Von Lena Bodewein*
MÜNCHEN (COMPUTERWOCHE) - Eine nachlässige Handhabe in der Absicherung der geschäftskritischen Prozesse kann Unternehmen um ihre Existenz bringen. Die Lebensversicherung könnte hier Business-Continuity-Management heißen. Dahinter verbirgt sich ein Angebot von Dienstleistern, die eine Fortführung des IT-Betriebs im Katastrophenfall versprechen.
Nur ein kleiner Wartungsfehler: Heißes Öl läuft aus, ein Brand entsteht, und schon wabern dichte Qualmwolken über der Fertigungshalle, in der seit vier Wochen auch noch drei Hochgeschwindigkeits-Server untergebracht sind. Nach dem Löschen gibt es keinen Strom, keine Kommunikationsmöglichkeit und keine IT mehr. Die Produktion im umsatzstärksten Bereich - der Bau- und Klimatechnik - liegt brach, die Situation des Unternehmens besorgniserregend. Doch die Lingener Erwin-Müller-Gruppe, Hersteller von Büromaterial sowie Bau-, Klima- und Bad-Utensilien, sah sich bereits im November 1996, als sich diese Katastrophe ereignete, in der glücklichen Lage, einem Notfallplan folgen zu können. Ihr Business-Continuity-Partner Hewlett-Packard stellte in der folgenden Nacht ein mobiles Ausweichrechenzentrum vor die Tür, so dass zumindest der IT-Betrieb weitergehen konnte.
Bedeutungswandel durch E-Business
Business Continuity ist ein weites Feld und wird je nach Serviceanbieter anders umschrieben. Es beinhaltet den Katastrophenschutz, die einfache Wiederanlaufhilfe der notwendigen Ressourcen oder den ganzheitlichen Ansatz zur Absicherung von Geschäftsprozessen. Im Großen und Ganzen sind es all jene Aspekte, die dazu beitragen, dass der IT-Systembetrieb rund um die Uhr an 365 Tagen im Jahr funktioniert. Im Vordergrund stehen dabei die Verfügbarkeit und Sicherheit aller Komponenten, Netze, Systeme und Applikationen.
Wie auch immer sie definiert wird - vor allem durch das Anwachsen des E-Business hat Business Continuity einen Bedeutungswandel erfahren. Denn, so attestiert Gartner in einer Studie vom Juni 2001, das E-Business mit der Anforderung ständiger Verfügbarkeit (sieben Tage die Woche rund um die Uhr) mache Ausfallzeiten von 72 Stunden nahezu untragbar. Hätten die Unternehmen Anfang der neunziger Jahre ihre Notfallplanung noch geradezu apathisch gehandhabt, so habe vor allem die Jahr-2000-Vorsorge dafür gesorgt, dass Absicherungen erneuert, erweitert oder überhaupt erst einmal erstellt wurden.
Dennoch hapert es selbst im Zeitalter von E-Business noch mit dem Vorsorgebewusstwein. Oft beobachten Unternehmensberater und Anbieter von Business-Continuity-Services eine gefährliche Gleichgültigkeit gegenüber dem Thema. IT hat zwar geschäftskritische Bedeutung, vor den Folgen eine Totalausfalls verschließen jedoch viele Anwender noch die Augen. Zwar werden laut Gartner bis 2005 etwa 60 Prozent der großen Unternehmen in eine Vorsorgeplanung investiert haben, doch aktuell sind es weniger als ein Viertel. Und das gilt nur für die USA; vor allem in Deutschland gebe es noch viel größere Defizite, meint Jürgen Langner, Marketing-Manager des Business-Coninuity-Anbieters Guardian IT, Frankfurt am Main.
Pro Stunde fünf Millionen Mark
"Unternehmen, die bereits Erfahrungen damit machen mussten, was es bedeutet, wenn ein Anwendungssystem einmal für einen längeren Zeitraum nicht zur Verfügung steht, sind besonders sensibilisiert für den Wert von Sicherheit und Verfügbarkeit im IT-Bereich", berichtet Holm Thiele, Portfolio-Manager der zur Thyssenkrupp Information Services (TKIS) gehörigen Triaton GmbH, Krefeld. Wer jedoch auf eine solche Erfahrung wartet, riskiert Schaden an Image sowie an den Kunden- und Geschäftsbeziehungen.
Ein anderes Szenario: die Finanzwelt. In einer Branche, in der schnelle Reaktion alles ist, kann ein Ausfall der Informationstechnologie tödlich sein. Konkret heißt das nach einer Gartner-Studie von 1999: Eine Stunde offline im Aktien- und Rentenhandel bedeutet einen Verlust von zwölf Millionen Mark, und im Kredithandel summiert sich der Schaden pro Stunde auf fünf Millionen Mark. Ein von der IT abhängiges Unternehmen, das eine Woche vom Netz ist und seine Daten verliert, habe beste Chancen, das nächste Jahr nicht mehr zu erleben, meint Hans-Josef Lenzen, Manager des Competence-Center von Siemens Business Services, München.
Von einem Wiederanlaufplan, der einmal aufgeschrieben und dann in die Schublade gelegt wurde, sollten sich die Firmen deshalb so schnell wie möglich verabschieden, rät Ray Powell, unabhängiger Business-Continuity-Berater, Berlin, und deutscher Vertreter des Business-Continuity-Institutes. Anzustreben sei eine Rund-um-die-Uhr-Lösung für ein konsequentes Risiko-Management, das im Übrigen auch das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) einfordert.
Welchen Umfang diese Lösung hat, muss jedes Unternehmen für sich definieren - oder definieren lassen, etwa von Beratern wie CSC Ploenzke, PricewaterhouseCoopers oder KPMG. Ob lediglich eine Redundanz der wichtigsten Hardware nötig ist oder alle wesentlichen IT-Komponenten gespiegelt und in Ausweichrechenzentren ständig einsatzbereit gehalten werden, ist davon abhängig, welche Ausfallzeit wirtschaftlich tragbar ist. Große Banken und Handelshäuser sind auf "heiße Lösungen" mit eigenem Zweitrechenzentrum angewiesen. Einem mittelständischen Unternehmen dagegen rät Klaus Höring, Berater bei der Consulting Partners GmbH, München, zu einer Abgabe des Zentralrechners an professionelle Hosting Center, die sich dann auch um die Business Continuity kümmern.
Häufig bieten Hardware- und Anwendungslieferanten ihren Kunden die Business-Continuity-Dienste direkt mit an. Die Hamburger Info AG konzentriert sich beispielsweise auf den Betrieb von Geschäftsapplikationen (Business Applications) für Kunden. Da das Unternehmen aber auch die Rechenzentrumsleistungen und damit verbunden die entsprechende Business Continuity gewährleistet, "kaufen die Produktionskunden meistens auch die Services für den Katastrophenschutz mit ein", so Martin Pollehn, Leiter des Rechenzentrums.
Trend zu Spiegellösungen
Das Angebotsspektrum reicht von "warmen" Backups, also der täglichen Datensicherung auf Bändern, bis zur Spiegelung und dem Clustering von Systemen über mehrere Standorte hinweg. Die Kosten für diesen Service betragen zwischen wenigen tausend bis mehreren zehntausend Mark pro Monat, je nachdem, ob die Anwender bloße Wiederanlaufhilfe oder ständige Einsatzbereitschaft wünschen. Der Trend gehe immer mehr hin zu den Spiegellösungen, sagt Pollehn, weil die Technologie immer besser und günstiger werde. Je nach Anspruch wählen Kunden geteilte Lösungen, bei denen sich ihre gespiegelten Datenbestände zusammen mit denen anderer Unternehmen auf einem System befinden, oder sie entscheiden sich für eine dedizierte Lösungen.
Neben dem Hamburger Rechenzentrum unterhält die Info AG Standorte in Düsseldorf und Frankfurt, wo sie auch 45 Handelsarbeitsplätze betreibt. Die Strategie mehrerer, bundesweit verteilter Mainframe-Standorte verfolgen auch die anderen Anbieter von Business-Continuity-Diensten wie Guardian IT, Siemens Business Services oder HP. Dazu bieten sie den Service von mobilen Rechenzentren und Büroarbeitsplätzen. Einsatzbereit sind sie, wie Triaton-Manager Thiele betont, "rund um die Uhr, jeden Tag im Jahr". Im Notfall springen die Experten jederzeit aus dem Bett.
Welche Strategie sich die Unternehmen auch immer maßschneidern lassen: Ein essenzieller Teil der Business Continuity sind regelmäßige Testläufe, die möglichst zweimal pro Jahr durchgeführt werden sollten. Dann zeigt sich nämlich, an welchen Stellen im Geschäftsprozess der Notfallplan nicht mit den neuesten Daten abgestimmt wurde und welche Bestände bei einer Katastrophe verloren gingen. Und so sind die Auswirkungen nur halb so wild, wenn es heißen sollte: Nur ein kleiner Wartungsfehler, heißes Öl läuft aus ...
*Lena Bodewein ist freie Journalistin in Hamburg.