Business Continuity Management (BCM), auf Deutsch betriebliches Kontinuitätsmanagement, ist ein ganzheitlicher Managementprozess, der sicherstellt, dass eine Organisation ihre zeitkritischen Geschäftsprozesse bei schwerwiegenden Störungen aufrechterhalten oder innerhalb vorab definierter Zeitvorgaben wieder aufnehmen kann. Business Continuity Management umfasst die Analyse kritischer Prozesse, die Planung von Notbetriebslösungen, regelmäßige Übungen und die kontinuierliche Verbesserung. Die maßgeblichen Regelwerke sind die internationale Norm ISO 22301 und der BSI-Standard 200-4.

Was ist Business Continuity Management (BCM)?

Business Continuity Management beantwortet eine Frage, die klassische Präventionsdisziplinen offenlassen: Was passiert, wenn die Schutzmaßnahmen versagen? Informationssicherheit, Brandschutz und Arbeitsschutz zielen darauf ab, Schadensereignisse zu verhindern. Business Continuity Management setzt eine Ebene später an und organisiert die Handlungsfähigkeit für den Fall, dass ein Ereignis trotz aller Vorsorge eintritt. Es geht also nicht um die Vermeidung von Störungen, sondern um die Beherrschung ihrer Auswirkungen.

Der Kern von Business Continuity Management ist dabei bewusst nüchtern: Eine Organisation kann im Ausnahmezustand nicht alles gleichzeitig leisten. Sie muss vorher wissen, welche Prozesse zuerst wieder anlaufen müssen, wie lange sie ohne diese Prozesse auskommt, mit welcher reduzierten Leistung sie arbeitsfähig bleibt und wer im Ereignisfall entscheidet. Genau diese Festlegungen trifft Business Continuity Management im Vorfeld – nicht unter Zeitdruck während des Ereignisses.

Wird Business Continuity Management dauerhaft und dokumentiert betrieben, spricht man von einem Business Continuity Management System (BCMS). Das BCMS ist ein Managementsystem im Sinne der ISO-Systematik, vergleichbar mit einem Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001, und lässt sich gut mit diesem verzahnen.

Beide Systeme greifen auf ähnliche Strukturen zurück: Leitlinie, Rollen, Analysephase, Maßnahmen, Wirksamkeitsprüfung und Managementbewertung. Business Continuity Management ist deshalb kein Projekt mit Enddatum, sondern ein Regelbetrieb.

Warum ist Business Continuity Management wichtig?

Business Continuity Management ist wichtig, weil Betriebsunterbrechungen längst nicht mehr die Ausnahme sind. Ransomware-Angriffe verschlüsseln Produktions- und Verwaltungssysteme innerhalb von Stunden, Lieferketten reagieren empfindlich auf einzelne Ausfälle, Cloud- und Telekommunikationsdienste bündeln Abhängigkeiten an wenigen Punkten, und Extremwetterereignisse treffen Standorte, die früher als sicher galten. Für Betreiber kritischer Infrastrukturen kommt hinzu, dass ihre Leistungen unmittelbar für Versorgung, Sicherheit und Gesundheit der Bevölkerung relevant sind.

Der wirtschaftliche Schaden einer Unterbrechung entsteht dabei selten linear. In den ersten Stunden lassen sich Ausfälle häufig noch improvisiert überbrücken. Danach steigt der Schaden überproportional: Termine und Deadlines können nicht eingehalten werden, Vertragsstrafen greifen, Kunden weichen aus, Mitarbeitende arbeiten doppelt, Aufsichtsbehörden verlangen Auskunft und die öffentliche Wahrnehmung verschiebt sich vom technischen Vorfall hin zur Frage der Organisationsverantwortung.

Business Continuity Management hat die Aufgabe, diesen Punkt zu kennen und die Wiederanlaufzeiten möglichst kurz zu halten.

Hinzu kommt die haftungs- und aufsichtsrechtliche Dimension. Ob eine Organisation vorbereitet war, wird nach einem Vorfall regelmäßig geprüft – von Versicherern, Aufsichtsbehörden, Wirtschaftsprüfern und teilweise von Gerichten. Ein dokumentiertes, geübtes Business Continuity Management ist in dieser Situation der Nachweis, dass die Leitung ihre Sorgfaltspflichten erfüllt hat.

Welche Ziele hat Business Continuity Management?

Die Ziele des Business Continuity Managements ergeben sich aus der Rangfolge der Schutzgüter. An erster Stelle stehen Leben und Gesundheit, danach die Aufrechterhaltung kritischer Leistungen, anschließend wirtschaftliche und rechtliche Aspekte:

Schutz von Leben und Gesundheit von Mitarbeitenden, Kunden und Dritten
Aufrechterhaltung kritischer Leistungen für Kunden, Bürgerinnen und Bürger, Patienten oder Einsatzkräfte
Begrenzung finanzieller Schäden, Vertragsstrafen und Folgekosten
Erfüllung rechtlicher und aufsichtsrechtlicher Pflichten, einschließlich Melde- und Nachweispflichten
Schutz von Reputation und Vertrauen bei Kunden, Partnern und Öffentlichkeit
Handlungsfähigkeit der Führung, also entscheidungsfähige Strukturen statt Einzelfallimprovisation

Wie unterscheidet sich BCM von Risikomanagement, Notfallmanagement und Disaster Recovery?

Business Continuity Management wird häufig mit benachbarten Disziplinen gleichgesetzt, was in der Praxis zu Lücken führt. Der Unterschied liegt im Betrachtungsgegenstand: Das Risikomanagement blickt auf Ursachen und Eintrittswahrscheinlichkeiten, Business Continuity Management auf Auswirkungen und Zeitverläufe. Das Notfall- und Krisenmanagement bewältigt das eingetretene Ereignis, Disaster Recovery stellt Technik und Daten wieder her.

Disziplin	Fokus	Verhältnis zum Business Continuity Management
Risikomanagement	Identifikation und Bewertung von Risiken im Vorfeld	Liefert Eingangsdaten; BCM plant für Auswirkungen statt für Ursachen
Notfall- und Krisenmanagement	Akute Bewältigung eines eingetretenen Ereignisses, Krisenstab, Sofortmaßnahmen	Operative Reaktionsebene innerhalb des BCM
IT-Service-Continuity-Management (ITSCM)	Verfügbarkeit und Kontinuität der IT-Services	Teilbereich des BCM, kein Ersatz dafür
Disaster Recovery (DR)	Technische Wiederherstellung von Systemen und Daten	Umsetzungsebene innerhalb des ITSCM
Resilienzmanagement	Widerstands- und Anpassungsfähigkeit der gesamten Organisation	BCM ist einer der zentralen Bausteine

Praktisch bedeutet diese Abgrenzung:

Wer ausschließlich Disaster Recovery betreibt, kann Server wiederherstellen, weiß aber nicht, wie die Fachbereiche in der Zwischenzeit arbeiten.

Wer ausschließlich einen Krisenstab hat, kann Entscheidungen treffen, verfügt aber nicht über vorbereitete Notbetriebsverfahren.

Business Continuity Management verbindet beide Ebenen und ergänzt sie um die fachliche Perspektive der Geschäftsprozesse.

Wie funktioniert der BCM-Lebenszyklus?

Business Continuity Management ist als Kreislauf nach dem PDCA-Prinzip (Plan – Do – Check – Act) organisiert. Üblich ist eine Gliederung in sieben Phasen, die sich in ISO 22301 und im BSI-Standard 200-4 in ähnlicher Form wiederfinden.

Initiierung und Leitlinie
Am Anfang steht ein Auftrag der Leitung. Er legt Geltungsbereich, Verantwortlichkeiten und Ressourcen fest und benennt einen BCM-Beauftragten. Ohne diesen formalen Rahmen bleibt Business Continuity Management eine Initiative einzelner Abteilungen und scheitert regelmäßig an Zuständigkeitsfragen.
Business Impact Analyse (BIA)
Die BIA ermittelt, welche Geschäftsprozesse zeitkritisch sind, wie sich der Schaden über die Zeit entwickelt und welche Ressourcen ein Prozess benötigt. Ergebnisse sind Ausfalltoleranzen und Wiederanlaufzeiten pro Prozess.
Risikoanalyse
Sie untersucht Bedrohungen und Schwachstellen der Ressourcen, die kritische Prozesse tragen: Personal, Gebäude, IT-Systeme, Kommunikationsinfrastruktur, Dienstleister und Betriebsmittel.
Kontinuitätsstrategien und Maßnahmen
Auf Basis der Analyse werden Lösungen für den Notbetrieb festgelegt – Redundanzen, Ausweichstandorte, manuelle Ersatzverfahren, alternative Lieferanten, Vorsorgeverträge und die Vorhaltung von Ersatzmitteln. Jede Maßnahme muss auf eine konkrete Wiederanlaufzeit einzahlen, sonst bleibt sie Fassade.
Notfall- und Wiederanlaufpläne
Business Continuity Plans übersetzen die Strategie in Handlungsanweisungen: Wer wird alarmiert, wer entscheidet, welche Schritte folgen in welcher Reihenfolge. Entscheidend ist die Nutzbarkeit im Ereignisfall – kurz, aktuell und unabhängig von der Verfügbarkeit der betroffenen Systeme.
Tests und Übungen
Erst die Übung zeigt, ob Pläne funktionieren. Das Spektrum reicht von Plan-Reviews über Tabletop- und Stabsübungen bis zu technischen Failover-Tests und Vollübungen. Übungen produzieren dabei nicht nur Bestätigung, sondern Erkenntnisse über Lücken – das ist ihr eigentlicher Zweck.
Überprüfung und Verbesserung
Kennzahlen, interne Audits, Lessons Learned aus realen Vorfällen und die regelmäßige Managementbewertung halten das System aktuell. Da sich Prozesse, Dienstleister und IT-Landschaften ständig ändern, veraltet ein nicht gepflegtes BCMS schneller, als es aufgebaut wurde.

Was ist eine Business Impact Analyse (BIA) im BCM?

Die Business Impact Analyse (BIA) ist das Herzstück von Business Continuity Management. Sie untersucht, welche Geschäftsprozesse zeitkritisch sind, welcher Schaden bei ihrem Ausfall im Zeitverlauf entsteht und welche Ressourcen für den Wiederanlauf zwingend erforderlich sind. Aus der BIA leiten Organisationen ihre maximal tolerierbaren Ausfallzeiten und die Priorisierung des Wiederanlaufs ab.

Methodisch arbeitet die BIA mit Interviews und Workshops in den Fachbereichen, ergänzt um dokumentierte Prozess- und Ressourcenabhängigkeiten. Erfahrungsgemäß liegt die größte Herausforderung nicht in der Erhebung, sondern in der Priorisierung: Befragt man Fachbereiche isoliert, ist nahezu jeder Prozess kritisch. Erst die organisationsweite Konsolidierung durch die Leitung erzeugt eine belastbare Rangfolge. Ohne diesen Schritt entsteht ein Notfallplan, der im Ereignisfall alles gleichzeitig verlangt – und damit nichts leistet.

Welche Kennzahlen nutzt Business Continuity Management?

Die zentralen Kennzahlen im Business Continuity Management übersetzen die Ergebnisse der Business Impact Analyse in messbare Zeit- und Leistungsvorgaben. Sie sind die Schnittstelle zwischen fachlicher Anforderung und technischer Umsetzung.

Kennzahl	Bedeutung
MTPD/MTA	Maximum Tolerable Period of Disruption bzw. maximal tolerierbare Ausfallzeit: Zeitspanne, nach der der Schaden ein nicht mehr akzeptables Maß erreicht
RTO	Recovery Time Objective: angestrebte Wiederanlaufzeit; muss unterhalb der MTA liegen
RPO	Recovery Point Objective: maximal tolerierbarer Datenverlust, ausgedrückt als Zeitraum
MBCO	Minimum Business Continuity Objective: Mindestleistung, die im Notbetrieb erbracht werden muss

Wichtig ist die Unterscheidung zwischen Wiederanlauf und Wiederherstellung: Der Wiederanlauf führt in den Notbetrieb mit reduzierter Leistung, die Wiederherstellung zurück in den Normalbetrieb. Beide Zeiträume werden getrennt geplant. Und jede Kennzahl ist nur so gut wie die Maßnahme, die sie stützt – ein RTO von zwei Stunden ohne entsprechende Redundanz ist eine Absichtserklärung, keine Planung.

Welche Normen und Standards gelten für Business Continuity Management?

Für Business Continuity Management sind zwei Regelwerke maßgeblich. ISO 22301 ist die internationale Norm für Business-Continuity-Managementsysteme und zertifizierbar; ergänzt wird sie durch ISO 22313 als Leitfaden und ISO 22317 speziell für die Business Impact Analyse. Der BSI-Standard 200-4 des Bundesamts für Sicherheit in der Informationstechnik ist der Nachfolger des BSI-Standards 100-4 und im deutschsprachigen Raum weit verbreitet, insbesondere in Behörden und bei Betreibern kritischer Infrastrukturen.

Ein wesentlicher Vorteil des BSI-Standards 200-4 ist sein Stufenmodell. Er unterscheidet drei Ausbaustufen – Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS – und erlaubt damit einen schrittweisen Einstieg. Organisationen mit begrenzten Ressourcen können mit reaktiven Grundfähigkeiten beginnen und das System später vertiefen, statt an einem Vollausbau zu scheitern.

Weitere Bezugspunkte sind ISO/IEC 27001 mit Maßnahmen zur Kontinuität der Informationssicherheit und zur IKT-Bereitschaft, ITIL für das IT-Service-Continuity-Management sowie NIST SP 800-34 im US-amerikanischen Kontext.

Welche gesetzlichen Anforderungen an BCM gelten?

Business Continuity Management ist für viele Organisationen keine freiwillige Übung mehr, sondern regulatorische Pflicht. Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagementmaßnahmen, die Business Continuity, Backup-Management und Krisenmanagement ausdrücklich einschließen, und verlangt zusätzlich die Einhaltung kurzer Meldefristen gegenüber den Behörden. Die Umsetzung in deutsches Recht erfolgt über das NIS2-Umsetzungsgesetz.

Im Finanzsektor greift die DORA-Verordnung (EU) 2022/2554 mit detaillierten Anforderungen an die digitale operationale Resilienz: Kontinuitätspläne, Testprogramme und das Management von IKT-Drittparteirisiken.

Für Betreiber kritischer Infrastrukturen ergeben sich Pflichten aus der KRITIS-Regulierung und dem BSI-Gesetz. Branchenspezifisch kommen unter anderem MaRisk sowie BAIT, VAIT und KAIT hinzu; aktienrechtlich flankiert wird das Ganze durch die Pflicht zur Risikofrüherkennung nach § 91 Abs. 2 AktG.

Bemerkenswert ist die Richtung dieser Regulierung: Sie verlagert den Nachweis. Gefordert ist nicht mehr nur das Vorhandensein von Plänen, sondern deren regelmäßige Erprobung und Dokumentation. Wer Business Continuity Management ausschließlich als Aktenordner betreibt, erfüllt die aktuellen Anforderungen nicht.

Ist Business Continuity Management auch für kleine und mittlere Organisationen relevant?

Business Continuity Management ist nicht auf Großunternehmen beschränkt – der Aufwand skaliert mit der Organisation. Kleinere Einrichtungen sind von Ausfällen häufig sogar unmittelbarer betroffen, weil Funktionen auf wenige Personen und Systeme konzentriert sind und Ausweichkapazitäten fehlen. Der BSI-Standard 200-4 greift diesen Umstand mit seinem Stufenmodell auf: Das Reaktiv-BCMS ist ausdrücklich als Einstieg für Organisationen mit begrenzten Ressourcen gedacht und beschränkt sich auf grundlegende Reaktionsfähigkeiten.

Praktisch heißt das: Auch ein schlankes Business Continuity Management mit einer priorisierten Liste kritischer Prozesse, benannten Verantwortlichkeiten, aktuellen Alarmierungswegen und einer jährlichen Übung ist deutlich wirksamer als ein umfassend geplantes System, das nie fertig wird.

Für welche Szenarien plant man?

Business Continuity Management plant für alle Ereignisse, die kritische Prozesse unterbrechen können: Cyberangriffe und Ransomware, Ausfälle von IT-Systemen und Rechenzentren, Strom- und Telekommunikationsausfälle, nicht nutzbare Gebäude nach Brand oder Wasserschaden, den Ausfall von Lieferanten und IT-Dienstleistern, größeren Personalausfall durch Pandemie oder Streik, Naturereignisse sowie Sabotage und Insider-Handlungen.

Modernes Business Continuity Management plant dabei bewusst szenarienunabhängig. Statt Pläne für jede denkbare Ursache zu schreiben, wird nach ausgefallener Ressource geplant: Personal, Gebäude, IT, Kommunikation, Dienstleister, Betriebsmittel. Ob ein Rechenzentrum durch Ransomware, Wasserschaden oder einen Stromausfall nicht verfügbar ist, ändert an den Handlungsoptionen der Fachbereiche wenig. Dieser Ansatz reduziert die Zahl der Pläne erheblich und bleibt auch bei Ereignissen anwendbar, die vorher niemand vorhergesehen hat.

Welche Rolle spielt Kommunikation im Business Continuity Management?

Kommunikation ist im Business Continuity Management eine kritische Ressource – und im Störungsfall auffallend häufig selbst betroffen. Fällt die primäre Kommunikationsinfrastruktur aus, sind Alarmierung, Krisenstabsarbeit und Meldepflichten unmittelbar gefährdet. Notfall- und Krisenkommunikation gehört deshalb in jeden BCM-Plan, und zwar als eigenständige Ressource, nicht als Anhang.

Vier Aspekte sind aus BCM-Sicht entscheidend.

Alarmierung und Erreichbarkeit: Sie muss rund um die Uhr funktionieren, auch außerhalb der Dienstzeiten, mobil, über Standorte hinweg und ohne Rückgriff auf Verteiler, die niemand pflegt.
Unabhängigkeit von den betroffenen Systemen: E-Mail, Telefonanlage, Intranet und Dateiablagen können Teil des Ausfalls sein. Kontaktlisten, Eskalationswege und Notfallpläne dürfen nicht ausschließlich dort liegen, wo sie im Ereignisfall nicht erreichbar sind – genau hier scheitern Ransomware-Fälle in der Praxis regelmäßig.
Arbeitsfähigkeit des Krisenstabs: Er benötigt ein gemeinsames Lagebild, klar getrennte Kommunikationskreise für Stab, Fachbereiche und Gesamtorganisation sowie eine nachvollziehbare Dokumentation von Meldungen und Entscheidungen. Diese Dokumentation ist nicht nur für die Aufarbeitung relevant, sondern auch für Nachweispflichten gegenüber Aufsicht und Versicherern.
Sicherheits- und Datenschutzanforderungen, die auch im Notfall gelten: Fehlen freigegebene und geübte Notfallkanäle, weichen Beteiligte erfahrungsgemäß auf private Consumer-Messenger aus. Es entsteht eine Schatten-IT genau in dem Moment, in dem die Organisation Kontrolle und Nachvollziehbarkeit am dringendsten braucht – mit Folgen für DSGVO-Konformität, Vertraulichkeit und Beweisfähigkeit.

Organisationen lösen diese Anforderung in der Regel über vorab freigegebene, von der regulären Infrastruktur unabhängige Kommunikationslösungen, deren Verfügbarkeit in den Übungen des Business Continuity Managements mitgeprüft wird.

Wie sich sichere Notfallkommunikation im eigenen BCMS abbilden lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Wer ist für Business Continuity Management verantwortlich?

Die Gesamtverantwortung für Business Continuity Management liegt bei der Leitung der Organisation – rechtlich wie faktisch delegierbar ist sie nicht. Operativ steuert ein BCM-Beauftragter den Prozess, koordiniert Analysen und Übungen und berichtet an die Leitung.

Die inhaltliche Substanz liefern die Prozessverantwortlichen in den Fachbereichen, denn nur sie kennen die tatsächlichen Abläufe und Abhängigkeiten.

Im Ereignisfall übernimmt der Krisenstab die Entscheidungen, während Notfallteams die vorbereiteten Maßnahmen umsetzen. Diese Rollentrennung ist zentral: Wer im Ereignisfall entscheidet, sollte nicht gleichzeitig operativ mitarbeiten müssen.

Was sind typische Fehler im Business Continuity Management?

Der häufigste Fehler im Business Continuity Management ist die Reduktion auf Dokumentation: Pläne existieren, sind aber nie geübt worden und im Ereignisfall unbrauchbar. Weitere typische Schwachstellen aus der Praxis:

Notfallpläne und Kontaktlisten liegen ausschließlich digital in dem System, das im Ernstfall ausgefallen ist
unrealistisch kurze Wiederanlaufzeiten ohne hinterlegte Maßnahmen und Ressourcen
Verengung auf die IT, während Personal, Gebäude, Kommunikation und Dienstleister unbeachtet bleiben
fehlende Vertretungsregelungen sowie veraltete Kontaktdaten und Alarmierungslisten
keine Einbindung kritischer Dienstleister und Lieferanten in die eigene Kontinuitätsplanung
Notfallkommunikation als nachgelagerter Gedanke statt als geplante und geübte Ressource

Zusammenfassung: Wichtige Punkte zu Business Continuity Management (BCM)

Business Continuity Management (BCM) ist der Managementprozess, der zeitkritische Geschäftsprozesse bei Störungen aufrechterhält oder innerhalb definierter Zeitvorgaben wieder anlaufen lässt.
BCM plant nicht die Vermeidung von Schäden, sondern die Beherrschung ihrer Auswirkungen – und ergänzt damit Prävention und Risikomanagement.
Dauerhaft betrieben und dokumentiert, wird BCM zu einem Business Continuity Management System (BCMS), das sich gut mit einem ISMS nach ISO/IEC 27001 verzahnen lässt.
Der BCM-Lebenszyklus umfasst sieben Phasen von der Leitlinie über Business Impact Analyse, Risikoanalyse, Strategien und Notfallpläne bis zu Übungen und kontinuierlicher Verbesserung.
Die Business Impact Analyse (BIA) ist die Grundlage jeder Planung; sie liefert Ausfalltoleranzen und die Priorisierung des Wiederanlaufs.
Zentrale Kennzahlen sind MTA/MTPD, RTO, RPO und MBCO; jede Zeitvorgabe braucht eine hinterlegte Maßnahme.
Maßgebliche Regelwerke sind ISO 22301 und der BSI-Standard 200-4, der mit drei Ausbaustufen einen schrittweisen Einstieg erlaubt.
NIS2, DORA und die KRITIS-Regulierung machen BCM für viele Organisationen zur Pflicht – inklusive Nachweis regelmäßiger Tests.
Kommunikation ist eine kritische Ressource: Sichere, vom Ausfall unabhängige Notfallkanäle für Alarmierung, Krisenstab und Meldepflichten gehören verbindlich in den BCM-Plan.