Business Impact Analyse: das Fundament, auf dem jeder Notfall- und Krisenplan steht
Die Business Impact Analyse beantwortet eine Frage, die viele Krisenpläne schlicht überspringen: Welche Prozesse halten Ihr Unternehmen tatsächlich am Leben, und wie lange dürfen sie ausfallen, bevor der Schaden nicht mehr beherrschbar ist? Sie ist die strukturierte Bestandsaufnahme, die zeigt, welche Aktivitäten kritisch sind, welche Abhängigkeiten daran hängen und in welcher Reihenfolge alles wieder anlaufen muss. Ohne diese Grundlage ist jeder Wiederanlaufplan eine Vermutung. Mit ihr wird aus einem gut gemeinten Dokument eine belastbare Entscheidungsgrundlage für den Ernstfall.
Für Verantwortliche im Business Continuity Management, in der Unternehmenssicherheit oder im Risikomanagement ist die Business Impact Analyse deshalb kein Formular, das man einmal ausfüllt und ablegt. Sie ist der Punkt, an dem sich entscheidet, ob eine Organisation im Störfall die richtigen Dinge zuerst tut.
Was eine Business Impact Analyse konkret beantwortet
Eine Business Impact Analyse (BIA) ist die systematische Bewertung, welche Auswirkungen die Unterbrechung einzelner Geschäftsprozesse über die Zeit hat. Sie ermittelt, welche Prozesse für die Erbringung Ihrer Produkte und Dienstleistungen unverzichtbar sind, welche Ressourcen diese Prozesse benötigen und wie schnell sie wiederhergestellt sein müssen, damit finanzielle, rechtliche, operative und reputationsbezogene Folgen im tolerierbaren Rahmen bleiben.
Der Kern liegt in einem Perspektivwechsel. Eine Risikoanalyse fragt: Was kann passieren und wie wahrscheinlich ist es? Die BIA fragt umgekehrt: Wenn ein Prozess ausfällt – egal aus welchem Grund –, wie schnell wird es weh tun und wie sehr? Diese Umkehrung ist entscheidend, weil im Krisenfall selten die Ursache zählt, sondern die Auswirkung. Ein Serverausfall, ein Brand im Lager, der Ausfall eines Schlüssellieferanten oder eine Ransomware-Infektion führen am Ende zur selben operativen Frage: Was läuft jetzt nicht mehr, und was davon können wir am wenigsten lange entbehren?
Damit liefert die BIA die Priorisierung, die jeder spätere Plan voraussetzt. Sie sagt nicht, wie Sie ein Rechenzentrum wiederherstellen. Sie sagt, dass genau dieses Rechenzentrum vor der Buchhaltung und nach der Produktionssteuerung an der Reihe ist – und warum.
Warum Pläne ohne Business Impact Analyse auf Sand gebaut sind
In vielen Organisationen existieren Notfall- und Krisenpläne, die auf Annahmen beruhen statt auf Analyse. Man weiß ungefähr, was wichtig ist, und schreibt es auf. Das Problem zeigt sich erst unter Druck: Wenn mehrere Prozesse gleichzeitig ausfallen und die Ressourcen knapp sind, braucht der Krisenstab eine klare Reihenfolge. Fehlt sie, wird im teuersten Moment improvisiert.
Die Folgen sind selten dramatisch-spektakulär, aber teuer. Ressourcen fließen zuerst in den lautesten statt in den wichtigsten Prozess. Wiederanlaufzeiten werden zugesagt, die technisch gar nicht haltbar sind, weil niemand die Abhängigkeiten durchgerechnet hat. Verträge enthalten Wiederherstellungszusagen, die im Ernstfall gebrochen werden. Und die Geschäftsführung trifft Entscheidungen über Ausweichstandorte oder Notbetrieb ohne belastbare Zahlen darüber, was ein Tag Stillstand in welchem Bereich kostet.
Ein zweiter, unterschätzter Effekt betrifft die Legitimität. Ein Krisenplan, dessen Prioritäten nicht nachvollziehbar hergeleitet sind, wird in der ruhigen Zeit nicht ernst genommen und in der Krise nicht befolgt. Die Business Impact Analyse liefert genau diese Nachvollziehbarkeit. Sie macht aus „das ist uns wichtig“ ein „dieser Prozess muss innerhalb von vier Stunden wieder laufen, weil danach die vertraglich zugesicherte Lieferfähigkeit kippt“.
Die vier Kennzahlen, die jede Business Impact Analyse liefern muss
Eine belastbare BIA ist keine reine Beschreibung, sie mündet in messbare Zielwerte. Vier Kennzahlen bilden das gemeinsame Vokabular zwischen Fachbereich, IT und Geschäftsführung.
| Kennzahl | Was sie festlegt | Typische Frage dahinter |
|---|---|---|
| MTA / MTPD (maximal tolerierbare Ausfallzeit) | Wie lange ein Prozess maximal ausfallen darf, bevor der Schaden untragbar wird | „Ab wann bedroht der Stillstand das Unternehmen existenziell?“ |
| RTO (Recovery Time Objective / Wiederanlaufzeit) | Zielzeit, in der der Prozess nach einer Störung wieder arbeitsfähig sein soll | „Bis wann müssen wir spätestens wieder liefern?“ |
| RPO (Recovery Point Objective) | Maximal tolerierbarer Datenverlust, gemessen in Zeit | „Wie viele Stunden Daten dürfen wir verlieren?“ |
| MBCO (Minimum Business Continuity Objective) | Das minimale Leistungsniveau, das im Notbetrieb aufrechterhalten werden muss | „Was ist das Weniger, mit dem wir überleben?“ |
Diese Werte sind der eigentliche Ertrag der Analyse. Sie übersetzen betriebliche Bedeutung in Zeit und Menge – und damit in Anforderungen, die IT, Facility Management und Lieferanten planen können. Erst wenn die maximal tolerierbare Ausfallzeit kleiner ist als die realistische Wiederanlaufzeit, wird eine Lücke sichtbar. Genau diese Lücke ist der Grund, warum eine Organisation überhaupt in Redundanz, Ausweichkapazität oder alternative Lieferwege investiert.
Woran Sie erkennen, dass Ihre BIA fehlt oder veraltet ist
Nicht jede Organisation braucht denselben Reifegrad. Aber es gibt Warnzeichen, die zuverlässig anzeigen, dass die Grundlage fehlt oder nicht mehr trägt:
- Ihre Wiederanlaufzeiten sind nirgends dokumentiert oder stammen aus dem Bauchgefühl einzelner Personen.
- Der Krisenplan nennt keine Reihenfolge, in der Prozesse wiederhergestellt werden.
- IT und Fachbereich haben unterschiedliche Vorstellungen davon, was „kritisch“ bedeutet.
- Neue Standorte, Systeme oder ausgelagerte Dienstleister sind seit der letzten Analyse hinzugekommen, ohne dass die BIA aktualisiert wurde.
- Sie können nicht in einem Satz sagen, welcher Ausfall Ihr Unternehmen am schnellsten in ernste Schwierigkeiten bringt.
Trifft mehr als einer dieser Punkte zu, arbeiten Ihre Notfallpläne mit Zahlen, die niemand belegen kann. Das ist weniger ein Compliance-Problem als ein Steuerungsproblem: Im Ernstfall fehlt die Landkarte.
In sieben Schritten zur belastbaren Business Impact Analyse
Der Weg zu einer tragfähigen BIA folgt einer klaren Logik. Die technische Spezifikation ISO/TS 22317 beschreibt den Prozess ausführlich; in der Praxis lässt er sich auf sieben Schritte verdichten.
- Umfang und Ziel festlegen. Welche Standorte, Bereiche und Produkte werden betrachtet? Ohne klare Grenzen wird die Analyse entweder oberflächlich oder uferlos.
- Produkte und Dienstleistungen priorisieren. Beginnen Sie beim Ergebnis: Was liefert das Unternehmen nach außen, und was davon ist am wichtigsten?
- Prozesse und Aktivitäten den Leistungen zuordnen. Welche internen Abläufe sind nötig, damit diese Leistungen zustande kommen?
- Auswirkungen über die Zeit bewerten. Wie entwickeln sich finanzielle, rechtliche, operative und reputationsbezogene Schäden nach einer, vier, vierundzwanzig Stunden, nach einer Woche?
- Abhängigkeiten und Ressourcen erfassen. Personal, IT-Systeme, Gebäude, Lieferanten, Daten – ein Prozess ist nur so belastbar wie seine schwächste Abhängigkeit.
- Zielwerte ableiten. Aus der Auswirkungsbewertung ergeben sich MTA, RTO, RPO und MBCO je Prozess.
- Ergebnisse verankern und freigeben. Die Geschäftsführung muss die Prioritäten bestätigen. Ohne diese Freigabe bleibt die BIA eine Meinung, keine verbindliche Grundlage.
Der letzte Schritt wird am häufigsten übersprungen und ist der wichtigste. Eine Business Impact Analyse, die nicht von der obersten Leitung getragen wird, hält der ersten unbequemen Priorisierungsentscheidung nicht stand.
Ein Beispiel aus der Praxis
Das folgende Beispiel ist ein zusammengesetztes, fiktives Szenario zur Veranschaulichung – kein realer Kundenfall.
Ein mittelständischer Zulieferer für die Automobilindustrie geht davon aus, dass die IT der kritischste Bereich sei. In der Business Impact Analyse zeigt sich ein anderes Bild. Die Produktionslinie kann rund achtundvierzig Stunden aus Pufferbeständen weiterlaufen, selbst wenn das ERP-System steht. Der eigentliche Engpass ist die Qualitätsprüfung: Ohne das Kalibrierlabor darf keine Charge freigegeben werden, und der vertraglich zugesicherte Lieferrhythmus zum Werk des Kunden kippt bereits nach acht Stunden.
Die Analyse verschiebt damit die Prioritäten. Nicht das ERP-System steht an erster Stelle des Wiederanlaufs, sondern die Freigabefähigkeit der Qualitätssicherung. Diese Erkenntnis war vorher nirgends dokumentiert – sie lebte im Kopf von zwei Personen. Genau solche stillen Abhängigkeiten sichtbar zu machen, ist der Zweck einer BIA.
Was eine Business Impact Analyse nicht leisten kann
Eine ehrliche Einordnung gehört dazu. Die BIA sagt Ihnen, was wie schnell wiederhergestellt werden muss – nicht, wie Sie es technisch tun. Sie ist die Anforderung, nicht die Lösung. Die Wiederanlaufplanung, die Ausweichstrategien und die konkreten Maßnahmen bauen auf ihr auf, sind aber ein eigener Schritt.
Ebenso wenig ersetzt die BIA die Risikoanalyse. Beide ergänzen sich: Die Risikoanalyse betrachtet Bedrohungen und ihre Wahrscheinlichkeit, die BIA die Auswirkung von Ausfällen unabhängig von der Ursache. Und schließlich ist eine BIA kein Dauerdokument. Sie altert mit jeder Organisationsänderung, jedem neuen System und jedem neuen Lieferanten. Eine Analyse, die drei Jahre unangetastet im Ordner liegt, beschreibt ein Unternehmen, das es so nicht mehr gibt.
Wo professionelle Unterstützung den Unterschied macht
Viele Unternehmen scheitern nicht am Willen, sondern an zwei praktischen Hürden: Neutralität und Übersetzung. Interne Bereiche neigen dazu, die eigene Bedeutung höher einzuschätzen, als sie ist – jede Abteilung hält sich für kritisch. Eine unabhängige Moderation entschärft diese Verzerrung und sorgt dafür, dass Priorisierung auf Argumenten beruht, nicht auf Durchsetzungskraft im Raum.
Die zweite Hürde ist die Übersetzung zwischen Fachbereich, IT und Geschäftsführung. Eine gute BIA verbindet betriebswirtschaftliche Bedeutung mit technischen Zielwerten und mit einer Sprache, die im Vorstand verstanden wird. Genau hier setzt die Arbeit der Deutschen Akademie für Krisenmanagement an. Wir begleiten Business-Impact-Analysen als strukturierten, moderierten Prozess: von der Abgrenzung des Umfangs über Workshops mit den Fachbereichen bis zur Ableitung belastbarer Wiederanlaufzeiten und der Freigabe durch die Leitung. Das Ergebnis ist keine Präsentation, die im Ordner verschwindet, sondern eine Grundlage, auf der Krisenpläne, Notfallübungen und – wo gefordert – die Vorbereitung auf eine Zertifizierung nach ISO 22301 aufsetzen.
Eine Business Impact Analyse verhindert keine Störung. Sie sorgt dafür, dass Ihre Organisation im Ernstfall die richtigen Dinge zuerst tut – und das ist der Unterschied zwischen einem beherrschten Vorfall und einer eskalierenden Krise.
Sie möchten wissen, wie belastbar Ihre aktuelle Grundlage ist? Eine strukturierte BIA-Beratung deckt in kurzer Zeit die kritischen Lücken auf. Beratung und Audits im Krisenmanagement kennenlernen
Checkliste: Zehn Fragen, die Geschäftsführung und BCM-Verantwortliche beantworten können sollten
- Welche drei Prozesse bringen uns bei Ausfall am schnellsten in ernste Schwierigkeiten?
- Kennen wir für jeden kritischen Prozess die maximal tolerierbare Ausfallzeit?
- Sind unsere zugesagten Wiederanlaufzeiten technisch überhaupt haltbar?
- Wissen wir, welche Prozesse in welcher Reihenfolge wieder anlaufen müssen?
- Haben wir die Abhängigkeiten von externen Dienstleistern erfasst?
- Wie viel Datenverlust können wir je System verkraften (RPO)?
- Was ist unser minimales Leistungsniveau im Notbetrieb (MBCO)?
- Wann wurde die BIA zuletzt aktualisiert – und hat sich seither die Organisation verändert?
- Hat die Geschäftsführung die Prioritäten formal bestätigt?
- Fließen die BIA-Ergebnisse messbar in Krisenpläne und Übungen ein?
Wer mehr als zwei dieser Fragen nicht sicher beantworten kann, hat einen konkreten nächsten Schritt vor sich – und es ist ein lohnender.
Häufige Fragen zur Business Impact Analyse
Was ist der Unterschied zwischen einer Business Impact Analyse und einer Risikoanalyse?
Die Risikoanalyse betrachtet mögliche Bedrohungen und ihre Eintrittswahrscheinlichkeit. Die Business Impact Analyse betrachtet die Auswirkung von Ausfällen über die Zeit, unabhängig von der Ursache. Beide ergänzen sich: Die BIA sagt Ihnen, was wie schnell wiederhergestellt werden muss, die Risikoanalyse, wogegen Sie sich vorrangig absichern sollten. Für ein funktionierendes Business Continuity Management brauchen Sie beide.
Wie oft sollte eine Business Impact Analyse aktualisiert werden?
Als Faustregel gilt: mindestens einmal jährlich sowie immer dann, wenn sich die Organisation wesentlich verändert. Neue Standorte, neue IT-Systeme, ein neuer Schlüssellieferant, eine Umstrukturierung oder ein verändertes Produktportfolio können die Prioritäten verschieben. Eine BIA, die diese Änderungen nicht abbildet, beschreibt ein Unternehmen, das so nicht mehr existiert, und führt im Ernstfall zu falschen Entscheidungen.
Ist eine Business Impact Analyse für ISO 22301 verpflichtend?
Ja. Die Norm ISO 22301 verlangt eine Business Impact Analyse als Teil des Business-Continuity-Management-Systems. Die ergänzende technische Spezifikation ISO/TS 22317 beschreibt, wie der BIA-Prozess gestaltet werden kann. Wer eine Zertifizierung nach ISO 22301 anstrebt, kommt an einer nachvollziehbar dokumentierten BIA nicht vorbei – sie ist die Grundlage, auf der Auditoren die Angemessenheit der Kontinuitätsstrategie prüfen.
Wie lange dauert eine Business Impact Analyse?
Das hängt von Größe und Komplexität der Organisation ab. Für einen abgegrenzten Bereich lässt sich eine erste belastbare BIA in wenigen Wochen erstellen; für einen Konzern mit vielen Standorten ist es ein mehrmonatiges Programm. Entscheidend ist weniger die Dauer als die Beteiligung der richtigen Personen: Ohne die Fachbereiche, die die Prozesse tatsächlich betreiben, bleibt jede Analyse an der Oberfläche.
Wer sollte an einer Business Impact Analyse beteiligt sein?
Die Prozessverantwortlichen aus den Fachbereichen liefern die inhaltliche Substanz, die IT bewertet die technische Machbarkeit der Wiederanlaufzeiten, und die Geschäftsführung setzt die Prioritäten und gibt sie frei. Eine unabhängige Moderation hilft, bereichsübergreifende Verzerrungen auszugleichen. Eine BIA, die allein in der IT oder allein im Sicherheitsbereich entsteht, verfehlt regelmäßig die betriebswirtschaftliche Realität.
Gilt die Pflicht zur Business Impact Analyse auch außerhalb von ISO 22301?
Für bestimmte Sektoren ja. Für Finanzunternehmen verlangt die EU-Verordnung DORA (Verordnung (EU) 2022/2554, anwendbar seit dem 17. Januar 2025) im Rahmen der IT-Geschäftsfortführung ausdrücklich die Durchführung von Business-Impact-Analysen. Auch im Umfeld kritischer Infrastrukturen und der NIS2-Umsetzung gewinnt die nachvollziehbare Priorisierung kritischer Prozesse an Bedeutung. Die konkreten Anforderungen unterscheiden sich je nach Sektor und Unternehmensgröße; maßgeblich ist der jeweils gültige Rechtstext.
Reicht eine Business Impact Analyse allein für ein gutes Krisenmanagement aus?
Nein. Die BIA ist die Grundlage, nicht das Ganze. Sie liefert die Priorisierung und die Zielwerte, auf denen Wiederanlaufpläne, Notfallmanagement, Krisenkommunikation und Übungen aufbauen. Erst das Zusammenspiel aus belastbarer Analyse, geübtem Krisenstab und getesteten Plänen macht eine Organisation handlungsfähig. Die BIA sorgt dafür, dass diese Handlungsfähigkeit auf die richtigen Prioritäten ausgerichtet ist.
Fazit: Erst die Business Impact Analyse macht Pläne belastbar
Eine Business Impact Analyse ist kein bürokratischer Zwischenschritt, sondern die Entscheidung darüber, was Ihre Organisation im Ernstfall zuerst rettet. Sie übersetzt betriebliche Bedeutung in Zeit und Menge, macht stille Abhängigkeiten sichtbar und gibt der Geschäftsführung belastbare Zahlen statt Bauchgefühl. Notfallpläne, Wiederanlaufstrategien und Krisenübungen werden dadurch erst prüfbar. Wer die Grundlage sauber legt, spart sich im teuersten Moment die Improvisation.
Die Deutsche Akademie für Krisenmanagement begleitet Unternehmen dabei, ihre Business Impact Analyse strukturiert aufzusetzen, zu moderieren und in wirksame Kontinuitätspläne zu überführen. Vertiefend hilft unser Leitfaden zum Business Continuity Management beim Einordnen der nächsten Schritte.
Bereit, die Grundlage Ihres Business Continuity Managements auf sichere Füße zu stellen? Sprechen Sie mit der Deutschen Akademie für Krisenmanagement
Quellen und Standards
- ISO – ISO/TS 22317:2021, Leitlinien für die Business Impact Analyse (BIA): iso.org/standard/50054.html
- ISO – ISO 22301, Business Continuity Management Systeme: iso.org/standard/75106.html
- EUR-Lex – Verordnung (EU) 2022/2554 (DORA), Art. 11: eur-lex.europa.eu
