Ein Business-Continuity-Plan (BCP) ist das Dokument, das festlegt, wie Ihr Unternehmen seine kritischen Produkte und Dienstleistungen weiter liefert, wenn etwas den Betrieb unterbricht: welche Prozesse zuerst wiederhergestellt werden, in welcher Zeit, mit welchen Ressourcen und wer die Entscheidungen trifft. Ein funktionierender Plan hat immer dieselben Bausteine: Geltungsbereich und Aktivierungskriterien, Teams und Rollen, kritische Prozesse mit ihren Wiederanlaufzeiten, Strategien und Verfahren für die Wiederherstellung, Kommunikation sowie einen Test- und Überprüfungsplan.
Weiter unten finden Sie drei Beispiele nach Unternehmenstyp und eine Gliederung als Vorlage, die Sie nach Word übernehmen und mit Ihren Inhalten füllen können.
Die drei Werte, auf denen der Plan aufbaut
Bevor Sie eine einzige Seite schreiben, braucht der Plan für jeden kritischen Prozess drei Werte. Sie stammen aus der Business-Impact-Analyse (BIA), nicht aus dem Bauchgefühl der IT-Leitung.
- MTPD (maximal tolerierbare Ausfallzeit). Der Zeitpunkt, ab dem der Schaden nicht mehr hinnehmbar ist: Kundenverlust, Bußgelder, Vertragsverletzungen oder ein Reputationsschaden, der sich nicht mehr beheben lässt.
- RTO (Wiederanlaufzeit). Die Frist, in der Sie zusagen, dass der Prozess wieder läuft, notfalls im eingeschränkten Betrieb. Immer unterhalb der MTPD, mit Puffer für das, was schiefgehen kann.
- RPO (maximal tolerierbarer Datenverlust). Wie viele Daten Sie verlieren dürfen, gemessen in Zeit. Ein RPO von 15 Minuten heißt, dass bei der Wiederherstellung höchstens die Transaktionen der letzten 15 Minuten fehlen dürfen.
Mit diesen drei Werten können Sie die Strategie wählen. Ein RTO von vier Stunden verlangt einen vorbereiteten Ausweichstandort; bei fünf Tagen lässt sich die Alternative auch erst beauftragen, wenn der Vorfall eintritt.
Beispiele für einen Business-Continuity-Plan nach Unternehmenstyp
Die drei Fälle dienen der Veranschaulichung: Wir haben sie konstruiert, um die Überlegungen zu zeigen, es sind keine realen Kunden oder Zahlen. Die Zeiten hängen von Unternehmensgröße, Verträgen und Regulierung ab. Verstehen Sie sie als Denkweise, nicht als Werte zum Abschreiben.
Finanzinstitut: Zahlungen und Überweisungen von Kunden
Szenario. Ein Ransomware-Angriff legt das Hauptrechenzentrum an einem Werktag um 10 Uhr morgens lahm. Kernbankensystem und Zahlungsplattform reagieren nicht.
MTPD von 8 Stunden. Gehen die Gehalts- und Lieferantenzahlungen der Firmenkunden nicht am selben Tag raus, wird aus Ärger ein Vertragsbruch: Kunden, die ihre Beschäftigten nicht bezahlen können, Beschwerden und ein schwieriges Gespräch mit der Aufsicht. Die Grenze setzt der Tagesabschluss.
RTO von 4 Stunden und RPO nahe null. Vier Stunden lassen Spielraum, damit selbst bei einem gescheiterten ersten Wiederherstellungsversuch noch vor dem Tagesabschluss abgewickelt werden kann. Der RPO muss minimal sein, weil verlorene, bereits bestätigte Transaktionen einen manuellen Abgleich erzwingen, mit dem Risiko doppelter Zahlungen.
Strategie. Ausweichrechenzentrum mit Replikation der Transaktionsdatenbank und vom Netz isolierten Backups, damit die Ransomware sie nicht erreicht. Während der Wiederherstellung ein manuelles Verfahren für Zahlungen mit hohem Wert, mit Vier-Augen-Prinzip und einer geschlossenen Liste genehmigter Vorgänge. Vorbereitete Kommunikation für Kunden, Filialen und Aufsicht.
Handel oder Logistik: Auslieferung aus dem Distributionszentrum
Szenario. Ein Hochwasser schließt für eine Woche das Distributionszentrum, das 80 Filialen beliefert. Das Lagerverwaltungssystem (WMS) läuft weiter, das Gebäude nicht.
MTPD von 72 Stunden. Angenommen, die Filialen haben bei den Schnelldrehern Bestand für drei Tage. Danach bleiben Regale leer, Umsatz wandert zur Konkurrenz, und Einkaufszentren verhängen Vertragsstrafen, wenn die Filiale nicht gut sortiert öffnet.
RTO von 48 Stunden. So lange dauert es, ein Ausweichlager in Betrieb zu nehmen, wenn die Vereinbarung bereits unterschrieben ist. Muss man es erst während des Vorfalls suchen, ist die Frist nicht zu halten.
Strategie. Rahmenvertrag mit einem Logistikdienstleister (3PL), der in einer anderen Stadt Ware annehmen und Cross-Docking übernehmen kann, eine Liste prioritärer Artikel (SKU), denn um den Umsatz zu retten, muss nicht das ganze Sortiment bewegt werden, und Vereinbarungen mit den wichtigsten Lieferanten, während des Notbetriebs direkt an die Filialen zu liefern.
Dienstleister oder Technologieunternehmen: Plattform für Kunden
Szenario. Der Cloud-Anbieter hat einen regionalen Ausfall, und die Plattform, die das Unternehmen seinen Kunden anbietet, ist nicht mehr erreichbar.
MTPD von 24 Stunden. Hier geben die Verträge den Takt vor. Versprechen die Service-Level-Agreements 99,9 % Verfügbarkeit pro Monat, bleiben etwa 43 Minuten Spielraum im Monat; danach fallen Servicegutschriften an, und nach einem Tag beginnen große Kunden, die Verlängerung zu überdenken.
RTO von 4 Stunden und RPO von 15 Minuten. Der RTO richtet sich danach, was der Vertrag ohne empfindliche Vertragsstrafe zulässt, der RPO danach, wie viel Arbeit der Kunden vertretbar verloren gehen darf.
Strategie. In einer zweiten Region bereitstellbare Infrastruktur mit replizierten Backups, ein getestetes Umschaltverfahren, eine Statusseite und Vorlagen für Kundenbenachrichtigungen sowie Homeoffice für das Support-Team, falls auch das Büro ausfällt.
| Unternehmen | Kritischer Prozess | MTPD | RTO / RPO | Hauptstrategie |
|---|---|---|---|---|
| Finanzinstitut | Zahlungen und Überweisungen | 8 Stunden | 4 h / nahe null | Ausweichrechenzentrum mit Replikation und isolierten Backups |
| Handel oder Logistik | Auslieferung an Filialen | 72 Stunden | 48 h / minimal (WMS läuft weiter) | Logistikdienstleister mit vorab geschlossenem Vertrag |
| Dienstleister oder Technologie | Plattform für Kunden | 24 Stunden | 4 h / 15 min | Zweite Region und getestete Umschaltung |
Beachten Sie, dass keine dieser Strategien am Tag des Vorfalls improvisiert wird. In allen drei Fällen ist es etwas, das vorher beauftragt, eingerichtet oder geübt wurde, was die Einhaltung des RTO möglich macht.
Gliederung eines Business-Continuity-Plans als Vorlage
Diese Gliederung würden wir für den Business-Continuity-Plan eines mittleren oder großen Unternehmens verwenden. Wenn Sie sie nach Word übernehmen, lassen Sie jede Überschrift stehen und ersetzen Sie die Beschreibungen durch Ihre Inhalte.
- Dokumentenlenkung. Version, Datum, Planverantwortlicher, Freigabe und Termin der nächsten Überprüfung.
- Ziel und Geltungsbereich. Welche Standorte, Prozesse, Produkte und Dienstleistungen abgedeckt sind und was ausdrücklich ausgeschlossen ist.
- Aktivierungskriterien. Welche Ereignisse den Plan auslösen, wer ihn aktivieren darf und wie entschieden wird, dass aus einem Vorfall ein Notfall wird.
- Organisation und Rollen. Krisenstab, Business-Continuity-Koordination, Wiederherstellungsteams je Bereich, Stellvertretungen für jede Person und Alarmierungskette.
- Kritische Prozesse. Priorisierte Liste aus der BIA, mit MTPD, RTO und RPO für jeden Prozess und den Mindestressourcen für den Betrieb: Personal, Systeme, Gebäude, Lieferanten und Informationen.
- Berücksichtigte Szenarien. Ausfall von Gebäuden, Systemen, Personal oder eines kritischen Lieferanten. Besser wenige Szenarien nach Art des Ausfalls als eine lange Liste von Katastrophen.
- Wiederherstellungsstrategien. Für jeden Prozess und jedes Szenario die gewählte Alternative: Ausweichstandort, mobiles Arbeiten, Ersatzlieferant, manuelles Verfahren.
- Wiederherstellungsverfahren. Schritt-für-Schritt-Karten je Team, mit verantwortlicher Person, geschätzter Dauer und Kriterium für „erledigt“. Dieser Teil wird in der Krise gelesen und muss deshalb auf wenige Seiten passen.
- Kommunikation. Vorbereitete Botschaften und Kanäle für Beschäftigte, Kunden, Lieferanten, Behörden und Medien, und wer für das Unternehmen spricht.
- Rückkehr zum Normalbetrieb. Wie man vom Notbetrieb in den Regelbetrieb zurückkehrt, ohne Daten zu verlieren oder Vorgänge doppelt auszuführen.
- Tests und Pflege. Übungsplan, Ergebnisse des letzten Tests, offene Verbesserungsmaßnahmen und Auslöser für eine Überprüfung (Wechsel von Lieferant, System oder Standort).
- Anhänge. Kontaktverzeichnis, Inventar kritischer Ressourcen, Verträge mit Ausweichlieferanten und Aktivierungsprotokolle.
Business-Continuity-Plan, Betriebskontinuitätsplan, DRP und Krisenplan
Die vier Begriffe tauchen in Richtlinien, Ausschreibungen und Audits vermischt auf. Jeder beantwortet eine andere Frage, und sie sollten als verbundene Bausteine existieren, nicht als ein einziges Dokument, das alles abdecken will.
| Plan | Frage, die er beantwortet | Geltungsbereich | Wer ihn leitet |
|---|---|---|---|
| Business-Continuity-Plan (BCP) | Wie liefern wir das Kritische weiter? | Die gesamte Organisation: Prozesse, Personal, Standorte, Lieferanten und Technologie | Business Continuity oder Risikomanagement, zusammen mit der Geschäftsleitung |
| Betriebskontinuitätsplan | Wie arbeitet dieser Bereich oder Prozess weiter? | Ein Prozess, ein Werk oder ein operativer Bereich | Die Leitung dieses Betriebs |
| Disaster-Recovery-Plan (DRP) | Wie stellen wir Systeme und Daten wieder her? | Infrastruktur und Anwendungen | IT |
| Krisenmanagementplan | Wer entscheidet und was kommunizieren wir? | Entscheidungsfindung, Kommunikation und Reputation | Krisenstab oder oberste Leitung |
„Betriebskontinuitätsplan“ ist der Begriff, der von Unternehmen zu Unternehmen am stärksten schwankt. Manche verwenden ihn gleichbedeutend mit BCP; andere, vor allem in Industrie und Logistik, bezeichnen damit die Pläne je Werk oder Prozess, die am Gesamtplan hängen. Wichtig ist, dass Ihre Richtlinie festlegt, was er bei Ihnen bedeutet. Der DRP ist eine der Strategien des BCP: Ohne ihn gibt es keine technische Wiederherstellung, aber ein perfekter DRP hilft weder bei einem überfluteten Distributionszentrum noch bei einem Standort ohne Personal.
Was ISO 22301 verlangt und wo die BIA ins Spiel kommt
ISO 22301:2019, Security and resilience. Business continuity management systems. Requirements, ist die internationale zertifizierbare Norm für Business-Continuity-Managementsysteme. ISO hat sie im Oktober 2019 veröffentlicht und im Februar 2024 um eine Änderung ergänzt (ISO 22301:2019/Amd 1:2024), nach der zu bewerten ist, ob der Klimawandel ein relevantes Thema im Kontext der Organisation ist. Eine neue Ausgabe ist bei ISO bereits in Arbeit, im Stadium des Komiteeentwurfs (ISO/CD 22301). Es lohnt sich also, im Blick zu behalten, wann sie erscheint.
Die Norm liefert keine Planvorlage. Sie verlangt ein System: BIA und Risikobeurteilung (Abschnitt 8.2), die daraus abgeleiteten Strategien und Business-Continuity-Pläne (Abschnitt 8.4.4), die getestet und überprüft werden. Deshalb besteht ein Plan ohne BIA kein Zertifizierungsaudit, auch wenn das Dokument gut geschrieben ist. Details zur Norm finden Sie in unserem Beitrag Was ISO 22301 ist und wozu sie dient, und den Weg von der Risikobeurteilung zur BIA im Webinar zu Risikobeurteilung und BIA.
Arbeiten Sie bei einem Finanzinstitut in Kolumbien, Mexiko oder einem anderen Land der Region, hat Ihre Aufsicht zusätzlich eigene Anforderungen an die Kontinuität. Wir gehen sie im Beitrag über Vorschriften zu Informationssicherheit und Kontinuität im Finanzsektor Lateinamerikas durch.
Woran Business-Continuity-Pläne scheitern
Nach unserer Erfahrung scheitern Pläne eher an dem, was sie stillschweigend voraussetzen, als an dem, was drinsteht. Diese Punkte würden wir bei jedem Plan zuerst prüfen:
- RTO ohne BIA dahinter. „Vier Stunden für alles“ klingt gut, aber wenn niemand das Geschäft gefragt hat, ab wann der Schaden beginnt, schützt der Plan das, was die IT kennt, und lässt Prozesse ohne eigenes System außen vor.
- Lieferanten außerhalb des Plans. Der Plan geht davon aus, dass Cloud, Spediteur oder externes Callcenter verfügbar bleiben. Hängt ein kritischer Prozess an einem Dritten, muss dessen Ausfall ein Szenario sein, und sein Vertrag muss hergeben, was der Plan braucht.
- Veraltete Kontakte und Stellvertretungen. Die Alarmierungskette wird als Erstes gebraucht und veraltet als Erstes. Ein Plan mit zur Hälfte falschen Telefonnummern verzögert die Aktivierung von der ersten Minute an.
- Zu lange Dokumente. Ein Plan mit zweihundert Seiten wird in einer Krise nicht gelesen. Genutzt werden die Aktionskarten je Team mit ein oder zwei Seiten; der Rest ist Kontext für das Audit.
- Tests, die nichts testen. Eine jährliche Schreibtischübung ist besser als nichts, beweist aber nicht, dass der Ausweichstandort hochfährt. Wir würden Planspiele mit echten technischen Tests des kritischsten Prozesses abwechseln.
Womit wir anfangen würden
Wenn Sie bei null beginnen, würden wir die BIA für fünf bis zehn Prozesse machen, bevor irgendetwas geschrieben wird, mit der jeweils verantwortlichen Person im Raum. Danach die Strategien für diese Prozesse und erst dann das Dokument nach der Gliederung oben. Den Geltungsbereich zu erweitern, wenn der erste Plan einmal getestet wurde, kostet viel weniger, als einen Plan zu korrigieren, den nie jemand geübt hat.
Im Modul Business Continuity von GlobalSuite® wird die BIA mit Fragebögen an die Prozessverantwortlichen durchgeführt, die automatisch konsolidiert werden und RTO und RPO je Prozess liefern. Die Pläne werden je Szenario mit ihren kritischen Ressourcen und dem Datum der letzten Überprüfung aufgebaut. Tests werden mit Ergebnissen und Nachweisen eingeplant, genau das, was der Auditor sehen will. Wenn Sie das mit Ihren Prozessen sehen möchten, fordern Sie eine Demo an.
Offizielle Quellen: Einträge zu ISO 22301:2019, zur Änderung ISO 22301:2019/Amd 1:2024 und zum Entwurf ISO/CD 22301 auf iso.org. Die Beispiele in diesem Beitrag dienen der Veranschaulichung und beziehen sich auf keinen Kunden. Inhalt überarbeitet im Oktober 2026.
