Ende 2013 spuckte in Kiew ein Bankomat zeitweise ohne irgendeinen Benutzereingriff Geld aus. Zufällig vorbeikommende Passanten wurden mit Bargeld reich beschenkt. Als Kaspersky Lab damit beauftragt wurde, diesen Vorfall zu untersuchen, kam einer der größten Cyber-Attacken auf Banken ans Tageslicht. Über 100 Banken in mehr als 30 Staaten wurden mittels einer Malware angegriffen. Mit Kamera- und Videoaufnahmen wurden die Bankmitarbeiter bei ihren Tätigkeiten überwacht. Mit diesem Wissen konnten über 300 Millionen Dollar auf fremde Konten transferiert werden.
In der New York Times wird dieser Cyber-Bankraub jetzt ausführlich beschrieben.
Wer schon mal vor der Aufgabe stand, einen Notfallplan (ich nenne dieses Dokument hier einmal pragmatisch so) zu erstellen, hat sicherlich die Erfahrung gemacht, dass sich im Anblick der leeren weiße Seiten plötzlich ganz viele Fragen auftun, die gar nicht so einfach zu beantworten sind. Der hilfesuchende Blick in die BCM-Standards und Gesetze / Normen hilft dann leider nur bedingt, den auch hier gilt der Grundsatz "viele (Standard-)Köche verderben den Brei".
Nach dem Blick in die Standards hat sich dann leider die Anzahl der Fragezeichen noch vergrößert, statt der erhofften eindeutigen Antworten auf vermeintlich einfache Fragestellungen.
Los geht es schon einmal mit der Frage, wie viele Plandokumente es denn geben soll und wie diese heißen sollen. Als kleine Auswahl für die Namensgebung des Neugeborenen stehen Geschäftsfortführungs- und Wiederanlaufpläne, Notfallpläne, BCM-Pläne, Wiederherstellungspläne, Krisenmanagementpläne zur Auswahl. BSI 100-4, MaRisk, ISO 22301:2012 lassen hier gewaltigen Interpretations- und Gestaltungsspielraum, der vom heldenhaften Verfasser der Pläne aber gerade gar nicht erwünscht ist. Und dann kommt noch die Fragestellung hinzu, was die Wirtschaftsprüfer an Anforderungen an die Dokumentation stellen.
Viel hilft viel, ist dann oftmals der einzig möglich erscheinende Fluchtweg aus diesem Dilemma. In einem Notfall allerdings ist viel ganz schnell viel zu viel und nicht hilfreich - ganz im Gegenteil.
In den BCM-News gibt es einige Artikel als Denkanstoß zu diesem Thema. Die BCM Community wird sicherlich noch so manche Hirnwindung in dieses Thema investieren müssen. Torsten Zacher hat zu meiner großen Freude vor Kurzem das Thema engagiert in einem Gastbeitrag hier in den BCM-News aufgegriffen. Ich möchte für den Denkanstoß auf weitere Artikel hier in den BCM-News hinweisen. Wir freuen uns auf eine rege, kontroverse und konstruktive Diskussion.
Hier ein Auswahl an Artikeln zu diesem Themenkomplex:
Standards sollen eigentlich dazu da sein, Begriffe und deren inhaltliche Bedeutung zu klären und damit auch zu vereinheitlichen. Leider bekommt man manchmal den Eindruck, die Autoren erhalten eine Prämie für jeden neu erfundenen Begriff - Hauptsache er klingt wissenschaftlich. RTO und MTPD sind schöne Beispiele hierfür. Bei den Prozessen, der Grundlage jeder BIA, wird es dann jedoch ganz abenteuerlich. Schon alleine in der deutschen Sprache gibt es zahllose Bezeichnungen für Prozesse. Geschäftsprozesse, Kernprozesse, Wertschöpfungsprozesse, Sub-Prozesse, Vorgänger- und Nachfolgerprozesse, Steuerungsprozesse und so weiter. Dieser Begriffsreichtum lässt sich mit Adjektiven noch leicht vermehren. Die Prozesse werden dann zeitkritisch, geschäftskritisch, unkritisch, weniger kritisch, hoch kritisch und so weiter. Da freuen wir uns, dass in den BCM-Standards nur von "processes" und "activities" gesprochen wird. Nur was könnte der Unterschied zwischen diesen beiden Begriffen sein? Überlegen Sie selbst einmal kurz und stellen Sie Ihre Hypothese auf, bevor Sie den folgenden Gastbeitrag von Christian Zänker zu diesem Thema lesen.
