Wie schlimm ist nicht wie schnell

In vielen Häusern gibt es zwei Tabellen. In der einen steht neben einem Fachverfahren „Verfügbarkeit: hoch". In der anderen steht neben demselben Verfahren eine Zahl, etwa vier Stunden. Beide gelten als Ausdruck davon, wie wichtig die Sache ist, und werden entsprechend synonym behandelt.

Sie beantworten aber zwei verschiedene Fragen, und die eine lässt sich aus der anderen nicht ableiten.

Der Schutzbedarf fragt: wie schlimm?

Der BSI-Standard 200-2 formuliert das Ziel der Schutzbedarfsfeststellung so:

„Ziel der Schutzbedarfsfeststellung ist es, für die erfassten Objekte im Informationsverbund zu entscheiden, welchen Schutzbedarf sie bezüglich Vertraulichkeit, Integrität und Verfügbarkeit besitzen."

Bewertet wird der zu erwartende Schaden bei einer Beeinträchtigung dieser drei Grundwerte. Bewährt hat sich dafür laut Standard die Einteilung in die drei Kategorien normal, hoch und sehr hoch.

Was in dieser Frage nicht vorkommt, ist die Zeit. „Verfügbarkeit: hoch" sagt, dass ein Ausfall schweren Schaden anrichtet. Es sagt nicht, ob dieser Schaden nach zwei Stunden eintritt oder nach zwei Wochen.

Die BIA fragt: wie schnell?

Genau dort setzt die Business Impact Analyse des BSI-Standards 200-4 an:

„Ziel der BIA ist es, einheitlich festzustellen, ob ein Geschäftsprozess zeitkritisch ist und wie lange dieser ausfallen darf, bevor nicht mehr tolerierbare Schäden entstehen."

Die Leitfrage, die der Standard dafür angibt, trägt die Zeit ausdrücklich in sich: „Wenn ein Geschäftsprozess ausfällt, mit welchem Schadenspotenzial ist im jeweiligen Zeithorizont zu rechnen?"

Der Schaden wird also nicht einmal bewertet, sondern über einen Verlauf. Dazu gehört das Untragbarkeitsniveau: die Festlegung, ab welcher Schadenskategorie die Auswirkungen eines Ausfalls nicht länger toleriert werden.

Zwei Zahlen, die daraus folgen

Aus dieser Betrachtung entstehen zwei Kennzahlen, die im Sprachgebrauch oft verschwimmen:

Die Maximal tolerierbare Ausfallzeit (MTA, englisch MTPD) „legt fest, wie lange ein Geschäftsprozess maximal ausfallen darf, bevor nicht tolerierbare Auswirkungen für die Institution auftreten". Sie ist eine Grenze, kein Ziel.

Die Geforderte Wiederanlaufzeit (WAZ, englisch RTO) wird daraus abgeleitet und den zeitkritischen Prozessen und Ressourcen zugeordnet. Sie ist das Ziel, das vor der Grenze liegen muss.

Der Standard führt das an einem Beispiel vor, das die Rechnung sichtbar macht: der Meldung von Datenschutzvorfällen. Die gesetzliche Frist stellt dort die maximal tolerierbare Ausfallzeit dar, denn zu diesem Zeitpunkt muss die Meldung bereits abgegeben sein. Die Wiederanlaufzeit leitet sich entsprechend so ab, dass neben der Reaktionszeit auch die Prozessausführungszeit von der Grenze abgezogen wird, idealerweise mit einem Puffer. Wer die 72 Stunden aus Artikel 33 DSGVO als Wiederanlaufziel notiert, hat die Rechnung genau anders herum gemacht.

Warum das BSI vor dem Zusammenlegen warnt

Beide Verfahren lassen sich koppeln, und der Standard empfiehlt das sogar: Werden dieselben Schadensszenarien und Schadenskategorien verwendet, können die Analysen gemeinsam erhoben werden. Der Nutzen ist ausdrücklich benannt, nämlich dass „Abweichungen zwischen der Verfügbarkeit im ISMS und der Kontinuität im BCM leichter identifiziert werden können".

Im selben Abschnitt steht aber die Warnung, und sie enthält die eigentliche Unterscheidung:

„Ferner betrachtet die Schutzbedarfsfeststellung alle Ressourcen für den Normalbetrieb, während die BIA die Ressourcen für den Notbetrieb betrachtet."

Dazu kommt ein zweiter Grund: Die Schutzbedarfsfeststellung neigt laut Standard aus Effizienzgründen sehr häufig zu Maximalgruppierungen, die von der Clusterbildung in der BIA erheblich abweichen können.

Im Klartext: Die eine Analyse fragt, was im Normalbetrieb geschützt werden muss. Die andere fragt, was im Notbetrieb zuerst wieder laufen muss. Das ist nicht dieselbe Liste, und sie ist auch nicht dieselbe Reihenfolge. Ein Verfahren mit hohem Schutzbedarf kann im Notbetrieb wochenlang stillstehen, und ein Prozess mit normalem Schutzbedarf kann nach vier Stunden das ganze Haus blockieren.

Und die Kritikalität?

Das Wort trägt in der Praxis beide Bedeutungen und deshalb keine. Wer „kritisch" sagt, meint mal einen hohen Schutzbedarf, mal Zeitkritikalität im Sinne der BIA, mal die Zugehörigkeit zu einem regulierten Sektor nach NIS2 oder KRITIS-Recht.

Die Prüffrage, die das auflöst, ist kurz: Kritisch wofür, und ab wann? Wer sie nicht beantworten kann, hat noch keine Einstufung, sondern ein Etikett.

Was das praktisch heißt

Wenn im Haus nur eine der beiden Analysen existiert, fehlt nicht die Hälfte einer Sache, sondern eine ganze Sache. Ohne Schutzbedarf fehlt die Grundlage für Vertraulichkeit und Integrität, die in der BIA gar nicht vorkommen. Ohne BIA fehlt jede belastbare Zeitangabe, und damit die Grundlage für Wiederanlaufpläne, Redundanzen und Notbetriebsvereinbarungen.

Beides zusammen ergibt erst den Satz, der im Ernstfall trägt: Dieses Verfahren ist so wichtig, und es hat so lange Zeit.

Quellen

BSI-Standard 200-2 (IT-Grundschutz-Methodik), Kapitel 8.2, und BSI-Standard 200-4 (Business Continuity Management), Kapitel 7. Beide beim BSI: BSI-Standards zum IT-Grundschutz. Die Meldefrist von 72 Stunden steht in Artikel 33 DSGVO.

In der nächsten Folge: Basis-, Kern- und Standard-Absicherung. Drei Vorgehensweisen, die regelmäßig für drei Reifegrade gehalten werden.

Die vorige Folge: Bedrohung ist nicht Gefährdung.