Artikel vom 15. Mai 2026
Resilienz-Reifegrad messen: Selbstbewertung für IT-Leiter
Das 5‑Stufen-Modell #
Stufe 1: Reaktiv (Ad-hoc, ungeordnet) #
Charakteristiken:
- Keine dokumentierte Resilienz-Strategie
- Backups existieren, aber Frequenz und Umfang sind willkürlich
- Recovery-Tests werden nicht durchgeführt
- RTO/RPO sind nicht definiert
- Incident Response ist improviso
Selbstbewertung — Fragen:
- Haben Sie einen schriftlichen Backup-Plan? ☐
- Testen Sie Backups regelmäßig (mindestens 2x pro Jahr)? ☐
- Ist die Recovery-Zeit aus Backups dokumentiert und < 8 Stunden? ☐
- Haben Sie einen Incident Response Plan? ☐
Wenn < 2 Fragen mit JA beantwortet: Sie sind Stufe 1 (Reaktiv)
Typische Organisationen: KMUs ohne IT-Governance, Startups, Legacy-Unternehmen mit veralteter IT.
Problem: Bei echtem Notfall wird improvio geplant — sehr langer Ausfallzeitraum.
Stufe 2: Grundlegend (Dokumentiert, aber nicht getestet) #
Charakteristiken:
- Backup-Policy existiert und wird befolgt (z.B. täglich)
- RTO/RPO sind geschätzt, aber nicht gemessen
- Recovery-Tests werden sporadisch durchgeführt (1x pro Jahr max)
- Incident Response Plan existiert, aber selten trainiert
- Keine Air-Gap oder isolierte Backups
Selbstbewertung — Fragen:
- Haben Sie einen schriftlichen, dokumentierten Backup-Plan mit Frequenz? ☐
- Führen Sie mindestens 2x pro Jahr Recovery-Tests durch? ☐
- Haben Sie RTO/RPO Ziele (auch wenn geschätzt)? ☐
- Haben Sie einen schriftlichen Incident Response Plan? ☐
- Haben Sie Tier 2 (Air-Gap) Backups implementiert? ☐
Wenn 3 – 4 Fragen mit JA: Sie sind Stufe 2 (Grundlegend)
Typische Organisationen: Mittelständische Unternehmen mit IT-Governance, aber ohne Security-Spezialisten.
Problem: Kein praktizieres Wissen, ob Recovery tatsächlich funktioniert. Tests zeigen oft Probleme, die nicht behoben werden.
Stufe 3: Definiert (Dokumentiert, getestet, teilweise automatisiert) #
Charakteristiken:
- Umfassender -Plan mit System-für-System Runbooks
- RTO/RPO sind getestet, nicht nur geschätzt
- Quarterly oder halbjährliche Recovery-Tests sind Standard
- Air-Gap-Backups existieren und werden regelmäßig getestet
- Incident Response Plan wird jährlich trainiert (Tabletop Exercise)
- Recovery-Tools sind identifiziert und getestet
Selbstbewertung — Fragen:
- Haben Sie System-spezifische Recovery-Runbooks für alle kritischen Systeme? ☐
- Ist RTO/RPO aus echten Tests gemessen (nicht geschätzt)? ☐
- Führen Sie mindestens 4x pro Jahr Recovery-Tests durch? ☐
- Haben Sie Tier 2 (Air-Gap) Backups + regelmäßige Tests? ☐
- Haben Sie einen dokumentierten Incident Response Plan mit jährlichem Training? ☐
- Ist Ihr Backup-System resilient gegen Ransomware (mehrere Tiers)? ☐
Wenn 4 – 5 Fragen mit JA: Sie sind Stufe 3 (Definiert)
Typische Organisationen: Größere Mittelstandsunternehmen, einige größere Konzerne mit dediziertem Resilienz-Team.
Problem: Es gibt noch Lücken (z.B. Recovery-Umgebung ist nicht isoliert, oder fehlt).
Stufe 4: Gemanagt (Automatisiert, kontinuierlich monitored) #
Charakteristiken:
- Backups sind automatisiert (nicht manuell)
- Isolierte Recovery-Umgebung (Zone 3) existiert für kritische Systeme
- 4‑Tier Backup-Architektur (Online, Air-Gap, , Geo)
- Recovery-Tests sind quartalsweise und automatisiert dokumentiert
- Incident Response wird monatlich trainiert
- Metriken werden kontinuierlich monitored (RTO, RPO, Recovery-Success-Rate)
Selbstbewertung — Fragen:
- Ist Ihr Backup-Prozess vollständig automatisiert (kein manuelles Kopieren)? ☐
- Haben Sie eine isolierte Recovery-Umgebung für kritische Systeme? ☐
- Nutzen Sie 4‑Tier Backup (Online, Air-Gap, , Geo)? ☐
- Führen Sie quartalsweise Volltest-Recoveries durch? ☐
- Werden Incident Response Szenarien monatlich trainiert? ☐
- Monitored Sie Resilienz-Metriken (RTO-Einhaltung, Backup-Success-Rate)? ☐
Wenn 4 – 5 Fragen mit JA: Sie sind Stufe 4 (Gemanagt)
Typische Organisationen: Größere Konzerne, KRITIS-Betreiber, Finanzdienstleister.
Problem: Immer noch möglich, dass einzelne Systeme nicht resilient sind, oder Prozesse nicht dokumentiert.
Stufe 5: Optimiert (Kontinuierliche Verbesserung, Lessons-Learned) #
Charakteristiken:
- Alle Aspekte von Stufe 4, PLUS:
- Lessons-Learned Prozess nach jedem Incident
- Tabletop Exercises mit Threat-Modeling
- Regelmäßige Penetration Tests (jährlich+)
- Red Teaming um Schwachstellen zu finden
- Kontinuierliche Architektur-Verbesserungen basierend auf Erkenntnissen
- Industrie-Best-Practices werden beobachtet und adoptiert
Selbstbewertung — Fragen:
- Führen Sie Post-Incident Reviews durch und implementieren Verbesserungen? ☐
- Führen Sie mindestens jährlich einen Volltest mit externer Evaluierung durch? ☐
- Führen Sie Tabletop Exercises mit Threat-Modeling durch? ☐
- Durchführen Sie mindestens jährlich Penetration Tests? ☐
- Haben Sie einen kontinuierlichen Improvement-Prozess für Resilienz? ☐
- Werden Recovery-Architektur-Entscheidungen datengetrieben getroffen? ☐
Wenn 4+ Fragen mit JA: Sie sind Stufe 5 (Optimiert)
Typische Organisationen: Größte DAX-Konzerne, Financial Services mit größten Compliance-Anforderungen, Cyber-Vorreiter.
Problem: Diese Stufe ist sehr teuer und komplex. Sinnvoll nur für größte Organisationen.
Wo sind die meisten deutschen Unternehmen? #
Basierend auf Gesprächen und Assessments:
- Stufe 1 (Reaktiv): ~30% (kleinere Unternehmen ohne dediziertes IT-Team)
- Stufe 2 (Grundlegend): ~50% (Mittelstand mit IT-Leiter, aber wenig Spezialisten)
- Stufe 3 (Definiert): ~15% (größere Mittelstand, einige große Konzerne)
- Stufe 4 (Gemanagt): ~4% (wenige große Konzerne, )
- Stufe 5 (Optimiert): <1% (nur Vorreiter)
Das bedeutet: Die Mehrheit der deutschen Unternehmen ist bei Stufe 2 — mit Risiko bei echtem Notfall.
Der wirkungsvollste nächste Schritt: Stufe 1→2 vs. Stufe 3→4 #
Wenn Sie Stufe 1 sind (Reaktiv): Der wirkungsvollste Schritt: Tier 2 (Air-Gap) Backup implementieren + 2x pro Jahr Recovery-Tests beginnen
Das ist relativ günstiges (50 – 100k EUR) und hat maximale Impact (Air-Gap schützt gegen ).
Wenn Sie Stufe 2 sind (Grundlegend): Der wirkungsvollste Schritt: Recovery-Testhäufigkeit auf 4x pro Jahr erhöhen + Recovery-Runbooks verfeinern
Das ist kostengünstig (nur Zeit) und zeigt echte Recovery-Fähigkeit.
Wenn Sie Stufe 3 sind (Definiert): Der wirkungsvollste Schritt: Isolierte Recovery-Umgebung (Zone 3) aufbauen + (Tier 3) einführen
Das ist teuer (200 – 500k EUR) aber notwendig für echte Cyber-Resilienz gegen fortgeschrittene Angreifer.
Wenn Sie Stufe 4 sind (Gemanagt): Der wirkungsvollste Schritt: Volltest mit externer Evaluierung + Red-Teaming durchführen
Das kostet 50 – 100k EUR aber findet echte Lücken.
Ein persönlicher Hinweis #
Die meisten IT-Leiter sind frustriert, dass sie bei Stufe 2 – 3 stecken. Sie wissen, was nötig ist (Tier 2, Runbooks, Tests), aber die Ressourcen sind limitiert. Das ist normal.
Der Schlüssel: Beginnen Sie mit dem, das am meisten Impact hat, nicht dem, das perfekt ist.
Für die meisten Organisationen: Tier 2 (Air-Gap) + Quarterly Tests > alles andere.
Das kostet relativ wenig und schützt gegen das, was Sie wahrscheinlich treffen wird (Ransomware).
Häufige Fragen #
Kann man Stufe überspringen? Theoretisch nicht. Sie können nicht zu Stufe 4 gehen, wenn Sie nicht die Grundlagen von Stufe 2 – 3 haben.
Wie schnell kann man Stufe upgraden? Stufe 1→2: 3 – 6 Monate. Stufe 2→3: 6 – 12 Monate. Stufe 3→4: 12 – 24 Monate.
Brauchen KMUs Stufe 4? Nein. Stufe 3 ist für die meisten KMUs optimal. Stufe 4 ist für Konzerne mit größeren Compliance-Anforderungen sinnvoll.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Disaster Recovery
Disaster Recovery bezeichnet die strukturierten Prozesse und technischen Maßnahmen, die sicherstellen, dass IT-Systeme nach einem schwerwiegenden Ausfall — Ransomware-Angriff, Hardwareversagen, Rechenzentrumsausfall — innerhalb definierter Zeitrahmen (RTO) mit maximalem Datenverlust (RPO) wiederhergestellt werden können.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.
KRITIS
KRITIS bezeichnet Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde — KRITIS-Betreiber unterliegen nach §8a BSI-Gesetz verschärften Anforderungen an IT-Sicherheit und müssen diese alle zwei Jahre gegenüber dem BSI nachweisen.