HiSolutions BCM-News Januar 2025 - Business Continuity Management aktuell
Top-Themen:
Bilanz 2024: Extremwetterlagen verursachen Milliardenschäden | NIS-2-Expertenkritik im Bundestag | DORA ist da: Jetzt zählt‘s! | Cyberangriff auf Drittanbieter: Die Schattenseite von Lieferketten | Sabotage am Unterseekabel: Geopolitische Spannungen in der Ostsee
Liebe Leserinnen und Leser,
wir hoffen, Sie hatten erholsame Feiertage und einen guten Start ins Jahr 2025! Die Weihnachtszeit bot Gelegenheit zur Reflexion und Erholung – nun ist es an der Zeit, wieder durchzustarten und gestärkt die Herausforderungen des neuen Jahres anzugehen.
Die Welt bleibt dynamisch: Cyberbedrohungen, geopolitische Unsicherheiten und Naturkatastrophen rücken das Thema Resilienz mehr denn je in den Fokus. Ein wesentlicher Baustein organisationaler Resilienz bildet ein gut durchdachtes Business Continuity Management.
In dieser Ausgabe unseres Newsletters werfen wir einen Blick auf die neuesten Entwicklungen, Berichte und Erkenntnisse im Bereich BCM, um Sie optimal auf die Herausforderungen des neuen Jahres vorzubereiten. Bleiben Sie informiert und resilient! Herzliche Grüße
Jetzt neu! BCM – aber verspielt: Unser „gamifiziertes“ Workshop-Konzept
Unser neues, kartenbasiertes BCM-Spiel bringt neue Impulse für Ihre Business-Continuity-Strategie! Mit der innovativen Methode der Gamification ermöglichen wir es Teams, komplexe BCM-Szenarien spielerisch zu erleben und gemeinsam Lösungen zu entwickeln. Die Spielenden durchlaufen dabei die BCM-Lifecycle-Prozesse und meistern realistische Herausforderungen. Das fördert den Austausch und schärft das Verständnis für Krisensituationen. So wird Business Continuity nicht nur greifbar, sondern auch interaktiv und praxisnah vermittelt. Ein ideales Tool für Workshops, Trainings und Teambuilding! Interesse? Weitere Informationen finden Sie unter https://www.hisolutions.com/security-consulting/academy#c13959 – oder senden Sie uns eine individuelle Anfrage an info@hisolutions.com
Bilanz 2024: Extremwetterlagen verursachen Milliardenschäden
Im Jahr 2024 verursachten Wetterextreme in Deutschland versicherte Schäden von insgesamt 5,5 Milliarden Euro – nur geringfügig weniger als die 5,6 Milliarden Euro im Vorjahr. Besonders auffällig ist der Anstieg der Elementarschäden durch Überschwemmungen, die deutlich über dem langjährigen Durchschnitt liegen. Die Hochwasserereignisse im Mai und Juni 2024 führten zu erheblichen Schäden, insbesondere in den Bundesländern Saarland, Rheinland-Pfalz, Bayern und Baden-Württemberg. Allein über Pfingsten entstanden im Saarland und in Rheinland-Pfalz Schäden von rund 200 Millionen Euro. Das Juni-Hochwasser verursachte in Bayern und Baden-Württemberg weitere Schäden in Milliardenhöhe.
Diese Entwicklungen unterstreichen die Bedeutung eines robusten Business Continuity Managements (BCM) für Unternehmen. Ein effektives BCM ermöglicht es, Betriebsunterbrechungen durch Naturkatastrophen zu minimieren und die Widerstandsfähigkeit gegenüber solchen Ereignissen zu erhöhen. Die Versicherungswirtschaft betont die Notwendigkeit von Präventionsmaßnahmen und Klimafolgenanpassungen, um die zunehmenden Risiken durch Wetterextreme zu bewältigen. Unternehmen sollten daher ihre Notfallpläne regelmäßig überprüfen und an die veränderten klimatischen Bedingungen anpassen, um ihre Geschäftskontinuität sicherzustellen.
NIS-2-Expertenkritik im Bundestag
Bereits im November 2024 nahm unser Gründer und Vorstand Timo Kob an einer Sitzung des Innenausschusses des Deutschen Bundestages teil. Er und weitere Sicherheitsexperten äußerten Kritik an der geplanten Umsetzung der NIS-2-Richtlinie in nationales Recht.
Timo Kob betonte, dass die geplanten Regelungen zu einer erheblichen Mehrbelastung für Unternehmen führen könnten, ohne dabei den gewünschten Sicherheitsgewinn zu erzielen. Er hob hervor, dass die vorgesehenen Meldepflichten und Dokumentationsanforderungen insbesondere für kleine und mittelständische Unternehmen (KMU) schwer umsetzbar seien und diese vor große Herausforderungen stellen würden.
Im Kontext des Business Continuity Managements (BCM) unterstrich Kob die Bedeutung praxisnaher und umsetzbarer Vorgaben. Er warnte davor, dass überzogene bürokratische Anforderungen die Resilienz von Unternehmen eher schwächen als stärken könnten. Für was er stattdessen konkret plädierte, können Sie im Videomitschnitt der Sitzung auf dem YouTube-Kanal des Bundestages nachsehen.
DORA ist da: Jetzt zählt‘s!
Am 17. Januar 2025 trat der Digital Operational Resilience Act (DORA) in Kraft und hat umfassende neue Anforderungen für Finanzdienstleister in der gesamten EU im Gepäck. Ziel von DORA ist, die digitale Resilienz der Finanzbranche zu stärken und europäische Unternehmen besser gegen Cyberangriffe und IT-Ausfälle zu schützen. Doch was heißt das eigentlich konkret, und wie können Unternehmen diese Vorgaben erfolgreich umsetzen?
DORA zielt nicht nur darauf ab, gesetzliche Anforderungen zu erfüllen, sondern soll resiliente IT-Strukturen schaffen. Hierbei ist eine der größten Herausforderungen, die oft fragmentierten IT-Systeme in der Finanzbranche zu vereinheitlichen und damit die Effizienz zu steigern. Wie wichtig das ist, zeigt auch der Cisco Cybersecurity Readiness Index 2024, in dem 76 % der Unternehmen angaben, dass ihre aktuellen Mehrfachlösungen die Cybersecurity-Effizienz sogar beeinträchtigen. Der zentrale Aspekt von DORA ist daher die Entwicklung einer integrierten Sicherheitsstrategie.
Zusätzlich steigt mit der zunehmenden Auslagerung von IT-Diensten und Cloud-Lösungen auch die Abhängigkeit von Drittanbietern – und damit die Risiken. Deshalb verpflichtet DORA Finanzinstitute, ihre Drittanbieter strenger zu überwachen und Resilienzanforderungen in Verträge aufzunehmen. In der Praxis bedeutet das, dass nicht nur einmalige Audits, sondern ein kontinuierliches Monitoring und eine enge Zusammenarbeit mit Partnern stattfinden müssen, um Schwachstellen proaktiv identifizieren zu können.
Weiterhin berücksichtigt DORA auch den Einsatz moderner Technologien wie künstliche Intelligenz und automatisierte Systeme. Diese sind sogar essenziell, um den Anforderungen von DORA gerecht zu werden, da sie z. B. im Bereich Threat Detection und Response helfen können, Angriffe in Echtzeit zu erkennen und schnell darauf reagieren zu können. Gleichzeitig müssen Unternehmen in Systeme investieren, die die strengen Berichtsanforderungen von DORA unterstützen. Diese beinhalten eine erste Meldung innerhalb von 24 Stunden, gefolgt von Zwischen- und Abschlussberichten.
Insgesamt kann DORA daher nicht nur als eine regulatorische Verpflichtung gesehen werden, sondern auch als Chance für die Finanzbranche, ihre IT-Sicherheitsstrategien zu optimieren und die Grundlage für eine widerstandsfähigere digitale Infrastruktur zu schaffen. Unternehmen, die proaktiv handeln und die neuen Vorgaben als Chance begreifen, werden nicht nur die Compliance sicherstellen, sondern auch ihre Wettbewerbsfähigkeit stärken.
Nutzen auch Sie die Einführung von DORA, um Ihre Prozesse und Technologien auf den Prüfstand zu stellen und Ihre Organisation für die Zukunft zu rüsten. Denn eines ist sicher: Resilienz ist die beste Investition in eine sichere digitale Zukunft.
Cyberangriff auf Drittanbieter: Die Schattenseite von Lieferketten
Am 21. November 2024 wurde der Anbieter für Supply-Chain-Management-Lösungen Blue Yonder Ziel eines Ransomware-Angriffs – mit weitreichenden Folgen für Unternehmen weltweit. Zu den betroffenen Kunden zählen namhafte Unternehmen wie Starbucks, das infolge des Angriffs Gehaltszahlungen manuell abwickeln musste. Auch andere prominente Konzerne wie Ford, Microsoft, Samsung und Coca-Cola könnten von dem Vorfall betroffen worden sein. Blue Yonder arbeitet nach wie vor an der Wiederherstellung seiner Systeme. Generell haben Cyberangriffe auf Drittanbieter in den letzten Jahren deutlich zugenommen. Angreifer wissen, dass ein Angriff auf einen Lieferanten oft gleich mehrere Unternehmen in der Wertschöpfungskette beeinträchtigen kann. Besonders kritisch sind dabei Unternehmen, die zentrale Dienste für ihre Kunden bereitstellen – wie Blue Yonder für das Supply-Chain-Management.
Der Vorfall bei Blue Yonder zeigt einmal mehr, wie verletzlich Lieferketten gegenüber Cyberangriffen sind. Unternehmen müssen ihre Resilienz auf allen Ebenen stärken – von der internen IT-Sicherheit bis hin zur Zusammenarbeit mit Drittanbietern. Denn in einer global vernetzten Wirtschaft kann ein einziger Angriff weitreichende Konsequenzen haben.
Sabotage am Unterseekabel: Geopolitische Spannungen in der Ostsee
Der Schaden am Unterseekabel „Estlink 2“ in der Ostsee und der Verdacht gegen den russischen Tanker „Eagle S“ werfen erneut Fragen über die fragilen Grenzen zwischen ziviler Infrastruktur und geopolitischen Interessen auf. „Estlink 2“ verbindet Estland und Finnland und dient der Stromübertragung zwischen den beiden Ländern. Dadurch wird Versorgungssicherheit und Netzstabilität gewährleistet. Gefundene Schleifspuren am Meeresboden und Beschädigungen am Rumpf des Tankers „Eagle S“ deuten darauf hin, dass der Anker des Schiffs das Kabel beschädigt haben könnte. Der Tanker, der unter der Flagge der Cookinseln fährt, wird mit der russischen Schattenflotte in Verbindung gebracht.
Die Sabotage von Unterseekabeln ist ein Beispiel für hybride Angriffe, die physische und digitale Mittel kombinieren, um strategische Ziele zu stören. Solche Vorfälle können wirtschaftliche und politische Auswirkungen haben – besonders in der Ostsee, einem kritischen Punkt, an dem westliche und russische Interessen aufeinanderprallen. Der Vorfall zeigt, wie verwundbar kritische Infrastruktur ist und unterstreicht die Notwendigkeit, Schutzmaßnahmen zu verstärken. Ob der Sabotageverdacht bestätigt wird, bleibt abzuwarten, doch die Dringlichkeit internationaler Kooperationen und robuster Notfallpläne ist unübersehbar. Die kommenden Wochen werden zeigen, ob die finnischen Ermittler den Verdacht der Sabotage bestätigen können. Unabhängig vom Ergebnis wirft der Vorfall Fragen zur Sicherheit und Stabilität in der Region auf, die nicht ignoriert werden können.
https://www.tagesschau.de/ausland/europa/estlink-ostsee-nato-102.html
Rohrbruch in Berlin – ein guter Start in 2025?
Am Silvesterabend 2024 wurde Berlin von einem großen Wasserrohrbruch im Ortsteil Wedding getroffen – pünktlich zur Jahresendfeier hieß es in vielen Haushalten: Wasser marsch? Fehlanzeige! Bezirke wie Kreuzberg, Schöneberg, Charlottenburg und Moabit blieben aufgrund des Druckabfalls in der Wasserversorgung vorübergehend auf dem Trockenen sitzen. Der Druckverlust hätte im schlimmsten Fall den Brandschutz gefährden können – ein ernstes Risiko bei einer Nacht voller Feuerwerkskörper und Funkenregen. Doch die Feuerwehr, ganz der Retter in der Not, versicherte: „Unsere Tanks sind voll – keine Panik!“.
Bis Mitternacht konnte die Lage dann durch ins Feld versendete Techniker wieder stabilisiert werden – gerade rechtzeitig, um Raketen mit geringerem Risiko abzuschießen und den ersten Neujahrstee zu genießen. Dennoch bleibt: Auch wenn das Wasser wieder fließt, erinnert dieser Vorfall daran, dass kritische Infrastruktur gerade an Feiertagen besonders anfällig ist. Denn ob Raketen oder Rohre – wenn etwas knallt, ist Resilienz gefragt.
https://www.zeit.de/gesellschaft/2024-12/wasserversorgung-ausfall-berlin-silvesterabend
Third-Party-Risk-Management: Was der SAP-Ausfall lehrt
Der jüngste Ausfall der Cloud-Dienste von SAP verdeutlicht erneut die Risiken, die Unternehmen durch Abhängigkeit von Drittanbietern eingehen und wie anfällig ausgelagerte IT-Dienste sein können. Ein Kurzschluss während Wartungsarbeiten an den Notstromanlagen im Rechenzentrum St. Leon-Rot legte kritische Anwendungen wie Buchhaltung, Beschaffung und Lagerhaltung für bis zu 12 Stunden lahm. Das Kernprodukt S/4 Hana war besonders betroffen, ebenso wie Anwendungen für Personalmanagement und Kundenbeziehungsmanagement. Auch die Back-up-Systeme blieben von den Beeinträchtigungen nicht verschont. Obwohl SAP die Fehlerursache identifizieren konnte und die Dienste inzwischen wiederhergestellt sind, bleibt die Frage: Wie kann ein solches Szenario in Zukunft vermieden werden?
Drittanbieter wie SAP sind häufig das Rückgrat moderner digitaler Infrastrukturen. Gleichzeitig birgt diese Abhängigkeit erhebliche Risiken. Betriebsunterbrechungen können zahlreiche Kunden treffen und kritische Geschäftsprozesse lahmlegen. Häufige oder langwierige Ausfälle können das Vertrauen in den Anbieter nachhaltig schädigen und haben nicht selten sogar regulatorische Konsequenzen – insbesondere in sensiblen Branchen, in denen Unternehmen auch rechtliche Folgen drohen können. Daher ist ein zentraler Ansatzpunkt die Gestaltung klarer vertraglicher Regelungen. Service Level Agreements sollten Verfügbarkeitsziele und Entschädigungsmechanismen deutlich definieren, um die Erwartungen beider Seiten zu managen. Gleichzeitig müssen Unternehmen alternative Anbieter oder interne Systeme als Back-up einplanen, um im Falle eines Ausfalls handlungsfähig zu bleiben. Die kontinuierliche Überwachung von Drittanbietern ist entscheidend, um Schwachstellen frühzeitig zu erkennen und Risiken aktiv zu steuern. Die Balance zwischen Effizienz durch Auslagerung und der Sicherstellung von Kontinuität muss strategisch und pragmatisch gestaltet werden. Unternehmen, die diese Risiken aktiv managen, sind besser darauf vorbereitet, Störungen zu bewältigen und ihre Resilienz zu stärken.
Technikausfall an Flughäfen: Staat und Digitalisierung – immer dieselbe Leier
Ein flächendeckender Ausfall des IT-Systems der Bundespolizei sorgte am 3. Januar 2025 an deutschen Flughäfen für massive Verzögerungen bei der Einreise aus Nicht-Schengen-Staaten. Betroffen waren unter anderem die Flughäfen Frankfurt, Berlin und Düsseldorf, wo Passagiere Stunden warten mussten, bis die Kontrollen wieder anliefen. Laut Bundespolizei lag der Fehler im Informationssystem des Bundeskriminalamts, das für die automatische Einreise aus Nicht-Schengen-Staaten genutzt wird. Durch den Ausfall mussten Passkontrollen händisch durchgeführt werden, was zu erheblichen Wartezeiten und Rückstau führte. Obwohl die Abfertigung am Abend wieder normal lief, blieb der Vorfall nicht ohne Kritik. Vonseiten der Bundespolizeigewerkschaft wurde auf die strukturellen Probleme aufmerksam gemacht. Dabei kritisierte auch der Vorsitzende die mangelnde Modernisierung der IT-Infrastruktur, die seit Jahren überfällig sei. Mit einem Finanzierungsbedarf von 150 Millionen Euro und wiederholten Warnungen an das Bundesinnenministerium sei der Vorfall ein „Chaos mit Ansage“.
Ein stabil funktionierendes IT-System ist nicht nur für die nationale Sicherheit von Bedeutung, sondern auch für das gesamte Schengen-System. Technische Störungen wie diese könnten langfristig das Vertrauen in die Effizienz und Sicherheit europäischer Grenzüberwachungsmechanismen beeinträchtigen. Der Technikausfall an den Flughäfen ist daher ein Warnsignal, das über die akuten Störungen hinausweist. Er zeigt die Bedeutung eines modernen und widerstandsfähigen IT-Systems für die Grenzsicherung. Angesichts der Herausforderungen durch steigende Reisefrequenzen und geopolitische Unsicherheiten müssen sowohl nationale als auch europäische Lösungen Priorität erhalten. Der Schutz und die Stabilität des Grenzmanagements hängen entscheidend davon ab.
HiWay – Wegweiser für Digitalisierung und Sicherheit
Kennen Sie schon HiWay, den neuen Podcast von HiSolutions? Unsere Experten beantworten drei Fragen in zehn Minuten mit aktuellen Insights aus den Bereichen Digitalisierung und IT-Sicherheit – alle 14 Tage mit einem neuen Themenspecial.
In der ersten Folge „Honeymoon is over – Sicherheit im Wandel: Trump, die Ampel und Deutschlands Zukunft“ bewertet Gründer und Vorstand Timo Kob von HiSolutions die aktuellen politischen Rahmenbedingungen und deren Auswirkungen auf die IT-Sicherheit.
Jetzt überall, wo es Podcasts gibt. Anhören (und Ansehen) lohnt sich!
YouTube: https://www.youtube.com/watch?v=ahwvSKqrFYI
Spotify: https://open.spotify.com/show/6FwPurxOj5ND2H7UcVizA4
HiAcademy: Schulung zum BSI-BCM-Praktiker
In einer vernetzten Welt sind Institutionen – von Behörden bis zu Unternehmen jeder Größe – zunehmend komplexen Risiken ausgesetzt. Betriebsunterbrechungen, Notfälle und unerwartete Krisen können schwerwiegende Auswirkungen haben. Deshalb ist ein robustes Business Continuity Management (BCM) unerlässlich.
Unsere Schulung zum BCM-Praktiker vermittelt fundierte Kenntnisse und praktische Kompetenzen, um BCM-Strategien zu entwickeln, zu implementieren und effektiv zu steuern – und so die Resilienz Ihrer Institution zu stärken.
Der inhaltliche Aufbau der viertägigen Schulung orientiert sich am Curriculum des BSI und wird von unseren erfahrenen BCM-Experten mit vielen Best Practices angereichert.
07.-10.04.2025 – remote
https://www.hisolutions.com/security-consulting/academy#c13049
HiAcademy: Kompetenztraining Stabsarbeit
Die Mitglieder eines Krisenstabs sehen sich in Krisenlagen besonderen und zum Teil individuellen Herausforderungen gegenüber, die im Arbeitsalltag selten anzutreffen sind. Unklare Informationslagen, hohes Kommunikationsaufkommen und enormer Entscheidungsdruck sind dabei ebenso typische Gegebenheiten wie das anspruchsvolle Zusammenarbeiten verschiedener Persönlichkeiten in einer besonderen Bewältigungsorganisation. Diese Umstände erfordern neben organisatorischen Maßnahmen des Krisenmanagements auch gesonderte Kompetenzen der Stabsmitglieder. Ebendiese lassen sich schulen, indem die Funktionsträger aus ihrem Alltag herausgezogen und in Krisenlagen versetzt werden. So können sie wertvolle, praxisnahe Erfahrungen sammeln und sich auf den konkreten Ereignisfall vorbereiten.
In der Veranstaltung „Kompetenztraining Stabsarbeit“ kommen die Funktionsträger besonderer Aufbauorganisationen verschiedener Institutionen zusammen, um unabhängig vom eigenen beruflichen Umfeld die persönlichen Fähigkeiten zu verbessern.
20.05.2025 – Berlin
https://www.hisolutions.com/security-consulting/academy#c12565
Die nächsten HiSolutions BCM-News erscheinen Mitte März 2025!
Lesen Sie hier alle bisher erschienenen BCM-News.
Für Rückfragen und Anregungen kontaktieren Sie uns gern!