Was kostet ein Ausfall Ihr Unternehmen wirklich, und wie berechnen Sie das?

Was kostet eine Stunde Ausfall?

Für die meisten mittelgroßen und großen Organisationen kostet eine Stunde Ausfall zehntausende bis hunderttausende Euro. Entscheidend ist Ihre eigene Zahl. Sie berechnen sie mit dem folgenden Modell und der Anleitung auf unserer Seite zu Disaster Recovery.

Ein Montagmorgen: Ihr ERP-System und Ihre Fileserver sind verschlüsselt, 120 Mitarbeitende können nicht arbeiten, Aufträge stehen still. Alle stellen dieselbe Frage: Wann läuft wieder alles? Die Antwort bestimmt die Rechnung.

Veröffentlichte Richtwerte geben Ihnen eine Größenordnung:

• Laut der ITIC-Umfrage 2024 zu den stündlichen Ausfallkosten unter mehr als 1.000 Unternehmen übersteigen die Ausfallkosten pro Stunde bei 90 % der Unternehmen 300.000 US-Dollar. 41 % der Großunternehmen beziffern sie auf 1 Million bis über 5 Millionen US-Dollar pro Stunde. ITIC ergänzt, dass stündliche Kosten von 25.000 bis 75.000 US-Dollar für ein kleines Unternehmen existenzbedrohend sein können.
• Splunk und Oxford Economics (2024) schätzen, dass Ausfälle die Global-2000-Unternehmen 400 Milliarden US-Dollar im Jahr kosten, etwa 200 Millionen US-Dollar pro Unternehmen oder rund 9 % der Gewinne. 56 % der Ausfallzeiten führen sie auf Cybersicherheitsvorfälle zurück.
• In der Ausfallanalyse 2026 des Uptime Institute gaben 57 % der Befragten an, ihr letzter großer Ausfall habe mehr als 100.000 US-Dollar gekostet. Jeder Fünfte nannte Kosten über 1 Million US-Dollar.

Das sind Umfrageergebnisse, überwiegend von Großunternehmen, angegeben in US-Dollar. Nutzen Sie sie, um zu prüfen, ob Ihre eigene Zahl plausibel ist, nicht als Ersatz dafür.

Was gehört in die Berechnung der Ausfallkosten?

Eine belastbare Berechnung hat drei Ebenen: direkter Umsatzverlust, Lohnkosten für untätige Mitarbeitende und indirekte Kosten. Die meisten Organisationen zählen nur die erste und unterschätzen die Gesamtsumme.

Zwei Begriffe treiben das Modell. Der RTO (Recovery Time Objective) ist die maximale Ausfallzeit eines Systems: Er multipliziert die Ebenen 1, 2 und 3a. Der RPO (Recovery Point Objective) ist der maximale Datenverlust, also wie viel Arbeit Sie verlieren dürfen: Er bestimmt die Nacharbeit in Ebene 3b. Beide erklären wir ausführlicher in RTO und RPO erklärt.

Die langfristigen Folgekosten sind am schwersten zu schätzen und nach einem Ransomware-Angriff oft die größte Ebene. Splunk und Oxford Economics nennen behördliche Bußgelder als zweitgrößte direkte Kostenart bei Ausfällen, nach dem entgangenen Umsatz. Außerdem berichten sie, dass sich das Ansehen der Marke nach einem Vorfall erst nach rund 60 Tagen erholte.

Wie berechnen Sie Ihre eigenen Ausfallkosten?

Gehen Sie gemeinsam mit der Finanzabteilung und der IT fünf Schritte durch und rechnen Sie dann drei Ausfallszenarien durch. Das Rechenbeispiel unten nutzt Beispielwerte für ein Unternehmen mit 150 Mitarbeitenden. Ersetzen Sie sie durch Ihre eigenen.

1. Holen Sie die Stundenwerte von der Finanzabteilung. Der Jahresumsatz geteilt durch die Geschäftsstunden ergibt den Umsatz pro Stunde. Fragen Sie, welcher Anteil endgültig verloren ginge und nicht später nachgeholt wird.
2. Listen Sie kritische Systeme auf und wer von ihnen abhängt. ERP, E-Mail, Dateiablagen, Fachanwendungen. Zählen Sie die Personen, die nicht mehr arbeiten können, wenn das jeweilige System ausfällt.
3. Nutzen Sie getestete Wiederherstellungszeiten. Nehmen Sie RTO und RPO aus Ihrem letzten Wiederherstellungstest, nicht aus der Richtlinie. Haben Sie noch nie eine vollständige Wiederherstellung getestet, rechnen Sie mit dem langsamen Szenario.
4. Rechnen Sie drei Szenarien durch. Ein kurzer Ausfall (4 Stunden), ein schwerer (24 Geschäftsstunden) und einer in der Größenordnung eines Ransomware-Angriffs (72 Geschäftsstunden oder mehr).
5. Addieren Sie die langfristigen Folgekosten und das regulatorische Risiko. Vertragsstrafen, Kosten für Meldungen und Rechtsberatung sowie die Pflichten aus NIS2 und DSGVO, die weiter unten beschrieben sind.

Rechenbeispiel (Beispielwerte)

Annahmen: 24 Millionen € Jahresumsatz bei 2.000 Geschäftsstunden (12.000 € pro Stunde), davon gehen 40 % verloren statt nur verschoben zu werden, 120 betroffene Mitarbeitende mit Vollkosten von 50 € pro Stunde bei 70 % Produktivitätsverlust und 1.000 € pro Stunde Wiederherstellungskosten. Daraus ergeben sich direkte Kosten von rund 10.000 € pro Geschäftsstunde.

Die Nacharbeit berechnet sich als Mitarbeitende × Stunden verlorener Arbeit × 50 € × 50 %, unter der Annahme, dass die Hälfte der verlorenen Arbeit neu erledigt werden muss. Die Folgekosten kommen obendrauf: Ein verlorener Kunde, eine SLA-Strafe oder die Anfrage einer Aufsichtsbehörde kann die direkten Kosten übersteigen.

Warum ist die Wiederherstellungszeit der größte Hebel?

Weil die Wiederherstellungszeit jede Stundenkostenposition multipliziert. Im Beispiel senkt der Wechsel von 72 auf 4 Stunden die Kosten des Vorfalls um mehr als 90 %. Keine andere Variable im Modell bewegt die Summe so stark.

Bei Ransomware gerät die Wiederherstellungszeit außer Kontrolle, weil Angreifer zuerst die Backups angreifen. Laut Sophos versuchten die Angreifer in 94 % der Ransomware-Angriffe der Studie von 2024, die Backups zu kompromittieren. Gelang das, lagen die mittleren Wiederherstellungskosten achtmal so hoch (3 Millionen gegenüber 375.000 US-Dollar), und nur 26 % der Betroffenen hatten innerhalb einer Woche alles vollständig wiederhergestellt, gegenüber 46 % bei intakten Backups. So steht es in der Sophos-Analyse zu kompromittierten Backups.

Die Sophos-Studie State of Ransomware 2026 beziffert die durchschnittlichen Wiederherstellungskosten ohne ein eventuelles Lösegeld auf 1,7 Millionen US-Dollar. Der IBM Cost of a Data Breach Report 2025 nennt für eine Datenpanne weltweit durchschnittlich 4,44 Millionen US-Dollar.

Um die Wiederherstellungszeit im Griff zu behalten, brauchen Sie vor einem Vorfall drei Dinge:

• Backups, die Angreifer nicht verändern können. Unveränderliche Kopien und eine Air-Gap-Kopie, also eine Kopie ohne Verbindung zu Ihrem Netzwerk, nach der 3-2-1-1-0-Regel.
• Ein sauberer Ort für die Wiederherstellung. Eine isolierte Wiederherstellungsumgebung, damit Sie nicht auf infizierter Infrastruktur wiederherstellen.
• Der Nachweis, dass es funktioniert. Regelmäßige Wiederherstellungstests, die echte Wiederherstellungszeiten messen. Unser Ratgeber, woran Sie erkennen, ob Ihr Backup wirklich funktioniert, beschreibt die Kennzahlen.

Wie lange die einzelnen Phasen nach einem Angriff tatsächlich dauern, zeigt unsere Zeitleiste der Wiederherstellung nach Ransomware.

Was kostet ein Ausfall unter NIS2 und DSGVO?

Für Organisationen im Anwendungsbereich der NIS2-Richtlinie ist eine mangelhafte Wiederherstellung nicht nur ein geschäftlicher Verlust, sondern auch ein Compliance-Problem. Die DSGVO gilt für fast jede Organisation, die personenbezogene Daten verarbeitet.

• Art. 21 Abs. 2 lit. c NIS2-Richtlinie der Richtlinie (EU) 2022/2555 verlangt als Teil Ihrer Risikomanagementmaßnahmen „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“.
• Art. 34 NIS2-Richtlinie legt Höchstbußgelder von mindestens 10 Millionen € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen fest, für wichtige Einrichtungen von mindestens 7 Millionen € oder 1,4 %, je nachdem, welcher Betrag höher ist.
• Art. 20 NIS2-Richtlinie verpflichtet die Leitungsorgane, diese Maßnahmen zu billigen und zu überwachen. Bei Versäumnissen können sie haftbar gemacht werden.
• Art. 23 NIS2-Richtlinie verlangt bei einem erheblichen Sicherheitsvorfall eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
• Art. 32 Abs. 1 lit. c DSGVO der Verordnung (EU) 2016/679 verlangt „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“. Art. 32 Abs. 1 lit. d verlangt, diese Maßnahmen regelmäßig zu überprüfen.

In Deutschland gilt seit dem 6. Dezember 2025 das NIS2UmsuCG. Es ändert das BSI-Gesetz (BSIG), Aufsichtsbehörde ist das BSI. Die Risikomanagementmaßnahmen für besonders wichtige und wichtige Einrichtungen stehen in § 30 BSIG. In den Niederlanden setzt die Cyberbeveiligingswet die Richtlinie um, sie ist seit dem 15. August 2026 in Kraft. Was die Maßnahmen nach Art. 21 in der Praxis bedeuten, lesen Sie in unserer Übersicht der Maßnahmen nach Art. 21.

Nehmen Sie die regulatorische Ebene als eigene Zeile in Ihr Modell auf. Bußgelder sind ein Höchstmaß, keine Prognose. Aber Nachfragen der Aufsicht, Rechtsberatung und der Aufwand für Meldungen kosten nach jedem erheblichen Vorfall tatsächlich Geld.

Wie präsentieren Sie die Ausfallkosten Ihrem CFO oder der Geschäftsleitung?

Stellen Sie sie als erwarteten Jahresverlust pro Szenario dar, im Vergleich zu den Kosten einer kürzeren Wiederherstellungszeit. Die Geschäftsleitung entscheidet über Abwägungen, also geben Sie ihr eine.

1. Zeigen Sie die drei Szenarien nebeneinander, jeweils mit den Kosten bei Ihrem aktuellen, getesteten RTO.
2. Ergänzen Sie pro Szenario eine Eintrittswahrscheinlichkeit aus Ihrem eigenen Risikoregister und multiplizieren Sie sie mit den Kosten. So erhalten Sie den erwarteten Jahresverlust.
3. Zeigen Sie dieselben Szenarien mit einem kürzeren RTO, zum Beispiel mit einer Standby-Infrastruktur für Disaster Recovery.
4. Vergleichen Sie die Verringerung des erwarteten Verlusts mit den jährlichen Kosten der Maßnahmen, die sie bewirken.
5. Legen Sie den Nachweis bei: Datum und Ergebnis Ihres letzten Wiederherstellungstests und welche Systeme dabei enthalten waren.

Der letzte Punkt wird jedes Jahr wichtiger. Nach Art. 20 NIS2-Richtlinie muss die Geschäftsleitung diese Maßnahmen billigen und kann haftbar gemacht werden. Ein Modell auf ungetesteten Annahmen gefährdet deshalb auch sie. Ändern Sie die Frage: nicht „Was würde uns eine Stunde kosten?“, sondern „Könnten wir belegen, dass wir innerhalb der zugesagten Zeit wiederherstellen?“

Ihre nächsten Schritte

Die Ausfallkosten können Sie noch diese Woche berechnen: Stundenverlust mal Wiederherstellungszeit, plus langfristige Folgekosten. Die Wiederherstellungszeit steuern Sie selbst. Und nur eine getestete Wiederherstellung liefert eine Zahl, die Sie vor einem CFO, einem Prüfer oder einem Versicherer vertreten können.

Bei Mindtime werden kritische Workloads mit einem 4-Stunden-SLA wiederhergestellt. Backups sind unveränderlich, dazu gibt es eine Air-Gap-Kopie, und VMs starten sofort in einer isolierten Wiederherstellungsumgebung in einem getrennten, sauberen Netzwerk. Unser Disaster-Recovery-Service ergänzt das um eine Standby-Infrastruktur: Ein zertifizierter Engineer validiert den ersten Test-Failover, in der Regel innerhalb von 10 Tagen, und automatisierte DR-Tests laufen jedes Quartal, mit Nachweisen für Ihre Prüfer. Ihre Daten bleiben in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden.

Möchten Sie sehen, wie Ihre Wiederherstellungszeit aussähe? Vereinbaren Sie eine kostenlose 15-minütige Demo und bringen Sie Ihren aktuellen RTO mit.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.