Ja mach nur einen (Notfall-)Plan … Nutzen und Grenzen von Notfallplänen

Im Rahmen des Business Continuity Management werden Notfallkonzepte und -pläne erstellt, um auf das Unwahrscheinliche vorbereitet zu sein. Der Notfall ist jedoch leider ein tückischer Zeitgenosse. Sind wir gut vorbereitet, lässt er sich nicht blicken und wir stehen als Zeit- und Ressourcenverschwender für unnütze Notfallpläne im schlechten Licht. Tritt der Notfall ein, ist es purer Zufall, dass der vorbereitete Notfallplan genau die passende Lösung für genau dieses Ereignis abbildet.

Lesen Sie hierzu meinen aktuellen Beitrag auf der Plattform 3GRC.

Keiner da?

Ja, wo sind sie denn die Mitarbeiter alle?
Zu Hause, den Keller auspumpen.
Auch Szenarien wie die jüngsten monsunartigen Regenfälle mit Tornados führen zu Personalausfällen, auch wenn das Unternehmen nicht direkt betroffen ist. Im Zweifel ist dem Mitarbeiter die Rettung des eigenen Mobiliars näher als die Aufrechterhaltung der Geschäftsprozesse. Wer will es ihnen verdenken.

Ein Notfallplan für den Personalausfall stellt daher auf die Wirkungen ab und nicht auf die Ursachen.Und neben Plan “A” immer Plan “B” und Plan “C” in der Hinterhand haben. Denn das Wetter ist schon schwer genug vorherzusagen, beeinflussen lässt es sich schon gar nicht.

Nicht “ob”, sondern “wann” ist die Frage

Schaut man sich die Liste der erfolgreichen Hacks der jüngsten Vergangenheit an, wird schnell klar, dass es jedes Unternehmen irgendwann treffen kann. Eine hundertprozentige Sicherheit kann kein Unternehmen auch nicht mit immensem personellem und finanziellem Aufwand sicherstellen. Der normale Geschäftsbetrieb muss ja noch gewährleistet bleiben und die Unternehmen werden weiter Menschen beschäftigen, die das schwächste Glied in der Abwehrkette darstellen. Wie schnell ist auf einen Link in einer Mail geklickt …

Auf der anderen Seite ist der Business Case für Cyber-Kriminelle hochattraktiv. Mit der Verschlüsselungssoftware Cryptowall Ransomware hat eine Hackergruppe alleine in diesem Jahr rund 325 Millionen US-Dollar an Erpressungsgeldern eingenommen, das sind nahezu eine Million US-Dollar täglich. Neben der Erpressung des Unternehmens winken mit dem Verkauf der erbeuteten Daten weitere lukrative Einnahmen. Für einen Kreditkartendatensatz aus der EU sind dies immerhin 25 bis 45 US Dollar, wie McAfee Labs in seiner Analyse “The Hidden Data Economy” ermittelte. Wenn das kein attraktives Geschäftsmodell ist! Wir müssen daher davon ausgehen, dass dieses Geschäftsmodell der Cyber-Erpressung weiter wachsen wird, denn auch Cyber-Kriminelle denken und handeln streng ökonomisch. Betroffen von diesem “Geschäftsmodell” sind gerade auch kleine und mittelständische Unternehmen.  Die eingeforderten Beträge sind für die Betroffenen verkraftbar kalkuliert und so ist es auch für viele Unternehmen betriebswirtschaftlich sinnvoller der Erpressung nachzugeben und das Geld zu bezahlen. Das ökonomische Kalkül der Erpresser geht also auf. Sogar das FBI kapituliert vor diesen Methoden und empfiehlt, das Lösegeld an die Erpresser zu bezahlen.

Das objektive Risiko Opfer einer solchen Cyber-Erpressung zu werden ist hoch. Nicht “ob” ist die Frage, sondern “wann”. Doch was können Unternehmen tun, um auf den “Tag X” vorbereitet zu sein. Sich auf die IT-Security zu verlassen ist zu wenig. Die Kollegen machen einen tollen Job, doch einen Rundum-Schutz für ein sorgloses Leben und Arbeiten können sie nicht gewähren. Im Zweifel sind die kriminellen besser ausgestattet und technisch überlegen.

Daher müssen die Verteidigungslinien im Unternehmen mehrfach gestaffelt werden:

  • 1. Verteidigungslinie: Awareness bei den Mitarbeitern
  • 2. Verteidigungslinie: Technische Maßnahmen durch die IT-Security
  • 3. Verteidigungslinie: Business Continuity Pläne für diese Szenarien (Bsp. Nicht-Verfügbarkeit kritischer Daten und Anwendungen)
  • 4. Verteidigungslinie: IT Service Continuity Management für die Wiederherstellung kritischer Daten und Systeme
  • 5. Verteidigungslinie: Krisenmanagement für die planvolle Steuerung durch die Krise.

Dies zeigt, Cyber-Kriminalität mit seinen potentiellen Auswirkungen auf kritische Geschäftsprozesse ist nicht nur ein Thema der IT-Security. Mitarbeiter, IT-Security, BCM, ITSCM und Krisenmanagement müssen “Hand in Hand” funktionieren, um ein solches herausforderndes Szenario bewältigen zu können.

Die Angriffe sind mittlerweile so ausgeklügelt, dass eine Verteidigungslinie bei weitem nicht ausreichend ist. So sind Mails mit Links zu Malware mittlerweile täuschend echt gebaut. Die Adressaten der Mails werden namentlich angesprochen und der Inhalt der Mails passt perfekt in den Arbeitskontext der Adressaten. Die technischen Möglichkeiten der Cyber-Kriminellen sind durch den Business Case nahezu unerschöpflich. Damit im Fall der Fälle das Business weiter läuft benötigt es die Verteidigungslinien BCM, ITSCM und Krisenmanagement. Allerdings sind gerade für diese Szenarien Pläne nicht ausreichend. Gerade hier gilt üben, üben, üben. Denn die Bedrohungsszenarien ändern sich laufend genauso wie sich elektronische Vertriebskanäle und schützenswerte Daten ändern. Wofür die IT-Security Penetrations-Tests einsetzt, nutzen BCM, ITSCM und Krisenmanagement Tests und Übungen. Schnelles und richtiges Handeln in diesen Bedrohungsszenarien muss ständig geübt werden, so wie Piloten im Simulator regelmäßig die Notfallverfahren üben bis sie tief im Gehirn verankert sind und im Notfall automatisiert abgespult werden können.

be prepared

Ihr Matthias Hämmerle

Checklisten für den Notfall

Dieser Artikel über Checklisten beinhaltet ein beeindruckendes Beispiel über die Wirksamkeit von Checklisten. In neun Krankenhäusern in Michigan wurden einfache Checklisten mit eingeführt, um die Anzahl von Infektionen in Intensivstationen zu verringern. Die Checklisten waren nicht umfangreich und enthielten eigentlich selbstverständliche Punkte, wie das Desinfizieren der Hände. Durch die Einführung der Checklisten in Verbindung mit Trainingsmaßnahmen konnte die Anzahl der Infektionen um 66 Prozent verringert werden. Obwohl die Inhalte der Checklisten den Ärzten eigentlich geläufig waren, wurde im Arbeitsalltag dann doch immer wieder der eine oder andere Punkt übersehen – mit zum Teil tödlichen Folgen durch Infektionen.

Welche Schlüsse lassen sich hieraus für das Business Continuity Management ziehen?

Bei dem Eintritte eines Notfalls können wir nicht erwarten, dass eigentlich selbstverständliche Aktivitäten unternommen werden. Die Aufregung, vielleicht sogar Panik, ist groß. Es herrscht eine große Verunsicherung über die Situation und viele Menschen sind betroffen und beteiligt. Im ersten Moment gibt es noch keine klare Hierarchie, der Krisenstab ist noch nicht besetzt und es gibt keine oder widersprüchliche Anweisungen von unterschiedlichen Kompetenzträgern. Gerade die ersten Momente in einem Notfall sind jedoch häufig der kritische Erfolgsfaktor dafür, wie erfolgreich ein Notfall bewältigt und Schaden minimiert werden kann. Gerade in dieser Situation sind Checklisten ein besonders wirksames Hilfsmittel. Sie stellen sicher, dass die Beteiligten einen Handlungsleitfaden haben und wichtige Aktivitäten in der Hektik nicht vergessen werden. In vielen Situationen mit hohem Risiko oder auch hohen Qualitätsanforderungen werden Checklisten eingesetzt. Piloten nutzen Checklisten, auch wenn sie diese im Schlaf herunterbeten könnten. Doch Vergessen ist menschlich.

Zu einem guten Notfallhandbuch gehören daher auch kompakte abarbeitbare Checklisten für die zentralen BCM-Szenarien. Es gibt zahlreiche Varianten, wie solche Checklisten gestaltet und technisch umgesetzt werden können. In dem oben zitierten Artikel sind einige Tools benannt. Aber auch mit den Standard Office-Produkten Word und Excel lassen sich hervorragend Checklisten erstellen. Daneben können visuelle grafische Ablaufpläne in Form von Flowcharts hilfreich sein.

Die eigentliche Übung liegt jedoch in der Erstellung der Checklisten selbst. Im ersten Wurf wird die hundertprozentige Lösung selten gelingen. Durch Tests und Übungen, in denen die Checklisten als Grundlage verwendet werden, erhalten die Checklisten den letzten Schliff und die Beteiligten üben den Umgang mit den Formularen.

Ein Beispiel Template Notfallplan Checkliste (word) habe ich diesem Artikel beigefügt. Es ist nur ein Beispiel und ich freue mich auf Rückmeldungen von Ihnen. Welche Erfahrungen haben Sie mit Checklisten gesammelt? Haben Sie ein bewährtes Template? Was ist bei den Checklisten zu beachten?

be prepared

Matthias Hämmerle

Personalausfall – der schlafende Riese

BCM-Szenarien wie IT-Ausfall, Gebäude- und / oder Arbeitsplatzausfall sind in der Notfallvorsorge mittlerweile selbstverständlich. Das Szenario “Personalausfall” gehört in der Theorie gleichwertig mit zu den elementaren Risikoszenarien wie auch der Ausfall kritischer Dienstleistungen / Dienstleister. In der Praxis kommt das Szenario Personalausfall in allen Phasen des BCM-Lebenszyklus leider oftmals zu kurz. Und das, obwohl uns auch die praktische Realität zum Beispiel in Form zahlreicher streikbedingter Personalausfälle bei Bahn, Kitas und Geldtransporteuren die Notwendigkeit einer angemessenen Vorsorge für Personalausfälle aufzeigt. SARS, Vogelgrippe, EHEC/HUS und jetzt aktuell MERS finden vermeintlich im fernen Asien statt. Norovirus, auch “Kreuzfahrer-Virus”,  trifft vermeintlich nur Kreuzfahrer – aktuell gibt es eine Lebensmittelwarnung wegen Noroviren in gefrorenen Erdbeeren bei Aldi Nord. Masern-Epidemien betreffen nicht nur die Kinder, wenn Heerscharen von Elternteilen für die Pflege zu Hause bleiben müssen. Doch wenn das Szenario “Personalausfall” zuschlägt ist jede Vorbereitung Gold wert. Hinzu kommt dass das Szenario Personalausfall BCM und Krisenmanagement gerne über Tage, Wochen oder gar Monate auf Trab hält. Eine zweistündige Krisenstabsübung lässt die Anforderungen an ein solches Szenario nur erahnen. Alleine, wenn der Krisenstab in den Drei-Schichtbetrieb gehen soll … Weiterlesen…

Der Geschäftsfortführungsplan – das mysteriöse Wesen im BCM

BuecherWer schon mal vor der Aufgabe stand, einen Notfallplan (ich nenne dieses Dokument hier einmal pragmatisch so) zu erstellen, hat sicherlich die Erfahrung gemacht, dass sich im Anblick der leeren weiße Seiten plötzlich ganz viele Fragen auftun, die gar nicht so einfach zu beantworten sind. Der hilfesuchende Blick in die BCM-Standards und Gesetze / Normen hilft dann leider nur bedingt, den auch hier gilt der Grundsatz “viele (Standard-)Köche verderben den Brei”.

Nach dem Blick in die Standards hat sich dann leider die Anzahl der Fragezeichen noch vergrößert, statt der erhofften eindeutigen Antworten auf vermeintlich einfache Fragestellungen.

Los geht es schon einmal mit der Frage, wie viele Plandokumente es denn geben soll und wie diese heißen sollen. Als kleine Auswahl für die Namensgebung des Neugeborenen stehen Geschäftsfortführungs- und Wiederanlaufpläne, Notfallpläne, BCM-Pläne, Wiederherstellungspläne, Krisenmanagementpläne zur Auswahl. BSI 100-4, MaRisk, ISO 22301:2012 lassen hier gewaltigen Interpretations- und Gestaltungsspielraum, der vom heldenhaften Verfasser der Pläne aber gerade gar nicht erwünscht ist. Und dann kommt noch die Fragestellung hinzu, was die Wirtschaftsprüfer an Anforderungen an die Dokumentation stellen.

Viel hilft viel, ist dann oftmals der einzig möglich erscheinende Fluchtweg aus diesem Dilemma. In einem Notfall allerdings ist viel ganz schnell viel zu viel und nicht hilfreich – ganz im Gegenteil.

In den BCM-News gibt es einige Artikel als Denkanstoß zu diesem Thema. Die BCM Community wird sicherlich noch so manche Hirnwindung in dieses Thema investieren müssen. Torsten Zacher hat zu meiner großen Freude vor Kurzem das Thema engagiert in einem Gastbeitrag hier in den BCM-News aufgegriffen. Ich möchte für den Denkanstoß auf weitere Artikel hier in den BCM-News hinweisen. Wir freuen uns auf eine rege, kontroverse und konstruktive Diskussion.

Hier ein Auswahl an Artikeln zu diesem Themenkomplex:

Reduktion der Komplexität von Notfallplänen (Torsten Zacher)

Ja mach nur einen Plan … (Matthias Hämmerle)

Was gehört in einen Geschäftsfortführungsplan (Matthias Hämmerle)

Die Phase “Planung” im BCM-Lifecycle (Matthias Hämmerle)

Why Recovery Plans fail (Janco)

Wenn die kritische Ressource “Personal” ausfällt

Dieser Artikel ist im aktuellen BCM-Sonderheft des Sicherheits-Berater erstmalig erschienen.

Im Business Continuity Management (BCM) gibt es vier grundsätzliche BCM-Szenarien, für die im Rahmen der Notfallplanung Vorsorge getroffen wird. Neben dem Ausfall der IT und Telekommunikation, Gebäude sowie Dienstleister ist ein wesentliches BCM-Szenario der Ausfall von Personal zur Durchführung der kritischen Geschäftsprozesse. Das BCM geht in der Planung von der Wirkungsseite aus, da nicht für jede der vielen möglichen Ursachen ein Notfallplan erstellt werden kann. Die Ursachen, die zu einem Personalausfall führen können, sind sehr vielfältig. Sie reichen von einer Erkrankung einer hohen Anzahl an Mitarbeitern (Beispiele hierfür sind Grippe-Epidemien oder Norovirus-Infektionen), der Ausfall von „Kopf-Monopolen“, Streiks der Mitarbeiter bis hin zu Verkehrsbehinderungen der Arbeitswege (zum Beispiel die mehrtägigen europaweiten Flugausfälle durch den Ausbruch des isländischen Vulkans Eyjafjallajökull im April 2010). Weiterlesen…

Ja, mach nur einen Plan …

“Ja, mach nur einen Plan, sei ein großes Licht. Und mach’ dann noch ‘nen zweiten Plan, gehen tun sie beide nicht.”, so Bertolt Brecht in der Dreigroschenoper.

An dieses Zitat musste ich unweigerlich nach meinem Besuch des BCI Regionalforum West denken, zu dem ich in der vergangenen Woche für einen kleinen Vortrag über “Test und Üben” eingeladen war. Eine tolle und gut organisierte Veranstaltung übrigens, Respekt!

In meinem Vortrag habe ich – natürlich etwas überzeichnet – die Bedeutung von Tests und Übungen für die Notfallvorsorge in den Mittelpunkt gestellt. In mehreren größeren zu bewältigenden “Ausnahmesituationen wie Blockupy in Frankfurt, Hurrican Sandy in New York, Norovirus Epidemie und Stromausfällen habe ich immer die gleiche Erfahrung gemacht: die Realität hält sich an keinen Plan!

Doch hieraus die Lehre zu ziehen, auf die Notfallplanung verzichten zu können  ist genauso falsch, wie die Hoffnung, eine umfangreiche und ausgetüftelte Notfallplanung könnte bei Eintritt eines Notfalls automatisiert abgearbeitet werden wie der Wiederanlaufplan eines IT-Systems.

Der größte Nutzen der Notfallplanung liegt aus meiner Sicht in der geistigen Auseinandersetzung mit möglichen Notfall-Szenarien und Handlungsstrategien zur Beherrschung dieser Situationen sowie zur Minderung der potentiellen Folgeschäden. Notfallplanungen bilden die Grundlage für Tests und Übungen, in denen die Funktionsfähigkeit der Notfallpläne überprüft werden und vor allem die Mitarbeiter in ihren Rollen für außergewöhnliche Situationen trainiert werden. Hierdurch wird die Grundlage geschaffen, um in Notfallsituationen handlungsfähig zu bleiben. Tritt der Notfall ein, kommt ein weiteres wichtiges Element zur Bewältigung hinzu: das Krisenmanagement. Im Rahmen des Krisenmanagements wird die Lage analysiert und die angemessenen Entscheidungen zur Bewältigung der Lage getroffen bzw. herbeigeführt. Pläne sollten die klassischen BCM-Szenarien Gebäude-, Personal-, IT- und Dienstleisterausfall abdecken. Sie können jedoch besondere Umstände in der Notfallsituation, die aus der aktuellen Markt- und / oder Auftragslage, Projekten, besonderen Produkt- und Kundensituationen resultieren nicht  berücksichtigen. Zudem kann das reine Abarbeiten von Plänen die Lage verschlimmern, wenn zum Beispiel die Umsetzung nur eines Teils der Planung ausreichend wäre. Nur die betroffenen Mitarbeiter müssen bei einem Teilausfall eines Gebäudes die Notfallarbeitsplätze beziehen, das Aussetzen eines kritischen Prozesses kann eine adäquate Lösung sein, wenn die Auslastung aktuell gering ist. Die Steuerung dieser Plan-Ausführung kommt dem Krisenmanagement zu.Die Brücke zwischen dem Business Continuity Management und dem Krisenmanagement bilden die Notfallpläne. Sie sind wichtig für das Krisenmanagement, aber nicht ausreichend und absolut. Neben den Tests und Übungen im BCM kommt daher den Krisenmanagementübungen eine zentrale Bedeutung zu. In diesen Übungen wird neben den Entscheidungsverfahren die Funktionsfähigkeit der Notfallstrategien und -pläne verprobt.

Um mit Brecht zu antworten: die Pläne gehen nicht, sie bilden die Handlungsbasis in Notfällen und müssen durch das Krisenmanagement in adäquater Weise, den konkreten Umständen angepasst, in Kraft gesetzt und umgesetzt werden:

“Sorgfältig prüf ich Meinen Plan;

er ist Groß genug;

er ist Unverwirklichbar.”

Bertolt Brecht

 

Was gehört in einen Geschäftsfortführungsplan – und was nicht

In diesem Artikel sind ein paar Tips und Hinweise zur Erstellung von Geschäftsfortführungsplänen zusammengestellt. Inspiriert hierzu hat mich der Artikel im Blog von Stoneroad “12 Things NOT to Include in Your BCM / DR Plan“. Diese wichtigen und richtigen Hinweise möchte ich daher um die Punkte ergänzen, die aus meiner Sicht bei der Geschäftsfortführungsplanung berücksichtigt werden sollten. Weiterlesen…

Die Phase “Planung” im BCM-Lifecycle

Als Teil des Zyklus zur kurzen Darstellung der einzelnen Phasen des BCM Lifecycle hier die kurze Präsentation zur BCM-Planung. Wird die Planung konsequent aus den Ergebnissen der Phasen BIA und Strategie abgeleitet, fällt diese viel leichter als wenn man “das Pferd von hinten aufzäumt”. Mehr Präsentationen zu den einzelnen Phasen des BCM-Lifecycles finden sich in meinem slideshare-Account.

[slideshare id=15555691&doc=bcmplanung-121209051818-phpapp02]

Why Recovery Plans Fail – Ergebnisse einer Umfrage

Janco Associates, ein US IT-Beratungsunternehmen, hat 253 Unternehmen befragt, die ihren Recovery Plan aktivieren mussten. Bei über 60 Prozent der befragten Unternehmen war der Plan fehlerhaft und bei nahezu 50 Prozent der Unternehmen nicht mehr aktuell. Dies sind keine guten Voraussetzungen für eine erfolgreiche Wiederherstellung. Ein Plan ist nur so gut wie der regelmäßige Review und vor allem Tests und Übungen. Denn viele Fehler und Unzulänglichkeiten kommen tatsächlich erst bei Tests und Übungen zu Tage. Es sind dann oftmals die Kleinigkeiten, wie fehlende Kabel, Adapter, Zugangspaßworte etc., die zum Scheitern führen.

Quelle: janco

Lufthansa kehrt zum Normalbetrieb zurück

Der Streik dauerte nur einen Tag. Eine Woche dauerte es aber, um wieder in den Normalbetrieb zurückzukehren. Gestern fielen noch rund 200 Flüge von sonst üblichen 1.800 Flügen aus. Am heutigen Freitag soll der normale Flugplan wieder abgeflogen werden können. Viele Maschinen waren in Frankfurt geparkt und nicht dort, wo sie gebraucht wurden. Dies gilt auch für die Crews, bei denen zusätzlich noch die Einsatzzeiten berücksichtigt werden müssen.

Dieser Verlauf entspricht somit dem klassischen Verlauf eines Notfalls wie aus dem Lehrbuch. Bereits ein Tag Unterbrechung von geschäftskritischen Prozessen erzeugt einen derart hohen Backlog, der nur über eine längere Zeit wiede aufgeholt werden kann. Typisch ist auch, dass der Backlog nicht einfach durch mehr Personal schnell aufgefangen werden kann. Piloten müssen für die Maschinen zugelassen sein, Stewardessen benötigen eine spezielle Schulung für den Flugzeugtyp auf dem sie fliegen. So muß der Backlog mit bestehendem, oft sogar eingeschränkt verfügbarem Personal abgearbeitet werden. Wie das Beispiel Lufthansa zeigt, ist der Wiederanlauf nach einem Notfall mindestens so komplex wie die Bewältigung des Notbetriebs. Nicht umsonst fordern die MaRisk von Banken und Versicherungen Geschäftsfortführungs- und Wiederanlaufpläne. Bei den Wiederanlaufplänen ist zu berücksichtigen, dass das benötigte (geschulte und berechtigte) Fachpersonal und die notwendigen Ressourcen wie Arbeitsplätze, IT und Dokumente weiterhin nur eingeschränkt verfügbar sind. Eine Planung, die vorsieht, dass nach einem Ausfall einfach mit der mehrfachen Anzahl der Mitarbeiter ein Backlog abgearbeitet wird ist daher zumeist unrealistisch.