Was, wenn die Störung gar nicht zufällig ist?

In den vergangenen Wochen habe ich hier häufig über Verwundbarkeiten, Abhängigkeiten und die Frage geschrieben, was aus einer eigentlich beherrschbaren Störung eine Krise macht. Die Entwicklungen der vergangenen Woche ergänzen diesen Gedanken um eine weitere Dimension.

Was, wenn mehrere Störungen gar nicht unabhängig voneinander entstehen?

Deutschland hat Anfang September erstmals öffentlich Russland für den versuchten Drohnenangriff auf den Flughafen Leipzig/Halle verantwortlich gemacht. Fast zeitgleich wurden weitere mutmaßliche Sabotageakte gegen das deutsche Stromnetz untersucht. Wenig später folgte ein mutmaßlicher Brandanschlag im Umfeld eines Unternehmens, das unter anderem Systeme zur Drohnenerkennung und -abwehr entwickelt.

Für einige dieser Ereignisse gibt es inzwischen klare behördliche Einschätzungen. Bei anderen laufen die Ermittlungen noch, und ein Zusammenhang ist ausdrücklich nicht nachgewiesen. Gerade deshalb finde ich diese Entwicklung aus Sicht des Krisenmanagements sehr interessant. Denn sie zwingt uns dazu, zwischen zwei Fehlern zu navigieren.

Wir dürfen nicht hinter jeder technischen Störung, jedem Brand oder jeder Drohnensichtung sofort einen koordinierten Angriff vermuten. Wir dürfen aber auch nicht davon ausgehen, dass jedes Ereignis zwingend für sich allein steht.

Zwischen diesen beiden Polen entsteht eine klassische Führungsaufgabe: beobachten, einordnen und Muster erkennen, ohne vorschnell Schlussfolgerungen zu ziehen.

Unsere Organisationen sehen Ausschnitte

Ein Unternehmen würde eine vergleichbare Situation vermutlich zunächst sehr ordentlich organisieren. Eine auffällige Drohne landet beim Werkschutz oder Facility Management, ungewöhnliche Zugriffe beschäftigen die IT, eine technische Manipulation wird von der Instandhaltung untersucht, eine verdächtige Anfrage landet vielleicht beim Einkauf. Jeder Bereich macht dabei genau das, wofür er zuständig ist und trotzdem könnte genau darin ein Problem liegen.

Denn niemand dieser Bereiche muss zwingend wissen, was die anderen gerade beobachten. Eine einzelne Drohne kann völlig harmlos sein. Ein ungewöhnlicher Cyberzugriff ebenfalls und eine auffällige Anfrage eines unbekannten Unternehmens vielleicht auch. Erst wenn diese Informationen zusammenkommen, verändert sich möglicherweise das Bild.

Ein Lagebild beginnt lange vor der Krise

Wenn wir über Lagebilder sprechen, denken wir häufig an einen aktivierten Krisenstab. Auf einem Bildschirm laufen Informationen zusammen, jemand führt ein Lagejournal, Entscheidungen werden dokumentiert und regelmäßig aktualisiert.

Eigentlich beginnt ein gutes Lagebild aber deutlich früher. Denn gerade hybride Bedrohungen funktionieren häufig nicht über den einen spektakulären Angriff. Sie können aus vielen kleinen Aktivitäten bestehen, die für sich genommen kaum Aufmerksamkeit erzeugen und jede Beobachtung einzeln kann unterhalb unserer klassischen Eskalationsschwelle liegen. Erst ihre Kombination macht sie relevant.

Wo landen in einer Organisation Beobachtungen, die noch keine Krise darstellen?

Diese Frage klingt zunächst banal. In der Praxis ist es oft erstaunlich schwierig, denn unsere Systeme sind meist hervorragend darin, klar definierte Ereignisse zu bearbeiten.

Was uns aber häufig fehlt, ist ein Ort, an dem jemand regelmäßig fragt:

Hat das alles möglicherweise miteinander zu tun?

Orientierung braucht mehr als Informationen

Die Ereignisse der vergangenen Woche zeigen außerdem, warum Orientierung etwas anderes ist als Informationssammlung.

Die deutsche Bundesregierung hat sich mit der Attribution des Leipziger Drohnenvorfalls mehrere Wochen Zeit genommen. Das finde ich bemerkenswert, denn in einer medial und politisch hochsensiblen Lage bestand offensichtlich ein erheblicher Druck, schnell Antworten zu liefern. Trotzdem braucht eine belastbare Attribution Zeit.

Für Unternehmen steckt darin eine wichtige Lehre. Gerade bei unklaren Sicherheitsereignissen ist eine Beobachtung noch keine Bewertung.

• „Wir haben eine Drohne über unserem Gelände festgestellt“ ist eine Beobachtung.
• „Wir werden von einem ausländischen Akteur ausgespäht“ ist eine Interpretation.

Diese Trennung klingt selbstverständlich, wird unter Druck aber schnell schwierig. Menschen suchen nach Erklärungen, Medien wollen Ursachen, Mitarbeitende stellen Fragen und Social Media liefert innerhalb kürzester Zeit vermeintliche Antworten.

Führung muss in solchen Situationen etwas aushalten können, das uns allen unangenehm ist: Unsicherheit.

Es gehört aus meiner Sicht zu guter Führung, sagen zu können: Wir wissen noch nicht, warum das passiert ist, wissen aber, was wir jetzt tun müssen. Genau darin entsteht Orientierung.

Der zweite Blick: Wie leistungsfähig ist unsere Alternative wirklich?

Auch die Angriffe auf ukrainische Hafen- und Logistikinfrastruktur haben diese Woche einen Gedanken verstärkt, den ich für Business Continuity zunehmend wichtig finde.

Wir sprechen oft über Alternativen zu bestehenden Lieferanten, Standorten oder Transportwegen. Damit entsteht schnell das beruhigende Gefühl, dass wir vorbereitet sind. Aber eine Alternative ist nicht automatisch ein gleichwertiger Ersatz.

Die Ukraine hat ihre Exportwege in den vergangenen Jahren erheblich diversifiziert. Schwarzes Meer, Donauhäfen, Bahnverbindungen Richtung Westen und diese Alternativen erhöhen zweifellos die Resilienz.

Gleichzeitig besitzen sie unterschiedliche Kapazitäten. Ein Donauhafen ersetzt nicht automatisch einen großen Schwarzmeerhafen. Eine Bahnverbindung kann bestimmte Mengen aufnehmen, andere nicht. Grenzübergänge können selbst zum Engpass werden. Und für Unternehmen bedeutet das aus meiner Sicht, Redundanz genauer zu betrachten.

Ein Ersatzlieferant, der nur 20 Prozent des Bedarfs decken kann, ist zwar eine Alternative, aber eben keine vollständige Redundanz. Dasselbe gilt für Ersatzstandorte, Notstromversorgung oder alternative IT-Systeme.

Vielleicht sollten wir uns  deshalb weniger fragen:

Haben wir eine Alternative?

Und dafür häufiger:

Welche Leistung kann diese Alternative tatsächlich übernehmen und für wie lange?

In einer Krise wird aus der Antwort sehr schnell eine Führungsentscheidung.

Wenn gleichzeitig mehrere Welten betroffen sind

Noch schwieriger wird die Lage, wenn unterschiedliche Risikowelten gleichzeitig aufeinandertreffen. Der aktuelle Lagebericht zeigt genau das. Physische Sabotagerisiken nehmen zu, Cyberangriffe werden durch KI möglicherweise schneller und einfacher skalierbar und die Angriffe auf Energie- sowie Logistikinfrastruktur im Ukrainekrieg haben direkte wirtschaftliche Auswirkungen. Gleichzeitig verschärft sich die Lage im Nahen Osten und damit das Risiko für Energie- und Transportwege.

Für Unternehmen entsteht daraus selten ein einzelner großer Ausfall. Viel wahrscheinlicher ist eine Kombination daraus,  z.B. teurer werdende Energie, verzögerte Lieferwege, teilweise ausfallende Dienstleister, steigende Anzahl an Cyberangriffe, etc., die nun gleichzeitig auftreten können. Jedes Problem für sich bleibt möglicherweise beherrschbar, aber gemeinsam reduzieren sie Stück für Stück den Handlungsspielraum.

Das ist für mich eine der zentralen Veränderungen moderner Krisenlagen und wir müssen weniger darüber nachdenken, welches einzelne Szenario als Nächstes eintritt, sondern besser verstehen, welche Kombinationen unsere kritischen Leistungen wirklich gefährden.

RKEG und CER treffen genau diesen Punkt

Deshalb finde ich auch die aktuelle Entwicklung rund um das österreichische RKEG interessant. Die Diskussion dreht sich verständlicherweise viel um Bescheide, Fristen und regulatorische Anforderungen. Aus meiner Sicht wäre es aber ein Fehler, daraus primär ein Dokumentationsprojekt zu machen.

Der eigentliche Wert liegt woanders! Eine Organisation muss verstehen, welche wesentlichen Dienste sie tatsächlich erbringen muss, welche Ressourcen dafür notwendig sind und von welchen internen und externen Abhängigkeiten diese Leistung getragen wird. Dann verändert sich auch die Risikoanalyse und die Frage lautet nicht mehr nur:

Welche Gefahren können uns treffen?

Sondern:

Welche unserer kritischen Leistungen würde dadurch beeinträchtigt und wie viel Beeinträchtigung können wir verkraften?

Genau diese Denkweise halte ich für wesentlich, denn einen vollständigen Schutz wird es niemals geben. Was Organisationen beeinflussen können, ist ihre eigene Verwundbarkeit und ihre Fähigkeit, unter veränderten Bedingungen weiterzuarbeiten.

Vielleicht brauchen wir einen früheren Führungsmodus

Aus all diesen Entwicklungen ergibt sich für mich noch eine weiterer Punkt. Unsere klassischen Krisenorganisationen werden meist dann aktiviert, wenn ein bestimmter Schwellenwert überschritten ist. Vielleicht brauchen wir aber künftig häufiger etwas davor.

Keine permanente Krisenorganisation, aber einen Mechanismus, der schwache Signale aus unterschiedlichen Bereichen regelmäßig zusammenführt. Es muss auch nicht jeder ungewöhnliche Vorfall dort landen, aber jemand muss die Möglichkeit haben, aus mehreren kleinen Beobachtungen eine größere Entwicklung zu erkennen.

Unsere Unternehmen, Organisationen und Behörden brauchen Fachbereiche, aber Führung muss dafür sorgen, dass die Verbindungen zwischen diesen Bereichen nicht verloren gehen. Gerade dann, wenn Unsicherheit zunimmt.

Die Informationslücke, die wir selbst erzeugen

Vielleicht ist deshalb die gefährlichste Informationslücke in einer hybriden Lage gar nicht das, was wir nicht wissen. Es kann das sein, was unterschiedliche Teile unserer Organisation längst wissen, aber noch niemand miteinander verbunden hat.

Darin liegt für mich die eigentliche Führungsfrage dieser Woche. Nicht jedes ungewöhnliche Ereignis ist Teil eines größeren Angriffs und nicht jede Störung verlangt einen Krisenstab. Aber Organisationen sollten erkennen können, wenn sich aus mehreren kleinen Veränderungen ein Muster entwickelt.

Dafür braucht es Aufmerksamkeit, ein gemeinsames Lageverständnis und Menschen, die bereit sind, Zusammenhänge zu hinterfragen. Denn Orientierung entsteht nicht dadurch, dass wir auf jede Frage sofort eine Antwort haben. Sie entsteht dort, wo wir rechtzeitig erkennen, welche Fragen wir überhaupt stellen müssen.

Haben Sie in Ihrer Organisation einen Ort, an dem aus einzelnen Beobachtungen rechtzeitig ein gemeinsames Lagebild entstehen kann?

Führung zeigt sich nicht in ruhigen Zeiten, Führung zeigt sich dann, wenn ein Sturm aufzieht.

#Krisenmanagement #BusinessContinuityManagement #Resilienz #Krisenplaner