Support und Service-Level beim Shopanbieter bewerten

Ein Ausfall trifft den Shop im Bezahlvorgang und beim Versand. Wann der Dienst wieder läuft und welche Folge der Vertrag für einen Verstoß vorsieht, steht nicht in der Funktionsliste, sondern im Vertrag.

Worum es bei der Auswahl geht

Das Glossar des BSI-Standards 200-4 beschreibt ein Service Level Agreement (SLA) als Vereinbarung zweier Parteien über die exakten Eigenschaften, das Leistungsniveau und die Gütestufen einer Leistung. Für den Shop heißt das: Verlangen Sie Verfügbarkeit, Fristen bei einer Störung und die Folge, wenn der Anbieter sie verfehlt, als bezifferte Angaben im Vertrag.

Betreibt der Anbieter den Shop als Dienst, verwaltet nach NIST SP 800-145 der Kunde die darunterliegende Infrastruktur nicht, abgesehen von einzelnen nutzerspezifischen Einstellungen; Ihre Zusage gilt dem Dienst und nicht Ihrer Internetanbindung. Den Bezugsweg klärt SaaS-Shop oder Self-Hosting, die übrigen Funktionen sammelt die Anforderungsliste für das Shopsystem, Ziele für Verfügbarkeit und Wiederanlauf nennt Hosting für den Onlineshop. Die Punkte sind ein Prüfraster für den Vertrag, das Sie in Deutschland, Österreich und der Schweiz gleich verwenden können; was Datenschutz und Vertragsrecht von einer Dienstleistervereinbarung verlangen, steht in Auftragsverarbeitung mit Dienstleistern.

Diese Kriterien zählen

Die Tabelle nennt je Kriterium, warum es zählt, wie Sie es prüfen und welche Frage Sie schriftlich stellen.

Kriterium	Warum es zählt	So prüfen Sie es	Frage an den Anbieter
Messregel der Verfügbarkeit	Ohne Zeitraum und Messstelle ist der Prozentwert nicht prüfbar	Bezugszeitraum, Endpunkt, Messintervall und messende Stelle suchen	Welchen Zeitraum und Endpunkt messen Sie, und wer misst?
Störungsklassen	Ohne Kategorien bleibt offen, welche Frist für Ihre Störung gilt	Kategorien und ihre Priorisierung lesen (C5:2026, GC-02 Nr. 2)	Wie stufen Sie eine Störung im Bezahlvorgang ein?
Fristen je Klasse	Reaktionszeit und Wiederherstellungszeit sind zwei verschiedene Zeiträume	Beide Fristen getrennt abfragen (C5:2026, GC-02 Nr. 3 und 4)	Beginnt die Reaktionszeit mit meiner Meldung, und wann ist die Störung behoben?
Wartungsfenster	Ein Fenster ohne Höchstdauer entwertet die Zusage	Ankündigungsfrist und Höchstdauer je Fenster prüfen	Wie lang darf ein Fenster sein, und wie kündigen Sie es an?
Rechtsfolge	Mit einer bezifferten Folge können Sie einen Verstoß selbst nachrechnen	Gutschrift oder Vertragsstrafe und ihre Berechnung suchen (C5:2026, GC-02 Nr. 5: Angaben zu den Rechtsfolgen bei Nichteinhaltung)	Welche Gutschrift ergibt sich je Stunde über dem Ausfallbudget?
Wiederanlauf und Datensicherung	Nach einem Ausfall entscheidet der Datenstand über den Schaden	C5:2026, GC-03 sieht Angaben zu maximal tolerierbarer Ausfallzeit (MTPD), RTO und RPO auf Anfrage vor; verlangen Sie diese Zahlen schriftlich	Welche Werte nennen Sie für RTO, RPO und MTPD, und wie oft wird die Wiederherstellung getestet (CON.3.A15)?
Meldung, Erreichbarkeit, Eskalation	Sonst erfahren Sie von einem Teilausfall über Kundenanfragen	Kanal, Frist, Supportzeiten und Eskalationsweg prüfen (DER.2.1.A9 und A14)	Wer meldet mir einen Ausfall, wann ist der Support erreichbar, und wer eskaliert?
Sicherheitsvorfall	Ein Angriff folgt einem anderen Weg als ein Ausfall	Meldeweg und Meldestelle getrennt abfragen (DER.2.1.A9 und A20)	Wer ist außerhalb der Geschäftszeiten erreichbar, und wer bewertet den Vorfall?
Änderungen und Patches	Updates laufen, während Sie verkaufen	Ankündigung, Test vorab und Rückfallweg prüfen (OPS.1.1.3.A1 und A7)	Wie kündigen Sie Änderungen an, und welche Rückfalllösung gibt es?

Die Kriterien stammen aus Standards, nicht aus einer Vorschrift: Das IT-Grundschutz-Kompendium und C5:2026 sind Veröffentlichungen des BSI; sie wirken, wo Gesetz oder Vertrag auf sie verweisen. Als Prüfraster taugen sie, weil sie Begriffe festlegen: Der BSI-Standard 200-4 trennt die Störung, in der Ressourcen nicht wie vorgesehen funktionieren, vom Notfall jenseits der maximal tolerierbaren Ausfallzeit.

Die Klausel-Checkliste für das Service Level

Arbeiten Sie die Klauseln in dieser Reihenfolge ab und nehmen Sie jede Antwort als Vertragsanhang auf.

1. Leistungsgegenstand. Bezahlvorgang, Katalog, Administration und die Schnittstellen zu Zahlung, Versand und Warenwirtschaft einzeln nennen; sonst ist ein Teilausfall nicht zuordenbar.
2. Betriebszeit und Bezugszeitraum. Rund um die Uhr oder nur zu Geschäftszeiten, je Monat oder je Jahr: Eine Zusage über Geschäftszeiten ist kürzer.
3. Verfügbarkeit mit Messregel. Endpunkt, Messintervall und messende Stelle ergänzen und festlegen, wie ein Teilausfall gewertet wird.
4. Ausnahmen als geschlossene Liste. Wartungsfenster mit Ankündigungsfrist und Höchstdauer, Eingriffe auf Ihre Weisung, Störungen in Systemen, die Sie selbst verantworten.
5. Störungsklassen. Drei oder vier Klassen mit Beispielen aus Ihrem Shop, jeder Klasse beide Fristen zugeordnet.
6. Reaktions- und Wiederherstellungszeit. Nach C5:2026, GC-02 Nr. 3 und 4, zählen zwei Zeiträume: bis zum Beginn der Behebung nach Ihrer Meldung und bis zu ihrem Abschluss.
7. Meldung und Eskalation. Kanal, Empfänger und Frist festhalten, Ansprechpersonen mit Rolle und Zeiten benennen; DER.2.1.A14 nennt dafür Werkzeuge wie ein Ticketsystem.
8. Wiederanlauf und Datensicherung. C5:2026, GC-03 sieht Angaben zu maximal tolerierbarer Ausfallzeit (MTPD), RTO und RPO auf Anfrage vor; verlangen Sie diese Zahlen und nehmen Sie sie als Vertragsanhang auf. CON.3.A9 nennt für eine Online-Datensicherung zusätzlich eine Dienstgüte-Vereinbarung zur Verfügbarkeit.
9. Rechtsfolge und Preis. Gutschrift je Stunde über dem Ausfallbudget samt Berechnung und Nachweis der Messung vereinbaren; C5:2026, GC-02 Nr. 5 verlangt vom Anbieter Angaben zu den Rechtsfolgen bei Nichteinhaltung; nehmen Sie Preis der Supportstufe und Ausstiegsweg dazu (Anbieterbindung und Datenexport).

Verfügbarkeit in Ausfallzeit umrechnen

Verfügbarkeit ist der Anteil der Betriebszeit, in dem der Dienst die vereinbarte Funktion erbringt; das erlaubte Ausfallbudget ist der Rest: Ausfallzeit = Betriebszeit × (1 − Verfügbarkeit). Beispielrechnung für 365 Tage und für einen 30-Tage-Monat, auf volle Sekunden gerundet:

Verfügbarkeit	Ausfall je 365 Tage	Ausfall je 30-Tage-Monat
99,0 %	87 Stunden 36 Minuten	7 Stunden 12 Minuten
99,5 %	43 Stunden 48 Minuten	3 Stunden 36 Minuten
99,9 %	8 Stunden 45 Minuten 36 Sekunden	43 Minuten 12 Sekunden
99,99 %	52 Minuten 34 Sekunden	4 Minuten 19 Sekunden
99,999 %	5 Minuten 16 Sekunden	26 Sekunden

Als Vergleichswerte nennt C5:2026, GC-04, die Verfügbarkeitsklassen VK 1 mit 99 Prozent bis zu 88 Stunden, VK 2 mit 99,9 Prozent bis zu 9 Stunden, VK 3 mit 99,99 Prozent bis zu 53 Minuten und VK 4 mit 99,999 Prozent bis zu 6 Minuten kumulierter Ausfallzeit je Jahr; das BSI rundet dabei auf ganze Stunden und Minuten auf. Drei Punkte ändern das Ergebnis: der Bezugszeitraum (99,9 Prozent sind im Monat nur 43 Minuten), die Ausnahmen (ohne Höchstdauer für ein Wartungsfenster verliert der Prozentwert an Aussage) und der bewertete Endpunkt (ein Ausfall des Bezahlvorgangs kostet mehr als der einer Hilfe-Seite).

Rechnen Sie zum Schluss den Unterschied zweier Angebote in Geld: 99,9 statt 99,99 Prozent sind rund 7 Stunden 53 Minuten mehr erlaubter Ausfall; bei 40 Bestellungen je Stunde und 12 Euro Deckungsbeitrag rund 3.800 Euro im Jahr (erfundene Zahlen).

Woraus sich die Kosten zusammensetzen

Rechnen Sie den Support über die geplante Laufzeit und trennen Sie, was im Abonnement liegt, von dem, was Sie nach Aufwand zahlen.

Kostenart	Einmalig oder laufend	Frage
Supportstufe mit den Fristen	laufend	Welche Störungsklassen und Fristen enthält diese Stufe, was kostet die nächste?
Ticket- oder Stundenvolumen	laufend	Wie viele Anfragen sind inbegriffen, und wie wird eine Anfrage darüber abgerechnet?
Bereitschaft außerhalb der Zeiten	laufend	Was kostet die Erreichbarkeit am Wochenende, und wofür gilt sie?
Einrichtung und Anbindung	einmalig	Was ist im Preis enthalten, was wird nach Aufwand berechnet?
Anpassungen und Änderungen	einmalig	Wer schätzt den Aufwand, und gilt der Stundensatz auch für eine Fehlerbehebung?
Ausfallzeit im eigenen Betrieb	bei Ausfall	Was kostet eine Stunde Ausfall im Bezahlvorgang?
Ausstieg und Datenübernahme	einmalig	Was kostet die Übergabe, und in welchem Format kommen die Daten?

Eine Gesamtrechnung über mehrere Jahre zeigen Gesamtkosten eines Shopsystems und Was kostet ein Onlineshop?; ob Sicherheitslücken während des gesamten Nutzungszeitraums zeitnah behoben werden, klärt der Wartungsvertrag (APP.6.A3).

Warnsignale in Angebot und Vertrag

• Der Prozentwert steht ohne Bezugszeitraum, Messstelle und Messintervall.
• Wartungsfenster sind nicht begrenzt und müssen nicht angekündigt werden.
• Eine Frist gilt für alle Störungen gleich; „Bearbeitung innerhalb von 24 Stunden“ lässt offen, wann der Shop wieder läuft.
• Die Zusage nennt keine Rechtsfolge; dann lässt sich ein Verstoß nicht aus dem Vertrag beziffern.
• Der Support läuft ohne Ticketweg, nur über eine Telefonnummer oder eine Vertriebsadresse.
• Ansprechpersonen und Eskalationsweg fehlen; jede Anfrage beginnt wieder bei der Hotline.
• Sicherungsintervalle und Wiederanlaufzeiten fehlen, oder die Wiederherstellung wurde noch nicht getestet (CON.3.A15).
• Ein Testat wird genannt, aber nicht sein Geltungsbereich und die geprüften Kriterien (C5:2026, GC-06).

Welche Kriterien für welchen Betrieb

Die Zuordnung ist eine redaktionelle Einschätzung: Sie zeigt, welche Klauseln Sie höher gewichten, und sagt nichts über Anbieter aus.

Betrieb	Höher gewichten
Shop mit einer Person im Betrieb	Ein Ticketweg, den Sie selbst getestet haben, und Wartungsfenster außerhalb Ihrer Arbeitszeiten
Saison- oder Kampagnenspitzen	Bezugszeitraum Monat, Ausnahmen und Bereitschaft in den Spitzenzeiten
Verkauf an Geschäftskunden	Verfügbarkeit während der Bestellzeiten, Ansprechpersonen und Eskalation
Abo oder wiederkehrende Lieferungen	Wiederanlauf, höchstens zulässiger Datenverlust und die Schnittstelle zur Zahlung
Marktplatz- oder Warenwirtschaftsanbindung	Zusagen für Schnittstellen, Verantwortungsgrenze und Ankündigung von Änderungen (Schnittstellen prüfen)
Wachsender Shop mit eigenem Team	Nachweise und Berichte, Preisstufen für eine höhere Klasse und der Ausstieg

So vergleichen Sie in fünf Schritten

1. Schreiben Sie Ihre Ausfalltoleranz in Stunden auf, getrennt nach Bezahlvorgang, Katalog und Administration.
2. Rechnen Sie jedes Angebot mit der Tabelle oben in Ausfallzeit um und notieren Sie Bezugszeitraum und Ausnahmen daneben.
3. Legen Sie drei Störungsklassen mit Beispielen aus Ihrem Shop fest und tragen Sie für jede Klasse beide Fristen ein.
4. Fragen Sie Wiederanlaufparameter, Sicherungstest, Meldeweg, Ansprechpersonen und Bericht ab und stellen Sie dem Support vorher eine Testfrage.
5. Übernehmen Sie jede Zusage als Vertragsanhang, samt Preis der Stufe, Rechtsfolge und Ausstiegsweg; streichen Sie Klauseln, die Sie nicht geprüft haben.

Zusagen, Preise und Kriterienkataloge ändern sich; prüfen Sie Vertrag, C5:2026 und Preisliste an dem Tag, an dem Sie entscheiden.