Vorstellung von MTCR: Die bisher fehlende Kennzahl für den Erfolg bei der Cyber-Recovery

MTCR misst, wie lange es dauert, Systeme und Daten nach einem Cyberangriff vollständig wiederherzustellen – frei von Malware, Beschädigungen oder Persistenz. 

RTO und RPO messen Zeit- und Datenverluste. MTCR misst das Vertrauen. Eine schnelle Recovery ist sinnlos, wenn die Bedrohungen weiterhin bestehen. 

Dazu müssen Backups überprüft werden, nachversteckte Gefahren gescannt und wiederhergestellte Workloads validiert werden – was weitaus komplexer ist als ein einfaches Failover. 

Angreifer manipulieren zunehmend Backups und verschleiern ihre Persistenz, wodurch die Identifizierung intakter Daten zur zeitaufwändigsten Phase der Recovery wird. 

Es bietet Führungskräften einen realistischen Maßstab für die Qualität der Recovery und ermöglicht so intelligentere Investitionen und eine bessere Vorbereitung. 

Sehen Sie sichhierdas Video mit dem zeitgestempelten Transkript an

Willkommen zu unserer Diskussion über einen neuen Ansatz zum Thema Cyber-Resilienz: ➡ Mean Time to Clean
„Recovery“ (MTCR).

Bei mir sind zwei Experten, die dieses MTCR-Konzept entwickelt haben: Darren Thomson, Field CTO bei
Commvault, der eng mit Unternehmen aus verschiedenen Branchen an Resilienz- und

Strategien sowie Duncan Bradley, Leiter des Bereichs Sicherheit und Resilienz für Großbritannien und Irland bei Kyndryl
. Sie haben die ursprüngliche Vorreiterrolle für das MTCR übernommen. Und

seit Jahren wird der Erfolg der Recovery in Unternehmen daran gemessen, wie schnell Systeme wiederhergestellt werden
können.

Wir verwenden Abkürzungen wie RTO und RPO – RTO steht für „Recovery Time Objective“ (Wiederherstellungszeitziel) und RPO für „Recovery Point“
Ziel (Wiederherstellungspunktziel).

Doch in der heutigen Bedrohungslandschaft wissen wir, dass Geschwindigkeit allein nicht gleichbedeutend mit Sicherheit ist und auch
garantiert nicht den Erfolg der Recovery.

Wenn die wiederhergestellten Daten nicht fehlerfrei und vertrauenswürdig sind, besteht die Gefahr, dass Ihre Recovery zu
Fortsetzung eines weiteren Angriffs wird.

Hallo.

Ich bin Danielle Sheer, Chief Trust Officer bei Commvault.

Und ich verbringe einen Großteil meiner Zeit damit, Vorständen und Führungskräften klarzumachen, dass Cyberrisiken mit Geschäftsrisiken einhergehen
.

Ich freue mich sehr darauf, die heutige Diskussion zu leiten und zu erläutern, warum dieses neue Konzept, das MTCR,
nicht nur eine weitere technische Kennzahl ist, sondern der Unternehmensstandard, der mittlerweile in den

zur Vorstandsetage gehört.

Lassen Sie uns das einmal versuchen.

Ja, danke, Danielle.

Und danke für die tolle Einleitung.

Gerade in diesem Jahr, 2025, haben wir vor allem im Vereinigten Königreich, aber eigentlich weltweit,
vor allem in Europa, einige gezielte Angriffe auf den Einzelhandel erlebt.

Und wir haben aus erster Hand miterlebt, wie schwer es für diese Einzelhändler war, den Kontakt
die Verbindung zu ihren Kunden aufrechtzuerhalten und – was noch wichtiger ist – ihre Systeme wiederherzustellen.

In diesem Jahr war ich persönlich an einem bestimmten Angriff beteiligt, der etwa Mitte April stattfand
2025 begann.

Und um Ihnen einen kleinen Eindruck davon zu vermitteln, wie lange es gedauert hat, bis sich das Unternehmen
wieder erholt hatte:

Im April kam es im Wesentlichen zu einem Ransomware-Vorfall.

Und in dieser Zeit hat das Unternehmen hervorragende Arbeit geleistet, um den
Den Vorfall zwar nicht vollständig zu stoppen, aber zumindest einzudämmen und seine Ausbreitung zu verhindern.

Im Mai ging man dazu über, die Art und den Umfang – ich
um den „Blast Radius“ des Angriffs zu ermitteln.

Und sie begannen, nach außen zu kommunizieren.

Von Mai bis Anfang August fand dann die eigentliche Recovery-Prozedur für die Systeme statt.

Mit anderen Worten: Es dauerte fast drei Monate bis in den August hinein, und dann erfolgte die Wiederinbetriebnahme der Systeme erst
schrittweise, sozusagen in Phasen.

Warum also all diese Zeit – drei Monate –, um das Unternehmen wieder
online stellen?

Nun, ein Großteil dieser Zeit wurde damit verbracht, die richtigen Daten zu finden – die „sauberen“ Daten.

Die einwandfreien Systeme, auf die sich das Unternehmen verlassen konnte, um wieder mit seinen
Mit Kunden in Kontakt zu treten und als Einzelhändler Umsatz zu generieren.

Und genau dieser Zeitraum von etwa drei Monaten ist bezeichnend für das, worüber wir hier sprechen
wollen.

Das Unternehmen muss anfangen, der IT-Abteilung
weitere Fragen zu stellen, um an einen Punkt zu gelangen, an dem nicht nur Versprechungen darüber gemacht werden können, wie schnell

wir die Systeme wiederherstellen können,

sondern auch darüber, wie sauber diese Systeme sein werden, wie sauber
welche Daten das sein werden.

Andernfalls befürchte ich, dass wir weiterhin erleben werden, dass es in der Regel zwei, drei,
manchmal sogar vier oder fünf Monate dauert, bis die Systeme wieder in Betrieb sind.

Wissen Sie, okay, das ist faszinierend.

Sie haben uns viel Stoff zum Nachdenken gegeben.

Duncan, lassen Sie mich nun noch einmal zum Anfang zurückkommen.

Können Sie uns die Definition von MTCR erläutern?

Erläutere uns die fünf Säulen und warum dies in diesem
In diesem Umfeld – dieser Bedrohungslandschaft – ist dies für uns der richtige Weg, um den Erfolg der Recovery zu messen.

Ja, klar, Danielle.

Ich halte das für wirklich wichtig.

Wir haben das Konzept der „Mean Time to Clean Recovery“ entwickelt, damit es wirklich zu einer geschäftlichen Kennzahl wird
ist, die das Unternehmen nachvollziehen kann.

Es geht darum, wie lange es dauert, bis das System wieder online ist, wie Darren bereits sagte.

Mit sauberen Daten und mit Systemen, die wieder funktionieren und in den Produktionsbetrieb zurückkehren können.

Die meisten Unternehmen haben sich wirklich darauf konzentriert, dass ihre Systeme online verfügbar sind
sind, ohne zu begreifen, dass diese Cyberangriffe die Daten und die Plattformen lahmlegen,

, die diese Abläufe unterstützen, lahmlegen.

Wenn es also zu einem Cyber-Recovery-Vorfall kommt, geht es eher darum, dass man von Tag eins an
bis zum Recovery-Point

sauberen Umgebung wiederherstellen.

Das dauert oft Tage, wie Darren am Beispiel des Einzelhandels bereits erwähnt hat.

Anschließend müssen Sie alle Ihre grundlegenden Dienste neu aufbauen.

Anschließend müssen Sie Ihre Plattformen wieder in Betrieb nehmen und saubere Daten
darauf wiederherstellen.

Und bei den Arten von Angriffen, die wir beobachten, kommt es häufig vor, dass die Daten bereits
Tage, wenn nicht sogar Wochen vor dem Angriff kontaminiert waren.

Daher müssen Sie Ihre Backups überprüfen und diese fehlerfreien Daten wieder in die Produktionsumgebung übernehmen.

Dieser MTCR (Mean Time to Clean Recovery) soll als geschäftlicher Indikator dienen, um Folgendes zu verdeutlichen:

Wie lange können Sie sich einen Ausfall leisten?

Wie lange wären Sie heute arbeitsunfähig, wenn dieses Ereignis eintreten würde?

Dies dient dann dazu, die IT- und CC-Abteilungen dazu anzuspornen, diese Zeit
bis zur Recovery zu verkürzen.

Und worin unterscheidet sich MTCR von herkömmlichen Kennzahlen?

Es klingt so, als wären viele der herkömmlichen Kennzahlen in einer einzigen, umfassenderen Kennzahl zusammengefasst.

Nun, ich denke, hier kommen die Zielvorgaben für die Recovery-Zeiten ins Spiel.

Wie lange dauert es, bis das System wieder online ist?

Dabei wird nicht berücksichtigt, um welche Art von Daten es sich auf dieser Plattform handelt.

Wissen Sie, normalerweise wird die Verfügbarkeit als Kriterium herangezogen.

Wie lange dauert es, bis ich von Rechenzentrum A auf Rechenzentrum B umschalte – und das
Bei einem herkömmlichen, ähm, Angriff auf die Infrastruktur?

Die Wiederherstellung der Daten ist ein viel komplizierteres Unterfangen.

Es geht nicht nur darum, einen Datensatz wiederherzustellen.

Es geht darum, die Plattform wieder online zu bringen.

Wenn man also an Identitätsdienste denkt, muss die Identitätsverwaltung funktionieren, bevor jemand auf die Daten zugreifen kann
.

Nur zu messen, wie schnell es dauert, eine Datenbank wiederherzustellen,

bedeutet noch nicht, dass dieser Geschäftsprozess wieder online ist.

Und es ist wirklich darauf ausgelegt, diese verschiedenen Säulen der Systeme zu bündeln, die Sie
wieder in Betrieb nehmen müssen, damit der Geschäftsprozess wieder funktioniert.

Und Danielle, wenn ich das mal so sagen darf: Ich glaube, das deutet auf ein größeres Problem hin.

Es ist also sehr leicht, in diesem Gespräch auf technische Aspekte einzugehen.

Und tatsächlich bietet dies in vielerlei Hinsicht eine Möglichkeit, die technische Organisation zu bewerten.

Aber ich glaube, hier geht es um ein organisatorisches Problem.

Was wir immer wieder beobachten, ist, dass eines der kulturellen Probleme bei der Wiederherstellung
von Systemen – und einer der Gründe, warum es in vielen Fällen so lange dauert, wie es in meinem

Ein Beispiel dafür war, dass wir es tatsächlich mit zwei Teams zu tun haben, die hier
Verantwortung übernehmen müssen.

Da gibt es natürlich das traditionelle Infrastrukturteam, dessen Mitarbeiter für Backup and Recovery zuständig sind
sind – sie haben zweifellos eine Aufgabe zu erfüllen, aber es sind nicht mehr nur sie.

Es ist auch das Sicherheitsteam.

Ein Team, das Ihnen beispielsweise mithilfe forensischer Analysen sagen kann, wo sich das intakte Backup befindet, wo die
ob die Daten unversehrt sind und wie stark die Systeme infiziert sind – das ist Aufgabe des Sicherheitsteams.

Wenn diese Teams also bei der Recovery nicht zusammenarbeiten, unterschiedliche
Wenn man verschiedene Sprachen spricht oder sich an unterschiedlichen Maßstäben misst, entsteht ein Problem

und das beginnt bei der Unternehmenskultur.

Eine Möglichkeit, darüber nachzudenken, besteht darin, RPO und RPO – das angestrebte Ziel der Recovery – zu betrachten:

Wie lange werde ich für die Wiederherstellung brauchen?

Recovery Point Objective: Wie viele Daten werde ich voraussichtlich benötigen?

Und das verbindet man mit dem Bereich der Forensik, einer Disziplin der Sicherheit.

Nun haben wir MTCR.

Dabei ist das „C“ wichtig.

Die Sauberkeit dieser Daten ist wirklich, wirklich entscheidend.

Und der Ausgangspunkt, über den wir hier zweifellos diskutieren werden, lautet: Lassen wir doch einfach das Unternehmen diese Frage stellen
.

Wie lange brauchen wir, um unsere Systeme wieder in einen sauberen Zustand zu versetzen?

Und was wir jeden Tag beobachten, ist, dass diese Frage zwar nicht schwer zu stellen, aber sehr schwer
zu beantworten ist – insbesondere dort, wo es diese kulturelle Kluft zwischen

dem Sicherheits- und dem Infrastrukturteam besteht.

Ich bin fest davon überzeugt, dass genau darin die Genialität des MTCR liegt: Man nimmt eine Reihe sehr
technischer Konzepte, an denen sich IT- und Sicherheitsteams messen, und verwandelt sie in

etwas, worüber man mit CEOs und Vorstandsmitgliedern sprechen kann.

Um dein Beispiel, Darren, eines Einzelhändlers zu Weihnachten aufzugreifen, der Opfer eines Cyberangriffs wurde
erlebt hat: Wie würdest du MTCR einsetzen, wenn du vor einem Vorstand stünden, um

erklären, was passiert ist und wie der Recovery-Prozess abläuft?

Nun, ich werde mit der Antwort beginnen und sie dann an Duncan weitergeben, damit er sie
abschließt, denn es gibt einen Teil dieses Papiers, für den Duncan maßgeblich verantwortlich war und der sich wirklich

Gruppierung

von Assets, die zu einem Dienst zusammengefasst werden.

Aber ich möchte zunächst sagen, dass es einige Diskussionen gibt, die geführt werden müssen, die aber sehr
oft nicht stattfinden.

Eine davon betrifft die Risikobereitschaft.

Wer sind wir also als Unternehmen?

Was für ein Unternehmen sind wir?

Ein Einzelhändler – typischerweise ist die Risikobereitschaft hier eher gering bis mittel, irgendwo
in diesem Bereich.

Aber das muss definiert werden, damit wir im weiteren Verlauf, wenn wir beginnen, die
Die Risiken um uns herum zu verstehen und entscheiden zu können, was akzeptabel ist und was nicht

beispielsweise durch unsere Versicherung abgedeckt werden sollte und was unbedingt integriert werden
muss.

Das ist also das erste Gespräch.

Im zweiten Gespräch geht es dann um die Frage: Was ist hier das „Minimal Viable Company“?

Es ist völlig unrealistisch anzunehmen, dass ein Unternehmen – ganz gleich, wie groß sein Budget auch sein mag – in der Lage sein wird,
, alle Geschäftsbereiche schnell wiederherzustellen.

Was ist also in diesem Geschäft wirklich entscheidend?

Das ist ein sehr, sehr tiefgreifendes und interessantes Gespräch, das man mit den meisten Unternehmen führen kann.

Die meisten Unternehmen können sich eine Welt ohne IT gar nicht vorstellen.

Daher fällt es ihnen sehr schwer, die Geschäftsprozesse zu entwirren und darüber zu sprechen:
Wie würde das aussehen, wenn wir wieder mit Papier arbeiten würden?

Aber genau dieses Gespräch muss irgendwie stattfinden.

Und das führt uns zu dem, was wir als MVC bezeichnen, einem „Minimal Viable Company“.

Das heißt: Was muss in der Anfangsphase – oder in welchem Zeitrahmen auch immer wir
Gibt es welche?

Was sind die Dinge, ohne die dieses Unternehmen überhaupt nicht funktioniert, ohne die wir nicht arbeiten können?

Und das ist eine sehr, sehr wichtige Diskussion.

Was man dann tun kann, ist, das MTCR-Konzept auf das „Minimal Viable Company“ anzuwenden.

Und nun übergebe ich das Wort an Duncan, der uns erklären kann, was einen guten Service ausmacht.

Wie betrachten wir das im Zusammenhang mit Dienstleistungen?

Und danke, Darren.

Und noch einmal: Dabei geht es nicht darum, die Sache zu kompliziert oder zu tiefgründig zu machen.

MTCR lässt sich mit der Messung der mittleren Zeit bis zur Recovery eines Geschäftsprozesses vergleichen,

eines kritischen Unternehmensdienstes, der dann in die übergeordnete Ebene einfließt, um das insgesamt minimal funktionsfähige Unternehmen zu bilden.

Es gibt also mehrere verschiedene MTCRs für unterschiedliche Geschäftsprozesse.

Ich habe erst heute mit einem Unternehmen aus der Konsumgüterbranche gesprochen, einer Brauerei, und
Dort hieß es: Wenn wir Daten im Umfang von vier Tagen verlieren, müssen wir buchstäblich

Bier im Wert von vier Tagen in den Abfluss schütten, da wir nicht nachweisen können, dass es trinkbar ist,
und es daher nicht verkaufen dürfen.

Bei diesem Konzept geht es also darum, diese Geschäftsprozesse zu zerlegen und dann dieses
MTCR als gemeinsame Geschäftssprache zu nutzen, um sagen zu können: „Okay, in meinem Prozess brauche ich“

dann: „Oh, dieser Prozess stützt sich auf verschiedene Arten von Anwendungen.“

Sie alle stützen sich auf grundlegende Dienste wie beispielsweise die Identitätsverwaltung und die Möglichkeit für Kunden,
, sich bei der Plattform anzumelden.

Dann gibt es Ihre Backend-Systeme, sei es in der Cloud oder vor Ort, Ihre Hypervisoren,
Ihre kritischen Cloud-Lösungen.

Ihre Frontend-Systeme, auf denen die eigentlichen Anwendungen laufen, und schließlich Ihre Benutzerzugangssysteme
– auch die Art und Weise, wie die Nutzer tatsächlich auf diese Lösung zugreifen: über PDAs, Kassenterminals

usw.?

Alle diese Komponenten müssen verfügbar sein, damit dieser Unternehmensdienst ausgeführt werden kann.

Das MTCR ist so konzipiert, dass der Geschäftsinhaber die Verantwortung dafür übernimmt.

Der erste Schritt auf diesem Weg ist dann ein Benchmark.

Wie sieht ihr aktuelles MTCR aus?

Wie lange würde es derzeit dauern, selbst wenn sie wieder auf fehlerfreie Daten zugreifen könnten?

Denn das ist derzeit das Schockierende daran: Die meisten Unternehmen verfügen
nicht über die Technologie, die es ihnen ermöglicht, ihre Backups zu schützen und

Ihre Backups auswerten, um fehlerfreie Daten zu extrahieren – und genau das ist das eigentliche geschäftliche Problem, das wir hier
lösen wollen.

Das ist sehr interessant.

Sie sagten: „Wie hoch ist der aktuelle MTCR?“

Der MTCR ist also kein Wert, der am Ende ermittelt wird, um zu messen, wie gut wir die Daten wiederhergestellt haben.

Der MTCR wird in regelmäßigen Abständen während des gesamten Angriffs ermittelt.

Und das liegt wahrscheinlich daran,

Wenn man die Recovery überstürzt, kann man tatsächlich noch mehr Schaden anrichten.

Könnten Sie etwas näher darauf eingehen?

Ja, darauf kann ich gerne eingehen.

Bevor ich das tue, hast du hier allerdings einen wirklich interessanten Punkt angesprochen,
das meiner Meinung nach noch weiter vertieft werden muss.

Der MTCR wird also nicht nur während der gesamten Recovery-Phase nach einem Angriff gemessen.

Man sollte es bereits vor dem Angriff messen.

Ich nenne das sozusagen „left of bang“.

Wenn wir dieses Konzept in den Vorstand einbringen, sehen wir, wie es sich in der gesamten Organisation durchsetzt
.

Und es wird gefragt: Was ist beispielsweise das MTCR für unser „Minimal Viable Company“?

Wir bekommen Antworten, die wir nicht hören wollen, wie zum Beispiel, dass wir gar nicht wissen, was ein „Minimal Viable
Das Unternehmen ist.

Oder selbst wenn wir es wissen: Realistisch betrachtet beträgt unser MTCR derzeit wahrscheinlich vier Monate.

Wir wollen diese Antworten nicht hören, aber wir müssen sie hören, damit wir uns auf Verbesserungen konzentrieren können
können.

Und das ist meiner Meinung nach ein wirklich, wirklich wichtiger Punkt.

Und Darren, um darauf einzugehen: Ich denke, es ist entscheidend für das Unternehmen, zu verstehen, was
sein MTCR heute ist, denn dies fließt dann tatsächlich in den Risk-Prozess ein.

Und es wird nicht immer eine technologische Lösung sein, die diese MTCR verkürzt.

Oftmals kann das Unternehmen, wenn es weiß, dass das Risiko
besteht, für

, kann es einen alternativen Business-Continuity-Plan integrieren –
auf Papier zurückgreifen, weißt du, das mag der schlimmste Fall sein, Darren, aber, weißt du, im Moment

Die Unternehmen verstehen die Risiken, gegen die sie sich absichern, nicht.

Und dieses MTCR soll dem Vorstand die Möglichkeit geben, sich an den CISO und dessen Team zu wenden
sich an sie zu wenden und zu fragen: „Wie lange wird der Ausfall heute realistisch gesehen dauern?“

Und wenn das dann ein akzeptabler Zeitraum ist – ich habe bereits eine Reihe solcher Untersuchungen durchgeführt, und oft
sind es …

28, 35 und 42 Tage kommen häufig vor.

Das Unternehmen ist dann völlig entsetzt darüber, dass es für diesen
Zeitraum, in dem man ohne IT-Dienste auskommen müsste.

Aber sie haben diese Anforderungen nie an den CIO oder die CISO-Organisationen gestellt und gesagt: Wir brauchen das
„Minimum Viable Company“ – diese Ressourcen müssen innerhalb von 24 Stunden wieder online sein.

Wie lassen sich diese Geschäftsprozesse so gestalten, dass sie innerhalb von 24 Stunden wiederhergestellt werden können?

Es muss sich um eine funktionale oder nicht-funktionale Anforderung des Unternehmens handeln, die besagt: „Das
Das sind unsere Anforderungen.“

IT, CISO, könnt ihr mir helfen, diese zu erfüllen?“

Und um noch einmal auf den Punkt zurückzukommen, den ich zuvor angesprochen habe: Es ist übrigens wirklich wichtig,
verstehen, dass diese Frage in gewisser Weise gar nicht an eines oder beide dieser

Teams gestellt werden kann.

Nur dann bekommt man eine Antwort, die irgendwie Sinn ergibt – auch wenn
es nicht die Antwort ist, die man sich wünscht – wenn sowohl das Infrastrukturteam als auch das Sicherheitsteam

im Raum sind, um sie zu beantworten.

Denn diese Frage lässt sich einfach nicht von einem dieser Teams allein beantworten.

Und das ist – noch einmal – aus kultureller Sicht so unglaublich wichtig, bevor wir uns überhaupt mit
der Technologie befassen.

Aus kultureller Sicht geht es darum, mit diesem Konzept ein
Verhalten zu fördern, das es heute noch nicht gibt.

Das stimmt.

Man versucht, Silos aufzubrechen.

Jede Organisation – sei es die IT-Abteilung, das Infrastrukturteam oder SecOps – denkt zwar: „Mein
Ein Teil läuft gut ‹, aber all diese Teile müssen zusammenwirken.

Und so bringt MTCR sie zusammen und regt sie dazu an, über dieses

Konzept des Risks in der Umgebung, da jede einzelne Person dabei eine Rolle spielt.

Und ich denke, das ist wirklich transformativ, da es jedem Einzelnen dieser
Führungskräften die Möglichkeit gibt, dies dem CEO oder dem Vorstand zu vermitteln und darüber zu sprechen, was

Das erleben Sie doch tatsächlich in Bezug auf die Recovery und bei Geschäftsrisiken, oder?

Absolut, das ist großartig.

Inwiefern hängt das nun mit einfachen Anforderungen zusammen?

Nicht ganz so einfach, aber Compliance-Anforderungen wie DORA und NIST 2.

Inwiefern, wenn überhaupt, geht das MTCR darauf ein?

Nun, ich fange mal an, wenn das okay ist, Duncan.

Hier sind also meine ersten Gedanken dazu: Weißt du, Danielle, du und ich haben uns diese DORA-Artikel schon oft gemeinsam angesehen
und über Compliance gesprochen.

Eines der Phänomene, die wir im Compliance-Bereich zunehmend beobachten – sei es bei
DORA, NIST 2 oder anderen globalen Vorschriften –, ist zum einen die Erwähnung von

Resilienz und was Resilienz im Gegensatz zu Sicherheit bedeutet, und zweitens: das Testen.

Hast du einen Plan?

Hast du den Plan für die Recovery getestet?

Nun, ich denke, das spricht direkt dafür, woran der Plan gemessen werden sollte.

Ich bin etwas besorgt darüber, dass viele der Vorschriften, die ich sehe – selbst die sich weiterentwickelnden und neueren
Vorschriften  – beziehen sich nach wie vor auf Aspekte wie die Disaster Recovery-Wiederherstellung.

Sie sind immer noch nicht sehr konkret darin, was eigentlich getestet werden sollte.

Ich habe sogar einige Erwähnungen von RPO und RTO gesehen.

Und in gewisser Weise ist ein solches Konzept wichtig, wenn Unternehmen
damit zu beginnen, die Vorschriften einzuhalten und zu einer Compliance überzugehen, die stark auf Resilienz ausgerichtet ist

ausgerichtet ist.

Was sollen wir hier also messen?

Denn wenn wir nur die alten Kennzahlen zur Notfall-Recovery messen, werden wir hier wirklich nicht sehr weit kommen
.

Was wir dann feststellen werden, ist: Wir werden angegriffen, greifen auf unseren DR-Plan zurück, führen ihn aus …
Und, Überraschung, Überraschung – wir können unser einwandfreies Backup nicht finden, und es dauert 30, 40, 50, 60

Tage, bis wir wieder einsatzfähig sind.

Wir müssen also unsere Denkweise ändern.

Und was die Compliance angeht, war es sehr erfrischend, einige der neuen Compliance-Richtlinien
und Zeitpläne einzusehen,

Resilienz, Recovery und Tests wurden bereits erwähnt, aber wir müssen sicherstellen, dass wir diese Themen
auf die richtige Art und Weise und mit den richtigen Rahmenbedingungen und Kontexten betrachten.

Ja, da stimme ich dir voll und ganz zu, Darren.

Wenn man sich viele der Anforderungen von DORA und die Aussagen der Europäischen
Was die Zentralbank in Bezug auf Stresstests betrifft, haben sich die meisten Organisationen so aufgestellt, dass

zum Scheitern verurteilt sind, denn es heißt, man müsse nachweisen, dass man sich innerhalb der eigenen Business-Impact-Toleranz bewegt
erholen kann.

Und die meisten Organisationen orientieren sich bei dieser Toleranz an den geschäftlichen Auswirkungen

an den Verfügbarkeitskennzahlen oder am alten DR-Plan orientiert, der besagt: „Ich kann innerhalb von vier Stunden vom Rechenzentrum A zum
Auf Rechenzentrum B umschalten.“

Man kann eine ganze Bank oder ein ganzes Finanzinstitut nicht innerhalb von vier Stunden wiederherstellen – das ist
unmöglich.

Deshalb denke ich – und das unterstreicht gewissermaßen die Notwendigkeit dieses neuen Vokabulars des MTCR –
, dass sie diese Geschäftstoleranz, diese Toleranz gegenüber geschäftlichen Einflüssen, neu überdenken und

sie neu definieren und sagen: Wenn ich zum Beispiel mein Kernsystem, mein Hauptbuch, verliere,

wie kann ich dann weiterarbeiten?

Nun, ich kann meinen Betrieb nicht aufrechterhalten.

Deshalb muss ich Notfallpläne erstellen, wie ich Teilprozesse durchführen kann, um dann zurücksetzen zu können
, sobald das Hauptbuch – im Finanzbeispiel – wieder online ist.

Was das Testen angeht – die meisten Unternehmen verweisen, wenn ich die Frage stelle: „Wann haben Sie CR zuletzt getestet?“
“, auf ihren herkömmlichen DR-Plan.

Sie verweisen nicht auf ihren Cyber-Recovery-Plan, da die meisten Unternehmen noch keinen

einen Cyber-Recovery-Plan vollständig konzipiert und umgesetzt haben.

Und dieser MTCR muss unbedingt eine der Schlüsselkennzahlen innerhalb dieses Cyber-Recovery-Plans sein
sein.

Sie haben sich Szenarien ausgemalt, vor denen Sie sich schützen und von denen Sie sich erholen möchten.

Und dann haben Sie eine MTCR-Kennzahl für diese verschiedenen Angriffsarten.

Es dient, wie ich bereits sagte, tatsächlich dazu, diese Lücke zwischen dem Unternehmen, der IT und dem CISO zu überbrücken.

Weißt du, Darren, du hast gesagt, es gehe darum, die Kultur zu verändern, und Duncan, du hast
gerade gesagt, dass so viele…

Verträge zwischen, äh, Organisationen schreiben eine Recovery-Zeit vor, und das ist bedeutungslos.

Es geht also nicht nur um die technischen Teams, sondern auch um die Teams für das Risikomanagement
des Unternehmens und die Juristen, die die Verträge ausarbeiten – sie müssen verstehen, dass RTO und RPO nicht ausreichen, sondern

dass der neue Standard eine lückenlose Recovery ist.

Und jeder muss verstehen, was das Endergebnis sein sollte, und nicht nur die einzelnen Schritte
auf dem Weg dorthin, die

vielleicht bedeutungslos sind, oder?

Ja, ich finde, das ist ein wirklich guter Punkt.

Und ich gehe fest davon aus, dass wir – während wir dieses Konzept weiter vorantreiben und Workshops zur
bezug auf die bevorzugte Risikohaltung, alle tragfähigen Geschäftsmodelle und das MTCR – werden feststellen,

werden feststellen, dass vielleicht viel mehr Menschen als bisher – die traditionell mit dem Recovery-Prozess in Verbindung gebracht wurden –
– ein Interesse an diesen

Workshops einbringen.

Genau aus den Gründen, die du genannt hast, Danielle.

An alle Führungskräfte, die zuhören:

Ich möchte Sie alle dazu ermutigen, sich den vollständigen Bericht anzusehen.

Er trägt den Titel „Redefining Cyber Recovery, Introducing Mean Time to Clean Recovery“.

Und ich habe noch eine Frage an Duncan und Darren: Ihr habt heute viele
Themen behandelt.

Ihr habt das Ganze anhand eines konkreten Anwendungsbeispiels für ein echtes Unternehmen veranschaulicht, was sehr einleuchtend ist.

An alle Führungskräfte, die zuhören: Wo fangen wir an?

Wo fangen wir sofort an?

Wir haben den Bericht gelesen und möchten dieses Konzept in unseren Unternehmen, in unseren
in den Geschäftsbereichen einführen.

Wie fangen wir damit an?

Nun, als Führungskraft ohne technisches Hintergrundwissen würde ich vorschlagen, ein Treffen zu vereinbaren
zwischen dem Verantwortlichen für die Bereitstellung der Infrastruktur im Unternehmen – in der Regel dem CIO –

und dem Verantwortlichen für Cybersicherheit im Unternehmen – in der Regel einem CISO  – auch wenn dies nicht immer der Fall sein muss  –,
ein Treffen mit diesen beiden Personen, diesen beiden Führungskräften, einzuberufen und die Frage zu stellen: Wie

Schnell – nehmen wir zum Beispiel Ransomware

Nehmen wir als Beispiel – denn diese ist weit verbreitet und wir sind alle von Ransomware betroffen.

Außerdem: Im Falle einer Ransomware-Katastrophe – wie schnell könnten Sie gemeinsam den
Den Geschäftsbetrieb wiederherstellen und mir garantieren, dass die Daten, die ich bald für die Führung des

, einwandfrei sind?

Ich garantiere Ihnen, dass aus diesem einen Treffen fünf weitere Treffen entstehen werden, denn die
Antwort ist nicht einfach.

Dies erfordert eine teamübergreifende Zusammenarbeit.

Außerdem ist ein Umdenken erforderlich.

Und ich glaube, ich würde etwas sehr Ähnliches sagen, abgesehen davon, dass ich den Kreis
wird der Kreis der Teilnehmer wahrscheinlich erweitert, um Personen wie den Chief Risk Officer und die Beschaffungsabteilung in diese Diskussion einzubeziehen.

Denn die meisten Unternehmen schweigen sich in der Regel über diese Cyber-Recovery aus, egal
ob es sich um einen SaaS-Vertrag oder einen Outsourcing-Vertrag handelt.

Wann kann ich wieder auf saubere Daten von Recovery zugreifen?

Denn bei den meisten dieser Vertragsarten haftet der Kunde für
seine Daten verantwortlich.

Die Infrastrukturanbieter und die SaaS-Anbieter sind für die
verantwortlich für die Infrastruktur, die diesen Dienst unterstützt.

Es sind also sie, die die Verantwortung dafür übernehmen müssen, ihre sauberen
Daten wiederherzustellen.

Aber sie müssen diese Informationen dann auch recht schnell an ihre Führungskräfte weitergeben, um zu versuchen,
, um wirklich zu verstehen, was unser MVC ist, denn Unternehmen – wie Sie bereits erwähnt haben –

Darren, man kann es sich einfach nicht leisten und wird niemals in der Lage sein, die gesamten Unternehmenssysteme
innerhalb sehr kurzer Zeit wiederherzustellen.

Der Schlüssel liegt hier in der Prioritätensetzung, und nur das Unternehmen selbst kann beurteilen, was für es im Falle einer Cyberkatastrophe am wichtigsten ist
ist.

Darren, CTO bei Commvault, Duncan, äh, Leiter des Bereichs Sicherheit und Ausfallsicherheit bei Kyndryl.

Vielen Dank.

Als nächste Schritte hoffe ich, dass ihr dieses MTCR-Konzept in die Praxis umsetzt und Führungskräfte
dabei helft, es in Workshops zu erarbeiten.

Und ich gehe fest davon aus, dass wir erleben werden, wie sich dies weltweit durchsetzt, während wir unseren Unternehmen dabei helfen
, das für sie passende MVC zu erarbeiten.

Vielen Dank, dass Sie sich heute Zeit genommen haben.

Danke, Danielle.