Was kostet ein dreitägiger Produktionsstillstand? So rechnen Sie es für Ihr Unternehmen

Tobias Mogk

Managing Director, Cyber Resilience

Was kostet es, wenn Ihre Produktion drei Tage steht? Pauschalwerte helfen bei dieser Frage wenig, weil Ihr Wert von Ihrer Marge, Ihren Lieferverträgen und davon abhängt, wie viel Sie nachholen können. Dieser Beitrag stellt ein Rechenschema in sechs Blöcken vor, mit dem Sie die Kosten eines Stillstands für Ihr Unternehmen selbst abschätzen, und zeigt, wie Sie aus dem Ergebnis ableiten, wie schnell welche Systeme wieder laufen müssen. Die Methode lehnt sich an die Business-Impact-Analyse an, wie sie der BSI-Standard 200-4 beschreibt, vereinfacht für eine erste Abschätzung.

Warum der Umsatz die falsche Ausgangsgröße ist

Die naheliegende Rechnung lautet: Jahresumsatz geteilt durch die Zahl der Produktionstage, mal drei. Sie überschätzt den Schaden an einer Stelle und unterschätzt ihn an anderen. Überschätzt, weil in drei Tagen ohne Produktion auch kein Material verbraucht wird und ein Teil der Aufträge nachgeholt werden kann. Unterschätzt, weil Mehrkosten, Vertragsstrafen und die Wiederherstellung fehlen und weil ein Cyberangriff selten nach genau drei Tagen erledigt ist.

Besser ist es, in Blöcken zu rechnen und jeden Block mit Zahlen aus Ihrem eigenen Controlling zu füllen.

1. Der entgangene Deckungsbeitrag

Ausgangspunkt ist der Deckungsbeitrag pro Produktionstag, also der Umsatz abzüglich der variablen Kosten. Diesen Wert multiplizieren Sie mit den Ausfalltagen und mit dem Anteil, der sich nicht nachholen lässt.

Der Nachholanteil ist die Größe, über die am meisten diskutiert wird, und zugleich die wichtigste. Bei Lagerware und freier Kapazität lässt sich viel aufholen. Bei Just-in-time-Belieferung, saisonaler Ware oder einer ohnehin ausgelasteten Fertigung ist ein verlorener Tag verloren. Fragen Sie Vertrieb und Produktionsplanung getrennt. Die Antworten unterscheiden sich häufig, und genau diese Differenz ist eine nützliche Information.

Prüfen Sie außerdem, welcher Teil der Produktion tatsächlich an der IT hängt. Manche Linien laufen eine Weile autark weiter, andere stehen, sobald das ERP- oder MES-System keine Aufträge mehr liefert.

2. Fixkosten nicht doppelt zählen

Löhne, Leasingraten und Mieten laufen während des Stillstands weiter. In vielen Schadensrechnungen tauchen sie deshalb als eigener Posten auf. Wenn Sie aber mit dem Deckungsbeitrag rechnen, sind sie bereits enthalten. Der Deckungsbeitrag ist genau der Betrag, der zur Deckung dieser Fixkosten fehlt. Zählen Sie Fixkosten nur dann zusätzlich, wenn Sie in Block 1 mit dem Gewinn statt mit dem Deckungsbeitrag gerechnet haben. Wer beides addiert, kommt auf eine eindrucksvolle, aber falsche Zahl.

3. Mehrkosten für Notbetrieb und Aufholen

Jetzt kommen die Kosten, die ohne den Vorfall nicht entstanden wären: Sonderschichten und Zuschläge, um den Rückstand aufzuholen, Eilfrachten, Fremdvergabe an Lohnfertiger, Leiharbeit, manuelle Erfassung im Notbetrieb. Der BSI-Standard 200-4 weist zusätzlich auf die Nacharbeiten hin. Manuell erfasste Daten müssen digitalisiert, Rückstände abgearbeitet und Datenbestände zwischen Systemen abgeglichen werden. Diese Phase ist nach dem Standard arbeitsintensiv und gehört deshalb in die Rechnung.

4. Vertragsstrafen und Ansprüche Ihrer Kunden

Nehmen Sie sich die Verträge Ihrer umsatzstärksten Kunden vor. Gesucht sind Vertragsstrafen für Lieferverzug, Service-Level mit Gutschriften, Regelungen zur Ersatzbeschaffung auf Ihre Kosten und Kündigungsrechte. Ob ein Cyberangriff unter eine Klausel zu höherer Gewalt fällt, hängt vom Wortlaut ab. Verlassen Sie sich in der Rechnung nicht darauf. Notieren Sie pro Kunde, ab welchem Tag welche Zahlung fällig würde. Daraus ergibt sich oft eine Stufe im Schadensverlauf, die in keiner Pauschale auftaucht.

5. Bewältigung und Wiederherstellung

Hierzu gehören externe Dienstleister für Forensik und Wiederaufbau, Rechtsberatung, gegebenenfalls Unterstützung bei der Krisenkommunikation, neue Hardware und Lizenzen sowie die Überstunden Ihrer eigenen IT. Für eine erste Abschätzung fragen Sie Ihren Dienstleister für Vorfallbearbeitung oder Ihre Versicherung nach Tagessätzen und üblichem Aufwand, statt mit Durchschnittswerten aus dem Internet zu rechnen.

Beachten Sie dabei: Nach einem Angriff reicht ein einfaches Zurückspielen der Sicherung meist nicht. Das BSI empfiehlt, kompromittierte Systeme neu aufzusetzen, und weist darauf hin, dass forensische Analysen je nach Sorgfaltsbedarf mehrere Wochen oder sogar Monate dauern können.

6. Folgeschäden, die sich nicht sauber beziffern lassen

Kundenabwanderung, ein beschädigter Ruf, verlorene Ausschreibungen: Diese Schäden sind real, aber eine Eurozahl dafür ist meist geraten. Der BSI-Standard 200-4 geht deshalb einen anderen Weg. Er bewertet Schäden in mehreren Szenarien, darunter Verstöße gegen Gesetze, Vorschriften und Verträge, negative Innen- und Außenwirkung sowie finanzielle Auswirkungen, und ordnet sie üblicherweise drei bis fünf Schadenskategorien von gering bis sehr hoch zu. Für Folgeschäden ist eine solche Einstufung ehrlicher als eine Scheingenauigkeit.

Eine Leitfrage hilft dabei: Was passiert, wenn Ihr größter Kunde nach dem Vorfall einen zweiten Lieferanten qualifiziert?

Die Kurve ist wichtiger als die Summe

Drei Tage sind eine sinnvolle erste Rechengröße, aber nicht die einzige. Der BSI-Standard empfiehlt, den Schaden zu mehreren Zeitpunkten zu bewerten, etwa nach 24 Stunden, drei Tagen und sieben Tagen. In der Praxis haben sich laut Standard fünf bis acht solcher Zeithorizonte bewährt. So entsteht eine Kurve, und interessant ist der Punkt, an dem sie die Grenze dessen überschreitet, was Ihr Unternehmen tragen kann. Dieser Punkt ist die maximal tolerierbare Ausfallzeit.

Aus ihr leitet sich ab, wie schnell ein Prozess wieder anlaufen muss. Der Standard betont, dass die geforderte Wiederanlaufzeit kürzer sein muss als die maximal tolerierbare Ausfallzeit, weil vorher Zeit für Erkennen, Alarmieren und das Ausrufen des Notfalls vergeht, und empfiehlt einen zusätzlichen Puffer. Dazu kommt der maximal zulässige Datenverlust: Wie viele Stunden an Aufträgen, Buchungen und Lieferscheinen können Sie verlieren, ohne dass der Notbetrieb unmöglich wird? Daraus ergibt sich, wie oft gesichert werden muss.

Rechnen Sie deshalb mindestens zwei Varianten, drei Tage und zwei Wochen. Die zweite Variante bildet einen schweren Angriff ab, nach dem große Teile der IT neu aufgebaut werden müssen.

Was Sie mit dem Ergebnis anfangen

Die Rechnung ist kein Selbstzweck. Sie beantwortet Fragen, die sonst nach Bauchgefühl entschieden werden. Welche Investitionen in Wiederanlauf und Notbetrieb stehen in einem vernünftigen Verhältnis zum möglichen Schaden? Passt Ihre Cyberversicherung, insbesondere bei der Betriebsunterbrechung: ab wann, wie lange und bis zu welcher Summe zahlt sie? Und in welcher Reihenfolge müssen Systeme nach einem Ausfall zurückkommen? Die Antwort auf die letzte Frage gehört direkt in Ihre Wiederanlaufpläne.

Der erste Schritt

Für eine schnelle erste Zahl können Sie unseren Schadenskalkulator nutzen. Er arbeitet mit ähnlichen Bausteinen, etwa dem IT-abhängigen und dem nachholbaren Anteil, und mit Ihren eigenen Eckwerten. Eine Übersicht der Kostenblöcke finden Sie auch auf unserer Seite 3 Tage Stillstand: was das kostet.

Für belastbare Werte setzen Sie sich mit Controlling, Vertrieb und Produktionsplanung zusammen und gehen die sechs Blöcke für Ihren wichtigsten Prozess durch. Wie daraus ein vollständiges BCM mit Plänen und Übung wird, beschreibt unsere Seite BCM in 30 Tagen einsatzbereit.