In einem Satz. Ein Business Continuity Plan (BCP) nach BSI-Standard 200-4 ist die operative Antwort auf DSGVO Artikel 32 Absatz 1 Buchstabe c: die “Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen” — gemessen in RTO (Recovery Time Objective) und RPO (Recovery Point Objective).
BSI-Standard 200-4 (Version 1.0, Juni 2023) hat den älteren BSI-Standard 100-4 abgelöst und definiert ein dreistufiges Reifegradmodell: Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS. Die Verzahnung mit IT-Grundschutz (200-2) und Risikoanalyse (200-3) ist obligatorisch für KRITIS-Betreiber und nun auch für NIS2-Anwendungsbereich relevant.
Für den Sicherheitsrahmen siehe DSGVO Artikel 32 Sicherheit. Für die NIS2-Pflichten NIS2 Umsetzung Deutschland. Der vollständige Standard steht beim BSI zum BCM-Standard 200-4 bereit; die zugrundeliegende Verfügbarkeitspflicht ergibt sich aus Art. 32 DSGVO.
Wichtige Punkte
- BSI-Standard 200-4 löst 100-4 ab und bietet drei Reifegrade (Reaktiv, Aufbau, Standard).
- DSGVO Artikel 32 Absatz 1 Buchstabe c fordert “rasche Wiederherstellung” — BCP liefert RTO/RPO als Beweis.
- Business Impact Analyse (BIA) ist der Kern: jede Geschäftsprozess wird nach MTPD (Maximum Tolerable Period of Disruption) klassifiziert.
- Sanktionen wegen fehlender Verfügbarkeitssicherung: Vodafone Deutschland 2022, mehrere Krankenhaus-Ransomware-Fälle.
- BCP-Testierung mindestens jährlich; nach BSI-Empfehlung halbjährliche Komponenten-Tests.
1. Rechtliche Grundlage — Artikel 32 trifft BSI 200-4
DSGVO Artikel 32 nennt vier Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit. BSI 200-4 operationalisiert die letzten beiden durch BCM (Business Continuity Management).
| Artikel 32 Anforderung | BSI 200-4 Antwort |
|---|---|
| Verfügbarkeit der Daten | RTO/RPO-Definition pro Prozess |
| Rasche Wiederherstellung | Wiederanlaufpläne (WAP) |
| Belastbarkeit | Redundanz + georedundante Standorte |
| Regelmäßige Überprüfung | BCM-Übungen, jährliche Audits |
2. Die drei Reifegrade nach BSI 200-4
Reaktiv-BCMS (Stufe 1) — Krisenstab benannt, Notfallhandbuch existiert, Notrufketten. Mindestmaß für KMU.
Aufbau-BCMS (Stufe 2) — BIA durchgeführt, kritische Prozesse identifiziert, RTO/RPO definiert. Geeignet für mittelständische Unternehmen.
Standard-BCMS (Stufe 3) — Vollständiges BCMS nach ISO 22301-äquivalentem Niveau, KRITIS-konform, mit jährlicher Auditpflicht.
3. Business Impact Analyse (BIA)
Die BIA ist der diagnostische Kern des BCP. Jeder Geschäftsprozess wird bewertet nach:
- MTPD (Maximum Tolerable Period of Disruption) — maximale Ausfallzeit ohne existenzielle Folgen
- RTO (Recovery Time Objective) — Ziel-Wiederanlaufzeit
- RPO (Recovery Point Objective) — maximaler tolerabler Datenverlust
- MBCO (Minimum Business Continuity Objective) — Mindestbetriebsniveau
Beispiel-Klassifikation:
- Lohnbuchhaltung: MTPD 5 Tage, RTO 48h, RPO 24h
- E-Commerce-Plattform: MTPD 4 Stunden, RTO 1h, RPO 15min
- HR-Aktenarchiv: MTPD 30 Tage, RTO 7 Tage, RPO 24h
4. IT-Notfallplan vs. BCP — die Abgrenzung
| Dokument | Scope | Verantwortlich |
|---|---|---|
| IT-Notfallplan (IT-DR) | Wiederherstellung von IT-Systemen | CISO/IT-Leitung |
| BCP (Business Continuity) | Aufrechterhaltung des Geschäftsbetriebs | BCM-Beauftragter |
| Krisenmanagement-Plan | Strategische Reaktion auf Großereignisse | Vorstand/Krisenstab |
DSGVO Artikel 32 verlangt mindestens IT-DR; bei kritischen Prozessen mit personenbezogenen Daten auch BCP.
5. Verzahnung mit IT-Grundschutz (BSI 200-2/200-3)
BSI 200-4 baut auf der IT-Grundschutz-Methodik auf. Der Bezug:
- 200-2 Methodik — Strukturanalyse, Schutzbedarfsfeststellung
- 200-3 Risikoanalyse — Bedrohungsmodellierung
- 200-4 BCMS — Geschäftsfortführung trotz Eintritt
Eine vollständige Implementierung umfasst alle drei Standards, häufig zertifiziert nach ISO 27001 auf Basis von IT-Grundschutz.
6. Sanktionen und Präzedenzfälle
| Jahr | Vorfall | Sanktion/Folge |
|---|---|---|
| 2020 | Universitätsklinikum Düsseldorf (Ransomware) | Patientensterben, BSI-Untersuchung |
| 2021 | Anhalt-Bitterfeld (Ransomware) | Katastrophenfall ausgerufen, 9 Wochen Ausfall |
| 2022 | Vodafone Deutschland (Verfügbarkeit) | BfDI-Verwarnung |
| 2023 | Südwestfalen-IT (Ransomware) | 70+ Kommunen betroffen |
| 2024 | Verlagsgruppe (CHIP/Focus) | Wochenlanger Ausfall |
Die Tendenz: Aufsichtsbehörden fragen nach Vorfällen aktiv nach BCP-Dokumentation und Testberichten. Der Fall Universitätsklinikum Düsseldorf 2020 ist der Referenzpunkt: Nach einem Ransomware-Angriff über eine bekannte Citrix-Schwachstelle fiel die IT für rund zwei Wochen aus, Notaufnahmen mussten Patienten umleiten. Die anschließende Untersuchung durch das BSI und die Landesdatenschutzbehörde NRW machte deutlich, dass nicht der Angriff allein, sondern das Fehlen getesteter Wiederanlauf- und Notfallprozesse den Schaden verschärfte. Der Fall Anhalt-Bitterfeld 2021 — der erste in Deutschland ausgerufene “Cyber-Katastrophenfall” — zeigte dasselbe Muster auf kommunaler Ebene: Verwaltungsleistungen standen über Wochen still, weil georedundante Wiederanlaufkonzepte fehlten.
Die datenschutzrechtliche Konsequenz: Ein Verfügbarkeitsvorfall ist meldepflichtig nach Art. 33 DSGVO, sobald personenbezogene Daten betroffen sind — und “Verlust der Verfügbarkeit” ist ausdrücklich eine Verletzung im Sinne von Art. 4 Nr. 12 DSGVO. Wer nach einem solchen Vorfall keinen dokumentierten BCP und keine Übungsberichte vorlegen kann, riskiert neben dem Betriebsschaden ein Bußgeld wegen Verstoßes gegen Art. 32. Die Aufsichtsbehörden bewerten dabei nicht, ob ein Angriff erfolgreich war, sondern ob der Verantwortliche angemessene Vorsorge getroffen hatte.
7. Wiederanlaufpläne (WAP) — die operative Ebene
Jeder kritische Prozess benötigt einen WAP mit:
- Auslöser (welches Ereignis aktiviert den Plan)
- Verantwortliche (Rollen, nicht Personen)
- Schritte (zeitlich geordnet, mit Zwischenzielen)
- Ressourcen (Personal, Hardware, externe Dienstleister)
- Eskalationsweg
BSI empfiehlt: WAP nicht länger als 10 Seiten, sonst unbenutzbar im Notfall.
8. Testierung und Übungen
BSI 200-4 unterscheidet:
- Schreibtischübungen (Tabletop) — halbjährlich, ca. 4h
- Funktionsübungen — jährlich, einzelne Komponenten
- Vollübungen — alle 2-3 Jahre, ganzes BCMS
Jede Übung mündet in einen Lessons-Learned-Bericht. Aufsichtsbehörden fordern bei Kontrollen oft die letzten drei Übungsberichte an.
Der praktische Wert der Übungen liegt weniger im “Bestehen” als im Aufdecken stiller Annahmen. Typische Erkenntnisse aus Funktionsübungen: Backups lassen sich zwar erstellen, aber die Wiederherstellung dauert dreimal länger als der definierte RTO; die Notrufkette enthält Handynummern ehemaliger Mitarbeiter; oder der Wiederanlaufplan setzt ein Netzwerk voraus, das bei einem Ransomware-Befall gerade isoliert wurde. Diese Lücken werden nur in der Übung sichtbar, nie im Dokument. Deshalb gilt: Ein einmal geschriebener, nie getesteter BCP ist im Ernstfall wertlos und aus Sicht der Aufsicht kaum besser als kein Plan.
9. Dokumentation für DSGVO-Nachweis
Artikel 5 Absatz 2 (Rechenschaftspflicht) verlangt Nachweis. Für BCP/BCM:
- BIA-Dokument mit RTO/RPO pro Prozess
- BCP/IT-Notfallhandbuch (aktueller Stand)
- Übungsberichte (letzte 24 Monate)
- Lessons-Learned-Protokolle
- Schulungsnachweise für Krisenstab
Entscheidend ist die Aktualität: Ein BIA-Dokument mit RTO/RPO-Werten von vor drei Jahren wird von Auditoren und Aufsicht als nicht wirksam gewertet, weil sich Prozesse, Systeme und Abhängigkeiten laufend ändern. Verankern Sie deshalb einen festen Review-Zyklus — mindestens jährlich sowie anlassbezogen nach jeder wesentlichen Änderung der IT-Landschaft (Cloud-Migration, neue Kernsysteme, Fusion). Verknüpfen Sie den BCP zudem mit Ihrem Verzeichnis von Verarbeitungstätigkeiten: Nur so ist nachvollziehbar, welche personenbezogenen Verarbeitungen an welchen kritischen Prozessen hängen und deshalb bevorzugt wiederangelaufen werden müssen.
10. Werkzeuge
Legiscope verknüpft BCP-Dokumentation mit dem Verzeichnis der Verarbeitungstätigkeiten und alarmiert bei abgelaufenen Übungen oder fehlenden RTO/RPO-Werten kritischer Prozesse.
Verwandte Leitfäden: DSGVO Artikel 32 Sicherheit, NIS2 Umsetzung Deutschland, Datenpanne melden.
Fazit
BCP ist nicht “IT-Backup mit Begleitdokument” — es ist die Übersetzung von Geschäftsprioritäten in Wiederanlaufmechaniken. BSI 200-4 gibt einen pragmatischen, mehrstufigen Rahmen. Die DSGVO-Verzahnung läuft über Artikel 32 Absatz 1 Buchstabe c und die Rechenschaftspflicht aus Artikel 5 Absatz 2.
Für die meisten mittelständischen Verantwortlichen ist der richtige Einstieg das Aufbau-BCMS: eine belastbare Business Impact Analyse, definierte RTO/RPO-Werte für die wenigen wirklich kritischen Prozesse und mindestens eine getestete Wiederanlaufprozedur. Alles Weitere lässt sich iterativ ergänzen. Entscheidend ist, überhaupt anzufangen und die Ergebnisse jährlich zu prüfen — ein gelebtes, unvollständiges BCMS schützt im Ernstfall besser als ein perfektes Konzept, das nie über den Entwurf hinauskam.
FAQ
Was ist der Unterschied zwischen BSI 100-4 und BSI 200-4?
BSI 200-4 (2023) ersetzt 100-4 (2008) und führt drei Reifegradstufen ein. Inhaltlich erweitert um Cloud, Ransomware-Spezifika und stärkere Verzahnung mit ISO 22301.
Ist ein BCP nach DSGVO Pflicht?
Artikel 32 fordert “rasche Wiederherstellung” — ein BCP ist die etablierte Methode, dies nachzuweisen. Für KRITIS-Betreiber und NIS2-Anwendungsbereich ist BCM rechtlich verpflichtend.
Wie oft muss ein BCP getestet werden?
BSI empfiehlt mindestens jährliche Funktionsübungen und alle 2-3 Jahre eine Vollübung. Tabletop-Übungen halbjährlich.
Welcher BSI-Reifegrad ist für KMU realistisch?
“Aufbau-BCMS” (Stufe 2) ist für die meisten KMU mit kritischen Prozessen realistisch und DSGVO-konform.
Was ist der Unterschied zwischen RTO und RPO?
RTO ist die maximale Zeit bis zum Wiederanlauf eines Prozesses; RPO ist der maximale tolerable Datenverlust gemessen vom letzten validen Backup.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial