Wie lange darf das ERP ausfallen? RTO, RPO und Ausfallkosten rechnen
Kurz gesagt
RTO und RPO leitet Ihr Betrieb aus dem eigenen Schadenspotenzial ab; der BSI-Standard 200-4 nennt keinen festen Zeitwert. Er bewertet den Schaden in mehreren Kategorien: Aufgabenerfüllung, Gesetzes- und Vertragsverstöße, Imageschaden, persönliche Unversehrtheit und finanzielle Auswirkungen. Die Division Schmerzgrenze durch Ausfallkosten je Stunde ist eine eigene Euro-Vereinfachung und liefert die maximal tolerierbare Ausfallzeit nur für die finanziellen Auswirkungen bei linearem Schaden; erreicht eine andere Schadenskategorie das Untragbarkeitsniveau früher, verkürzt das den Wert. Der RTO ist dieser Wert minus Reaktionszeit und Puffer, der RPO ist der zulässige Datenverlust (Stand Mai 2023).
Das Wichtigste
- Ausfallkosten je Stunde = entgangener Deckungsbeitrag + nur durch den Ausfall entstehende Zusatzkosten.
- Der BSI-Standard 200-4 leitet die MTPD aus dem Schadenspotenzial ab und bewertet auch Aufgabenerfüllung, Gesetzes- und Vertragsverstöße, Imageschaden und persönliche Unversehrtheit; die Euro-Division deckt nur den linearen Finanzschaden ab.
- RTO = MTPD minus Reaktionszeit minus Puffer; RTO ist immer kürzer als MTPD.
- Der RPO ist der zulässige Datenverlust; aus ihm folgt das Sicherungsintervall, nicht umgekehrt.
- Ob ein Wiederherstellungsweg reicht, zeigt der Vergleich der tatsächlichen Wiederanlaufzeit (RTA) mit dem RTO.
- Der BSI-Standard ist keine Rechtsnorm; verbindlich wird ein Zeitwert durch Gesetz, Verordnung oder Vertrag.
Ein ERP-Ausfall kostet Geld, und diese Kosten lassen sich je Stunde rechnen. Ob ein Ausfall noch tragbar ist, entscheidet aber nicht der Finanzschaden allein: Der BSI-Standard 200-4 bewertet das Schadenspotenzial ebenso über die Beeinträchtigung der Aufgabenerfüllung, Verstöße gegen Gesetze, Vorschriften und Verträge, den Imageschaden und die Beeinträchtigung der persönlichen Unversehrtheit. Die tolerierbare Ausfallzeit ist deshalb das Ergebnis einer Bewertung, in der die Eurorechnung nur die finanziellen Auswirkungen abbildet.
Die vier Kenngrößen
Der BSI-Standard 200-4 Business Continuity Management (Version 1.0, Stand Mai 2023) hält die Begriffe auseinander, die eine Ausfallplanung braucht. Fest vorgegebene Zeit- oder Euro-Werte nennt er nicht; er verlangt, dass die Organisation sie festlegt und begründet.
| Kenngröße | Bedeutung | Einheit |
|---|---|---|
| MTPD | maximal tolerierbare Ausfallzeit eines Geschäftsprozesses | Stunden |
| RTO | geforderte Wiederanlaufzeit ab dem Ausrufen des Notfalls | Stunden |
| RPO | maximal zulässiger Datenverlust | Stunden |
| Reaktionszeit | vom Erkennen und Alarmieren des Ereignisses über das Konstituieren der Notfallorganisation und die Entscheidungsfindung bis zum Ausrufen des Notfalls; die Detektionszeit ist enthalten | Stunden |
Die MTPD ist keine vorgegebene Zahl: Der Standard leitet sie aus einer Bewertung des Schadenspotenzials je Geschäftsprozess ab, die mehrere Schadensszenarien, Zeithorizonte und Schadenskategorien betrachtet. Für eine IT-Ressource wie das ERP nennt der Standard zwei Wege des Wiederanlaufs: den Schwenk auf eine Ausweich- oder Ersatzressource oder das Zurücksetzen auf den letzten gesicherten Zustand. Der RTO muss kürzer sein als die MTPD, weil von dieser die Reaktionszeit abgeht; einen Puffer empfiehlt der Standard zusätzlich.
Was Sie vorab brauchen
- den Jahresumsatz je zeitkritischem Prozess und die Deckungsbeitragsquote, den Anteil am Umsatz nach den variablen Kosten
- die Betriebsstunden je Jahr, in denen der Prozess diesen Umsatz erzeugt
- die Löhne, die während des Ausfalls weiterlaufen, obwohl die Arbeit ruht, und die im Deckungsbeitrag als eingesparte variable Kosten gerechnet waren (Euro je Stunde)
- die zusätzlichen Kosten des stillstehenden Betriebs, etwa Anfahr- und Ausschusskosten nach dem Stillstand (Euro je Stunde)
- eine Schmerzgrenze je Prozess, ab der der Schaden nicht mehr tragbar ist: als Euro-Wert für die finanziellen Auswirkungen und als Grenze für die übrigen Schadenskategorien
- eine Annahme für die Reaktionszeit sowie Ihre heutigen Sicherungsintervalle mit der gemessenen Restore-Dauer
Welche Sicherungen Sie je Datenbereich vorsehen, steht im Backup-Konzept fürs ERP; die Wiederherstellungsdauer liefert der Restore-Test fürs ERP.
Schritt für Schritt: vom Schaden je Stunde zum RTO
Schritt 1: Zeitkritische Prozesse auswählen
Nicht jede Stunde ohne ERP kostet gleich viel. Beginnen Sie mit den Prozessen, die Aufträge annehmen, Ware versenden, Fertigung rückmelden oder Rechnungen stellen. Der Standard nennt einen Prozess zeitkritisch, wenn sein Ausfall innerhalb eines zuvor festgelegten Zeitraums zu einem nicht tolerierbaren, unter Umständen existenzgefährdenden Schaden führen kann. Diesen Zeitraum legt Ihr Betrieb selbst fest; er kann kurz sein oder, wie in einem Beispiel des Standards, sieben Tage betragen. Ende: eine Liste mit drei bis fünf Prozessen.
Schritt 2: Ausfallkosten je Stunde rechnen
Ausfallkosten je Stunde (Euro/h) = entgangener Deckungsbeitrag (Euro/h) + zusätzliche Kosten je Ausfallstunde (Euro/h)
Deckungsbeitrag ist Umsatz minus variable Kosten, etwa Wareneinsatz oder Material. Für die Stunde gilt:
entgangener Deckungsbeitrag (Euro/h) = Jahresumsatz (Euro) ÷ Betriebsstunden je Jahr (h) × Deckungsbeitragsquote
In die zweite Position kommen nur Kosten, die ohne den Ausfall nicht anfielen. Fällt ein Prozess aus, entfällt der Umsatz, und die variablen Kosten entfallen mit ihm; die festen Kosten laufen weiter. Die Einbuße ist deshalb der verlorene Deckungsbeitrag, mit dem diese festen Kosten zuvor gedeckt waren. Einen unverändert weiterlaufenden Lohn- oder Fixkostenblock addieren Sie nicht noch einmal, sonst überschätzen Sie den Schaden. Nur einen variablen Kostenanteil, den Sie im Deckungsbeitrag als eingespart gerechnet haben, der aber tatsächlich weiterläuft, tragen Sie hier nach.
Die Beispielrechnung nutzt erfundene, gerundete Annahmen für einen Handels- und einen Produktionsbetrieb.
| Annahme | Handel | Produktion |
|---|---|---|
| Jahresumsatz (Euro, netto) | 3.000.000 | 8.000.000 |
| Betriebsstunden je Jahr (h) | 250 × 8 = 2.000 | 220 × 16 = 3.520 |
| Umsatz je Stunde (Euro/h) | 1.500 | rund 2.273 |
| Deckungsbeitragsquote | 20 Prozent | 35 Prozent |
| entgangener Deckungsbeitrag (Euro/h) | 300 | rund 795 |
| weiterlaufende Löhne, sonst als variabel gerechnet (Euro/h) | 6 × 30 = 180 | 40 × 35 = 1.400 |
| zusätzliche Stillstandskosten der Anlagen (Euro/h) | keine eigene Anlage | 500 |
| Ausfallkosten je Stunde (Euro/h) | 480 | 2.695 |
Beim Handel ergibt 300 + 180 = 480 Euro je Stunde, beim Produktionsbetrieb 795 + 1.400 + 500 = 2.695 Euro je Stunde. Beide Rechnungen unterstellen einen linearen Verlauf über die Ausfalldauer; das ist eine Beispielannahme. Kosten, die erst beim Wiederanlauf entstehen, etwa Ausschuss beim Anfahren einer Linie, tragen Sie als eigenen Betrag je Stillstand ein. Ende: ein Euro-Betrag je Stunde und Prozess.
Schritt 3: Schmerzgrenze setzen und MTPD ablesen
Legen Sie je Prozess die Schmerzgrenze fest, im Standard das Untragbarkeitsniveau: die Schadenshöhe, ab der Ihr Betrieb den Ausfall nicht mehr hinnimmt. Der Standard leitet die MTPD daraus über die Bewertung des Schadenspotenzials ab. Er bewertet den Schaden über Zeithorizonte, etwa 24 Stunden, drei Tage und sieben Tage, und in mehreren Schadenskategorien: Beeinträchtigung der Aufgabenerfüllung, Verstoß gegen Gesetze, Vorschriften und Verträge, Imageschaden, Beeinträchtigung der persönlichen Unversehrtheit und finanzielle Auswirkungen. Als MTPD gilt der kleinste Zeithorizont, in dem eine dieser Kategorien das Untragbarkeitsniveau erreicht. Nur die finanziellen Auswirkungen dürfen Sie mit konkreten Euro-Werten voneinander abgrenzen; erreicht eine der anderen Kategorien die Grenze früher, verkürzt das den Wert. Für einen linearen Geldschaden kürzen Sie das ab und teilen die Schmerzgrenze durch den Stundensatz:
MTPD (h) = Schmerzgrenze (Euro) ÷ Ausfallkosten je Stunde (Euro/h)
- Handel: 10.000 ÷ 480 = 20,83 Stunden.
- Produktion: 50.000 ÷ 2.695 = 18,55 Stunden.
Diese Euro-Division ist eine eigene Vereinfachung, keine Formel des Standards. Die MTPD ist eine Obergrenze: Runden Sie sie höchstens ab, nie auf. Ende: eine MTPD in Stunden je Prozess, mit der Schmerzgrenze daneben.
Schritt 4: RTO ableiten
RTO (h) = MTPD (h) − Reaktionszeit (h) − Puffer (h)
- Handel: 20,83 − 4 − 2 = 14,83 Stunden.
- Produktion: 18,55 − 4 − 3 = 11,55 Stunden.
Gerechnet wird mit dem ungerundeten Wert der MTPD, damit die Obergrenze nicht überschritten wird. Die Ergebnisse sagen, wie schnell Ihre Wiederanlauflösung ab dem Ausrufen des Notfalls stehen muss. Die Reaktionszeit prüfen Sie mit einer Alarmierungsübung, wie es der Standard vorsieht; eine solche Übung erfasst die Alarmierung und den Ausruf des Notfalls. Die Detektionszeit, die in der Reaktionszeit enthalten ist, schätzen Sie oder leiten sie aus realen Ereignissen ab. Ende: ein RTO je Prozess, kürzer als die MTPD.
Schritt 5: RPO festlegen und ins Sicherungsintervall übersetzen
Der RPO ist der Datenverlust, den Ihr Betrieb hinnehmen kann: Der jüngste wiederherstellbare Stand darf höchstens so alt sein, dass Sie im Notbetrieb sinnvoll weiterarbeiten. Der Standard leitet daraus den notwendigen Datensicherungszyklus ab, deshalb die Regel: Das Sicherungsintervall ist kleiner oder gleich dem RPO. Maßstab ist nicht das technisch Mögliche, sondern das fachlich Tragbare. Zwei Beispielannahmen zeigen den Zusammenhang.
| Fall (Beispielannahme) | RPO | Sicherungsintervall |
|---|---|---|
| Handel: ein halber Tag Aufträge lässt sich aus Belegen nachtragen | 4 Stunden | höchstens 4 Stunden |
| Produktion: Rückmeldungen einer Schicht lassen sich nicht rekonstruieren | 1 Stunde | höchstens 1 Stunde |
RPO und RTO sind zwei verschiedene Ziele: Ein kurzes Sicherungsintervall verkürzt den RTO nicht, weil das Zurückspielen seine eigene Dauer hat. Beide Werte stehen in derselben Tabelle.
Schritt 6: Wiederherstellungsweg wählen und mit der Ist-Zeit vergleichen
Der Standard stellt dem geforderten RTO die tatsächliche Wiederanlaufzeit (RTA) gegenüber: die Dauer, die eine Wiederanlauflösung ab dem Ausrufen des Notfalls wirklich erreicht. Messen oder erfragen Sie diesen Wert für den gewählten Weg und vergleichen Sie ihn mit dem RTO. Ist die Ist-Zeit länger, reicht der Weg nicht.
Die Einordnung der Wege ist redaktionell; der Standard nennt nur die beiden Wege des Zurücksetzens und des Schwenks.
| RTO-Ziel | Wiederherstellungsweg | Vorher prüfen |
|---|---|---|
| mehrere Tage | Neuaufbau aus der Sicherung | Sicherung, Installationsmedien und Lizenzen liegen außerhalb des ausgefallenen Systems |
| rund ein Arbeitstag | Zurücksetzen auf den letzten gesicherten Zustand | im Restore-Test gemessene Dauer |
| wenige Stunden | Schwenk auf eine Ausweich- oder Ersatzressource mit aktuellem Datenstand | Übergang eingeübt, Datenstand aus der laufenden Sicherung |
| ohne Unterbrechung | redundant ausgelegtes System mit automatischem Umschalten | Aufwand gegen die Ausfallkosten je Stunde gerechnet |
Ende: ein Weg je Prozess, dessen Ist-Zeit kleiner oder gleich dem RTO ist, oder eine dokumentierte Entscheidung, den Schaden oberhalb der Schmerzgrenze bewusst in Kauf zu nehmen.
Schritt 7: Werte dokumentieren und wiederkehrend prüfen
Der Standard verlangt, die Bewertung des Schadenspotenzials je Prozess zu begründen und zu dokumentieren; Mengengerüste und Kurse sind die Annahmen, mit denen Sie die Höhe der finanziellen Auswirkungen berechnen. Halten Sie je Prozess fest: Ausfallkosten je Stunde mit ihren Bestandteilen, Schmerzgrenze, MTPD, RTO, RPO und den gewählten Weg samt Ist-Zeit. Prüfen Sie erneut, wenn sich ERP-Version, Anbindungen, Schichtmodell oder Umsatz ändern.
So prüfen Sie das Ergebnis
- Für jeden zeitkritischen Prozess stehen Ausfallkosten je Stunde, Schmerzgrenze, MTPD, RTO und RPO in einer Tabelle.
- Der RTO ist kürzer als die MTPD; Reaktionszeit und Puffer sind einzeln benannt.
- Das Sicherungsintervall ist kleiner oder gleich dem RPO.
- Die im Restore-Test gemessene Dauer ist kleiner oder gleich dem RTO.
- Die MTPD nennt die Schadenskategorie, die das Untragbarkeitsniveau zuerst erreicht; die Eurorechnung allein genügt nicht.
- Jede Annahme ist als Beispielannahme gekennzeichnet oder hat eine Quelle.
Wenn etwas nicht klappt
| Symptom | Mögliche Ursache | Umgang |
|---|---|---|
| Das Sicherungsintervall ist kurz, das Zurückspielen dauert trotzdem zu lang | RPO und RTO verwechselt | beide getrennt führen: der RPO steuert das Intervall, der RTO die Dauer des Wiederanlaufs |
| Alle Prozesse erscheinen zeitkritisch | Schmerzgrenze nicht je Prozess differenziert | Schmerzgrenze je Prozess aus Umsatz und Deckungsbeitrag setzen |
| Die Ausfallkosten sind höher als erwartet | weiterlaufende feste Löhne zusätzlich zum entgangenen Deckungsbeitrag gerechnet | nur zusätzliche Kosten und tatsächlich weiterlaufende variable Kosten ansetzen, Nacharbeit getrennt ausweisen |
| Die Ist-Zeit aus dem Restore-Test passt nicht zum RTO | der Test hat nur die Datenbank gemessen | Messung auf alle Sicherungsobjekte ausdehnen und wiederholen |
| Die Wiederherstellungslösung kostet mehr als der Ausfall | ein kurzer RTO wurde ohne Euro-Rechnung gewählt | RTO gegen die Schmerzgrenze neu ableiten |
Wann Sie Hilfe holen sollten
Holen Sie das Controlling oder Ihre Steuerberatung dazu, wenn Umsatz, Deckungsbeitragsquote und Schmerzgrenze eines Prozesses nicht belastbar sind. Die IT-Betreuung oder den Hersteller brauchen Sie, solange kein Restore-Test eine gemessene Dauer liefert. Nennen Verträge, etwa mit einem Cloud-Anbieter oder einem Großkunden, eine Wiederanlaufzeit, übernehmen Sie den strengeren der beiden Werte. Ist der Ausfall länger als Ihr RTO, hält der Notfallplan für den ERP-Ausfall fest, was per Papier weiterläuft; unveränderliche Sicherungen schützen den Wiederanlauf vor Schadsoftware.