78 % der Unternehmen angaben, im vergangenen Jahr Ziel eines Ransomware-Angriffs gewesen zu sein, ist die Fähigkeit, kritische Geschäftsdienste während und nach Vorfällen aufrechtzuerhalten, ausschlaggebend für den Wettbewerbsvorteil.

Moderne Unternehmen stehen vor einer dreifachen Herausforderung: ausgeklügelte Cyberbedrohungen, strenge regulatorische Anforderungen und die Komplexität verteilter Infrastrukturen. Die weltweit durchschnittliche Verweildauer von 11 Tagen zwischen der ersten Kompromittierung und der Erkennung zeigt, dass traditionelle Sicherheitsansätze allein möglicherweise nicht ausreichen, um die Geschäftskontinuität vollständig zu gewährleisten.

Der Aufbau echter Resilienz erfordert oft mehr als nur Notfallpläne und Verfahren zur Recovery. Er erfordert einen systematischen Ansatz zur Messung, Berichterstattung und kontinuierlichen Verbesserung der Fähigkeit Ihres Unternehmens, Störungen abzufedern und sich davon zu erholen, während die Dienstleistungserbringung innerhalb akzeptabler Toleranzen aufrechterhalten wird.

Operative Resilienz bezeichnet die Fähigkeit Ihres Unternehmens, Störungen zu verhindern, sich darauf einzustellen, darauf zu reagieren und sich davon zu erholen, während gleichzeitig die Bereitstellung kritischer Geschäftsdienste aufrechterhalten wird. Im Gegensatz zur herkömmlichen Geschäftskontinuitätsplanung, die sich auf bestimmte Szenarien konzentriert, betrachtet die operative Resilienz Ihr gesamtes Ökosystem ganzheitlich, einschließlich Technologie, Prozesse, Mitarbeiter und Abhängigkeiten von Dritten.

Die fünf Säulen der operativen Resilienz bilden einen strategischen Rahmen für die Entwicklung eines umfassenden Schutzkonzepts:

1. Dienstleistungstaxonomie und Toleranzen: Identifizierung kritischer Geschäftsdienste (CBS) und Festlegung von Auswirkungstoleranzen.
2. Abhängigkeitskartierung: Erfassung aller Komponenten, einschließlich Drittanbietern.
3. Szenariotests: Regelmäßige Übungen zur Validierung der Recovery-Fähigkeiten.
4. Reaktion und Recovery: Bewährte Pläne mit Nachweis, dass die Toleranzgrenzen eingehalten werden.
5. Governance und kontinuierliche Verbesserung: Aufsicht durch den Vorstand, Selbstbewertung und finanzierte Abhilfemaßnahmen.

Bei der Geschäftskontinuität liegt der Schwerpunkt in der Regel auf der Wiederherstellung nach bestimmten Ereignissen, während die operative Resilienz die umfassendere Herausforderung der Aufrechterhaltung von Dienstleistungen bei verschiedenen Arten von Störungen angeht. Diese Verlagerung spiegelt regulatorische Erwartungen wider: So verlangt beispielsweise die Financial Conduct Authority im Vereinigten Königreich von Unternehmen, nachzuweisen, dass sie im Jahr 2025 die Auswirkungstoleranzen einhalten können.

Diese Tabelle bietet einen strukturierten Fahrplan für die Umsetzung jeder Säule mit klaren Meilensteinen und Validierungskriterien.

Das Verständnis des Unterschieds zwischen Kennzahlen und KPIs ist für ein effektives Resilienzmanagement von entscheidender Bedeutung. Kennzahlen stellen Rohdaten dar, die bestimmte Aspekte Ihrer Betriebsabläufe messen, während KPIs ausgewählte Leistungsindikatoren sind, die in direktem Zusammenhang mit strategischen Resilienz-Zielen und regulatorischen Anforderungen stehen.

Wichtige Resilienz-Kennzahlen, die es zu verfolgen gilt

Die folgenden Kennzahlen bilden die Grundlage für die quantitative Messung der Ausfallsicherheit und ermöglichen eine datengestützte Entscheidungsfindung:

• Zeit bis zur Erkennung (Time to Detect, TTD): Misst die Geschwindigkeit, mit der Ihre Systeme Anomalien oder Sicherheitsvorfälle identifizieren. Bei einer weltweiten durchschnittlichen Verweildauer von 11 Tagen können Unternehmen, die die TTD verkürzen, potenzielle Schäden und die Komplexität der Recovery erheblich begrenzen.
• Mean Time to Clean Recovery (MTCR): Stellt die tatsächlich benötigte Zeit dar, um Dienste in einen verifizierten, sauberen Zustand wiederherzustellen, und hilft dabei, sicherzustellen, dass sie frei von bekannter Malware oder Datenbeschädigungen sind. Diese Kennzahl geht über eine einfache Recovery hinaus; sie bestätigt, dass die wiederhergestellten Systeme vertrauenswürdig sind. Unternehmen berichten jedoch, dass eine saubere Recovery oft länger dauert.
• Recovery-Erfolgsrate: Erfasst den Prozentsatz der Recovery-Tests, die Ihre definierten Ziele hinsichtlich der Auswirkungstoleranz erfüllen. Da nur 13 % der Unternehmen ihre Daten nach einem Ransomware-Angriff vollständig wiederherstellen können, verdeutlicht diese Kennzahl die Kluft zwischen Wiederherstellungsversuchen und erfolgreichen Ergebnissen.
• Drift-/Lückenanalyse: Quantifiziert, inwieweit Ihr aktueller CBS-Zustand von den gewünschten Resilienzniveaus abweicht. Dazu gehören Lücken in der Kontrollabdeckung, wie z. B. Dienste, für die keine unveränderlichen Backups oder getestete Runbooks vorliegen.

Vorstandsmitglieder und Aufsichtsbehörden konzentrieren sich in erster Linie auf eine entscheidende Frage: Kann das Unternehmen bei Störungen seine Dienste innerhalb definierter Ausfalltoleranzen aufrechterhalten? Dieser zentrale Fokus bestimmt Struktur und Inhalt einer effektiven Berichterstattung zur operativen Resilienz.

Die Berichterstattung zur Ausfalltoleranz muss eindeutige Belege dafür liefern, dass Sie in der Lage sind, kritische Geschäftsfunktionen (CBS) aufrechtzuerhalten. Ein effektiver Bericht zur operativen Resilienz enthält drei wesentliche Abschnitte, die einen umfassenden Einblick in die Readiness Ihrer Organisation bieten:

1. Übersicht über den CBS-Status: Dieser Abschnitt bietet eine klare visuelle Darstellung der aktuellen Position jedes kritischen Dienstes im Verhältnis zu seiner Toleranzschwelle. Verwenden Sie Ampelsymbole (rot/gelb/grün), um anzuzeigen, ob Dienste innerhalb der Toleranzgrenzen operieren, sich den Grenzwerten nähern oder akzeptable Grenzen überschreiten.
2. Nachweise zur Testabsicherung: Dokumentieren Sie, dass alle Wiederherstellungspläne regelmäßig durch automatisierte Tests validiert werden. Fügen Sie Kennzahlen wie die Erfolgsraten von Commvault Cleanroom, die Testhäufigkeit und die erreichten Wiederherstellungszeiten hinzu. Diese Nachweise belegen nicht nur theoretische Fähigkeiten, sondern auch nachgewiesene Leistung.
3. Maßnahmenplan zur Behebung: Präsentieren Sie eine nach Prioritäten geordnete Zusammenfassung der identifizierten Risiken und Ressourcenanforderungen, um Resilienzlücken zu schließen. Konzentrieren Sie sich auf Verbesserungen mit hoher Wirkung, die sich direkt auf die Einhaltung der CBS-Toleranzgrenzen auswirken, und legen Sie dabei klare Zeitpläne und Zuständigkeiten fest.

ResOps wandelt fragmentierte Daten in einheitliche Erkenntnisse um, die zu messbaren Verbesserungen der organisatorischen Resilienz führen. Durch den Abbau traditioneller Silos zwischen Sicherheits-, IT-Betriebs- und Geschäftskontinuitätsteams schafft ResOps einen umfassenden Überblick über den Resilienzstatus.

Einheitliche Datenquelle

ResOps konsolidiert Kennzahlen aus verschiedenen Systemen zu einer einzigen zuverlässigen Informationsquelle. Diese Integration löst das Problem, dass laut 77 % der Unternehmen die mangelnde Integration von Tools die Erkennung von Bedrohungen behindert. Durch das Abrufen von Daten aus Backup-Systemen, Identitätsmanagementsystemen, Sicherheitstools und Plattformen zur Koordinierung der Recovery bietet ResOps vollständige Transparenz hinsichtlich der Readiness.

Automatisierte Sicherstellung

Kontinuierliche automatisierte Tests durch Funktionen wie „Commvault Cleanroom“ liefern verifizierte MTCR-Daten, die einer behördlichen Überprüfung standhalten. Diese Automatisierung verwandelt das Testen von periodischen Übungen in eine fortlaufende Validierung, wobei einige Unternehmen nun in der Lage sind, die Recovery auf Wunsch monatlich zu testen.

Die Automatisierung vereinfacht zudem komplexe technische Daten zu für Führungskräfte aufbereiteten Erkenntnissen. Anstatt rohe Recovery-Protokolle zu präsentieren, erstellen ResOps-Plattformen übersichtliche Berichte, die aufzeigen, ob jedes CBS innerhalb der definierten Toleranz wiederhergestellt werden kann – gestützt durch zeitgestempelte Nachweise aus tatsächlichen Tests.

Berichtsstrategien für Ausfallsicherheit

Die Erstellung effektiver Resilienzberichte erfordert die Anpassung von Inhalt und Darstellung an die jeweilige Zielgruppe bei gleichzeitiger Wahrung der Konsistenz der zugrunde liegenden Daten. Dashboards für die Führungsetage müssen ein Gleichgewicht zwischen umfassender Abdeckung und Klarheit herstellen und umsetzbare Erkenntnisse liefern, ohne mit zu vielen Details zu überfrachten.

Verschiedene Interessengruppen benötigen unterschiedliche Perspektiven auf Resilienzdaten. Führungskräfte der obersten Ebene benötigen Trendanalysen und Zusammenfassungen der Risikoexposition; Auditoren benötigen detaillierte Nachweise und Compliance-Zuordnungen; Geschäftsbereiche wünschen sich dienstleistungsspezifische Recovery-Fähigkeiten und Abhängigkeiten.

Eine einheitliche Kommunikation fördert die Verantwortlichkeit im gesamten Unternehmen. Regelmäßige Berichtszyklen, standardisierte Kennzahlen und klare Zuständigkeitszuweisungen schaffen eine Kultur, in der Resilienz zur Verantwortung aller wird und nicht nur in den Zuständigkeitsbereich der IT fällt.

Aufbau eines Dashboards für die Geschäftsleitung

Das folgende Rahmenwerk umreißt die wesentlichen Komponenten eines umfassenden Dashboards für die Geschäftsleitung mit angemessenen Aktualisierungsintervallen:

Der Aufbau von Widerstandsfähigkeit erfordert systematische Ansätze, die proaktive Planung, regelmäßige Überprüfung und kontinuierliche Verbesserung auf der Grundlage von Erfahrungen aus der Praxis miteinander verbinden.

Tabletop-Übungen sind nach wie vor von grundlegender Bedeutung, um Reaktionsabläufe zu testen, ohne den Betrieb zu stören. Diese Simulationen sollten aktuelle Bedrohungsinformationen widerspiegeln, wobei die Szenarien auf tatsächlichen Vorfällen basieren sollten, von denen vergleichbare Organisationen betroffen waren. Beziehen Sie Dritte mit ein, da zwei Drittel der öffentlich gemeldeten Ausfälle auf Fehler von Drittanbietern zurückzuführen sind.

Nachbesprechungen nach Vorfällen verwandeln Ausfälle in Lernmöglichkeiten. Organisationen müssen über Schuldzuweisungen hinausgehen, um systemische Probleme zu verstehen; 85 % der größeren Ausfälle aufgrund menschlicher Fehler resultieren daraus, dass Mitarbeiter Verfahren nicht befolgen oder dass Prozesse Mängel aufweisen.

Leitfaden zur Umsetzung von Maßnahmen zur Stärkung der Resilienz

Dieser Leitfaden bietet einen strukturierten Ansatz zum Aufbau und zur Aufrechterhaltung von Resilienzfähigkeiten mit klaren Zuständigkeiten und Erfolgskriterien.

Ein weltweit tätiges Logistikunternehmen mit über 200 Standorten musste erfahren, dass operative Resilienz keine reine Theorie ist, als Ransomware seine Produktionsdaten und Backup-Infrastruktur verschlüsselte. Der Angriff führte dazu, dass Lkw stehen blieben und Kunden warten mussten, doch dank strategischer Entscheidungen, die bereits Monate zuvor getroffen worden waren, gelang die Recovery mindestens zwei Wochen schneller, als es sonst möglich gewesen wäre.

Der leitende Systemingenieur des Unternehmens blickt auf diese Erfahrung zurück: „Rechnen Sie mit einem Sicherheitsverstoß. Die Frage ist nicht ‚ob‘, sondern ‚wann‘.“

Die Herausforderung: Fragmentierter Schutz trifft auf einen echten Angriff

Aufgrund häufiger Übernahmen musste das IT-Team mehrere Datensicherungslösungen in seiner Hybrid-Cloud-Infrastruktur verwalten, zu der Microsoft 365, SQL, Oracle, Sybase, OneDrive, SharePoint, Active Directory, Dateiserver und virtuelle Maschinen gehörten. Das Unternehmen hatte begonnen, seine Systeme weltweit mit Commvault Cloud zu konsolidieren, was die Verwaltung und Recovery vereinfachen kann.

Als der Ransomware-Angriff zuschlug, verschlüsselte er alle Produktionsdaten und legte CommServe sowie die MediaAgents lahm. Die Angreifer hatten sowohl die Primärsysteme als auch die Backups kompromittiert. Eine entscheidende Entscheidung erwies sich jedoch als lebenswichtig: Das Unternehmen hatte eine Disaster-Recovery-Sicherungskopie seines CommServe in der Commvault Cloud gespeichert – getrennt von seiner lokalen Infrastruktur –, was die Wiederherstellungsbemühungen unterstützte.

Die Reaktion: Critical System Recovery innerhalb von 72 Stunden

Das IT-Team wandte sich umgehend an den Commvault-Support und das rund um die Uhr verfügbare Incident-Response-Team. Der Support stellte zunächst die CommServe-Datenbank aus der Commvault Cloud wieder her, sodass das Team seinen lokalen Server und drei MediaAgents neu einrichten konnte. Anschließend übernahm das Incident-Response-Team und arbeitete eine nach geschäftlichen Auswirkungen priorisierte Liste von Anwendungen ab.

„Wir hatten ein ganzes Team von Commvault-Ingenieuren, die unser Team Tag und Nacht bei der Wiederherstellung unserer Systeme unterstützten“, sagte der leitende Systemingenieur. „Sie gingen auf unsere Prioritäten ein und berieten uns hinsichtlich bewährter Verfahren für eine schnellere Wiederherstellung. Das war echte Zusammenarbeit.“

Die kritischsten Systeme waren innerhalb von 72 Stunden nach Einsatz des Incident-Response-Teams wieder online. Die übrigen Produktionssysteme wurden innerhalb einer Woche wiederhergestellt, sodass die Lieferungen wieder aufgenommen werden konnten und die Beeinträchtigungen für Einzelhandelskunden und Endkunden auf ein Minimum reduziert wurden.

Die Auswirkungen: Quantifizierter Wert der Recovery

Der Leiter der IT-Infrastruktur und des IT-Betriebs schätzt, dass sich die Ausfallzeit ohne die Reaktion von Commvault um mindestens zwei Wochen verlängert hätte. Das Unternehmen vermied Lösegeldzahlungen und hielt den Betrieb aufrecht, wodurch sowohl der Umsatz als auch die Kundenbeziehungen geschützt wurden.

Dieser reale Vorfall bestätigt die zuvor erörterten Resilienz-Kennzahlen. Der MTCR des Unternehmens für kritische Systeme betrug 72 Stunden und lag damit deutlich unter dem Wert bei Ransomware-Angriffen.

Umsetzte Erkenntnisse: Stärkung der zukünftigen Ausfallsicherheit

Nach dem Vorfall führte das Unternehmen auf der Grundlage der gewonnenen Erkenntnisse mehrere Verbesserungen ein. Es dokumentierte einen umfassenden Recovery-Plan, erweiterte die Sicherungskopien auf die Cloud und verschiedene Medien und überprüfte den Abschluss der Sicherungen durch gründliche Tests.

Das Logistikunternehmen hat seitdem weltweit auf Commvault standardisiert und Commvault Grid für leistungsstarke Prozesse des Backup and Recovery, verbesserten Ransomware-Schutz sowie größere Skalierbarkeit eingeführt. Zudem wurden Remote Managed Services für die Überwachung rund um die Uhr, Fehlerbehebung sowie jährliche Zustands- und Sicherheitsanalysen hinzugefügt.

„Commvault Cloud ist nun weltweit unsere Lösung für Cyber-Resilienz“, sagte der Leiter der IT-Infrastruktur und des IT-Betriebs. „Als es zu einem Sicherheitsvorfall kam, hat sich Commvault mit Bravour bewährt und mein Vertrauen in das Unternehmen gefestigt. Sie sind ein echter Partner, kein bloßer Anbieter.“

Die Datensicherungsplattform von Commvault unterstützt Unternehmen dabei, die Herausforderungen bei der Messung, Berichterstattung und Verbesserung zu bewältigen, denen sie beim Aufbau betrieblicher Ausfallsicherheit gegenüberstehen. Die einheitliche Architektur der Plattform trägt dazu bei, die Fragmentierung zu verringern, die die Bemühungen um Ausfallsicherheit behindert, und sorgt so für Transparenz und Kontrolle in hybriden Umgebungen.

Automatisierte Backup-Features tragen dazu bei, menschliche Fehler zu reduzieren und gleichzeitig die Konsistenz über eine vielfältige Infrastruktur hinweg zu gewährleisten. Dank integrierter Validierungs- und Test-Features können Unternehmen darauf vertrauen, dass die Recovery im Bedarfsfall erfolgreich verläuft. Die Fähigkeit der Plattform, 50 bis über 100 Schritte bei komplexen Recoverys wie der Recovery einer gesamten Active-Directory-Struktur zu automatisieren, trägt dazu bei, mehrtägige manuelle Prozesse in eine koordinierte Recovery innerhalb weniger Stunden umzuwandeln.

Features zur Cloud-Portabilität ermöglichen es Unternehmen, ihre Ausfallsicherheit auch in sich verändernden Infrastrukturlandschaften aufrechtzuerhalten. Ob beim Schutz von SaaS-Anwendungen, cloud-nativen Workloads oder traditionellen On-Premises-Systemen – Commvault ist darauf ausgelegt, konsistente Schutz- und Recovery-Features bereitzustellen, die sich an die geschäftlichen Anforderungen anpassen.

Commvault-Leistungs-Scorecard

Diese Scorecard beschreibt die wichtigsten Leistungsziele und Validierungsmethoden für die zentralen Ausfallsicherheitsfunktionen von Commvault.

Die Messung und Berichterstattung der operativen Resilienz verwandelt abstrakte Konzepte in umsetzbare Erkenntnisse, die Vorstände, Aufsichtsbehörden und operative Teams nutzen können, um fundierte Entscheidungen zu treffen. Die Unternehmen, die von Disruptionen profitieren, sind diejenigen, die Resilienz als kontinuierliche Disziplin betrachten und nicht als einmaliges Projekt.