Shop-Ausfall: Monitoring und Notfallplan

Ein Ausfall muss sich nicht an der Startseite zeigen: Sie kann noch aus einem Zwischenspeicher antworten, während der Bezahlvorgang längst fehlschlägt. Der eigene Browseraufruf zeigt einen Messpunkt, nicht den Weg bis zur Bestellung. Die folgenden sieben Schritte bauen die Überwachung auf und halten fest, was im Ausfall zu tun ist.

Was Sie vorab brauchen

• eine Liste der Vorgänge, ohne die Ihr Shop nicht verkauft: Produktseite, Warenkorb, Bezahlvorgang, Übergabe an die Warenwirtschaft, Versandlabel, E-Mail-Versand
• je Vorgang eine Adresse, die von außen erreichbar ist, deren Antwort eindeutig ist und die in festem Abstand von außerhalb Ihres Netzes geprüft wird
• zwei Zielwerte: wie lange ein Vorgang höchstens ausfallen darf und wie alt Ihre Daten nach einer Wiederherstellung sein dürfen
• Namen, Rufnummern und Wege der Personen und Dienstleister, die eingreifen können
• einen Ort, an dem Runbook und Kontaktliste auch ohne den Shop lesbar sind

Schritt für Schritt: Ausfall erkennen und behandeln

Schritt 1: Messpunkte festlegen

Ein Messpunkt ist eine Adresse, deren Antwort Sie ohne Zweifel als “arbeitet” oder “arbeitet nicht” lesen können. Prüfen Sie nicht die Startseite allein, sondern jeden Schritt bis zum Kaufabschluss.

Messpunkt	Prüfung	Erwartete Antwort
Startseite und Kategorieseite	GET auf die Adresse	Status 200
Produktseite eines aktiven Artikels	GET auf die Adresse	Status 200 und Artikelnummer im Inhalt
Warenkorb	GET auf die Warenkorbseite	Status 200
Bezahlvorgang	GET auf die Checkout-Seite	Weiterleitung zum Zahlungsdienst
Zahlungsdienst	GET auf die Weiterleitungsadresse	Antwort ohne Fehlerseite
Warenwirtschaft	GET auf die Statusadresse	Status 200 innerhalb Ihrer Zeitgrenze
Versandlabel	GET auf die Statusseite des Dienstes	Status 200
E-Mail-Versand	Testnachricht an eine fremde Adresse	zugestellt innerhalb Ihrer Zeitgrenze

Für automatische Prüfungen eignen sich die Methoden, die RFC 9110 Abschnitt 9.2.1 als sicher definiert: GET, HEAD, OPTIONS und TRACE. Sicher heißt dort, dass der Client durch die Methode keine Zustandsänderung am Server verlangt und keine erwartet; Nebenwirkungen der Umsetzung schließt die Definition nicht aus, denn die Vorschrift nennt Einträge im Zugriffsprotokoll selbst als Beispiel und erwartet von einer sicheren Methode auch keine geringe Last. Eine Prüfung mit POST auf die Bestellfunktion kann dagegen Bestellungen erzeugen. Ist eine Adresse so gebaut, dass ein Parameter in ihr eine Aktion auswählt (etwa “seite?aktion=loeschen”), liegt es nach derselben Vorschrift beim Betreiber der Ressource, diese Aktion für eine sichere Methode zu sperren. Ergebnis: eine Liste mit Adresse, Methode, erwarteter Antwort und verantwortlicher Person je Messpunkt.

Schritt 2: Messabstand und Verfügbarkeitswert festlegen

Zu jedem Messpunkt gehören der Abstand zwischen zwei Prüfungen und der Bezugszeitraum, über den Sie den Wert bilden:

Verfügbarkeit = erfolgreiche Prüfungen ÷ geplante Prüfungen × 100, in Prozent.

Beispielrechnung: Eine Prüfung alle fünf Minuten ergibt 8.640 Prüfungen in 30 Tagen. Fallen davon 12 aus, liegt der Wert bei 8.628 ÷ 8.640 × 100, also 99,86 Prozent. Der Abstand bestimmt auch die Erkennungszeit: fünf Minuten Abstand und ein Alarm nach zwei Fehlversuchen ergeben bis zu zehn Minuten Verzögerung.

Ein Wert von 99,9 Prozent an der Startseite sagt nichts über den Bezahlvorgang; führen Sie den Wert deshalb je Messpunkt. Vor Wartungsarbeiten legen Sie fest, wie Sie das Fenster behandeln: Nach RFC 9110 Abschnitt 15.6.4 darf ein Server mit 503 auch geplante Wartung anzeigen; ob das Fenster in den Wert eingeht und der Alarm stumm bleibt, halten Sie in der Liste der Messpunkte fest.

Schritt 3: Alarmstufen und Schwellen festlegen

Ein Alarmwert braucht die gemessene Größe, das Zeitfenster und die Zahl, ab der gemeldet wird. Die Tabelle ist eine Arbeitsvorlage mit redaktionellen Beispielwerten; die für diesen Artikel geöffneten Quellen (BSI-Standard 200-4, NIST SP 800-61r3, RFC 9110) nennen keine solche Schwelle.

Kennzahl	Messung und Zeitfenster	Beispielwert	Stufe	Erste Reaktion
Fehlgeschlagene Prüfung	Fehlversuche je Messpunkt in Folge	2	Warnung	Messpunkt und Statuscode nachsehen
Ausfall eines Messpunkts	Antwort weicht von der erwarteten Antwort ab: 5xx, Zeitüberschreitung oder Abbruch der Verbindung	1	kritisch	Betrieb des Systems oder Dienstes klären
Unerwartete 4xx-Antwort auf einem Verkaufsmesspunkt	erwartete Antwort 200 oder Weiterleitung, geantwortet wird 4xx	1	kritisch	Prüfadresse und geprüfte Route prüfen, dann Betrieb klären
Antwortzeit	Mittelwert je Messpunkt über 15 Minuten	über 3 Sekunden	Warnung	Lastspitzen prüfen
Verfügbarkeit	je Messpunkt über 24 Stunden	unter 99,5 Prozent	kritisch	Ursache und Dauer festhalten
Bezahlvorgang	Checkout-Weiterleitung, alle 5 Minuten	1 Fehlversuch	kritisch	Zahlungsdienst und Shop-Konfiguration klären
Eingehende Bestellungen	Vergleich mit dem Normalwert im gleichen Zeitfenster	deutliche Abweichung nach unten	kritisch	Übergabe an die Warenwirtschaft prüfen
Stille Quelle	Minuten seit der letzten Meldung eines Messpunkts	über 15	kritisch	Prüfung selbst prüfen

Nicht jede Fehlerantwort ist ein Ausfall, und die Statusklasse allein legt die Alarmstufe nicht fest. Ein 4xx zeigt nach RFC 9110 Abschnitt 15.5 an, dass der Client geirrt zu haben scheint; ein 404 heißt nach Abschnitt 15.5.5, dass der Ursprungsserver keine aktuelle Darstellung der angesprochenen Adresse gefunden hat oder ihre Existenz nicht offenlegen will, und der Code sagt nicht, ob dieser Zustand vorübergehend oder dauerhaft ist. Steht in Ihrer Messpunktliste Status 200 als erwartete Antwort und kommt ein 404, ist das eine Abweichung von der erwarteten Antwort, deren Ursache auf beiden Seiten liegen kann: Die Prüfadresse selbst wurde entfernt oder umbenannt, die geprüfte Darstellung fehlt (etwa weil eine Produktseite gelöscht oder eine Bezahlroute geändert wurde), oder der Server will sie nicht zeigen. Klären Sie die Ursache, statt den 404 der Prüfung zuzuschreiben. Ein 5xx heißt nach Abschnitt 15.6, dass der Server weiß, dass er geirrt hat, oder die angeforderte Methode nicht ausführen kann; alarmieren Sie darauf, auf Zeitüberschreitungen und auf abgebrochene Verbindungen. Die Stufe richten Sie am betroffenen Vorgang aus, nicht an der Statusklasse: Ein 404 auf der Checkout-Seite ist ein Ausfall des Bezahlvorgangs, ein 404 auf einer Adresse ohne Verkaufsfunktion eine Warnung. Wie Sie Lastspitzen vorbereiten, steht in Lastspitzen im Shop.

Schritt 4: Alarmkontaktliste schreiben

Ein Alarm erreicht sein Ziel erst, wenn er bei einer Person ankommt, die handeln darf. Der BSI-Standard 200-4 (Version 1.0, Mai 2023) verlangt in Kapitel 5.2.1, dass festgelegt wird, wie die Meldestellen innerhalb und außerhalb der Geschäftszeiten erreichbar sind und dass sie im Notfallhandbuch stehen. Der Baustein DER.2.1.A3 (Edition 2023) verlangt aktuelle, leicht zugängliche Kontaktinformationen, DER.2.1.A20 sieht bei erhöhtem Schutzbedarf Meldungen auch außerhalb der Arbeitszeiten vor. Beide BSI-Dokumente sind Empfehlungen und binden nur, wenn Gesetz oder Vertrag auf sie verweisen.

Rolle	Wen rufen	Weg	Zeitfenster	Stellvertretung
Shopbetrieb	verantwortliche Person im Betrieb	Mobiltelefon	24 Stunden	zweite Person im Betrieb
Serverbetrieb	Technik des Hosters	Notrufnummer aus dem Vertrag	laut Vertrag	Vertragsadresse per E-Mail
Shopsoftware	Ansprechperson der Betreuung	Telefon	laut Vereinbarung	Stellvertretung der Betreuung
Zahlungsdienst	technischer Support	Telefon	laut Vertrag	zweiter Ansprechweg des Dienstes
Warenwirtschaft	interne Betreuung oder Dienstleister	Telefon	Geschäftszeiten	Stellvertretung
Versandlabel	technischer Support des Dienstes	Telefon	laut Vertrag	Vertragsadresse per E-Mail
Domain und Namensauflösung	Vertragspartner für die Domain	Telefon	Geschäftszeiten	Konto-Zugang an zweiter Stelle

Tragen Sie die Tabelle nicht nur in einem System, das mit dem Shop ausfällt: Der BSI-Standard 200-4 verlangt in Kapitel 4.4, dass alle im Notfall benötigten Dokumente verfügbar sind. Halten Sie eine gedruckte Fassung im Betrieb und bei der nachts erreichbaren Person; Ihre Nummern kommen aus den Verträgen.

Schritt 5: Runbook aufbauen

Das Runbook ist die Fassung Ihres Notfallplans für den Shop: eine Mappe oder Datei, die eine eingewiesene Person nach dem Alarm von oben nach unten abarbeitet. Der Baustein DER.4.A1 (Edition 2023) nennt die Inhalte eines Notfallhandbuchs: Rollen, Sofortmaßnahmen, Alarmierung und Eskalation sowie Kommunikations-, Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungspläne.

Abschnitt	Inhalt	Wer pflegt
1 Messpunkte und Alarme	Messpunkte, Prüfabstand, Bezugszeitraum, Schwellen	Shopbetrieb
2 Rollen und Erreichbarkeit	Alarmkontaktliste, Stellvertretungen, Zeitfenster	Betriebsleitung
3 Auslöser und Einstufung	welche Messung welche Stufe auslöst, wer entscheidet	Betriebsleitung
4 Sofortmaßnahmen	erste Handlungen, etwa Bestellannahme anhalten, Hinweis auf der Startseite, Weiterleitungen prüfen	Shopbetrieb
5 Eskalation und Auskunft	wer informiert wen, wer nach außen sprechen darf	Betriebsleitung
6 Wiederanlauf	Reihenfolge, Zielwerte, Prüfschritte vor der Freigabe	Shopbetrieb und Technik
7 Wiederherstellung	Weg zurück aus der Sicherung, wer ihn freigibt	Technik oder Dienstleister
8 Nachbereitung	Erkennungszeit, Behebungszeit, Maßnahmen mit Termin	Betriebsleitung
9 Anhänge	Kontaktliste, Zugangswege, Vertragsnummern, Ersatzteile	Betriebsleitung

Zwei Punkte gehören hinein. Erstens die Befugnisse: Nach NIST SP 800-61r3 (April 2025), Abschnitt 2.3, nennt eine Richtlinie neben Rollen und Verantwortlichkeiten die Befugnis, Systeme abzuschalten, und Leistungskennzahlen. Zweitens der Alarmierungspfad: Nach BSI-Standard 200-4, Kapitel 5.2.3, regelt er, wer durch wen alarmiert wird und welche Angaben die Meldung enthält.

Als Zielwerte brauchen Sie drei Kenngrößen aus Kapitel 7 des BSI-Standards 200-4: die maximal tolerierbare Ausfallzeit (MTPD), die Wiederanlaufzeit (RTO) und den zulässigen Datenverlust (RPO). Die RTO muss kürzer sein als die Ausfallzeit, der zulässige Datenverlust ergibt den Sicherungszyklus. Zum Aufbau: Backup und Wiederherstellung für Shops.

Schritt 6: Alarm und Alarmierung üben

Stellen Sie jede Alarmstufe einmal absichtlich her: Schalten Sie eine Prüfung ab und sehen Sie, ob der Alarm für die stille Quelle kommt; rufen Sie eine Adresse ab, die mit 404 antwortet, und prüfen Sie, dass der Alarm die Abweichung von der erwarteten Antwort meldet, statt sie der Prüfung zuzuschreiben. Der Baustein DER.4.A10 (Edition 2023) sieht bei erhöhtem Schutzbedarf vor, Sofortmaßnahmen und Notfallpläne regelmäßig und anlassbezogen zu testen und die Übungen in einem Übungsplan festzuhalten.

Für den Alarmweg sieht der BSI-Standard 200-4, Kapitel 13.8, die Alarmierungsübung vor: Technikorientierte Tests prüfen die Kommunikationsmittel, anwendungsorientierte Übungen die Erreichbarkeit der Rolleninhabenden und ihrer Stellvertretungen, beides auf Basis eines Alarmierungspfads mit aktuellen Kontaktdaten. Der Standard nennt als Beispielziel, dass 30 Minuten nach der ersten Meldung alle Rolleninhabenden den Alarm bestätigt haben, und empfiehlt unangekündigte Übungen, bei Erreichbarkeit außerhalb der Geschäftszeiten auch nachts. Über einen festgelegten Zeitraum sollten alle Alarmierungswege getestet und die Reaktionszeiten dokumentiert werden; DER.2.1.A22 (Edition 2023) ergänzt bei erhöhtem Schutzbedarf die Messgröße “Zeit von der Erstmeldung bis zur verbindlichen Bestätigung”.

Schritt 7: Nach dem Ausfall nachziehen

Notieren Sie nach jedem Ausfall fünf Zeitpunkte: Beginn des Ausfalls, Eingang des Alarms, Beginn der Bearbeitung, Wiederanlauf, Alter der eingespielten Daten. Nach DER.2.1.A17 (Edition 2023) soll die Nachbereitung untersuchen, wie schnell erkannt und behoben wurde, ob die Meldewege funktionierten und ob die Detektion wirksam war.

Vergleichen Sie die Messwerte mit den Zielwerten aus Kapitel 7 des BSI-Standards 200-4. War der Alarm zu spät, verkürzen Sie den Prüfabstand oder senken Sie die Zahl der Fehlversuche; erreichte er die falsche Person, ändern Sie die Kontaktliste. Der Standard verlangt außerdem, die Nacharbeiten zu regeln: alles, was im Notbetrieb liegen blieb, und nachgeholt werden muss.

So prüfen Sie das Ergebnis

• Jeder Messpunkt nennt Adresse, Methode, erwartete Antwort, Prüfabstand, Bezugszeitraum und eine verantwortliche Person.
• Ihre Prüfadressen sind so gebaut, dass ein GET nur liest und weder eine Bestellung noch eine schreibende Aktion auslöst.
• Der Alarmweg erreicht außerhalb der Geschäftszeiten eine Person, die handeln darf, und die Kontaktliste liegt außerhalb des Shops.
• Jede Alarmstufe wurde einmal absichtlich ausgelöst und hat den vorgesehenen Empfänger erreicht.
• Der Verfügbarkeitswert wird je Messpunkt geführt, nicht als eine Zahl für den ganzen Shop.
• Für jeden kritischen Vorgang sind maximal tolerierbare Ausfallzeit, Wiederanlaufzeit und zulässiger Datenverlust notiert.

Wenn etwas nicht klappt

Fehlerbild	Mögliche Ursache	Behebung
Kein Alarm, obwohl der Shop nicht erreichbar war	Der Alarm endet in einem Postfach oder Dienst, der mit dem Shop ausfällt	zweiten Weg außerhalb der überwachten Systeme einrichten und mit einem Testereignis prüfen
Alarm bei jedem Update	Die Prüfung läuft in ein Wartungsfenster; 503 darf nach RFC 9110 Abschnitt 15.6.4 auch geplante Wartung anzeigen	Wartung vorab eintragen, Fenster in der Messung kennzeichnen, Alarm dafür stumm schalten
Alarm, obwohl der Shop läuft	Die feste Prüfadresse wurde entfernt oder umbenannt; ein 404 heißt nach RFC 9110 Abschnitt 15.5.5, dass keine aktuelle Darstellung gefunden wurde oder ihre Existenz nicht offengelegt wird	Prüfadresse festlegen und ihre erwartete Antwort dokumentieren
Verfügbarkeit hoch, Kundschaft meldet trotzdem Fehler	Messpunkte enden vor dem Bezahlvorgang, oder die Prüfung trifft nur einen von mehreren Wegen	Messpunkte bis in den Bezahlvorgang führen und Zahlungs- und Warenwirtschaftssystem getrennt prüfen
Prüfung erzeugt Last oder Bestellungen	Für die Prüfung wurde eine unsichere Methode verwendet, oder die Adresse löst über einen Parameter eine Aktion aus	GET oder HEAD einsetzen und die Prüfadresse so bauen, dass ein GET nur liest (RFC 9110 Abschnitt 9.2.1)
Der Alarm erreicht niemanden	Nummern sind veraltet oder eine Stellvertretung fehlt	Alarmierungsübung mit Zeitmessung abhalten und die Kontaktdaten danach aktualisieren
Nach dem Ausfall bleibt die Ursache unklar	Aufzeichnungen wurden überschrieben, bevor sie gesichert waren	Daten sichern, die Aufschluss über Art und Ursache geben, bevor die Komponenten wieder in Betrieb genommen werden (DER.2.1.A6)

Kommt keine Bestellung mehr, meldet das kein Statuscode: Vergleichen Sie die eingehenden Bestellungen mit dem Normalwert für dasselbe Zeitfenster. Wie Sie hängende Vorgänge finden, steht in Hängende Bestellungen finden, und wie Übergaben abgeglichen werden, in Fehler bei der Datensynchronisation.

Wann Sie Hilfe holen sollten

Betreiben Sie den Shop nicht selbst, klären Sie den Eskalationsweg, bevor Sie ihn brauchen: Welche Nummer gilt außerhalb der Geschäftszeiten, welche Reaktionszeit ist zugesagt, wer darf eingreifen? Der IT-Grundschutz-Baustein DER.4.A16 (Edition 2023) sieht bei erhöhtem Schutzbedarf vor, das Notfallmanagement der liefernden Stelle in den Verträgen zu prüfen und Abläufe in Notfalltests abzustimmen. Holen Sie Unterstützung, wenn beteiligte Systeme von anderen betrieben werden oder wenn der letzte Ausfall keine Ursache ergeben hat.

Für den Grundschutz führt Shop-Sicherheit: Grundschutz-Checkliste weiter, für geplante Änderungen Updates und Wartung des Shopsystems. Dieser Artikel beschreibt den technischen und organisatorischen Ablauf; Meldepflichten bei Sicherheitsvorfällen sind nicht sein Gegenstand. Was für Ihren Betrieb gilt, hängt an den Regeln Ihres Landes, siehe NIS2 und Cyber Resilience Act.