Business Continuity Management in der Cloud Wo sind die blinden Flecke Ihrer Cloud-Resilienz?

Anbieter zum Thema

Hyland Software Germany GmbH

Flexera Software GmbH

Yorizon GmbH & Co. KG

Cloud-Ausfälle, gestörte SaaS-Dienste und Sicherheitsvorfälle bei Drittanbietern können ganze Geschäftsprozesse lahmlegen. Klassische BCM-Konzepte greifen in dieser vernetzten IT-Landschaft oft zu kurz. Unternehmen müssen ihre Cloud-Abhängigkeiten sichtbar machen, Konzentrationsrisiken bewerten und die Ausfallsicherheit testen.

Als im vergangenen Sommer ein fehlerhaftes Update eines weit verbreiteten IT-Sicherheitsprodukts weltweit Flughäfen, Krankenhäuser, Banken und Unternehmen zum Stillstand brachte, wurde einmal mehr deutlich, wie eng digitale Infrastrukturen inzwischen miteinander verflochten sind. Wenige Wochen später führten Störungen bei zentralen Cloud-Diensten erneut dazu, dass zahlreiche Anwendungen gleichzeitig nicht verfügbar waren. Die betroffenen Unternehmen hatten weder dieselben IT-Landschaften noch denselben Cloud-Anbieter. Gemeinsam war ihnen jedoch eines: Sie waren Teil desselben digitalen Ökosystems.

Cloud-Ausfälle treffen heute ganze digitale Ökosysteme

Solche Ereignisse zeigen, dass sich die Natur von IT-Ausfällen verändert hat. Kritisch sind heute nicht mehr nur Defekte in der eigenen Infrastruktur. Immer häufiger führen Störungen bei Cloud-Plattformen, SaaS-Diensten, Identitätsservices oder anderen Technologiepartnern zu Kettenreaktionen, die sich weit über die eigentliche Ursache hinaus ausbreiten.

Wie resilient ist eine IT-Landschaft, wenn ihre geschäftskritischen Prozesse auf einer Vielzahl externer Dienste beruhen, die außerhalb der eigenen Kontrolle liegen?

Cloud-Abhängigkeiten erkennen: Wo Konzentrationsrisiken entstehen

Die Architektur moderner Unternehmens-IT hat sich seit dem Beginn des Cloud-Zeitalters grundlegend verändert: Eine Geschäftsanwendung besteht heute selten aus einer einzelnen Plattform. Häufig greifen ERP-Systeme auf Cloud-Datenbanken zu, authentifizieren Nutzer über externe Identitätsdienste, binden spezialisierte SaaS-Lösungen ein und tauschen Daten über APIs mit weiteren Cloud-Anwendungen aus. Hinzu kommen Collaboration-Plattformen, Sicherheitsdienste, Monitoring-Werkzeuge und zunehmend KI-Services, die ebenfalls aus der Cloud bereitgestellt werden.

Diese Entwicklung erhöht die Komplexität der IT-Landschaft und damit ihr Risikoprofil. Fällt heute ein zentraler Dienst aus, betrifft das oft nicht nur eine Anwendung. Geschäftsprozesse geraten ins Stocken, weil mehrere voneinander abhängige Komponenten gleichzeitig betroffen sind. Analysten sprechen inzwischen von einem wachsenden Cloud Concentration Risk: Je stärker sich Unternehmen auf wenige große Cloud-Plattformen und spezialisierte Anbieter stützen, desto größer wird das Potenzial für weitreichende Kaskadeneffekte.

Dass diese Risiken längst den Unternehmensalltag erreicht haben, zeigt auch der Optro BCM Report 2026. 76 Prozent der mehr als 500 befragten Risiko-, Compliance-, Audit-, IT- und BCM-Verantwortlichen berichten von mindestens einer durch externe Partner verursachten Betriebsstörung innerhalb der vergangenen zwei Jahre. Mehr als die Hälfte dieser Vorfälle verursachte Schäden von mindestens einer Million US-Dollar. In Deutschland lag der Anteil der Unternehmen mit Schäden von mehr als zehn Millionen US-Dollar bei 8,2 Prozent. Das zeigt, dass Resilience zunehmend davon abhängt, wie gut Unternehmen ihre Abhängigkeiten verstehen und steuern.

Shared Responsibility umfasst auch die Geschäftsprozess-Resilienz

Cloud-Anbieter investieren erhebliche Ressourcen in den Schutz und Betrieb ihrer Plattformen. Dennoch entbindet das Unternehmen nicht von ihrer Verantwortung für die Stabilität ihrer Geschäftsprozesse. Das Shared-Responsibility-Modell beschreibt diese Aufgabenteilung seit Jahren. Während der Cloud-Anbieter die Infrastruktur betreibt, bleibt der Kunde für Anwendungen, Daten, Konfigurationen und betriebliche Kontinuität verantwortlich. In der Praxis wird diese Grenze jedoch häufig zu eng interpretiert.

Viele Unternehmen gehen davon aus, dass ein leistungsfähiger Cloud-Anbieter automatisch auch für die Resilienz der darauf betriebenen Geschäftsprozesse sorgt. In Wahrheit liegt diese Verantwortung weiterhin beim Unternehmen selbst. Der Optro-Report zeigt, dass hier eine erhebliche Diskrepanz besteht. 92 Prozent der befragten Organisationen sind überzeugt, ihre definierten Wiederanlaufziele erreichen zu können. Während der letzten größeren Störung gelang dies jedoch weniger als 40 Prozent. Gleichzeitig berichteten jeweils 91 Prozent von Auswirkungen auf Kunden und Mitarbeitende.

Diese Lücke lässt sich nicht allein mit technischen Problemen erklären. Häufig fehlen belastbare Informationen darüber, welche Cloud-Dienste voneinander abhängen, welche Geschäftsprozesse dadurch beeinflusst werden und welche Folgen der Ausfall eines einzelnen Services tatsächlich hätte.

Drittanbieter-Risiken lassen sich nur im gemeinsamen Test erkennen

Business-Continuity-Management ist in Cloud-Umgebungen unverzichtbar. Viele Programme orientieren sich jedoch noch immer an einer IT-Welt, in der sich wesentliche Systeme innerhalb der eigenen Organisation befanden. Heute genügt es nicht mehr, Wiederanlaufzeiten für einzelne Anwendungen zu definieren. Unternehmen müssen nachvollziehen können, welche externen Plattformen für ihre Geschäftsprozesse kritisch sind. Sie müssen auch wissen, welche Konzentrationsrisiken bestehen und wie sich Störungen entlang digitaler Lieferketten ausbreiten können.

Dabei zeigt sich ein weiteres Problem. Zwar überprüfen viele Unternehmen ihre Dienstleister anhand von Zertifizierungen, Audits oder Vertragsklauseln. Gemeinsame Übungen unter realistischen Bedingungen finden dagegen deutlich seltener statt. Nur 31 Prozent der befragten Organisationen führen gemeinsame Kontinuitäts- oder Krisentests mit kritischen Drittanbietern durch. Diese Übungen liefern Erkenntnisse, die sich aus Dokumentationen kaum ableiten lassen. Sie machen sichtbar, welche Abhängigkeiten im täglichen Betrieb entstanden sind. An ihnen lässt sich ablesen, wie Kommunikationswege funktionieren und an welchen Stellen technische oder organisatorische Engpässe auftreten.

KI erweitert die kritischen Cloud-Abhängigkeiten

Die rasche Verbreitung generativer künstlicher Intelligenz (KI) verstärkt diese Entwicklung zusätzlich. Die meisten Unternehmen entwickeln heute keine eigenen Basismodelle, sondern nutzen KI-Dienste, die über Cloud-Plattformen bereitgestellt werden. Sprachmodelle, Vektordatenbanken, Inferenzdienste und KI-APIs werden damit Teil geschäftskritischer Prozesse.

Dadurch entstehen neue Abhängigkeiten. Neben der Verfügbarkeit der Cloud-Infrastruktur gewinnen auch Themen wie Modellqualität, Governance, Datenintegrität oder die Nachvollziehbarkeit automatisierter Entscheidungen an Bedeutung. Der Optro BCM Report zeigt, dass viele Unternehmen diese Risiken bislang nur unzureichend in ihre Resilienzplanung einbeziehen. Cloud-Ausfälle und KI-bezogene Störungsszenarien gehören zu den Bereichen, die vergleichsweise selten systematisch getestet werden.

Für Unternehmen bedeutet das, Resilienz künftig breiter zu denken. Nicht nur Server oder Anwendungen benötigen Wiederanlaufkonzepte. Auch KI-Services, Identitätsplattformen und andere cloudbasierte Dienste müssen Bestandteil realistischer Ausfallszenarien werden.

Abhängigkeitsmanagement wird zur Kernaufgabe

Cloud-Resilienz beginnt nicht damit, neue Backup-Systeme oder eine zusätzliche Redundanzstufe einzuführen. Viel wichtiger ist es, zunächst ein vollständiges Bild der technischen und organisatorischen Abhängigkeiten zu erlangen. Unternehmen müssen nachvollziehen können, welche Cloud-Dienste für ihre wichtigsten Geschäftsprozesse unverzichtbar sind und wo Konzentrationsrisiken bestehen. Es muss Klarheit darüber herrschen, welche Auswirkungen der Ausfall einzelner Anbieter auf den Geschäftsbetrieb hätte. Ebenso wichtig ist es, diese Annahmen regelmäßig unter realistischen Bedingungen zu überprüfen, und das gemeinsam mit denjenigen Partnern, von denen der eigene Geschäftsbetrieb tatsächlich abhängt.

Cloud Computing hat Unternehmen flexibler und innovativer gemacht. Gleichzeitig ist damit das Thema Resilienz zu einer Gemeinschaftsaufgabe geworden, die weit über die eigene IT hinausreicht. Unternehmen müssen daher ihre digitalen Abhängigkeiten so gut verstehen, dass sie auch dann handlungsfähig bleiben, wenn ein zentraler Bestandteil ihres Cloud-Ökosystems ausfällt.

(ID:50917402)