Kritis-Resilienz im Mittelstand: Was die Analyse des Bundestags für Betriebe heißt

Was tatsächlich passiert ist

Das TAB hat laut heise online (29. August 2026) drei neue Foresight-Analysen veröffentlicht, die die Widerstandskraft kritischer Infrastrukturen in Deutschland bewerten: Staat und Verwaltung, Finanz- und Versicherungswesen sowie die Abfall- und Kreislaufwirtschaft. Der zentrale Befund: Klassische Risikoanalysen, die isolierte Einzelereignisse betrachten, werden der Vernetzung der Sektoren nicht gerecht. Als größte Bedrohung für die Stabilität benennen die Gutachter Kaskadeneffekte — der Ausfall einer Substruktur, etwa im digitalen Informationsnetzwerk, löst unmittelbare Folgekrisen in der staatlichen Verwaltung oder im Finanzsektor aus. Für Staat und Verwaltung sehen sie bereits heute eine hohe Gefährdungslage, unter anderem durch rapide wachsende Cyberkriminalität, Fachkräftemangel und knappe kommunale Kassen. Beim Finanz- und Versicherungswesen stufen sie die Gefährdung derzeit als mittel, künftig aber steigend ein: Die fortschreitende Automatisierung zentraler Finanzfunktionen berge neue systemische Risiken, weil fehlerhafte Algorithmen oder koordinierte Angriffe in Sekunden Marktverwerfungen auslösen könnten.

Meine Einordnung

Die Analyse liest sich wie ein Behördenbericht, sie beschreibt aber exakt das Problem, das ich in Industrieprojekten seit Jahren sehe. Unternehmen planen einen Ausfall als Einzelereignis: „Der Server ist weg, wir haben ein Backup, Wiederanlauf in vier Stunden." Das stimmt oft sogar. Nur kommt der Ausfall selten allein. Im Werk hängt die Fertigung an der Betriebstechnik, die Betriebstechnik am ERP, das ERP am Netzwerk, das Netzwerk an der Anmeldung — und wenn die Anmeldung klemmt, steht nicht ein System, sondern die Linie. Der TAB nennt das Kaskadeneffekt. In der Produktion heißt es schlicht Stillstand. Wer das einmal erlebt hat, plant den nächsten Anlauf anders.

Was das für den Mittelstand bedeutet: Resilienz ist keine Eigenschaft, die man kauft, sondern eine, die man plant und übt. In meinen Projekten — von der Downtime-Planung in der Industrie bis zur Vorbereitung von Werksanläufen — geht es nie um die Frage „Haben wir ein Backup?", sondern um „Kennen wir die Reihenfolge, in der wir Systeme wieder hochfahren, und wissen wir, was voneinander abhängt?". Das ist klassische Projektarbeit: Abhängigkeiten aufnehmen, kritische Pfade markieren, Wiederanlauf-Reihenfolgen festlegen, üben. Es ist unspektakulär und wird deshalb gern aufgeschoben — bis zum ersten Ernstfall, in Fürstenfeldbruck, München oder Augsburg genauso wie am Standort in Asien. Der Aufwand dafür ist überschaubar: ein Workshop, eine Tabelle, eine Übung. Der Unterschied zwischen einem Betrieb, der einen Tag ausfällt, und einem, der eine Woche steht, ist meist nicht die Technik, sondern die Vorbereitung.

Ich widerspreche der naheliegenden Lesart, das sei ein Thema für Konzerne und Kritis-Betreiber. Die Schwellenwerte für kritische Infrastruktur liegen hoch; viele Betriebe der Region fallen formal nicht darunter. Aber Kaskaden kennen keine Schwellenwerte. Ein mittelständischer Zulieferer ohne strukturierte Wiederanlaufplanung reißt seine Abnehmer genauso mit wie ein Kritis-Betrieb seinen Sektor. Und die zweite Unterschätzung: Resilienz wird als Technikthema gesehen, obwohl sie zuerst ein Organisationsthema ist — klare Verantwortlichkeiten, dokumentierte Abhängigkeiten, ein geübter Notfall. Die Technik folgt daraus, nicht umgekehrt.

Was Sie jetzt konkret tun können

1. Abhängigkeiten aufnehmen. Welche Systeme und Dienstleister hängen voneinander ab? Auch die unauffälligen: Authentifizierung, Netzwerk, Zahlungsdienstleister.

2. Kritische Pfade markieren. Welcher Ausfall trifft Umsatz, Lieferfähigkeit oder Sicherheit — und in welcher Reihenfolge?

3. Wiederanlauf festlegen. Schreiben Sie auf, in welcher Reihenfolge Systeme nach einem Ausfall wieder hochfahren, und wer das entscheidet.

4. Üben. Eine ehrliche Notfallübung pro Jahr, mit klaren Rollen — und mit den Dienstleistern, die kritisch sind.

5. Lieferkette mitdenken. Fragen Sie Ihre wichtigsten Zulieferer, wie sie mit Ausfällen umgehen. Das ist zugleich NIS2-Denken.

Der Aufbau einer belastbaren Wiederanlauf- und Resilienzplanung gehört zur IT-Projektsteuerung; wenn Sie den Überblick einmal komplett durchgehen wollen, ist Leistungen der richtige Einstieg.

Quellen

• heise online, „Wie resilient ist Deutschland? Kritische Infrastrukturen im Belastungstest", 29.08.2026 — https://www.heise.de/news/Wie-resilient-ist-Deutschland-Kritische-Infrastrukturen-im-Belastungstest-11434459.html
• Büro für Technikfolgen-Abschätzung beim Bundestag (TAB), „Neue Foresight-Reports zu kritischen Infrastruktursystemen", August 2026 — https://www.tab-beim-bundestag.de/news-2026-08-neue-foresight-reports-zu-kritischen-infrastruktursystemen.php