Nicht jeder Prozess verdient dieselbe Aufmerksamkeit. Aber die wirklich wichtigen zu finden, ist schwieriger, als es klingt – denn manche der kritischsten Prozesse sind genau die, die niemand beachtet.

Monitoring-Ressourcen sind begrenzt. Sie mit der Gießkanne über alle Prozesse zu verteilen, führt dazu, dass nirgends genug Aufmerksamkeit ankommt. Die Kunst liegt darin, die Prozesse zu identifizieren, deren Ausfall den größten Schaden anrichten würde – und das ist selten allein eine Frage des Bauchgefühls.

Sechs Kriterien für die Priorisierung

Die Identifikation kritischer Prozesse erfolgt idealerweise systematisch, etwa im Rahmen einer Business Impact Analyse. Sechs Kriterien helfen dabei, und jedes beleuchtet eine andere Seite der Kritikalität.

Das erste ist der Wertschöpfungsbeitrag: Trägt der Prozess direkt zur Erbringung von Produkten oder Dienstleistungen bei? Das zweite ist die Kundenrelevanz: Wirkt sich der Prozess unmittelbar auf Kundenzufriedenheit oder -bindung aus? Das dritte ist die regulatorische Bedeutung: Ist der Prozess nötig, um gesetzliche Vorgaben einzuhalten? Das vierte sind die finanziellen Auswirkungen bei Ausfall oder Fehlern. Das fünfte sind Abhängigkeiten und Komplexität: Wie stark ist der Prozess mit anderen Systemen und Organisationseinheiten verknüpft? Und das sechste ist die Wiederanlaufzeit: Wie lange dauert es, den Prozess nach einem Ausfall wiederherzustellen?

Zusammen ergeben diese sechs Kriterien ein belastbares Bild, das die Priorisierung von einer Meinungsfrage in eine nachvollziehbare Entscheidung verwandelt.

Kritisch heißt in jeder Branche etwas anderes

Was am Ende als kritisch gilt, hängt stark von der Branche ab. In der Energieversorgung sind es etwa Netzsteuerung und Störungsmanagement, deren Ausfall unmittelbar spürbar wäre. In der Produktion sind es Materialbeschaffung und Qualitätskontrolle, an denen die gesamte Fertigung hängt. In der Logistik sind es Sendungsverfolgung und Zollabwicklung, ohne die Waren nicht fließen. Dieselbe Systematik führt in verschiedenen Branchen zu ganz unterschiedlichen Ergebnissen – und genau deshalb lohnt sich die strukturierte Analyse statt einer Standardliste.

Die Gefahr im Verborgenen

Die unbequemste Erkenntnis betrifft Prozesse, die auf den ersten Blick nebensächlich wirken. Laut dem Bundesamt für Sicherheit in der Informationstechnik können auch unterstützende Prozesse wie IT-Administration oder Personalmanagement kritisch sein, wenn mehrere Kernprozesse von ihnen abhängen. Der unscheinbare Server im Hintergrund fällt niemandem auf – bis er ausfällt und mit ihm ein halbes Dutzend Prozesse, die still auf ihm aufsetzten.

Wer nur die offensichtlichen, kundenzugewandten Prozesse überwacht, übersieht genau jene Abhängigkeiten, die im Ernstfall den größten Schaden anrichten. Ein einzelner, scheinbar unwichtiger Prozess kann als Single Point of Failure für zahlreiche Kernprozesse wirken.

Warum der ganzheitliche Blick zählt

Diese verdeckten Abhängigkeiten sind der Grund, warum ein ganzheitlicher Blick auf die Prozesslandschaft so wichtig ist. Erst eine systematische Analyse aller Abhängigkeiten – über Abteilungs- und Systemgrenzen hinweg – macht sichtbar, welche unterstützenden Prozesse tatsächlich eine kritische Rolle spielen. Ohne diese Analyse priorisiert man das Sichtbare und übersieht das Gefährliche.

Priorisierung ist keine einmalige Übung

Kritikalität ist nicht in Stein gemeißelt. Neue Produkte, veränderte Regulierung, umgebaute Systeme – all das verschiebt, welche Prozesse kritisch sind. Eine Priorisierung, die vor drei Jahren richtig war, kann heute an der Realität vorbeigehen. Deshalb gehört die Business Impact Analyse in einen regelmäßigen Rhythmus, nicht in ein einmaliges Projekt. So bleibt der Fokus dort, wo der Schaden am größten wäre.

Die Business Impact Analyse als Methode

Die Business Impact Analyse ist das Werkzeug, mit dem aus den sechs Kriterien eine belastbare Rangfolge wird. Sie betrachtet für jeden Prozess systematisch, welche Folgen ein Ausfall hätte – finanziell, rechtlich, für Kundinnen und Kunden – und über welchen Zeitraum diese Folgen zunehmen. Aus dieser Betrachtung ergeben sich zwei zentrale Größen: die maximal tolerierbare Ausfallzeit und die Zeit, die bis zur Wiederherstellung höchstens vergehen darf.

Der Vorteil dieses Vorgehens ist, dass es die Diskussion von Meinungen auf Kriterien verlagert. Statt „dieser Prozess fühlt sich wichtig an“ entsteht eine nachvollziehbare Einordnung, die auch gegenüber Führung und Prüfern Bestand hat. Und weil die Analyse für alle Prozesse denselben Maßstab anlegt, werden sie überhaupt erst vergleichbar.

Abhängigkeiten sichtbar machen

Der schwierigste Teil ist nicht die Bewertung der einzelnen Prozesse, sondern das Verständnis ihrer Abhängigkeiten. Ein Prozess kann für sich unkritisch wirken und trotzdem kritisch sein, weil andere auf ihm aufsetzen. Diese Verknüpfungen liegen selten offen zutage – sie verstecken sich in gemeinsam genutzten Systemen, in Datenflüssen zwischen Abteilungen, in externen Diensten, von denen mehrere Prozesse abhängen.

Sie sichtbar zu machen verlangt einen Blick über Abteilungs- und Systemgrenzen hinweg. Erst wenn man kartiert, welcher Prozess auf welche Systeme, Daten und Dienste angewiesen ist, treten die Single Points of Failure hervor – jene Stellen, an denen ein einziger Ausfall viele Prozesse gleichzeitig trifft.

Priorisierung in der Praxis

Wie das zusammenkommt, zeigt ein Beispiel. Ein Logistikunternehmen bewertet seine Prozesse anhand der sechs Kriterien. Die Sendungsverfolgung landet erwartungsgemäß hoch: hoher Wertschöpfungsbeitrag, hohe Kundenrelevanz, kurze tolerierbare Ausfallzeit. Überraschend rückt aber auch die interne Stammdatenpflege nach oben – nicht wegen ihrer eigenen Kritikalität, sondern weil Disposition, Zollabwicklung und Rechnungsstellung allesamt auf korrekte Stammdaten angewiesen sind. Ein Prozess, den niemand auf der Rechnung hatte, entpuppt sich als tragende Säule. Genau solche Erkenntnisse rechtfertigen den Aufwand einer strukturierten Analyse.

Von der Kritikalität zur Überwachungstiefe

Die Priorisierung ist kein Selbstzweck – sie bestimmt, wie intensiv ein Prozess überwacht wird. Nicht jeder Prozess braucht dieselbe Tiefe. Für hochkritische Prozesse lohnt sich eine engmaschige Echtzeitüberwachung mit Frühindikatoren und klaren Schwellenwerten, für weniger kritische genügt oft eine gröbere Beobachtung. So fließen die begrenzten Monitoring-Ressourcen dorthin, wo sie den größten Schaden verhindern.

Dieser abgestufte Ansatz ist der eigentliche Ertrag der Priorisierung. Er verhindert zwei Fehler zugleich: das Überwachen von Nebensächlichem mit teurer Präzision und das Vernachlässigen von Kritischem aus Ressourcenmangel. Die Kritikalität eines Prozesses übersetzt sich damit direkt in die Art und Weise, wie er beobachtet wird.

Der häufigste Priorisierungsfehler

In der Praxis wiederholt sich ein Muster: Unternehmen priorisieren, was sichtbar ist. Kundenzugewandte Prozesse stehen im Fokus, weil ihre Störung sofort spürbar wäre, während unterstützende Prozesse übersehen werden. Genau darin liegt die Gefahr, denn die verdeckten Abhängigkeiten richten im Ernstfall den größten Schaden an. Der Fehler ist nicht, das Sichtbare zu überwachen – der Fehler ist, beim Sichtbaren aufzuhören. Eine gute Priorisierung zwingt deshalb dazu, auch die unscheinbaren Prozesse auf ihre Abhängigkeiten zu prüfen.

Häufige Fragen

Wie erkennt man, ob ein Prozess kritisch ist? Am besten systematisch über eine Business Impact Analyse anhand von sechs Kriterien: Wertschöpfungsbeitrag, Kundenrelevanz, regulatorische Bedeutung, finanzielle Auswirkungen, Abhängigkeiten und Wiederanlaufzeit. Diese Kriterien machen die Priorisierung nachvollziehbar statt zur Bauchentscheidung.

Können auch unscheinbare Prozesse kritisch sein? Ja. Laut dem BSI können unterstützende Prozesse wie IT-Administration kritisch sein, wenn mehrere Kernprozesse von ihnen abhängen. Ein solcher Prozess kann als Single Point of Failure wirken, obwohl er im Alltag kaum auffällt.

Wie oft sollte man die Priorisierung überprüfen? Regelmäßig. Neue Produkte, geänderte Regulierung oder umgebaute Systeme verschieben die Kritikalität. Eine Business Impact Analyse gehört deshalb in einen festen Rhythmus, nicht in ein einmaliges Projekt.