Wenn Sie Ihre IT-Verantwortlichen fragen, wie es um die IT steht, hören Sie oft „Läuft“. Das kann stimmen, beweist aber nichts; belastbar wird die Aussage erst mit wenigen, gut gewählten IT-Kennzahlen. Gleichzeitig hilft Ihnen ein Bericht mit 40 Diagrammen nicht weiter, weil niemand die Zeit hat, ihn zu lesen. Dieser Beitrag schlägt fünf bis acht Kennzahlen vor, die eine Geschäftsführung monatlich sehen sollte, erklärt, was sie aussagen, und zeigt, welche Zahlen Sie getrost weglassen können.
Was gute IT-Kennzahlen ausmacht
IT-Kennzahlen sind Messwerte, die den Zustand von Technik, Sicherheit und Betrieb in eine vergleichbare Zahl fassen. Als IT-KPI (Key Performance Indicator) bezeichnet man die wenigen davon, die mit einem Zielwert verknüpft sind und an denen Entscheidungen hängen. Für das IT-Reporting an die Geschäftsführung brauchen Sie genau diese Auswahl, nicht die vollständige Messliste der IT-Abteilung.
Eine Kennzahl ist nur nützlich, wenn sie drei Bedingungen erfüllt. Sie muss erstens eine Frage beantworten, die für den Betrieb wichtig ist, etwa „Könnten wir nach einem Ausfall unsere Daten zurückholen?“. Sie muss zweitens regelmäßig und mit vertretbarem Aufwand erhoben werden können, idealerweise automatisch. Und sie muss drittens eine Entscheidung auslösen können: Wenn die Zahl schlecht ist, muss klar sein, was zu tun ist.
Zahlen, die keine dieser Bedingungen erfüllen, machen Berichte länger, aber nicht klüger.
Acht IT-Kennzahlen, die etwas aussagen
1. Backup-Erfolg und letzte Rücksicherungsprobe
Wie viele der geplanten Sicherungen im Monat sind erfolgreich gelaufen? Und wann wurde zuletzt geprüft, ob sich Daten tatsächlich zurückholen lassen? Die zweite Angabe ist wichtiger als die erste. Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme, kein Nachweis. Geben Sie das Datum der letzten erfolgreichen Rücksicherungsprobe an und was dabei getestet wurde. Wie ein solcher Test dokumentiert wird, zeigt der Beitrag Rücksicherung geprobt: das Protokoll.
2. Patch-Stand
Welcher Anteil der Server und Arbeitsplätze hat die aktuellen Sicherheitsupdates installiert? Sinnvoll ist eine Angabe wie „Updates aus dem Vormonat auf 95 von 100 Geräten installiert, 5 Geräte offen, Grund bekannt“. Die Zielgröße legen Sie selbst fest, wichtig ist die Begründung für Abweichungen.
3. Offene kritische Schwachstellen
Wie viele bekannte Sicherheitslücken mit hoher Bewertung sind offen, und wie lange schon? Eine kritische Lücke an einem Server, der aus dem Internet erreichbar ist, ist ein anderes Risiko als eine auf einem isolierten Testgerät. Für die Geschäftsführung genügt die Zahl der offenen kritischen Punkte und das Alter der ältesten.
4. Abdeckung der Mehrfaktor-Anmeldung
Welcher Anteil der Benutzerkonten ist mit einem zweiten Faktor geschützt, etwa einer App oder einem Sicherheitsschlüssel? Besonders wichtig sind Administratorkonten und Konten mit Zugriff von außen. Ausnahmen sollten einzeln begründet sein.
5. Ausfallzeiten
Wie lange waren wichtige Systeme im Monat nicht verfügbar, geplant und ungeplant? Unterscheiden Sie zwischen Wartungsfenstern, die angekündigt waren, und echten Störungen. Was eine Stunde Ausfall Ihren Betrieb kostet, können Sie mit dem Ausfallkosten-Rechner grob abschätzen. Das hilft, Ausfallzeiten in Geld zu übersetzen.
6. Tickets und Lösungszeit
Wie viele Anfragen gingen im Monat ein, und wie lange dauerte es im Mittel, bis sie gelöst waren? Interessanter als die absolute Zahl ist die Entwicklung: Steigen die Tickets dauerhaft, deutet das auf ein Problem hin, etwa ein fehlerhaftes System oder fehlende Schulung. Achten Sie darauf, dass Lösungszeiten verschiedener Dienstleister oder Abteilungen oft unterschiedlich gemessen werden. Warum solche Zeitkennzahlen schwer vergleichbar sind, erklärt der Beitrag MTTD und MTTR sind nicht vergleichbar.
7. Geräte außerhalb des Herstellersupports
Wie viele Server, Arbeitsplätze, Netzwerkgeräte oder Softwareversionen erhalten keine Sicherheitsupdates mehr oder laufen in den nächsten zwölf Monaten aus dem Support? Diese Zahl verbindet Sicherheit mit Budgetplanung, weil sie zeigt, wo Ersatz nötig wird.
8. Entwicklung der Lizenzkosten
Wie haben sich die monatlichen Kosten für Software-Abonnements und Cloud-Dienste entwickelt? Viele Lizenzen werden pro Benutzer abgerechnet und wachsen still mit. Ein Vergleich mit der Mitarbeiterzahl zeigt, ob Lizenzen für ausgeschiedene Mitarbeiter weiterlaufen.
Darstellung als Ampelbericht
Für die Geschäftsführung bewährt sich eine einfache Ampel pro Kennzahl:
- Grün: Ziel erreicht, kein Handlungsbedarf.
- Gelb: Abweichung, Ursache bekannt, Maßnahme läuft.
- Rot: Ziel deutlich verfehlt oder Ursache unklar, Entscheidung nötig.
Wichtig ist, dass die Schwellen vorher festgelegt werden und nicht jeden Monat neu verhandelt. Beispiel für die Rücksicherungsprobe: Grün, wenn die letzte Probe weniger als drei Monate zurückliegt; Gelb bei drei bis sechs Monaten; Rot bei mehr als sechs Monaten oder fehlgeschlagener Probe. Diese Werte sind ein Vorschlag, Sie legen sie nach Ihrem Bedarf fest.
Ein Monatsbericht kann damit auf eine Seite passen:
| Kennzahl | Wert | Vormonat | Ampel | Bemerkung |
|---|---|---|---|---|
| Backup-Erfolg | … | … | … | … |
| Letzte Rücksicherungsprobe | Datum | … | … | Was getestet |
| Patch-Stand | … | … | … | Offene Geräte |
| Offene kritische Schwachstellen | … | … | … | Älteste seit |
| MFA-Abdeckung | … | … | … | Ausnahmen |
| Ungeplante Ausfallzeit | … | … | … | Ursache |
| Tickets / mittlere Lösungszeit | … | … | … | Auffälligkeiten |
| Geräte ohne Support | … | … | … | Ersatz geplant |
Darunter stehen höchstens drei Sätze: Was war im Monat wichtig, was ist zu entscheiden, was steht an.
Was Sie nicht messen sollten
Manche Zahlen sehen aussagekräftig aus, helfen aber kaum bei Entscheidungen:
- Anzahl blockierter Angriffe oder Spam-Mails: Diese Zahlen sind meist hoch, schwanken stark und sagen nichts darüber, ob Ihr Schutz ausreicht. Sie erzeugen eher ein falsches Gefühl von Sicherheit oder von Bedrohung.
- Speicherauslastung jedes einzelnen Servers: Das ist eine technische Betriebszahl für die IT, nicht für die Geschäftsführung. Relevant wird sie erst, wenn sie Investitionen auslöst.
- Verfügbarkeit in Prozent ohne Bezug: „99,9 Prozent“ klingt gut, sagt aber wenig, solange nicht klar ist, welches System gemeint ist und ob nachts gemessen wird.
- Arbeitsstunden der IT: Viele Stunden können Fleiß bedeuten oder Ineffizienz. Ohne Zusammenhang hilft die Zahl nicht.
Auch bei den sinnvollen Kennzahlen gilt: Eine Zahl lässt sich verbessern, ohne dass sich die Lage verbessert. Wenn Lösungszeiten zum Ziel werden, schließt man Tickets womöglich zu früh. Achten Sie deshalb auf die Bemerkungen, nicht nur auf die Farben.
Wer den Bericht erstellt
Am besten erstellt ihn die Stelle, die die Daten ohnehin erhebt, also interne IT oder Dienstleister. Viele Werte lassen sich aus Überwachungs-, Backup- und Ticketsystemen automatisch ziehen. Der Aufwand sollte nach der Einrichtung bei wenigen Stunden im Monat liegen. Wichtig: Die Geschäftsführung sollte die Werte gelegentlich hinterfragen, etwa indem sie sich das Protokoll einer Rücksicherungsprobe zeigen lässt.
Checkliste: Erste Schritte
- Fünf bis acht Kennzahlen aus der obigen Liste auswählen.
- Für jede Kennzahl festlegen, woher die Daten kommen und wer sie liefert.
- Ampelschwellen vorab schriftlich vereinbaren.
- Eine einseitige Vorlage erstellen und den ersten Bericht als Basis nutzen.
- Festen Termin im Monat für die Durchsicht einplanen, etwa im Rahmen der Geschäftsführungsrunde.
- Bei jeder roten Ampel eine verantwortliche Person und einen Termin festlegen.
- Nach sechs Monaten prüfen, ob die Kennzahlen Entscheidungen ausgelöst haben, und gegebenenfalls austauschen.
Wie DAVINCI unterstützt
DAVINCI erhebt im Rahmen der laufenden Betreuung Daten aus Überwachung, Datensicherung und Helpdesk und kann diese als regelmäßigen Bericht aufbereiten. Welche Kennzahlen für Ihren Betrieb sinnvoll sind, klären wir gemeinsam. Mehr zu unserem IT-Support finden Sie auf der Website, für Fragen nutzen Sie unseren Kontakt.
Häufige Fragen
Was ist der Unterschied zwischen IT-Kennzahlen und IT-KPIs?
Kennzahlen sind alle Messwerte, die die IT erhebt, etwa Speicherbelegung, Ticketzahl oder Patch-Stand. KPIs sind die wenigen davon, die mit einem Ziel verknüpft sind und an denen Sie Entscheidungen festmachen. Die acht Beispiele oben sind so gewählt, dass sie als KPIs taugen: Jede hat eine Schwelle und eine Konsequenz.
Gehören IT-Kosten in den Bericht?
Ja, aber knapp. Neben den Lizenzkosten reichen der Vergleich von Ist und Plan beim IT-Budget und, wenn vorhanden, die IT-Kosten je Arbeitsplatz. Das ist die Brücke zum IT-Controlling, ohne dass der Bericht zur Kostenrechnung wird. Wie Sie das Budget sinnvoll aufstellen, beschreibt der Beitrag IT-Budget planen.
Reicht ein Quartalsbericht?
Für kleine Betriebe mit stabiler IT kann ein Quartalsbericht genügen. Bei Backup-Fehlern oder kritischen Schwachstellen ist ein Vierteljahr allerdings lang. Ein pragmatischer Mittelweg: monatlich die Ampel, quartalsweise die ausführliche Besprechung.
Was tun, wenn Daten für eine Kennzahl fehlen?
Das ist bereits eine Erkenntnis. Wenn niemand sagen kann, wann die letzte Rücksicherungsprobe war, ist die Ampel rot. Fehlende Daten sind oft der erste Hinweis darauf, wo Werkzeuge oder Abläufe nachgebessert werden müssen.
Sollten Kennzahlen mit anderen Unternehmen verglichen werden?
Mit Vorsicht. Messverfahren, Umgebungen und Definitionen unterscheiden sich stark. Aussagekräftiger ist die Entwicklung im eigenen Betrieb über die Zeit.
Verwandte Themen: Wer hier weiterdenkt, liest bei Servicedesk, IT-Personalengpässe und Firmware-Update weiter.
