Disaster Recovery (DR)

Wenn die Cyberattacke gelaufen, das Werk geflutet oder der Hauptlieferant abgebrannt ist, beginnt der eigentliche Pruefstand. Disaster Recovery (DR) ist die Disziplin, kritische Geschaeftsprozesse nach einem Schadensereignis innerhalb definierter Zeitfenster wieder lauffaehig zu machen, und gehoert im Einkauf zur Pflichtuebung fuer jeden Mittelstaendler mit kritischen Lieferketten.

Detaillierte Erklärung

Disaster Recovery ist ein Teilgebiet des Business Continuity Management (BCM). Waehrend BCM die ganzheitliche Sicht auf Geschaeftsfortfuehrung beschreibt, fokussiert DR auf die technische und operative Wiederherstellung nach einem Schadensereignis. Die beiden zentralen Kenngroessen sind RTO (Recovery Time Objective: wie lange darf der Ausfall maximal dauern) und RPO (Recovery Point Objective: wie viel Datenverlust ist akzeptabel).

Der internationale Referenzstandard ist ISO 22301 (Business Continuity Management Systems). Er fordert eine systematische Business Impact Analyse (BIA), die Identifikation kritischer Prozesse, dokumentierte Wiederanlaufplaene, Tests und kontinuierliche Verbesserung. Auf nationaler Ebene ist in Deutschland der BSI-Standard 200-4 (Business Continuity Management) seit 2022 die Referenz, ergaenzt durch den BSI IT-Grundschutz Basisbaustein DER.4 (Notfallmanagement). Beide Werke sind kostenfrei verfuegbar und im DACH-Mittelstand weit verbreitet.

Im Einkauf manifestiert sich Disaster Recovery in mehreren Schichten. Erstens die eigenen IT-Systeme: ERP, Lieferantenstammdaten, EDI-Anbindungen, Vertragsdokumente. Ein Komplettausfall des ERP fuer mehr als 48 Stunden kostet einen Mittelstaendler typischerweise 2 bis 5 Prozent des Tagesumsatzes pro Ausfalltag. Zweitens die Versorgungsseite: Was passiert, wenn ein kritischer Lieferant ausfaellt? Das wird ueber Notfalllieferanten, [[sicherheitsbestand]], Brueckenproduktion und [[dual-sourcing]] abgesichert. Drittens die Logistik: alternative Transportwege, Notfalllaeger, redundante Spediteure.

RTO-Werte segmentieren sich typischerweise so: geschaeftskritische Prozesse (Auftragsabwicklung, Bestellschreibung, Wareneingangsbuchung) brauchen RTO unter 8 Stunden, wichtige Prozesse (Reporting, Forecast-Updates) tolerieren 24 bis 72 Stunden, unkritische Prozesse (Statistiken, Datenanalysen) auch eine Woche. Diese Klassifikation ist Pflicht laut ISO 22301 und folgt aus der BIA.

Im DACH-Mittelstand zwischen 250 und 1.500 Mitarbeitern haben laut BME-Krisenbestandsstudie 2024 rund 58 Prozent der Unternehmen einen dokumentierten DR-Plan, aber nur 31 Prozent testen ihn mindestens jaehrlich. Genau dieser Test entscheidet, ob der Plan im Ernstfall traegt oder im Schubladenpapier bleibt. Tabletop-Exercises (Schreibtischtests mit Szenarien) sind das Minimum, ein- bis zweimal pro Jahr ein technischer Failover-Test der ERP-Backupsysteme die naechsthoehere Stufe.

Praxisbeispiel (konkretes Einkaufsszenario)

Ein DACH-Hersteller von Elektronikbaugruppen mit 540 Mitarbeitern und 38 Mio. EUR Einkaufsvolumen erlebt am 8. Mai 2026 einen Stromausfall im Hauptlager nach einem schweren Unwetter. Die Notstromversorgung greift fuer das Rechenzentrum, aber die Kuehlung der SMD-Bauteile faellt fuer 11 Stunden aus. 380.000 EUR Lagerwert sind potenziell betroffen, weil die Spezifikation MSL-2-Lagerung verlangt.

Der DR-Plan greift. Innerhalb von 2 Stunden wird das Notfallteam zusammengerufen (Einkaufsleitung, QM, IT, Werksleitung). Ein Pruefprotokoll nach IPC-A-610 wird gestartet, parallel werden alle Verbrauchsprognosen gegen den potenziell betroffenen Bestand abgeglichen. Der RTO fuer kritische Produktionsbedarfe wurde auf 24 Stunden festgelegt, was bedeutet: bis zum naechsten Tag um 16 Uhr muss klar sein, welche Bestaende einsetzbar bleiben und welche Notfallbestellungen ausgeloest werden.

Das Ergebnis: rund 41 Prozent der betroffenen Bestaende koennen nach Baking-Prozess weiterverwendet werden, 28 Prozent werden mit reduzierter Spezifikation fuer unkritische Produktlinien freigegeben, 31 Prozent muessen ersetzt werden. Der Einkauf loest Notfallbestellungen ueber 117.000 EUR aus, davon 65 Prozent ueber den Hauptlieferanten mit Express-Versand (Aufpreis 12 Prozent), 35 Prozent ueber einen Brokerstock mit unklarer Provenienz (nur als Brueckenloesung, mit doppelter Wareneingangspruefung).

Die DR-Dokumentation zeigt: RTO von 24 Stunden wurde mit 21 Stunden eingehalten, RPO von 4 Stunden bei den Bestandsdaten ebenfalls. Die nachgelagerte Lessons-Learned-Sitzung bringt drei Verbesserungspunkte: doppelte Stromversorgung fuer die SMD-Klimakammer (Investition 87.000 EUR), Erweiterung des Notfalllieferanten-Pools von 3 auf 5 Quellen, jaehrlicher Tabletop-Test mit IT-Ausfallszenario und Stromausfallszenario im Wechsel.

Typische Fehler & Verhandlungskontext

Drei Fehler tauchen in Mittelstandsaudits regelmaessig auf. Erstens der DR-Plan im Schubladenpapier ohne Test: ohne mindestens jaehrlichen Test ist der Plan eine Fiktion, was im ISO-22301-Audit zur Abweichung fuehrt. Zweitens das Vernachlaessigen der Lieferanten-DR-Faehigkeit: der eigene DR-Plan kann nur greifen, wenn die kritischen Lieferanten ebenfalls definierte Wiederanlaufzeiten haben. Drittens das Fokussieren nur auf IT-Disaster ohne Beruecksichtigung physischer Szenarien (Feuer, Wasser, Stromausfall, Personalausfall durch Pandemie).

In Verhandlungen mit Lieferanten ist DR ein zunehmend hartes Thema. Mindestklauseln umfassen: schriftlich dokumentierter DR-Plan beim Lieferanten mit RTO-Zusage fuer kritische Komponenten, Recht auf Einsichtnahme oder Testteilnahme, alternative Produktionsstaette fuer Schluesselkomponenten (geografische Diversifikation), redundante IT-Systeme mit verschluesselten Backups, Vorhaltepflicht fuer Notfallbestaende beim Lieferanten in vereinbartem Umfang. Bei NIS2-relevanten Lieferanten ist die Pflicht zur Cybersicherheit Teil der DR-Anforderungen.

Die [[risikoanalyse-lieferkette]] ist die natuerliche Vorstufe zum DR-Plan: erst die strukturierte Bewertung der Risiken, dann die operative Reaktion. Wer beides verbindet und in der Lieferantenbewertung verankert, hat eine wesentlich hoehere Chance, im Ernstfall innerhalb der RTO-Vorgaben wieder produzieren zu koennen. Im Einkaufscontrolling sollte mindestens eine DR-Reifegradkennzahl pro kritischem Lieferanten gefuehrt werden.

Verwandte Begriffe

• [[lieferantenrisikomanagement]]
• [[risikoanalyse-lieferkette]]
• [[lieferantenausfallrisiko]]
• [[dual-sourcing]]
• [[sicherheitsbestand]]