Ein Cyberangriff ist abgewehrt, Systeme sind isoliert, Backups stehen bereit. Und dennoch bleibt der Geschäftsbetrieb stehen. Was auf technischer Ebene kontrollierbar scheint, scheitert in der Praxis häufig an fehlender Klarheit über Prioritäten, Abhängigkeiten und Verantwortlichkeiten.
Genau hier setzt das Konzept der Minimum Viable Company an: In den kritischen Momenten des Übergangs von Wiederherstellung zu tatsächlicher Handlungsfähigkeit.
Daten lassen sich technisch zurückspielen, doch es ist unklar, welche Anwendungen und Prozesse tatsächlich benötigt werden, um den Betrieb schnell wieder aufzunehmen. Entscheidungen werden unter Zeitdruck getroffen, meist ohne belastbare Grundlage.
Welche Systeme zuerst verfügbar sein müssen, ist oft nicht eindeutig definiert. Abhängigkeiten zwischen Anwendungen, Identitäten und Prozessen werden erst sichtbar, wenn sie bereits zum Engpass werden und jede Minute zählt.
Daten sind wieder verfügbar, doch es besteht keine Sicherheit, ob die wiederhergestellten Daten erneut Infektionsrisiken bergen. Ohne isolierte Prüf- und Testmöglichkeiten besteht das Risiko, Schadcode erneut in die Umgebung einzubringen.
Zuständigkeiten, Prioritäten und Entscheidungswege sind nicht eindeutig definiert, während IT, Security und Fachbereiche unterschiedliche Zielbilder verfolgen. Recovery wird zur Ad-hoc-Entscheidung mit direkten Auswirkungen auf Ausfallzeiten, Kosten und Reputation.
Recovery-Ziele orientieren sich an RTOs und RPOs, nicht daran, wann das Unternehmen tatsächlich wieder operativ arbeiten kann. Geschäftskritische Funktionen bleiben länger aus als erwartet.
Lange Wiederanlaufzeiten führen zu Produktivitätsverlusten, erhöhtem finanziellen Schaden und steigenden Risiken für Reputation und Compliance.
Vorgaben wie NIS-2 und DORA erhöhen den Druck, Cyber-Resilienz, Wiederherstellungsfähigkeit und Entscheidungsprozesse auch über die IT hinaus nachvollziehbar und prüfbar zu gestalten.
Minimum Viable Company beschreibt den klar definierten Business-Zustand, in dem ein Unternehmen nach einem Cybervorfall seine zentralen Geschäftsfunktionen wieder aufrechterhalten kann. Dieser Zustand ist bestimmt durch die jeweils minimal notwendige Kombination aus Anwendungen, Daten, Prozessen und verantwortlichen Rollen. Er schafft Klarheit darüber, was im Ernstfall tatsächlich benötigt wird, setzt realistische Erwartungen und verankert Verantwortung auch jenseits rein technischer Fragestellungen.
Es ergeben sich drei elementare Bausteine:
Minimum Viable Company beginnt mit der Klarheit darüber, was im Ernstfall wirklich zählt. Ein strukturierter Austausch hilft, bestehende Annahmen zu überprüfen und Prioritäten zu definieren.
Gemeinsam klären wir, wie Ihr Business nach einem Cybervorfall schnell und verlässlich wieder handlungsfähig wird.
Gemeinsam klären wir, wie Ihr Business nach einem Cybervorfall schnell und verlässlich wieder handlungsfähig wird.
