Die Abhängigkeit von digitalen Infrastrukturen ist für Unternehmen in Deutschland zu einem zentralen Risikofaktor geworden. Ein Ausfall des Internets oder kritischer Cloud-Dienste legt Geschäftsprozesse binnen Minuten lahm. Was viele für eine theoretische Gefahr halten, ist längst Realität: Eine Bitkom-Befragung zeigt, dass Betriebe im Durchschnitt nur 20 Stunden ohne Internetverbindung arbeitsfähig bleiben – jeder fünfte Betrieb müsste die Arbeit sogar sofort einstellen. Dieser Beitrag analysiert, warum klassische IT-Sicherheit allein nicht ausreicht und welche Architekturprinzipien Unternehmen wirklich resilient machen.
Cybersicherheit ist nicht gleich Resilienz
Viele Unternehmen investieren massiv in Firewalls, Zugriffsschutz, Angriffserkennung und Backups. Das ist notwendig, aber nicht hinreichend. Denn selbst die beste Cybersicherheit verhindert nicht, dass ein Unternehmen etwa durch einen technischen Fehler bei einem Cloud-Anbieter, eine fehlerhafte Konfiguration in SaaS-Lösungen oder einen Ausfall der Domain-Verwaltung handlungsunfähig wird. In solchen Szenarien nützt der beste Virenschutz nichts, weil nicht die Sicherheit der Daten, sondern die Verfügbarkeit der gesamten Infrastruktur gefährdet ist. Diese Lücke zwischen IT-Sicherheit und Betriebsfähigkeit wird als Resilienzlücke bezeichnet – und sie ist weit verbreitet.
Das Problem liegt oft in unsichtbaren Abhängigkeiten: Authentifizierungsdienste, Netzwerkverbindungen zu Niederlassungen, Schnittstellen zu Lieferketten oder Maschinensteuerungen fallen im Alltag kaum auf. Fallen sie aus, stehen Prozesse still. Ein Backup schafft keine Abhilfe, weil es die Erreichbarkeit von Anwendungen nicht sicherstellt. Es sichert Daten, aber nicht den Betrieb.
Georedundanz: Das Fundament der Ausfallsicherheit
Resilienz erfordert eine grundlegend andere IT-Architektur. Unternehmen müssen priorisieren: Welche Geschäftsprozesse müssen unter allen Umständen weiterlaufen? Die Antwort auf diese Frage definiert die technischen Maßnahmen. Für jede kritische Anwendung sind die maximal zulässige Ausfallzeit und der tolerierbare Datenverlust festzulegen. Erst dann lässt sich entscheiden, welche Systeme hochverfügbar sein müssen oder wo ein verzögerter Wiederanlauf ausreicht.
Das zentrale Gestaltungsprinzip ist die Georedundanz. Es besagt, dass kritische Systeme und Daten nicht in einem einzigen Ausfallbereich liegen dürfen. Sie müssen auf mehrere, räumlich getrennte Standorte oder Regionen verteilt sein. Echte Georedundanz ist nicht gegeben, wenn sich zwei Systeme im selben Gebäude, am selben Stromanschluss oder derselben Netzwerkverbindung befinden. Sie entsteht erst durch separate Rechenzentren und alternative Verbindungswege.
Automatischer Failover – der entscheidende Schritt
Allein die Verteilung auf Standorte macht noch keine Resilienz. Der entscheidende Mechanismus ist der automatische Failover. Er sorgt dafür, dass bei einem Ausfall das System selbstständig und nach festgelegten Regeln auf eine funktionsfähige Umgebung umschaltet. Ohne diesen Automatismus müsste im Krisenfall unter Zeitdruck nach einer manuellen Lösung gesucht werden – ein riskantes Unterfangen. Monitoring-Tools müssen Störungen erkennen, priorisieren und den Failover auslösen, bevor der Geschäftsbetrieb merklich beeinträchtigt wird.
Wiederanlauf: Tests und klare Abläufe
Wenn eine Störung überwunden ist, beginnt die kontrollierte Rückkehr in den Normalbetrieb. Hochverfügbarkeit ersetzt keine Wiederanlaufstrategie. Die gespiegelte Umgebung muss kontrolliert auf die ursprünglichen Systeme zurückübertragen werden. Diese Vorgehensweise muss jedoch erprobt sein. Regelmäßige Tests sollten alle Funktionen und Prozesse umfassen. Der gesamte Geschäftsprozess – inklusive aller Schnittstellen zu Dienstleistern und Partnern – muss auch in der Ersatzumgebung einwandfrei laufen.
Viele Notfallkonzepte scheitern an scheinbar kleinen Abhängigkeiten, die bei der Planung übersehen wurden. Nach einem Cyberangriff oder einer fehlerhaften Datenänderung ist zudem besondere Vorsicht geboten: Die gespiegelte Umgebung kann dieselben Schäden enthalten wie das Ursprungssystem. Funktionierende Wiederherstellungswege müssen ausgearbeitet und ebenfalls regelmäßig geprüft werden. Ein nicht getesteter Notfallplan ist wertlos.
Digitale Souveränität als Resilienzfaktor
Eng mit der Resilienz verbunden ist die digitale Souveränität. Ein Unternehmen bleibt im Krisenfall nur dann handlungsfähig, wenn es die Kontrolle über seine Daten und Anwendungen behält. Das bedeutet nicht zwingend die vollständige Unabhängigkeit von externen Anbietern, sondern vor allem die Fähigkeit, Alternativen technisch und organisatorisch nutzen zu können. Eine enge Bindung an proprietäre Funktionen eines einzelnen Anbieters kann den Failover behindern oder unmöglich machen.
Resilienz ist kein optionales Feature der Digitalisierung. Sie darf nicht erst nach einem größeren Vorfall zum Thema werden. Jede digitale Infrastruktur benötigt eine Architektur, die Störungen einkalkuliert und vorhersieht. Systeme müssen in der Lage sein, schnell auf Ersatzumgebungen zu wechseln und anschließend kontrolliert wiederhergestellt zu werden. Erst mit dieser Fähigkeit werden sie zu einem verlässlichen Fundament für digitale Geschäftsprozesse. Das Ziel ist ein Betrieb, der auch unter schwierigen Bedingungen handlungsfähig bleibt.
