Backup und Geschäftskontinuität für Schweizer KMU: So erstellen Sie den Plan

Warum Backup und Geschäftskontinuität ein einziges Sicherheitsnetz bilden

Montagmorgen, 7.30 Uhr: Die Produktion läuft auf Hochtouren. Dann bleiben die Maschinen stehen: Stromausfall im Betrieb, Server ausgefallen, Kühlsysteme stillgelegt. MTF Solutions nutzt dieses Szenario, um zu erklären, wozu das Management der Geschäftskontinuität dient.

Die Bedrohungsszenarien werden immer vielfältiger: gezielte Cyberangriffe, Naturkatastrophen, plötzliche Unterbrechungen der Lieferkette. Ein einzelner Ransomware-Angriff kann ein ganzes Unternehmen lahmlegen.

Backup und Geschäftskontinuität sind nicht dasselbe, bilden aber ein gemeinsames Sicherheitsnetz. Das Backup schützt die Daten. Die Geschäftskontinuität ist die Fähigkeit, die eigenen Dienstleistungen auch bei Serverausfällen, Blackouts, Cyberangriffen oder Naturkatastrophen weiter bereitzustellen.

Zurich erinnert daran, dass die meisten Unternehmen zum Stillstand kommen, wenn die IT ausfällt. Gemäss der von Zurich zitierten Studie Sophos «The State of Ransomware 2023» kostet eine Betriebsunterbrechung im Durchschnitt 1,85 Millionen Dollar.

Hinzu kommen Reputations- und Vertrauensverluste. Längere Ausfallzeiten können die Existenz eines KMU gefährden.

Für Schweizer KMU gibt es zudem eine geschäftliche Dimension. Kunden und Partner erwarten Lieferfähigkeit auch in Krisensituationen, schreibt MTF Solutions. Ein gut durchdachter Kontinuitätsplan wird so zu einem Qualitätsmerkmal.

Viele KMU schieben die notwendigen Massnahmen zur Kontinuitätssicherung auf und verfügen über keine strukturierten Ansätze. Grossunternehmen haben hingegen meist umfassende BCM-Strategien (Business Continuity Management).

Der Plan wird in einer festen Reihenfolge aufgebaut: Inventar, Risikoanalyse, Backup-Massnahmen, Wiederherstellungsstrategie, Rollen, Dokumentation, Tests, Checkliste. Zurich beschreibt den Business Continuity Plan als Weg in sechs Schritten; der erste besteht darin, Risiken zu identifizieren und zu bewerten.

Grundlegende Schritte für den Business Continuity Plan (BCP)

Kosten und Auswirkungen einer Unterbrechung für Schweizer KMU

IT-Inventar und kritische Prozesse: Wo man beginnt

Der erste Schritt ist die Inventarisierung der IT-Infrastruktur. Sie identifiziert Schwachstellen und bildet die Grundlage für eine zukunftsorientierte Strategie.

Die NIS2-Richtlinie stellt auch Schweizer KMU vor die Herausforderung, ihre Cybersicherheitsstrategien anzupassen. Die Chance liegt darin, das IT-System widerstandsfähiger und effizienter zu machen, nicht nur die neuen Anforderungen zu erfüllen.

Eine professionelle Inventarisierung geht über die einfache Bestandsaufnahme hinaus: Sie berücksichtigt die Netzwerkarchitektur, Systemkonfigurationen und Geschäftsprozesse. Die NIS2-Richtlinie, erinnert MTF Solutions, definiert zehn Hauptbereiche für ein konformes Inventar, darunter die Risikoanalyse und Sicherheitskonzepte. Die Analyse ist kein einmaliger Prozess, sondern die Basis für kontinuierliche Verbesserungen.

Die zehn Bereiche sind vernetzt und ergänzen sich: Die Struktur hilft, wichtige Aspekte nicht zu vernachlässigen und Synergien zwischen den einzelnen Bereichen zu nutzen. Zu den genannten Bereichen gehören die Überprüfung bestehender Sicherheitsrichtlinien zur Aktualisierung und die Integration neuer Risiken.

Das Inventar muss mit der Liste der kritischen Prozesse verknüpft werden, also jener Prozesse, die für das Überleben des Unternehmens entscheidend sind, von der Lieferkette bis zum Kundendienst. Ihre Identifizierung ist die erste der vier von Zurich genannten Grundkomponenten eines Kontinuitätsplans, zusammen mit Risikobewertung, Wiederherstellungsstrategie und Cybersicherheit.

MTF Solutions nennt ein branchenspezifisches Beispiel. Produzierende Unternehmen müssen stabile Lieferketten gewährleisten; Finanzdienstleister müssen die IT-Infrastruktur vor Cyberangriffen schützen.

Wenn Systeme personenbezogene Daten verarbeiten, muss das Inventar auch diese erfassen. Das neue Bundesgesetz über den Datenschutz (nDSG), seit dem 1. September 2023 in Kraft, deckt nur Daten natürlicher Personen ab, nicht mehr jene juristischer Personen.

Das nDSG zählt genetische und biometrische Daten zu den sensiblen Daten und führt die Prinzipien «Privacy by Design» und «Privacy by Default» ein. Praktisch bedeutet dies, Software, Hardware und Dienste so zu konfigurieren, dass sie die Daten schützen und die Privatsphäre der Nutzer bereits bei der Markteinführung wahren, wobei die Massnahmen automatisch aktiviert sind.

Auf Backups angewandt, betrifft dieses Prinzip die Auswahl der Systeme, die Verschlüsselung und die standardmässigen Zugriffseinstellungen.

Das nDSG ist am 1. September 2023 zusammen mit der neuen Datenschutzverordnung (DSV) und der neuen Verordnung über die Zertifizierungen im Bereich des Datenschutzes (VDZ) in Kraft getreten. Für Unternehmen bringt es acht wesentliche Änderungen mit sich.

Mit Entscheid vom 17. April 2026, rechtskräftig nach Ablauf der Rekursfrist, hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) Cream della Cream und Philipp Plein wegen Direktmarketing und Widerspruchsrecht sanktioniert.

Risikoanalyse und Bedrohungsszenarien

Die Analyse der Bedrohungslage beantwortet eine einfache Frage: Welche Faktoren könnten die Geschäftstätigkeit gefährden? MTF Solutions listet externe Einflüsse auf, von Cyberangriffen über Naturkatastrophen bis hin zu geopolitischen Risiken.

Zurich fügt technische Probleme hinzu, also nicht vorsätzliche Störungen. Es wird daran erinnert, dass die Risikobewertung dazu dient, mögliche Bedrohungen und deren Folgen zu analysieren.

Für ein KMU ist es sinnvoll, bei den kritischen Prozessen zu beginnen, nicht bei der Technologie. Für jeden Prozess werden die Szenarien aufgelistet, die ihn unterbrechen können. Man bewertet die Auswirkungen eines Ausfalls mit zunehmender Dauer (eine Stunde, ein Tag, eine Woche) und legt Prioritäten fest.

Daraus ergeben sich die Präventionsmassnahmen. Gezielte Massnahmen ermöglichen es, Bedrohungen frühzeitig zu identifizieren und zu minimieren. Die Früherkennung ist der Schlüssel, um zu verhindern, dass aus einem Risiko eine Krise wird.

Die Analyse muss wiederholt werden, wenn sich Infrastruktur, Lieferanten, Prozesse oder der externe Kontext ändern, denn was früher ein vernachlässigbares Risiko war, kann kritisch werden. Ein erfolgreicher Angriff bei einem Lieferanten oder einem wichtigen Kunden ist für das KMU ein Kontinuitätsrisiko, genau wie eine interne Störung.

Ransomware-sicheres Backup: Organisatorische und technische Regeln

Der von Swiss Cyber Defence DNA erarbeitete Massnahmenkatalog, präsentiert vom Verband SVV, widmet die erste Massnahme dem unveränderlichen Datenschutz, also dem Read-only-Backup. Er unterscheidet zwischen organisatorischen und technischen Massnahmen.

Im SVV-Katalog ist dies Massnahme Nr. 1: «Aktualisierter und unveränderlicher Datenschutz / Read-only-Backup». Es handelt sich um die erste der sechs Massnahmen.

Organisatorisch sind die für die Implementierung verantwortliche Person und die für die Überprüfung verantwortliche Person zu definieren. Ebenso ist festzulegen, wer auf die Daten zugreifen darf, wo das Backup extern gespeichert wird und welche Aufbewahrungsfristen unter Einhaltung der gesetzlichen Vorschriften gelten. Es ist sicherzustellen, dass keine Drittpartei Zugang zu den eigenen Daten hat.

Technisch sieht der Katalog vor, einen automatisierten Read-only-Backup-Prozess einzurichten. Das Backup muss unbedingt verschlüsselt sein. Das Backup-Medium ist vom Netzwerk zu trennen und offline zu lagern. Man sollte sich auf spezialisierte Unternehmen mit langjähriger Erfahrung stützen und prüfen, welche Softwareprogramme zur Wiederherstellung der eigenen Daten verwendet werden können.

Die Kombination aus Automatisierung und Offline-Speicher macht das Backup für einen Angreifer, der das Netzwerk kompromittiert hat, unbrauchbar. Der Wiederherstellungstest ist integraler Bestandteil der Massnahme: Swiss Cyber Defence DNA empfiehlt, die Datenwiederherstellung regelmässig zweimal pro Jahr zu testen. Eine Kopie, die nie wiederhergestellt wurde, ist nur eine Hypothese. Der Test überprüft die Zeiten, die erforderlichen Kompetenzen und die tatsächliche Integrität der Daten.

Wiederherstellungsstrategie: Redundanz, Cloud und alternativer Standort

Die Wiederherstellungsstrategie legt fest, wie die operative Tätigkeit so schnell wie möglich wiederaufgenommen werden kann. Zurich nennt zwei konkrete Beispiele: ein redundantes IT-System oder einen zweiten Standort. Die Wahl hängt davon ab, welche kritischen Prozesse zuerst reaktiviert werden müssen und wie lange das Unternehmen einen Ausfall verkraften kann.

Technisch kombinieren Kontinuitätslösungen automatische Backup-Systeme mit Technologien zur schnellen Wiederherstellung, On-Premise- und Cloud-Backups, redundante Cloud-Server, Firewalls und die kontinuierliche Überwachung der Infrastruktur. Die Echtzeitüberwachung dient dazu, Anomalien zu erkennen, bevor sie zu Störungen werden. Hinzu kommen proaktive Unterstützung, Remote-Support und skalierbare Cloud-Lösungen, gemäss dem Ansatz des Schweizer IT-Anbieters dpstudio.

Für jeden kritischen Prozess sollten zwei Ziele schriftlich festgelegt werden: innerhalb welcher Zeit er wieder verfügbar sein muss und wie viel Datenverlust akzeptabel ist. Aus diesen Zielen ergeben sich die Häufigkeit der Backups, die Wahl zwischen interner Redundanz und alternativem Standort sowie der Beizug externer spezialisierter Unterstützung, wenn das Unternehmen nicht über die internen Kompetenzen verfügt.

On-Premise-Backup vs. Cloud: Vor- und Nachteile

Basissicherheit im Plan

Zurich integriert die Cybersicherheit in die Komponenten des Kontinuitätsplans. Als präventive Massnahmen werden regelmässige Backups, Patches und Software-Updates sowie die Schulung der Mitarbeitenden genannt.

Die sechs von SVV präsentierten Massnahmen von Swiss Cyber Defence DNA decken denselben Bereich detaillierter ab. Sie berücksichtigen Organisation und Technologie gleichermassen. Sie gelten als Best Practice, um einen guten Reifegrad in der Cybersicherheit zu erreichen.

Die Massnahme bezüglich Schadsoftware ist Massnahme Nr. 2 des Katalogs. Sie folgt auf Massnahme Nr. 1, die dem unveränderlichen Datenschutz und dem Read-only-Backup gewidmet ist.

Die Massnahme zum Schutz vor Schadsoftware erfordert organisatorisch, eine Person zu benennen, die für die kontinuierliche Aktualisierung der Antivirensoftware verantwortlich ist. Im E-Mail-Programm ist zu definieren, welche potenziell gefährlichen Daten blockiert werden. Die Mitarbeitenden sind zu sensibilisieren und zu schulen, mit Schulungen zur Handhabung von E-Mails, Webseiten und Passwörtern. Die Zugangskontrolle, also die Definition, wer auf die Daten zugreifen darf, gehört zu den organisatorischen Massnahmen des Katalogs.

Diese Massnahmen haben auch praktische Auswirkungen: Laut SVV sind einige von ihnen normalerweise eine Voraussetzung für den Abschluss einer Cyber-Versicherung. Die Liste, so die Quelle, stellt keine vertraglichen Mindestanforderungen dar, sondern eine Checkliste. Sie ist mit Versicherern, Agenten, Vermittlern oder IT-Dienstleistern zu besprechen und entsprechend den eigenen Bedürfnissen umzusetzen.

Rollen, Abläufe und Krisenkontakte dokumentieren

Der Plan zur Geschäftskontinuität (Business Continuity Planning, BCP) enthält gemäss der Eidgenössischen Finanzkontrolle (EFK) die notwendigen Regelungen und Dokumente, um die Normalität schnell wiederherzustellen. Ohne diese Dokumentation hängen Entscheidungen im Notfall vom Gedächtnis und der Verfügbarkeit einzelner Personen ab. MTF Solutions betont, dass ein gut durchdachter BCP sicherstellt, dass alle Beteiligten genau wissen, was zu tun ist.

Der Mindestinhalt umfasst die kritischen Prozesse mit ihrer Reihenfolge der Reaktivierung und die schrittweisen Wiederherstellungsprozeduren, einschliesslich der ausführenden Personen und der verwendeten Tools. Er umfasst auch die Namen und Kontaktdaten der internen Verantwortlichen sowie die Kontakte externer Partner: IT-Lieferant, Versicherer, eventueller Berater. Er muss die Liste der zur Entscheidungsfindung befugten Personen enthalten.

Swiss Cyber Defence DNA fordert ausdrücklich, sowohl die für die Implementierung verantwortliche Person als auch die für die Überprüfung verantwortliche Person zu benennen, mit formalisierten Aufgaben. Das Dokument muss auch ohne Zugang zum Unternehmensnetzwerk verfügbar sein. Wenn die Infrastruktur kompromittiert ist, ist ein nur auf dem Server gespeicherter Plan nicht erreichbar.

Tests, Übungen und kontinuierliche Aktualisierung

Ein nicht getesteter Plan ist eine Absichtserklärung. Swiss Cyber Defence DNA empfiehlt, die Datenwiederherstellung regelmässig zweimal pro Jahr zu testen und eine benannte Person mit der Überprüfung zu beauftragen.

Zum technischen Wiederherstellungstest kommen szenariobasierte Übungen hinzu. Die Simulation eines längeren Blackouts, eines Serverausfalls oder eines Ransomware-Angriffs ermöglicht es, die tatsächlichen Zeiten, die Kommunikationskette und die Punkte, an denen der Plan ins Stocken gerät, zu überprüfen.

Auch die Analyse der IT-Landschaft ist kein einmaliger Prozess, sondern die Basis für kontinuierliche Verbesserungen. Dies ist das Prinzip, das MTF Solutions auf das NIS2-konforme IT-Inventar anwendet.

Dasselbe gilt für den BCP: Bei Tests aufgedeckte Lücken sind zu schliessen und zu verfolgen. Es ist anzugeben, wer die Aufgabe hat, jede Lücke zu schliessen.

Die Aktualisierung des Plans ist mit konkreten Ereignissen zu verknüpfen. Dazu gehören: neue Anwendungen oder Cloud-Dienste, Wechsel des IT-Lieferanten, neue Prozesse oder Standorte, Veränderungen im Schlüsselpersonal, neue Bedrohungsformen.

Ein im Vergleich zur realen Infrastruktur veralteter Plan ist schlimmer als kein Plan. Er erzeugt Wiederherstellungserwartungen, die nicht der Realität entsprechen.

Operative Checkliste für Schweizer KMU

Vollständiges IT-Inventar zu Netzwerk, Systemen, Anwendungen und Geschäftsprozessen. Es muss den zehn für ein NIS2-konformes Inventar angegebenen Bereichen folgen. Es ist anzugeben, wo personenbezogene Daten gespeichert sind, unter Einhaltung des nDSG und der Prinzipien von Privacy by Design und Privacy by Default.

Für das Inventar sind die zehn NIS2-Bereiche vernetzt und ergänzend. Zu den genannten gehören die Überprüfung bestehender Sicherheitsrichtlinien und die Integration neuer Risiken.

Liste der kritischen Prozesse, von der Lieferkette bis zum Kundendienst. Risikoanalyse pro Prozess, mit internen (technische Störungen) und externen Szenarien (Cyberangriffe, Naturkatastrophen, geopolitische Risiken, Unterbrechungen der Lieferkette) und deren Auswirkungen.

Automatisiertes, verschlüsseltes Read-only-Backup, mit vom Netzwerk getrenntem und offline gelagertem Speichermedium. Benannte Verantwortliche für Implementierung und Überprüfung, begrenzte Zugriffe und definierte Aufbewahrungsfristen unter Einhaltung der gesetzlichen Vorschriften. Test der Datenwiederherstellung mindestens zweimal pro Jahr.

Schriftliche Wiederherstellungsstrategie, mit redundantem IT-System oder zweitem Standort, On-Premise- und Cloud-Backups, kontinuierlicher Überwachung und spezialisierter Unterstützung. Basissicherheitsmassnahmen: aktualisierte Antimalware-Software, Patches und Updates, Blockierung gefährlicher Inhalte in E-Mails, Schulung der Mitarbeitenden zu E-Mails, Webseiten und Passwörtern, Zugangskontrolle.

Dokumentation des Plans: Wiederherstellungsprozeduren, Rollen, interne und externe Kontakte, Verfügbarkeit des Plans auch offline. Periodische Überprüfung mit Übungen, Schliessung von Lücken und Aktualisierung bei infrastrukturellen Änderungen, neuen Bedrohungen oder Prozessänderungen. Vorabprüfung mit dem eigenen Versicherer oder Vermittler, welche Massnahmen für eine Cyber-Deckung erforderlich sind.

Operative Checkliste für Schweizer KMU