24 Stunden IT-Stillstand bedeuten nicht automatisch 24 verlorene Arbeitsstunden pro Person. Entscheidend ist, welche Geschäftsprozesse in dieser Zeit ausfallen, was später nachgeholt werden kann und welche Mehrkosten tatsächlich entstehen. Ein pauschaler „Preis pro Ausfallstunde“ verschleiert diese Unterschiede. Das folgende Rechenbeispiel ist ausdrücklich fiktiv und zeigt eine Methode, keine DAXS-Messung oder Marktstatistik.
Ein geprüfter Wiederherstellungsweg begrenzt technische Unsicherheit. Für die wirtschaftliche Priorität muss das Unternehmen zusätzlich den betroffenen Geschäftsprozess, seine Abhängigkeiten und die Folgen verschiedener Ausfallzeiten erheben. Genau dafür ist eine Business-Impact-Analyse gedacht. Die hier betrachtete Frage ist enger: Was kostet ein konkreter 24-Stunden-Ausfall unter offengelegten Annahmen?
Das Szenario: ein Werktag ohne Auftrags- und Versand-IT
Bei einem fiktiven Handelsunternehmen fällt das ERP an einem Dienstag um 08:00 Uhr aus und ist am Mittwoch um 08:00 Uhr wieder nutzbar. Das sind 24 Kalenderstunden, aber zunächst nur ein betroffener Acht-Stunden-Arbeitstag. Von 45 Beschäftigten im betroffenen Ablauf können 40 % ihrer Zeit für andere sinnvolle Aufgaben nutzen; 60 % der geplanten Arbeitszeit sind blockiert. Rechnerisch sind das 45 × 8 × 60 % = 216 blockierte Personenstunden. Diese Kennzahl beschreibt Kapazität, noch keinen zusätzlichen Geldabfluss.
Für diesen Tag waren 100 Aufträge vorgesehen. 70 werden nach Wiederanlauf aufgeholt. 30 gehen nachweislich verloren. Der für diese 30 Aufträge angesetzte Deckungsbeitrag beträgt jeweils 180 €: Umsatz abzüglich der zugehörigen variablen Kosten. Zwei weitere Aufträge werden verspätet, bleiben aber erhalten und lösen je 750 € vertragliche Mehrkosten aus. Ob solche Beträge im Einzelfall wirklich fällig sind, muss am Vertrag geprüft werden.
Fünf Positionen, eine nachvollziehbare Summe
Die Rechnung addiert nur unterschiedliche Folgen. Insbesondere wird weder der gesamte Umsatz der verlorenen Aufträge noch der normale Lohn der 45 Beschäftigten nochmals auf den entgangenen Deckungsbeitrag geschlagen. Externe Hilfe, Zuschläge und Expressversand zählen nur mit ihrem zusätzlichen Aufwand gegenüber dem Normalbetrieb.
| Kostenart | Annahme und Formel | Betrag |
|---|---|---|
| Verlorener Deckungsbeitrag | 30 endgültig verlorene Aufträge × 180 € | 5.400 € |
| Vertragliche Mehrkosten | 2 verspätete, nicht verlorene Aufträge × 750 € | 1.500 € |
| Externe Wiederherstellung | 10 zusätzliche Stunden × 130 € | 1.300 € |
| Aufholarbeit | 20 Stunden × 35 € zusätzlicher Zuschlag | 700 € |
| Expressversand | 10 Sendungen × 25 € Mehrpreis | 250 € |
| Summe je Ereignis | 5.400 + 1.500 + 1.300 + 700 + 250 € | 9.150 € |
Die 216 blockierten Personenstunden lassen sich mit einem angenommenen Vollkostensatz von 45 € rechnerisch als 9.720 € gebundene Kapazität darstellen. Dieser Betrag gehört nicht zusätzlich in die 9.150 €. Die regulären Gehälter laufen ohnehin; ein Teil der Arbeit wird später aufgeholt, und der entgangene Deckungsbeitrag erfasst bereits einen Teil der wirtschaftlichen Folge. Als Steuerungsgröße helfen die Stunden trotzdem: Sie zeigen, wo ein Notverfahren oder eine Ersatzaufgabe die Belastung senken könnte.
Was aus einem Ereignis über drei und fünf Jahre wird
Eine Mehrjahresbetrachtung braucht eine ausdrückliche Annahme zur Anzahl vergleichbarer Ereignisse. Die folgende Planungsskizze unterstellt zwei solche Ausfälle in drei Jahren und drei in fünf Jahren. Das ist weder eine Ausfallwahrscheinlichkeit noch eine Vorhersage. Gleicher Auftragsmix, gleiche Preise und gleiche betroffene Schicht werden nur für die Rechenvergleichbarkeit festgehalten.
| Zeitraum | Basis | Bei 10 zusätzlich verlorenen Aufträgen je Ereignis |
|---|---|---|
| Drei Jahre, zwei Ereignisse | 2 × 9.150 € = 18.300 € | 2 × 10.950 € = 21.900 € |
| Fünf Jahre, drei Ereignisse | 3 × 9.150 € = 27.450 € | 3 × 10.950 € = 32.850 € |
Die Sensitivität ersetzt pro Ereignis zehn weitere aufgeholte durch zehn endgültig verlorene Aufträge. Das erhöht den entgangenen Deckungsbeitrag um 10 × 180 € = 1.800 €; alle anderen Positionen bleiben konstant. Schon diese eine Annahme verändert den Fünfjahreswert um 5.400 €. Umgekehrt kann ein nächtlicher Ausfall ohne betroffene Schicht deutlich anders wirken als derselbe technische Fehler am Monatsabschluss oder vor einem Liefertermin. Die BSI-Schadensanalyse verlangt deshalb, besondere Termine und unterschiedliche Betrachtungsperioden zu berücksichtigen.
Welche Zahlen ein Unternehmen tatsächlich erheben sollte
Ein belastbarer Wert entsteht aus Auftragsdaten und Prozessgesprächen: Start und Ende der fachlichen Unterbrechung, tatsächlich betroffene Schichten, vorübergehende Ersatzverfahren, verlorene und nur verschobene Aufträge, zugehöriger Deckungsbeitrag, nachweisliche Zuschläge, Verträge, externe Einsätze und Wiederanlaufzeit. Dazu gehören Datenstand, Lieferfähigkeit und die Frage, wann Rückstände wirklich abgebaut sind. Ein Dienst kann technisch wieder erreichbar sein, während die Abwicklung noch Stunden hinterherhinkt.
Für die Investitionsentscheidung darf man 9.150 € nicht automatisch als „mit Backup vermeidbar“ buchen. Ein besseres Backup kann Wiederanlauf und Datenverlust beeinflussen, aber weder jeden Ausfall verhindern noch sämtliche Lieferfolgen beseitigen. Erst ein konkret getestetes Ziel für Wiederanlauf und Notbetrieb erlaubt, den verbleibenden Schaden mit den Kosten einer Maßnahme zu vergleichen. DAXS kann diese Prozess- und Technikdaten mit dem Fachbereich in ein überprüfbares Szenario übersetzen. Kontakt zu DAXS.
Quellen: BSI: Besondere Termine und Ereignisse berücksichtigen · BSI: Ergebnisse der Business Impact Analyse dokumentieren · NIST SP 800-34: Contingency Planning.