Warum Resilienz heute wichtiger ist als je zuvor
Ein Stromausfall von nur 24 Stunden würde in Deutschland weit mehr treffen als Lichtschalter. Mobilfunknetze, Logistik, Tankstellen, Zahlungsverkehr, Teile der medizinischen Versorgung, je nach Region und Ausmaß wäre das alles erheblich beeinträchtigt. Ein Cyberangriff bringt Krankenhäuser an ihre Grenzen. Eine Pandemie stellt Lieferketten und Gesundheitssysteme gleichzeitig auf die Probe. Sabotage an einem Unterseekabel oder einer Pipeline zeigt, wie verletzlich kritische Infrastruktur tatsächlich ist. Für keines dieser Ereignisse braucht es Panzer oder Frontlinien, um eine Gesellschaft empfindlich zu treffen.
Der klassische Sicherheitsbegriff reicht dafür nicht mehr aus. Wer Sicherheit nur als Aufgabe von Militär, Polizei und Nachrichtendiensten versteht, übersieht, dass moderne Krisen selten an Zuständigkeitsgrenzen haltmachen. Sie betreffen Energieversorger genauso wie Mittelständler, Krankenhäuser genauso wie einzelne Haushalte. Für diese neue Realität hat sich ein Begriff durchgesetzt: gesellschaftliche Resilienz. Im weiteren Verlauf stellen wir Ihnen ein einfaches Modell vor, mit dem Sie als Unternehmen Ihre eigene Resilienz bewerten können.
Was bedeutet gesellschaftliche Resilienz?
Resilienz beschreibt die Fähigkeit eines Systems, Störungen zu absorbieren, sich anzupassen und danach wieder funktionsfähig zu sein, im Idealfall gestärkt statt geschwächt. Auf eine Gesellschaft übertragen heißt das: Sie kann Krisen nicht immer verhindern. Aber sie kann so aufgestellt sein, dass sie handlungsfähig bleibt, wenn eine Krise eintritt.
Damit unterscheidet sich Resilienz von benachbarten Begriffen. Sicherheit zielt primär auf die Abwehr von Bedrohungen. Krisenvorsorge meint die konkrete Vorbereitung auf einzelne, meist absehbare Szenarien. Resilienz ist umfassender und fragt nicht nur, wie ein Angriff verhindert wird, sondern wie ein System trotz Angriff, Ausfall oder Schock funktionsfähig bleibt und sich erholt.
Dass der Begriff gerade jetzt so häufig auftaucht, hat einen einfachen Grund: Bedrohungen lassen sich kaum noch sauber trennen. Ein Cyberangriff kann eine physische Infrastruktur lahmlegen. Eine Naturkatastrophe kann eine Lieferkette unterbrechen, die eigentlich nichts mit dem Wetter zu tun hat. Resilienz ist die Antwort auf diese Vernetzung von Risiken.
Warum klassische Verteidigung allein nicht mehr ausreicht
Klassische Verteidigung war lange auf einen klaren Fall ausgelegt: den militärischen Konflikt zwischen Staaten. Die heutige Bedrohungslage sieht anders aus. Hybride Angriffe kombinieren Desinformation, Cyberoperationen, Sabotage und wirtschaftlichen Druck, oft unterhalb der Schwelle eines offenen Konflikts.
Diese Grauzone zwischen Krieg und Frieden ist kein Zufall, sondern Strategie. Wer offen Krieg führt, riskiert eine klar definierte Antwort. Ein durchtrenntes Glasfaserkabel, eine Desinformationskampagne, ein verschlüsseltes Krankenhausnetzwerk, all das bewegt sich in einem Bereich, in dem Zuständigkeit, Beweislage und Reaktion oft unklar bleiben.
Die Konsequenz: Zivile Bereiche sind heute genauso relevant für die Sicherheit eines Landes wie militärische. Energieversorger, Krankenhäuser, Logistikunternehmen, Softwareanbieter, sogar einzelne Mittelständler mit besonderer Marktstellung, sie alle können zu Zielen werden, ohne selbst Teil eines klassischen Sicherheitsapparats zu sein.
Die sieben Säulen gesellschaftlicher Resilienz
Kritische Infrastrukturen schützen
Energie, Wasser, Telekommunikation, Gesundheit und Transport bilden das Rückgrat jeder modernen Gesellschaft. Fällt eine dieser Infrastrukturen aus, wirkt sich das fast immer auf die anderen aus, weil sie technisch und organisatorisch voneinander abhängen. Schutz bedeutet deshalb nicht nur physische Absicherung, sondern vor allem Redundanz, damit ein Ausfall nicht automatisch zur Kettenreaktion wird.
Cybersicherheit stärken
Unternehmen, Behörden und Cloudanbieter stehen im Zentrum der digitalen Resilienz. Ransomware bleibt eine der größten operativen Bedrohungen, weil sie ganze Betriebe binnen Stunden lahmlegen kann. Das Zero Trust Prinzip, bei dem grundsätzlich keinem Gerät und keinem Nutzer automatisch vertraut wird, hat sich als praktikable Antwort auf zunehmend komplexe IT Landschaften etabliert.
Lieferketten widerstandsfähiger machen
Jahrzehnte der Globalisierung haben effiziente, aber auch fragile Lieferketten geschaffen. Fällt ein einzelner Zulieferer, ein einzelner Hafen oder eine einzelne Region aus, spüren das Unternehmen weltweit. Diversifizierung von Lieferanten und Standorten ist deshalb längst keine reine Kostenfrage mehr, sondern eine Sicherheitsfrage.
Bevölkerung und Organisationen vorbereiten
Krisenvorsorge funktioniert nur, wenn sie geübt wird. Notfallpläne, die nie getestet wurden, versagen im Ernstfall häufig genau dort, wo es darauf ankommt. Regelmäßige Übungen und ein Grundverständnis für Selbstschutz, etwa Vorräte oder Notfallkommunikation, erhöhen die Handlungsfähigkeit unserer Gesellschaft im Krisenfall spürbar.
Informations- und Medienkompetenz fördern
Media Spoofing und Fake News, Deepfakes und Social Engineering zielen nicht auf Technik, sondern auf Menschen. Wenn Menschen KI generierte Inhalte nicht als solche erkennen, werden sie zur Schwachstelle, ganz ohne technisches Versagen. Medienkompetenz ist damit ein ebenso wichtiger Baustein der Resilienz wie eine Firewall.
Wirtschaftliche Resilienz
Business Continuity Management, kurz BCM, sorgt dafür, dass Unternehmen auch nach einem Vorfall weiterarbeiten können. Redundante Systeme und Backup Standorte sind keine Luxusinvestition, sondern die Grundlage dafür, dass ein Cyberangriff oder ein Naturereignis nicht gleich zum Totalausfall führt.
Gesellschaftlicher Zusammenhalt
Der am meisten unterschätzte Faktor ist Vertrauen. Gesellschaften mit hoher Kooperationsbereitschaft, aktivem Ehrenamt und Akzeptanz staatlicher Maßnahmen bewältigen Krisen nachweislich besser als solche, in denen Misstrauen und Fragmentierung dominieren. Verordnen lässt sich Zusammenhalt nicht. Fördern schon, etwa durch Transparenz und frühzeitige Einbindung der Bevölkerung.
Welche Rolle Unternehmen heute spielen
Unternehmen sind längst Teil der Sicherheitsarchitektur, ob sie das wollen oder nicht. Wer kritische Infrastruktur betreibt, wichtige Vorprodukte liefert oder große Mengen sensibler Daten verarbeitet, wird automatisch zu einem relevanten Akteur, den staatliche Regulierung mittlerweile auch so behandelt.
In Deutschland zeigt sich das an zwei parallelen Entwicklungen. Das NIS2 Umsetzungsgesetz ist seit Dezember 2025 in Kraft und hat den Kreis der betroffenen Unternehmen massiv erweitert, von rund viertausendfünfhundert auf knapp dreißigtausend Einrichtungen. Betroffene mussten sich bis März 2026 beim BSI registrieren. Verstöße können mit Bußgeldern bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes geahndet werden. Ergänzt wird das durch das KRITIS Dachgesetz, das seit März 2026 zusätzliche Anforderungen an die physische Resilienz kritischer Anlagen stellt und damit digitale und physische Sicherheit erstmals konsequent zusammendenkt.
Für Unternehmen heißt das: Resilienz ist keine Aufgabe mehr, die man an die IT Abteilung delegieren kann. Sie ist eine Managementaufgabe, die Geschäftsführung und Vorstand persönlich betrifft, organisatorisch verankert werden muss und regelmäßig auf den Prüfstand gehört.
Internationale Beispiele
Wenn Sie wissen wollen, wie gesellschaftliche Resilienz in der Praxis aussieht, lohnt einen Blick auf Länder mit jahrzehntelanger Erfahrung darin.
Finnland hat wegen seiner langen Grenze zu Russland früh ein umfassendes Sicherheitskonzept entwickelt, bekannt als Comprehensive Security. Es koordiniert Staat, Wirtschaft und Zivilgesellschaft im Verbund, gesteuert durch ein ständiges Sicherheitskomitee und eine eigene Behörde für Versorgungssicherheit. Besonders bemerkenswert: die Betonung psychologischer Resilienz, also des Vertrauens der Bevölkerung in Staat und Institutionen, gezielt aufgebaut in Friedenszeiten. Anfang 2025 hat Finnland dieses Modell mit einer neuen Sicherheitsstrategie für die gesamte Gesellschaft weiter aktualisiert.
Schweden verfolgt mit dem Konzept Totalförsvar einen ähnlichen, aber stärker normativ geprägten Ansatz. Sicherheit wird dort explizit als Verpflichtung aller verstanden, nicht nur des Staates.
Die Schweiz organisiert ihren Bevölkerungsschutz als Verbundsystem, in dem Polizei, Feuerwehr, Gesundheitswesen, technische Betriebe und Zivilschutz zusammenarbeiten. Verantwortung liegt bewusst dezentral bei Kantonen und Gemeinden, die nah an der Bevölkerung agieren, koordiniert durch klare subsidiäre Strukturen zwischen Bund, Kantonen und Gemeinden.
Singapur hat sein Total Defence Konzept 1984 eingeführt und dabei bewusst von den Modellen Schwedens und der Schweiz gelernt. Ursprünglich auf fünf Säulen aufgebaut, militärisch, zivil, wirtschaftlich, sozial und psychologisch, kam 2019 mit der digitalen Verteidigung eine sechste hinzu. Ergänzt wird das Konzept durch die Bürgerbewegung SGSecure, die die Bevölkerung aktiv in Wachsamkeit, Zusammenhalt und Krisenfestigkeit einbindet.
Drei Punkte fassen zusammen, was diese Länder besonders gut machen: Sie behandeln Resilienz als dauerhafte gesellschaftliche Praxis statt als einmaliges Projekt, sie üben regelmäßig und sektorübergreifend, und sie investieren gezielt in das Vertrauen der Bevölkerung, nicht nur in Technik und Ausrüstung.
Das können Unternehmen konkret tun
Eine Checkliste für den Einstieg:
- Risikoanalyse durchführen und regelmäßig aktualisieren
- Krisenstab benennen und mit klaren Zuständigkeiten ausstatten
- Notfallkommunikation vorbereiten, intern wie extern
- Backup Systeme aufbauen und tatsächlich testen
- Lieferanten und Dienstleister nach Resilienzkriterien bewerten
- Mitarbeitende schulen, insbesondere zu Social Engineering und Phishing
- Übungen durchführen, mindestens einmal jährlich, im besten Fall ungeplant
Die größten Irrtümer über Resilienz
“Resilienz betrifft nur KRITIS.” Falsch. Auch Zulieferer, Dienstleister und scheinbar unauffällige Mittelständler können durch ihre Position in einer Lieferkette systemrelevant werden.
“Cybersecurity reicht aus.” Cybersicherheit ist eine Säule von sieben, nicht die einzige. Wer nur in Firewalls investiert, aber Lieferketten oder Zusammenhalt ignoriert, bleibt verwundbar.
“Das ist Aufgabe des Staates.” Der Staat kann koordinieren, aber nicht jede Infrastruktur selbst betreiben. Ohne mitwirkende Unternehmen und eine vorbereitete Bevölkerung bleibt jedes staatliche Konzept Theorie.
“Resilienz ist zu teuer.” Die tatsächlichen Kosten zeigen sich meist erst nach einem Vorfall: Produktionsausfälle, Reputationsschäden, im schlimmsten Fall Bußgelder. Vorsorge ist in aller Regel günstiger als Wiederherstellung.
Das Resilienzviereck: Ein Modell für die Praxis
Um die sieben Säulen im Alltag greifbar zu machen, hilft ein einfaches Modell mit vier Phasen:
- Vorbereiten – Prävention durch Risikoanalyse, Schulung und Redundanz
- Erkennen – Monitoring, das Störungen frühzeitig sichtbar macht
- Reagieren – Incident Response mit klaren Zuständigkeiten und schneller Kommunikation
- Erholen – Recovery, das ein System nicht nur wiederherstellt, sondern aus dem Vorfall lernen lässt
Das Resilienzviereck ersetzt keine der sieben Säulen. Aber es gibt Unternehmen und Organisationen eine einfache Frage an die Hand, mit der sie jede Maßnahme einordnen können: In welcher Phase wirkt sie, und wo klafft noch eine Lücke?
Fazit
Resilienz ist keine einzelne Maßnahme, sondern eine strategische Fähigkeit. Sicherheit bedeutet heute nicht nur, Angriffe zu verhindern, sondern trotz Krisen handlungsfähig zu bleiben. Gesellschaftliche Resilienz entsteht durch das Zusammenspiel von Staat, Wirtschaft, kritischen Infrastrukturen und einer gut vorbereiteten Bevölkerung. Unternehmen spielen dabei eine Schlüsselrolle, nicht nur als potenzielle Angriffsziele, sondern als unverzichtbarer Bestandteil einer widerstandsfähigen Gesellschaft.
Kommentar hinterlassen