Zum Inhalt springen
Proaktive Sicherheitsupdates
Performance & Shop-Betrieb

Drittanbieter-Ausfälle: Shop trotz Störung bestellbar

Fällt Zahlungsanbieter, Versand-API oder CDN aus, muss der Shop bestellbar bleiben: Inventar, Blast-Radius, Degraded Mode und Alarme für Fremddienste.

13 Min. Lesezeit ResilienzDrittanbieterAusfallsicherheitMonitoringNotfall-Support

Der eigene Server läuft, die Datenbank antwortet, das Uptime-Monitoring meldet Grün -- und trotzdem bricht der Kauf ab. Die Ursache sitzt außerhalb der eigenen Infrastruktur: Der Zahlungsanbieter antwortet nicht mehr, die Versandkosten-API läuft in einen Timeout, ein DNS-Eintrag löst nicht auf, das CDN liefert eine Datei nicht aus, ein Schriftarten-Host hängt oder ein Bewertungs-Widget blockiert den Seitenaufbau. Über neun Jahre öffentlich gemeldeter Ausfälle hinweg entfallen rund zwei Drittel (Uptime Institute) auf externe IT- und Rechenzentrums-Dienstleister -- Cloud- und Internetkonzerne, Telekommunikation, Colocation. Verfügbarkeit endet damit nicht an der eigenen Firewall, und ein Wartungsvertrag, der nur eigene Systeme betrachtet, lässt den häufigsten Ausfalltyp offen. Dieser Beitrag zeigt, wie ein Abhängigkeits-Inventar entsteht, wie sich der Blast-Radius jeder Abhängigkeit bestimmen lässt, welche technischen Muster fremde Störungen abfedern und wie ein Degraded Mode aussieht, in dem der Shop weiter Bestellungen annimmt. Für die laufende Beobachtung solcher Fremdbausteine ist das Monitoring der richtige Ort -- für die Umschaltung im Ernstfall der Notfall-Support.

Drittanbieter-Ausfall: Shop bleibt bestellbarInventar zu Blast-Radius zu Degraded Mode: fremde Störung abfedern statt Kaufabbruch1. Abhängigkeits-InventarZahlungsanbieterCheckout-Schritt 4kritischVersandkosten-APIPreis im WarenkorbkritischDNS und CDNAuslieferung aller SeitenkritischBewertungs-WidgetProduktseite, untenkosmetischSchrift-HostDarstellung, externkosmetischKritikalität entscheidet über den Blast-Radius2. Blast-Radius im Kauf-FunnelProduktseiteOK 210 msWarenkorbOK 340 msVersandkostenTimeout nach 800 msZahlungsauswahlErsatz-Zahlart aktivBestellabschlussBestellung erfasstErgebnis: bestellbar mit TeilfunktionVersandpauschale statt Kaufabbruch, Nachberechnung offen3. Degraded Mode aktivErsatz-ZahlartRechnung und Vorkasse freiVersandkosten-FallbackPauschale je ZoneWidget ausgeblendetBewertungen später nachladenHinweis im CheckoutKunde sieht die TeilstörungAlarm an die BereitschaftStatus-Feed und Fehlerrate je EndpunktReaktionszeit laut Wartungsvertrag2/3der AusfälleFremdanbieter (Uptime Institute)54 %der Betreiber: jüngster schwererAusfall über 100.000 US-Dollar(Uptime Institute)90 %der mittleren und großen Firmen:über 300.000 USD je Ausfallstunde(ITIC)77 %der gemeldeten Vorfälle in der EUwaren DDoS-Angriffe(ENISA)

Der Ausfall kommt von außen

Ein moderner Online-Shop ist kein geschlossenes System mehr. Zwischen Produktseite und Bestellbestätigung liegen ein Dutzend fremder Bausteine: Zahlungsanbieter samt 3-D-Secure-Dienst, Versanddienstleister mit Tarif- und Label-Schnittstelle, Adress- und Steuerprüfung, Betrugserkennung, DNS-Betreiber, CDN, ein extern gehostetes Consent-Skript, Bewertungs- und Chat-Widgets, Marktplatz- und Warenwirtschafts-Connectoren, dazu der Versand der Bestellbestätigung. Jeder dieser Bausteine läuft auf fremder Infrastruktur, wird von fremden Teams betrieben, nach fremden Wartungsfenstern aktualisiert -- und fällt nach fremdem Zeitplan aus. Der Betreiber trägt das Risiko, hat aber weder Zugriff auf die Ursache noch auf den Zeitplan der Behebung.

Die Größenordnung dieses Risikos ist gut dokumentiert. In der Langzeitauswertung öffentlich gemeldeter Ausfälle über neun Jahre entfällt der überwiegende Teil auf externe IT- und Rechenzentrums-Dienstleister (Uptime Institute). Innerhalb der wirkungsvollen Ausfälle machten IT- und Netzwerkprobleme zuletzt 23 Prozent (Uptime Institute) aus; Strom bleibt die häufigste Einzelursache. Immerhin sinken Häufigkeit und Schwere der Ausfälle das vierte Jahr (Uptime Institute) in Folge -- was die verbleibenden Fälle allerdings nicht harmloser macht, denn ein zentraler Dienstleister nimmt bei einer Störung viele Shops gleichzeitig mit.

Ihr Wartungsvertrag endet nicht an der Firewall

Für den Kunden ist unerheblich, wessen Server ausgefallen ist. Er sieht einen Shop, der keine Bestellung annimmt. Ein Wartungsvertrag, der ausschließlich eigene Systeme überwacht und patcht, lässt damit genau den Ausfalltyp offen, der die Langzeitauswertung öffentlich gemeldeter Störungen dominiert (Uptime Institute) -- und für den es im eigenen Haus keine technische Lösung gibt, sondern nur einen vorbereiteten Ersatzweg.

Auf der Kostenseite fällt die Einordnung ähnlich deutlich aus. 54 Prozent (Uptime Institute) der befragten Betreiber beziffern ihren jüngsten ernsten oder schweren Ausfall auf mehr als 100.000 US-Dollar, jeder Fünfte (Uptime Institute) auf über eine Million. Für mittelgroße und große Unternehmen kostet eine einzelne Ausfallstunde bei 90 Prozent (ITIC) der Befragten mehr als 300.000 US-Dollar; bei Unternehmen mit über 1.000 Beschäftigten liegen die Kosten für 97 Prozent (ITIC) über 100.000 US-Dollar je Stunde. Diese Zahlen stammen aus dem Großunternehmens-Umfeld und lassen sich nicht eins zu eins auf einen mittelständischen Shop übertragen; die Rechnung dahinter schon -- Stundenumsatz mal Ausfalldauer, ergänzt um Supportaufwand und verlorene Wiederkäufe. Wie sich das für den eigenen Shop beziffern lässt, zeigt der Beitrag zu den Ausfallkosten pro Minute.

Schritt 1: das Abhängigkeits-Inventar

Resilienz gegen fremde Störungen beginnt mit einer schlichten Frage, die überraschend oft unbeantwortet bleibt: Welche fremden Dienste braucht dieser Shop, um eine Bestellung entgegenzunehmen? Solange diese Liste nicht existiert, ist jede Störung eine Suchaktion -- und Suchen ist die teuerste Tätigkeit im Störfall. Das Inventar erfasst jede externe Domain, jeden serverseitigen API-Aufruf, jedes im Browser eingebundene Skript und jeden eingehenden Webhook, jeweils mit einer Einstufung: bestellblockierend, umsatzmindernd oder kosmetisch.

Zahlung und Betrugsprüfung

Zahlungsanbieter, 3-D-Secure-Dienst, Tokenisierung, Risikoprüfung. Der Bereich mit dem geringsten Spielraum: Fällt er aus, bricht der letzte Schritt vor dem Umsatz.

Versand und Logistik

Tarifabfrage, Laufzeitprognose, Label-Erzeugung, Abholstellensuche. Eine hängende Tarifabfrage blockiert den Warenkorb, obwohl der Shop selbst gesund ist.

DNS, CDN und Zertifikate

Namensauflösung, Auslieferung statischer Dateien, Zertifikatsausstellung und Sperrlisten. Störungen wirken hier auf alle Seiten gleichzeitig, nicht nur auf den Checkout.

Skripte im Frontend

Consent-Banner, Bewertungen, Chat, Kartendarstellung, Schriftarten. Ein blockierendes Skript aus fremder Quelle kann den Seitenaufbau anhalten, obwohl es fachlich entbehrlich ist.

Connectoren und Backoffice

Marktplatz-Anbindung, Warenwirtschaft, Bestands- und Preis-Synchronisation. Störungen zeigen sich verzögert -- als falscher Bestand oder als Bestellstau im Backoffice.

Benachrichtigung

Transaktionsmails, Einmalcodes, Push-Nachrichten. Eine Bestellung ohne Bestätigung erzeugt Rückfragen und Stornos, auch wenn sie technisch sauber erfasst wurde.

Erhoben wird das Inventar aus drei Richtungen zugleich: aus dem Code (welche Endpunkte ruft die Anwendung auf?), aus dem Browser (welche Fremd-Domains lädt eine Produkt- und eine Checkout-Seite tatsächlich?) und aus dem Netzwerk (welche ausgehenden Verbindungen entstehen im Betrieb?). Die Frontend-Sicht liefert eine Content-Security-Policy im Report-Modus fast nebenbei mit -- sie protokolliert jede Quelle, die eine Seite anzieht, auch die, an die sich niemand mehr erinnert. Wie eine solche Richtlinie aufgebaut wird, beschreibt der Beitrag zu HTTP-Security-Headern und CSP.

  • Anbieter und Endpunkt: Welcher Dienst, welche Domain, welcher konkrete Aufruf -- inklusive der Frage, ob er serverseitig oder im Browser des Kunden stattfindet.
  • Zweck und Kritikalität: bestellblockierend, umsatzmindernd oder kosmetisch. Diese Einstufung steuert später jede Entscheidung im Störfall.
  • Timeout und Wiederholung: Wie lange darf der Aufruf dauern, wie oft wird wiederholt, und was passiert danach.
  • Fallback: Welche Ersatzlogik greift -- zwischengespeicherter Wert, Pauschale, zweiter Anbieter oder bewusstes Ausblenden.
  • Beobachtungsquelle: Woher kommt das Signal, dass dieser Dienst gestört ist -- eigene Prüfung, Fehlerrate, Status-Feed des Anbieters.
  • Vertragliche Basis: Ansprechpartner, zugesagte Verfügbarkeit, Meldeweg und Reaktionszeit -- beim Anbieter und im eigenen SLA-Wartungsvertrag.

Ein Inventar ist kein Dokument für die Ablage, sondern eine Arbeitsgrundlage. Es verändert sich mit jedem Plugin, jeder Kampagne und jedem neuen Zahlungsverfahren und gehört deshalb in den regelmäßigen Wartungsrhythmus statt in ein einmaliges Einführungsprojekt. Bei der ersten Erhebung tauchen regelmäßig Fremd-Domains auf, die niemand mehr bewusst eingebunden hat (Projekterfahrung): Reste alter Kampagnen, ausgetauschte Widgets, Testintegrationen, die live geblieben sind. Jede davon ist eine Abhängigkeit, die im Störfall Wirkung entfaltet, ohne im Gegenzug Nutzen zu stiften.

Schritt 2: den Blast-Radius bestimmen

Nicht jeder fremde Ausfall ist ein Notfall. Der Blast-Radius beschreibt, wie weit die Wirkung eines einzelnen Ausfalls reicht: Stoppt er den Checkout, verschlechtert er nur die Darstellung, oder betrifft er ausschließlich das Backoffice? Diese Einordnung entscheidet darüber, ob nachts jemand geweckt wird oder ob der Fall am nächsten Werktag bearbeitet wird -- und sie verhindert, dass im Ernstfall die falsche Baustelle zuerst angefasst wird.

Fremder BausteinSymptom im ShopBlast-RadiusSinnvolle Abfederung
ZahlungsanbieterZahlart lädt nicht, Rückleitung bricht abCheckout gestopptErsatz-Zahlart freischalten, Bestellung erfassen
Versandkosten-APIWarenkorb zeigt keine VersandkostenCheckout gestopptPauschale je Zone aus dem eigenen Datenbestand
DNS-BetreiberDomain löst nicht aufShop nicht erreichbarZweiter Anbieter, längere TTL, Registrar-Lock
CDNBilder und Skripte fehlenDarstellung defekt, Kauf oft noch möglichOrigin-Fallback, kritische Dateien lokal ausliefern
Bewertungs-WidgetLeerer Bereich auf der ProduktseitekosmetischAsynchron laden, bei Fehler ausblenden
Marktplatz-ConnectorBestände und Bestellungen laufen nichtBackoffice, verzögert umsatzwirksamWarteschlange, Wiederaufnahme nach Ende der Störung
TransaktionsmailBestellbestätigung fehltVertrauen und SupportlastZweiter Versandweg, Nachversand aus der Warteschlange

Zwei Erkenntnisse fallen bei dieser Übung fast zwangsläufig an. Erstens sind meist nur zwei bis vier Bausteine wirklich bestellblockierend -- alles andere lässt sich degradieren, ohne den Umsatz zu stoppen. Zweitens sitzen genau diese kritischen Bausteine dort, wo auch ohne Störung die meisten Abbrüche entstehen: Bei einer durchschnittlichen Warenkorbabbruchrate von rund 70 Prozent (Baymard Institute) zählen fehlende Zahlungsarten mit 10 Prozent (Baymard Institute) und unerwartete Zusatzkosten mit 39 Prozent (Baymard Institute) zu den häufigsten Abbruchgründen. Ein Ausfall an dieser Stelle wirkt deshalb wie ein Brandbeschleuniger auf eine ohnehin fragile Strecke.

Der Blast-Radius ist eine Geschäfts-, keine Technikfrage

Ob ein fehlendes Bewertungs-Widget hinnehmbar ist, entscheidet nicht die Technik, sondern der Betreiber. Die Einstufung sollte deshalb gemeinsam erfolgen und schriftlich festgehalten werden -- inklusive der Aussage, welche Teilfunktion im Störfall bewusst abgeschaltet werden darf. Wer diese Entscheidung erst während der Störung trifft, verliert die teuersten Minuten mit Abstimmung statt mit Umschaltung.

Schritt 3: technische Abfederung

Die häufigste Schwachstelle im Umgang mit fremden Diensten ist kein fehlender Ersatz, sondern eine fehlende Geduldgrenze. Ein Aufruf ohne harten Timeout wartet, bis irgendein Standardwert greift -- häufig zwischen 30 und 60 Sekunden. Bis dahin belegt jede wartende Anfrage einen Anwendungsprozess. Bei mäßigem Traffic reichen wenige Minuten, bis alle Prozesse belegt sind und der Shop komplett steht, obwohl nur ein einziger Fremddienst hängt. So wird aus einer fremden Teilstörung ein eigener Totalausfall -- und aus einem kosmetischen Baustein ein bestellblockierender.

Harte Timeouts

Verbindungs- und Lesetimeout getrennt setzen, im Sekunden- statt im Minutenbereich. Ein Versandtarif, der nach 800 Millisekunden nicht vorliegt, kommt erfahrungsgemäß auch nach 30 Sekunden nicht mehr.

Circuit Breaker

Nach einer definierten Zahl aufeinanderfolgender Fehler wird der Aufruf für ein Zeitfenster gar nicht mehr versucht, sondern sofort auf den Fallback geleitet. Das schont die eigenen Prozesse und lässt dem fremden Dienst Zeit zur Erholung.

Warteschlange statt Sofortaufruf

Alles, was nicht im Moment der Bestellung passieren muss -- Label-Erzeugung, Übergabe an die Warenwirtschaft, Marktplatzmeldung -- wandert in eine Queue mit Wiederholung und wird nach Ende der Störung abgearbeitet.

Serverseitiges Caching

Tarife, Steuersätze, Bestände oder Bewertungen werden mit Zeitstempel zwischengespeichert. Fällt die Quelle aus, liefert der Shop den letzten bekannten Wert und markiert ihn intern als veraltet.

Assets lokal ausliefern

Schriftarten, Icons und Kern-Skripte gehören auf die eigene Auslieferung. Das entfernt eine ganze Klasse fremder Abhängigkeiten aus dem kritischen Pfad und hilft zugleich bei Datenschutz und Ladezeit.

Idempotenz

Jede Wiederholung braucht einen eindeutigen Vorgangsschlüssel, damit eine zweite Zahlungs- oder Versandanfrage keine zweite Buchung erzeugt. Ohne Idempotenz wird aus einer Störung ein Abrechnungsproblem.

Diese Muster wirken nur zusammen. Ein Timeout ohne Fallback erzeugt eine schnelle Fehlerseite statt einer langsamen -- für den Kunden bleibt der Kauf verloren. Ein Fallback ohne Circuit Breaker versucht weiter im Sekundentakt einen toten Dienst zu erreichen und hält damit Prozesse fest. Und eine Warteschlange ohne Idempotenz produziert Doppelbuchungen, sobald die Störung endet und alle wartenden Aufträge gleichzeitig durchlaufen. Der folgende Auszug zeigt, wie eine solche Konfiguration je Fremddienst aussehen kann -- die Werte sind Ausgangspunkte, keine Vorgaben.

resilienz.yml (Auszug)
# Fremdaufrufe: Geduldgrenze statt Standardwert
zahlung:
  connect_timeout: 1.5s
  read_timeout:    4.0s
  retries:         1          # nur idempotente Aufrufe
  circuit_breaker:
    fehlerschwelle: 5         # Fehler in Folge
    offen_dauer:    60s       # danach ein Probeaufruf
  fallback: ersatz_zahlart

versandtarif:
  connect_timeout: 0.5s
  read_timeout:    0.8s
  retries:         0
  cache_ttl:       15m        # letzter bekannter Tarif
  fallback: pauschale_je_zone

bewertungen:
  read_timeout:    0.6s
  fallback: ausblenden        # kosmetisch, kein Alarm

Im Frontend gilt dasselbe Prinzip mit anderen Mitteln. Fremde Skripte gehören asynchron eingebunden, mit einem Zeitlimit versehen und so gekapselt, dass ein Fehler den restlichen Seitenaufbau nicht anhält. Besonders heikel sind Skripte, die sich selbst nachladen oder ihre Auslieferung ohne Ankündigung verändern -- das betrifft Consent-Lösungen ebenso wie Bibliotheken auf der Zahlungsseite. Wie man solche stillen Veränderungen bemerkt, zeigen die Beiträge zum Skript-Drift bei Cookie-Bannern und zum Skript-Monitoring auf Zahlungsseiten.

Schritt 4: Degraded Mode statt Kaufabbruch

Ein Degraded Mode ist ein vorher beschriebener Betriebszustand, in dem der Shop bewusst weniger kann, aber weiter verkauft. Er ist das Gegenteil einer Wartungsseite: Statt den Laden zu schließen, wird die gestörte Teilfunktion ersetzt oder ausgeblendet. Entscheidend ist, dass die Regeln vorher feststehen -- welcher Ausfall welche Umschaltung auslöst, wer sie auslösen darf, wie der Kunde informiert wird und wann zurückgeschaltet wird.

  • Ersatz-Zahlart: Fällt ein Anbieter aus, werden Rechnung, Vorkasse oder ein zweiter Anbieter freigeschaltet. Voraussetzung ist, dass diese Zahlarten gepflegt und getestet sind -- eine seit Monaten deaktivierte Zahlart ist im Störfall keine Option.
  • Versandkosten-Fallback: Statt der Live-Tarifabfrage greift eine Pauschale je Zone aus dem eigenen Datenbestand. Der Warenkorb zeigt einen Betrag, die Bestellstrecke bleibt begehbar.
  • Bestellung annehmen, später verrechnen: Wo eine exakte Berechnung nicht möglich ist, wird die Bestellung erfasst und die Differenz nach Ende der Störung ermittelt -- mit klarer Information an den Kunden, bevor er bestellt.
  • Kosmetik abschalten: Bewertungen, Empfehlungen, Chat und Kartendarstellung werden ausgeblendet statt mit Fehler angezeigt. Ein leerer Bereich verkauft besser als eine Fehlermeldung.
  • Asynchrone Bestätigung: Wenn der Mailversand hängt, wandert die Bestellbestätigung in eine Warteschlange und wird nachgeliefert, statt den Bestellabschluss scheitern zu lassen.
  • Sichtbarer Hinweis: Ein kurzer, sachlicher Hinweis im Checkout wirkt besser als eine stille Ersatzlogik. Eine benannte Einschränkung wird deutlich eher akzeptiert als eine, die der Kunde selbst entdeckt.

Beim Degraded Mode gehört die rechtliche Seite von Anfang an dazu. Preisangaben, Versandkosten und Lieferzeiten sind Pflichtangaben; eine Pauschale darf den Kunden nicht schlechter stellen, ohne dass er das vor dem Kaufabschluss erkennen kann. Wer eine Nachberechnung vorsieht, muss sie vorab und deutlich ausweisen -- und im Zweifel juristisch prüfen lassen, ob die gewählte Formulierung trägt. In der Praxis bewährt es sich, Fallback-Werte großzügig zugunsten des Kunden zu setzen: Die Differenz ist günstiger als der abgebrochene Kauf und deutlich günstiger als eine spätere Beschwerde.

Ein Shop, der während einer fremden Störung Bestellungen annimmt, verliert Marge. Ein Shop, der abschaltet, verliert den Kunden -- und die Marge gleich mit.

Aus der Projekterfahrung im Shop-Betrieb

Schritt 5: Fremdstörungen sichtbar machen

Die meisten Monitoring-Aufbauten beobachten die eigene Infrastruktur sehr genau und fremde Dienste gar nicht. Damit bleibt ausgerechnet der häufigste Ausfalltyp unbeobachtet. Die Gegenmaßnahme ist unspektakulär: Fremde Bausteine bekommen eigene Prüfungen, eigene Schwellenwerte und einen eigenen Alarmpfad -- getrennt von den Alarmen der eigenen Systeme, weil sie eine andere Reaktion erfordern.

  • Synthetische Prüfung über die echte Bestellstrecke: Ein automatisierter Durchlauf von der Produktseite bis zum letzten Schritt vor der Belastung erkennt genau die Störungen, für die ein Statuscode blind ist. Den Aufbau beschreibt der Beitrag zum Checkout-Monitoring.
  • Fehlerrate je Endpunkt statt HTTP 200: Gemessen wird der Anteil fehlerhafter Antworten je Fremd-Endpunkt und Zeitfenster, dazu die Latenz als Perzentil. Ein Dienst, der antwortet, aber jede achte Anfrage mit einem Fehler quittiert, ist gestört -- auch wenn er erreichbar ist.
  • Status-Feeds der Dienstleister: Die Statusmeldungen der eingesetzten Anbieter gehören maschinell in dasselbe Alarmsystem wie die eigenen Prüfungen. Sie kommen oft später als die eigene Messung, liefern aber Einordnung und erwartete Dauer.
  • DNS und Zertifikate: Auflösung, Antwortzeit und Gültigkeit gehören dauerhaft überwacht; Signierung, Registrar-Lock und Prüfintervalle sind im Beitrag zur DNS-Wartung beschrieben.
  • Frontend-Sicht: Eine Prüfung, die die Seite wie ein Browser lädt, bemerkt ein blockierendes Fremd-Skript. Ein reiner Serverabruf bemerkt es nicht.
  • Warteschlangen und Rückstau: Länge und Alter der ältesten Nachricht in jeder Queue sind das verlässlichste Frühwarnsignal für eine Störung im Backoffice.

Ein Teil dieser Störungen ist nicht zufällig, sondern angegriffen. Im europäischen Lagebild waren zuletzt 77 Prozent (ENISA Threat Landscape 2025) der gemeldeten Vorfälle DDoS-Angriffe, ausgewertet über 4.875 (ENISA Threat Landscape 2025) Vorfälle im Zeitraum Juli 2024 bis Juni 2025. Das BSI registrierte allein rund um die Bundestagswahl und die Münchner Sicherheitskonferenz im Februar 2025 52 Prozent (BSI, Lagebericht 2025) mehr DDoS-Angriffe als im langjährigen Mittel. Trifft eine solche Welle einen Dienstleister, ist der eigene Shop mitbetroffen, ohne selbst Ziel zu sein -- ein Grund mehr, den Ersatzweg vorher zu kennen.

Der Anspruch ist dabei nicht Vollständigkeit, sondern Zuordenbarkeit: Im Störfall muss binnen Minuten feststehen, ob die Ursache im eigenen System oder bei einem Dienstleister liegt. Diese eine Frage entscheidet über den weiteren Ablauf -- eigene Störung heißt eingreifen, fremde Störung heißt umschalten und kommunizieren. Die Grundlagen dafür liefert eine saubere Überwachung der Erreichbarkeit, wie sie der Beitrag zum Uptime-Monitoring beschreibt.

Fremdstörungen brauchen eine eigene Alarmklasse

Ein Alarm, der bei jedem einzelnen Timeout eines Fremddienstes auslöst, wird binnen Wochen ignoriert. Bewährt hat sich eine Mehrfachbestätigung -- zwei aufeinanderfolgende Fehlläufe aus zwei Regionen -- kombiniert mit einer eigenen Schwere-Stufe: bestellblockierend weckt die Bereitschaft, kosmetisch erzeugt ein Ticket für den nächsten Werktag. Der Bezug auf die Fehlerrate ist dabei belastbarer als der Bezug auf den Einzelfehler.

Schritt 6: Rollen und Reaktionszeiten klären

Technik allein löst keinen Störfall. Die teuerste Verzögerung entsteht regelmäßig zwischen Erkennung und Entscheidung: Alle sehen den Alarm, niemand schaltet um, weil unklar ist, wer das darf. Auf menschliche Fehler gehen fast 40 Prozent (Uptime Institute) der größeren Ausfälle der vergangenen drei Jahre zurück; 85 Prozent (Uptime Institute) davon entstanden, weil Abläufe nicht befolgt wurden oder fehlerhaft waren. Das ist keine Frage der Sorgfalt einzelner Personen, sondern der Vorbereitung.

RolleAufgabe im fremden StörfallVertraglich zu klären
ErkennungAlarm entgegennehmen, Ursache eingrenzen: eigen oder fremdErreichbarkeit, Alarmweg, zugesagte Reaktionszeit
Technische EntscheidungDegraded Mode aktivieren, Fallback prüfen, Rückschaltung planenWer darf ohne Rückfrage umschalten
Betreiber-EntscheidungFreigabe der Teilfunktion, Kulanzrahmen, PreisfragenVertretung und Erreichbarkeit außerhalb der Geschäftszeit
KundenkommunikationHinweis im Shop, Antworttext für den Support, StatusinformationWer formuliert, wer veröffentlicht
AnbieterkontaktMeldung beim Dienstleister, Ticket, NachverfolgungZugang zum Support des Anbieters, Vertragsnummern
NachbereitungRückschaltung, Nachberechnung, AuswertungFrist für die Auswertung, Ablage der Nachweise

Diese Zuordnung gehört in den Wartungsvertrag, nicht in ein Wiki. Konkret heißt das: eine zugesagte Reaktionszeit für bestellblockierende Störungen, ein definierter Alarmweg außerhalb der Geschäftszeiten und eine benannte Befugnis, den Degraded Mode ohne Rückfrage zu aktivieren. Welche Reaktionszeiten belastbar sind und welche nur gut klingen, ordnet der Beitrag zu Reaktionszeit-SLAs im Notfall-Support ein.

Schritt 7: der Probelauf

Ein Degraded-Mode-Konzept, das bisher nicht ausgelöst wurde, ist eine Vermutung. Der Probelauf macht daraus eine belastbare Aussage -- und er ist weniger aufwendig, als er klingt: Ein Fremddienst wird für ein definiertes Zeitfenster künstlich unerreichbar gemacht, und die Reaktion wird gemessen. Wichtig ist die Richtung: Blockiert wird der eigene Aufruf, nicht der fremde Dienst.

  1. Zeitfenster wählen. Umsatzschwache Zeit, im Team angekündigt, mit Abbruchkriterium und beschriebenem Rückweg.
  2. Störung erzeugen. Der Aufruf des Fremddienstes wird auf der Testumgebung oder gezielt auf einer Instanz blockiert oder verzögert.
  3. Erkennung messen. Wie viele Minuten vergehen bis zum Alarm, und benennt der Alarm den richtigen Baustein?
  4. Umschaltung messen. Greift der Fallback selbstständig? Wenn ein Eingriff nötig ist: Wie lange dauert er, und findet die zuständige Person die Anleitung?
  5. Kundensicht prüfen. Ist die Bestellstrecke durchgängig begehbar, ist der Hinweis verständlich, stimmen Preise und Pflichtangaben?
  6. Rückschaltung prüfen. Läuft der Rückweg sauber, werden Warteschlangen abgearbeitet, entstehen Doppelbuchungen?
  7. Ergebnis dokumentieren. Erkennungszeit, Umschaltzeit, Auffälligkeiten und die daraus folgenden Anpassungen -- das Protokoll ist zugleich ein Wartungsnachweis.

Zwei Messwerte lohnen besondere Aufmerksamkeit: die Zeit bis zur Erkennung und die Zeit bis zur wirksamen Umschaltung. Beide lassen sich über die Zeit verbessern, und beide übersetzen sich unmittelbar in Geld. In einem Umfeld, in dem 41 Prozent (ITIC) der großen Unternehmen eine Ausfallstunde mit einer bis über fünf Millionen US-Dollar beziffern, ist jede eingesparte Viertelstunde ein messbarer Betrag -- im Mittelstand entsprechend kleiner, aber im gleichen Verhältnis. Das Protokoll eines Probelaufs ist zudem ein brauchbarer Nachweis gegenüber Versicherern und Prüfern, wie der Beitrag zu Wartungsnachweisen für die Cyber-Versicherung zeigt.

Abgrenzung: was hier nicht gemeint ist

Fremdverfügbarkeit wird häufig mit benachbarten Themen vermischt, obwohl sie andere Maßnahmen erfordert. Die Abgrenzung ist kein Selbstzweck, sondern spart Aufwand: Ein Inventar mit Kritikalität und Fallback ist in überschaubarer Zeit erstellt und wirkt sofort, während ein vollständiges Notfallmanagement ein eigenes Vorhaben ist.

  • Kein Backup- und Wiederherstellungsthema: Ein Zahlungsanbieter, der nicht antwortet, hat keine Daten zerstört. Wiederherstellungspunkt und Wiederanlaufzeit gehören zur Disaster Recovery -- hier geht es um geplante Teilfunktion bei intakten Daten.
  • Kein Lasttest: Spitzenlast prüft die eigene Skalierung, nicht die Verfügbarkeit fremder Dienste. Beides ergänzt sich, die Maßnahmen unterscheiden sich; der Lasttest für Spitzenlast beantwortet eine andere Frage.
  • Kein Angriffsschutz im engeren Sinn: Filterregeln schützen den eigenen Auftritt. Wenn der Dienstleister angegriffen wird, hilft nur der eigene Ersatzweg -- nicht die eigene Abwehr.
  • Keine Frage der Lieferkette im Code: Kompromittierte Pakete sind ein Integritätsproblem und in Supply-Chain-Angriffen auf Shop-Abhängigkeiten beschrieben. Hier geht es ausschließlich um die Verfügbarkeit laufender Fremddienste.

Wer den organisatorischen Rahmen systematisch aufbauen möchte, muss ihn nicht selbst erfinden. Das BSI beschreibt die Anforderungen an ausgelagerte Leistungen im IT-Grundschutz unter anderem in den Bausteinen zur Nutzung von Outsourcing (OPS.2.3) und zur Cloud-Nutzung (OPS.2.2); dort sind vertragliche und organisatorische Punkte -- Vereinbarungen zur Verfügbarkeit, Meldewege, Rückfallszenarien -- bereits geordnet aufgeführt (BSI IT-Grundschutz). Für einen Shop mittlerer Größe genügt daraus eine bewusst kleine Auswahl, die zum Inventar passt.

Fremde Verfügbarkeit im Wartungsvertrag

Damit aus den beschriebenen Bausteinen ein dauerhafter Zustand wird, brauchen sie einen Besitzer und einen Rhythmus. In einem Wartungsvertrag sind das drei klar benennbare Leistungen -- keine Zusatzoption, sondern der Teil, der den häufigsten Ausfalltyp überhaupt erst abdeckt.

Abhängigkeits-Inventar, gepflegt

Erhebung, Kritikalitätsbewertung und regelmäßige Aktualisierung -- inklusive der Prüfung, ob eine eingebundene Fremd-Domain überhaupt noch gebraucht wird.

Degraded-Mode-Konzept

Beschriebene Umschaltungen je kritischem Baustein, hinterlegte Fallback-Werte, getestete Ersatz-Zahlarten und ein abgestimmter Hinweistext für den Checkout.

Fremddienst-Alarme mit Reaktionszeit

Eigene Prüfungen und Status-Feeds im Alarmsystem, Schwellenwerte je Endpunkt und eine vertraglich zugesagte Reaktionszeit für bestellblockierende Störungen.

Der Aufwand verteilt sich dabei anders, als viele erwarten: Der größte Teil entsteht einmalig bei Inventar und Konzept, der laufende Anteil ist gering -- Pflege bei Änderungen, Auswertung der Alarme, ein Probelauf pro Jahr. Die Änderungsfrequenz bleibt allerdings hoch: Das BSI zählt rund 119 neue Schwachstellen pro Tag (BSI, Lagebericht 2025), ein Plus von etwa 24 Prozent (BSI, Lagebericht 2025) gegenüber dem Vorjahreszeitraum. Fremde Dienste aktualisieren entsprechend häufig, und jede Aktualisierung kann das Verhalten an der Schnittstelle verändern. Wie sich angekündigte Änderungen, abgekündigte Versionen und Webhook-Umstellungen planbar machen lassen, beschreibt der Beitrag zu Zahlungs-APIs in der Wartung.

In der Praxis liegen Erhebung, Konzept und Überwachung selten in einer Hand -- genau das ist die Ursache dafür, dass fremde Störungen so oft improvisiert bearbeitet werden. Sinnvoll gebündelt gehören sie zusammen: Inventar und Alarme entstehen im Monitoring, Umschaltung und Kommunikation im Notfall-Support mit definierter Reaktionszeit, die Verbindlichkeit im Wartungsvertrag mit SLA. Welche weiteren Leistungen dazugehören und wie sie ineinandergreifen, zeigt die Übersicht der Wartungsleistungen.

Quellen und Studien

Dieser Artikel basiert auf Daten aus: Uptime Institute, Annual Outage Analysis 2025 (rund zwei Drittel der über neun Jahre öffentlich gemeldeten Ausfälle entfallen auf externe IT- und Rechenzentrums-Dienstleister; 23 Prozent der wirkungsvollen Ausfälle durch IT- und Netzwerkprobleme; viertes Jahr in Folge sinkende Häufigkeit und Schwere; 54 Prozent der Befragten mit Ausfallkosten über 100.000 US-Dollar und jeder Fünfte über einer Million; nahezu 40 Prozent mit einem größeren Ausfall durch menschliche Fehler, davon 85 Prozent durch nicht befolgte oder fehlerhafte Abläufe); ITIC, Hourly Cost of Downtime Survey (90 Prozent der mittleren und großen Unternehmen über 300.000 US-Dollar je Ausfallstunde, 97 Prozent der Unternehmen mit über 1.000 Beschäftigten über 100.000 US-Dollar, 41 Prozent zwischen einer und über fünf Millionen); ENISA Threat Landscape 2025 (4.875 ausgewertete Vorfälle von Juli 2024 bis Juni 2025, davon 77 Prozent DDoS-Angriffe); Bundesamt für Sicherheit in der Informationstechnik (Lagebericht zur IT-Sicherheit in Deutschland 2025 mit rund 119 neuen Schwachstellen pro Tag, einem Plus von etwa 24 Prozent und 52 Prozent mehr DDoS-Angriffen im Februar 2025, sowie IT-Grundschutz mit den Bausteinen OPS.2.2 Cloud-Nutzung und OPS.2.3 Nutzung von Outsourcing); Baymard Institute (Warenkorbabbruch und Abbruchgründe). Ergänzt um Projekterfahrungen aus der Betreuung von Online-Shops. Die genannten Zahlen können je nach Branche, Shop-Größe und Anbieterlandschaft abweichen.

Verwandte Artikel