Jahrelang fiel die Post-Quanten-Kryptografie (PQC) in die Kategorie „wichtig, aber nicht dringend“.

Sicherheitsverantwortliche wussten, dass sie kommen würde. Forscher sprachen darüber. Normungsgremien arbeiteten daran. Die meisten Unternehmen räumten ein, dass man sich irgendwann damit befassen müsse. Ich würde jedoch behaupten, dass es jetzt an der Zeit ist, mit den Vorbereitungen zu beginnen.

In dieser Folge von STRIVE habe ich mich mit Michael Fasulo, Senior Director of Portfolio Marketing, unterhalten, um zu erörtern, warum sich die Diskussion um PQC so schnell verändert – und warum Unternehmen, die auf Gewissheit warten, möglicherweise feststellen werden, dass ihnen die Zeit davonläuft. Die ganze Folge ansehen.

Die wichtigsten Erkenntnisse

• „Harvest Now, Decrypt Later“-Angriffe bedeuten, dass sensible Daten bereits ein Risiko darstellen, auch wenn Quantenfähigkeiten noch nicht stabil oder kommerziell nutzbar sind.
• Die meisten Unternehmen haben keinen vollständigen Überblick über ihren Kryptografie-Bestand, was die Erfassung zur ersten großen Hürde macht.
• Bei PQC geht es ebenso sehr um die Bewältigung einer technologischen Herausforderung wie um die Priorisierung von Risiken.
• Unternehmen, die sich jetzt vorbereiten, haben mehr Möglichkeiten, ihre Prioritäten anzupassen, als solche, die später reagieren müssen.

Das Problem ist nicht die Technologie

Die meisten Diskussionen über Post-Quanten-Kryptografie beginnen mit der Technologie.

• Wie schnell schreitet die Entwicklung des Quantencomputings voran?
• Wann werden kryptografisch relevante Quantensysteme praxistauglich sein?
• Welche Algorithmen werden sich langfristig wahrscheinlich durchsetzen?

Das sind wichtige Fragen. Aber es sind nicht die Fragen, die ich als vorrangig betrachten würde. Michael hat letztes Jahr einen Blogbeitrag über PQC geschrieben, und wir haben heute darüber gesprochen, wie sich seitdem einiges geändert hat.

In den letzten Jahren haben sich die Einschätzungen konsequent in eine Richtung entwickelt: Was einst fern schien, rückt nun immer näher. Gleichzeitig entwickeln sich Standards weiter, die regulatorischen Erwartungen steigen, und Unternehmen beginnen zu erkennen, wie viel „kryptografische Schulden“ sie über die Jahrzehnte hinweg angehäuft haben.

Das genaue Datum des „Q-Day“ mag ungewiss bleiben. Die Richtung, in die es geht, ist es jedoch nicht.

The Risk is here and now

Ein Grund, warum diese Diskussion an Dringlichkeit gewonnen hat, ist die wachsende Aufmerksamkeit für „Harvest Now, Decrypt Later“-Angriffe. Das Konzept ist einfach: Ein Angreifer verschafft sich heute Zugriff auf verschlüsselte Informationen, speichert sie und wartet darauf, dass zukünftige Technologien diese Informationen lesbar machen.

Wichtig ist dabei, dass das Risiko nicht erst mit dem Aufkommen des Quantencomputings beginnt. Das Risiko beginnt bereits, wenn selbst verschlüsselte Daten abgezogen und gespeichert werden.

Für Organisationen, die geistiges Eigentum, Gesundheitsdaten, Regierungsinformationen oder andere sensible, langfristig aufzubewahrende Daten schützen, verändert diese Unterscheidung alles.

Organisationen müssen wissen, ob die heute aufbewahrten Daten in dieser Zukunft noch von Bedeutung sein werden.

Für viele, insbesondere in stark regulierten Branchen und im Bereich kritischer Infrastrukturen, lautet die Antwort „Ja“.

Vorschau: Warum Krypto-Agilität wichtig ist

Clip hier einbetten: https://www.youtube.com/watch?v=A3YWU5rlmGA

In diesem Clip erklärt Michael, warum PQC keine einmalige Lösung oder Umstellung ist. Das eigentliche Ziel ist Krypto-Agilität – die Schaffung der Flexibilität, kryptografische Algorithmen anzupassen, während sich Standards und Bedrohungen weiterentwickeln. Denn in der Cybersicherheit besteht die Herausforderung nicht nur darin, sich auf das vorzubereiten, was als Nächstes kommt. Es geht darum, bereit zu sein für das, was danach kommt.

Die Erforschung ist das eigentliche Projekt

Ein Missverständnis bezüglich PQC ist, dass es sich in erster Linie um ein Verschlüsselungs-Upgrade handelt. In Wirklichkeit haben die meisten Unternehmen noch nicht das Stadium erreicht, in dem der Austausch das größte Problem darstellt.

Sie versuchen immer noch, den Umfang des Problems zu erfassen. Kryptografie ist überall präsent.

• Anwendungen
• Zertifikate
• Cloud Service
• APIs
• Code-Signierung
• Plattformen von Drittanbietern

Viele Unternehmen haben Schwierigkeiten bei der Erstellung des kryptografischen Bestandsverzeichnisses oder der Festlegung seines Umfangs. Daher ist die Bestandsaufnahme einer der wichtigsten – und oft unterschätzten – Schritte auf diesem Weg.

Und für viele Unternehmen ist dies ein weitaus größeres Unterfangen als erwartet.

Die Herausforderung der Lieferkette

Ein weiterer Grund, warum PQC zur Priorität geworden ist, liegt darin, dass kein Unternehmen diesen Wandel alleine bewältigen kann. Moderne Unternehmen sind auf Lieferanten, Cloud-Anbieter, Softwarepartner und unzählige Dritte angewiesen, die alle Kryptografie einsetzen.

Das bedeutet, dass die Quantenreadiness über interne Systeme hinausgeht. Es wird zu einer Frage der Readiness des gesamten Ökosystems.

• Bereiten sich die Lieferanten vor?
• Planen wichtige Anbieter Migrationen?
• Sind Plattformen von Drittanbietern auf neue Standards abgestimmt?

Diese Fragen werden zunehmend Teil von Risikogesprächen, Beschaffungsdiskussionen und der langfristigen Technologieplanung sein. Denn Kryptografie macht nicht an Unternehmensgrenzen Halt. Genauso wenig wie Risiken.

Warum dieses Gespräch wichtig ist

Die wichtigste Erkenntnis aus dieser Diskussion ist, dass Post-Quanten-Kryptografie keine technologische Herausforderung der Zukunft mehr ist.

Sie wird zunehmend zu einem aktuellen Thema der Resilienz.

Unternehmen müssen nicht in Panik geraten und sie müssen nicht jedes System über Nacht umstellen. Aber sie müssen damit beginnen, die ihnen zur Verfügung stehende Zeit für die Vorbereitung bestmöglich zu nutzen.

Die Organisationen, die diesen Übergang erfolgreich meistern, werden nicht unbedingt diejenigen sein, die über die ausgefeilteste Kryptografie verfügen. Es werden diejenigen sein, die bereits damit begonnen haben, sich ein Verständnis anzueignen, bevor Gewissheit herrschte.

Und genau so funktioniert Resilienz oft.

Die ganze Folge ansehen

Michael und ich gehen in der Folge noch auf viele weitere Themen ein, die ich oben nicht erwähnt habe. Sehen Sie sich die Folge unbedingt jetzt an, um Einblicke zu erhalten in:

• Die größten Herausforderungen, denen Unternehmen zu Beginn ihrer PQC-Reise gegenüberstehen.
• Was Führungskräfte heute priorisieren sollten, einschließlich einiger Best Practices.
• Das Verständnis von MLKEM-Algorithmen und Krypto-Agilität.
• Infrastrukturaspekte für PQC.
• Wie sich Commvault auf diese Zukunft vorbereitet.

FAQs

F: Was ist Post-Quanten-Kryptografie (PQC)?
A: PQC bezeichnet kryptografische Algorithmen, die darauf ausgelegt sind, auch vor Angriffen zukünftiger Quantencomputer Schutz zu bieten.

F: Was bedeutet „Harvest Now, Decrypt Later“?
A: Dabei handelt es sich um eine Strategie, bei der Angreifer heute verschlüsselte Daten sammeln, um sie später zu entschlüsseln, sobald leistungsfähigere Rechenkapazitäten zur Verfügung stehen.

F: Warum konzentrieren sich Unternehmen gerade jetzt auf PQC?
A: Weil die Vorbereitung Jahre dauert und sensible Daten, die heute erfasst werden, möglicherweise noch immer wertvoll sind, wenn Quantenbedrohungen Realität werden.

F: Was ist die größte Herausforderung für Unternehmen?
A: Die Erfassung. Die meisten Unternehmen haben keinen vollständigen Überblick darüber, wo in ihren Umgebungen Kryptografie zum Einsatz kommt.

F: Müssen Unternehmen die gesamte Kryptografie sofort ersetzen? A: Nein. Die meisten Experten empfehlen, zunächst eine Bestandsaufnahme, Erfassung und Priorisierung durchzuführen, bevor umfassendere Migrationen geplant werden. F: Was sollten Führungskräfte als Erstes tun? A: Langlebige sensible Daten identifizieren, kryptografische Abhängigkeiten verstehen und mit der Erstellung einer Roadmap für den zukünftigen Übergang beginnen. Vidya Shankaran ist Field CTO bei Commvault.

Um die Vorschriften hinsichtlich des Speicherorts und der Nutzung ihrer Daten zu erfüllen, glauben viele Unternehmen, sie könnten einfach eine „Sovereign Cloud“-SKU von einem Hyperscaler erwerben und damit die Anforderungen abhaken. Doch dies reicht bei weitem nicht aus – was sie möglicherweise erst dann erkennen, wenn eine Aufsichtsbehörde von ihnen verlangt, nachzuweisen, dass ein Datensatz eine definierte geografische Region nie verlassen hat, dass kein Mitarbeiter aus einer ausländischen Rechtsordnung darauf zugegriffen hat und dass sie ihn im Falle eines Vorfalls innerhalb von 24 Stunden wiederherstellen können.

In einem kürzlich abgehaltenen Webinar habe ich gemeinsam mit Alex Zinin, General Manager bei Commvault und Leiter unserer Task Force für digitale Souveränität, sowie Jakub Lewandowski, unserem Associate General Counsel für EMEA, und Pranay Ahlawat, unserem Chief Technology and AI Officer, untersucht, was ein umfassender Ansatz zur digitalen Souveränität beinhalten muss und wo die meisten Programme Defizite aufweisen.

Sehen Sie sich das vollständige Webinar an und erhalten Sie den vollständigen „Digital Sovereignty Decoded“-Bericht zur Readiness sowie das Implementierungs-Framework.

Die wichtigsten Erkenntnisse

• Das EU-Rahmenwerk zur Cloud-Souveränität definiert acht Souveränitätsziele, von denen sich nur eines auf den Datenstandort bezieht.
• Die Auswahl einer souveränen Cloud-Region regelt zwar, wo sich Daten befinden, aber nicht, wer darauf zugreifen darf, unter welcher rechtlichen Grundlage oder ob Sie diese unter realen Bedingungen wiederherstellen können.
• Eine umfassende Souveränitätsstrategie stützt sich auf vier miteinander verknüpfte Säulen: Datenlokalität, technologische Souveränität, operative Souveränität und rechtliche Souveränität.
• Souveränitätsprogramme, die die Recovery-Architektur getrennt von der primären Daten-Governance behandeln, bergen ein unberücksichtigtes Risk, das bei Vorfällen zutage treten kann.
• Anstelle einer Politik der maximalen Souveränität um jeden Preis sollten Unternehmen ihre Strategie auf eine „Minimum Viable Sovereignty“ ausrichten: die richtigen Kontrollen, konsequent durchgesetzt und auf die tatsächlichen Verpflichtungen abgestimmt.

Digitale Souveränität wird zu einer unternehmerischen Anforderung

In den letzten zehn Jahren galten die strengsten Vorschriften zur digitalen und datenbezogenen Souveränität hauptsächlich für Regierungs-, Verteidigungs- und andere Arbeitsbereiche der nationalen Sicherheit. Außerhalb stark regulierter Sektoren behandelten viele Unternehmen Souveränitätsprinzipien eher als Gestaltungsrichtlinien denn als strenge architektonische Vorgaben.

Das ändert sich nun. Die Durchsetzung der DSGVO hat sich von bloßen Leitlinien zu erheblichen Geldbußen bei Betriebsausfällen weiterentwickelt, und neuere Regelungen wie DORA, NIS2, die deutschen KRITIS-Vorschriften und der EU-Datenschutzgesetzentwurf haben die Erwartungen hinsichtlich der gerichtlichen Kontrolle und der operativen Resilienz verschärft.

Souveränitätsfragen tauchen nun auch in Ausschreibungen, bei der Due-Diligence-Prüfung im Rahmen von Fusionen und Übernahmen sowie bei Risikoprüfungen auf Vorstandsebene auf.

Das im Oktober 2025 veröffentlichte EU-Rahmenwerk zur Cloud-Souveränität verdeutlicht, worauf sich diese Prüfung tatsächlich bezieht. Von den acht Souveränitätszielen befasst sich nur eines mit dem Speicherort der Daten. Die anderen sieben betreffen Zugriffskontrolle, betriebliche Abhängigkeiten, rechtliche Risiken und Recovery.

Für Unternehmen ist diese Struktur nun der Maßstab, anhand dessen die Fähigkeiten der Anbieter bewertet werden müssen.

Vorschau: Souveränität und Resilienz neu denken

In diesem Ausschnitt aus dem Webinar erläutert Jakub, dass Souveränität eher eine Risikohaltung als ein einzelnes Produkt ist. Unternehmen benötigen eine ganzheitliche Strategie, die Architektur, Betrieb, Governance, Überprüfbarkeit und Recovery-Planung kombiniert, um diesem Thema gerecht zu werden.

Datenstandort ist nicht gleichbedeutend mit Souveränität

Der Datenstandort beantwortet lediglich die Frage nach dem „Wo“. Vorschriften zur Souveränität erfordern zudem die Fähigkeit, zu erklären, wer, wie und unter welchen Bedingungen.

In der Praxis umfasst eine vollständige Souveränitätsstrategie vier miteinander verflochtene Säulen.

1. Datenlokalität

Diese Säule umfasst nicht nur, wo Daten gespeichert werden, sondern auch, wohin sie übertragen werden. Artefakte der Steuerungsebene, Metadaten und Telemetriedaten können geografische Grenzen überschreiten, selbst wenn die Primärdaten in der Region verbleiben.

2. Technologische Souveränität

Diese Säule befasst sich mit der Frage, ob die Organisation die Mechanismen zum Schutz der Daten kontrolliert:

• Wie der Zugriff gewährt wird.
• Wie Daten verschlüsselt werden.
• Ob die Verwahrung der Verschlüsselungsschlüssel unter allen Umständen gewährleistet ist.

Ein Schlüsselkonzept (im wahrsten Sinne des Wortes) ist hier die Unterscheidung zwischen „Bring Your Own Key“ (BYOK), bei dem die eigenen Verschlüsselungsschlüssel einer Organisation innerhalb der Plattform des Anbieters verwaltet werden, und „Hold Your Own Key“ (HYOK), bei dem die Organisation die unabhängige Verwahrung der Schlüssel vollständig außerhalb der Umgebung des Anbieters behält.

Für regulierte Organisationen mit strengen Souveränitätsanforderungen bietet BYOK möglicherweise keinen ausreichenden Schutz, wenn eine ausländische Justizbehörde den Anbieter unter bestimmten Umständen dazu zwingen kann, den Zugriff auf die Schlüssel preiszugeben.

3. Operative Souveränität

Dies umfasst die Frage, wer die Umgebung betreibt und von wo aus, einschließlich der Frage, ob Support-Mitarbeiter oder Drittanbieter einer ausländischen Gerichtsbarkeit unterliegen.

4. Jurisdiktionelle Souveränität

Diese letzte Säule legt den rechtlichen Rahmen fest, unter dem Dienste erbracht werden, und bestimmt, ob es ausdrückliche Schutzmaßnahmen gegen extraterritorialen Zugriff gibt, wie beispielsweise die im US-amerikanischen CLOUD Act behandelten grenzüberschreitenden Situationen.

Jede dieser Säulen ist für die Einhaltung der Vorschriften unerlässlich. Eine starke Datenlokalisierungsstrategie bei gleichzeitig schwachen betrieblichen Kontrollen kann ungeprüfte Risiken zulassen.

Wo Programme zur digitalen Souveränität scheitern

Meine Erfahrungen in diesem Bereich haben ein wiederkehrendes Muster aufgezeigt: Wenn Souveränität zu einer technischen Diskussion wird, wird sie allzu schnell zu eng gefasst. In Workshops wird der Fokus darauf gelegt, wo sich Daten befinden, Teams beschäftigen sich mit dieser einen Frage und wenden sich dann anderen Themen zu, wobei die anderen drei Säulen weitgehend unberücksichtigt bleiben.

Auch strukturelle Probleme spielen eine Rolle. Digitale Souveränität muss als fortlaufendes Programm mit rechtlichen, technischen und operativen Akteuren behandelt werden, nicht als IT-Projekt, das nach Abschluss abgehakt wird.

Unternehmen können zudem durch einige Mythen in die Irre geführt werden. Einer davon ist, wie bereits besprochen, der Eindruck, dass Souveränität gleichbedeutend mit Datenstandort ist.

Dann gibt es den Mythos der absoluten Souveränität – die Vorstellung, man könne vollständige Unabhängigkeit von allen externen Rechtsordnungen und Abhängigkeiten erreichen. In der Praxis bedeutet Souveränität immer einen Kompromiss zwischen Kontrolle, Kosten, technologischer Geschwindigkeit und Innovationsfähigkeit.

Das Ziel sollte sein, das richtige Gleichgewicht zwischen Unabhängigkeit von ausländischen Rechtsordnungen und den Anforderungen Ihres Unternehmens zu finden. Es ist außerdem wichtig zu verstehen, dass Souveränität kein Produkt ist, das man kaufen kann, sondern eine Risikostrategie, die sich aus Architektur, Betriebsabläufen, Verträgen, Zertifizierungen und kontinuierlicher Überprüfbarkeit zusammensetzt.

Resilienz gehört in den Rahmen der Souveränität

Operative Souveränität ist die am schwersten zu prüfende Säule und wird am häufigsten unterschätzt. Wenn Ihre Umgebung heute Abend für routinemäßige Wartungsarbeiten Zugriff benötigen würde – wer würde diese durchführen, aus welchem Land und unter welcher rechtlichen Zuständigkeit? Die meisten Organisationen stellen bei ihrer ersten Auseinandersetzung mit dieser Frage fest, dass es mindestens einen Versorgungsweg gibt, der eine Zuständigkeitsgrenze überschreitet, die sie bisher nicht erfasst hatten.

Diese Lücke wird bei der Recovery besonders folgenschwer. Die meisten Souveränitätsprogramme regeln primäre Datenumgebungen, behandeln jedoch Backup-Infrastruktur, Wiederherstellungsabläufe und das Management von Wiederherstellungspunkten unter separaten – und oft schwächeren – Kontrollmechanismen. Wenn ein Vorfall eintritt, erfüllen die für die Recovery zuständigen Mitarbeiter möglicherweise nicht die rechtlichen Anforderungen, und die zum Schutz der Daten konzipierte souveräne Architektur kann die Recovery aktiv erschweren, wenn die Resilienz nicht von Anfang an mit einbezogen wurde.

Das Resilienz-Betriebsmodell von Commvault, ResOps™, geht direkt auf diesen Bedarf ein, indem es Recovery als fortlaufende betriebliche Disziplin betrachtet, die innerhalb derselben Souveränitätsgrenze wie die zu schützenden Daten konzipiert, getestet und validiert werden muss.

Minimal erforderliche Souveränität: Das richtige Maß an Kontrolle, nicht das Maximum

Ein absolutistischer Ansatz in Bezug auf digitale Souveränität kann Ressourcen belasten und gleichzeitig die Fähigkeit eines Unternehmens, seine Geschäftsziele zu erreichen, unnötig einschränken.

Ein Lohnabrechnungssystem, eine Kundentransaktionsdatenbank und ein internes HR-Tool unterliegen nicht denselben Souveränitätsverpflichtungen. Ein binärer Ansatz bei der Compliance kann dazu führen, dass entweder dort zu wenig investiert wird, wo es darauf ankommt, oder dass über das tatsächlich Erforderliche hinaus investiert wird.

Die „Minimum Viable Sovereignty“ setzt ein praktischeres Ziel: die richtigen Kontrollen, die konsequent durchgesetzt und kontinuierlich nachgewiesen werden und auf die tatsächlichen Anforderungen der jeweiligen Workloads in allen vier Säulen abgestimmt sind.

Unternehmen verfügen über eine breite Palette von Optionen, wie souveräne Kontrollen in ihrer gesamten Umgebung umgesetzt werden können, wobei jede Option unterschiedliche Kontrollen bietet.

Wie Commvault das Thema digitale Souveränität angeht

Das „Geo Shield“-Framework von Commvault soll Unternehmen dabei helfen, sich in diesem Spektrum zurechtzufinden. Anstatt eine einzige souveräne SKU anzubieten, deckt Geo Shield das gesamte Spektrum an Bereitstellungsmodellen ab:

• Regionale souveräne Cloud-Dienste, die als SaaS bereitgestellt werden
• Partnerschaften mit Hyperscalern zur Einführung souveräner Lösungen
• Von Partnern betriebene nationale souveräne Angebote, die gemeinsam mit lokalen Dienstleistern aufgebaut wurden
• Vollständig vom Kunden kontrollierte private souveräne Umgebungen, die den Anforderungen von Rahmenwerken wie FedRAMP High entsprechen.

Auf diese Weise können Unternehmen eine digitale Souveränitätsstrategie erreichen, die sich unter realen Bedingungen bewährt – selbst wenn ein Vorfall eintritt.

Sehen Sie sich das vollständige Webinar an und laden Sie den Readiness-Bericht herunter

Im vollständigen Webinar, das auf Abruf verfügbar ist, erfahren Sie:

• Warum digitale Souveränität mehr ist als eine technologische Lösung.
• Welche Rolle Architektur und Betrieb in der Souveränitätsstrategie spielen.
• Wie sich Governance, Verträge und Nachprüfbarkeit auf die Resilienz auswirken.
• Warum Souveränität auch bei Cybervorfällen und Ausfällen gewahrt bleiben muss.
• Die Bedeutung eines ganzheitlichen, risikobasierten Ansatzes für Souveränität.

Sehen Sie sich das Webinar an und erhalten Sie den vollständigen „Digital Sovereignty Decoded“-Readiness-Bericht sowie das dazugehörige Rahmenwerk.

FAQs

F: Was ist der Unterschied zwischen Datenaufbewahrungsort und digitaler Souveränität?

A: Bei der Datenresidenz geht es darum, wo Daten physisch gespeichert sind. Digitale Souveränität ist weiter gefasst: Sie befasst sich damit, wer unter welcher rechtlichen Befugnis und über welche operativen Wege auf Daten zugreifen darf und ob diese unter realen Bedingungen einwandfrei wiederhergestellt werden können.

Eine Organisation kann Daten zwar im richtigen Land speichern, bleibt aber dennoch durch ihr Supportpersonal, Zugangsvereinbarungen mit Anbietern oder ihre Backup-Infrastruktur der ausländischen Gerichtsbarkeit ausgesetzt. Der Speicherort ist die Ausgangsbedingung; Souveränität ist die darauf aufbauende Gesamtstrategie.

F: Was ist das EU-Rahmenwerk zur Cloud-Souveränität und warum ist es von Bedeutung?

A: Das EU-Rahmenwerk zur Cloud-Souveränität ist ein von der Europäischen Kommission entwickeltes strukturiertes Bewertungsinstrument, um Cloud- und Technologieanbieter im Rahmen von Beschaffungsprozessen anhand von Souveränitätskriterien zu bewerten.

Es definiert acht Souveränitätsziele mit jeweiligen Sicherheitsstufen von null bis vier. Nur eines der acht Ziele betrifft den Datenstandort; die übrigen beziehen sich auf operative Kontrollen, die Verwahrung von Schlüsseln, die juristische Exposition und Recovery.

Das Rahmenwerk stellt das umfassendste öffentliche Rahmenwerk zur Bewertung der Souveränitätslage dar und wird zunehmend von anderen Regionen und Beschaffungsstellen außerhalb der EU als Referenz herangezogen.

F: Was ist der Unterschied zwischen BYOK und HYOK, und warum ist dies für die Souveränität von Bedeutung?

A: „Bring Your Own Key“ (BYOK) ermöglicht es einer Organisation, ihre eigenen Verschlüsselungsschlüssel bereitzustellen, doch diese Schlüssel werden in der Regel innerhalb der Plattform des Anbieters verwaltet. „Hold Your Own Key“ (HYOK) bedeutet, dass die Organisation die unabhängige Verwahrung der Schlüssel vollständig außerhalb der Umgebung des Anbieters beibehält – auch unter Krisenbedingungen oder bei gesetzlichem Zwang.

Für regulierte Organisationen mit strengen Souveränitätsanforderungen bietet BYOK möglicherweise keinen ausreichenden Schutz, wenn eine ausländische Justizbehörde den Anbieter zwingen kann, den Zugriff auf die Schlüssel preiszugeben. Der US-amerikanische CLOUD Act kann beispielsweise Anbieter erfassen, die unter US-amerikanischer Gerichtsbarkeit operieren, unabhängig davon, wo die Daten physisch gespeichert sind.

HYOK begegnet diesem Risiko direkt, erfordert jedoch möglicherweise eine höhere Plattformebene bei SaaS-Bereitstellungen.

F: Warum wird die operative Souveränität in den meisten Souveränitätsstrategien übersehen?

A: Die operative Souveränität, die umfasst, wer die Umgebung betreibt und von wo aus, ist die am schwierigsten zu prüfende Säule, da sie die Bestandsaufnahme von Supportverträgen, Zugangsvereinbarungen mit Anbietern und Abhängigkeiten von Drittanbietern entlang der gesamten Betriebskette erfordert.

Die meisten Unternehmen starten Souveränitätsprogramme, die sich auf den Datenstandort und die Verschlüsselung konzentrieren – Aspekte, die besser sichtbar sind. Operative Abhängigkeiten treten meist erst zutage, wenn sie explizit geprüft werden oder wenn ein Vorfall diese Frage aufwirft.

Als ersten Schritt zur Bewertung der operativen Souveränität sollten Sie jeden Zugangsweg zu Ihrer souveränen Umgebung sowie die rechtliche Zuständigkeit jeder Partei mit diesem Zugang identifizieren.

F: Wie sollten Unternehmen die Recovery im Kontext der Souveränität betrachten?

A: Die Recovery-Architektur muss dieselben Souveränitätsanforderungen erfüllen wie primäre Datenumgebungen, was jedoch oft nicht der Fall ist. In den meisten Unternehmen unterliegen Backup-Infrastruktur, Wiederherstellungsabläufe und das Management von Wiederherstellungspunkten häufig separaten Kontrollmaßnahmen – oder gar keinen.

Während eines Vorfalls erfüllen die zur Durchführung der Recovery-Tätigkeiten befugten Mitarbeiter möglicherweise nicht die rechtlichen Anforderungen, Recovery-Punkte wurden möglicherweise nicht als sauber und unbeeinträchtigt validiert, und die zum Schutz der Daten konzipierte Souveränitätsarchitektur kann die Recovery-Tätigkeiten aktiv erschweren, wenn die Ausfallsicherheit nicht bereits in das ursprüngliche Design integriert wurde. Eine Souveränitätsprüfung sollte stets die Recovery-Planung umfassen.

F: Was bedeutet „minimal realisierbare Souveränität“ in der Praxis?

A: „Minimum Viable Sovereignty“ bedeutet, für jede Arbeitslast das richtige Maß an Kontrollen zu ermitteln, das auf die tatsächlichen regulatorischen Verpflichtungen, die Risikotoleranz und die betrieblichen Einschränkungen abgestimmt ist, anstatt einheitlich maximale Kontrollen anzuwenden.

Maximale Souveränität bringt echte Kompromisse mit sich: technologische Komplexität, betrieblicher Aufwand, Einschränkungen bei den Diensten und Kosten. Unternehmen, die Anforderungen je nach Workload über die vier Säulen hinweg definieren, diese Anforderungen auf Bereitstellungsmodelle abbilden und Nachweise für eine konsequente Durchsetzung erbringen, sind in einer weitaus stärkeren Position als solche, die „Alles-oder-nichts“-Ansätze verfolgen.

F: Welche Rolle spielen Zertifizierungen wie C5, SecNumCloud und ISO 27001 in einer Souveränitätsstrategie?

A: Zertifizierungen liefern nachprüfbare Nachweise dafür, dass Kontrollmaßnahmen unabhängig überprüft wurden – ein wichtiger Bestandteil jeder vertretbaren Souveränitätsstrategie. C5 in Deutschland, SecNumCloud in Frankreich und ISO/IEC 27001 legen jeweils Mindestanforderungen fest, die Anbieter durch unabhängige Audits nachweisen müssen.

Die stärksten Souveränitätsstrategien betrachten diese Zertifizierungen als Mindeststandard, der den notwendigen Nachweis für das Vorhandensein von Kontrollmaßnahmen liefert, jedoch kein Ersatz für operative Tests unter realistischen Bedingungen ist.

Darren Thomson ist Vizepräsident und Chief Technology Officer für die Region EMEA bei Commvault. Verpassen Sie nicht seine Beiträge in der Podcast-Reihe „STRIVE“.

Die wichtigsten Erkenntnisse

• Der Einsatz mehrerer Backup-Tools führt häufig zu operativen Abhängigkeiten von einer kleinen Gruppe von Spezialisten, was das organisatorische Risiko erhöht.
• Die Verwaltung von Sicherheitsmaßnahmen über verschiedene Konsolen, Richtlinien und Berichtssysteme hinweg erschwert es, den Überblick zu behalten und schnell auf Probleme zu reagieren.
• Konsolidierung muss nicht zwangsläufig ein einschneidendes „Rip-and-Replace“-Projekt bedeuten; viele Unternehmen können schrittweise modernisieren und dabei ihre bestehenden Infrastrukturinvestitionen beibehalten.
• Eine einheitliche Steuerungsebene kann dazu beitragen, die Verwaltung von Richtlinien sowie Überwachungs-, Prüf- und Wiederherstellungsvorgänge in hybriden Umgebungen zu vereinfachen.
• Unternehmen, die ihre Datensicherung vereinfachen, erzielen oft erhebliche Kosteneinsparungen und tragen gleichzeitig zur Verbesserung der betrieblichen Effizienz und Ausfallsicherheit bei.

Sie haben keine unordentliche Umgebung geschaffen. Sie haben eine funktionale geschaffen. Jedes Tool in Ihrem Backup-Stack hat zum Zeitpunkt seiner Einführung ein echtes Problem gelöst. Eines kümmerte sich um virtuelle Maschinen. Ein anderes deckte Cloud-Workloads ab. Ein drittes kam hinzu, als das Unternehmen auf SaaS umstieg. Sie haben mit dem verfügbaren Budget und den vorhandenen Anbietern kluge Entscheidungen getroffen. Die Umgebung funktioniert.

Das Problem ist nicht der Stack. Es ist das damit verbundene Betriebsmodell. Heutzutage ist es keine Seltenheit, dass ein Rechenzentrumsteam, das eine veraltete Backup-Infrastruktur verwaltet, sieben oder mehr separate Systeme betreibt. Sieben Sätze von Richtlinien. Sieben Konsolen. Sieben Erneuerungszyklen.

Und im Hintergrund entstehen zudem sieben einzelne Fehlerquellen: nicht in der Infrastruktur, sondern bei den Mitarbeitern. Denn irgendwo in Ihrem Unternehmen gibt es ein oder zwei Techniker, die genau wissen, wie sich jedes dieser Systeme verhält. Wenn um 2 Uhr morgens etwas kaputtgeht, wissen Sie genau, wer den Anruf erhält. Das ist keine Resilienz. Das ist Abhängigkeit, die sich als Fachwissen tarnt.

Die Dashboard-Wand

Hier ist eine Frage, über die man einmal nachdenken sollte: Wie lange braucht Ihr Team, um eine einfache Frage wie „Ist der Backup-Lauf von gestern Abend bei allen Workloads reibungslos verlaufen?“ zu beantworten? Wenn die Antwort das Öffnen von mehr als einer Konsole erfordert, kennen Sie das Problem bereits. Jedes Tool hat seine eigene Sicht auf die Welt. Jedes berichtet über das, was es schützt – in seinem eigenen Format und nach seinem eigenen Zeitplan.

Um dieses Gesamtbild zusammenzusetzen – über lokale Systeme, cloud und entfernte Standorte hinweg – braucht es Zeit, die Ihrem Team fehlt, und es entstehen Lücken, die erst dann sichtbar werden, wenn etwas schiefgeht. Die Skripte helfen dabei. Die Skripte sind hilfreich. Wahrscheinlich hat Ihr Team sie geschrieben. Aber Skripte, die Lücken schließen, die Tools von Haus aus nicht miteinander teilen, sind technische Schulden mit Supportvertrag. Sie funktionieren, bis sie nicht mehr funktionieren, und wenn sie nicht mehr funktionieren, ist für die Behebung die Person erforderlich, die sie geschrieben hat. Und wenn Sie dies für alle KI-abhängigen Workloads unter Verwendung generierter Daten umsetzen wollen … sagen wir einfach, Sie haben den Schwierigkeitsgrad um 100 % oder mehr erhöht.

Was Konsolidierung für Infrastrukturteams wirklich bedeutet

Wenn man den Satz „Konsolidieren Sie Ihre Backup-Umgebung“ hört, denkt man instinktiv an ein „Rip-and-Replace“-Projekt mit neuer Hardware, neuen Anschaffungen und einer Migration, die sechs Monate dauert und ausgerechnet zum ungünstigsten Zeitpunkt ansteht. Aber so muss eine Konsolidierung nicht unbedingt aussehen.

Die richtige platform mit den bereits in Ihrem Rack vorhandenen Speichersystemen platform . Sie müssen weder bereits ausgehandelte Verträge kündigen noch Hardware entsorgen, die noch nicht vollständig abgeschrieben ist. Sie können dort beginnen, wo es sinnvoll ist – in Außenstellen, bei einer bestimmten cloud oder bei einem Datensatz, der bisher Probleme bereitet hat – und dann nach und nach expandieren, sobald alte Verträge auslaufen und Budgetmittel frei werden.

Im Gegenzug erhalten Sie eine einheitliche Steuerungsebene. Eine zentrale Stelle, an der Sie Richtlinien festlegen, den Schutz überwachen und die Fragen der Prüfer beantworten können. Ein Betriebsmodell, das für lokale, cloud und Hybrid-Workloads gleichermaßen funktioniert, ohne dass ein Skript erforderlich ist, um die Lücke zu schließen. Die Ingenieure, die bisher sieben Dashboards mithilfe von Skripten und benutzerdefinierten ausführbaren Dateien zusammengeflickt hatten, widmen sich nun stattdessen nützlicheren Aufgaben.

Die Zahlen sprechen für sich

Fortune Brands hat seine Backup-Umgebung mit Commvault® Cloud konsolidiert Cloud dabei 22,7 Mio. US-Dollar eingespart – eine Senkung der Gesamtkosten um 73 %. NTT-Netmagic konnte die Kosten um jährlich 300.000 US-Dollar senken und den Speicher-Overhead um 35 % reduzieren.

Das sind keine Zahlen aus Modernisierungsprojekten. Es sind Zahlen, die eine Entlastung des Betriebs bedeuten. Die Art von Zahlen, die sich aus der Eindämmung der sich summierenden Kosten der Komplexität ergeben – nicht aus dem Kauf neuer Dinge.

Echte Widerstandsfähigkeit braucht keinen „War Room“

Wenn für die Durchführung einer Wiederherstellungsübung ein Team aus Spezialisten zusammengestellt werden muss, von denen jeder nur einen Teil der Umgebung kennt, dann ist das keine Übung. Das ist ein Risiko. Echte Ausfallsicherheit bedeutet, dass jeder qualifizierte Ingenieur in Ihrem Team die Wiederherstellung durchführen kann. Das bedeutet: ein einheitlicher Satz von Richtlinien, eine einheitliche Steuerungsebene und ein Wiederherstellungsprozess, der nicht zusammenbricht, wenn die Person, die ihn entwickelt hat, im Urlaub ist.

Sieben Dashboards können Ihre Daten schützen. Sie können Ihr Team jedoch nicht vor dem betrieblichen Aufwand schützen, der mit deren Aufrechterhaltung verbunden ist. Genau darum geht es bei der Konsolidierung. Nicht um ein besseres Produkt. Sondern um eine bessere Art, das zu betreiben, was Sie aufgebaut haben. Möchten Sie sich einen umfassenden Überblick verschaffen? Laden Sie „Die versteckten Kosten von Seven Tools“ herunter – einen Praxisleitfaden für Rechenzentrumsteams, die etwas geschaffen haben, das es zu schützen gilt.

FAQs

F: Warum ist die Verwaltung mehrerer Backup-Plattformen ein Problem, wenn sie alle einwandfrei funktionieren?

A: Die Herausforderung besteht in der Regel nicht darin, ob die Tools einzeln funktionieren – vielmehr liegt sie in dem operativen Aufwand, sie gemeinsam zu verwalten. Zahlreiche Konsolen, Richtlinien und Berichtssysteme können die Transparenz, die Fehlerbehebung und die Wiederherstellung komplexer machen, als sie sein müssten.

F: Was ist eines der größten Risiken, die durch eine fragmentierte Backup-Umgebung entstehen?

A: In vielen Organisationen konzentriert sich entscheidendes Wissen auf wenige Personen, die wissen, wie bestimmte Systeme zusammenwirken. Sind diese Teammitglieder während eines Vorfalls nicht verfügbar, können sich die Wiederherstellungsmaßnahmen verzögern und erschweren.

F: Bedeutet Konsolidierung, dass die gesamte bestehende Infrastruktur ersetzt wird?

A: Nicht unbedingt. Viele Konsolidierungsinitiativen sind schrittweise Vorgehensweisen, die parallel zu bestehenden Speicherlösungen, Hardware und Verträgen umgesetzt werden. Die Teams können die Modernisierung schrittweise vorantreiben, je nach geschäftlichen Prioritäten, Budgetzyklen und Vertragsverlängerungen.

F: Wie kann eine Konsolidierung die Widerstandsfähigkeit verbessern?

A: Eine einheitliche platform dazu beitragen, einheitliche Richtlinien, eine zentralisierte Übersicht und optimierte Wiederherstellungsprozesse zu gewährleisten. Dadurch können mehr Teammitglieder Wiederherstellungsvorgänge sicher durchführen, ohne auf Fachwissen angewiesen zu sein, das an einzelne Tools gebunden ist.

F: Wie sieht es mit der Anbieterabhängigkeit aus, wenn man auf eine einzige platform umstellt?

A: Die Bindung an einen bestimmten Anbieter ist ein berechtigter Gesichtspunkt. Das Ziel der Konsolidierung sollte darin bestehen, die betriebliche Komplexität zu verringern und gleichzeitig die Flexibilität durch offene Architekturen, eine breite Unterstützung von Workloads und die Möglichkeit zu gewährleisten, bestehende Infrastrukturinvestitionen nach Möglichkeit weiter zu nutzen.

F: Wie messen Unternehmen den Nutzen einer Konsolidierung?

A: Neben den Softwarekosten berücksichtigen Unternehmen häufig Faktoren wie Verwaltungsaufwand, Wiederherstellungseffizienz, Speicherauslastung, Schulungsbedarf, Prüfungsbereitschaft und die Verringerung des Betriebsrisikos. Der größte Nutzen ergibt sich häufig aus der Vereinfachung des Tagesgeschäfts und der Stärkung des Vertrauens in die Wiederherstellungsfähigkeit.

Michael Thelander ist Senior Director für Produktmarketing bei Commvault.

Die wichtigsten Erkenntnisse

• Regulatorischer Druck, Erwartungen des Vorstands und Konflikte in der Praxis beschleunigen den Wandel von präventionsorientierten Ausgaben hin zu Ergebnissen im Bereich der Resilienz.
• Die Architektur der Ausfallsicherheit ist deutlich komplexer geworden, insbesondere da KI-Systeme neue Herausforderungen hinsichtlich der Datenherkunft und der Datenwiederherstellung mit sich bringen.
• Cyber-Resilienz muss über die herkömmliche Notfallwiederherstellung hinausgehen und Störungen eher als dauerhaften Betriebszustand denn als Ausnahmefall betrachten.
• Resilience Operations (ResOps™) bietet ein Betriebsmodell, mit dem Resilienz unter realen Bedingungen kontinuierlich, funktionsübergreifend und nachweisbar gestaltet werden kann.
• Der schwierigste Aspekt beim Übergang zu ResOps ist organisatorischer Natur. Uneinheitliche Zuständigkeiten und nicht aufeinander abgestimmte Prioritäten sind nach wie vor die häufigsten Ursachen für Misserfolge.

Störungen sind mittlerweile an der Tagesordnung. Allein im vergangenen Jahr haben wir Folgendes erlebt:

• Drohnenangriffe auf Rechenzentren in den Vereinigten Arabischen Emiraten und Bahrain führten zu einer Kettenreaktion von Problemen bei den Unternehmen, die dort Daten und Workloads speicherten.
• Eine fehlerhafte DNS-Konfiguration seitens eines Hyperscalers führte dazu, dass Millionen von Nutzern in den USA keinen Internetzugang mehr hatten.
• Ein Brand in einem Rechenzentrum führte einen ganzen Tag lang zu zeitweiligen Ausfällen für Zehntausende Nutzer einer führenden platform.

In einem von Natur aus unsicheren Geschäftsumfeld müssen CISOs und CIOs ihren Ansatz zur Geschäftskontinuität überdenken.

In einem kürzlich abgehaltenen Webinar diskutierten David Nowak, Principal im Bereich Cyber Risk Service bei Deloitte, Kent Meyer, Managing Director bei Deloitte, und Shilpi Handa, Associate Research Director für Cybersicherheit in der META-Region bei IDC, gemeinsam mit mir darüber, was operative Resilienz in Bezug auf Strategie, Architektur und den täglichen Betrieb tatsächlich erfordert.

Vorschau: Es geht nicht mehr um das „Ob“, sondern um das „Wann“

In diesem Ausschnitt aus dem Webinar erfahren Sie, warum Ausfälle nicht mehr nur IT-Ereignisse sind – sie sind vielmehr geschäftskritische Ereignisse. Vorstände und Aufsichtsbehörden verlagern ihren Fokus mittlerweile von der Frage, ob es zu einem Ausfall kommt, hin zu der Frage, wie schnell Unternehmen sich davon erholen können.

Warum eine Notfallwiederherstellung nicht ausreicht

Gemäß der Definition des NIST geht Cyberresilienz über die herkömmliche Sicherheit hinaus, indem sie davon ausgeht, dass Sicherheitsverletzungen auftreten werden, und den Fokus nicht nur auf Prävention, sondern auch auf das Überleben und die schnelle Wiederherstellung legt. Dieser Ansatz, von Sicherheitsverletzungen auszugehen, ist seit Jahren Teil des Zero-Trust-Konzepts – doch wie viele Organisationen setzen dessen Implikationen tatsächlich in die Praxis um?

Bei Backup-Vorgängen steht im Vordergrund, ob Daten kopiert wurden, und bei der Notfallwiederherstellung, ob Systeme wiederhergestellt werden können. Wahre Ausfallsicherheit erfordert jedoch die Beantwortung einer weitaus schwierigeren Frage: Können diese Dienste durchgängig, unter Belastung und kontinuierlich wiederhergestellt werden? Wir beobachten, dass sich diese Denkweise in allen Branchen durchsetzt, angetrieben durch eine Kombination aus regulatorischem Druck und den Erwartungen auf Vorstandsebene.

• In Europa schreibt das EU-Gesetz zur digitalen Betriebsresilienz (DORA) nun konkrete Resilienzziele und Wiederherstellungsfristen vor.
• Auch die Vorschriften der North American Electric Reliability Corporation (NERC) zum Schutz kritischer Infrastrukturen werden derzeit unter dem Gesichtspunkt der Resilienz überprüft.
• Die Meldepflichten der Securities and Exchange Commission (SEC) bei Datenschutzverletzungen haben nicht nur die Offenlegung in den Fokus gerückt, sondern auch die Maßnahmen, die Unternehmen zur Behebung der Vorfälle ergreifen.

Vorstände betrachten mittlerweile jeden Ausfall als Ereignis mit negativen Auswirkungen auf das Geschäft, und die Erwartung hat sich dahingehend verschoben, dass nicht nur nachgewiesen werden muss, dass eine Wiederherstellung möglich ist, sondern auch, dass diese schnell und mit hoher Zuverlässigkeit erfolgen kann.

Eine IDC-Studie von Handa verdeutlicht, inwiefern herkömmliche Wiederherstellungsmaßnahmen an ihre Grenzen stoßen können. Nach dem Ausbruch des Krieges im Nahen Osten stellte sie fest, dass CIOs und CISOs nicht nur mit der Aufrechterhaltung der technischen Infrastruktur zu kämpfen hatten, sondern auch mit der Kontinuität von Personal und Prozessen, da Mitarbeiter über Nacht umgesiedelt wurden und Büros nicht mehr zugänglich waren, sodass niemand mehr da war, um manuelle Failover-Maßnahmen durchzuführen. Und das ist nur eines der unzähligen unvorhersehbaren Szenarien, die Unternehmen berücksichtigen müssen.

Aufbau einer widerstandsfähigen Architektur

Eine Resilienzstrategie umfasst sowohl das, was geschützt werden soll, als auch die Frage, ob eine Wiederherstellung möglich ist. Was den ersten Aspekt betrifft, so hat sich der Umfang der zu schützenden Elemente stetig erweitert und umfasst nun Identitätssysteme, Kommunikationsplattformen, Workloads, Produktivitätswerkzeuge, CI/CD-Pipelines sowie strukturierte und unstrukturierte Daten.

Der zweite Punkt – „ob man sie wiederherstellen kann“ – schafft neue Anforderungen an diese Strategie. Es reicht nicht mehr aus, Momentaufnahmen zu erstellen und traditionelle Wiederherstellungsziele zu definieren. Da Angreifer die Backup-Infrastruktur ins Visier nehmen, müssen Unternehmen nun wiederhergestellte Daten überprüfen und sicherstellen, dass sie nicht kompromittiert sind, bevor sie wieder online geschaltet werden. Isolierte Wiederherstellungsumgebungen, Air-Gap-Schutz für kritische Dienste und Cleanroom-Fähigkeiten sind zu wesentlichen Bestandteilen der Resilienzarchitektur geworden.

KI bringt eine zusätzliche Schwierigkeit mit sich. Um ein KI-Modell wiederherzustellen, benötigen Sie nicht nur eine Sicherungskopie der Modelldatei selbst, sondern auch alle Daten, die zu seiner Erstellung beigetragen haben. Dazu gehören die Datensätze, Hyperparameter, Framework-Versionen, das Feature-Engineering und die Infrastrukturkonfigurationen sowie eine vollständige Abhängigkeitsübersicht, aus der hervorgeht, wie alles zusammenhängt.

Meyer stellt Lösungen zur Cyber-Resilienz als einen Weg dar, die Notfallwiederherstellung zu demokratisieren. Während die herkömmliche Notfallwiederherstellung in der IT isoliert war und nur Spezialisten Zugang dazu hatten, können neuere Plattformen Sicherheitsteams, Geschäftsverantwortlichen und Mitarbeitern im operativen Bereich die nötige Transparenz bieten, um sich aktiv einzubringen. Das ist für Organisationen mit begrenzten Ressourcen von Bedeutung und verändert die Möglichkeiten, was den Übergang von Simulationsübungen zu echten, nachweisbaren Wiederherstellungen angeht.

ResOps: Das Betriebsmodell für nachhaltige Widerstandsfähigkeit

ResOps betrachtet Resilienz als einen fortlaufenden Prozess und nicht nur als etwas, das als Reaktion auf einen Vorfall zum Tragen kommt. Einfach ausgedrückt geht es darum, Resilienz zu operationalisieren, wenn die normalen Betriebsannahmen nicht mehr gelten. Einfach ausgedrückt geht es darum, Resilienz in die Praxis umzusetzen, wenn die üblichen Betriebsannahmen nicht mehr gelten. Anstatt davon auszugehen, dass Ihre Backups im Katastrophenfall verfügbar, fehlerfrei und wiederherstellbar sind, ermitteln Sie mit ResOps kontinuierlich, wo sich Daten befinden, schützen und erfassen diese sowohl in lokalen als auch cloud , erkennen Anomalien, stellen einen vertrauenswürdigen Zustand wieder her und stellen vollständig validierte Workloads wieder her. Auf diese Weise sind Sie zunehmend auf Störungen vorbereitet und können zuversichtlicher sein, dass Sie diese erfolgreich bewältigen können.

Nowak hat einen Ausdruck geprägt, der das Wesen von ResOps auf den Punkt bringt: „Resilient by Design“. Er ist der Nachfolger des „Secure-by-Design“-Prinzips, das die Sicherheitsarchitektur der letzten Generation geprägt hat. Wir entwickeln nicht mehr nur Systeme, die gegen Angriffe gewappnet sind, sondern auch solche, die auch dann weiter funktionieren, wenn es doch einmal zu einem Angriff kommt.

Die menschliche Seite von ResOps

Bei der Einführung von ResOps geht es mindestens ebenso sehr um Menschen und Prozesse wie um Technologie. Wie Handa feststellt, scheitern Unternehmen in der Regel nicht, weil ihnen die richtigen Werkzeuge fehlen; sie scheitern vielmehr, weil die Verantwortung auf zu viele Rollen verteilt ist, es keinen gemeinsamen Arbeitsrhythmus gibt und keine klaren Entscheidungsbefugnisse bestehen, wenn etwas schiefgeht. ResOps zwingt Unternehmen dazu, Fragen zu beantworten, mit denen sich viele noch nicht auseinandergesetzt haben, wie zum Beispiel:

• Wer ist befugt, den Dienst wiederherzustellen, wenn das Hauptteam nicht erreichbar ist?
• Wie sollten Playbooks für die Remote-Ausführung aufgebaut sein?
• Wie funktioniert ein regionenübergreifendes Failover, wenn es nicht auf einen einzigen Standort angewiesen sein darf?

In diesem Sinne geht es bei ResOps weniger um die Wiederherstellung von Systemen als vielmehr darum, die Kontinuität der Entscheidungsfindung, der Umsetzung und der Rechenschaftspflicht auch in Störsituationen zu gewährleisten. Zu diesem Zweck haben viele Organisationen die Position eines „Chief Resilience Officer“ geschaffen, insbesondere in staatlichen und kommunalen Verwaltungen. Unabhängig davon, ob diese Rolle vom CISO, vom CIO oder von einer neuen Person übernommen wird, spiegelt die Entstehung dieser Funktion eine umfassende Verantwortlichkeit wider, die über den IT-Bereich hinausgeht. Es bedarf einer verantwortlichen Person mit funktionsübergreifender Befugnis und Kommunikationsfähigkeit, um Führungskräfte aus dem Geschäft, Sicherheitsteams und Betriebspersonal in einen gemeinsamen Arbeitsrhythmus zu bringen. Zu den Aufgaben gehört es zudem, die Argumente für Resilienz so zu formulieren, dass sie bei allen Beteiligten Anklang finden – darunter die finanziellen Auswirkungen für den Vorstand, die Betriebskontinuität für die Fachkräfte und die Einhaltung gesetzlicher Vorschriften für die GRC-Teams. Das Ziel ist ein Rahmenwerk für Entscheidungsbefugnisse, das in Simulationen getestet wurde, bevor es im Ernstfall zum Einsatz kommt.

Das Ganze in die Praxis umsetzen

Commvault unterstützt Unternehmen bei der Umsetzung von ResOps – von der Erfassung und dem Schutz von Daten in lokalen und cloud über die Erkennung von Anomalien bis hin zur Wiederherstellung eines einwandfreien Zustands und der Wiederinbetriebnahme validierter Workloads. Für Unternehmen, die den Schritt von theoretischen Übungen hin zu nachweisbaren Wiederherstellungen vollziehen möchten, sind dies die Funktionen, die dazu beitragen, die Ausfallsicherheit in unsicheren Zeiten in die Praxis umzusetzen.

Materialien aus der Veranstaltung, darunter eine IDC-Studie zur CIO-Bereitschaft sowie Unterlagen von Deloitte zur evidenzbasierten Erholung, stehen auf der On-Demand-Seite zur Verfügung.

FAQs

F: Was versteht man unter Cyber-Resilienz und worin unterscheidet sie sich von der Notfallwiederherstellung?

A: Bei der Notfallwiederherstellung liegt der Schwerpunkt auf der Wiederherstellung von Systemen und Daten nach einem Vorfall. Cyber-Resilienz ist ein umfassenderer, proaktiverer Ansatz: Sie geht davon aus, dass Störungen auftreten werden, und stellt die Frage, ob Dienste unter Belastung regelmäßig durchgängig wiederhergestellt werden können. Viele Organisationen verfügen über solide Notfallwiederherstellungspläne, sind jedoch dennoch gefährdet, wenn sich ein tatsächlicher Vorfall unter unerwarteten Bedingungen ereignet.

Frage: Was veranlasst Unternehmen dazu, Resilienz gegenüber Prävention Vorrang einzuräumen?

A: Regulierungsrahmen wie DORA und die sich weiterentwickelnden NERC-Standards schreiben mittlerweile konkrete Resilienzziele vor, nicht nur Sicherheitsmaßnahmen. Infolgedessen legen Vorstände den Fokus auf Wiederherstellungszeiten als geschäftliche Kennzahl.

F: Warum ist die Datensicherung und Wiederherstellung bei KI-Systemen schwieriger als bei herkömmlichen Daten?

A: Bei der Sicherung eines KI-Modells geht es um mehr als nur die Modelldatei selbst. Ein Modell ist das Ergebnis eines spezifischen Trainingsprozesses, der Datensätze, Hyperparameter, Framework-Versionen und Infrastrukturkonfigurationen umfasst. Ohne diesen vollständigen Kontext kann es vorkommen, dass bei der Wiederherstellung ein Ergebnis entsteht, das nicht vertrauenswürdig ist oder nicht reproduziert werden kann.

F: Was ist ResOps und worin unterscheidet es sich von einem herkömmlichen Resilienzprogramm?

A: ResOps ist ein Betriebsmodell, bei dem Resilienz nicht als Notfallplan, sondern als kontinuierlicher, funktionsübergreifender Prozess betrachtet wird. Während herkömmliche Programme häufig in der IT isoliert sind und erst nach einem Vorfall aktiviert werden, bringt ResOps die Bereiche Sicherheit, Betrieb, Geschäftsverantwortliche und Führungskräfte auf der Grundlage gemeinsamer Vorgehensanleitungen, klarer Entscheidungsbefugnisse und einer kontinuierlichen Überprüfung der Wiederherstellungsbereitschaft zusammen.

F: Was sind die größten Hindernisse für die flächendeckende Einführung von ResOps?

A: Die Herausforderungen sind organisatorischer Natur und umfassen unter anderem eine zersplitterte Zuständigkeit, nicht aufeinander abgestimmte Prioritäten und das Fehlen eines gemeinsamen Arbeitsrhythmus. ResOps erfordert – noch bevor ein Vorfall eintritt – eine Einigung zwischen den Sicherheitsteams, den Geschäftsverantwortlichen und dem Betriebspersonal darüber, was kritisch ist, wer verantwortlich ist und wie die Wiederherstellung überprüft wird.

Michael Thelander ist Senior Director für Produktmarketing bei Commvault.

Die wichtigsten Erkenntnisse

• Commvault AirGap ist von Grund auf unveränderlich, und für Unternehmen mit zusätzlichen Compliance- und regulatorischen Anforderungen stehen WORM-Sperrfunktionen zur Verfügung.
• Behauptungen, dass AirGap-Backups nicht wirklich unveränderlich seien, sind unzutreffend und spiegeln nicht die dokumentierten Funktionen platformwider.
• WORM-fähige Speicherlösungen verursachen branchenweit einen gewissen Mehraufwand, doch Commvault trägt durch effizientes Datenmanagement und eine cloud Architektur dazu bei, diese Auswirkungen zu minimieren.
• Die Kosten für Backup-Speicher gehen über den Kapazitätsverbrauch hinaus und sollten auch Infrastruktur-, Rechen- und Betriebskosten umfassen.
• Unternehmen sollten die Ausfallsicherheit ihrer Backups durch Tests unter realen Bedingungen überprüfen, anstatt sich auf die Marketingversprechen der Anbieter zu verlassen.

Möglicherweise sind Ihnen kürzlich Behauptungen eines Mitbewerbers begegnet, wonach Commvault AirGap (früher Commvault Air Gap Protect) eine kritische Sicherheitslücke aufweise – dass Backups nicht wirklich unveränderlich seien oder dass die Aktivierung der WORM-Sperre (Write Once, Read Many) zu zwei- bis dreimal höheren Speicherkosten führe. Lassen Sie uns das gleich klarstellen: Diese Behauptungen sind falsch.

Unterstützung für unveränderliche Daten und WORM-Sperren in AirGap

AirGap ist von Grund auf unveränderlich, was bedeutet, dass einmal geschriebene Daten nicht mehr geändert werden können – eine grundlegende Funktion, die platform der ersten Version Teil der platform ist. Für Unternehmen, die regulatorische oder Compliance-Anforderungen erfüllen müssen, bietet Commvault neben der Unveränderlichkeit auch WORM-Sperrfunktionen. Diese Schutzmaßnahmen sind für alle unterstützten cloud ziele verfügbar, darunter:

• Amazon S3 Object Lock
• Richtlinien zur Unveränderlichkeit von Microsoft Azure Blobs

Diese Funktionen sind dokumentiert, wurden gründlich getestet und werden heute von Kunden in Produktionsumgebungen aktiv genutzt. In unserer neuesten platform haben wir die Unterstützung für WORM-Sperren innerhalb von AirGap weiter ausgebaut. Diese Erweiterung sorgt für Schutz sowohl in cloud in lokalen Speicherumgebungen und bietet damit eine breitere und umfassendere Abdeckung als viele Konkurrenzlösungen.

Speichereffizienz: Das Gesamtbild verstehen

Branchenweit gilt eine Tatsache: WORM-fähiger Speicher bringt einen gewissen Overhead mit sich. Da WORM-gesperrte Daten nach dem Schreiben nicht mehr geändert werden können, sind die Möglichkeiten der Systeme, gespeicherte Daten im Laufe der Zeit zu optimieren oder zu reduzieren, begrenzt. Dies gilt nicht nur für Commvault, sondern ist branchenweit bei allen Anbietern der Fall.

Was Commvault auszeichnet, ist die Effizienz, mit der diese Herausforderung bewältigt wird. Unsere Plattform unterstützt native Cloud-Unveränderlichkeit (einschließlich S3 Object Lock und Azure-Unveränderlichkeitsrichtlinien) und sorgt für einen effizienten Speicher-Overhead. Die Gesamtbetriebskosten (TCO) gehen jedoch über die reinen Speicherkosten hinaus. Architekturen, die auf ständig aktiven virtuellen Appliances basieren, können laufende Rechenkosten und eine zunehmende Komplexität des Betriebs mit sich bringen, die sich im Laufe der Zeit summieren. Im Gegensatz dazu legen moderne, cloud Ansätze den Schwerpunkt auf:

• Effizientes Datenmanagement.
• Flexible Bereitstellungsmodelle.
• Beseitigung hartnäckiger Infrastrukturabhängigkeiten.

Diese Gestaltungsprinzipien können zu besser vorhersehbaren, skalierbaren und langfristig tragbaren Kosten führen. Dies als eine Wahl zwischen unsicheren Backups und überhöhten Speicherkosten darzustellen, ist irreführend. Es handelt sich um eine falsche Dichotomie, die Anlass zu einer sorgfältigen Prüfung der Anbieter geben sollte, die solche Behauptungen aufstellen.

Ein wachsender Trend bei den Kunden

Wir beobachten ein deutliches Muster: Unternehmen wechseln zunehmend zu Commvault, nachdem sie sich entschieden haben, die Verträge mit ihren bisherigen Anbietern nicht zu verlängern. Häufige Gründe hierfür sind unter anderem:

• Unerwartete Einschränkungen bei der Skalierung von Umgebungen.
• Leistungsbeschränkungen im Zusammenhang mit appliancebasierten Architekturen.
• Steigende Infrastruktur- und Betriebskosten.
• Die Preise für die Verlängerung liegen deutlich über den Konditionen des ursprünglichen Kaufs.

Diese Herausforderungen stehen nicht für sich allein – sie spiegeln einen allgemeinen Trend auf dem Markt wider. Kunden suchen nach Lösungen, die Flexibilität, Transparenz und langfristigen Mehrwert bieten , ohne dass dabei versteckte Kompromisse eingegangen werden müssen.

Den Durchblick behalten

In einem Markt, der oft von aggressiven Werbeaussagen und unklaren Vergleichen geprägt ist, kann eine objektive Überprüfung von entscheidender Bedeutung sein. Aus diesem Grund haben wir die „Get Real Challenge“ ins Leben gerufen – eine strukturierte, kostenlose Bewertung, mit der Sie Backup- und Wiederherstellungslösungen aussagekräftig bewerten können. Mit diesem Programm können Sie:

• Simulieren Sie realistische Szenarien von Cyberangriffen.
• Testen Sie die Wiederherstellungsfunktionen anhand Ihrer eigenen Daten und in Ihrer eigenen Umgebung.
• Bewerten Sie die Leistung ohne Einflussnahme durch den Anbieter und ohne inszenierte Vorführungen.

Das Ergebnis ist ein klares, faktenbasiertes Verständnis der Ausfallsicherheit Ihres Unternehmens. Wenn Sie herausfinden möchten, wie sich Ihre Backups unter realen Bedingungen bewähren würden, helfen wir Ihnen gerne dabei, den ersten Schritt zu machen. Schreiben Sie uns eine E-Mail an global-sdr@commvault.com.

FAQs

F: Ist Commvault AirGap wirklich unveränderlich?

A: AirGap ist von Grund auf unveränderlich, was bedeutet, dass Backup-Daten nach dem Speichern nicht mehr geändert werden können. Diese Funktion ist platform der ersten Version ein zentraler Bestandteil der platform .

F: Unterstützt AirGap den WORM-Sperrschutz?

A: AirGap unterstützt WORM-Sperrfunktionen auf allen unterstützten cloud , darunter Amazon S3 Object Lock und die Unveränderlichkeitsrichtlinien von Microsoft Azure Blob. Dank der jüngsten Verbesserungen konnte der Schutz zudem auf cloud lokale Umgebungen ausgeweitet werden.

F: Führt die Aktivierung der WORM-Sperre zu einem erheblichen Anstieg der Speicherkosten?

A: WORM-fähige Speicher verursachen unabhängig vom Anbieter einen gewissen Mehraufwand, da geschützte Daten nach dem Schreiben nicht mehr geändert werden können. Die wichtigere Frage ist, wie effizient eine platform diesen Mehraufwand platform und wie sich dies insgesamt auf die langfristigen Kosten auswirkt.

F: Warum sind die Gesamtbetriebskosten wichtiger als der reine Speicher-Overhead?

A: Die Speichereffizienz ist nur ein Aspekt. Unternehmen sollten bei der Bewertung der langfristigen Kosten einer Backup-Lösung auch die Infrastrukturanforderungen, die Rechenkosten, die Komplexität des Betriebs und die Skalierbarkeit berücksichtigen.

F: Warum wenden sich manche Unternehmen von appliancebasierten Backup-Architekturen ab?

A: Mit dem Wachstum der IT-Umgebungen suchen Unternehmen häufig nach Lösungen, die mehr Flexibilität, einen einfacheren Betrieb und besser vorhersehbare Kosten bieten. Cloud Ansätze können dazu beitragen, die Abhängigkeit von einer ständig verfügbaren Infrastruktur zu beseitigen und Unternehmen gleichzeitig eine effizientere Skalierung zu ermöglichen.

F: Wie können Unternehmen ihre Strategie zur Cyber-Resilienz überprüfen?

A: In der Regel lassen sich diese Fragen am besten durch Tests klären. Durch die Durchführung realistischer Wiederherstellungsübungen und Simulationen von Cyberangriffen können Unternehmen nachvollziehen, wie sich ihre Backups unter realen Bedingungen verhalten, und Lücken aufdecken, bevor es zu einem tatsächlichen Vorfall kommt.

Kash Ansari ist Chief Customer Officer Americas bei Commvault.

Die wichtigsten Erkenntnisse

• Die Cyber-Resilienz hängt sowohl von der Technologie als auch vom Fachwissen der Experten ab, die für den Schutz und die Wiederherstellung kritischer Systeme verantwortlich sind.
• Durch kontinuierliches Lernen bleiben die Partnerteams über sich ständig weiterentwickelnde Bedrohungen, hybride Umgebungen und bewährte Verfahren zur Gewährleistung der Ausfallsicherheit auf dem Laufenden.
• Die Commvault Readiverse Academy bietet rollenbasierte Schulungen, praktische Übungen und Zertifizierungen an, die darauf ausgerichtet sind, praxisnahe Kompetenzen im Bereich der Cyber-Resilienz zu vermitteln.
• Kunden legen zunehmend Wert auf Partner, die ihnen zuverlässige Beratung bieten, die Wiederherstellungsbereitschaft beschleunigen und die Widerstandsfähigkeit maximieren können.
• Investitionen in die Weiterbildung tragen dazu bei, die Kompetenzen der Partner zu stärken, das Vertrauen der Kunden zu festigen und das langfristige Unternehmenswachstum zu fördern.

Unternehmen stehen unter zunehmendem Druck, sich gegen ausgeklügelte und sich ständig wandelnde Bedrohungen zu schützen. Gleichzeitig müssen sie komplexe hybride Umgebungen verwalten, eine schnelle Wiederherstellung ermöglichen und den unterbrechungsfreien Betrieb gewährleisten. Technologie spielt dabei eine entscheidende Rolle – doch sie allein reicht nicht aus. Echte Resilienz hängt von der Bereitschaft, der Erfahrung und der kontinuierlichen Weiterentwicklung der Fachkräfte ab, die diese Umgebungen konzipieren, implementieren und betreuen. Da sich der Bereich der Resilienzmaßnahmen weiter entwickelt, ist fundiertes Fachwissen zu einem entscheidenden Unterscheidungsmerkmal geworden.

Die wachsende Bedeutung des kontinuierlichen Lernens Cyber-Resilienz-Umgebungen entwickeln sich ständig weiter – von wachsenden hybriden Infrastrukturen bis hin zu immer ausgefeilteren Bedrohungen und steigenden Erwartungen an die Wiederherstellung. Für Fachkräfte bei unseren Partnern in den Bereichen Vertrieb, Beratung, Technik und Support ist es nicht mehr nur eine Option, sondern eine unverzichtbare Notwendigkeit, stets auf dem neuesten Stand zu bleiben. Kontinuierliches Lernen hilft den Teams dabei:

• Das Fachwissen im Bereich Cyber-Resilienz ausbauen.
• Schaffen Sie Vertrauen in Kundengesprächen.
• Halten Sie Schritt mit den sich weiterentwickelnden Technologien und bewährten Verfahren.
• Bereiten Sie sich auf neue Aufgaben und Chancen vor.

Ob es um die Vorbereitung auf Ransomware-Angriffe, die Entwicklung von Wiederherstellungsstrategien oder den Umgang mit komplexen Datenumgebungen geht – qualifizierte Fachkräfte spielen eine entscheidende Rolle bei der Aufrechterhaltung der Widerstandsfähigkeit und der Betriebskontinuität.

Aufbau von Fachwissen im gesamten Partner-Ökosystem Wir bei Commvault sind uns bewusst, dass unterschiedliche Partnerrollen unterschiedliche Fähigkeiten und Lernwege erfordern. Aus diesem Grund wurde die Readiverse Academy ins Leben gerufen – sie bietet rollenbasiertes Lernen und ergebnisorientierte Zertifizierungen in den Bereichen Vertrieb, Technik, Beratung, Architektur und Support. Unsere Kurse gehen über eine reine Zertifizierung hinaus und vermitteln praktisches Fachwissen, das zu konkreten Kundenergebnissen führt. Die Commvault Readiverse Academy bietet:

• Rollenbasierte Lernpfade.
• Flexibles Lernen im eigenen Tempo.
• Praktische, szenariobasierte Übungen.
• Zertifizierungen, die die Praxistauglichkeit bestätigen.

Heute bauen mehr als 10.000 aktive Lernende im gesamten Partner-Ökosystem ihre Fachkenntnisse über die Readiverse Academy aus, was die wachsende Bedeutung von Kompetenzen im Bereich der Cyber-Resilienz in der gesamten Branche widerspiegelt.

Warum Fachwissen für Kunden wichtig ist Kunden investieren nicht nur in Technologie – sie investieren in Ergebnisse. Sie erwarten, dass ihre Fähigkeit, Systeme zu schützen, zu verwalten und im Falle einer Störung wiederherzustellen, gewährleistet ist. Sie benötigen vertrauenswürdige Experten, die ihnen dabei helfen können, Risiken zu minimieren, die Wiederherstellung zu beschleunigen und den Wert ihrer Investitionen zu maximieren. Partner mit sich ständig weiterentwickelnden Teams sind besser in der Lage, zu helfen:

• Bereitstellungen beschleunigen.
• Lösungen an sich wandelnde Anforderungen anpassen.
• Die Einsatzbereitschaft verbessern.
• Die Vorsorge für den Wiederaufbau stärken.
• Komplexe Herausforderungen im Bereich der Resilienz meistern.

Da Cyber-Resilienz zunehmend geschäftskritisch wird, entwickelt sich Fachwissen zu einem entscheidenden Wettbewerbsvorteil. Investition in die Zukunft der Cyber-Resilienz Die Landschaft der Cyber-Resilienz wird sich weiterentwickeln – ebenso wie die Erwartungen der Kunden. Für Fachkräfte in Partnerunternehmen trägt kontinuierliches Lernen dazu bei, langfristiges Wachstum, Glaubwürdigkeit und Einsatzbereitschaft zu fördern. Für Partner trägt es dazu bei, die Leistungserbringung zu stärken und Vertrauen aufzubauen. Für Kunden trägt es dazu bei, bessere Ergebnisse zu erzielen.

Entdecken Sie die Commvault Readiverse Academy und bauen Sie das Fachwissen auf, das Ihr Team auszeichnet – mit rollenbasiertem Lernen, praxisorientierten Schulungen und Zertifizierungen, die auf praktische Anwendbarkeit ausgelegt sind.

FAQs

F: Warum reicht Technologie allein nicht aus, um Cyber-Resilienz zu erreichen? A: Technologie liefert die notwendigen Werkzeuge zum Schutz und zur Wiederherstellung von Daten, doch erfolgreiche Cyber-Resilienz hängt auch von den Menschen ab, die diese Werkzeuge einsetzen. Qualifizierte Fachkräfte sind unerlässlich, um wirksame Strategien zu entwickeln, auf Bedrohungen zu reagieren und im Falle von Störungen eine schnelle Wiederherstellung zu ermöglichen.

F: Welche Rolle spielt kontinuierliches Lernen für die Cyber-Resilienz? A: Kontinuierliches Lernen hilft Fachkräften dabei, angesichts sich weiterentwickelnder Cyberbedrohungen, sich wandelnder Technologien und neu entstehender Best Practices auf dem neuesten Stand zu bleiben. Außerdem trägt es dazu bei, Vertrauen in die Zusammenarbeit mit Kunden aufzubauen und Teams darauf vorzubereiten, immer komplexere Herausforderungen im Bereich der Resilienz zu bewältigen.

F: Was ist die Commvault Readiverse Academy? A: Die Readiverse Academy ist platform von Commvault, platform rollenbasierte Schulungen, praktische Übungen, flexible Lernpfade und Zertifizierungen anbietet. Die Programme sind darauf ausgelegt, Fachkräften aus den Bereichen Vertrieb, Technik, Beratung, Architektur und Support dabei zu helfen, praktisches Fachwissen im Bereich Cyber-Resilienz aufzubauen. F: Wie profitieren Kunden von der Zusammenarbeit mit hochqualifizierten Partnern?
A: Kunden erhalten Zugang zu vertrauenswürdigen Experten, die ihnen helfen können, Risiken zu reduzieren, die Readiness zu verbessern, Bereitstellungen zu beschleunigen und die Recovery-Readiness zu stärken. Dieses Fachwissen hilft Unternehmen dabei, bessere Ergebnisse aus ihren Investitionen in Cyber-Resilienz zu erzielen. F: Warum sind Zertifizierungen im Bereich Cyber-Resilienz wichtig? A: Zertifizierungen tragen dazu bei, praxisnahes Wissen und die Einsatzbereitschaft zu bestätigen, und vermitteln sowohl Partnern als auch Kunden Vertrauen in die Fähigkeiten eines Fachmanns. Außerdem fördern sie die berufliche Weiterentwicklung und zeugen von der Bereitschaft, das Fachwissen auf dem neuesten Stand zu halten.

F: Wie können sich Partner auf die Zukunft der Cyber-Resilienz vorbereiten? A: Partner können sich vorbereiten, indem sie in kontinuierliche Weiterbildung investieren, rollenspezifisches Fachwissen aufbauen und sich an die sich wandelnden Anforderungen an die Resilienz anpassen. Der Aufbau einer Kultur des kontinuierlichen Lernens hilft Teams dabei, effektiv zu bleiben, während sich die Kundenerwartungen und die Bedrohungslage ständig weiterentwickeln. Thomas Kestner ist Global Director für Partner Solutions & Services Enablement im Bereich WW Education Services bei Commvault.

Derzeit wird viel über Cyber-Resilienz diskutiert. Dabei liegt der Schwerpunkt meist auf der Technologie: Erkennungsgeschwindigkeit, Recovery-Architektur, KI-gestützte Sicherheitsabläufe.

All diese Aspekte sind wichtig. Doch nach meinem Gespräch mit Dr. Erika Voss, SVP und Global Chief Security & Data Officer bei Blue Yonder, sowie Sam Archey, VP of Trust bei Blue Yonder, kam ich immer wieder auf etwas viel Grundlegenderes zurück: Vertrauen. Nicht Vertrauen als Slogan oder Marketingbotschaft, sondern Vertrauen als etwas Praktisches. Etwas, das bewusst im Laufe der Zeit aufgebaut und in den Momenten auf die Probe gestellt wird, in denen Organisationen unter größtem Druck stehen.

Diese Unterscheidung kann von Bedeutung sein, denn bei der Resilienz geht es heute nicht mehr nur um die Wiederherstellung von Systemen. Es geht auch darum, wie Organisationen kommunizieren, wie sie führen und wie sie das Vertrauen aufrechterhalten, während sich die Unsicherheit noch weiterentwickelt. Und für ein Unternehmen wie Blue Yonder, das im Zentrum globaler Lieferketten agiert, wird diese Herausforderung noch deutlicher. Die ganze Folge ansehen.

Das Wichtigste auf einen Blick: Was modernes Cyber-Vertrauen tatsächlich erfordert

• Vertrauen entsteht durch Beständigkeit, nicht durch Perfektion. Kunden erwarten in der Regel keine sofortigen Antworten, wohl aber Transparenz und Zuverlässigkeit.
• Resilienz ist eine praktische Angelegenheit, keine theoretische. Kommunikation, Koordination und Entscheidungsprozesse können genauso wichtig sein wie technische Kontrollmaßnahmen.
• Starke Beziehungen, die bereits vor einem Vorfall aufgebaut wurden, können darüber entscheiden, wie effektiv Teams während eines Vorfalls reagieren.
• Die Widerstandsfähigkeit der Lieferkette kann die Risiken erhöhen, da sich Störungen auf miteinander vernetzte Ökosysteme auswirken.
• Unternehmen werden zunehmend nicht danach beurteilt, ob Vorfälle auftreten – sondern danach, wie sie darauf reagieren, wenn sie auftreten.

Resilienz und Vertrauen

Eines wurde schon sehr früh in dieser Diskussion deutlich: Erika und Sam betrachten Resilienz nicht als eigenständige Sicherheitsfunktion. Sie betrachten sie als Vertrauensfunktion. Die meisten Organisationen unterscheiden nach wie vor zwischen diesen beiden Konzepten:

• Der Sicherheitsdienst kümmert sich um die technischen Maßnahmen.
• Die Abteilung „Kommunikation“ ist für den Nachrichtenverkehr zuständig.
• Die Führung greift ein, wenn eine Eskalation erforderlich ist.

Was Blue Yonder jedoch aufgebaut hat, ist weitaus stärker integriert. Ihr Ansatz berücksichtigt, dass das Vertrauen der Kunden in Echtzeit durch das operative Verhalten geprägt wird – und nicht nur durch technische Ergebnisse. Und in einer Lieferkette, in der unzählige Unternehmen miteinander vernetzt sind, kann dieses operative Verhalten unglaublich deutlich zutage treten. Wenn innerhalb dieses Ökosystems etwas schiefgeht, bleiben die Auswirkungen selten auf diesen Bereich beschränkt. 

Der Moment, in dem das Vertrauen wirklich auf die Probe gestellt wird

Eines der wichtigsten Themen, das sich durch das gesamte Gespräch zog, war die Frage, wie schnell Vertrauen verloren gehen kann – und wie bewusst Organisationen vorgehen müssen, um es zu bewahren. Erika brachte es auf den Punkt: Kunden bewerten nicht mehr, ob Unternehmen Vorfälle erleben. Das ist in der modernen Bedrohungslandschaft mittlerweile eine Selbstverständlichkeit. Was sie bewerten, ist etwas viel Spezifischeres: Haben sie es zuerst von Ihnen erfahren? Diese Unterscheidung hat Auswirkungen darauf, wie Organisationen die Reaktion auf Vorfälle angehen sollten.

Jahrelang war es bei Cybervorfällen oft üblich, mit der Kommunikation zu warten, bis jedes Detail überprüft worden war. Doch heute ist es so, dass Schweigen schneller als fast alles andere Unsicherheit schüren kann.

Kunden erwarten in der Regel keine vollständigen Antworten in der ersten Stunde. Sie wollen eine Bestätigung. Sie wollen Präsenz. Sie wollen wissen, dass jemand aktiv an dem Problem arbeitet und bereit ist, transparent zu kommunizieren, während sich die Lage noch entwickelt. Genau dort entsteht das operative Vertrauen. Und laut Erika und Sam können diese ersten 60 Minuten eine größere Rolle spielen, als den meisten Unternehmen bewusst ist.

Vorschau: Vertrauen ist in einer Krise entscheidend

In diesem Ausschnitt aus dem STRIVE-Gespräch erörtern wir, wie die ersten 60 Minuten der Reaktion das Vertrauen der Kunden stärken, Verzögerungen bei der Weiterverbreitung verringern und langfristige Geschäftsbeziehungen prägen können.

Vertrauen aufbauen, bevor man es braucht

Das Vertrauen, das Blue Yonder bei seinen Kunden aufgebaut hat, entstand nicht während einer einzigen Krise. Es wurde im Laufe der Zeit durch wiederholte Interaktionen aufgebaut – durch Transparenz, Reaktionsfähigkeit und operative Disziplin, lange bevor Druck ins Spiel kam. Das Gleiche gilt auch intern. Eine Sache, die sowohl Erika als auch Sam betonen, ist die Bedeutung der Beziehungen zwischen den Teams, bevor Vorfälle auftreten. Sicherheit, Kommunikation, Technik, Betrieb und Führung müssen bereits im Voraus wissen, wie sie zusammenarbeiten müssen. Andernfalls findet die erste echte Bewährungsprobe für die Zusammenarbeit erst während einer Krise statt – was der denkbar schlechteste Zeitpunkt sein kann, um eine operative Abstimmung herzustellen. Deshalb widmen sie der Prozessreife, der Einbindung der Beteiligten und der Durchführung von Simulationsübungen so viel Zeit. Nicht, weil diese Aktivitäten theoretischer Natur sind. Sondern weil sie Vertrautheit schaffen. Und Vertrautheit trägt dazu bei, Reibungsverluste zu verringern, wenn der Druck steigt. 

Warum Tabletop-Übungen wichtiger sind, als die meisten Organisationen glauben

Es gab einen besonders praxisnahen Teil des Gesprächs über Tabletop-Übungen, von dem ich glaube, dass viele Organisationen davon profitieren könnten. Allzu oft werden Tabletop-Übungen zu reinen Compliance-Maßnahmen. Etwas, das Unternehmen ein- oder zweimal im Jahr durchführen, um Anforderungen zu erfüllen, und dann wieder vergessen. Doch die Herangehensweise von Blue Yonder ist wesentlich operativer. Für sie sind Tischspiele eine Übung zur Koordinationsfähigkeit.

• Wer trifft die Entscheidungen?
• Wie läuft eine Eskalation ab?
• Welche externen Partner müssen einbezogen werden?
• Wie wirken die Bereiche Recht, Kommunikation und Technik zusammen?

Diese Fragen gewinnen bei Live-Vorfällen enorm an Bedeutung. Und wenn die Teams sie nicht im Vorfeld geklärt haben, kann dies die Reaktion sofort verlangsamen. Sam beschrieb, wie Teams allmählich verstehen lernen, wie es sich tatsächlich anfühlen kann, unter Druck in einen Vorfall hineingezogen zu werden. Diese Erfahrung ist wichtig, da sie dazu beiträgt, ein motorisches Gedächtnis aufzubauen – nicht nur für technische Teams, sondern auch für Führungskräfte und operative Entscheidungsträger.

Die Organisationen, die sich am effektivsten erholen, improvisieren selten alles in Echtzeit. Sie haben es geübt.

Die menschliche Seite der Resilienz

Was mir an diesem Gespräch am besten gefallen hat, war, wie sehr es in der menschlichen Realität der Resilienzarbeit verwurzelt war. Cyber-Resilienz wird oft ausschließlich unter technologischen Gesichtspunkten betrachtet. Doch letztendlich sind es oft immer noch die Menschen, die den Ausgang bestimmen.

• Wie Führungskräfte kommunizieren.
• Wie Teams zusammenarbeiten.
• Wie sich Organisationen verhalten, wenn Informationen unvollständig sind.

Diese Faktoren tragen ebenso zur Stärkung des Kundenvertrauens bei wie Wiederherstellungsfristen oder technische Kontrollmaßnahmen. Und die vielleicht wichtigste Erkenntnis von Erika und Sam ist, dass Vertrauen nicht in einfachen Zeiten gewonnen wird. Es wird in Zeiten der Unsicherheit gewonnen. In Zeiten der Unklarheit. In den Momenten, in denen Organisationen Transparenz dem Schweigen und Beständigkeit der Perfektion vorziehen müssen.

Die ganze Folge ansehen

In dieser Diskussion erfahren Sie:

• Wie Blue Yonder das Vertrauen der Kunden in die Praxis umsetzt.
• Warum Beständigkeit wichtiger sein kann als sofortige Perfektion.
• Die Rolle der Kommunikation bei Cybervorfällen.
• Wie Simulationsübungen die Widerstandsfähigkeit stärken.
• Warum sich die Rahmenbedingungen für die Cyber-Wiederherstellung in Lieferkettenumgebungen ändern können.

Jetzt anschauen.

FAQs

F: Warum ist Vertrauen für die Cyber-Resilienz so wichtig?

A: Weil Kunden Unternehmen zunehmend danach beurteilen, wie sie bei Vorfällen reagieren, und nicht nur danach, ob es überhaupt zu Vorfällen kommt.

F: Was bedeutet „Vertrauen als Betriebsmodell“?

A: Das bedeutet, dass Vertrauen durch das Verhalten im Tagesgeschäft, eine konsequente Kommunikation und Transparenz kontinuierlich gestärkt wird – nicht nur in Krisenzeiten.

F: Warum sind die ersten 60 Minuten nach dem Notruf so wichtig?

A: Eine frühzeitige Kommunikation kann die Wahrnehmung der Kunden beeinflussen, Unsicherheiten abbauen und dazu beitragen, in sich rasch verändernden Situationen Glaubwürdigkeit aufzubauen.

F: Inwiefern tragen Tabletop-Übungen zur Stärkung der Widerstandsfähigkeit bei?

A: Sie helfen den Teams dabei, Koordinations-, Eskalations- und Kommunikationsabläufe zu üben, bevor es zu tatsächlichen Vorfällen kommt.

F: Was ist die wichtigste Erkenntnis aus dieser Diskussion?

A: Diese Widerstandsfähigkeit ist in der Regel eng mit dem Vertrauen in die Betriebsabläufe verbunden, und Unternehmen sollten dieses Vertrauen aufbauen, bevor sie es am dringendsten benötigen.

F: Wie können Unternehmen dazu beitragen, das Vertrauen der Kunden bei Vorfällen zu stärken?

A: Indem man konsequent kommuniziert, Transparenz in den Vordergrund stellt und schon lange vor dem Ausbruch einer Krise eine starke interne Koordination aufbaut.

Chris Mierzwa ist Senior Director für Portfoliomarketing bei Commvault.

Die wichtigsten Erkenntnisse

• Cyber-Resilienz in MEDITECH-Umgebungen geht über Datensicherung und -wiederherstellung hinaus; ihr Schwerpunkt liegt auf der Aufrechterhaltung der Patientenversorgung und der Betriebskontinuität bei Störungen.
• Einrichtungen des Gesundheitswesens sind einem erheblichen Ransomware-Risiko ausgesetzt, weshalb eine schnelle und zuverlässige Wiederherstellung für den klinischen Betrieb unerlässlich ist.
• Herkömmliche Datenschutzkonzepte tragen den komplexen Abhängigkeiten zwischen klinischen Systemen, Anwendungen und Arbeitsabläufen oft nicht Rechnung.
• Wirksame Wiederherstellungsstrategien müssen die Wiederherstellung miteinander verbundener Systeme koordinieren, um Ausfallzeiten und betriebliche Beeinträchtigungen zu minimieren.
• Der auf MEDITECH ausgerichtete Ansatz von Commvault verbindet Snapshot-basierten Schutz, automatisierte Wiederherstellungsabläufe und Transparenz bei der Wiederherstellung, um die Ausfallsicherheit und die Notfallvorsorge zu stärken.

Wenn Ransomware oder Betriebsstörungen klinische Systeme beeinträchtigen, können sich die Auswirkungen rasch auf die gesamte Organisation ausbreiten, Arbeitsabläufe stören, die Produktivität der Mitarbeiter beeinträchtigen und die rechtzeitige Versorgung gefährden. In solchen Momenten ist die Fähigkeit, sich schnell und sicher wieder zu erholen, genauso wichtig wie die Vermeidung der Störung von vornherein. Aus diesem Grund konzentriert sich der Ansatz von Commvault zum Schutz von MEDITECH-Umgebungen auf Wiederherstellbarkeit, Ausfallsicherheit und Betriebsbereitschaft und nicht nur auf die Datensicherung.

Das Gesundheitswesen gehört nach wie vor zu den Branchen, die am stärksten von Ransomware bedroht sind. In einer MEDITECH-Umgebung können Ausfallzeiten die Arbeitsabläufe bei der Medikamentenverabreichung unterbrechen, den Zugriff auf Diagnoseinformationen verzögern und das Personal zu manuellen Umgehungslösungen zwingen, die sowohl das Risk als auch die Komplexität erhöhen. In diesem Zusammenhang reicht eine Strategie, die auf dem Papier gut aussieht, nicht aus. Gesundheitssysteme müssen darauf vertrauen können, dass Recovery auch unter realem Druck funktioniert. Genau hier kann Commvault einen entscheidenden Unterschied machen.

Warum herkömmlicher Datenschutz für MEDITECH nicht ausreicht

Viele Organisationen stützen sich nach wie vor auf Datenschutzkonzepte, die für allgemeine IT-Umgebungen entwickelt wurden und nicht den betrieblichen Gegebenheiten im Gesundheitswesen Rechnung tragen. Die Wiederherstellung von MEDITECH erfordert ein Verständnis der Abhängigkeiten zwischen den Anwendungen, der Wiederherstellungsreihenfolge, der Validierungs-Checkpoints sowie der Notwendigkeit, klinische Systeme mit minimalen Unterbrechungen wieder in Betrieb zu nehmen.

Eine erfolgreiche Wiederherstellungsstrategie muss mehr umfassen als nur die Wiederherstellung von Daten. Sie muss die koordinierte Wiederherstellung kritischer Systeme, Anwendungen und Arbeitsabläufe unterstützen, auf die sich medizinisches Fachpersonal täglich verlässt. Commvault hilft Unternehmen dabei, diese Komplexität zu bewältigen – mit einer ausfallsicheren Architektur, optimierten Wiederherstellungsabläufen und einem besseren Überblick über die Wiederherstellungsbereitschaft.

Wie Commvault MEDITECH in der Praxis schützt

Der Ansatz von Commvault zum Schutz von MEDITECH-Systemen ist darauf ausgelegt, den betrieblichen Gegebenheiten dieser Umgebungen gerecht zu werden. Anstatt auf ein einheitliches Backup-Modell zu setzen, unterstützt die Lösung Unternehmen dabei, anwendungskonsistente Sicherungspunkte für kritische MEDITECH-Workloads zu erfassen und gleichzeitig Störungen des Produktionsbetriebs auf ein Minimum zu reduzieren.

Diese Architektur bietet Organisationen im Gesundheitswesen einen praktischen Weg zu einer schnelleren und sichereren Wiederherstellung. Der auf Snapshots basierende Schutz ermöglicht eine schnelle Wiederherstellung und sorgt so für operative Ausfallsicherheit, während die längerfristige Aufbewahrung von Backups die Möglichkeiten für Audits, die Einhaltung von Vorschriften und eine umfassendere Cyber-Sicherheitsvorsorge verbessert. Das Ergebnis ist ein Modell, das sowohl die tägliche Wiederherstellbarkeit als auch die Planung der Ausfallsicherheit für schwerwiegendere Störungen unterstützt.

Wie sich Cyber-Resilienz in der Praxis gestalten kann

Wenn Ransomware über Nacht zuschlägt

Stellen Sie sich ein regionales Krankenhaus vor, das über Nacht Opfer einer Verschlüsselungsattacke wird. In einem solchen Szenario kann die Möglichkeit, Daten aus unveränderlichen Sicherungskopien wiederherzustellen und einen strukturierten Wiederherstellungsplan umzusetzen, den Unterschied zwischen einem langwierigen Ausfall und einer kontrollierten Wiederherstellung ausmachen. Commvault unterstützt Unternehmen dabei, dieses Risiko zu minimieren – mit sicheren Wiederherstellungsoptionen, die darauf ausgelegt sind, kritische Systeme schnell und fehlerfrei wieder in Betrieb zu nehmen.

Wenn die Backup-Infrastruktur ins Visier gerät

Angreifer versuchen zunehmend, die Backup-Infrastruktur zu kompromittieren, bevor sie Ransomware einsetzen. Daher ist die Widerstandsfähigkeit der Architektur von entscheidender Bedeutung. Mit unveränderlichem Schutz und isolierten Wiederherstellungsoptionen sorgt Commvault dafür, dass saubere Wiederherstellungspunkte auch dann verfügbar bleiben, wenn Angreifer Zugriff auf Produktionssysteme erlangen.

Wann ein Nachweis der Genesung erforderlich ist

Cyberversicherer, Wirtschaftsprüfer und Compliance-Verantwortliche verlangen zunehmend Nachweise dafür, dass die Wiederherstellungsfähigkeiten getestet, dokumentiert und betrieblich einwandfrei sind. Commvault unterstützt diese Bereitschaft durch Validierungsworkflows, Berichterstellung und Nachweise, mit denen Organisationen im Gesundheitswesen ihre Ausfallsicherheit bereits vor dem Eintreten eines Vorfalls unter Beweis stellen können.

Wie Commvault die Ausfallsicherheit von MEDITECH unterstützt

Commvault unterstützt Unternehmen dabei, MEDITECH-Datenbankvolumes mit anwendungskonsistenten Wiederherstellungspunkten zu schützen und schafft so eine solidere Grundlage für die Wiederherstellung, falls klinische Systeme beeinträchtigt werden.

Wiederherstellung unter Berücksichtigung der MEDITECH-Abhängigkeiten

Die Wiederherstellung von MEDITECH ist häufig mit komplexen Abhängigkeiten zwischen Systemen und Datenbanken verbunden. Der Ansatz von Commvault unterstützt den koordinierten Schutz kritischer Workloads und ein Wiederherstellungsmodell, das darauf ausgelegt ist, Systeme in der richtigen Reihenfolge wieder in Betrieb zu nehmen.

Validierte Wiederherstellung mit flexibler Aufbewahrung

Durch die Kombination von Optionen für eine schnelle Wiederherstellung mit einer längerfristigen Aufbewahrung von Backups unterstützt Commvault Teams im Gesundheitswesen dabei, ihre Ausfallsicherheit über das anfängliche Snapshot-Fenster hinaus zu stärken und eine umfassendere Strategie für Wiederherstellungstests, Validierung und Notfallvorsorge zu entwickeln.

Besserer Einblick in die Wiederherstellungsbereitschaft

Eine solide MEDITECH-Resilienzstrategie hängt von operativer Klarheit ab. Commvault unterstützt Teams dabei, Schutz-Workflows zu zentralisieren, den Überblick über die Wiederherstellungsbereitschaft zu verbessern und die Verwaltung kritischer Datensicherungsaufgaben zu vereinfachen.

Einhaltung gesetzlicher Vorschriften und Versicherungsbereitschaft

Von dokumentierten Wiederherstellungsabläufen bis hin zu Aufbewahrungsstrategien, die bei Audits und Compliance-Gesprächen helfen – Commvault unterstützt Organisationen im Gesundheitswesen dabei, ihre Compliance-Dokumentation zu verbessern und eine ausgereiftere Resilienz zu demonstrieren.

Warum die Umsetzung wichtig ist

Eine erfolgreiche Ausfallsicherheit in einer MEDITECH-Umgebung hängt nicht nur von der Auswahl der richtigen platform ab. Sie erfordert auch die Einhaltung validierter Bereitstellungsanforderungen, Infrastrukturkompatibilität und ein Sicherheitskonzept, das der tatsächlichen Funktionsweise von MEDITECH-Systemen in der Praxis Rechnung trägt. Für Organisationen im Gesundheitswesen kann diese Disziplin bei der Umsetzung genauso wichtig sein wie die Wiederherstellungstechnologie selbst. Eine gut durchdachte Resilienzstrategie trägt dazu bei, dass Teams Wiederherstellungsprozesse wie erwartet durchführen können, wenn sie am dringendsten benötigt werden.

Warum gerade jetzt?

Ransomware-Bedrohungen entwickeln sich ständig weiter, und Angreifer nehmen zunehmend die Backup-Infrastruktur ins Visier, bevor sie die Verschlüsselung einsetzen. Gleichzeitig verlangen Cyberversicherer und Compliance-Verantwortliche Nachweise für getestete Wiederherstellungsfähigkeiten und nicht nur für installierte Tools. Für Gesundheitsorganisationen, die MEDITECH einsetzen, ist es dringender denn je, bereits vor dem Eintreten eines Vorfalls Resilienz aufzubauen. Wenn Organisationen heute in die Wiederherstellungsbereitschaft investieren, können sie ihren Betrieb besser schützen, die Wiederherstellung beschleunigen und die Auswirkungen von Störungen in entscheidenden Momenten minimieren.

Im Gesundheitswesen hängt die Bereitschaft zur Wiederherstellung letztlich vom Vertrauen ab: vom Vertrauen darauf, dass kritische Daten geschützt sind, vom Vertrauen darauf, dass Systeme in der richtigen Reihenfolge wiederhergestellt werden können, und vom Vertrauen darauf, dass die Ausfallsicherheit bereits vor dem Eintreten einer Krise getestet wurde. Das ist der Standard, den Commvault Unternehmen in MEDITECH-Umgebungen hilft zu erreichen, und die Grundlage für einen stärkeren, selbstbewussteren Ansatz im Hinblick auf Cyber-Resilienz.

Unternehmen können diese Grundlage weiter stärken, indem sie mit einem auf das Gesundheitswesen spezialisierten Commvault Managed Service Provider zusammenarbeiten. Neben der Technologie selbst erhalten die Teams im Gesundheitswesen Zugang zu Fachwissen, das ihnen dabei helfen kann, Schutzstrategien an die MEDITECH-Anforderungen anzupassen, die Implementierung sicherer zu gestalten und die laufende Betriebsbereitschaft zu verbessern. Für Organisationen im Gesundheitswesen, die sich mit der Komplexität von MEDITECH auseinandersetzen, kann diese Kombination aus ausfallsicherer Technologie und auf das Gesundheitswesen spezialisiertem Fachwissen dazu beitragen, die Vorbereitungen zu beschleunigen und die Ergebnisse bei der Wiederherstellung zu verbessern – gerade dann, wenn es darauf ankommt.

Abschließende Gedanken

Bei der Wiederherstellung in einer MEDITECH-Umgebung geht es um mehr als nur die Wiederinbetriebnahme der Systeme. Es geht darum, die klinischen Arbeitsabläufe wiederherzustellen, auf die sich das Pflegepersonal bei der Patientenversorgung verlässt. Da sich Ransomware-Bedrohungen ständig weiterentwickeln und Organisationen im Gesundheitswesen unter zunehmendem Druck stehen, operative Resilienz unter Beweis zu stellen, darf die Readiness nicht länger als reine Compliance-Maßnahme oder bloße Backup-Strategie betrachtet werden. Organisationen, die Wiederherstellbarkeit, Validierung und Cyber-Resilienz priorisieren, bevor ein Vorfall eintritt, sind besser aufgestellt, um Störungen zu minimieren, die Patientenversorgung zu schützen und im entscheidenden Moment sicher wieder den Betrieb aufzunehmen. Erfahren Sie, wie Commvault Organisationen im Gesundheitswesen dabei unterstützt, die Ausfallsicherheit von MEDITECH zu stärken, die Wiederherstellung zu beschleunigen und mehr Vertrauen in ihre Fähigkeit zu schaffen, Cyberangriffe abzuwehren. Weitere Informationen finden Sie auf unserer MEDITECH-Dokumentationsseite.

FAQs

F: Warum ist Cyber-Resilienz für MEDITECH-Umgebungen besonders wichtig?

A: MEDITECH-Umgebungen unterstützen wichtige klinische und betriebliche Arbeitsabläufe, die sich unmittelbar auf die Patientenversorgung auswirken. Cyberresilienz hilft Organisationen im Gesundheitswesen, sich schnell von Störungen zu erholen, während wesentliche Dienste aufrechterhalten und Unterbrechungen der Versorgung minimiert werden.

F: Inwiefern unterscheidet sich Cyber-Resilienz von herkömmlichen Backup- und Wiederherstellungsverfahren?

A: Bei herkömmlichen Backup- und Wiederherstellungsmaßnahmen liegt der Schwerpunkt in erster Linie auf der Wiederherstellung von Daten nach einem Vorfall. Die Cyber-Resilienz erweitert diesen Fokus um die Betriebskontinuität, eine schnelle Wiederherstellung sowie proaktive Maßnahmen, die dazu beitragen, die Auswirkungen von Störungen zu minimieren.

F: Warum reichen herkömmliche Datenschutzlösungen für Organisationen im Gesundheitswesen oft nicht aus?

A: Viele herkömmliche Lösungen sind für allgemeine IT-Umgebungen konzipiert und berücksichtigen möglicherweise nicht die komplexen Wechselbeziehungen zwischen Anwendungen, Systemen und Arbeitsabläufen im Gesundheitswesen. Infolgedessen kann die Wiederherstellung langsamer verlaufen und größere Störungen verursachen.

F: Welche Herausforderungen stellen Ransomware-Angriffe für Gesundheitsdienstleister dar?

A: Ransomware kann den Zugriff auf klinische Daten beeinträchtigen, die medizinische Versorgung verzögern und die betrieblichen Abläufe erschweren. Einrichtungen des Gesundheitswesens benötigen Wiederherstellungslösungen, die eine schnelle Wiederherstellung ermöglichen und Vertrauen in die Ergebnisse der Wiederherstellung schaffen.

F: Wie unterstützt Commvault den Schutz und die Wiederherstellung von MEDITECH?

A: Der Ansatz von Commvault ist auf die betrieblichen Anforderungen im Gesundheitswesen zugeschnitten und bietet anwendungskonsistenten Schutz, automatisierte Wiederherstellungsprozesse sowie Transparenz hinsichtlich der Wiederherstellungsbereitschaft, um Ausfallzeiten zu reduzieren.

F: Welche Vorteile bieten Snapshot-basierter Schutz und automatisierte Wiederherstellung?

A: Der auf Snapshots basierende Schutz ermöglicht eine schnellere Wiederherstellung kritischer Systeme, während automatisierte Wiederherstellungsabläufe dazu beitragen, die Wiederherstellungsmaßnahmen zu optimieren. Zusammen verbessern sie die betriebliche Ausfallsicherheit und stärken die Vorsorge für künftige Störungen.

Chris DiRado ist Leiter des Bereichs Product Experience bei Commvault.

Wenn wir über Cyber-Resilienz sprechen, dreht sich das Gespräch meist um Technologie: Tools, Plattformen, Automatisierung. All das ist wichtig. Aber wenn etwas schiefgeht, sind es nicht diese Dinge, die darüber entscheiden, wie gut eine Organisation reagiert. Menschen sind. In dieser Folge von STRIVE habe ich mich mit Dr. Jessica Barker unterhalten, Co-CEO von Cygenta und einer führenden Expertin für die menschlichen und psychologischen Aspekte der Cybersicherheit. Ich habe sie gebeten, einen Aspekt der Resilienz zu beleuchten, der nicht immer genügend Beachtung findet – die menschliche Seite. Was passiert, wenn der Druck steigt, wenn Entscheidungen schnell getroffen werden müssen und wenn Teams gezwungen sind, auf eine Weise zusammenzuarbeiten, an die sie vielleicht nicht gewöhnt sind? Sehen Sie sich die gesamte Folge an, um zu erfahren, was sie zu sagen hatte.

Das Wichtigste auf einen Blick: Was die menschliche Seite offenbart

• Technologie versagt nicht von allein – Menschen und Prozesse spielen dabei immer eine Rolle.
• Selbstvertrauen unter Druck entsteht durch Vorbereitung, nicht durch Instinkt.
• Eine klare Zuständigkeit für Entscheidungen trägt dazu bei, das Zögern bei Vorfällen zu verringern.
• Vertrauen zwischen den Teams trägt dazu bei, die Reaktion und die Wiederherstellung zu beschleunigen.
• Kultur spielt eine messbare Rolle bei der Resilienz – es geht nicht nur um Werkzeuge oder Architektur.

Wenn der Plan auf die Realität trifft

Jede Organisation hat einen Plan. Er wird dokumentiert, überprüft und oft auf höchster Ebene genehmigt. Doch die eigentliche Bewährungsprobe besteht nicht darin, wie dieser Plan auf dem Papier aussieht, sondern darin, wie er sich bewährt, wenn die Menschen unter Druck stehen.

Denn genau dann ändern sich die Dinge. Entscheidungen verlaufen nicht immer nach Plan. Die Kommunikation ist nicht immer klar. Prioritäten verschieben sich in Echtzeit. Und in solchen Momenten geht es bei der Resilienz weniger um Prozesse als vielmehr um Verhalten.

Vorschau: Cyber-Resilienz als kulturelle Norm

In dieser Szene aus der Folge betont Dr. Barker, wie wichtig es ist, die Cybersicherheit mit den Unternehmenswerten in Einklang zu bringen. Anstatt Sicherheit als Hindernis darzustellen, verankern widerstandsfähige Unternehmen sie in ihrer Kultur – als Motor für Produktivität, eine positive Einstellung und Unternehmenswachstum.

Die Rolle des Selbstvertrauens

Eines der immer wiederkehrenden Themen in diesem Gespräch ist das Vertrauen. Nicht das Vertrauen in die Tools – sondern das Vertrauen in die Menschen, die sie nutzen.

Teams, die bei Vorfällen gute Leistungen erbringen, raten nicht einfach. Sie haben ähnliche Szenarien bereits erlebt. Sie haben geübt. Sie wissen, wie sie reagieren müssen, auch wenn die Bedingungen nicht ideal sind. Dieses Selbstvertrauen zeigt sich in kleinen Details wie potenziell schnelleren Entscheidungen, klarerer Kommunikation und weniger Zweifeln im Nachhinein. Und im Laufe der Zeit können sich diese kleinen Unterschiede zu einer deutlich stärkeren Reaktion summieren. 

Entscheidungsfindung unter Druck

Wenn etwas schiefgeht, kommt es auf Schnelligkeit an – aber noch wichtiger ist Klarheit.

• Wer darf Entscheidungen treffen?
• Welche Befugnisse haben sie?
• Wann sollten sie die Angelegenheit an eine höhere Instanz weiterleiten?

Wenn diese Antworten nicht klar sind, zögern Teams. Und Zögern führt zu Lücken. Einer der wichtigsten Aspekte der Resilienz ist nicht nur die Festlegung von Prozessen – es ist die Festlegung der Entscheidungszuständigkeit. Wenn Menschen wissen, woran sie sind, handeln sie in der Regel schneller und selbstbewusster.

Vertrauen ist der Multiplikator

Technologie kann dazu beitragen, bessere und schnellere Reaktionen zu ermöglichen, aber Vertrauen kann diese noch beschleunigen. In den meisten Organisationen arbeiten Teams in ihren eigenen Bereichen. Die Sicherheitsabteilung konzentriert sich auf Bedrohungen, die Infrastrukturabteilung auf Systeme und der Betrieb auf Recovery. Diese Trennung funktioniert – bis ein Vorfall alle wieder zusammenbringt. Dann kommt es entscheidend auf Vertrauen an. Teams, die einander vertrauen:

• Informationen freizügiger weitergeben.
• Arbeiten Sie effektiver zusammen.
• Konzentrieren Sie sich auf die Ergebnisse statt auf die Zuständigkeit.

Ohne dieses Vertrauen können selbst gut durchdachte Prozesse ins Stocken geraten.

Warum Vorbereitung nach wie vor wichtig ist

Man könnte leicht annehmen, dass starke Einzelpersonen eine Reaktion allein bewältigen können. Doch selbst erfahrene Teams sind auf Vorbereitung angewiesen, beispielsweise auf Tabletop-Übungen, Simulationen, teamübergreifende Übungen und so weiter. Sie bilden das Muskelgedächtnis, auf das sich Teams verlassen, wenn echte Vorfälle eintreten. Ohne diese Vorbereitung sind selbst die fähigsten Teams gezwungen, zu improvisieren.

Die ganze Folge ansehen

In dieser Folge von STRIVE beschäftigen wir uns mit folgenden Themen:

• Wie menschliches Verhalten die Reaktion auf Vorfälle beeinflusst.
• Warum klare Entscheidungen unter Druck wichtig sind.
• Was unterscheidet selbstbewusste Teams von reaktiven?
• Wie Kultur die Ergebnisse der Genesung beeinflusst.
• Worauf sich Organisationen konzentrieren sollten, um ihre Widerstandsfähigkeit zu stärken.

Jetzt anschauen. Wenn Sie über Resilienz jenseits der Technologie nachdenken, ist dieses Gespräch Ihre Zeit wert.

FAQs

F: Warum ist die menschliche Seite der Resilienz wichtig?

A: Weil nicht die Technologie allein über den Erfolg entscheidet – sondern die Menschen. Ihre Entscheidungen, ihre Kommunikation und ihr Handeln unter Druck sind der Schlüssel zum Erfolg.

F: Welche Rolle spielt die Vorbereitung für die Resilienz?

A: Die Vorbereitung trägt dazu bei, Selbstvertrauen und Muskelgedächtnis aufzubauen, sodass Teams in realen Situationen effektiver reagieren können.

F: Wie wirkt sich Vertrauen auf die Reaktion auf Vorfälle aus?

A: Vertrauen trägt dazu bei, eine schnellere Zusammenarbeit, eine klarere Kommunikation und eine effizientere Entscheidungsfindung teamübergreifend zu ermöglichen.

F: Warum ist die Eigenverantwortung für Entscheidungen so entscheidend?

A: Ohne klare Zuständigkeiten zögern die Teams, was die Reaktion verlangsamen und das Risiko erhöhen kann.

Frage: Können leistungsstarke Tools schwache Prozesse ausgleichen?

A: Nein. Tools fördern zwar die Resilienz, doch ohne solide Prozesse und eine gute Abstimmung können sie keine wirksamen Ergebnisse erzielen.

F: Wo sollten Unternehmen mit der Verbesserung ansetzen?

A: Der Schwerpunkt liegt auf der teamübergreifenden Abstimmung, klaren Entscheidungsstrukturen und regelmäßigen szenariobasierten Tests.

Darren Thomson ist Vizepräsident und Chief Technology Officer für die Region EMEA bei Commvault.