Montagmorgen, 8:12 Uhr: Die Warenwirtschaft ist nicht erreichbar, E-Mails kommen nicht an, die Telefonie läuft nur eingeschränkt. Im Betrieb steht nicht einfach ein Server still. Aufträge bleiben liegen, Mitarbeitende warten, Kunden rufen erneut an. Die Frage Was kostet IT-Ausfall? lässt sich deshalb nicht mit einer einzigen Pauschale beantworten. Für mittelständische Unternehmen besteht der Schaden aus verlorener Arbeitszeit, unterbrochenen Prozessen, Umsatzverlusten, Wiederherstellungskosten und einem Vertrauensverlust, der häufig erst später sichtbar wird.
Ein Ausfall muss dabei kein spektakulärer Hackerangriff sein. Eine fehlgeschlagene Aktualisierung, ein defekter Switch, eine abgelaufene Lizenz, ein Stromproblem oder eine falsch konfigurierte Cloud-Anwendung reichen aus. Entscheidend ist, wie abhängig Ihr Tagesgeschäft von IT und Erreichbarkeit ist – und wie schnell Sie wieder arbeitsfähig sind.
Was kostet ein IT-Ausfall pro Stunde?
Die ehrliche Antwort lautet: Es kommt auf den Prozess an. Fällt in einer Kanzlei das Dokumentenmanagement aus, kann die Arbeit zwar eingeschränkt weitergehen, Fristen und Mandantenkommunikation geraten aber unter Druck. Ist in einem Großhandel Warenwirtschaft, Lagerzugriff und Telefonie betroffen, kann schon eine Stunde Lieferungen, Verkauf und Disposition blockieren. Für eine Praxis sind ausgefallene Terminverwaltung, Kartenzahlung und Patientenkommunikation besonders kritisch.
Eine praxistaugliche Rechnung beginnt daher nicht bei der Hardware, sondern bei den Menschen und Abläufen. Rechnen Sie für jede betroffene Stunde mit vier Kostenblöcken:
- Personalkosten für Mitarbeitende, die nicht oder nur eingeschränkt arbeiten können
- entgangener Deckungsbeitrag aus Aufträgen, Verkäufen oder abrechenbaren Leistungen
- Zusatzaufwand für Improvisation, Nacharbeit, externe Hilfe und Kommunikation
- Folgekosten durch Verzögerungen, Vertragsrisiken, Kundenabwanderung oder Datenschutzvorfälle
Ein vereinfachtes Beispiel: In einem SHK-Betrieb sind bei einem Ausfall 18 Mitarbeitende im Büro, in der Disposition und im Kundendienst beeinträchtigt. Rechnet man vorsichtig mit 45 Euro Vollkosten pro Stunde und Person, entstehen allein 810 Euro je Stunde unproduktive Zeit. Kommen 1.500 Euro entgangener Deckungsbeitrag aus nicht disponierten Einsätzen und 400 Euro für Nacharbeit hinzu, liegt der direkte Schaden bei rund 2.700 Euro pro Stunde. Nach vier Stunden sind das 10.800 Euro – ohne Reputationsschaden und ohne die eigentliche technische Behebung.
Diese Rechnung ist bewusst vereinfacht. Nicht jede Person ist vollständig blockiert, manche Aufgaben lassen sich vorziehen. Umgekehrt sind zentrale Systeme oft für deutlich mehr Bereiche relevant, als zunächst angenommen wird. Genau deshalb ist eine belastbare Ausfallkostenanalyse wertvoll: Sie ersetzt Bauchgefühl durch klare Prioritäten.
Die versteckten Kosten von IT-Ausfällen
Der sichtbare Stillstand ist meist nur der Anfang. Besonders teuer werden Ausfälle dort, wo sich Rückstände aufbauen. Ein nicht bearbeiteter Auftrag wird später mit Rückfragen, Korrekturen und zusätzlicher Abstimmung abgearbeitet. Ein Kunde, der niemanden erreicht, ruft nicht immer wieder an – er fragt möglicherweise beim Wettbewerber nach.
Auch die Wiederherstellung wird häufig unterschätzt. Ein funktionierendes Backup allein bedeutet noch nicht, dass Systeme schnell zurück sind. Entscheidend sind Fragen wie: Ist das Backup vollständig? Wurde eine Rücksicherung getestet? Welche Anwendungen müssen in welcher Reihenfolge laufen? Sind Zugangsdaten, Konfigurationen und Ansprechpartner dokumentiert? Wer entscheidet außerhalb der regulären Arbeitszeit?
Bei Cyberangriffen kommen weitere Risiken hinzu. Laut Bitkom belief sich der durch Diebstahl, Spionage und Sabotage verursachte Gesamtschaden für die deutsche Wirtschaft in der Studie 2024 auf 178,6 Milliarden Euro pro Jahr. Diese Zahl beschreibt nicht den einzelnen Mittelständler, zeigt aber die Größenordnung der Bedrohung. Das BSI weist in seinem Lagebericht regelmäßig darauf hin, dass Ransomware, kompromittierte Zugänge und Schwachstellen weiterhin zu den zentralen Risiken zählen. ENISA bewertet Ransomware ebenfalls als eine der prägendsten Bedrohungen für Organisationen in Europa.
Wenn Daten betroffen sind: Ausfall wird zur Meldepflicht
Nicht jeder IT-Ausfall ist automatisch ein Datenschutzvorfall. Werden jedoch personenbezogene Daten unbefugt offengelegt, verändert, gelöscht oder sind sie dauerhaft nicht verfügbar, kann die DSGVO relevant werden. Artikel 33 DSGVO verlangt unter bestimmten Voraussetzungen eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden, nachdem ein Verantwortlicher Kenntnis erlangt hat.
Für Geschäftsführer bedeutet das: In einer Störung muss nicht nur Technik repariert werden. Es müssen Fakten gesichert, Auswirkungen bewertet, Entscheidungen dokumentiert und gegebenenfalls Betroffene informiert werden. Ohne klare Zuständigkeiten kostet diese Phase wertvolle Zeit und erhöht den Druck auf das Team.
Ein professioneller Notfallprozess trennt daher zwei Fragen sauber: Wie stellen wir den Betrieb wieder her? Und welche rechtlichen sowie kommunikativen Schritte sind erforderlich? Beide Themen gehören vorbereitet, nicht erst am Tag des Ausfalls diskutiert.
Praxisfall: Ein kleiner Fehler mit großer Wirkung
Ein anonymisierter Praxisfall aus dem betreuten Mittelstand zeigt, wie schnell sich Kosten aufbauen können. Bei einem Handelsunternehmen führte eine Änderung an der Internetanbindung dazu, dass die Cloud-Telefonie und der Zugriff auf zentrale Anwendungen zeitweise nicht zuverlässig funktionierten. Die Lagerarbeit lief weiter, doch Vertrieb, Disposition und Kundenservice waren über mehrere Stunden stark eingeschränkt.
Die direkte technische Ursache war überschaubar. Der betriebliche Effekt war es nicht: Aufträge mussten manuell notiert, Rückrufe organisiert und Liefertermine nachgehalten werden. Nach der Entstörung folgten zwei Tage Nacharbeit. In der anschließenden Analyse wurden die Abhängigkeiten dokumentiert, eine alternative Anbindungsstrategie eingeführt, das Monitoring erweitert und ein klarer Eskalationsweg festgelegt.
Die wichtigste Erkenntnis: Redundanz ist kein Selbstzweck. Für eine einfache Arbeitsplatzanwendung wäre eine zweite Leitung möglicherweise wirtschaftlich nicht sinnvoll. Für eine zentrale Telefonie, einen cloudbasierten Vertrieb oder die Disposition kann sie sich schon nach einem vermiedenen längeren Ausfall rechnen.
So berechnen Sie Ihr eigenes Ausfallrisiko
Beginnen Sie mit den drei bis fünf Geschäftsprozessen, die Ihren Betrieb unmittelbar tragen: etwa Auftragsannahme, Telefonie, Warenwirtschaft, Terminplanung, Produktion oder Zugriff auf Kundenakten. Fragen Sie pro Prozess, wie lange er ausfallen darf, bevor spürbarer Schaden entsteht. Diese Zeit wird in der IT als maximale tolerierbare Ausfallzeit betrachtet.
Ermitteln Sie anschließend, wie viele Personen betroffen wären, welchen durchschnittlichen Wert eine Arbeitsstunde hat und welche Umsätze oder Deckungsbeiträge in dieser Zeit gefährdet sind. Ergänzen Sie einen realistischen Zuschlag für Nacharbeit. Bei kundenkritischen Prozessen sollten Sie außerdem bewerten, was fehlende Erreichbarkeit bedeutet. Eine Stunde ohne Telefonanlage kann je nach Branche gravierender sein als ein halber Tag ohne einen einzelnen Büroarbeitsplatz.
Das Ergebnis muss nicht auf den Euro genau sein. Es soll eine unternehmerische Entscheidung ermöglichen: Wo lohnt sich Monitoring? Welche Systeme benötigen getestete Backups? Wo sind Ersatzgeräte, eine zweite Internetanbindung oder klar definierte Wiederanlaufpläne sinnvoll? Und welche Risiken werden bewusst akzeptiert?
Ausfallkosten senken, bevor etwas passiert
Die wirksamste Maßnahme ist selten ein einzelnes Produkt. Verlässlichkeit entsteht aus dem Zusammenspiel von aktueller Infrastruktur, Rechteverwaltung, Sicherheitsupdates, Backup-Konzept, Monitoring und erreichbaren Ansprechpartnern. Wer nur reagiert, wenn etwas kaputt ist, arbeitet unter Zeitdruck und kennt die Vorgeschichte oft nicht. Wer Systeme laufend betreut, erkennt Warnzeichen früher und kann Störungen häufig begrenzen, bevor sie das ganze Unternehmen treffen.
Für mittelständische Unternehmen im Bergischen Land und im Ruhrgebiet ist dabei persönliche Verantwortung besonders wertvoll. Es hilft wenig, im Ernstfall eine anonyme Hotline zu erreichen, die erst verstehen muss, wie Ihr Betrieb arbeitet. Ein fester IT-Partner kennt Prioritäten, Abhängigkeiten und Ansprechpartner – und kann zielgerichtet handeln. InnovaCOM richtet Betreuung genau darauf aus: IT und Kommunikation sollen nicht zusätzliche Abstimmung erzeugen, sondern den Arbeitsalltag absichern.
Die entscheidende Frage ist deshalb nicht, ob ein Ausfall jemals passiert. Technik, Menschen und externe Dienste bleiben fehleranfällig. Entscheidend ist, ob Ihr Unternehmen weiß, was eine Stunde Stillstand kostet, welche Prozesse zuerst zurück sein müssen und wer Verantwortung übernimmt, damit Sie auch dann den Kopf frei haben.