Operative Resilienz: Vom guten Vorsatz zur Verpflichtung

Die großen Cloud-Ausfälle des Jahres 2025 haben gezeigt, wie verwundbar digitale Geschäftsmodelle sind. Seit eineinhalb Jahren muss DORA verpflichtend angewendet werden. Gleichzeitig wird operative Resilienz vom Compliance-Thema zum Wettbewerbsfaktor. KI-Agenten verändern den IT-Betrieb dabei grundlegend.

Für Technologieverantwortliche markiert 2026 den Zeitpunkt, an dem operative Resilienz vom guten Vorsatz zur echten Verpflichtung werden muss. Bereits 2025 häuften sich Ausfälle und Störungen von Cloud-Diensten im öffentlichen wie im privaten Sektor. Regulatorischer, technologischer und kultureller Druck verschmelzen deshalb nun zu einer klaren Botschaft: So kann es nicht weitergehen.

Ausfälle haben oft weitreichende Folgen für ein Unternehmen: Umsatzeinbußen, Kundenabwanderung, Druck auf den Aktienkurs und unter Umständen auch Meldepflichten gegenüber den Aufsichtsbehörden können die Folge sein. Operative Kennzahlen gehören deshalb heute genauso auf die Agenda des Vorstands wie finanzielle Kennzahlen. Die Unternehmensspitze ist sich ihrer Rechenschaftspflicht bewusst. Nirgends gilt das so sehr wie im stark regulierten Finanzsektor, wo die EU die Anforderungen zuletzt noch einmal deutlich verschärft hat.

DORA: Von der Pflicht zur Kür

Seit Anfang 2025 gilt der Digital Operational Resilience Act (DORA) nun verbindlich: Am 17. Januar 2025 endete die Übergangsfrist der EU-Verordnung, die die digitale Widerstandsfähigkeit von Finanzinstituten stärken soll. Inzwischen hatten die Unternehmen genug Zeit, um über den nächsten Schritt nachzudenken: weg von der reinen Pflichterfüllung, hin zu einem echten Wettbewerbsvorteil aus den getätigten Investitionen.

IT-Verantwortliche in Unternehmen vollführen derzeit einen Balanceakt. Einerseits steuern sie laufende Modernisierungs- und Transformationsinitiativen, andererseits müssen sie den Anforderungen von Aufsichtsbehörden in mehreren Rechtsräumen gerecht werden. Hinzu kommen der ständige Erwartungsdruck des Vorstands und die sich wandelnden Bedürfnisse der Kunden. Operations-Teams gelten dabei längst nicht mehr als reine Backoffice-IT. Dass sie den Betrieb am Laufen halten und zum Umsatz beitragen, ist inzwischen Chefsache.

Compliance war erst der Anfang

Nach über einem Jahr DORA geht es vielen Unternehmen um mehr als das Abhaken von Vorgaben. Sie setzen inzwischen auf aussagekräftige und nachweisbare Tests, schaffen Transparenz bei Drittanbieter-Risiken und halten verbindliche Fristen für die Meldung von Vorfällen ein. Finanzunternehmen haben ihre Anfälligkeit für riskante Konstellationen damit spürbar verringert. Zahlungsdienstleister etwa hängen nicht mehr an einer einzigen Cloud-Region oder einem einzelnen SaaS-Anbieter. Kommt es dennoch zu einer Störung, können sie ihre Reaktion auf Vorfälle in Echtzeit belegen und revisionssichere Logs vorweisen.

Ein positiver Effekt dieser Entwicklung ist die stärkere Verantwortlichkeit entlang der Lieferkette. Da sowohl Finanzinstitute als auch ihre Technologiepartner für mögliche Strafen und Reputationsschäden haften, müssen sie ihre Resilienz zunehmend nachweisbar machen.

Gleichzeitig bleibt operative Widerstandsfähigkeit eine Daueraufgabe. Werden Vorfälle nicht systematisch bearbeitet, drohen regulatorische Konsequenzen und Reputationsschäden. Viele Unternehmen richten ihren Blick deshalb auf KI-Agenten und sogenannte „No-Touch Operations“, um Abläufe stärker zu automatisieren und schneller auf Störungen reagieren zu können.

Von Autonomie zur Selbstheilung

Autonome Agenten können innerhalb fest definierter Richtlinien die Reaktion auf Vorfälle und operative Aufgaben wie Erkennung, Triage und Behebung übernehmen. Im Betrieb eingesetzt, haben KI-Agenten das Potenzial, zum Rückgrat des First- und Second-Level-Supports zu werden. Verglichen mit dem traditionellen, reaktiven und ticketgetriebenen IT-Modell kann die Branche so deutlich schneller arbeiten und mehr Fälle erfolgreich abschließen. Intelligente Automatisierung verkürzt die mittlere Zeit bis zur Erkennung (MTTD) und Behebung von Störungen (MTTR), senkt die Zahl der Vorfälle, die überhaupt noch beim Third-Level-Support landen, und verbessert obendrein die Verfügbarkeit der Services. Gut integrierte Agenten, die bestehende Operations-Teams tatsächlich unterstützen, helfen zudem gegen den Fachkräftemangel, mit dem viele Unternehmen konfrontiert sind.

Wie ein typischer Vorfall mit agentenbasierten Prozessen abläuft, hängt vom jeweiligen Modell ab, könnte aber so aussehen: Eine Anomalie wird erkannt und mit einem kürzlich erfolgten Deployment in Verbindung gebracht. Ein Skript zur Behebung startet automatisch, und ein Mitarbeiter wird nur benachrichtigt, wenn der Vorfall nicht behoben wird oder festgelegte Schwellenwerte überschritten werden. Solche No-Touch Operations sind in jeder Branche Gold wert, besonders aber im Digital Banking und im Onlinehandel. Dort verlangen Lastspitzen Reaktionen nahezu in Echtzeit, und eine schlechte Customer Experience ist für Kunden ein starker Anlass, umgehend zum Wettbewerber zu wechseln.

Golden Paths statt Wildwuchs

Zur strategischen Infrastruktur-Praxis gehört außerdem die Standardisierung. Zentrale Plattformen für den IT-Betrieb und sogenannte Golden Paths, also vordefinierte, bewährte Standardwege für wiederkehrende Aufgaben, bilden ein solides Fundament für einen zuverlässig skalierbaren Betrieb. Standardisierung ermöglicht gleichbleibende operative Qualität in großem Maßstab, gerade in weit verzweigten Konzernstrukturen. Das Prinzip „Es gibt einen Weg, und das ist der richtige“ erspart Operations-Teams viel Zeit und Nerven. Besonders dann, wenn eine Meldung an die Aufsichtsbehörde samt belastbarer Nachweise fällig wird.

Ein Beispiel: Eine global tätige Bank könnte einen einzigen Golden Path für die Bereitstellung kundenseitiger Anwendungen definieren: mit bereits freigegebenem Monitoring, fertigen Workflows für Incident Response und eingebauten Vorlagen für Meldungen an die Aufsichtsbehörde. Kommt es zu einem Ausfall, folgen alle Teams demselben Prozess, und die für die Regulierungsbehörden nötigen Nachweise werden automatisch erfasst. Das verhindert Verwirrung, Verzögerungen und Compliance-Risiken.

All diese Möglichkeiten führen zu einem neuen Rollenverständnis für Entwickler und Operations-Fachleute. Wenn KI das ständige Feuerlöschen und die Routinearbeit abnimmt, bleibt Entwicklern und IT-Teams mehr Freiraum für anderes. Sie können sich stärker dem Architekturdenken widmen und die automatisierten Systeme intelligent beaufsichtigen. Teams, die auf diese Weise gestärkt werden, erledigen einfache Fälle künftig sofort und haben mehr Zeit und Aufmerksamkeit für die wirklich kniffligen Probleme, nämlich die Sonderfälle und die strategisch wichtigen Aufgaben.

Agentic AI richtig einsetzen

Anders betrachtet: Unternehmen mit agentenbasierten IT-Operations stärken ihre Fachkräfte, vergrößern deren Wirkungsradius und beschleunigen ihre Reaktionszeiten. Durchsetzen werden sich jene Unternehmen, die Agenten strategisch einsetzen. Sie halten Menschen den Rücken für höherwertige Aufgaben wie den Third-Level-Expertensupport frei und setzen damit neue Maßstäbe bei der Zuverlässigkeit, auf die Kunden zählen können. Im Idealfall investieren Unternehmen parallel in die vorhandenen Mitarbeitenden, in Weiterbildung sowie in organisatorisches Change Management. Mindestens so wichtig wie die autonomen Werkzeuge selbst ist eine Kultur, in der Menschen sich kontinuierlich weiterqualifizieren und gezielt dort eingesetzt werden, wo sie am meisten bewirken.

KI ist nach wie vor eine junge Technologie, und viele begegnen autonomen Agenten mit berechtigter Skepsis. Automatisierte Fehlerbehebung braucht deshalb klare Leitplanken, lückenlose Audit-Trails und Nachvollziehbarkeit. Autonome Agenten ermöglichen eine Reihe neuer Services, darunter das, was sich als selbstheilende Betriebsmodelle beschreiben lässt. In dieser Evolutionsstufe des IT-Betriebs laufen vorausschauende Erkennung, automatisierte Behebung und fest verankerte Resilienz zusammen. Werden Tests, Wartung und Fehlerbehebung autonom erledigt, können sich Unternehmen darauf konzentrieren, das Vertrauen ihrer Kunden auszubauen. Zugleich profitieren sie von der Produktivität und den Umsatzeffekten, die ein hochverfügbarer, unterbrechungsfreier Geschäftsbetrieb mit sich bringt.

Fazit

2026 dürften jene Unternehmen belohnt werden, die operative Resilienz als Kernbestandteil ihrer Geschäftsstrategie begreifen. Die Aufsichtsbehörden weiten ihre Anforderungen bereits über die Finanzbranche hinaus aus. Agentenbasierte Operations werden branchenübergreifend zur Grundvoraussetzung, und Kunden messen Marken zunehmend an ihrer digitalen Zuverlässigkeit, denn Belege für Ausfälle sind nur einen Klick entfernt. Unternehmen sollten deshalb jetzt den Reifegrad ihrer Incident Response prüfen, ihre IT-Abhängigkeiten von Drittanbietern durchleuchten und klären, wo Automatisierung echten geschäftlichen Nutzen stiftet. Resilienz ist eine Investition in Compliance, vor allem aber sichert sie Kundenvertrauen und Zukunftsfähigkeit.