Disaster-Recovery-Planung So lassen Sie sich von Hacker-Angriffen nicht unvorbereitet überraschen!

Anbieter zum Thema

Vogel IT-Medien GmbH

Southern Tech GmbH

Die meisten KMU verfügen über keinen Disaster-Recovery-Plan, der die Wiederherstellung des Geschäftsbetriebs nach einem Hacker-Angriff einleitet. Welche grundlegenden Schritte bzw. Maßnahmen sind dafür notwendig?

Geschäftsführer eines kleineren Unternehmens stehen vor vielen Herausforderungen. Mit engen Margen und Konkurrenten auf ihren Fersen müssen sie schneller al der Wettbewerb agieren und ihre Kunden besser bedienen, um ihre Position auf dem Markt dauerhaft zu behaupten. Da sich KMU häufig nur auf die Entwicklung ihres Geschäfts konzentrieren, kann es passieren, dass sie eines ihrer wichtigsten Vermögenswerte vernachlässigen – ihre Unternehmensdaten.

Laut Unternehmensberatungen gehen rund 70 Prozent der KMU, die einen größeren Datenverlust zu erleiden hatten, innerhalb eines Jahres in die Insolvenz. Angesichts der steigenden Anzahl von IT-Bedrohungen sind mittlerweile alle Unternehmen von einer Katastrophe bedroht – egal wie groß oder klein. Mithilfe einer soliden Datensicherung und dokumentierten Methode zur Wiederherstellung der gesicherten Daten würden rund 90 Prozent der KMU imstande sein, sich beispielsweise von einem Ransomware-Angriff wieder zu erholen.

Entwicklung eines Disaster-Recovery-Plans

Es ist von entscheidender Bedeutung, dass Geschäftsführer von KMU einen Disaster-Recovery-Plan erstellen und regelmäßig aktualisieren lassen. Folgende Vorgehensweise ist dabei zu berücksichtigen:

Team zusammenstellen: Für die Entwicklung eines Disaster-Recovery-Plans muss ein Team zusammengestellt sowie ein Projektleiter und Ansprechpartner für die Geschäftsleitung ernannt werden.

Identifikation aller Assets: Einer der wichtigsten Schritte bei der Disaster-Recovery-Planung ist die Erstellung einer vollständigen Bestandsaufnahme der IT-Ressourcen. Diese Assets umfassen sowohl Software als auch Hardware sowie die Daten, von denen das Unternehmen abhängt. Bei der Erstellung eines Disaster-Recovery-Plans muss das Team Pläne zum Schutz bzw. zur Wiederherstellung der Funktion all dieser verschiedenen Assets entwickeln.

Identifikation potenzieller Risiken für jedes Asset: Diese Abwägung muss so umfassend wie möglich spezifiziert erfolgen. Dabei sollte den infrage kommenden Assets mögliche Risiken zugewiesen werden. Daraus empfiehlt es sich eine Auswahl der häufigsten Risiken mit den höchsten Wahrscheinlichkeiten zu bestimmen.

Akzeptable Ausfallzeiten für das Unternehmen: Welche Ausfallzeiten ein Unternehmen verkraften kann, hängt im Wesentlichen davon ab, um welche Art von Unternehmen es sich handelt. Ein Unternehmen des E-Commerce- oder sonstige digitale Dienstleistungsunternehmen werden beispielsweise nur sehr kurze Ausfallzeiten tolerieren können als vielleicht ein anderes Unternehmen. Bei der Erstellung eines Disaster-Recovery-Plans ist es daher wichtig zu wissen, wie viele Ausfallzeiten ein Unternehmen verkraften kann. Dabei ist zu beachten, dass die tolerierbare Ausfallzeit je nach Bedeutung der IT-Ressource bzw. des Asset für das Unternehmen variieren deutlich kann.

Für diese Betrachtung sind Kennzahlen wie beispielsweise die maximal tolerierbare Ausfallzeit (MTD), das Ziel für den Wiederherstellungspunkt (RPO) und das Ziel für die Wiederherstellungszeit (RTO) zu kennen. Die Bestimmung dieser Kennzahlen sollte für jedes kritische Asset erfolgen, das für die Disaster-Recovery-Planung identifiziert und als relevant erkannt wurde. Auf dieser Grundlage lässt sich nun bestimmen, welche IT-Ressourcen priorisiert werden müssen und wie ein erfolgreiches Desaster-Recovery-Szenario aussehen soll.

Überprüfen der Service Level Agreement (SLA): Für den Fall, dass Technologie oder wichtige Prozesse ausgelagert wurden, ist sicherzustellen, dass die Service-Level-Vereinbarung im Notfall greifen kann. Dafür empfiehlt es sich nochmal genau zu prüfen, was im Einzelnen einen Notfall definiert. Zudem muss ein Zeitrahmen definiert sein, wann das Unternehmen wieder die Systeme in Betrieb nehmen kann. Ein geschlossener Vertrag muss auch darlegen, was passiert, wenn diese Versprechen vom Service-Anbieter nicht eingehalten werden können.

Versicherungsschutz prüfen: Ein Versicherungsschutz ist ein Muss für jedes Unternehmen, aber nicht jede Art von Betriebsversicherung hilft im Katastrophenfall. Daher ist es angezeigt, die aktuellen Policen zu überprüfen und sicherzustellen, dass es keine Versicherungslücken gibt. Beispielsweise sollte eine ausreichende Deckung verfügbar sein, damit die indirekten Kosten eines Hacker-Angriffs (zum Beispiel die Unterbrechung des Geschäfts) sowie die direkten Kosten wie Sachschäden inkludiert sind. Ferner werden Versicherungen speziell für Hacker-Attacken angeboten. Jedoch ist zu beachten, dass dafür eine Reihe von Auflagen zu erfüllen ist.

Erstellung eines Disaster-Recovery-Plans: Nachdem eine Liste mit Assets, potenziellen Risiken sowie akzeptablen Ausfallzeiten erarbeitet und evaluiert wurden, sind Lösungen für jedes der potenziellen Szenarien zu finden.

Verantwortlichkeiten im Falle eines Angriffs: Damit der Sanierungsplan im Ernstfall erfolgreich sein kann, müssen die verantwortlichen Mitarbeiter genau wissen, was sie zu tun haben, wenn der Plan in Kraft tritt. Jedem Mitarbeiter sind dafür klare Anweisungen zu übertragen sowie eine schriftliche Kopie des Disaster-Recovery-Plans zu übergeben.

Testläufe für den Disaster-Recovery-Plan: Der letzte Schritt bei der Erstellung eines Disaster-Recovery-Plans besteht darin, ihn aktiv auf Herz und Nieren zu testen. Dafür müssen die verantwortlichen Mitarbeiter des Teams die jeweiligen Maßnahmen üben, die sie während einer echten Katastrophe ergreifen würden. Dies könnte mit einem parallelen Netzwerk oder in dem bestehenden Netzwerk simuliert werden. Gleichzeitig empfiehlt es sich die Datensicherungen zu testen, da diese Sicherungen eine Schlüsselkomponente des umfassenderen Disaster-Recovery-Plans darstellen.

Fazit

Mit der Abarbeitung dieser skizzierten Schritte, kann damit begonnen werden, einen Disaster-Recovery-Plan für ein Unternehmen zu erstellen. Es ist zu beachten, dass der ideale Sanierungsplan für ein Unternehmen immer so einzigartig sein muss wie das Unternehmen selbst. Jedes Unternehmen hat völlig unterschiedliche Anforderungen und Ressourcen, die sich beide in einem gut konstruierten Disaster-Recovery-Plan widerspiegeln sollten.

(ID:49247418)