Risikomanagement in Projekten

Drei Post-its und ein Fallbeispiel

Anja klebt den dritten Post-it ans Whiteboard. Der Risikomanagement-Workshop läuft seit einer Stunde, ihr Team hat bisher drei Risiken gesammelt. Dann unterbricht die Workshopleitung: "Stopp. Lest euch zuerst diesen Fall durch."

Der Fall: Ein E-Commerce-Team plant einen Shop-Relaunch mit Datenmigration. Zwei Wochen vor dem Black Friday meldet der Migrationsdienstleister, dass er den Termin nicht schafft. Die Produktdatenbank fehlt im neuen Shopsystem. Jeder Tag Verzögerung kostet geschätzt 15.000 Euro Umsatz. Das Team diskutiert hektisch, aber keine der Optionen ist bewertet.

Was passiert nach einer sorgfältigen Aufwandsschätzung, wenn ein Risiko eintritt, das niemand eingeplant hat? Genau das zeigt dieser Fall. Schätzung und Ablaufplan standen. Aber eine systematische Risikoidentifikation fehlte komplett.

Technisch, operativ, extern

Anja und das Workshop-Team sammeln Risiken aus dem Fallbeispiel. Schnell zeigt sich ein Muster.

Technische Risiken betreffen die Systeme selbst: Datenverlust bei der Migration, Performance-Einbruch unter Black-Friday-Last, Systemausfall beim Go-Live.

Im Team und in den Abläufen entstehen operative Risiken: Krankheitsausfall im Kernteam kurz vor Deadline oder unklare Zuständigkeiten in der Testphase.

Von außen kommen externe Risiken: Der Migrationsdienstleister liefert nicht pünktlich, ein Zahlungsanbieter ändert kurzfristig seine Schnittstelle.

Sechs Risiken stehen jetzt am Whiteboard. Aber welches davon ist das gefährlichste? Ohne Bewertung bleibt das eine Sammlung ohne Handlungsanleitung.

🎬 Vorstellung: Stell dir vor, du planst in deinem Ausbildungsbetrieb ein eigenes kleines Projekt - etwa die Einführung eines neuen Newsletter-Tools. Welche technischen, operativen und externen Risiken fallen dir spontan ein?

Zwei Achsen, eine Matrix

Um aus der Post-it-Sammlung einen Handlungsplan abzuleiten, brauchst du zwei Bewertungsdimensionen:

Die Eintrittswahrscheinlichkeit schätzt ein, wie realistisch das Risiko ist (niedrig, mittel, hoch). Das Schadensausmaß beziffert, wie groß der Schaden für das Projekt wäre (niedrig, mittel, hoch).

Beide Werte zusammen ergeben die Position in einer Risikomatrix. Je weiter oben rechts ein Risiko liegt, desto dringender braucht es eine Gegenmaßnahme. Die Dienstleister-Verzögerung aus dem Fall landet oben rechts: hohe Wahrscheinlichkeit (Probleme sind bereits gemeldet), hohes Schadensausmaß (15.000 Euro pro Tag, Black-Friday-Geschäft gefährdet).

Vom Punkt in der Matrix zur Gegenmaßnahme

Jedes Risiko in der Matrix braucht drei Angaben: Bewertung, eine konkrete Gegenmaßnahme und eine verantwortliche Rolle.

Die Dienstleister-Verzögerung (rot, oben rechts) verlangt sofortiges Handeln. Als Gegenmaßnahme identifiziert das Team vorab einen Ersatzdienstleister mit Rahmenvertrag. Verantwortlich ist die Projektleitung.

Beim Performance-Einbruch (orange) plant die technische Leitung einen Lasttest zwei Wochen vor Go-Live mit klarem Abbruchkriterium.

Die API-Änderung (gelb) braucht weniger Aufwand: Das Entwicklungsteam prüft wöchentlich die Changelog-Seite des Zahlungsanbieters.

Ohne Matrix entscheidet das Team nach Bauchgefühl. Mit Matrix sieht jede beteiligte Person sofort, wo der größte Handlungsdruck liegt.

⚖️ Vergleich im Kopf: Ein Risiko mit hoher Eintrittswahrscheinlichkeit und niedrigem Schaden gegen ein Risiko mit niedriger Eintrittswahrscheinlichkeit und sehr hohem Schaden. Welches bearbeitest du zuerst - und warum ist die Antwort nicht eindeutig?

Vier Strategien im Überblick

Zurück zum Relaunch-Projekt: Der Migrationsdienstleister hat die Verzögerung gemeldet. Das Team braucht eine Reaktion. Vier Grundstrategien stehen zur Wahl:

1. Vermeiden - das Risiko komplett ausschalten. Migration vor Black Friday streichen, alten Shop weiterlaufen lassen. Verschiebt das Projektziel um Monate.
2. Vermindern - Wahrscheinlichkeit oder Schaden senken. Nur die Top-500-Produkte migrieren, Rest nach Black Friday nachziehen. Parallelbetrieb kostet zusätzlichen Aufwand.
3. Übertragen - das Risiko auf eine andere Partei verschieben. Konventionalstrafe im Dienstleistervertrag sichert finanziell ab, löst aber das Terminproblem nicht.
4. Akzeptieren - das Risiko bewusst eingehen mit Notfallplan. Vollmigration wagen, Rollback-Plan vorbereiten. Scheitert der Rollback, droht Datenverlust.

Vermindern oder Akzeptieren?

Die Workshopleitung stellt dem Team eine Entscheidungsfrage: "Vermindern oder Akzeptieren - was empfehlt ihr?"

Vermindern (Teilmigration der Top-500-Produkte) begrenzt den Schaden, weil nicht alle Daten betroffen sind. Der Shop bleibt mit den wichtigsten Artikeln am Black Friday handlungsfähig. Der Aufwand für den Parallelbetrieb ist kalkulierbar.

Akzeptieren (Vollmigration mit Rollback-Plan) spart den Parallelbetrieb, setzt aber alles auf eine Karte. Scheitert der Rollback, sind Bestelldaten in Gefahr.

Bei 15.000 Euro Umsatzverlust pro Tag und einem Black-Friday-Fenster von 72 Stunden überwiegt das Argument für Vermindern. Der kontrollierte Parallelbetrieb kostet weniger als ein gescheiterter Rollback.

Genau diese dokumentierte Abwägung fehlte dem Team im Fallbeispiel. Mit einer Risikomatrix und vorbereiteten Reaktionsstrategien hätte die Entscheidung in Minuten fallen können statt in Panik.

🤔 Frage dich: Deine Kollegin sagt: "Bei einer Lieferverzögerung bleibt uns nur Akzeptieren, weil wir den externen Dienstleister nicht kontrollieren können." Stimmt das?