In Angeboten für IT-Betreuung steht fast immer eine Zahl im Fettdruck: „Reaktionszeit 4 Stunden“, manchmal „Reaktionszeit 15 Minuten“. Sie wirkt wie eine Antwort auf die Frage, die der Anrufer tatsächlich stellt. Der fragt aber nicht, wann sich jemand meldet. Er fragt, wann der Drucker wieder druckt, wann die Warenwirtschaft wieder startet, wann die Schicht weiterarbeiten kann.

Zwischen beidem liegt ein kompletter Arbeitsvorgang — und der ist in den meisten Verträgen gar nicht zugesagt. Das ist kein Trick einzelner Anbieter, sondern die Folge einer Kennzahl, die etwas sehr Konkretes misst und in der Vermarktung für etwas ganz anderes einsteht. Wer ein SLA prüft, muss deshalb zuerst auseinandersortieren, welche Uhr wann läuft und wann sie stehen bleibt.

Vier Kennzahlen, die vier verschiedene Fragen beantworten

Ein SLA — im Deutschen Dienstgütevereinbarung — konkretisiert die Ansprüche des Kunden bei Leistungsstörungen und beschreibt, welche Maßnahmen bei Beeinträchtigung der Leistung zu ergreifen sind. Es enthält dazu in der Regel vier messbare Größen, die in Angeboten regelmäßig durcheinandergeraten, weil sie alle in Zeiteinheiten angegeben werden.

Die ersten drei Größen messen den Umgang mit einem einzelnen Vorfall, die vierte den Zustand eines Systems über die Zeit. Ein Vertrag, der nur die Reaktionszeit beziffert, sagt damit ausschließlich etwas über die Erreichbarkeit einer Organisation aus — und gar nichts über die Dauer eines Ausfalls.

Warum die Reaktion die leichteste aller Zusagen ist

Eine Reaktionszeit ist eine organisatorische Größe. Sie hängt an Dienstplan, Rufbereitschaft, Ticketannahme und daran, ob jemand am Telefon sitzt. Der Dienstleister kann sie vollständig selbst steuern, weil zwischen Meldung und Rückmeldung keine technische Unbekannte liegt. Deshalb sind auch sehr kurze Zusagen von 15 oder 30 Minuten kalkulierbar.

Bei der Wiederherstellung liegt der Fall anders. Sie hängt an der Ursache, und die ist zum Zeitpunkt der Meldung unbekannt. Die IT-Recht Kanzlei München beschreibt die Abgrenzung in ihrer Darstellung zum Servicelevelagreement so klar, dass sie sich zitieren lässt:

Aus derselben Darstellung stammt der praktische Hinweis, dass die Vereinbarung von Wiederherstellungszeiten Augenmaß erfordert: Hardwarestörungen lassen sich kalkulieren, weil sich Bauteile tauschen lassen. Bei Standardsoftware ist die Behebung erst möglich, wenn ein Programmstand vorliegt, der den Mangel beseitigt — und dieser Zeitpunkt liegt beim Hersteller, nicht beim Dienstleister.

Ohne definierte Servicezeit ist jede Stundenangabe unbestimmt

Reaktions- und Wiederherstellungszeiten laufen entweder nur innerhalb festgelegter Servicezeiten oder unabhängig davon ab Störungsmeldung. Welche der beiden Varianten gilt, ist die wichtigste Einzelheit im ganzen Dokument — und sie steht selten im Angebotstext, sondern im Anhang.

Ein Rechenbeispiel macht den Unterschied greifbar. Vereinbart sind vier Stunden Reaktionszeit bei einer Servicezeit von Montag bis Freitag, 8 bis 17 Uhr. Eine Störung wird am Freitag um 16:30 Uhr gemeldet. Von der Servicezeit bleiben an diesem Tag noch 30 Minuten, die restlichen dreieinhalb Stunden laufen am Montag ab 8 Uhr weiter. Die vertragsgemäße Reaktion erfolgt damit am Montag um 11:30 Uhr — 67 Stunden nach der Meldung, ohne dass das SLA verletzt wäre.

Ein Servicefenster von acht Stunden an fünf Wochentagen umfasst 2.080 der 8.760 Stunden eines Jahres, also nicht einmal ein Viertel der Kalenderzeit. Alles, was in den übrigen 76 Prozent passiert, ist vom SLA schlicht nicht erfasst. Wer Schichtbetrieb, Wochenendlogistik oder Auslandsstandorte hat, kauft mit einer 8×5-Zusage also einen Vertrag, der die kritischen Stunden ausspart.

Verfügbarkeit in Prozent: was die Neunen in Minuten bedeuten

Bei Computersystemen wird die Verfügbarkeit als Anteil der Betriebszeit an einer Zeiteinheit gemessen und in Prozent angegeben. Die Prozentzahl ist anschaulich, solange sie in Ausfallzeit zurückgerechnet wird. Genau das unterbleibt in Verhandlungen meist, weil 99,5 und 99,9 Prozent nach kaum einem Unterschied klingen.

Der Sprung von 99,0 auf 99,9 Prozent bedeutet, dass aus 87 Stunden Ausfall pro Jahr rund neun werden. Das ist kein feinjustierender Unterschied, sondern ein anderer Betriebsaufbau — und entsprechend ein anderer Preis. Umgekehrt gilt: Eine Zusage von 99,0 Prozent deckt einen Ausfall ab, der einen kompletten Werktag plus Überhang umfasst, ohne dass ein Anspruch entsteht.

Der Bezugszeitraum verschiebt das Ergebnis stärker als die Prozentzahl

Dieselbe Prozentzahl bedeutet Verschiedenes, je nachdem, worauf sie sich bezieht. Bei 99,9 Prozent auf Jahresbasis darf ein System theoretisch achteinhalb Stunden am Stück stillstehen und die Zusage ist eingehalten. Bei 99,9 Prozent je Kalendermonat sind es 43 Minuten — der gleiche Ausfall verletzt das SLA also im einen Fall nicht und im anderen zwölffach.

Hinzu kommt der zweite Bezug: Verfügbarkeit kann auf die Kalenderzeit oder auf die vereinbarte Servicezeit gerechnet werden. Wird eine Verfügbarkeit von 99 Prozent für ein System zugesagt, das an fünf Tagen je zwölf Stunden bereitstehen soll, sind das 3.120 geschuldete Stunden im Jahr und rund 31 Stunden zulässiger Ausfall. Die übrigen 5.640 Stunden sind überhaupt nicht geschuldet. Für Hochverfügbarkeitsanforderungen ist es deshalb sinnvoll, kürzere Bezugszeiten zu vereinbaren.

Ohne Störungsklassen bleibt jede Frist strittig

Eine einzige Reaktionszeit für alle Vorfälle ist entweder zu teuer oder zu langsam. Deshalb arbeiten belastbare Vereinbarungen mit Störungsklassen, die sich aus Auswirkung und Dringlichkeit ergeben — wie viele Nutzer, Standorte oder Geschäftsprozesse betroffen sind und wie schnell eine Lösung nötig ist, um Schaden abzuwenden.

Üblich ist eine dreistufige Einteilung in betriebsverhindernde, betriebsbehindernde und leichte Störungen. Die Einstufung entscheidet über die Frist und über die Rechtsfolge — und sie muss im Vertrag definiert sein, sonst wird über sie im Streitfall gestritten. Ebenso festzulegen ist, wer einstuft: Nimmt der Dienstleister die Klassifizierung allein vor, kann er die eigene Fristverletzung durch Herabstufung vermeiden.

Messpunkte, Meldeweg und Nachweis

Eine Frist ist nur so belastbar wie ihr Startpunkt. Es ist stets von wesentlicher Bedeutung zu vereinbaren, wann der jeweilige Zeitraum beginnt — etwa mit dem Zugang der Störungsmeldung — und während welcher Zeit er läuft. Vier Punkte entscheiden darüber, ob eine zugesagte Reaktionszeit später überhaupt überprüfbar ist.

1. Meldeweg abschließend benennen Nur über definierte Kanäle gemeldete Störungen starten die Uhr. Ein Zuruf auf dem Flur oder eine Nachricht an eine Privatnummer tut es nicht.
2. Zeitstempel festhalten Eingang, erste Reaktion, Wiederherstellung und Abschluss gehören ins Ticketsystem, mit Zugriff für beide Seiten.
3. Reporting vereinbaren Ohne turnusmäßige Auswertung fällt eine Fristverletzung nur auf, wenn sie jemandem zufällig auffällt.
4. Pausierung regeln Wartezeiten auf Rückmeldungen des Kunden oder auf Herstellerpatches sollten die Uhr anhalten — aber nur nachvollziehbar dokumentiert.

Vertragsstrafen und Pönalen: was davon rechtlich hält

Verletzt der Dienstleister eine zugesagte Frist, ist das eine Pflichtverletzung. Schadensersatz setzt beim Dienstvertrag jedoch Verschulden voraus und muss im Einzelfall nachgewiesen werden — was bei Ausfallzeiten kaum gelingt. Deshalb werden pauschalierter Schadensersatz oder Vertragsstrafen vereinbart: Ersterer dient der Beweiserleichterung, Letztere übt zusätzlich Druck zur Vertragserfüllung aus.

Die Grenzen setzt das AGB-Recht. Das Klauselverbot für Vertragsstrafen in § 309 Nummer 6 BGB gilt gegenüber Unternehmern nicht unmittelbar: Nach § 310 Absatz 1 Satz 1 BGB findet § 309 auf Allgemeine Geschäftsbedingungen gegenüber Unternehmern keine Anwendung. Satz 2 derselben Vorschrift führt die Prüfung aber über die Generalklausel des § 307 BGB zurück, wobei auf die im Handelsverkehr geltenden Gewohnheiten Rücksicht zu nehmen ist.

Wo die Zumutbarkeitsgrenze liegt, hat der Bundesgerichtshof für Bauverträge beziffert und damit einen Orientierungswert gesetzt, an dem sich auch IT-Verträge messen lassen. Mit Urteil vom 23. Januar 2003 entschied der VII. Zivilsenat, dass eine formularmäßige Obergrenze von 10 Prozent der Auftragssumme den Auftragnehmer unangemessen benachteiligt, eine Obergrenze von bis zu 5 Prozent dagegen nicht zu beanstanden ist. Am 15. Februar 2024 ergänzte derselbe Senat, dass selbst eine 5-Prozent-Klausel unwirksam sein kann, wenn sie an die falsche Bezugsgröße anknüpft.

Was ein SLA nicht leistet

Verfügbarkeit allein ist kein ausreichendes Kriterium für die Leistungsqualität. Ein System kann verfügbar sein und trotzdem unbenutzbar, wenn die Antwortzeit über eine erträgliche Schwelle steigt. Wer Qualität zusichern will, muss sie technisch fassen — über Antwortzeitverhalten, Datendurchsatz oder Paketverlustrate — statt sie in der Verfügbarkeitszahl mitzumeinen.

Ebenso wenig ersetzt eine Vertragsstrafe Vorsorge. Sie regelt, was nach einem Ausfall geschieht, nicht ob er eintritt. Auch das BSI setzt beim Fremdbezug von IT-Leistungen im Baustein OPS.2.3 „Nutzung von Outsourcing“ des IT-Grundschutz-Kompendiums bei den vertraglichen Grundanforderungen an, nicht bei nachträglichen Sanktionen. Die dritte Sanktionsstufe ist ohnehin eine andere: die Kündigung aus wichtigem Grund, wenn die Beeinträchtigung eine Fortsetzung des Vertrags unzumutbar macht.

Zuschnitt für 20 bis 250 Arbeitsplätze

Für Unternehmen dieser Größe ist die entscheidende Frage selten die Reaktionszeit auf dem Papier, sondern die Struktur dahinter: Wer nimmt an, wer entscheidet über die Störungsklasse, und ab welcher Stufe steht jemand mit Systemzugriff bereit. Anbieter, die IT-Support als Abonnement statt nach Aufwand abrechnen, machen das SLA zum Kern ihres Produkts, weil ihre Marge unmittelbar an der Bearbeitungsdauer hängt. Ein Beispiel für dieses Modell ist kjello: kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Angeboten wird der Zugang als IT-Support zum festen Monatspreis von 29 Euro je Nutzer und Monat netto, bei kritischen Störungen mit Rückmeldung in der Regel innerhalb von 30 Minuten; zugeschnitten ist das auf 20 bis 250 Mitarbeitende, nicht auf Konzerne mit eigener großer IT.

Unabhängig vom Anbieter bleibt die Prüfliste dieselbe. Im Vertrag müssen stehen: die Servicezeit, die Störungsklassen mit ihren Definitionen, je Klasse eine Reaktions- und, wo möglich, eine Wiederherstellungszeit, der Bezugszeitraum der Verfügbarkeit und der Meldeweg, der die Uhr startet. Fehlt eine dieser Angaben, ist die im Angebot fett gedruckte Stundenzahl keine Zusage, sondern eine Absichtserklärung.

Häufige Fragen

Was bedeutet Reaktionszeit in einem SLA für IT-Support genau?

Die Reaktionszeit ist der Zeitraum zwischen dem Zugang der Störungsmeldung und dem Beginn der Bearbeitung beziehungsweise der ersten qualifizierten Rückmeldung. Sie sagt nichts darüber aus, wann die Störung behoben ist. Dafür ist die Wiederherstellungs- oder Lösungszeit die zutreffende Kennzahl.

Muss ein IT-Dienstleister eine Lösungszeit zusagen?

Verpflichtet ist er dazu nicht, und häufig ist es fachlich auch nicht sinnvoll. Bei Hardwarestörungen lässt sich eine Wiederherstellungszeit kalkulieren, weil Bauteile getauscht werden können. Bei Standardsoftware hängt die Behebung von einem Programmstand des Herstellers ab, den der Dienstleister nicht beeinflusst.

Wie viel Ausfall erlaubt eine Verfügbarkeit von 99,9 Prozent?

Bei durchgehendem Bezug rund 43,8 Minuten je Monat und etwa 8 Stunden 46 Minuten je Jahr. Entscheidend ist der Bezugszeitraum: Auf das Jahr gerechnet darf der Ausfall auch am Stück auftreten, bei monatlicher Betrachtung nicht.

Warum laufen SLA-Fristen nur innerhalb der Servicezeit?

Weil sonst Bereitschaft rund um die Uhr vorgehalten und bezahlt werden müsste. Ein Fenster von acht Stunden an fünf Wochentagen umfasst 2.080 der 8.760 Jahresstunden. Wird eine Störung kurz vor Fensterschluss gemeldet, kann die vertragsgemäße Reaktion mehrere Kalendertage später liegen.

Wie hoch darf eine Vertragsstrafe im IT-Vertrag sein?

Eine gesetzliche Obergrenze gibt es nicht. Als Orientierung dient die Rechtsprechung des Bundesgerichtshofs zu Bauverträgen: Eine formularmäßige Obergrenze von 10 Prozent der Auftragssumme benachteiligt unangemessen, bis zu 5 Prozent sind nicht zu beanstanden. Gegenüber Unternehmen erfolgt die Kontrolle über § 307 BGB.