Das resiliente Unternehmen: Krisen bestehen, bevor sie eintreten

Pandemie, unterbrochene Lieferketten, Energiekrise, Cyberangriffe, großflächige Stromausfälle: Die Krisen der vergangenen fünf Jahre haben gezeigt, dass Stabilität kein Zustand ist, den ein Unternehmen einmal erreicht und dann behält. In meinem Buch „Das resiliente Unternehmen“ (Springer 2022) vertrete ich eine einfache These: Ob ein Unternehmen eine Krise besteht, entscheidet sich nicht in der Krise, sondern davor. Dieser Beitrag erklärt, was Resilienz von bloßer Robustheit unterscheidet, wie das Winning Wheel die Handlungsfelder ordnet, woran man resiliente Organisationen erkennt und wie ein Resilienzdashboard die Führung handlungsfähig hält.

Krisen sind der Normalfall geworden

Als ich das Buch schrieb, stand die COVID-19-Pandemie im Vordergrund; die sechstägige Blockade des Suezkanals durch ein einziges Containerschiff im März 2021 hatte gerade gezeigt, wie verletzlich globale Lieferketten sind. Seither ist die Liste der Ereignisse länger geworden, ohne dass ein Eintrag wieder gestrichen worden wäre: Im Februar 2022 begann der Angriffskrieg gegen die Ukraine und mit ihm eine Energiekrise, die Produktionsplanungen in ganz Europa umwarf. Am 19. Juli 2024 legte ein fehlerhaftes Update einer Sicherheitssoftware weltweit rund 8,5 Millionen Windows-Geräte lahm, so die Angabe von Microsoft vom 20. Juli 2024; Flughäfen, Kliniken und Banken standen still, ohne dass jemand angegriffen hätte. Am 28. April 2025 fiel auf der Iberischen Halbinsel über Stunden der Strom aus.

Diese Ereignisse haben wenig gemeinsam, außer einem: Sie kamen für die meisten Betroffenen überraschend, obwohl keines davon undenkbar war. Genau das ist der Punkt. Die Frage lautet nicht mehr, ob ein Unternehmen von einer Krise getroffen wird, sondern wann, von welcher und wie gut es vorbereitet ist. Der Gesetzgeber hat diese Einsicht bereits übernommen: Für den Finanzsektor gilt seit dem 17. Januar 2025 die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz (DORA), und die NIS-2-Richtlinie (EU) 2022/2555 weitet vergleichbare Pflichten zum Risikomanagement für Netz- und Informationssysteme auf zahlreiche weitere Branchen aus, auch wenn ihre Umsetzung in deutsches Recht noch aussteht. Resilienz ist damit für viele Unternehmen nicht mehr nur eine Führungsfrage, sondern auch eine Nachweispflicht.

Resilienz ist mehr als Widerstandskraft

Der Begriff wird oft mit Robustheit gleichgesetzt: dicke Mauern, hohe Lagerbestände, ein zweites Rechenzentrum. Das ist ein Teil der Antwort, aber nur einer. Ein robustes Unternehmen hält einer bekannten Belastung stand; ein resilientes Unternehmen kommt auch mit Belastungen zurecht, die es nicht vorhergesehen hat, und geht gestärkt aus ihnen hervor. Im Buch beschreibe ich Resilienz deshalb als Zusammenspiel von vier Fähigkeiten, die aufeinander aufbauen:

• Antizipieren. Frühindikatoren erkennen, Szenarien durchdenken und Risiken bewerten, bevor sie zur Krise werden.
• Widerstehen. Strukturen, Prozesse und Systeme, die auch unter Druck funktionieren, mit Redundanzen dort, wo ein Ausfall kritisch wäre.
• Anpassen. Schnelle Entscheidungen, eine flexible Organisation und eine Software-Basis, die Veränderungen mitträgt, statt sie zu blockieren.
• Lernen. Jede Krise systematisch auswerten und die Erkenntnisse in Strategie, Organisation und Technologie überführen.

Die Reihenfolge ist kein Zufall. Wer nicht antizipiert, kann nicht gezielt widerstehen; wer nicht widersteht, hat keine Zeit, sich anzupassen; wer sich nicht anpasst, hat nichts, woraus er lernen könnte. Und wer nicht lernt, beginnt bei der nächsten Krise wieder von vorn.

Resilienz entscheidet sich nicht in der Krise, sondern davor. Wer heute die richtigen Strukturen schafft, meistert die Krisen von morgen.

Der Grund dafür ist praktisch, nicht philosophisch. In der Krise sind die Handlungsspielräume am kleinsten: Informationen sind lückenhaft, die Zeit ist knapp, und jede Entscheidung greift auf das zurück, was vorher aufgebaut wurde. Ein Unternehmen, das seine Abhängigkeiten von Lieferanten, Herstellern und einzelnen Wissensträgerinnen und Wissensträgern kennt, kann in Stunden umsteuern. Ein Unternehmen, das diese Abhängigkeiten erst im Ernstfall entdeckt, verbringt die ersten Krisentage damit, sein eigenes Geschäft zu verstehen.

Das Winning Wheel: Resilienz als Teil der Unternehmensführung

Resilienz lässt sich nicht an eine Abteilung delegieren. Im Buch verorte ich unternehmerische Resilienz deshalb als Teil des Winning Wheels, eines Ordnungsrahmens für die Unternehmensführung; die erste Fallstudie des Buches zeigt, wie sich mit ihm Interviews mit Führungskräften auswerten lassen. Resilienz ist darin kein eigenes Ressort, sondern ein Querschnittsthema, das sich durch alle Handlungsfelder zieht. Vier dieser Felder sind für den Aufbau von Resilienz entscheidend, und die vier Fähigkeiten gelten in jedem von ihnen:

• Strategie. Welche Ereignisse können das Geschäftsmodell treffen, und welche Antworten sind vorbereitet? Resiliente Unternehmen führen Szenarien nicht als Übung im Strategieworkshop, sondern als Bestandteil der Planung.
• Organisation und Kultur. Wer entscheidet, wenn die reguläre Hierarchie zu langsam ist? Klare Verantwortung, kurze Entscheidungswege und eine Kultur, die Veränderung als Normalfall begreift, machen ein Unternehmen im Alltag beweglich und in der Krise handlungsfähig.
• Prozesse. Welche Abläufe müssen unter allen Umständen weiterlaufen, und gibt es für sie einen erprobten Ausweichweg? Nicht jeder Prozess braucht einen Notbetrieb, aber die kritischen brauchen einen, der getestet wurde.
• Software-Basis. Kernsysteme, Schnittstellen und Abhängigkeiten von Herstellern und Dienstleistern entscheiden, ob ein Unternehmen im Ernstfall handlungsfähig bleibt. Eine transparente, beherrschte Software-Basis ist die Voraussetzung dafür, schnell reagieren zu können.

Das Bild des Rades ist bewusst gewählt. Ein Rad trägt nur, wenn alle Speichen tragen; eine schwache Speiche macht das ganze Rad unrund. Und ein Rad steht nicht still: Die Fähigkeiten antizipieren, widerstehen, anpassen und lernen bilden einen Kreislauf, der nach jeder Störung von neuem beginnt. Resilienz ist deshalb kein Projekt mit Enddatum, sondern eine Führungsroutine.

Aus meiner Beratungspraxis weiß ich, welches Handlungsfeld am häufigsten unterschätzt wird: die Software-Basis. Strategien werden überarbeitet, Krisenstäbe benannt, Lieferanten diversifiziert. Gleichzeitig hängen zentrale Abläufe an Systemen, die niemand mehr vollständig versteht, an Schnittstellen, die nur eine einzelne Mitarbeiterin oder ein einzelner Mitarbeiter kennt, und an Herstellern, deren Roadmap das Unternehmen nicht beeinflussen kann. Der Ausfall vom Juli 2024 hat gezeigt, wie kurz der Weg von einem Update eines Zulieferers zum Stillstand ganzer Branchen ist. Wer seine Software-Basis nicht kennt, kennt seine Verwundbarkeit nicht.

Woran man resiliente Organisationen erkennt

Den Kennzeichen resilienter Organisationen widme ich im Buch ein eigenes Kapitel; aus ihnen leiten sich die Resilienzmaßnahmen und das Resilienz-Prüfschema ab, mit dem sich der Stand eines Unternehmens erheben lässt. Die zweite Fallstudie wendet es auf einen Finanzdienstleister an, eine Branche, die inzwischen auch regulatorisch zur Resilienz verpflichtet ist. In Gesprächen mit Vorständen, Geschäftsführerinnen und Geschäftsführern sowie IT-Leitungen, die ich seit Erscheinen des Buches geführt habe, haben sich sechs Merkmale als besonders aussagekräftig erwiesen, an denen sich resiliente Organisationen von solchen unterscheiden, die Resilienz nur im Leitbild führen. Sie lassen sich als Prüfliste lesen:

1. Sie kennen ihre Verwundbarkeit. Sie wissen, welche Ereignisse ihr Geschäftsmodell treffen können, welche Lieferanten, Systeme und Personen nicht ersetzbar sind und wo ein einzelner Ausfall eine Kette auslöst.
2. Sie haben Antworten vorbereitet, bevor sie gebraucht werden. Für die wichtigsten Szenarien liegen Maßnahmen bereit, die nicht erst in der Krise erfunden werden müssen.
3. Sie entscheiden schnell und nachvollziehbar. Es ist geklärt, wer im Ernstfall entscheidet, mit welchen Informationen und in welcher Frist, und dieser Weg wurde geübt.
4. Sie beherrschen ihre Software-Basis. Kernsysteme sind dokumentiert, Schnittstellen und Abhängigkeiten sind bekannt, und das Unternehmen kann seine Systeme ändern, ohne auf einen einzelnen Hersteller oder eine einzelne Person angewiesen zu sein.
5. Sie behandeln Veränderung als Normalfall. Anpassung ist keine Ausnahme, die einen Krisenstab braucht, sondern Teil des Alltags.
6. Sie lernen institutionalisiert. Jede Störung wird ausgewertet, und die Erkenntnisse fließen in Strategie, Organisation und Technologie zurück, mit Verantwortlichen und Terminen.

Auffällig ist, dass keines dieser Kennzeichen zuerst Geld braucht. Lagerbestände und Redundanzen kosten; Transparenz, klare Verantwortung und Lernroutinen kosten vor allem Aufmerksamkeit der Führung. Das ist eine gute Nachricht für den Mittelstand, der sich keine zweite Fabrik leisten kann, sehr wohl aber die Disziplin, seine Abhängigkeiten zu kennen.

Das Resilienzdashboard: Führung braucht Sicht

Was nicht gemessen wird, wird nicht geführt. Deshalb schlage ich im Buch ein Resilienzdashboard vor und zeige in der dritten Fallstudie, wie es sich mit Standardsoftware umsetzen lässt: eine kompakte Sicht für die Führung, die je Handlungsfeld zeigt, wo das Unternehmen steht, wo es sich verbessert und wo es nachlässt. Das Dashboard ersetzt keine Risikoanalyse und kein Business-Continuity-Management; es macht deren Ergebnisse für den Führungskreis sichtbar und vergleichbar.

Drei Grundsätze haben sich bewährt. Erstens: Frühindikatoren vor Spätindikatoren. Die Zahl der Ausfälle im vergangenen Jahr sagt wenig darüber, wie gut das Unternehmen auf den nächsten vorbereitet ist; die Zahl der kritischen Prozesse mit getestetem Notbetrieb sagt viel. Zweitens: wenige Kennzahlen mit klarer Verantwortung statt hundert Kennzahlen, die niemand liest. Drittens: Das Dashboard gehört in die regelmäßige Führungsroutine, nicht in den Jahresbericht. Beispiele für Leitfragen und Indikatoren, wie wir sie mit unseren Kundinnen und Kunden erarbeiten:

Der Nutzen liegt weniger in den einzelnen Werten als in der Regelmäßigkeit. Ein Führungskreis, der vierteljährlich auf dieselben Indikatoren schaut, bemerkt schleichende Verschlechterungen, bevor sie zum Ereignis werden: die Schnittstelle, die seit dem Weggang einer Kollegin niemand mehr pflegt; den Lieferanten, der still zum einzigen geworden ist; den Notfallplan, der seit drei Jahren nicht geübt wurde.

Resilienz und das selbstfahrende Unternehmen

Resilienz steht nicht für sich allein. In seinem Buch „Das selbstfahrende Unternehmen“ (Springer Gabler 2021) führt Florian Schnitzhofer sie als eine von vier Dimensionen neben Autonomie, Nachhaltigkeit und Humanität. Mein Buch nimmt dieses Zielbild zum Ausgangspunkt: Wenn Entscheidungen zunehmend von Softwarealgorithmen statt von Menschen getroffen werden, lautet die Frage, ob wir solchen Unternehmen trauen können, und die Antwort hängt an ihrer Resilienz. Der Zusammenhang ist eng: Ein Unternehmen, das seine Abläufe zunehmend Software überlässt, ist genauso widerstandsfähig wie diese Software. Echtzeitdaten und Simulationen helfen beim Antizipieren, automatisierte Abläufe beim Widerstehen; zugleich wird die Software-Basis selbst zum größten Risiko, wenn sie nicht transparent und beherrscht ist. Die vier Fähigkeiten des resilienten Unternehmens sind deshalb keine Vorstufe zum selbstfahrenden Unternehmen, sondern seine Bedingung.

Wir bei ReqPOOL analysieren neutral und herstellerunabhängig, wie krisenfest Strategie, Organisation und Software-Basis eines Unternehmens sind, und begleiten den Weg zur resilienten, selbstfahrenden Organisation. Seit diesem Frühjahr liegt das Buch als „Organizational Resilience in Action“ (Springer 2025) auch auf Englisch vor; die Fragen darin haben sich seit 2022 nicht geändert, die Dringlichkeit schon.

Der nächste Schritt

Eine Übersicht über das Buch, seine Dimensionen und das Zusammenarbeitsmodell finden Sie auf der Seite Zum Buch. Wenn Sie wissen möchten, wo Ihr Unternehmen im Winning Wheel steht und welches Handlungsfeld zuerst Aufmerksamkeit braucht, buchen Sie ein Expertengespräch: Wir gehen die Kennzeichen gemeinsam durch und skizzieren ein erstes Resilienzdashboard für Ihren Führungskreis.