Risikomanagement: Ohne welche Geräte steht euer Business still?

Risikomanagement entscheidet sich im Onlinehandel oft an einem Etikettendrucker für 300 Euro. Fällt er am Montagmorgen aus, verlässt kein Paket das Lager, während Shop, Marktplätze und Werbung weiter Bestellungen liefern. Denselben Stillstand lösen Diebstahl, Verlust oder eine Beschlagnahme durch die Steuerfahndung aus, nur trifft er dann oft alle Geräte zugleich. Ob sich ein Ersatzgerät im Regal lohnt, hängt von wenigen messbaren Größen ab: Ausfallkosten, tolerierbare Ausfallzeit und Wiederbeschaffungszeit. Ein Gerät, das der Elektronikmarkt um die Ecke binnen einer Stunde liefert, braucht in der Regel keine Reserve.

Risikomanagement: Ein 300-Euro-Gerät stoppt den Versand

Risikomanagement beginnt mit einer Inventur der Prozesse, erst danach folgt die der Geräte. Der BSI-Standard 200-4 zum Business Continuity Management nennt dieses Vorgehen Business-Impact-Analyse (BIA). Sie ermittelt, welche Geschäftsprozesse zeitkritisch sind und von welchen Ressourcen sie abhängen. Im Onlinehandel reicht dafür die Kette vom Auftragseingang über Kommissionierung, Verpackung und Versand bis zu Kundenservice und Buchhaltung. Für jeden Schritt lautet die Prüffrage: Welches Gerät muss laufen, damit dieser Schritt stattfindet?

Die Antwort führt zum Single Point of Failure (eine einzelne Komponente, deren Ausfall den gesamten Prozess unterbricht). Der Anschaffungspreis sagt darüber wenig aus. Typische Kandidaten sind der Router, der Etikettendrucker, der Barcodescanner am Packplatz, die Paketwaage und der einzige Rechner mit Warenwirtschaft. Ein teurer Zweitmonitor fehlt dagegen kaum, weil die Arbeit ohne ihn weiterläuft.

Die Inventur sollte außerdem drei Gruppen einschließen, die kein Regal im Lager füllen. Erstens das Smartphone mit der Authenticator-App (Zwei-Faktor-Anmeldung), ohne das der Zugang zu Marktplatz-, Bank- und Shopkonten gesperrt bleibt. Zweitens Netzteile und Spezialkabel, deren Defekt ein intaktes Gerät stilllegt. Drittens Verbrauchsmaterial wie Etikettenrollen, ohne das auch ein Ersatzdrucker nichts druckt.

Die Steuerfahndung nimmt auch das Ersatzgerät mit

Der technische Defekt ist nur eine von mehreren Ursachen, und er trifft meist ein einzelnes Gerät. Verlust betrifft vor allem mobile Geräte wie Laptop und Smartphone. Hier kommt zum Ausfall ein zweites Risiko hinzu, denn ohne Geräteverschlüsselung erhält ein Finder Zugriff auf Kundendaten und Konten. Enthält das Gerät personenbezogene Daten, kann der Verlust zudem eine Datenschutzverletzung sein, die der Händler nach Art. 33 DSGVO binnen 72 Stunden melden muss.

Einbruch, Brand und Wasserschaden wirken anders: Sie treffen alle Geräte eines Standorts gleichzeitig. Die Zuverlässigkeitstechnik spricht von Ausfällen gemeinsamer Ursache (Common Cause Failure). Das Ersatzgerät im selben Regal fällt dann mit aus, ebenso die Sicherungsfestplatte neben dem Server.

Dasselbe Muster zeigt die Durchsuchung. Ermittler dürfen Gegenstände als Beweismittel sicherstellen (§ 94 StPO ), und die Steuerfahndung hat dabei nach § 404 AO die Befugnisse der Polizei. Nehmen die Ermittler Rechner, Server, Smartphones und Datenträger mit, trifft das auch die Reserve im Regal. Bis zur Rückgabe können Wochen oder Monate vergehen. Eigenes Fehlverhalten setzt die Maßnahme nicht voraus: § 103 StPO erlaubt die Durchsuchung auch bei Dritten, etwa wenn sich das Verfahren gegen einen Lieferanten oder Kunden richtet.

Für die Bewertung folgt daraus eine zweite Achse: die Reichweite des Ereignisses. Einen Einzelausfall fängt Ersatz am Standort ab. Ein Standortausfall verlangt dagegen Vorsorge außerhalb des Standorts.

Sechs Größen entscheiden, was ins Regal gehört

Die erste Größe sind die Ausfallkosten je Zeiteinheit. Sie ergeben sich aus dem entgangenen Deckungsbeitrag (Umsatz minus variable Kosten) und den Folgekosten. Dazu zählen Lohn für wartendes Personal, Expresszuschläge und Sanktionen der Marktplätze. Amazon etwa verlangt bei Eigenversand eine Rate verspäteter Lieferungen unter 4 Prozent und behält sich andernfalls die Deaktivierung des Kontos vor.

Diese Kosten wachsen selten linear. Eine Stunde Stillstand am Vormittag holt ein Team meist bis zur Abholung durch den Paketdienst auf. Verpasst der Händler jedoch die Abholung, verschiebt sich der gesamte Tagesversand. Deshalb kommt die zweite Größe ins Spiel: die maximal tolerierbare Ausfallzeit (MTA), also die Zeitspanne, nach der der Schaden nicht mehr hinnehmbar ist. Für viele Versandhändler dürfte die letzte Abholung des Tages diese Grenze markieren.

Die dritte Größe ist die Wiederherstellungszeit. Sie umfasst mehr als den Einkauf, denn Beschaffung, Transport, Einrichtung und Test addieren sich. Ein Büro-PC steht in einer Stunde auf dem Tisch, arbeitsfähig ist er aber erst mit Warenwirtschaft, Druckertreibern und Zugangsdaten. Außerdem hängt die Beschaffung von Uhrzeit und Kalender ab. Ein Gerät, das werktags im Markt um die Ecke liegt, fehlt am Samstagabend bis Montag.

Viertens zählt die Ausfallwahrscheinlichkeit. Sie steigt mit Alter, mechanischer Belastung und Dauerbetrieb, weshalb Verschleißteile wie Thermodruckköpfe, Akkus und Lüfter früher ausfallen als passive Komponenten. Herstellerangaben wie die MTBF (Mean Time Between Failures, mittlere Betriebsdauer zwischen zwei Ausfällen) beschreiben allerdings große Stückzahlen. Für das einzelne Gerät im Lager liefern sie nur eine grobe Orientierung. Aussagekräftiger ist die eigene Störungshistorie.

Fünftens prüft der Händler die Ausweichlösung: Trägt ein anderes Gerät oder ein manueller Ablauf den Prozess mit geringerer Leistung? Ein Smartphone als Hotspot ersetzt den Router für Stunden, ein A4-Drucker mit Klebeetiketten den Thermodrucker. Sechstens stehen dem Nutzen die Vorhaltekosten gegenüber: Kaufpreis, gebundenes Kapital, Alterung und der Aufwand, das Ersatzgerät aktuell zu halten.

Was der Markt in einer Stunde liefert, braucht kein Regal

Für das Risikomanagement folgt aus den sechs Größen eine zweistufige Entscheidungsregel. Stufe eins vergleicht zwei Zeiten: Liegt die Wiederherstellungszeit unter der maximal tolerierbaren Ausfallzeit, braucht der Händler kein Ersatzgerät. Das gilt etwa für Monitore, Tastaturen, Büro-Laserdrucker oder USB-Handscanner, sofern ein Markt vor Ort sie führt und kein Einrichtungsaufwand entsteht. Hier genügt eine Notiz mit Modell, Bezugsquelle und Öffnungszeiten.

Überschreitet die Wiederherstellungszeit die tolerierbare Ausfallzeit, greift Stufe zwei, der Kostenvergleich. Der erwartete Schaden pro Jahr ergibt sich aus Ausfallwahrscheinlichkeit mal Ausfalldauer mal Ausfallkosten pro Tag. Liegt er über den jährlichen Vorhaltekosten, rechnet sich die Reserve.

Ein Rechenbeispiel mit angenommenen Werten: Ein Händler beziffert seine Ausfallkosten auf 1.000 Euro pro Versandtag. Der Etikettendrucker fällt mit einer geschätzten Wahrscheinlichkeit von 10 Prozent pro Jahr aus, die Ersatzlieferung dauert 1,5 Werktage. Der erwartete Schaden beträgt somit 0,1 × 1,5 × 1.000 = 150 Euro pro Jahr. Ein Ersatzdrucker für 300 Euro kostet bei fünf Jahren Nutzung 60 Euro pro Jahr. Die Reserve ist in diesem Fall um den Faktor 2,5 günstiger als das Risiko.

Die Rechnung reagiert allerdings empfindlich auf die Schätzwerte. Sinkt die Ausfallwahrscheinlichkeit auf 3 Prozent, liegt der erwartete Schaden bei 45 Euro und damit unter den Vorhaltekosten. Zudem bildet ein Erwartungswert keine Schäden ab, die die Existenz gefährden, etwa eine Kontosperrung auf dem umsatzstärksten Marktplatz. In solchen Fällen spricht die Schadenshöhe für eine Reserve, auch wenn der Erwartungswert dagegen steht.

Die dritte Zeile beschreibt eine Sonderlage. Beim Rechner begrenzt die Einrichtung die Wiederherstellung, die Hardware dagegen kaum. Ein Ersatzgerät im Regal löst dieses Problem nur, wenn es eingerichtet ist. Wirksamer sind daher eine geprüfte Datensicherung und ein Systemabbild (Image), das sich auf neue Hardware übertragen lässt.

Neue Hardware ohne Daten und Passwörter bleibt wertlos

Nach einem Standortausfall kauft der Händler Hardware in Stunden. Daten und Zugänge lassen sich dagegen nicht kaufen, deshalb bestimmen sie die Wiederherstellungszeit. Für Daten kennt der BSI-Standard eine eigene Größe: den maximal zulässigen Datenverlust (Recovery Point Objective, RPO), also den Zeitraum, dessen Daten verloren gehen dürfen. Ein Händler mit nächtlicher Sicherung akzeptiert damit den Verlust eines Arbeitstags.

Cloud-Speicherung verkürzt Wiederherstellungszeit und Datenverlust, weil Warenwirtschaft, Buchhaltung und Dokumente von jedem neuen Gerät aus erreichbar bleiben. Drei Einschränkungen gehören dazu. Erstens ersetzt Synchronisation keine Datensicherung, denn sie überträgt auch Löschungen und Verschlüsselung durch Schadsoftware. Nötig sind deshalb Versionierung oder ein getrenntes Backup. Zweitens verlangt die Auslagerung personenbezogener Daten einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO ). Drittens sichert die Cloud die Verfügbarkeit für den Betrieb, dem Zugriff der Ermittler entzieht sie die Daten jedoch nicht: § 110 Abs. 3 StPO erlaubt die Durchsicht räumlich getrennter Speicher, soweit sie vom durchsuchten Gerät aus erreichbar sind.

Der zweite Engpass sind die Zugänge. Liegt der Passwortmanager auf dem beschlagnahmten Rechner und die Authenticator-App auf dem beschlagnahmten Smartphone, bleibt auch das Cloud-Konto verschlossen. Deshalb gehören Master-Passwort, Wiederherstellungscodes der Zwei-Faktor-Anmeldung und eine Liste der kritischen Konten an einen zweiten Ort. Infrage kommen die Kanzlei des eigenen Anwalts, ein Notar oder ein Bankschließfach. Für die Kanzlei spricht ein praktischer Grund: Bei einer Durchsuchung ist der Anwalt ohnehin der erste Anruf.

Ein versiegelter Umschlag mit Datum genügt. Nach jeder Änderung von Passwörtern oder Zwei-Faktor-Geräten muss der Händler ihn allerdings erneuern, sonst führt der Umschlag im Ernstfall ins Leere. Außerdem sollte eine zweite Person wissen, wo die Unterlagen liegen und wer sie herausgeben darf.

Ein ungetestetes Ersatzgerät ist nur eine Hoffnung

Das Regal ist dabei nur eine von mehreren Formen der Vorsorge. Redundanz im laufenden Betrieb leistet oft mehr: Zwei Packplätze mit je einem Drucker halbieren bei einem Ausfall den Durchsatz, der Versand läuft jedoch weiter. Zudem beweist das zweite Gerät täglich seine Funktion. Einheitliche Modelle senken den Bedarf zusätzlich, weil ein Ersatzgerät dann mehrere Arbeitsplätze absichert. Serviceverträge mit Austausch am nächsten Werktag helfen dagegen nur, wenn die tolerierbare Ausfallzeit über einem Tag liegt.

Für die Reserve selbst gilt die Unterscheidung zwischen kalter und warmer Vorhaltung. Die kalte Reserve liegt originalverpackt im Regal, die warme ist eingerichtet, mit Treibern versehen und erprobt. Zwischen beiden liegen im Ernstfall Stunden. Außerdem altert auch ungenutzte Technik: Akkus verlieren Kapazität, Firmware veraltet, Etikettenformate ändern sich. Ein fester Testtermin pro Halbjahr hält die Reserve einsatzfähig.

Die Bewertung selbst hat ebenfalls ein Verfallsdatum. Ein neuer Versanddienstleister, ein Umzug oder ein zusätzlicher Marktplatz verschieben Ausfallkosten und tolerierbare Ausfallzeit. Im Weihnachtsgeschäft schrumpft die tolerierbare Ausfallzeit, während die Beschaffung unsicherer wird. Eine jährliche Prüfung vor dem vierten Quartal liegt daher nahe.

Am Ende steht eine Liste mit wenigen Spalten: Gerät, Ausfallkosten, tolerierbare Ausfallzeit, Wiederherstellungszeit, Maßnahme. Wer diese Rechnung nicht vor dem Ausfall aufstellt, bekommt sie danach präsentiert.