IT-Kennzahlen für die KMU-Führung: 6 Zahlen, die sich monatlich lohnen

· 8 Min. Lesezeit · SilverData-Team

In den meisten polnischen KMU weiß die Geschäftsführung auf den Euro genau, wie viel die Firma verdient und wie viel sie für Marketing ausgibt. Sie weiß aber nicht, ob die IT wirklich gut läuft oder es nur so aussieht. Solange alles funktioniert, fragt niemand. Wenn etwas kaputt geht, fragen alle — sofort und laut. Es geht auch anders.

Es geht nicht darum, ein „CIO-Action-Pack" mit 40 KPI und einem Management-Dashboard für 60 Tausend zu bauen. Es geht um sechs Zahlen, die monatlich auf ein A4-Blatt (oder eine Folie) passen, einen 12-Monats-Trend zeigen und der Führung ein klares Bild geben: Ist die IT unter Kontrolle oder driftet sie? Ohne diese Zahlen läuft jedes Gespräch über IT auf „ich habe das Gefühl, dass…" hinaus. Mit ihnen wird daraus: „im April ist die Bearbeitungszeit hochgeschossen — schauen wir, warum".

Dieser Text handelt davon, welche sechs Zahlen sich in einem 10–50-Personen-Unternehmen wirklich zu messen lohnen und wie man das ohne eine Analystenstelle hinbekommt.

Warum die IT wie jede andere Abteilung gemessen werden sollte

Der Vertrieb hat KPI. Die Produktion hat OEE. Die Buchhaltung hat die Termintreue beim Monatsabschluss. Die IT hat in den meisten polnischen KMU nichts — außer dem Bauchgefühl der Geschäftsführung, dass „in letzter Zeit irgendwie mehr kaputt geht". Die Folge: IT-Budgetentscheidungen werden emotional getroffen (nach einer Störung großzügig, nach einem ruhigen Quartal zähneknirschend), und die Qualität des externen Dienstleisters oder der internen Abteilung wird an der Stimme des ungeduldigsten Mitarbeiters gemessen.

Sechs Kennzahlen ersetzen kein Gespräch. Aber sie nehmen die Ratespiele daraus. Plötzlich entsteht eine gemeinsame Sprache — sowohl im Unternehmen als auch mit dem externen IT-Dienstleister, der einmal im Monat dieselben Zahlen auf den Tisch legen muss, auf die man sich im Vertrag geeinigt hat.

Die Regel ist einfach: Miss das, was du zuerst bemerken würdest, wenn es nicht mehr funktioniert. Der Rest ist Statistik um der Statistik willen.

Kennzahl 1 — Verfügbarkeit kritischer Systeme

Wie viel Prozent des Monats liefen die Systeme, ohne die das Geschäft steht. Nicht „alle Systeme" — nur diese drei oder vier, deren Ausfall sofort weh tut: ERP, E-Mail, Fileserver oder SharePoint, in manchen Firmen auch der Onlineshop.

Ziel für ein typisches KMU: 99,5 % monatlich für kritische Systeme, das heißt maximal ca. 3,5 Stunden Ausfall pro Monat. Das ist eine realistische Schwelle — die vollen 99,99 % (52 Minuten pro Jahr) erfordern eine Architektur, für die eine 20-Personen-Firma keinen Grund hat zu bezahlen.

Wie messen: einfaches HTTP/HTTPS- + Ping-Monitoring (Uptime Kuma, Zabbix, Cronjob), das die wichtigsten Endpunkte jede Minute prüft. Kommerzielle Lösungen sind nicht nötig. Monatsbericht: Verfügbarkeit in Prozent + Liste der größeren Ausfälle mit einer einzeiligen Ursache.

Kennzahl 2 — Bearbeitungszeit von Tickets

Durchschnittliche Zeit von der Ticketeröffnung bis zum Abschluss, aufgeschlüsselt nach Priorität. Das ist das ehrlichste Maß für die Qualität der IT-Abteilung oder des Dienstleisters — mehr als die Anzahl der Tickets (die willst du gar nicht reduzieren; du willst die wiederkehrenden Tickets reduzieren).

Sinnvolle Schwellen für ein KMU: kritisch (System steht) — bis 2 Stunden; hoch (eine Person kann nicht arbeiten) — bis 4 Stunden; normal — bis 24 Arbeitsstunden. Kopiere keine fremden SLAs, leg eigene fest, basierend auf dem, was tatsächlich weh tut. Ein Onlineshop, der 6 Stunden steht, kostet anders als ein Drucker, der einen halben Tag nicht druckt.

Monatsbericht: Durchschnittszeit pro Priorität + Prozent der Tickets im SLA. Ergänze außerdem die Anzahl der Tickets, die am Monatsende länger als 5 Tage offen sind — genau dort schwelen die „eigentlich nicht so wichtigen" Probleme, die in einem halben Jahr platzen.

Kennzahl 3 — Ergebnis des Backup-Wiederherstellungstests

Das ist die Kennzahl, die 80 % der Firmen als „erledigt" betrachten, weil „die Backups laufen". Die Frage „wann habt ihr zuletzt tatsächlich eine Datei aus dem Backup auf einem frischen System wiederhergestellt?" endet meist in Schweigen.

Das Maß ist einfach: Einmal im Monat wählen wir zufällig einen relevanten Datensatz (ERP-Datenbank, Buchhaltungsordner, Postfach einer Person) und stellen ihn aus dem Backup in eine Testumgebung wieder her. Protokollieren: Hat es funktioniert (ja/nein), wie lange hat es gedauert, sind die Daten konsistent. Monatsbericht: Ergebnis + reale RTO + Datum des letzten erfolgreichen Tests für jeden kritischen Datensatz.

Diese eine Zahl rettet die Firma alle paar Jahre. Ein Backup, das nie getestet wurde, ist kein Backup — es ist eine Hoffnung.

Kennzahl 4 — Aufschlüsselung der IT-Kosten

Die Geschäftsführung muss das IT-Budget nicht jeden Monat neu planen. Sie muss wissen, ob die laufenden Kosten (Lizenzen, Cloud, Support) steigen, fallen oder stabil sind. Und wohin das Geld fließt — auf 4–5 Kategorien aufgeteilt, nicht auf 30 Einzelposten.

Sinnvolle Aufteilung für den Monatsbericht:

Der Monat-zu-Monat-Vergleich zeigt Trends schneller als ein Jahresaudit. Wenn die SaaS-Kategorie um 12 % zulegt, obwohl kein neuer Mitarbeiter dazugekommen ist, wurde etwas leise dazugekauft — Zeit, das Abo-Register zu öffnen.

Kennzahl 5 — Klickrate in der Phishing-Simulation

Sicherheit in KMU wird üblicherweise daran gemessen, „wie viele Antivirus-Lizenzen wir haben". Das sagt nichts aus. Die einzige Sicherheits-Kennzahl, die wirklich etwas über die Widerstandsfähigkeit des Unternehmens aussagt, ist die Reaktion der Mitarbeiter auf eine gefälschte E-Mail.

Einmal im Monat schicken wir dem Team eine simulierte Phishing-Mail (eine Rechnung, eine Bankbenachrichtigung, eine „Geschäftsführungs"-Überweisungsanfrage). Wir messen drei Zahlen: Wer hat den Link geklickt, wer hat Daten eingegeben, wer hat die Mail als verdächtig gemeldet. Ziel ist es, die Klickrate von den typischen 20–25 % am Start innerhalb von 6 Monaten auf 3–5 % zu senken — und die Zahl der Meldungen zu steigern. Der Anstieg der Meldungen ist wichtiger als der Rückgang der Klicks: Er zeigt, dass das Team aktiv aufmerksam ist.

Monatsbericht: Klickrate + Meldequote + eine einzeilige Notiz, was in der Simulation war.

Kennzahl 6 — Patch-Compliance

Wie viel Prozent der Firmen-Laptops und -Server alle kritischen Patches der letzten 30 Tage installiert haben. Das ist der beste einzelne Indikator für IT-Hygiene — er sagt mehr über den Ordnungsgrad im Haus aus als eine lange Liste einzelner Werkzeuge.

Ziel: 95 % der Geräte innerhalb von 30 Tagen nach Veröffentlichung eines kritischen Patches. Das ist eine akzeptable Schwelle — 100 % sind unrealistisch (jemand ist immer im Urlaub mit weggesperrtem Laptop), aber 60 % bedeutet, dass es im Haus keinerlei Disziplin gibt und die erste ernste CVE euch überrollt.

Wie messen: Intune, WSUS, GPO, in kleineren Firmen ein schlichtes PowerShell-Skript, das Get-HotFix von jeder domänengebundenen Maschine sammelt. Man braucht kein SIEM, man braucht Disziplin.

Ein Beispiel aus der Praxis

Ein 30-Personen-Distributor für technische Komponenten aus Schlesien begann im Januar, diese sechs Kennzahlen zu berichten — ein A4-Blatt bei jedem monatlichen Vorstandsmeeting. Nach 6 Monaten haben zwei Erkenntnisse die Kosten der ganzen Übung um ein Vielfaches zurückgezahlt.

Erstens: Die Kennzahl „Bearbeitungszeit von Tickets" zeigte, dass die durchschnittliche Zeit bei ihrem IT-Outsourcing-Dienstleister für „normale" Tickets 4,2 Arbeitstage betrug — bei vertraglich 24 Stunden SLA. Vorher hatte das niemand gemessen; alle motzten, aber ohne Zahlen. Nachdem die Grafik im Termin mit dem Dienstleister auf dem Tisch lag, handelten sie eine 15-prozentige Reduktion der Pauschale für drei Monate aus, plus eine konkrete Zusage zum 24-Stunden-SLA. Am Ende des Quartals war die reale Zeit bei 18 Stunden.

Die zweite Erkenntnis war noch einfacher — und teurer. Die Aufschlüsselung der IT-Kosten zeigte, dass die Kategorie „SaaS-Lizenzen" Monat für Monat wuchs, obwohl der Personalbestand konstant blieb. Ein halber Tag Review in der Microsoft 365 Admin-Konsole förderte 12 aktive Konten ehemaliger Mitarbeiter zutage (drei Monate bis zwei Jahre nach dem Ausscheiden), dazu Doppel-Lizenzen aus einer Migration von Business Standard auf Business Premium, die niemand abgestellt hatte. Alles auszuschalten brachte rund 21 000 PLN (ca. 4 800 EUR) an jährlichen Einsparungen. Ohne die Kennzahl hätte es niemand entdeckt — die Kosten erschienen einfach als „die übliche Microsoft-Rechnung".

Zwei Zahlen, ein Bericht, ein Abend Analyse. Genau dieser Effekt ist gemeint.

Wo anfangen

Man muss kein System bauen. Man muss die sechs Zahlen im ersten Monat manuell erheben und anfangen, sie zu zeigen. In der Reihenfolge:

  1. Zielwerte notieren. Einig sich mit der Geschäftsführung, welche Werte „in Ordnung" sind und welche eine „rote Lampe". Ohne das ist eine Grafik nur eine Grafik — keine Entscheidung.
  2. Daten beschaffen, die du nicht hast. Wahrscheinlich fehlt Verfügbarkeits-Monitoring (eine Stunde Arbeit), ein regelmäßiger Backup-Wiederherstellungstest (ein Tag), eine Phishing-Simulation (Microsoft Attack Simulator in M365 Business Premium ist kostenlos; externe Alternativen ab ca. 8 EUR/Nutzer/Monat).
  3. Den ersten Bericht auf Papier machen. Excel, PowerPoint, Notepad — egal. Eine Seite, sechs Zahlen, Trend über die letzten drei Monate (oder „Start", wenn es der erste ist).
  4. Ihn zu einem einzigen Vorstandsmeeting mitbringen. Bitte nicht darum, dass er zum „festen Tagesordnungspunkt" wird — bring ihn einfach mit und zeig ihn. Wenn er sinnvoll ist, bleibt er. Wenn niemand darauf anspringt, prüfe, ob du die richtigen Dinge misst.
  5. Nach drei Monaten die Kennzahl streichen, für die sich niemand interessiert, und die hinzunehmen, nach der jemand gefragt hat. Halte nicht stur an der Liste fest. Sechs ist die Obergrenze dessen, was ein Vorstand in einer Minute erfasst — keine Untergrenze.

Wenn du im Unternehmen niemanden hast, der die ersten Daten sammelt und den Bericht in einem halben Tag zusammenstellt — wir machen das für Kunden im Format „Workshop + einmalige Einrichtung + Vorlage". Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.

IT, die man nicht misst, wird nach Emotion geführt — nach einem Ausfall großzügig, nach einer ruhigen Phase zähneknirschend. Sechs Zahlen im Monat reichen, um das zu ändern.

← Zurück zum Blog