Resilienz statt Illusion: Wie wir handlungsfähig bleiben

Resilienz statt Illusion

Die Berichte über Angriffe auf Schweizer Gemeinden und Infrastrukturbetreiber geben dieser Frage neue Dringlichkeit. Sie sind für mich Anlass, einen Gedanken weiterzuführen: «Resilienz statt Illusion».

Was der aktuelle Fall zeigt – und was offenbleibt

Inside IT berichtet am 27. Oktober 2026 über Datenveröffentlichungen durch die Erpressergruppe Safepay. Genannt werden die Gemeinde Manno und die ARA-Region Lyss-Limpachtal. Der vollständige Artikel ist kostenpflichtig; für diesen Beitrag wurde der öffentlich zugängliche Anriss berücksichtigt. [1]

Die Gemeinde Manno bestätigt in ihrer eigenen Mitteilung einen Angriff vom 4. August 2026. Daten wurden verschlüsselt. Der betroffene Server wurde isoliert, Daten und Betrieb konnten am selben Nachmittag mithilfe vorhandener Backups wiederhergestellt werden. [2]

Das ist ein konkreter Beleg für gelungene Wiederherstellung. Ob darüber hinaus Daten entwendet wurden, beantwortet diese Mitteilung nicht. Eine Beeinträchtigung der Abwasserreinigung in Lyss ist durch die für diesen Beitrag geprüften Quellen ebenfalls nicht belegt. Aussagen über manipulierte Anlagen oder Umweltschäden wären deshalb Spekulation.

Diese Unterscheidung gehört für mich zur Resilienz: Auch unter Druck müssen wir präzise bleiben. Ein Vorfall verlangt Aufmerksamkeit, aber keine Dramatisierung über die belegten Tatsachen hinaus.

Welche Leistung muss weitergehen?

In der Sicherheitsdiskussion liegt der Fokus schnell auf Technik. Welche Schutzsoftware setzen wir ein? Wo speichern wir unsere Daten? Welcher Anbieter betreibt die Plattform?

Diese Fragen sind berechtigt. Ich möchte ihnen eine betriebliche Frage voranstellen: Welche Leistung muss auch dann funktionieren, wenn ein wichtiges System ausfällt?

Bei einer Gemeinde können das dringende Unterstützungsleistungen oder die Erreichbarkeit für die Bevölkerung sein. Bei einem Infrastrukturbetreiber steht der sichere Betrieb im Zentrum. Welche Aufgaben tatsächlich Vorrang haben, muss die jeweilige Organisation festlegen.

Daraus folgen unangenehme Entscheidungen. Wie lange ist eine Unterbrechung vertretbar? Welche Daten brauchen wir zwingend? Wer darf einen Notbetrieb anordnen? Welche Arbeiten bleiben vorübergehend liegen?

Für mich bedeutet Resilienz, solche Entscheidungen vorzubereiten. Wer im Ereignisfall zuerst Zuständigkeiten verhandeln muss, verliert Zeit, die für die Bewältigung fehlt.

Ein Backup ist ein Anfang

Der Fall Manno zeigt den Nutzen vorhandener Sicherungen. Das Bundesamt für Cybersicherheit empfiehlt zudem vom Netzwerk getrennte Backups und regelmässige Wiederherstellungstests. [3]

Meine Schlussfolgerung geht über die Sicherung einzelner Dateien hinaus: Wir sollten den Wiederanlauf einer Leistung prüfen. Dafür braucht es je nach Situation auch Zugänge, Anwendungen, verständliche Anleitungen, erreichbare Fachpersonen und eine funktionierende Kommunikation.

Ein wiederhergestelltes System beantwortet ausserdem noch nicht die Frage nach einem möglichen Datendiebstahl. Verfügbarkeit und Vertraulichkeit brauchen eine eigene Beurteilung. Beides gehört in die Vorbereitung und in die Kommunikation mit Betroffenen.

Resilienz bleibt damit eine Führungsaufgabe. Technische Fachpersonen können Risiken erklären und Massnahmen umsetzen. Die Leitung muss Prioritäten, Ressourcen und verbleibende Risiken verantworten.

Handlungsfähigkeit gezielt aufbauen

Mein Ansatz beginnt mit wenigen kritischen Leistungen. Für jede davon sollte die Organisation festhalten, welche Unterbrechung sie verkraftet und welcher Mindestbetrieb erforderlich ist. Erst dann lässt sich beurteilen, welche technischen und organisatorischen Massnahmen angemessen sind.

Anschliessend müssen die Abhängigkeiten sichtbar werden: Menschen, Strom, Kommunikation, Identitäten, Daten, Dienstleister und Anlagensteuerungen. Wo hängt eine ganze Leistung an einer Person oder einem Zugang? Funktionieren vermeintlich unabhängige Ersatzlösungen tatsächlich unabhängig?

Darauf folgt die Vorbereitung des Notbetriebs. Ich würde klare Entscheidungsbefugnisse, erreichbare Stellvertretungen und ausserhalb der betroffenen Systeme verfügbare Unterlagen verlangen. Bei technischen Anlagen gehören Fachleute und Sicherheitsanforderungen zwingend dazu. Ein manueller Ersatzbetrieb ist nur sinnvoll, wenn er sicher und praktisch durchführbar ist.

Den Abschluss bildet eine Übung. Ein plausibles Szenario genügt für den Einstieg: Die zentrale Anmeldung fällt aus, gleichzeitig ist der wichtigste IT-Dienstleister nicht erreichbar. Die Beteiligten müssen zeigen, wie sie entscheiden, kommunizieren und eine priorisierte Leistung wieder aufnehmen.

Lösungsskizze: Eine kritische Leistung durchspielen

Ziel: Eine ausgewählte Leistung bei einer IT-Störung innerhalb einer zuvor festgelegten Zeit im sicheren Mindestbetrieb erbringen.

Ausgangslage: Die tatsächliche Belastbarkeit von Abhängigkeiten, Stellvertretungen und Wiederanlauf ist zu prüfen.

Vorgehen: Leistung auswählen, Unterbrechungsgrenze festlegen, Abhängigkeiten erfassen, Notbetrieb vorbereiten und gemeinsam üben. Erkenntnisse anschliessend in konkrete Verbesserungen übersetzen.

Verantwortung: Vorschlag: Die Leitung bestimmt Prioritäten und akzeptierbare Risiken. Fachbereich, Betrieb, IT und relevante Dienstleister erarbeiten und testen die Umsetzung.

Ressourcen: Geschützte Arbeitszeit, verfügbare Fachpersonen und eine sichere Übungsumgebung einplanen. Aufwand und Budget nach Umfang festlegen.

Erfolgskriterien: Entscheidungsbefugnisse sind klar; benötigte Unterlagen bleiben erreichbar; die Leistung wird innerhalb der vereinbarten Zeit wieder aufgenommen.

Hauptrisiko: Eine zu einfache Übung vermittelt falsche Sicherheit. Gegenmassnahme: Auch fehlende Schlüsselpersonen und ausgefallene Kommunikationswege berücksichtigen.

Resilienz hat einen Preis

Zusätzliche Kapazitäten, geschützte Sicherungen, Stellvertretungen und Übungen kosten Geld und Zeit. Ich halte wenig davon, diese Kosten auszublenden. Ebenso wenig überzeugt mich die Vorstellung, jede Leistung brauche dieselbe Absicherung.

Entscheidend sind mögliche Folgen und vertretbare Unterbrechungen. Eine selten genutzte Informationsseite verlangt andere Vorkehrungen als eine sicherheitsrelevante Anlagensteuerung. Investitionen sollten sich daran orientieren, welchen Schaden sie begrenzen und welche Leistung sie sichern.

Für kleinere Gemeinden und Betreiber sehe ich Chancen in gemeinsamer Fachkompetenz, geteilten Übungen und vorbereiteter gegenseitiger Unterstützung. Dabei muss klar bleiben, wer im Ereignisfall entscheiden kann. Zusammenarbeit braucht verbindliche Zuständigkeiten.

Auch die Wahl einer Cloud- oder lokalen Lösung sollte daran gemessen werden. Ein Schweizer Standort allein beantwortet noch nicht, ob Ersatzpersonal, Zugänge und Wiederanlauf funktionieren. Zusätzliche Anbieter können Abhängigkeiten reduzieren und zugleich den Betrieb komplizierter machen. Für mich zählt die nachgewiesene Fähigkeit, mit einer Störung umzugehen.

Die Frage an die nächste Leitungssitzung

Ich würde mit einer konkreten Aufgabe beginnen: Wählt eine unverzichtbare Leistung und spielt ihren Ausfall gemeinsam durch.

Wer entscheidet? Was funktioniert weiter? Was braucht es für den Wiederanlauf? Und welche Annahme hält der Überprüfung nicht stand?

«Resilienz statt Illusion» bedeutet für mich, die eigenen Grenzen zu kennen und daran zu arbeiten. Vertrauen entsteht, wenn wir zeigen können, wie wir auch unter schwierigen Bedingungen Verantwortung übernehmen und handlungsfähig bleiben.