Fallstudien
Das Lagebild war klar. Die Organisation nicht.
Ein Mandat, das als Übergangsverwaltung begann, wurde zur Sanierung. Dann kam der Angriff. Und mit ihm eine Aufgabe, für die kein Auftrag vorlag.
Restrukturierungsumfeld · IT-Sanierung · Kriseneingriff · Wiederherstellung von Steuerbarkeit
Inhalt
Ausgangslage
Ein Industrieunternehmen mit mehreren Produktionsstandorten und einer strukturell aufgeladenen Unternehmensgeschichte. Zwei Segmente mit unterschiedlichen Kulturen und Betriebslogiken waren ohne gesteuerte Integration unter einem Dach zusammengeführt worden. Eine Phase starken Wachstums überlagerte diese Spannung.
Dann kehrte sich das um: ein abrupter Umschwung, begleitet von personellen Konsequenzen an der Unternehmensspitze. Führungswechsel und wiederholte Neubesetzungen in Finanz- und Unternehmensführung, dazu eine Restrukturierung unter erheblichem wirtschaftlichem Druck. Kontinuität auf Leitungsebene war nicht gegeben. Eine einzelne Rolle im Führungskreis blieb durchgehend besetzt und wurde damit zum einzigen belastbaren Anknüpfungspunkt.
Mandat
Beauftragt wurde eine externe IT-Führung: Übergangsverwaltung der Basisorganisation — Infrastruktur, Workplace, Service-Management — bis eine dauerhafte Nachfolge gefunden werden konnte. Die Rolle war klar abgegrenzt und unabhängig von bestehenden Programmstrukturen.
Die Wiederherstellung der Steuerbarkeit der IT-Basisorganisation war der definierte Auftrag. IT-Sicherheit und Cyberabwehr waren vom Mandat explizit ausgenommen worden. Innerhalb der ersten zwei Wochen änderte sich der Umfang. Die Rahmenbedingungen nicht.
Erstes Lagebild und Sanierungsmandat
Das erste Lagebild entstand unmittelbar nach Mandatsübernahme — eine strukturierte Einschätzung der vorgefundenen Realität mit strikter Trennung von Fakten, Annahmen, Meinungen und unabhängig von bestehenden Programmen oder deren Berichtslogik. Erst diese Trennung erzeugte eine belastbare Entscheidungsgrundlage.
Das Ergebnis machte eine Übergangsverwaltung unmöglich. Eine externe Bewertung hatte die IT-Organisation kurz zuvor ebenfalls als erheblich defizitär eingestuft. Gehandelt wurde nicht.
Die Infrastruktur befand sich in einem Zustand, der keine Verwaltung erlaubte, sondern eine Sanierung erforderte. Obwohl das Lagebild Risikofelder außerhalb des beauftragten Umfangs dokumentierte, gab es keine Umsetzungspriorität.
Mit dem ersten Lagebild wurde aus dem Verwaltungsauftrag in Abstimmung mit der Unternehmensseite ein Sanierungsmandat.
Sanierung
Im Verlauf des ersten Jahres wurde die IT-Basisorganisation im beauftragten Scope hergestellt. Infrastruktur, Workplace und Service-Management waren wieder funktional und steuerbar. Es gab klare Zuständigkeiten, funktionierende Prozesse und belastbares Berichtswesen.
Ein geordneter Mandatsabschluss war vorgesehen und im beauftragten Scope vorhanden.
Was nicht vorhanden war: eine Cyberverteidigung. Diese lag außerhalb des Auftrags. Die Abgrenzung wird in der Folge relevant.
Angriff als Realitätstest
Ein Cyberangriff traf die Produktion standortübergreifend. Er traf eine Organisation, deren Resilienz und IT-Sicherheit nicht Teil des Mandats gewesen war.
Das erste Lagebild hatte die ungedeckten Risikofelder benannt und dokumentiert. Was nicht beauftragt worden war, war nicht geschlossen worden.
Zweites Lagebild
Am Morgen nach dem erkannten Angriff war das Ausmaß bekannt: ein erheblicher Cyber-Angriff. Eine durchgängige operative Reaktionsfähigkeit lag nicht vor.
Innerhalb weniger Stunden nach Übernahme der Lagebeurteilung entstand das zweite Lagebild über Telefonkonferenzen. Es war keine Fortschreibung des ersten, sondern eine eigenständige Einschätzung unter neuen Bedingungen: Was bisher geschehen war. Welche Sofortmaßnahmen fehlten. Warum vorhandene Strukturen keine operative Reaktionsfähigkeit erzeugt hatten. Auf dieser Grundlage wurden erste Krisenmaßnahmen definiert und veranlasst, darunter die Trennung der IT-Systeme vom Internet.
Das zweite Lagebild war die operative Entscheidungsgrundlage für den Eingriff.
Lageeskalation
Externe Forensik war schnell vor Ort. Die Evidenz war eindeutig: Die vorhandene Rollen- und Entscheidungsarchitektur war für diese Lage nicht reaktionsfähig. Auch die forensische Arbeit war unter diesen Bedingungen strukturell gehemmt. Es fehlten belastbare Entscheidungswege.
Mit der Eskalation des Vorfalls wurde ein weiterer Eingriff erforderlich. Wie bereits die Sanierung selbst über unseren ursprünglichen Auftrag hinausgegangen war.
Eingriff vor Ort
Innerhalb eines Arbeitstages entstand die fehlende Krisenorganisation. Direkte Board-Anbindung und ein Steuerungskomitee mit definierter Entscheidungskompetenz wurden zusammengerufen. Technische Krisenteams mit klaren Verantwortungsketten. Abgestufte Arbeits- und Zugangsbereiche mit definierten Zugangsregeln. Ein Vorstands-Briefing mit gesetztem Fokus: schnellstmögliche Rückkehr in Produktion und Wiederherstellung der Wertschöpfungskette im Haus.
Der Eingriff bestand darin, Entscheidungsfähigkeit herzustellen, wo sie nicht mehr vorhanden war. Entscheidungen wurden nicht erst vorbereitet, sondern getroffen und durchgesetzt. In enger Abstimmung mit der vor Ort tätigen Forensik und innerhalb der bestehenden Unternehmensführung, mit Fokus auf Entscheidungsfähigkeit und klare Verantwortungszuordnung.
Ab diesem Zeitpunkt konnte die forensische Arbeit greifen. Die Steuerungsfähigkeit ermöglichte den effektiven Einsatz von Technologie. Nicht umgekehrt.
Wiederherstellung der Steuerbarkeit
Die Recovery folgte einer klaren Phasierung: Eindämmung und Sicherung der Datenintegrität, priorisierter Wiederanlauf wertschöpfungskritischer Systeme, Stabilisierung, kontrollierte Rückkehr in den Regelbetrieb. Der Wiederanlauf folgte nicht dem ursprünglichen Betrieb, sondern einer priorisierten, steuerbaren Sequenz.
Kernsysteme waren nach wenigen Tagen wiederhergestellt. Wesentliche Produktionsprozesse liefen rund drei Wochen nach dem Angriff wieder an. Beides unter den Bedingungen einer gleichzeitig laufenden Restrukturierung.
Ein strukturelles Muster, das viele Unternehmen kennen, erschwerte den Ablauf: Krisenstäbe werden nach Hierarchie besetzt, nicht nach operativer Kompetenz für die konkrete Lage. Die Konsequenz ist strukturell: Business-Bedarfe wie Mechanismen zum Produktionswiederanlauf, Wertschöpfungsketten, Kundenanforderungen kommen erst spät in der Wiederherstellung von IT-Systemen an, obwohl die Priorisierung vorbereitet und vorgesehen ist. Das Lagebild der Geschäftsführung und operative Realität laufen dann zwangsläufig auseinander.
Übergabe und Abschluss
Die Folgephase (Stabilisierung, Optimierung, Modernisierung) wurde geordnet übergeben. Das Mandat endete.
Übergeben wurde eine sanierte Basisorganisation und eine unter realem Druck aufgebaute Krisenstruktur. Beides trägt. Der Betrieb wurde erst übergeben, als diese Strukturen eigenständig funktionierten.
Übertragbare Erkenntnis
Ein Lagebild wirkt nur, wenn es unabhängig von bestehenden Berichtslogiken entsteht und Fakten von Annahmen trennt. Pläne ersetzen keine Entscheidungsfähigkeit. In einer Krise ist deren Aufbau ein eigenständiger Eingriff. Und Krisengremien, die nach Hierarchie statt nach operativer Kompetenz besetzt werden, erzeugen eine Verzögerung, die sich technisch nur schwer aufholen lässt.
Die Darstellung ist abstrahiert. Auf Angaben zu Unternehmen, Personen, Standorten und Zeitpunkten wurde verzichtet. Der Vorfall wurde u.a. von WirtschaftsWoche, ZEIT/dpa und heise online dokumentiert. Unsere Studie basiert auf dokumentierten Arbeitsständen aus dem Mandat.
Wiederkehrende Leistungsbausteine
Unabhängiges Lagebild
Herstellung operativer Entscheidungsfähigkeit
Strukturierter Wiederanlauf
Lorem Ipsum
Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet. Lorem ipsum dolor sit amet, consetetur sadipscing elitr, sed diam nonumy eirmod tempor invidunt ut labore et dolore magna aliquyam erat, sed diam voluptua. At vero eos et accusam et justo duo dolores et ea rebum. Stet clita kasd gubergren, no sea takimata sanctus est Lorem ipsum dolor sit amet.
Kommen Ihnen solche Situationen bekannt vor?
Ihr Erstgespräch mit uns ist vertraulich und dient der Einordnung Ihrer Lage.
Schnell. Fokussiert. Wirksam.
Nach ein bis zwei Gesprächen wissen wir, wo Sie stehen und was als Nächstes zählt. Sie erhalten ein belastbares Bild und erste Ansatzpunkte — nicht in Wochen, sondern in Tagen.