Keyfacts:

• Mit der Energiekrise, möglichen Anschlägen auf kritische Infrastrukturen oder Naturkatastrophen wird das Eintreten von Blackout-Szenarien wahrscheinlicher – operationelle Risiken steigen.
• Die bisherigen Notfallpläne bei Finanzdiensteistern gehen von lokal begrenzten Ereignissen aus – doch das greift für das Aufrechterhalten des operativen Betriebs zu kurz.
• Zur Erfüllung der MaRisk müssen Ausfallszenarien und Notfallpläne künftig breiter gedacht werden – ein strukturierter Risiko-Healthcheck hilft dabei.

In vielen Banken wird seit Wochen darüber diskutiert, wie sich Energie sparen lässt. Da wird die Nachtbeleuchtung eingeschränkt und die Heizung heruntergeregelt. Denn Energie ist knapp und teuer in diesem Winter, und auch die Angst vor Stromausfällen steigt.

Großflächige und langanhaltende Stromausfälle – sogenannte Blackouts – hat es in Deutschland bisher nicht gegeben. Und laut der Bundesregierung bleiben diese auch weiterhin sehr unwahrscheinlich. Doch für den Winter 2022/2023 kann eine stundenweise krisenhafte Situation im Stromsystem aufgrund der aktuellen Ereignisse auf dem Energiemarkt nicht vollständig ausgeschlossen werden – zu diesem Ergebnis kam eine Sonderanalyse („Stresstest“) des Bundesministeriums für Wirtschaft und Klimaschutz.

Hinzu kommt: Aufgrund des Klimawandels und der geopolitischen Veränderungen steigt die Eintrittswahrscheinlichkeit von Naturkatastrophen und terroristischen Anschlägen. Und mit einer zunehmenden digitalen Vernetzung steigt auch die Gefahr von Cyberangriffen, deren Anzahl in den vergangenen Jahren ohnehin erheblich gestiegen ist. All diese Faktoren lassen die Gefahr eines Stromausfalls mit weitreichenden Auswirkungen für den Finanzsektor im Vergleich zu früheren Szenarien deutlich steigen – das aktive Management dieses operationellen Risikos ist gefragt.

MaRisk gibt den Rahmen vor – doch Notfallpläne sind oft auf lokale Ereignisse beschränkt

Finanzdienstleister und insbesondere Banken sind – allein aufgrund der Vorgaben der Mindestanforderungen an das Risikomanagement (MaRisk) – dazu verpflichtet, Risiken für den operativen Kerngeschäftsbetrieb zu erheben und Notfallpläne im Rahmen des Business Continuity Managements (BCM) vorzuhalten. Entsprechend existieren in allen Instituten Notfall- bzw. Geschäftsfortführungspläne.

Eine nähere Betrachtung dieser Planungen und der Austausch mit Expert:innen in den Banken zeigt jedoch: Diese gehen in aller Regel von lokal begrenzten Ereignissen aus, also zum Beispiel von einem Stromausfall am Standort oder einer regionalen Naturkatastrophe. Im Mittelpunkt der Notfallpläne steht daher häufig die Fortführung der kritischen Geschäftsaktivitäten an einem anderen Standort, beispielsweise in für Notfälle vorgehaltenen Ausweichflächen oder durch das Arbeiten im Homeoffice.

Handel, Zahlungsverkehr und IT am Laufen halten: Neue Perspektive gefragt

Im aktuellen Umfeld steigt jedoch die Wahrscheinlichkeit von großflächigen Stromausfällen – und damit werden Szenarien denkbar, die von den derzeitigen Notfallplänen eher selten abgedeckt sind. Kommt es zu derartigen Ereignissen, könnten auch Ausweichflächen und die Wohnorte der Mitarbeitenden betroffen sein. Die Handlungsfähigkeit für Banken und andere Finanzdienstleister könnte innerhalb kürzester Zeit erheblich eingeschränkt sein.

In den Vordergrund rücken daher Fragen danach, wie insbesondere die geschäftskritischen Prozesse – beispielsweise Handel, Zahlungsverkehr, Wertpapierabwicklung – aufrechterhalten und Verpflichtungen eingehalten werden können. Auch für ein kontrolliertes und sicheres Herunterfahren und ein Wiederanlaufen des Geschäftsbetriebs für einen länger anhaltenden Stromausfall müssten entsprechende Pläne entwickelt werden. Gleiches gilt für alle ausgelagerten Dienstleistungen, beispielsweise die IT-Infrastruktur in zentralen Rechenzentren.

Dabei sind in der Vergangenheit übliche theoretische „Walk-Throughs“ oder Schreibtischtests nur eingeschränkt zu empfehlen. Diese Pläne sind nicht bis zum Ende durchdacht. Das lässt sich im möglichst realitätsnahen „Durchspielen“ von Szenarien erkennen: Welche Gebäudeteile sind bei Stromausfall beziehungsweise Notstrom nicht mehr zugänglich wegen elektronischem Zugangsschutz? Wo laufen zwar PCs über Notstrom weiter, Datenkabel/-strecken sind aber nicht nutzbar? Solche Fragen und vor allem Antworten lassen sich kaum aus der reinen Theorie ableiten.

Strukturierte Risiko-Healthchecks helfen

Um zu einer validen Einschätzung zu kommen, ob die vorliegenden Notfall- beziehungsweise Geschäftsfortführungspläne den neuen Risikoszenarien standhalten, empfiehlt sich ein strukturierter Risiko-Healthcheck. Er enthält fünf Bausteine:

1. Set the Stage – Entwicklung und Überprüfung der Operational-Resilience-Strategie
2. Take Stock – Identifikation und Überprüfung kritischer Geschäftsprozesse
3. Know your limits – Festlegung des Risikoappetits und entsprechender Grenzwerte
4. Prepare for reaction – Entwicklung von Notfallmaßnahmen (BCM) und Durchführung von Stresstests
5. Roll-out – Umsetzung und kontinuierliche Anpassung der Strategie und der vorgehaltenen Maßnahmen

Mithilfe dieser fünf Schritte werden Schwächen bisheriger Planungen schnell deutlich. Dabei gilt – wie im Risikomanagement fast immer: Auch wenn diese Maßnahmen zunächst Aufwand verursachen, ist dieser gut investiert. Denn treten Blackout-Szenarien ein, ist es für die Entwicklung von passenden Notfallplänen zu spät.