Die Business Impact Analyse (BIA) ist das Verfahren, mit dem eine Organisation ermittelt, welche Geschäftsprozesse zeitkritisch sind, welcher Schaden bei ihrem Ausfall im Zeitverlauf entsteht und welche Ressourcen für den Wiederanlauf erforderlich sind. Die Business Impact Analyse liefert damit die Grundlage für Wiederanlaufzeiten, Priorisierung und Notfallplanung. Maßgebliche Regelwerke sind ISO 22317, ISO 22301 und der BSI-Standard 200-4.

Was ist eine Business Impact Analyse?

Die Business Impact Analyse ist eine strukturierte Auswirkungsanalyse, die nicht nach Ursachen von Störungen fragt, sondern nach ihren Folgen. Ausgangspunkt ist die Annahme, dass ein Prozess ausgefallen ist – unabhängig davon, warum. Untersucht wird, wie sich der Schaden mit jeder Stunde und jedem Tag des Ausfalls entwickelt, ab wann er ein nicht mehr akzeptables Maß erreicht und welche Mittel nötig sind, um vorher wieder arbeitsfähig zu sein.

Diese Perspektive unterscheidet die Business Impact Analyse grundlegend von der Risikoanalyse. Die Risikoanalyse arbeitet mit Eintrittswahrscheinlichkeiten und Bedrohungen; sie fragt, was passieren könnte. Die Business Impact Analyse arbeitet mit Zeitverläufen und Abhängigkeiten; sie fragt, was ein Ausfall kostet. Der praktische Vorteil dieser Trennung: Ergebnisse der BIA bleiben auch dann gültig, wenn ein Szenario eintritt, das niemand vorhergesehen hat. Ob eine Fachanwendung durch Ransomware, einen Hardwaredefekt oder einen Dienstleisterausfall nicht verfügbar ist, ändert an den Folgen für den Fachbereich wenig.

Eingeordnet ist die Business Impact Analyse als Analysephase innerhalb des Business Continuity Management (BCM). Sie ist dort kein Nebenschritt, sondern die inhaltliche Grundlage für alles Folgende: Ohne belastbare BIA-Ergebnisse fehlen die Zeitvorgaben, gegen die Kontinuitätsstrategien, Notfallpläne und Übungen ausgelegt werden. In der Praxis lässt sich der Reifegrad eines Kontinuitätsmanagements deshalb recht zuverlässig daran ablesen, wie gut die BIA gepflegt ist.

Welches Ziel hat die Business Impact Analyse?

Das Ziel der Business Impact Analyse ist eine begründete Rangfolge: Welche Prozesse müssen nach einer Störung zuerst wieder laufen, in welcher Zeit und mit welcher Mindestleistung. Aus diesem Hauptziel leiten sich mehrere Teilergebnisse ab:

Identifikation zeitkritischer Prozesse und Abgrenzung von Prozessen, die vorübergehend ruhen können
Bestimmung von Ausfalltoleranzen je Prozess, ausgedrückt als maximal tolerierbare Ausfallzeit
Festlegung von Wiederanlaufzeiten und Mindestleistungen für den Notbetrieb
Ermittlung des Ressourcenbedarfs im Notbetrieb, getrennt nach Personal, IT, Gebäuden, Kommunikation, Dienstleistern und Betriebsmitteln
Aufdeckung von Abhängigkeiten zwischen Prozessen, Standorten, IT-Systemen und externen Partnern
Gap-Analyse durch Abgleich der geforderten mit den tatsächlich erreichbaren Wiederanlaufzeiten

Der letzte Punkt ist der wertvollste und wird am häufigsten übersprungen. Eine Business Impact Analyse, die nur Anforderungen dokumentiert, ohne sie gegen die real vorhandenen Wiederherstellungsfähigkeiten zu stellen, erzeugt eine Wunschliste. Erst die Lücke zwischen Anforderung und Ist-Zustand macht den Handlungsbedarf sichtbar und begründet Investitionen gegenüber der Leitung.

Wie läuft eine Business Impact Analyse ab?

Eine Business Impact Analyse läuft in sechs Schritten ab, die von der Festlegung des Geltungsbereichs bis zur Freigabe durch die Leitung reichen. Der Ablauf ist in ISO 22317 als Leitfaden beschrieben und im BSI-Standard 200-4 in vergleichbarer Form angelegt.

Geltungsbereich und Methodik festlegen. Zu klären sind Betrachtungstiefe, Bewertungsmaßstäbe, Zeitscheiben und Schwellenwerte. Diese Festlegungen müssen vor der ersten Erhebung stehen und organisationsweit gelten, sonst sind die Ergebnisse einzelner Bereiche nicht vergleichbar.
Prozesse erfassen. Grundlage ist eine Prozessübersicht auf einer sinnvollen Aggregationsebene. Bewährt hat sich die Ebene der Geschäftsprozesse, nicht die der Einzeltätigkeiten – eine zu feine Granularität erzeugt Datenmengen, die niemand pflegt.
Auswirkungen bewerten. Für jeden Prozess wird der Schadensverlauf über definierte Zeitscheiben hinweg eingeschätzt, üblicherweise von wenigen Stunden bis zu mehreren Wochen. Erhoben wird dabei nicht ein Einzelwert, sondern die Entwicklung über die Zeit.
Abhängigkeiten und Ressourcen erheben. Für jeden zeitkritischen Prozess werden die benötigten Ressourcen sowie vor- und nachgelagerte Prozesse und externe Dienstleister erfasst, jeweils mit dem Mindestbedarf für den Notbetrieb.
Ergebnisse konsolidieren und plausibilisieren. Die Einzelbewertungen werden organisationsweit abgeglichen, Widersprüche aufgelöst und Kettenwirkungen berücksichtigt. Dieser Schritt entscheidet über die Qualität der gesamten Analyse.
Freigeben und dokumentieren. Die Leitung bestätigt die Kritikalitätsbewertung und die Wiederanlaufreihenfolge. Ergebnis ist ein BIA-Bericht mit Prozessliste, Kennzahlen, Ressourcenbedarf und identifizierten Lücken.

Methodisch wird zwischen Interviews, moderierten Workshops und Fragebögen gewählt. Interviews liefern die genaueren Ergebnisse, Fragebögen skalieren besser. Erfahrungsgemäß funktioniert eine Kombination am besten: Fragebogen zur Vorbereitung, Workshop zur Bewertung, Interview für komplexe oder strittige Prozesse.

Welche Kennzahlen liefert die Business Impact Analyse?

Die Business Impact Analyse liefert die Zeit- und Leistungskennzahlen, an denen sich die gesamte Notfallplanung ausrichtet. Sie sind die Schnittstelle zwischen fachlicher Anforderung und technischer Umsetzung.

Kennzahl	Bedeutung
MTA / MTPD	Maximal tolerierbare Ausfallzeit (Maximum Tolerable Period of Disruption): Zeitspanne, nach der der Schaden ein nicht mehr akzeptables Maß erreicht
RTO	Recovery Time Objective: angestrebte Wiederanlaufzeit; muss unterhalb der MTA liegen
WAZ / WAN	Wiederanlaufzeit und Wiederanlaufniveau in der BSI-Terminologie: wann und mit welcher Leistung der Notbetrieb aufgenommen wird
RPO	Recovery Point Objective: maximal tolerierbarer Datenverlust, ausgedrückt als Zeitraum
MBCO	Minimum Business Continuity Objective: Mindestleistung, die im Notbetrieb erbracht werden muss

Zwei Zusammenhänge sind dabei entscheidend. Erstens muss die angestrebte Wiederanlaufzeit stets unterhalb der maximal tolerierbaren Ausfallzeit liegen – der Abstand ist der Sicherheitspuffer. Zweitens ist jede Kennzahl nur so belastbar wie die Maßnahme, die sie stützt: Ein RTO von zwei Stunden ohne hinterlegte Redundanz, Ersatzverfahren oder Vorsorgevertrag ist eine Absichtserklärung. Die Business Impact Analyse ermittelt die Anforderung; sie erfüllt sie nicht.

Welche Schadenskategorien werden in der Business Impact Analyse bewertet?

Die Business Impact Analyse bewertet Auswirkungen mehrdimensional, weil finanzielle Kennzahlen allein den Schaden einer Betriebsunterbrechung nicht abbilden. In der BSI-Methodik haben sich sechs Schadenskategorien etabliert, die auch außerhalb des öffentlichen Sektors gut anwendbar sind:

Beeinträchtigung der Aufgabenerfüllung – Leistungen für Kunden, Bürgerinnen und Bürger, Patienten oder Einsatzkräfte
Verstoß gegen Gesetze, Vorschriften oder Verträge – einschließlich Melde- und Nachweispflichten
Finanzielle Auswirkungen – Umsatzausfall, Vertragsstrafen, Mehraufwand, Folgekosten
Negative Innen- oder Außenwirkung – Reputation, Vertrauen von Partnern, Wirkung auf Mitarbeitende
Beeinträchtigung der persönlichen Unversehrtheit – Gefahren für Leben und Gesundheit
Beeinträchtigung des informationellen Selbstbestimmungsrechts – datenschutzrechtliche Folgen für Betroffene

Bewertet wird je Kategorie und Zeitscheibe, üblicherweise über eine dreistufige oder fünfstufige Skala mit organisationsweit definierten Schwellenwerten. Maßgeblich für die Kritikalität eines Prozesses ist dann die jeweils höchste erreichte Schadensstufe, nicht ein Durchschnittswert – ein Prozess mit Gefahr für Leben und Gesundheit bleibt kritisch, auch wenn seine finanziellen Auswirkungen gering sind. Diese Nichtverrechnung der Kategorien ist ein häufig übersehener methodischer Punkt.

Welche Ressourcen werden in einer Business Impact Analyse erhoben?

Eine Business Impact Analyse erhebt alle Ressourcen, ohne die ein zeitkritischer Prozess nicht wieder anlaufen kann – und zwar getrennt nach Kategorien, weil ein Notbetrieb nur mit dem gesamten Ressourcenbündel funktioniert. Üblich ist die Unterscheidung in Personal mit den erforderlichen Qualifikationen und Berechtigungen, IT-Anwendungen und -Systeme, Gebäude und Arbeitsplätze, Kommunikationsmittel, externe Dienstleister und Lieferanten sowie Betriebsmittel, Informationen und Dokumente.

Für jede Ressource wird nicht der Regelbedarf, sondern der Mindestbedarf im Notbetrieb erhoben. Diese Unterscheidung wird in der Praxis oft nicht gemacht, mit der Folge, dass Notfallplanungen die volle Regelausstattung voraussetzen und damit unrealistisch werden. Ein Prozess, der im Normalbetrieb zwölf Mitarbeitende und vier Fachanwendungen benötigt, ist im Notbetrieb möglicherweise mit vier Personen und einer Anwendung eingeschränkt handlungsfähig – genau diese Aussage braucht die Notfallplanung.

Besondere Aufmerksamkeit verdient die Ressourcenkategorie Kommunikation, weil sie doppelt betroffen ist: Sie ist Voraussetzung für den Wiederanlauf nahezu aller Prozesse und fällt bei IT-Störungen häufig selbst aus. Erhoben werden sollte deshalb nicht nur, dass ein Prozess Kommunikationsmittel benötigt, sondern welche Wege bei Ausfall von E-Mail, Telefonanlage, Intranet und Dateiablagen zur Verfügung stehen, wer über sie erreichbar sein muss und ob Alarmierungs- und Eskalationswege außerhalb der betroffenen Systeme verfügbar sind. Fehlen hier freigegebene Alternativen, weichen Beteiligte im Ereignisfall auf private Consumer-Messenger aus – mit Folgen für Vertraulichkeit, Nachweisbarkeit und Datenschutz.

Organisationen lösen diese Anforderung in der Regel über vorab freigegebene, von der regulären Infrastruktur unabhängige Kommunikationslösungen, deren Verfügbarkeit als eigene Ressource in der Business Impact Analyse geführt und in Übungen mitgeprüft wird.

Wie unterscheidet sich die Business Impact Analyse von Risikoanalyse und Schutzbedarfsfeststellung?

Die Business Impact Analyse unterscheidet sich von benachbarten Analyseverfahren durch ihren Betrachtungsgegenstand: Sie bewertet Auswirkungen über die Zeit, während andere Verfahren Ursachen, Schutzziele oder Betroffenenrechte in den Mittelpunkt stellen. Die Verfahren werden regelmäßig verwechselt oder für austauschbar gehalten, was zu Lücken in der Planung führt.

Verfahren	Leitfrage	Verhältnis zur Business Impact Analyse
Business Impact Analyse	Welche Folgen hat ein Ausfall im Zeitverlauf?	Liefert Kritikalität, Ausfalltoleranzen und Ressourcenbedarf
Risikoanalyse	Welche Bedrohungen und Schwachstellen bestehen, mit welcher Wahrscheinlichkeit?	Ergänzend: bewertet Ursachen für die in der BIA identifizierten kritischen Ressourcen
Schutzbedarfsfeststellung (IT-Grundschutz)	Welchen Schutzbedarf haben Vertraulichkeit, Integrität und Verfügbarkeit?	Überschneidung nur beim Verfügbarkeitsaspekt; kein Ersatz für die BIA
Datenschutz-Folgenabschätzung (Art. 35 DSGVO)	Welche Risiken entstehen für die Rechte betroffener Personen?	Eigenständige rechtliche Pflicht, andere Zielrichtung
Kritikalitätsbestimmung im KRITIS-Kontext	Ist eine Anlage für die Versorgung der Bevölkerung wesentlich?	Regulatorische Einordnung der Organisation, keine Prozessanalyse

Praktisch bedeutet diese Abgrenzung: Eine vorhandene Schutzbedarfsfeststellung nach IT-Grundschutz ersetzt keine Business Impact Analyse, weil sie IT-Objekte statt Geschäftsprozesse betrachtet und keine Wiederanlaufreihenfolge liefert. Umgekehrt ersetzt die BIA keine Risikoanalyse, weil sie zu Ursachen und Wahrscheinlichkeiten keine Aussage macht. Beide Verfahren sind in ISO 22301 daher gemeinsam gefordert.

Welche Normen und gesetzlichen Anforderungen gelten für die Business Impact Analyse?

Für die Business Impact Analyse ist ISO 22317 der einschlägige Leitfaden; die Norm behandelt ausschließlich die BIA und beschreibt Vorbereitung, Erhebung, Bewertung und Freigabe im Detail. Übergeordnet fordert ISO 22301 die Business Impact Analyse als verbindlichen Bestandteil eines Business-Continuity-Managementsystems, gemeinsam mit einer Risikobeurteilung. Im deutschsprachigen Raum ist der BSI-Standard 200-4 maßgeblich, der die BIA methodisch ausführlich beschreibt und mit seinem Stufenmodell auch vereinfachte Varianten für den Einstieg vorsieht.

Regulatorisch ist die Business Impact Analyse in mehreren Rechtsakten verankert, allerdings mit unterschiedlicher Deutlichkeit. Die DORA-Verordnung (EU) 2022/2554 verlangt von Finanzunternehmen ausdrücklich Business-Impact-Analysen auf Basis von Szenarien schwerwiegender Betriebsunterbrechungen. Die NIS-2-Richtlinie (EU) 2022/2555 fordert Maßnahmen zur Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement, benennt die BIA aber nicht als eigenes Verfahren – sie ist dort die praktische Voraussetzung, um die geforderten Maßnahmen begründen zu können. Im Finanzsektor verlangen zusätzlich die MaRisk eine Auswirkungsanalyse als Grundlage des Notfallkonzepts; für Betreiber kritischer Infrastruktur ergeben sich Anforderungen aus der KRITIS-Regulierung und dem BSI-Gesetz.

Da Umsetzungsgesetze und Fristen in diesem Feld in Bewegung sind, sollte der konkrete Rechtsstand vor verbindlichen Aussagen geprüft werden.

Wie oft muss eine Business Impact Analyse aktualisiert werden?

Eine Business Impact Analyse muss mindestens jährlich überprüft und zusätzlich bei jeder wesentlichen Änderung aktualisiert werden. Als wesentlich gelten unter anderem neue oder eingestellte Geschäftsprozesse, Umstrukturierungen, der Wechsel oder Neuzugang kritischer Dienstleister, größere Änderungen der IT-Landschaft – etwa die Verlagerung von Anwendungen in die Cloud – sowie Standortveränderungen und Erkenntnisse aus Übungen oder realen Vorfällen.

Der Grund für diese Frequenz ist unspektakulär: BIA-Ergebnisse veralten schnell und unsichtbar. Prozesse ändern sich, Abhängigkeiten verschieben sich zu externen Dienstleistern, Anwendungen werden ersetzt. Eine drei Jahre alte Business Impact Analyse beschreibt in der Regel eine Organisation, die es nicht mehr gibt – und begründet Wiederanlaufzeiten für Prozesse, die anders laufen als dokumentiert. Bewährt hat sich, die Überprüfung an bestehende Zyklen zu koppeln, etwa an die Managementbewertung des Kontinuitätsmanagements oder an interne Audits.

Welche typischen Fehler treten bei der Business Impact Analyse auf?

Der häufigste Fehler bei der Business Impact Analyse ist die fehlende Konsolidierung: Befragt man Fachbereiche isoliert, ist nahezu jeder Prozess kritisch und jede Ausfalltoleranz kurz. Erst die organisationsweite Zusammenführung durch die Leitung erzeugt eine belastbare Rangfolge. Ohne diesen Schritt entsteht eine Notfallplanung, die im Ereignisfall alles gleichzeitig verlangt und damit nichts leistet. Weitere typische Schwachstellen:

zu feine Granularität, sodass die Analyse nicht mehr fortgeschrieben werden kann
Verengung auf IT-Systeme, während Personal, Gebäude, Kommunikation und Dienstleister unbeachtet bleiben
Erhebung des Regelbedarfs statt des Mindestbedarfs für den Notbetrieb
Wiederanlaufzeiten ohne Abgleich mit den tatsächlich erreichbaren Wiederherstellungszeiten
fehlende Berücksichtigung von Zeitpunktabhängigkeiten wie Monatsabschluss, Hochsaison oder Schichtwechsel
Vernachlässigung von Abhängigkeiten zu externen Dienstleistern, deren eigene Kontinuitätsfähigkeit nicht geprüft wird
Verwechslung mit der Schutzbedarfsfeststellung, sodass eine prozessbezogene Analyse ganz entfällt
Bewertung durch die Analyseverantwortlichen statt durch die Prozessverantwortlichen

Ist eine Business Impact Analyse auch für kleine Organisationen sinnvoll?

Eine Business Impact Analyse ist auch für kleine Organisationen sinnvoll, der Aufwand skaliert dabei mit der Größe. Kleinere Einrichtungen sind von Ausfällen häufig unmittelbarer betroffen, weil Funktionen auf wenige Personen und Systeme konzentriert sind und Ausweichkapazitäten fehlen. Genau diese Konzentration lässt sich in einer schlanken Analyse gut abbilden.

Praktisch tragfähig ist bereits eine vereinfachte Business Impact Analyse: eine überschaubare Liste der wichtigsten Prozesse, für jeden eine begründete Einschätzung, wie lange er ausfallen darf, die dafür nötigen Ressourcen im Minimum, die benannten Abhängigkeiten zu Dienstleistern und ein jährlicher Abgleich. Der BSI-Standard 200-4 greift diesen Bedarf mit seinem Stufenmodell ausdrücklich auf. Eine solche Analyse ist deutlich wirksamer als ein methodisch vollständiges Vorhaben, das nie abgeschlossen wird.

Zusammenfassung: Wichtige Punkte zur Business Impact Analyse

Die Business Impact Analyse (BIA) ermittelt, welche Geschäftsprozesse zeitkritisch sind, welcher Schaden bei ihrem Ausfall im Zeitverlauf entsteht und welche Ressourcen der Wiederanlauf erfordert.
Die BIA ist auswirkungsorientiert und szenarienunabhängig: Sie fragt nach den Folgen eines Ausfalls, nicht nach seiner Ursache.
Innerhalb des Business Continuity Management ist die Business Impact Analyse die Analysephase, auf der Kontinuitätsstrategien, Notfallpläne und Übungen aufbauen.
Die BIA liefert die Kennzahlen MTA/MTPD, RTO, RPO und MBCO sowie in der BSI-Terminologie Wiederanlaufzeit und Wiederanlaufniveau; jede Zeitvorgabe braucht eine hinterlegte Maßnahme.
Bewertet wird mehrdimensional über Schadenskategorien wie Aufgabenerfüllung, Rechts- und Vertragsverstöße, Finanzen, Reputation, persönliche Unversehrtheit und Datenschutz – die Kategorien werden nicht gegeneinander verrechnet.
Erhoben wird der Mindestbedarf im Notbetrieb, nicht die Regelausstattung: Personal, IT, Gebäude, Kommunikationsmittel, Dienstleister, Betriebsmittel und Informationen.
ISO 22317 ist der einschlägige Leitfaden zur BIA, ISO 22301 fordert sie verbindlich, der BSI-Standard 200-4 beschreibt sie methodisch und erlaubt vereinfachte Einstiegsvarianten.
DORA (EU) 2022/2554 verlangt Business-Impact-Analysen ausdrücklich; NIS-2 (EU) 2022/2555 fordert Kontinuitätsmaßnahmen, für die die BIA die praktische Voraussetzung ist.
Die Business Impact Analyse ersetzt weder Risikoanalyse noch Schutzbedarfsfeststellung – die Verfahren haben unterschiedliche Leitfragen und werden häufig fälschlich gleichgesetzt.
Eine BIA muss mindestens jährlich und bei wesentlichen Änderungen an Prozessen, IT-Landschaft oder Dienstleistern aktualisiert werden.
Der häufigste Fehler ist die fehlende Konsolidierung: Ohne organisationsweite Priorisierung durch die Leitung ist jeder Prozess kritisch und die Analyse ohne Steuerungswert.
Auch für kleine Organisationen ist eine vereinfachte Business Impact Analyse tragfähig und wirksamer als ein methodisch vollständiges Vorhaben ohne Abschluss.