Monitoring-KPIs für KMU: Welche IT-Kennzahlen wirklich relevant sind

Die meisten Mittelständler haben kein Monitoring-Problem aus Werkzeugmangel, sondern aus Kennzahlen-Überflutung. Wer alle möglichen Metriken aktiviert, sieht am Ende nichts. Wir setzen für unsere Kunden in Sachsen-Anhalt seit Jahren auf ein reduziertes Set von fünf KPIs, das alle wesentlichen IT-Risiken abdeckt und sich in einem monatlichen 30-Minuten-Termin mit der Geschäftsleitung tatsächlich besprechen lässt.

Dieser Beitrag beschreibt diese fünf KPIs, die zugehörige Werkzeug-Kategorie und den Eskalations-Schwellwert, ab dem aktiv eingegriffen werden muss.

Die fünf KPIs auf einen Blick

KPI	Zielwert	Eskalation ab	Reporting
Server-Uptime (Geschäftszeit)	≥ 99,5%	< 99%	wöchentlich
Backup-Erfolgsrate	100%	< 98%	täglich + wöchentliche Summe
Patch-Status kritischer Updates	innerhalb 7 Tagen	> 14 Tage offen	wöchentlich
Lizenz-Compliance	100% korrekt zugeordnet	jede Unterdeckung	monatlich + quartalsweise Inventur
Ticket-Reaktionszeit (Erste Antwort)	< 4 Stunden	> 8 Stunden	wöchentlich

Diese Werte sind Erfahrungswerte für KMU mit 10–50 Mitarbeitern. In hochregulierten Branchen (Medizin, Finanzdienstleister) liegen sie strenger. Für ein typisches mittelständisches Handelsunternehmen oder eine Steuerkanzlei sind sie tragbar und sinnvoll.

KPI 1 — Server-Uptime in Geschäftszeit

Die meisten Monitoring-Tools messen 24/7-Uptime. Das ist für ein KMU wenig aussagekräftig — ein Server, der nachts um 2 Uhr 30 Minuten ausfällt, ist kein Geschäftsproblem. Was zählt, ist die Verfügbarkeit in der Geschäftszeit.

Wir messen Uptime explizit getrennt für:

• Geschäftszeit-Verfügbarkeit (in Sachsen-Anhalt typisch Mo–Fr 7:00–18:00).
• Wartungsfenster-bereinigte Uptime — geplante Wartungen werden herausgerechnet, ungeplante Ausfälle nicht.

Ein gutes Monitoring-System (z.B. Checkmk, Zabbix, PRTG, oder als Managed Service mit Auriga, Datto RMM oder NinjaOne) liefert beide Werte automatisiert.

Schwellwert: < 99% Geschäftszeit-Uptime über einen Monat ist Eskalationsgrund — sprich: in 220 Geschäftsstunden pro Monat mehr als 2:12 Stunden Ausfall. Das ist real spürbar.

KPI 2 — Backup-Erfolgsrate

Backups sind nur dann ein Backup, wenn sie tatsächlich laufen. Das klingt banal — in der Praxis sehen wir in Unternehmen ohne Monitoring regelmäßig Backup-Jobs, die seit Wochen fehlschlagen, ohne dass jemand reagiert hat.

Was zu messen ist:

• Tägliche Backup-Erfolgsrate je Job (gewichtet nach Geschäftskritikalität).
• Wachstum der Backup-Größe (plötzliche Sprünge signalisieren neue Datenmengen oder versehentliche Aufnahme nicht-relevanter Pfade).
• Restore-Test-Erfolge als zusätzliche Dimension — siehe unsere Backup-Strategie.

Schwellwert: weniger als 98% Erfolgsrate über sieben Tage ist sofortiger Handlungsbedarf. 100% sollte das Normal sein.

KPI 3 — Patch-Status kritischer Updates

Ungepatchte Systeme sind nach Phishing der häufigste Einfallsvektor für Angreifer. Patch-Management muss messbar sein.

Wir tracken:

• Anzahl offener kritischer Patches (CVSS ≥ 9.0) pro Endpoint.
• Tage seit Veröffentlichung des Patches.
• Patch-Compliance-Rate in Prozent der gemanagten Geräte.

Schwellwerte:

• Kritisch (CVSS ≥ 9.0): Installation innerhalb von 7 Tagen.
• Hoch (CVSS 7.0–8.9): Installation innerhalb von 30 Tagen.
• Mittel/Niedrig: nach regulärem Patch-Zyklus, typischerweise monatlich.

Werkzeuge wie Microsoft Intune (in Microsoft 365 Business Premium enthalten), WSUS, NinjaOne, Datto RMM oder ManageEngine bieten entsprechende Reports. Wichtig ist, dass die Patch-Compliance auch für Drittsoftware (Adobe, Java, Browser, DATEV-Module) gemessen wird — nicht nur für Windows-Updates.

KPI 4 — Lizenz-Compliance

Lizenz-Compliance ist 2026 ein realistisches Audit-Risiko geworden. Microsoft, Oracle und SAP führen jährliche Audits durch — auch bei KMU. Nicht-zugewiesene oder über-zugewiesene Lizenzen kosten im Audit oft das Mehrfache des regulären Lizenzpreises.

Was zu messen ist:

• Inventar aller Geräte und Nutzer mit installierter Software.
• Lizenz-Zuordnung mit Vertragsstand.
• Über- und Unterdeckung je Produkt.

Werkzeuge: Microsoft 365 Admin Center für M365-Lizenzen, Snipe-IT oder Lansweeper für allgemeine Asset-Verwaltung, spezialisierte SAM-Tools für größere Umgebungen.

Schwellwert: 100% Compliance. Jede Unterdeckung muss innerhalb von 30 Tagen behoben sein. Die quartalsweise Inventur dokumentiert den Stand.

Wir empfehlen, die Lizenz-Inventur einmal jährlich mit dem Wirtschaftsprüfer abzustimmen — das macht im Audit-Fall keine Probleme.

KPI 5 — Ticket-Reaktionszeit

Service-Qualität messen heißt: nicht nur, ob ein Ticket bearbeitet wird, sondern wie schnell. Wir messen:

• First Response Time: Zeit zwischen Ticket-Eröffnung und erster Antwort.
• Time to Resolution: Zeit bis zum Abschluss.
• Service Level Agreement (SLA) Compliance: Anteil der Tickets, die das vereinbarte SLA einhalten.

Typische SLA für KMU:

• Kritisch (System down, Geschäftsbetrieb steht): Reaktion innerhalb 1 Stunde, Lösung innerhalb 4 Stunden.
• Hoch (System stark beeinträchtigt): Reaktion innerhalb 4 Stunden, Lösung innerhalb 1 Werktag.
• Mittel (lokale Beeinträchtigung): Reaktion innerhalb 8 Stunden, Lösung innerhalb 3 Werktagen.
• Niedrig (kosmetische Themen): Reaktion innerhalb 1 Werktag, Lösung innerhalb 5 Werktagen.

Die SLA-Strukturierung sollte vertraglich klar geregelt sein — siehe unseren Beitrag zu Festpreis vs. Stundensatz.

Reporting-Frequenz und -Format

Wir empfehlen ein dreistufiges Reporting:

1. Tägliche operative Übersicht (automatisiert): Backup-Status, kritische Alarme. Geht ans IT-Team, nicht an die Geschäftsleitung.
2. Wöchentlicher Statusbericht: Uptime, Backup-Summe, offene kritische Patches, neue Tickets. Geht an den IT-Beauftragten beim Kunden, in Kopie an die Geschäftsleitung.
3. Monatliches Management-Reporting: alle fünf KPIs auf einer Seite, Trend über die letzten 6 Monate, Top-3-Risiken, Investitions-Empfehlungen. 30-Minuten-Termin mit der Geschäftsleitung.

Das Management-Reporting ist die wichtigste Datei. Es entscheidet, ob IT in der Geschäftsleitung als Werkzeug oder als Schwarzes Loch wahrgenommen wird. Wir liefern unseren Kunden dieses Reporting als Standardleistung — siehe Monitoring.

Was wir NICHT messen

Über die fünf KPIs hinaus aktivieren wir bewusst keine zusätzlichen Standard-Reports. Insbesondere nicht:

• CPU-Auslastung über alle Server als Top-Level-Metrik. Interessant für die Operations-Ebene, irrelevant für die Geschäftsleitung.
• Anzahl gefilterter Spam-Mails. Vanity-Metrik.
• Verbindungszahlen am Firewall. Operative Information, kein KPI.
• Verfügbarkeit irrelevanter Ressourcen. Wenn ein Tool seit zwei Jahren nicht genutzt wird, brauchen wir kein Monitoring dafür.

Wer Monitoring überfrachtet, verliert die Fähigkeit, schnell auf das Wesentliche zu reagieren.

Welche Werkzeuge wir nutzen

Für unsere Kunden setzen wir je nach Größenklasse:

• Bis 10 Plätze: Microsoft 365 Business Premium (Intune + Defender) + Synology Active Backup + manuelles Lizenz-Inventar in Excel.
• 10–50 Plätze: Microsoft 365 Business Premium + dediziertes RMM-Tool (NinjaOne oder Datto) + Snipe-IT.
• 50+ Plätze: Microsoft 365 E3/E5 + RMM + dediziertes SAM-Tool + Standard-ITSM-System.

Wir empfehlen bewusst keine Cloud-Tools, die kritische Telemetrie in Drittländer schicken. Alle eingesetzten Werkzeuge unterliegen DSGVO-konformen Vereinbarungen.

Häufige Fehler

• Reporting ohne Empfänger. Ein Bericht, der niemandem vorgelegt wird, hat keinen Wert.
• Schwellwerte ohne Handlungsweise. Ein Alarm ist nur dann sinnvoll, wenn klar ist, was bei welcher Höhe zu tun ist.
• Werkzeuge ohne Konfiguration. Die Standard-Konfiguration der meisten Monitoring-Tools ist für KMU unbrauchbar — sie meldet zu viel oder zu wenig.
• Reporting für die Schublade. Wer das monatliche KPI-Gespräch nicht hat, kann sich das Reporting sparen.
• Übermäßige Quantifizierung. Nicht alles, was man messen kann, ist relevant.

Beratung anfragen

Wir richten Monitoring und KPI-Reporting für KMU in Sachsen-Anhalt regelmäßig als Standardleistung ein — inkl. monatlicher Management-Termine mit konkretem Maßnahmen-Vorschlag. Sprechen Sie uns an, wenn Sie Ihr aktuelles Monitoring auf Aussagekraft prüfen oder ein neues Konzept aufbauen möchten.