Inhalt in Kürze
- Eine Stunde IT-Ausfall kostet ein KMU mit 30 Mitarbeitenden im Schnitt 20.000 bis 30.000 Euro — die meisten unterschätzen das deutlich
- 80 Prozent der angezeigten Cyberangriffe richten sich gegen KMU (BSI-Lagebericht 2025) — kleine Unternehmen sind das Hauptziel, nicht Großkonzerne
- Versteckte Kosten (Vertrauensverlust, Aufholarbeit, Mehrarbeit) sind typischerweise höher als die direkten Stillstandskosten
- 90 Prozent aller Ausfälle wären mit sechs Standardmaßnahmen vermeidbar: Backup, MFA, EDR, USV, Failover, Notfallplan
- Wer keinen Notfallplan hat, braucht 2-5 Tage statt 2-8 Stunden, um wieder produktiv zu sein
„Bei uns wird schon nichts passieren.” Diesen Satz hören wir in Hamburger Erstgesprächen jede Woche. Sechs Monate später sitzt derselbe Geschäftsführer in unserem Büro und fragt, wie er zwei Wochen Datenverlust aufholen soll.
IT-Ausfälle sind 2026 keine Frage des „ob”, sondern des „wann” — und wie schnell Sie wieder arbeiten können. Dieser Artikel zeigt, was ein Ausfall in einem kleinen Unternehmen wirklich kostet, wo die versteckten Posten lauern und wie Sie das Risiko ehrlich kalkulieren.
Was ein IT-Ausfall pro Stunde wirklich kostet
Die einfache Rechnung sieht so aus:
| Posten | Beispiel: KMU mit 30 Mitarbeitenden |
|---|---|
| Personalkosten Stillstand | 30 × 35 €/h × 1,3 = 1.365 € |
| Entgangener Tagesumsatz / 8 | 200.000 € / 8 = 25.000 € |
| Direkte Kosten pro Stunde | ~26.000 € |
| + Aufholarbeit (Mehrarbeit) | 1.365 × 1,5 = 2.000 € |
| + Vertrauensverlust / Folgeaufträge | nicht kalkulierbar |
| Realistische Gesamtkosten/h | 30.000 €+ |
Das wirkt hoch — bis Sie den ersten echten Ausfall hatten. Bei einer Hamburger Spedition haben wir 14 Stunden Stillstand erlebt: 380.000 Euro direkte Kosten plus zwei verlorene Großkunden in den Wochen danach.
Laut BSI-Lagebericht 2025 richten sich rund 80 Prozent der angezeigten Cyberangriffe gegen kleine und mittlere Unternehmen. KMU sind das Hauptziel — nicht trotz, sondern wegen ihrer schlechteren Verteidigung.
Die versteckten Kosten — was niemand kalkuliert
Direkte Stillstandskosten sind nur die halbe Wahrheit. Die echten Schmerzen kommen oft erst nach dem Ausfall.
Aufholarbeit. Was während des Ausfalls liegen bleibt, muss danach abgearbeitet werden. Mit Überstunden, Wochenendarbeit, schlechter Stimmung. In unseren Erfahrungen verlängert das die effektiven Ausfallkosten um Faktor 1,5 bis 2.
Vertrauensverlust bei Kunden. Kunden merken, wenn ihre Aufträge plötzlich verschwinden, Anrufe nicht angenommen werden, E-Mails unbeantwortet bleiben. Beim nächsten Lieferanten-Vergleich denken sie an genau diesen Vorfall.
Reputationsschäden. Bei größeren Vorfällen (Datenschutzverletzung, Ransomware) sind Sie meldepflichtig — gegenüber Kunden, Datenschutzbehörde und teilweise BSI. Diese Meldungen haben einen Preis.
Bußgelder. DSGVO-Verstöße bei Datenverlust kosten bis zu 4 Prozent des Jahresumsatzes. Bei einem KMU mit 5 Mio. Euro Umsatz sind das bis zu 200.000 Euro — zusätzlich zu allem anderen.
Die direkten Kosten eines IT-Ausfalls sind das, was die Geschäftsführung sieht. Die indirekten Kosten — verlorene Kunden, abgewanderte Mitarbeitende, kaputte Reputation — kosten oft das Doppelte. Aber sie tauchen nie in der Excel-Tabelle der IT-Investitionen auf.
Die häufigsten Ursachen — was wir 2026 in Hamburg sehen
Wenn wir bei einem Hamburger KMU im Notfall anrücken, ist die Ursache fast immer eine von sechs:
- Ransomware (~35 % der Fälle). Verschlüsselte Dateien, Erpressung. Meist über Phishing-Mail oder ungepatchte Firewall reingekommen. Wenn das Backup nicht sauber ist, wird es teuer.
- Hardware-Defekt ohne Redundanz (~25 %). Server-Festplatte stirbt, kein RAID, kein zweiter Server, kein aktuelles Backup. Klassiker.
- Internet-Ausfall (~15 %). Hauptanschluss fällt aus, kein LTE-Failover, kein Cloud-Telefon mit Mobile-Backup. Stillstand bis der Provider reagiert.
- Stromausfall (~10 %). USV fehlt oder Akku ist ungewartet. Server fährt unsanft runter, Datenbank korrupt.
- Bedienfehler (~10 %). „Ich habe doch nur den Ordner verschoben." Klassischer Mehrere-GB-Verschiebe-Unfall.
- Update-Pannen (~5 %). Windows-Update legt einen Treiber lahm, alle PCs starten nicht mehr.
Was alle sechs Ursachen gemeinsam haben: Sie sind mit Standard-Maßnahmen vermeidbar. Genau das ist Ihr Hebel.
So senken Sie das Risiko — die sechs Standardmaßnahmen
In unseren Managed IT-Services Hamburg und im Co-Managed IT-Modell sind diese sechs Punkte Pflichtinhalt. Sie kosten zusammen weniger als ein einziger Ausfalltag — und vermeiden 90 Prozent aller typischen Ausfälle:
- Tägliches Backup mit Restore-Test. 3-2-1-Regel: drei Kopien, zwei Medien, eine extern. Monatlicher Probe-Restore — sonst wissen Sie erst im Ernstfall, ob das Backup funktioniert. Mehr dazu in unserem Artikel Backup testen.
- MFA für alle externen Zugänge. Microsoft 365, VPN, Remote-Desktop. Kostet nichts, dauert 5 Minuten Setup pro Mitarbeitender, verhindert 99 Prozent der Account-Übernahmen.
- EDR auf allen Endgeräten. Endpoint Detection & Response erkennt Ransomware in Sekunden, nicht in Stunden. Klassische Antivirus-Software reicht 2026 nicht mehr.
- USV für Server und Netzwerk. Pufferzeit bei Stromausfall, kontrolliertes Herunterfahren. Akkus regelmäßig tauschen.
- Internet-Failover. LTE/5G-Backup für den Notfall — moderne Router schalten automatisch um.
- Notfallplan. Schriftlich, getestet, in mindestens zwei Versionen (digital + Papier).
Wir sehen es jede Woche: Backups, die seit Monaten nicht geprüft wurden. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist. Deshalb testen wir Backups regelmäßig. Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung — sondern eine Hoffnung.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Praxisbeispiel: 14 Stunden vs. 14 Minuten
Zwei Hamburger Logistik-KMU, gleiche Größe, gleiche Branche, gleicher Vorfall: Ransomware-Befall durch Phishing-Mail an die Buchhaltung.
KMU A (kein Managed IT):
- 4 Stunden bis der Befall überhaupt entdeckt wurde
- 6 Stunden bis ein externer Dienstleister verfügbar war
- 4 Stunden Diagnose und Wiederherstellungsversuche
- Ergebnis: 14 Stunden Stillstand, drei Tage eingeschränkter Betrieb, 380.000 Euro direkter Schaden
KMU B (mit Managed IT, EDR und Notfallplan):
- 2 Minuten bis EDR den Vorfall erkannte und betroffene Geräte isolierte
- 12 Minuten bis das hagel-IT-Team auf der Leitung war
- Wiederherstellung aus Backup parallel zu forensischer Analyse
- Ergebnis: 14 Minuten effektiver Stillstand, kein Datenverlust, kein finanzieller Schaden
Der Unterschied lag nicht im Können der IT-Teams, sondern in der Vorbereitung. Genau das beschreibt auch unsere Fallstudie zur Cyber-Risikoanalyse im Mittelstand.
Was ein Notfallplan im KMU enthalten muss
Ein KMU-Notfallplan ist keine 200-Seiten-Doku. Er passt auf 4-6 Seiten und enthält:
- Wer entscheidet? Geschäftsführung — wer vertritt sie bei Urlaub/Krankheit?
- Wer wird zuerst angerufen? IT-Dienstleister, Telefonnummer und Reihenfolge. Nicht E-Mail — die geht im Ernstfall nicht.
- Alternative Kommunikation. Welche WhatsApp-Gruppe, welche privaten Mobilnummern, welcher Treffpunkt?
- Reihenfolge der Wiederherstellung. Welches System ist kritisch, welches kann warten? Buchhaltung vor Marketing-Software.
- Externe Meldepflichten. BSI (NIS-2), Datenschutzbehörde (DSGVO), Versicherer, betroffene Kunden.
- Ende des Ernstfalls. Wer erklärt offiziell, dass der Normalbetrieb wieder läuft?
Der Plan muss einmal pro Jahr durchgespielt werden — sonst staubt er ein und funktioniert im Ernstfall nicht. Mehr dazu in unserem Leitfaden zur Disaster Recovery & Business Continuity für KMU.
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage.
Cyberversicherung: Sinnvoll, aber kein Ersatz für Prävention
2026 verlangen Cyberversicherer hohe technische Mindeststandards: MFA, EDR, getestetes Backup, Mitarbeiterschulung. Wer das nicht hat, bekommt entweder gar keine Police mehr oder zahlt im Schadensfall nicht. Unsere Empfehlung: Erst die sechs Standardmaßnahmen umsetzen, dann die Police abschließen.
Eine gute Police für ein KMU mit 30 Mitarbeitenden kostet 3.000 bis 15.000 Euro im Jahr und deckt typischerweise:
- Krisenmanagement und IT-Forensik
- Datenwiederherstellung
- Betriebsunterbrechung
- Bußgelder und Anwaltskosten
- Lösegeldzahlungen (umstritten, immer öfter ausgeschlossen)
Wichtig: Die Police ist Teil des Notfallplans. Im Ernstfall müssen Sie wissen, wann und wie Sie den Versicherer kontaktieren — vorher, nicht hinterher.
Ihr nächster Schritt
Sie wollen ehrlich wissen, wo Ihr Risiko liegt? Wir machen mit Ihnen eine kostenlose 15-Minuten-Risikoanalyse — auf Basis von 20 Jahren Praxis und der konkreten Lage in Ihrem Unternehmen. Keine Angstmache, keine Folienschlacht, nur eine ehrliche Einschätzung.
Wie hoch ist Ihr Ausfallrisiko wirklich?
15 Minuten. Kostenlos. Wir prüfen Backup, MFA, EDR und Notfallplan — und sagen ehrlich, wo Sie stehen.
Erstgespräch buchen →Weiterführende Quellen:
