Ein Cyberangriff legt zentrale IT-Systeme lahm, Netzwerkverbindungen werden vorsorglich getrennt, der Krisenstab muss Entscheidungen treffen. Doch was geschieht, wenn mit der IT-Infrastruktur auch die Telefonie ausfällt? Die europäische NIS2-Richtlinie und ihre deutsche Umsetzung rücken die Verfügbarkeit und Sicherheit betrieblicher Kommunikationswege stärker in den Fokus. Cloud-Telefonie kann die Widerstandsfähigkeit verbessern, schafft jedoch auch neue Abhängigkeiten. Für Unternehmen und Sicherheitsorganisationen wird damit eine grundlegende Frage wichtiger: Wie lässt sich die Handlungsfähigkeit bewahren, wenn die gewohnten Kommunikationssysteme nicht mehr zur Verfügung stehen?

Die Bewältigung eines Sicherheitsvorfalls beginnt nicht erst mit der Wiederherstellung betroffener IT-Systeme. Bereits in den ersten Minuten müssen Verantwortlichkeiten geklärt, Informationen weitergegeben und operative Entscheidungen koordiniert werden. Sicherheitsabteilungen, IT-Dienstleister, Standortverantwortliche und Geschäftsführung sind dabei auf funktionierende Kommunikationswege angewiesen. Fallen diese aus, kann selbst ein technisch beherrschbarer Vorfall erhebliche organisatorische Folgen entwickeln. Besonders kritisch wird die Situation, wenn Maßnahmen zur Eindämmung eines Cyberangriffs zugleich die Infrastruktur beeinträchtigen, über die sich die Beteiligten abstimmen sollen.

In vielen Unternehmen hat die fortschreitende Digitalisierung solche Abhängigkeiten verstärkt. Sprachkommunikation, Videokonferenzen, Kollaborationsplattformen und administrative Anwendungen nutzen zunehmend gemeinsame Netzwerke und zentrale Identitätsdienste. Was im Regelbetrieb für Effizienz und Flexibilität sorgt, kann sich unter Krisenbedingungen als strukturelle Schwachstelle erweisen. Die Ausfallsicherheit einzelner Anwendungen genügt deshalb nicht mehr als Maßstab für die betriebliche Resilienz. Entscheidend ist, ob die gesamte Organisation auch beim Ausfall wesentlicher digitaler Ressourcen handlungsfähig bleibt.

NIS2 macht sichere Kommunikation zur Risikomanagementaufgabe

Mit der Umsetzung der europäischen NIS2-Richtlinie in deutsches Recht haben sich die Anforderungen an die Cybersicherheit zahlreicher Unternehmen und Einrichtungen erweitert. Das am 6. Dezember 2025 in Kraft getretene NIS2-Umsetzungsgesetz verpflichtet besonders wichtige und wichtige Einrichtungen, geeignete, verhältnismäßige und wirksame Maßnahmen zur Begrenzung von Sicherheitsrisiken zu ergreifen. Der Ansatz reicht über klassische Schutzmaßnahmen gegen Cyberangriffe hinaus und umfasst ausdrücklich die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs sowie das Krisenmanagement.

Besondere Bedeutung erhält in diesem Zusammenhang § 30 Absatz 2 Nummer 10 des BSI-Gesetzes. Die Vorschrift nennt neben Verfahren zur Mehrfaktor- oder kontinuierlichen Authentifizierung auch gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. Damit werden Kommunikationsdienste ausdrücklich als Bestandteil des Cybersicherheitsrisikomanagements berücksichtigt. Die Regulierung verlangt allerdings keine bestimmte technische Architektur und schreibt insbesondere keinen grundsätzlichen Wechsel von lokalen Telefonanlagen zu Cloudlösungen vor. Maßgeblich bleibt, ob die eingesetzten Maßnahmen dem jeweiligen Risiko angemessen sind und ihre Wirksamkeit nachvollziehbar dokumentiert werden kann.

Dass die Kommunikationsfähigkeit auch für regulatorische Prozesse von Bedeutung ist, verdeutlichen die Meldepflichten des § 32 BSIG. Bei erheblichen Sicherheitsvorfällen müssen betroffene Einrichtungen grundsätzlich innerhalb von 24 Stunden nach Kenntniserlangung eine frühe Erstmeldung und innerhalb von 72 Stunden eine weiterführende Meldung übermitteln. Eine unzureichend vorbereitete Krisenkommunikation kann die dafür erforderliche Informationsbeschaffung, Abstimmung und Entscheidungsfindung erschweren. Technische Verfügbarkeit und organisatorische Meldefähigkeit sind somit eng miteinander verbunden, auch wenn die gesetzliche Verantwortung für die Erfüllung der Pflichten bei der jeweiligen Einrichtung verbleibt.

Cloud-Telefonie verändert die Architektur der Ausfallsicherheit

Die Verlagerung von Telefoniediensten in zentral betriebene Cloudumgebungen eröffnet neue Möglichkeiten, Kommunikationsstrukturen standortübergreifend zu organisieren. Während historisch gewachsene Telefonanlagen häufig an einzelne Unternehmensstandorte und lokale technische Komponenten gebunden sind, lassen sich cloudbasierte Lösungen mit einheitlichen Rufnummernkonzepten, zentraler Administration und flexiblen Routing-Verfahren betreiben. Geografisch getrennte Rechenzentren und redundant ausgelegte Vermittlungskomponenten können das Risiko verringern, dass der Ausfall eines einzelnen technischen Systems die gesamte Sprachkommunikation unterbricht.

Gerade für Unternehmen mit mehreren Niederlassungen oder dezentralen Sicherheitsorganisationen kann dies Vorteile bieten. Gespräche lassen sich bei entsprechenden technischen Voraussetzungen auf andere Standorte oder mobile Endgeräte umleiten, während definierte Rufgruppen die Erreichbarkeit bestimmter Funktionen unterstützen. Auch Krisenteams können über alternative Kommunikationswege eingebunden werden, sofern diese zuvor eingerichtet und ihre Funktionsfähigkeit überprüft wurde. Damit kann Cloud-Telefonie einen Beitrag zur Aufrechterhaltung kritischer Geschäftsprozesse leisten.

Die Vorteile dürfen jedoch nicht darüber hinwegtäuschen, dass mit der Zentralisierung neue Abhängigkeiten entstehen. Cloudbasierte Sprachkommunikation setzt weiterhin funktionierende Zugangsnetze, Stromversorgung, Endgeräte und gegebenenfalls externe Authentifizierungsdienste voraus. Auch geografisch getrennte Plattformstandorte bieten keinen vollständigen Schutz, wenn wesentliche Komponenten auf gemeinsam genutzte Dienste angewiesen sind. Insbesondere zentrale Identitätsinfrastrukturen, Netzwerkknoten und Carrier-Anbindungen können zu gemeinsamen Ausfallpunkten werden, obwohl die eigentliche Telefonieplattform redundant ausgelegt ist.

Eine belastbare Resilienzbewertung muss deshalb die vollständige Kommunikationskette berücksichtigen. Dazu gehören nicht nur Rechenzentren und Vermittlungssysteme, sondern auch lokale Netzwerke, Internetanschlüsse, Telefonie-Gateways, Endgeräte und organisatorische Zugriffsverfahren. Redundanz entfaltet ihren Nutzen erst dann, wenn alternative Kommunikationswege bei Ausfall einer Komponente tatsächlich nutzbar bleiben.

Wenn Sicherheitsmaßnahmen die Kommunikation unterbrechen

Ein bislang häufig unterschätztes Risiko ergibt sich aus dem möglichen Zielkonflikt zwischen der Eindämmung eines Cyberangriffs und der Aufrechterhaltung der Krisenkommunikation. Die Isolierung kompromittierter Netzwerkbereiche gehört zu den etablierten Maßnahmen der Incident Response. Werden betroffene Systeme vorsorglich vom Netz getrennt, können sich die Auswirkungen jedoch auf solche Dienste erstrecken, die für die Koordination der Gegenmaßnahmen benötigt werden. Dazu zählen insbesondere IP-basierte Telefonie, digitale Kollaborationswerkzeuge und zentral verwaltete Kommunikationsanwendungen.

Für Sicherheitsverantwortliche entsteht daraus eine besondere Planungsaufgabe. Die im Krisenfall benötigten Kommunikationsmittel sollten nicht vollständig von jener Infrastruktur abhängig sein, deren Abschaltung oder Isolation im Rahmen eines Sicherheitsvorfalls erforderlich werden könnte. Neben redundant ausgelegten Unternehmensnetzen kommen hierfür beispielsweise unabhängige Mobilfunkverbindungen, gesonderte Notfallgeräte oder alternative, organisatorisch vorbereitete Kommunikationsverfahren in Betracht. Entscheidend ist die tatsächliche technische Unabhängigkeit und nicht lediglich das Vorhandensein mehrerer Anwendungen.

Der BSI-Standard 200-4 zum Business Continuity Management greift die Bedeutung funktionsfähiger Notfallkommunikation ausdrücklich auf. Er behandelt unter anderem die Ausfallsicherheit und Redundanz von Kommunikationsmitteln, den Schutz vertraulicher Informationen sowie die Festlegung von Zuständigkeiten und Kommunikationswegen. Eine wirksame Notfallplanung muss daher bereits vor Eintritt eines Schadensereignisses definieren, welche Personen über welche Kanäle erreichbar sein müssen und wie die Kommunikation bei Ausfall regulärer Systeme fortgesetzt wird.

Dabei sind nicht nur technische Vorkehrungen relevant. Kontaktlisten, Eskalationswege und Vertretungsregelungen müssen aktuell und auch außerhalb der regulären IT-Infrastruktur zugänglich sein. Ebenso bedarf es verbindlicher Vorgaben, welche Informationen über alternative Kommunikationskanäle weitergegeben werden dürfen. Gerade bei Cyberangriffen können unkontrollierte Kommunikationswechsel zusätzliche Risiken für die Vertraulichkeit sensibler Informationen schaffen.

Vernetzte Telefoniesysteme eröffnen zusätzliche Angriffsflächen

Mit der Integration der Telefonie in die Unternehmens-IT verändern sich zugleich die Anforderungen an ihre Absicherung. Cloudbasierte Kommunikationsplattformen verfügen häufig über Schnittstellen zu Identitätsmanagement, Kundenverwaltung und Kollaborationsanwendungen. Diese Vernetzung vereinfacht administrative Prozesse und ermöglicht neue Funktionen, erweitert unter Umständen jedoch auch die Angriffsfläche. Kompromittierte Benutzerkonten, unzureichend geschützte Schnittstellen oder fehlerhafte Berechtigungskonzepte können die Integrität und Verfügbarkeit der Kommunikationsdienste beeinträchtigen.

Besondere Aufmerksamkeit verdienen administrative Zugriffe und zentrale Routing-Funktionen. Gelingt es Angreifern, entsprechende Berechtigungen zu erlangen, können sie unter Umständen Rufumleitungen manipulieren, Kommunikationsverbindungen missbrauchen oder Dienste gezielt stören. Hinzu kommen Angriffe auf die Verfügbarkeit von Vermittlungsplattformen sowie Risiken durch unzureichend abgesicherte Endgeräte. Eine Sicherheitsstrategie muss deshalb sowohl die Kommunikationsinhalte als auch die Steuerungs- und Verwaltungsinfrastruktur schützen.

Zu den wesentlichen Maßnahmen gehören angemessene Authentifizierungsverfahren, restriktive Berechtigungskonzepte, die Protokollierung sicherheitsrelevanter Änderungen und eine kontinuierliche Überwachung kritischer Komponenten. Geeignete Verschlüsselungsverfahren können die Übertragung von Signalisierungs- und Sprachdaten absichern. Allerdings ist dabei zu unterscheiden, welche Abschnitte einer Kommunikationsverbindung tatsächlich geschützt sind und ob der Schutz auch beim Übergang in andere Netze erhalten bleibt. Die Verwendung verschlüsselter Übertragungsprotokolle ist nicht automatisch mit einer durchgängigen Ende-zu-Ende-Verschlüsselung gleichzusetzen.

Auch die Absicherung externer Dienstleister wird zum Bestandteil der Gesamtbetrachtung. § 30 BSIG berücksichtigt ausdrücklich die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Unternehmen sollten daher prüfen, welche Verfügbarkeitszusagen bestehen, wie Störungen eskaliert werden und welche Sicherheitsnachweise für die genutzte Infrastruktur vorliegen. Ein vertraglich zugesichertes Service Level bezieht sich häufig auf einen definierten Leistungsbereich des Anbieters und erlaubt für sich genommen noch keine Aussage über die tatsächliche Ende-zu-Ende-Erreichbarkeit eines Unternehmens.

Besondere Anforderungen für Leitstellen und Sicherheitsorganisationen

Für die Sicherheitswirtschaft besitzt die Verfügbarkeit von Sprachkommunikation eine unmittelbare operative Bedeutung. Sicherheitszentralen, Werkschutzorganisationen und Interventionsdienste müssen Informationen häufig unter erheblichem Zeitdruck austauschen. Wird die Erreichbarkeit verantwortlicher Personen beeinträchtigt, können sich Abstimmungsprozesse verzögern und die Koordination sicherheitsrelevanter Maßnahmen erschweren. Bei standortübergreifenden Sicherheitskonzepten können solche Störungen zudem mehrere Betriebsbereiche gleichzeitig betreffen.

Dabei ist eine klare Abgrenzung zwischen allgemeiner Unternehmenskommunikation und spezialisierten sicherheitstechnischen Übertragungswegen erforderlich. Alarmempfangsstellen, Gefahrenmeldeanlagen und andere sicherheitsgerichtete Einrichtungen unterliegen je nach Einsatzbereich zusätzlichen technischen und normativen Anforderungen. Cloud-Telefonie kann die betriebliche Kommunikation solcher Organisationen ergänzen, ersetzt jedoch nicht automatisch die für Alarmübertragung, Notrufbearbeitung oder andere sicherheitskritische Funktionen vorgesehenen Systeme.

Für Betreiber ergibt sich daraus die Notwendigkeit, Kommunikationsdienste nach ihrer Bedeutung für die jeweilige Sicherheitsfunktion zu bewerten. Während Einschränkungen der allgemeinen Verwaltungstelefonie unter Umständen vorübergehend toleriert werden können, gelten für die Koordination von Interventionseinsätzen oder die Erreichbarkeit eines Krisenstabs häufig wesentlich strengere Anforderungen. Die dafür notwendigen Verfügbarkeits- und Wiederherstellungsziele müssen aus den konkreten Betriebsrisiken abgeleitet werden.

Nicht jeder Sicherheitsdienstleister unterliegt allein aufgrund seiner Branchenzugehörigkeit unmittelbar den NIS2-Pflichten. Unabhängig vom gesetzlichen Anwendungsbereich können sich vergleichbare Anforderungen jedoch aus vertraglichen Verpflichtungen, branchenspezifischen Standards und der Verantwortung gegenüber Auftraggebern ergeben. Die Widerstandsfähigkeit der Kommunikationsinfrastruktur bleibt damit auch für Sicherheitsunternehmen relevant, die nicht selbst als besonders wichtige oder wichtige Einrichtung erfasst sind.

Entscheidend ist die Funktionsfähigkeit unter realen Störungsbedingungen

Ob eine Kommunikationsarchitektur tatsächlich krisenfest ist, lässt sich nicht allein anhand technischer Spezifikationen oder zugesicherter Verfügbarkeitswerte beurteilen. Entscheidend ist ihre Leistungsfähigkeit unter Bedingungen, die vom regulären Betrieb erheblich abweichen. Unternehmen sollten deshalb regelmäßig überprüfen, ob alternative Rufwege bei Netzstörungen funktionieren, Krisenteams ohne zentrale Kollaborationssysteme erreichbar bleiben und vorbereitete Eskalationsverfahren auch bei eingeschränkter IT-Verfügbarkeit greifen.

Besonders aussagekräftig sind Übungen, die mehrere gleichzeitig auftretende Störungen berücksichtigen. Denkbar sind Szenarien, in denen ein Standort seine Internetverbindung verliert, ein zentraler Authentifizierungsdienst ausfällt oder Teile des Unternehmensnetzes aufgrund eines Cyberangriffs isoliert werden müssen. Solche Tests machen sichtbar, ob vermeintlich redundante Systeme tatsächlich unabhängig voneinander arbeiten oder durch gemeinsame technische Voraussetzungen miteinander verbunden bleiben.

Die Ergebnisse sollten in die Risikoanalyse und die Weiterentwicklung des Business Continuity Managements einfließen. Neben technischen Wiederherstellungszeiten sind dabei auch organisatorische Faktoren zu bewerten: Wie schnell lässt sich ein Krisenstab erreichen? Welche Kommunikationswege stehen für die Abstimmung mit externen Dienstleistern zur Verfügung? Und können Entscheidungen auch dann nachvollziehbar dokumentiert werden, wenn reguläre Informationssysteme vorübergehend nicht zugänglich sind?

Mit NIS2 erhält die Absicherung solcher Prozesse zusätzliche regulatorische Bedeutung. Der eigentliche Maßstab für die Wirksamkeit bleibt jedoch die betriebliche Realität. Eine moderne Kommunikationsplattform kann hohe Verfügbarkeit, flexible Rufkonzepte und technische Redundanz bereitstellen. Ob daraus tatsächliche Krisenfestigkeit entsteht, entscheidet sich erst im Zusammenspiel mit unabhängigen Ausweichwegen, klaren Verantwortlichkeiten und regelmäßig überprüften Notfallverfahren.

Die zentrale Herausforderung besteht somit nicht darin, möglichst viele Kommunikationskanäle bereitzustellen, sondern ihre Funktionsfähigkeit auch dann zu gewährleisten, wenn die reguläre IT-Infrastruktur versagt. Für Unternehmen und Sicherheitsorganisationen ist dies eine wesentliche Voraussetzung, um Sicherheitsvorfälle wirksam zu bewältigen. Denn eine Krisenkommunikation, die auf dieselben Systeme angewiesen ist, deren Ausfall sie überbrücken soll, kann ihre wichtigste Aufgabe im entscheidenden Moment nicht erfüllen.

Infokasten: Cloud-Telefonie im NIS2-Kontext – Anbieterperspektive

reputatio systems GmbH & Co. KG; Der IT-Dienstleister reputatio systems GmbH & Co. KG aus Pforzheim hat am 28. Oktober 2026 auf die Bedeutung cloudbasierter Telefonie für die betriebliche Krisenkommunikation hingewiesen. Nach Unternehmensangaben umfasst das Angebot eine geografisch redundante Cloud-Telefonieplattform sowie Dienstleistungen zur Konzeption standortübergreifender Rufnummernstrukturen, alternativer Routing-Verfahren und definierter Krisenrufgruppen.

Das Unternehmen sieht insbesondere in der zentralen Administration, der Einbindung mobiler Endgeräte und der flexiblen Umleitung von Gesprächen Möglichkeiten, die Kommunikationsfähigkeit bei technischen Störungen zu verbessern. Ob eine konkrete Lösung die individuellen Anforderungen an Sicherheit, Verfügbarkeit und Notfallkommunikation erfüllt, hängt von ihrer Implementierung sowie den ergänzenden technischen und organisatorischen Maßnahmen ab.

Quelle: reputatio systems GmbH & Co. KG, Unternehmensmitteilung vom 28. Oktober 2026: „NIS2 im Fokus: Cloud-Telefonie als Rückgrat der Krisenkommunikation“, veröffentlicht über PresseBox.

Quellenprüfung und redaktionelle Qualitätssicherung

Die wesentlichen rechtlichen und fachlichen Aussagen sind mit Primärquellen abgeglichen:

• NIS2 und deutsches Recht: Die Anforderungen an Risikomanagement, gesicherte Kommunikation und Lieferkettensicherheit ergeben sich aus § 30 BSIG und Artikel 21 der NIS2-Richtlinie.  Einzelnorm+1
• Meldepflichten: Die 24- und 72-Stunden-Fristen sind in § 32 BSIG geregelt und beziehen sich auf erhebliche Sicherheitsvorfälle.  Einzelnorm
• Business Continuity Management: Der BSI-Standard 200-4 behandelt Notfallkommunikation, Ausfallsicherheit und die organisatorische Krisenbewältigung.  BSI
• Unternehmensangaben: Die technischen und produktbezogenen Aussagen im Infokasten gehen auf die Originalmitteilung vom 28. Oktober 2026 zurück.  PresseBox