Die kurze Antwort: Berechnen Sie den finanziellen Verlust eines IT-Ausfalls aus der unwiederbringlich entgangenen Marge, den außerordentlichen Wiederherstellungskosten und weiteren nachweisbaren Folgen. Weisen Sie den Wert der ungenutzten Arbeitskapazität separat aus und addieren Sie ihn nur dann, wenn er nicht denselben stillstehenden Prozess oder dieselben entgangenen Geschäfte beschreibt. Berechnen Sie das Ergebnis getrennt für konkrete Teams und Szenarien.
Eine Ausfallstunde kostet nicht jedes Unternehmen gleich viel
Eine Stunde ohne E-Mail kann einige Beschäftigte lediglich ausbremsen. Eine Stunde ohne Bestellsystem, Buchhaltung, Produktionsdaten oder Zugriff auf Aufträge kann dagegen Versand und Rechnungsstellung zum Stillstand bringen.
Die reine Dauer des Ausfalls reicht daher nicht aus. Entscheidend ist:
- wie viele Personen und Prozesse von der Einschränkung betroffen waren;
- welcher Anteil ihrer Arbeit tatsächlich zum Stillstand kam;
- ob sich die Arbeit oder die Bestellungen später nachholen lassen;
- wie viel die Wiederherstellung des Betriebs kostet;
- ob der Ausfall eine Vertragsstrafe, Materialverlust oder den Verlust eines Kunden verursacht hat.
Die Ursache muss kein Serverdefekt sein. Auch eine ausgefallene Anmeldung, ein DNS-Fehler, eine unterbrochene Internetverbindung, eine beschädigte Netzwerkkomponente, ein nicht erreichbarer Cloud-Dienst oder ein Sicherheitsvorfall kann den Betrieb stoppen. Nach einem Angriff endet die Wiederherstellungszeit zudem nicht mit dem erneuten Einschalten der Computer. Das Unternehmen muss Konten, Zugriffsrechte, Geräte und das Ausmaß des Vorfalls überprüfen.
Das Ziel der Berechnung besteht nicht darin, einen möglichst hohen Betrag zu ermitteln. Sie soll zeigen, welche Abhängigkeit das Unternehmen am stärksten gefährdet und wo sich eine kürzere Wiederherstellungszeit lohnt.
Teilen Sie die Auswirkungen in vier Gruppen ein
Trennen Sie für eine praktische Berechnung ungenutzte Arbeitskapazität, Geschäftsverluste, Wiederherstellungskosten und sonstige direkte Folgen voneinander.
| Gruppe | Was dazugehört |
|---|---|
| Ungenutzte Arbeitskapazität | Bezahlte Zeit von Personen, die ihre übliche Arbeit nicht ausführen konnten |
| Geschäftsverlust | Marge aus Bestellungen oder Aufträgen, die endgültig verloren sind |
| Betriebswiederherstellung | Externer Einsatz, Überstunden, Ersatztechnik und weitere außerordentliche Ausgaben |
| Sonstige direkte Folgen | Vertragsstrafen, Entschädigungen, unbrauchbar gewordenes Material oder erneute Produktion |
Das Gehalt eines Beschäftigten während des Ausfalls ist nicht immer eine neue finanzielle Ausgabe. Das Unternehmen zahlt es in der Regel unabhängig vom Vorfall. In der Berechnung stellt es daher den Wert einer Kapazität dar, die das Unternehmen nicht nutzen konnte, und nicht automatisch einen buchhalterischen Geldverlust.
Ebenso dürfen nicht sämtliche Umsätze während des Ausfalls als Verlust gewertet werden. Schließt der Kunde seine Bestellung später ab, handelt es sich vor allem um eine Verzögerung und möglicherweise um zusätzliche Arbeit. Ein unwiederbringlicher Verlust entsteht erst, wenn der Kunde das Geschäft storniert oder bei einem anderen Anbieter abschließt.
Grundformel zur Berechnung des Verlusts
Die finanziellen Auswirkungen lassen sich wie folgt ausdrücken:
Finanzieller Verlust =
unwiederbringlich entgangener Deckungsbeitrag
+ außerordentliche Wiederherstellungskosten
+ sonstige direkte finanzielle FolgenWeisen Sie den Wert der ungenutzten Arbeitskapazität neben dem finanziellen Verlust als separate betriebswirtschaftliche Kennzahl aus:
Anzahl der betroffenen Personen
× Dauer der Einschränkung in Stunden
× vollständige Arbeitskosten pro Stunde
× Anteil der verlorenen ProduktivitätAddieren Sie beide Beträge nur dann, wenn sie nachweislich voneinander unabhängige Auswirkungen beschreiben. Bezieht sich die ungenutzte Kapazität auf denselben stillstehenden Prozess und dieselben nicht zustande gekommenen Geschäfte wie die entgangene Marge, könnte eine automatische Addition denselben wirtschaftlichen Schaden doppelt erfassen.
Die vollständigen Arbeitskosten pro Stunde bestehen nicht nur aus dem Bruttolohn. Das Unternehmen kann gemäß seiner internen Methodik auch Pflichtabgaben und regelmäßige Personalkosten berücksichtigen. Verwenden Sie für eine genaue buchhalterische Berechnung die Daten der Lohnbuchhaltung.
Der Anteil der verlorenen Produktivität unterscheidet sich von Team zu Team. Ein Vertriebsmitarbeiter ohne CRM kann telefonieren oder außerhalb des Systems ein Angebot vorbereiten. Der Versand kann ohne Zugriff auf Bestellungen vollständig stillstehen. Ein einziger Durchschnittswert für das gesamte Unternehmen würde das Ergebnis daher verzerren.
Ersetzen Sie entgangenen Umsatz durch entgangene Marge
Trennen Sie bei den geschäftlichen Auswirkungen zunächst Bestellungen, die sich lediglich verzögert haben, von den Geschäften, die das Unternehmen tatsächlich verloren hat.
Eine überschlägige Berechnung kann folgendermaßen aussehen:
Durchschnittlicher Stundenumsatz des betroffenen Prozesses
× Dauer der Einschränkung
× Anteil des nicht verfügbaren Prozesses
× Anteil der unwiederbringlich verlorenen Geschäfte
× DeckungsbeitragDer Deckungsbeitrag berücksichtigt, dass bei einer nicht zustande gekommenen Bestellung bestimmte variable Kosten nicht anfallen. Die Verwendung des gesamten Umsatzwerts würde den Verlust daher in der Regel überschätzen.
Achten Sie auch auf Doppelzählungen. Addieren Sie den Wert der ungenutzten Kapazität nicht automatisch zur entgangenen Marge desselben Prozesses. Hat ein interner Administrator während des Ausfalls das Netzwerk repariert und rechnen Sie seine Zeit bereits zur ungenutzten Arbeitskapazität, dürfen Sie dieselbe Stunde nicht nochmals als separate Wiederherstellungskosten ansetzen. Berücksichtigen Sie separat beispielsweise Überstunden, einen externen Einsatz oder die Miete eines Ersatzgeräts.
Beispielrechnung mit fiktiven Angaben
Die folgenden Werte veranschaulichen lediglich das Vorgehen. Sie stellen weder typische Ausfallkosten noch empfohlene Werte für ein anderes Unternehmen dar.
Das Beispielunternehmen gibt Folgendes ein:
- acht betroffene Beschäftigte;
- einen Ausfall von einer Stunde;
- vollständige Arbeitskosten von 420 Kč pro Stunde;
- einen durchschnittlichen Produktivitätsverlust von 75 Prozent.
Der Wert der ungenutzten Arbeitskapazität beträgt:
8 × 1 × 420 × 0,75 = 2 520 KčDer betroffene Prozess erzielt im fiktiven Beispiel einen durchschnittlichen Stundenumsatz von 10 000 Kč. 60 Prozent des Prozesses waren nicht verfügbar, 30 Prozent der Geschäfte gingen endgültig verloren und der Deckungsbeitrag betrug 40 Prozent:
10 000 × 1 × 0,60 × 0,30 × 0,40 = 720 KčZahlt das Unternehmen 1 680 Kč für Wiederherstellungsarbeiten außerhalb der üblichen Personalkosten und weitere 2 600 Kč für eine einmalige Lösung, ergibt sich folgende finanzielle Auswirkung:
720 + 1 680 + 2 600 = 5 000 KčStellen Sie das Ergebnis daher aus zwei Perspektiven dar:
Finanzieller Verlust: 5 000 Kč
Wert der ungenutzten Arbeitskapazität: 2 520 KčDiese Beträge werden im Beispiel nicht addiert, weil die ungenutzte Kapazität möglicherweise mit demselben stillstehenden Prozess zusammenhängt, aus dem die entgangene Marge entstanden ist. Eine Gesamtsumme von 7 520 Kč wäre nur gerechtfertigt, wenn das Unternehmen belegen könnte, dass es sich um voneinander unabhängige Auswirkungen handelt.
Die genannten Beträge sind kein allgemeingültiger Preis für eine Stunde IT-Ausfall. Sie gelten nur für die eingegebenen Werte. In einem anderen Unternehmen können der morgendliche Versand, der Termin für den Lohnabschluss oder die letzte Stunde zur Einreichung eines Angebots entscheidend sein.
Berechnen Sie indirekte Folgen anhand von Szenarien
Eine Beeinträchtigung der Kundenbeziehung oder des Unternehmensrufs lässt sich nicht zuverlässig mit einem einzigen universellen Prozentsatz bewerten. Erstellen Sie statt eines vermeintlich exakten Werts mehrere Szenarien.
Marge aus gefährdeten Aufträgen oder Geschäftsbeziehungen
× geschätzte Erhöhung der Wahrscheinlichkeit ihres VerlustsDenkbar sind beispielsweise:
- ein konservatives Szenario, in dem die Kunden den Ausfall nicht bemerken;
- ein Basisszenario, in dem ein Teil der Kunden warten oder die Kommunikation wiederholen muss;
- ein schwerwiegendes Szenario, in dem das Unternehmen eine Frist nicht einhält, wiederholt versagt oder einen Datenabfluss bewältigen muss.
Wenn Ihnen für die Wahrscheinlichkeit keine eigenen Daten vorliegen, geben Sie eine Bandbreite und die zugrunde liegenden Annahmen an. Stellen Sie eine Schätzung des Reputationsschadens nicht als exakt gemessenen Verlust dar.
Ermitteln Sie Abhängigkeiten, die mehrere Systeme lahmlegen
Das höchste Risiko geht häufig nicht vom teuersten Gerät aus, sondern von einem Dienst, von dem mehrere andere Unternehmensbereiche abhängen.
Anmeldung und Identitätsverwaltung
Eine nicht verfügbare Anmeldung oder eine fehlerhaft eingerichtete Mehrfaktor-Authentifizierung kann Beschäftigten gleichzeitig den Zugang zu E-Mails, Dokumenten und Unternehmensanwendungen versperren. Das Unternehmen benötigt Notfall-Administratorkonten, sicher hinterlegte Wiederherstellungsdaten und ein Verfahren zur Überprüfung der Benutzeridentität.
Internet und Netzwerkkomponenten
Ein einziger Internetanschluss ohne Ausweichmöglichkeit kann Cloud-Anwendungen, Telefonie und Fernarbeit gleichzeitig zum Stillstand bringen. Die ersten Schritte fasst die Notfall-Checkliste bei einem Ausfall des Unternehmensinternets zusammen.
DNS und Unternehmensdomain
Ein DNS-Fehler oder ein Problem beim Registrar kann gleichzeitig die Website, E-Mails und die Authentifizierung bestimmter Dienste beeinträchtigen. Der Zugang zum Registrar sollte deshalb nicht ausschließlich in einem Postfach hinterlegt sein, das dieselbe Domain verwendet.
Gemeinsame Daten und Backups
Synchronisierung ist kein Backup. Das Löschen oder Verschlüsseln einer Datei kann sich auf weitere verbundene Geräte ausbreiten. Ein Backup hilft wiederum nicht, wenn der Administrator während eines Vorfalls keinen Zugriff darauf hat oder das Unternehmen die Wiederherstellung nie getestet hat. Ein praktisches Verfahren beschreibt der Test der Backup-Wiederherstellung und seine Dokumentation.
Ein einziger Administrator mit den erforderlichen Zugriffsrechten
Die Abwesenheit einer einzigen Person kann die Wiederherstellung stärker verzögern als der technische Defekt selbst. Kritische Zugangsdaten, Kontakte zu Lieferanten, Lizenzen und Verfahrensanweisungen müssen übergeben worden und auch für die Vertretung sicher zugänglich sein.
Was ein Unternehmenskalkulator enthalten sollte
Ein sinnvoller Kalkulator darf keinen „üblichen Preis eines Ausfalls“ voreingestellt haben. Er muss mit den Daten des konkreten Unternehmens arbeiten.
Zu den Eingaben gehören:
- die Anzahl der Personen in den einzelnen Teams;
- die Dauer eines vollständigen Ausfalls oder einer teilweisen Einschränkung;
- die vollständigen Arbeitskosten pro Stunde;
- der Produktivitätsrückgang jedes Teams;
- Umsatz und Marge des betroffenen Prozesses;
- der Anteil der Geschäfte, die sich später nicht zurückgewinnen lassen;
- externer Einsatz, Überstunden und Ersatzlösungen;
- Vertragsstrafen, Entschädigungen und unbrauchbar gewordenes Material;
- der Wert gefährdeter Kundenbeziehungen;
- eine untere und obere Schätzung der indirekten Auswirkungen.
Die Ausgabe sollte den finanziellen Verlust, den Wert der ungenutzten Arbeitskapazität und das Szenario der indirekten Folgen getrennt ausweisen. Bietet der Kalkulator eine Gesamtsumme an, muss er auf mögliche Überschneidungen hinweisen und die Addition nur bei nachweislich unabhängigen Positionen zulassen. Zugleich sollte er zeigen, welche Eingabewerte das Ergebnis am stärksten beeinflussen. Neben einer gewöhnlichen Störung sollten auch der Ausfall der Verbindung, die Nichtverfügbarkeit der Anmeldung, der Verlust eines Servers und ein Sicherheitsvorfall modelliert werden.
Den Zustand wichtiger Dienste kann ein Monitoring der IT-Infrastruktur überwachen. Ein Alarm benötigt jedoch einen konkreten Empfänger, ein Eskalationsverfahren und verifizierte Kontaktdaten einer Person, die eingreifen kann.
Machen Sie aus der Berechnung eine Entscheidung
Das jährliche Risiko lässt sich nicht ermitteln, indem die Kosten eines einzelnen Ausfalls einfach mit zwölf multipliziert werden. Verwenden Sie bei wiederkehrenden Ereignissen wie Internetausfällen die erwartete jährliche Häufigkeit:
Erwarteter jährlicher Verlust =
Summe (erwartete Anzahl der Ereignisse pro Jahr × durchschnittliche Auswirkung eines Ereignisses)Multiplizieren Sie die Wahrscheinlichkeit eines Szenarios nur dann mit seinen Auswirkungen, wenn dieses Szenario im betrachteten Zeitraum höchstens einmal eintreten kann:
Erwarteter jährlicher Verlust eines einmaligen Szenarios =
jährliche Wahrscheinlichkeit des Szenarios × Auswirkung des SzenariosAlternativ können Sie mit einer Wahrscheinlichkeit und einem Auswirkungswert arbeiten, der bereits die Gesamtwirkung aller Vorkommnisse im gesamten Jahr darstellt. Dies muss bei der Eingabe jedoch ausdrücklich angegeben werden. Bei wiederkehrenden Ereignissen darf die Wahrscheinlichkeit mindestens eines Vorkommnisses nicht einfach mit den Auswirkungen eines einzelnen Ereignisses multipliziert werden, da die Berechnung sonst weitere mögliche Vorkommnisse im Jahresverlauf außer Acht lässt.
Addieren Sie sich überschneidende Ereignisse nicht ohne Anpassung. Ein Internetausfall während eines Sicherheitsvorfalls kann Bestandteil eines einzigen Szenarios sein und nicht zwei unabhängige Verluste darstellen.
Vergleichen Sie anschließend den aktuellen Zustand mit einer konkreten Maßnahme:
- um wie viel eine Ersatzverbindung die Nichtverfügbarkeit verkürzt;
- wie schnell das Monitoring eine Störung erkennt;
- ob sich die Daten innerhalb der geforderten Zeit wiederherstellen lassen;
- wer den Vorfall außerhalb der Arbeitszeit übernimmt;
- ob Notfallkonten von der regulären Anmeldung getrennt sind;
- wie viel die Maßnahme im Verhältnis zur Senkung des erwarteten Verlusts kostet.
Berücksichtigen Sie bei einem Sicherheitsvorfall auch die Isolierung von Geräten, die Änderung von Zugriffsrechten und die Überprüfung des Angriffsausmaßes. Eine praktische Abfolge der Maßnahmen beschreibt der Plan für die ersten 24 Stunden eines Ransomware-Vorfalls.
Wenn Sie Abhängigkeiten, Wiederherstellungszeiten und Kosten einzelner Szenarien erfassen möchten, kann ITHOPE diese im Rahmen der Betreuung der Unternehmens-IT prüfen. Unterlagen und Umfang können Sie über eine unverbindliche Anfrage übermitteln.
Häufig gestellte Fragen
Wird das gesamte Gehalt der Beschäftigten als Verlust angerechnet?
Nicht automatisch. Das reguläre Gehalt ist in der Regel keine neue, durch den Vorfall verursachte finanzielle Ausgabe. Verwenden Sie zur Bewertung der ungenutzten Kapazität die vollständigen Arbeitskosten pro Stunde und multiplizieren Sie diese mit dem tatsächlichen Produktivitätsverlust. Weisen Sie diesen Wert separat aus und addieren Sie ihn nur dann zur entgangenen Marge, wenn beide Positionen voneinander unabhängige Auswirkungen erfassen.
Sollte das Unternehmen sämtliche Umsätze während des Ausfalls berücksichtigen?
Nein. Trennen Sie verspätete Bestellungen von Geschäften, die endgültig verloren sind. Berechnen Sie bei unwiederbringlich verlorenen Geschäften den Deckungsbeitrag und nicht automatisch den gesamten Umsatz.
Wie lässt sich eine Beeinträchtigung des Unternehmensrufs beziffern?
Erstellen Sie mehrere Szenarien, die auf dem Wert der gefährdeten Geschäftsbeziehungen und einer möglichen Änderung der Wahrscheinlichkeit ihres Verlusts beruhen. Geben Sie ohne eigene Daten eine Bandbreite und keinen scheinbar exakten Betrag an.
Was ist zu tun, wenn der Ausfall nur eine Abteilung betrifft?
Berechnen Sie jedes Team separat. Berücksichtigen Sie die Anzahl der Personen, die Dauer der Einschränkung, den tatsächlichen Produktivitätsrückgang und die Abhängigkeiten zu weiteren Prozessen.
Welche Kennzahl ist für das Risikomanagement am wichtigsten?
Überwachen Sie neben den finanziellen Auswirkungen auch die überprüfte Wiederherstellungszeit des kritischsten Prozesses. Erst ein praktischer Test zeigt, ob Backups, Zugriffsrechte, Dokumentation und Verantwortlichkeiten auch bei einem tatsächlichen Ausfall funktionieren.
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).