Kategorie: Unternehmen

Ransomware-Angriff: Schadenshöhe ermitteln und gerichtsfest dokumentieren

Ein Ransomware-Angriff hat Ihre Systeme verschlüsselt. Die erste Panik ist vorbei, der Krisenstab arbeitet an der Wiederherstellung. Aber jetzt stellt sich eine Frage, die in der akuten Phase oft untergeht: Wie hoch ist der Schaden tatsächlich? Und wie dokumentiert man ihn so, dass er vor Gericht, gegenüber der Versicherung oder in Verhandlungen mit dem IT-Dienstleister standhält? Genau diese Frage beantwortet ein IT-Sachverständiger.
Warum die Schadenshöhe so schwer zu beziffern ist
Bei einem Wasserschaden kann ein Sachverständiger den Schaden relativ einfach beziffern: beschädigter Boden, feuchte Wände, zerstörtes Inventar. Bei einem Ransomware-Angriff ist das grundlegend anders. Der Schaden verteilt sich auf mehrere Kategorien, die zeitlich versetzt eintreten, sich gegenseitig beeinflussen und teilweise erst Wochen oder Monate nach dem Angriff vollständig sichtbar werden.
Ein produzierendes Unternehmen mit 80 Mitarbeitern wird an einem Freitagabend verschlüsselt. Am Montag können die Mitarbeiter nicht arbeiten. Die Produktion steht. Liefertermine werden gerissen. Kunden wechseln zum Mitbewerber. Ein externer IT-Dienstleister wird für die Forensik und Wiederherstellung beauftragt. Ein Anwalt kümmert sich um die DSGVO-Meldung, weil personenbezogene Daten betroffen sein könnten. Der Steuerberater warnt, dass die Buchhaltungsdaten der letzten drei Monate möglicherweise nicht vollständig wiederherstellbar sind. Der Vertrieb meldet, dass ein Großkunde den Rahmenvertrag nicht verlängert hat.
Welche dieser Posten gehören zum Schaden? Wie werden sie berechnet? Und wie weist man nach, dass sie tatsächlich auf den Angriff zurückzuführen sind? Das sind die Fragen, die ein IT-Sachverständiger beantworten muss.
Die vier Schadenskategorien bei Ransomware
Die Schadensermittlung nach einem Ransomware-Angriff gliedert sich in vier Hauptkategorien, die jeweils eigene Berechnungsmethoden und Nachweisanforderungen haben.
Kategorie 1: Direkte IT-Kosten
Die direkten IT-Kosten sind der am einfachsten zu beziffernde Teil des Schadens, weil sie sich weitgehend durch Rechnungen belegen lassen. Dazu gehören die IT-Forensik, also die Untersuchung des Angriffsverlaufs, die Identifikation der Schadsoftware und die Bestimmung des Angriffsumfangs. Hinzu kommen die Kosten für die Wiederherstellung der Systeme: Neuinstallation von Betriebssystemen, Einspielen von Backups, Rekonfiguration der Infrastruktur. Falls Hardware kompromittiert oder durch den Angriff beschädigt wurde, fallen Neubeschaffungskosten an. Und schließlich die Kosten für zusätzliche Sicherheitsmaßnahmen, die nach dem Angriff implementiert werden, um eine Wiederholung zu verhindern.
Die Herausforderung liegt hier im Detail. Nicht jede Rechnung eines IT-Dienstleisters ist automatisch angemessen. Der Sachverständige prüft, ob der geleistete Aufwand in einem angemessenen Verhältnis zum Schaden steht, ob die gewählten Maßnahmen sachgerecht waren und ob Kosten angefallen sind, die auch ohne den Angriff entstanden wären. Wenn ein Unternehmen den Angriff zum Anlass nimmt, seine gesamte Serverinfrastruktur zu erneuern, die ohnehin veraltet war, ist nur der Anteil der Kosten dem Angriff zuzurechnen, der für die Wiederherstellung des vorherigen Zustands erforderlich gewesen wäre.
Kategorie 2: Betriebsunterbrechungsschaden
Der Betriebsunterbrechungsschaden ist in den meisten Fällen der größte Einzelposten. Er kann den direkten IT-Schaden um ein Vielfaches übersteigen. Das Landgericht Tübingen sprach in einem bekannten Fall rund 2,5 Millionen Euro allein für die Betriebsunterbrechung zu, bei einem Gesamtschaden von über 2,8 Millionen Euro.
Die Berechnung folgt einer klaren Methodik. Zunächst wird der Unterbrechungszeitraum definiert: Von wann bis wann war der Betrieb ganz oder teilweise eingeschränkt? Dann wird der Deckungsbeitrag ermittelt, den das Unternehmen in diesem Zeitraum unter normalen Umständen erwirtschaftet hätte. Davon werden ersparte Kosten abgezogen, etwa variable Materialkosten, die während des Stillstands nicht angefallen sind. Zusätzlich werden Mehrkosten addiert, die das Unternehmen aufgewendet hat, um den Schaden zu begrenzen, etwa die Anmietung externer Arbeitsplätze oder die Vergabe von Aufträgen an Subunternehmer.
Was einfach klingt, wird in der Praxis komplex. Der Sachverständige muss drei Aspekte besonders sorgfältig dokumentieren.
Erstens die Dauer der Unterbrechung. Ein Ransomware-Angriff führt selten zu einem binären Zustand von „alles steht“ zu „alles läuft wieder“. In der Realität werden Systeme stufenweise wiederhergestellt. Die Produktion läuft vielleicht nach fünf Tagen wieder, aber das ERP-System erst nach drei Wochen, und die vollständige Buchhaltung wird erst nach sechs Wochen rekonstruiert. Jede Stufe hat unterschiedliche Auswirkungen auf die Ertragskraft des Unternehmens.
Zweitens die Kausalität zum Umsatzrückgang. Wenn ein Unternehmen im Monat nach dem Angriff weniger Umsatz macht, muss nachgewiesen werden, dass dieser Rückgang tatsächlich auf den Angriff zurückzuführen ist und nicht auf saisonale Schwankungen, Marktveränderungen oder andere Faktoren. Hier werden Vergleichszeiträume herangezogen: Wie hat sich der Umsatz in den gleichen Monaten der Vorjahre entwickelt? Wie haben sich vergleichbare Unternehmen in der Branche im selben Zeitraum entwickelt?
Drittens die Schadensminderungspflicht. Das Unternehmen ist verpflichtet, den Schaden so gering wie möglich zu halten. Wenn die Wiederherstellung deutlich länger dauert als nötig, weil zu wenige Ressourcen eingesetzt werden, kann ein Teil des Betriebsunterbrechungsschadens als vermeidbar eingestuft werden.
Kategorie 3: Datenverlustschaden
Wenn Daten trotz aller Wiederherstellungsbemühungen verloren gehen, entsteht ein eigenständiger Schaden, der über die reinen IT-Wiederherstellungskosten hinausgeht. Der Verlust von Buchhaltungsdaten kann zu Problemen bei der steuerlichen Dokumentationspflicht führen. Der Verlust von Kundendaten kann Geschäftsbeziehungen beeinträchtigen. Der Verlust von Konstruktionsdaten oder Rezepturen kann einen erheblichen Substanzverlust bedeuten.
Die Bewertung von verlorenen Daten ist eine der schwierigsten Aufgaben in der Schadensermittlung. Daten haben keinen standardisierten Marktwert. Ihr Wert bemisst sich nach dem Aufwand, der für ihre Wiederherstellung oder Neuerstellung erforderlich ist, nach ihrem wirtschaftlichen Nutzwert für das Unternehmen und nach den Folgekosten, die aus ihrem Fehlen entstehen.
Der Sachverständige dokumentiert, welche Datenbestände verloren gegangen sind, welche teilweise wiederhergestellt werden konnten und welche vollständig intakt sind. Er bewertet den Wiederherstellungsaufwand und schätzt die wirtschaftlichen Folgen des Verlusts ein, soweit dies auf technischer Grundlage möglich ist. Die betriebswirtschaftliche Bewertung des Datenverlusts erfordert häufig die Zusammenarbeit mit einem Wirtschaftsprüfer oder betriebswirtschaftlichen Sachverständigen.
Kategorie 4: Folge- und Drittschäden
Die vierte Kategorie umfasst Schäden, die nicht unmittelbar durch den Angriff selbst entstehen, sondern durch seine Folgen. Dazu gehören DSGVO-bezogene Kosten wie die Meldung an die Datenschutzbehörde, die Benachrichtigung betroffener Personen und mögliche Bußgelder. Hinzu kommen Vertragsstrafen gegenüber Kunden, wenn Liefertermine nicht eingehalten werden, sowie Reputationsschäden, die sich in einem langfristigen Kundenverlust niederschlagen können.
Der Sachverständige kann hier die technische Grundlage liefern: Wurden personenbezogene Daten exfiltriert? Welche Daten sind betroffen? Wie lange war das Unternehmen nicht lieferfähig? Diese technischen Feststellungen bilden die Basis, auf der Juristen und Betriebswirte die rechtlichen und finanziellen Folgen beziffern.
Was gerichtsfeste Dokumentation bedeutet
Ein Gutachten ist dann gerichtsfest, wenn es den Anforderungen standhält, die ein Gericht an Beweismittel stellt. Das klingt abstrakt, hat aber sehr konkrete Implikationen für die Arbeit des Sachverständigen.
Die Beweissicherung muss forensischen Standards folgen. Das bedeutet: Bevor ein System analysiert wird, wird ein forensisches Image erstellt, also eine bitgenaue Kopie des gesamten Datenträgers. Die Integrität dieses Images wird durch kryptografische Hashwerte (SHA-256) gesichert. Jeder Arbeitsschritt wird in einem Untersuchungsprotokoll dokumentiert: Was wurde wann, von wem, mit welchem Werkzeug untersucht? Ergebnisse müssen von einem anderen Sachverständigen anhand der dokumentierten Methodik nachvollzogen und überprüft werden können. Das ist das Prinzip der Reproduzierbarkeit.
Die Schadensberechnung muss nachvollziehbar sein. Jede Zahl im Gutachten muss auf einer dokumentierten Grundlage beruhen. Wenn der Sachverständige einen Betriebsunterbrechungsschaden von 500.000 Euro ermittelt, muss das Gutachten zeigen, aus welchen Teilbeträgen sich diese Summe zusammensetzt, auf welchen Daten die Berechnung basiert (Umsatzzahlen, Deckungsbeiträge, Vergleichszeiträume), welche Annahmen getroffen wurden und warum, und welche alternativen Berechnungsmethoden zu welchen Ergebnissen geführt hätten.
Die Kausalitätskette muss lückenlos sein. Das Gutachten muss den Zusammenhang zwischen dem Angriff und dem geltend gemachten Schaden nachweisen. Bei direkten IT-Kosten ist das in der Regel einfach. Bei der Betriebsunterbrechung wird es anspruchsvoller, und bei Folgeschäden wie Kundenverlust oder Reputationsschäden ist der Nachweis oft nur mit Einschränkungen möglich.
Der Zeitfaktor: Parallel zur Wiederherstellung dokumentieren
Die größte Fehlerquelle bei der Schadensermittlung nach Ransomware-Angriffen ist die zeitliche Abfolge. Die meisten Unternehmen konzentrieren sich verständlicherweise zuerst auf die Wiederherstellung und denken an die Dokumentation erst danach. Zu diesem Zeitpunkt sind aber entscheidende Beweise bereits vernichtet.
Die Wiederherstellung selbst zerstört Beweise: Wenn ein Server neu aufgesetzt wird, sind die verschlüsselten Dateien, die Logfiles und die Spuren des Angreifers auf diesem System gelöscht. Wenn ein Backup eingespielt wird, überschreibt es den kompromittierten Zustand. Wenn die IT-Abteilung im Krisenmodus arbeitet und keine Stundenaufzeichnungen führt, fehlen später die Nachweise für den internen Aufwand.
Deshalb muss die Dokumentation parallel zur Incident Response beginnen. Der Sachverständige sollte idealerweise eingebunden werden, bevor die ersten Systeme wiederhergestellt werden. Seine erste Aufgabe ist dann, forensische Images der betroffenen Systeme zu erstellen, die flüchtigen Spuren zu sichern (Arbeitsspeicher, Netzwerkverbindungen, laufende Prozesse) und den Ist-Zustand der Verschlüsselung zu dokumentieren, bevor die Wiederherstellung beginnt.
Falls der Sachverständige erst nach der Wiederherstellung eingeschaltet wird, kann er den Schaden immer noch ermitteln. Aber die Beweislage ist schwächer, die Analyse dauert länger und bestimmte Aspekte des Angriffsverlaufs lassen sich möglicherweise nicht mehr rekonstruieren. Das kann sich in einem Gerichtsverfahren oder in der Auseinandersetzung mit der Versicherung nachteilig auswirken.
Wann ein Schadensgutachten gebraucht wird
Ein Schadensgutachten nach einem Ransomware-Angriff wird in mehreren Konstellationen benötigt. Gegenüber der Cyberversicherung: Der Versicherer verlangt eine nachvollziehbare Schadensaufstellung als Grundlage für die Regulierung. Je professioneller diese Aufstellung ist, desto geringer ist das Risiko von Leistungskürzungen. In Haftungsfragen gegenüber IT-Dienstleistern: Wenn der Angriff durch eine Sicherheitslücke möglich wurde, die der betreuende IT-Dienstleister hätte schließen müssen, bildet das Gutachten die Grundlage für Schadenersatzforderungen. In Strafverfahren: Bei Anzeige gegen die Angreifer beziffert das Gutachten den strafrechtlich relevanten Schaden. Und bei internen Entscheidungen: Auch ohne externe Auseinandersetzung braucht die Geschäftsführung eine belastbare Zahl, um den Vorfall gegenüber Gesellschaftern, Aufsichtsräten oder Banken zu dokumentieren.
In all diesen Fällen gilt: Ein Gutachten, das von Anfang an nach forensischen Standards erstellt wird, kann in jeder dieser Konstellationen verwendet werden. Eine nachträgliche Aufwertung einer unvollständigen Dokumentation ist dagegen aufwendig und in der Beweiskraft eingeschränkt.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger unterstütze ich Unternehmen bei der forensischen Beweissicherung, der Schadensermittlung und der gerichtsfesten Dokumentation nach Ransomware-Angriffen. Kontaktieren Sie mich für ein unverbindliches Erstgespräch – idealerweise, bevor die erste Wiederherstellungsmaßnahme gestartet wird.

25. Jänner 2026
Zahlt die Cyberversicherung? Was ein IT-Sachverständiger bei Obliegenheitsverletzungen prüft

Sie haben eine Cyberversicherung abgeschlossen und wurden Opfer eines Angriffs. Jetzt stellen Sie fest: Die Versicherung kürzt die Leistung oder verweigert sie ganz. Die Begründung lautet häufig: Obliegenheitsverletzung. Der Versicherer behauptet, Ihr Unternehmen habe die im Vertrag vereinbarten Sicherheitsanforderungen nicht eingehalten. In dieser Situation kann ein unabhängiger IT-Sachverständiger den entscheidenden Unterschied machen.
Was Obliegenheiten sind – und warum sie zum Problem werden
Obliegenheiten sind vertragliche Pflichten des Versicherungsnehmers, die Voraussetzung für den vollen Versicherungsschutz sind. Bei Cyberversicherungen betreffen sie die IT-Sicherheit des versicherten Unternehmens. Der Gedanke dahinter ist nachvollziehbar: Die Versicherung deckt das Restrisiko, aber das Unternehmen muss einen angemessenen Grundschutz gewährleisten.
In der Praxis werden Obliegenheiten auf drei Wegen definiert. Erstens über die Risikofragen vor Vertragsabschluss: Der Versicherer fragt konkret ab, ob bestimmte Sicherheitsmaßnahmen implementiert sind. Die Antworten des Unternehmens werden Vertragsgrundlage. Wer hier falsche Angaben macht, riskiert die Anfechtung des gesamten Vertrags. Zweitens über die Allgemeinen Versicherungsbedingungen (AVB): Diese enthalten laufende Pflichten, etwa regelmäßige Datensicherungen oder zeitnahe Installation von Sicherheitsupdates. Drittens über Auflagen: Wenn die IT-Sicherheit des Unternehmens bei Vertragsabschluss nicht den Anforderungen des Versicherers entspricht, wird der Vertrag unter der Auflage geschlossen, bestimmte Maßnahmen innerhalb einer Frist umzusetzen.
Das Problem: Viele Unternehmen schließen eine Cyberversicherung ab, ohne die konkreten Obliegenheiten im Detail zu prüfen. Der Versicherungsantrag wird vom Geschäftsführer ausgefüllt, die Risikofragen werden nach bestem Wissen beantwortet, aber niemand gleicht die Antworten systematisch gegen den tatsächlichen Stand der IT-Sicherheit ab. Wenn dann der Schadensfall eintritt, prüft der Versicherer genau das, was bei Vertragsabschluss nicht geprüft wurde.
Die fünf häufigsten Obliegenheiten – und wo es in der Praxis hakt
In meiner Erfahrung als IT-Sachverständiger drehen sich die meisten Streitigkeiten um fünf wiederkehrende Obliegenheitsbereiche.
Backup-Obliegenheit. Nahezu jede Cyberversicherung verlangt regelmäßige Datensicherungen. Die Formulierungen variieren: manche Policen fordern tägliche Backups, manche wöchentliche, manche verlangen die Aufbewahrung offline oder in einer vom Produktivsystem getrennten Umgebung. In der Praxis zeigt sich häufig, dass zwar ein Backup-System existiert, aber die Backups seit Monaten nicht auf Wiederherstellbarkeit getestet wurden, die Backup-Medien im selben Netzwerksegment liegen und daher bei einem Ransomware-Angriff mitverschlüsselt werden, oder einzelne Systeme von der automatisierten Sicherung ausgenommen sind, ohne dass dies dokumentiert wurde.
Update- und Patch-Obliegenheit. Die Pflicht, Sicherheitsupdates zeitnah zu installieren, ist eine der am häufigsten verletzten Obliegenheiten. Die typische Formulierung lautet, dass sicherheitsrelevante Updates „unverzüglich“ oder „innerhalb eines angemessenen Zeitraums“ nach Verfügbarkeit eingespielt werden müssen. In der Praxis gibt es jedoch berechtigte Gründe, ein Update nicht sofort einzuspielen: Es könnte die Kompatibilität mit branchenspezifischer Software gefährden, es muss in einer Testumgebung geprüft werden, oder es erfordert einen Systemneustart, der im laufenden Betrieb nicht ohne Weiteres möglich ist. Der Sachverständige prüft, ob die verzögerte Installation sachlich begründet war oder ob sie auf mangelndes Patch-Management zurückzuführen ist.
Multi-Faktor-Authentifizierung (MFA). MFA ist mittlerweile eine Standardanforderung der meisten Cyberversicherer. Geprüft wird, ob MFA für alle Remote-Zugänge (VPN, Remote Desktop), für den Zugriff auf Cloud-Dienste und für administrative Konten mit erhöhten Berechtigungen implementiert ist. In der Praxis ist MFA häufig für die meisten Systeme aktiviert, aber einzelne Legacy-Anwendungen oder administrative Zugänge sind ausgenommen, weil sie technisch kein MFA unterstützen. Genau über solche Ausnahmen dringt der Angreifer ein, und genau diese Ausnahmen reklamiert der Versicherer als Obliegenheitsverletzung.
Netzwerksegmentierung. Fortgeschrittenere Policen fordern die Segmentierung des Netzwerks nach Schutzbedarf. Das bedeutet: Produktivsysteme, Entwicklungsumgebungen, Verwaltungsnetzwerk und Gästezugang sollen in getrennten Netzwerksegmenten betrieben werden, damit ein Angreifer, der in ein Segment eindringt, nicht automatisch Zugriff auf alle anderen Segmente hat. Die Prüfung durch den Sachverständigen zeigt häufig, dass zwar VLANs eingerichtet sind, aber die Firewall-Regeln zwischen den Segmenten zu permissiv konfiguriert sind, sodass die Segmentierung in der Praxis keinen wirksamen Schutz bietet.
Mitarbeitersensibilisierung. Viele Policen verlangen, dass Mitarbeiter regelmäßig zu Cyberrisiken geschult werden, teilweise mit konkreten Vorgaben wie „mindestens eine Phishing-Simulation pro Jahr“. In der Praxis wird diese Obliegenheit oft am wenigsten ernst genommen, kann aber zum Problem werden, wenn der Angriff nachweislich über eine Phishing-E-Mail erfolgte, die ein geschulter Mitarbeiter hätte erkennen können.
Was der IT-Sachverständige konkret prüft
Wenn eine Versicherung die Leistung kürzt oder verweigert und der Versicherungsnehmer diese Entscheidung anfechten will, beauftragt in der Regel der Anwalt des Unternehmens einen IT-Sachverständigen. Die Prüfung umfasst mehrere Ebenen.
Auf der ersten Ebene prüft der Sachverständige den tatsächlichen Sicherheitsstand zum Zeitpunkt des Angriffs. Welche Maßnahmen waren implementiert, welche nicht? Diese Prüfung basiert auf der forensischen Analyse der Systeme, auf der IT-Dokumentation des Unternehmens und auf Interviews mit den IT-Verantwortlichen. Das Ergebnis ist eine objektive Bestandsaufnahme.
Auf der zweiten Ebene vergleicht der Sachverständige den festgestellten Sicherheitsstand mit den konkreten Anforderungen der Versicherungspolice. Die Obliegenheiten werden einzeln durchgegangen: Was genau fordert die Police? Was war tatsächlich umgesetzt? Wo gibt es Abweichungen? Diese Prüfung erfordert sowohl technisches als auch versicherungsrechtliches Verständnis, denn die Formulierungen in den AVB sind oft unbestimmt. Was bedeutet „zeitnah“ bei der Installation von Updates? Was ist ein „angemessenes“ Backup-Konzept? Der Sachverständige beurteilt, ob die getroffenen Maßnahmen dem Stand der Technik entsprochen haben und ob die Obliegenheit bei vernünftiger Auslegung erfüllt war.
Auf der dritten Ebene prüft der Sachverständige die Kausalität: Ist der Schaden tatsächlich auf die behauptete Obliegenheitsverletzung zurückzuführen? Dieser Punkt ist oft der entscheidende. Denn selbst wenn eine Obliegenheit verletzt wurde, ist der Versicherer nur dann zur Leistungskürzung berechtigt, wenn die Verletzung für den Eintritt oder den Umfang des Schadens ursächlich war. Der Kausalitätsgegenbeweis nach § 28 Abs. 3 VVG (bzw. § 6 Abs. 3 VersVG in Österreich) kann die Position des Versicherungsnehmers erheblich stärken.
Der Kausalitätsgegenbeweis: Wo die Argumentation oft gewonnen wird
Der Kausalitätsgegenbeweis ist das schärfste Instrument des Versicherungsnehmers gegen eine Leistungskürzung. Er funktioniert so: Selbst wenn eine Obliegenheit verletzt wurde, bleibt der Versicherer leistungspflichtig, wenn die Verletzung für den Schaden nicht ursächlich war.
Drei Beispiele verdeutlichen das Prinzip.
Ein Unternehmen hat die MFA-Obliegenheit nicht vollständig erfüllt: Der VPN-Zugang war ohne MFA erreichbar. Der Angriff erfolgte aber nachweislich nicht über den VPN-Zugang, sondern über eine Phishing-E-Mail, die einen Mitarbeiter dazu brachte, Schadsoftware herunterzuladen. Die fehlende MFA war nicht kausal für den Angriff.
Ein Unternehmen hat ein Sicherheitsupdate für eine Serversoftware drei Wochen lang nicht eingespielt. Der Angriff erfolgte aber über eine andere Schwachstelle, die zum Zeitpunkt des Angriffs noch gar nicht bekannt war (Zero-Day-Exploit). Das fehlende Update war nicht kausal für den Angriff.
Ein Unternehmen hat seine Backups nicht wie vorgeschrieben offline gespeichert. Die Backups wurden bei einem Ransomware-Angriff mitverschlüsselt. Der Versicherer kürzt die Leistung für die Wiederherstellungskosten. Aber der Betriebsunterbrechungsschaden, der den größten Teil des Gesamtschadens ausmacht, wäre auch bei funktionierenden Backups in gleicher Höhe eingetreten, weil die Wiederherstellung in jedem Fall mehrere Tage gedauert hätte. Die Obliegenheitsverletzung ist nur für einen Teil des Schadens kausal.
Für den Kausalitätsgegenbeweis braucht es eine detaillierte technische Analyse. Der Sachverständige muss den Angriffsverlauf rekonstruieren und zeigen, welcher konkrete Angriffsweg genutzt wurde und ob die verletzte Obliegenheit diesen Weg hätte verhindern können. Diese Analyse ist oft der Dreh- und Angelpunkt der gesamten Auseinandersetzung.
Vorvertragliche Anzeigepflicht: Wenn die Risikofragen zum Problem werden
Neben den laufenden Obliegenheiten prüft der Versicherer im Schadensfall regelmäßig, ob die Risikofragen vor Vertragsabschluss korrekt beantwortet wurden. Die Frage „Werden regelmäßige Backups durchgeführt?“ wurde mit „Ja“ beantwortet, aber die forensische Analyse zeigt, dass das Backup-System seit sechs Monaten fehlerhaft läuft. Die Frage „Werden Sicherheitsupdates zeitnah installiert?“ wurde bejaht, aber auf einem kritischen Server läuft eine Software mit einer seit zwei Jahren bekannten Sicherheitslücke.
In diesen Fällen kann der Versicherer den Vertrag wegen Verletzung der vorvertraglichen Anzeigepflicht anfechten oder von ihm zurücktreten. Die Folge wäre, dass gar kein Versicherungsschutz besteht.
Der Sachverständige prüft hier, ob die Angaben im Risikoantrag zum Zeitpunkt der Antragstellung korrekt waren. Das ist ein feiner, aber wichtiger Unterschied: Wenn das Backup-System bei Antragstellung funktioniert hat und erst danach ausgefallen ist, liegt keine falsche Angabe vor, sondern allenfalls eine Verletzung der laufenden Obliegenheit. Die zeitliche Einordnung kann entscheidend sein.
Was Unternehmen aus Obliegenheitsstreitigkeiten lernen können
Die meisten Obliegenheitsstreitigkeiten wären vermeidbar gewesen. Nicht unbedingt, weil die IT-Sicherheit hätte besser sein müssen, sondern weil die Diskrepanz zwischen den vertraglichen Zusagen und dem tatsächlichen Sicherheitsstand nicht erkannt wurde.
Meine Empfehlung an Unternehmen mit Cyberversicherung: Lassen Sie einen IT-Fachmann die Obliegenheiten Ihrer Police gegen den tatsächlichen Stand Ihrer IT-Sicherheit prüfen. Nicht nach einem Angriff, sondern jetzt. Dieser Abgleich zeigt, wo Lücken bestehen, die entweder geschlossen oder der Versicherung gegenüber offengelegt werden sollten. Und er zeigt, wo die Formulierungen in der Police unklar sind und eine Klarstellung mit dem Versicherer sinnvoll wäre.
Wenn Sie sich bereits in einer Auseinandersetzung mit Ihrer Cyberversicherung befinden: Ein unabhängiges Gutachten durch einen IT-Sachverständigen kann die technische Grundlage liefern, die Ihr Anwalt für die Verhandlung oder das Verfahren braucht. Es kann zeigen, dass die behauptete Obliegenheitsverletzung nicht vorliegt, dass sie nicht kausal für den Schaden war, oder dass die Leistungskürzung unverhältnismäßig ist.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger prüfe ich sowohl den tatsächlichen Sicherheitsstand als auch die Kausalität zwischen behaupteten Obliegenheitsverletzungen und dem eingetretenen Schaden. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

20. Jänner 2026
Cyberangriff auf Ihr Unternehmen: Was ein IT-Gutachter für Ihre Versicherung dokumentiert

Ein Cyberangriff trifft Ihr Unternehmen. Die Systeme stehen still, Daten sind verschlüsselt, die Produktion steht. In den ersten Stunden geht es um Schadensbegrenzung und Wiederherstellung. Aber parallel dazu muss an die Versicherung gedacht werden. Denn eine Cyberversicherung zahlt nur, wenn der Schaden nachvollziehbar dokumentiert ist. Was ein IT-Sachverständiger in dieser Situation leistet und welche Dokumentation die Versicherung erwartet, erklärt dieser Beitrag.
Warum die Versicherung ein Gutachten braucht
Cyberversicherungen sind modular aufgebaut. Sie decken typischerweise Eigenschäden wie Betriebsunterbrechung und Datenwiederherstellung, Drittschäden wie Datenschutzverletzungen gegenüber Kunden, und Krisenmanagement-Kosten wie IT-Forensik, Rechtsberatung und Krisenkommunikation. Die Deckungssummen können erheblich sein: Bei mittelständischen Unternehmen sind Policen mit einer Deckung von 500.000 bis mehreren Millionen Euro keine Seltenheit.
Damit die Versicherung reguliert, muss der Versicherungsnehmer den Schaden nicht nur melden, sondern auch nachweisen. Und zwar in einer Form, die für die Schadensabteilung der Versicherung nachvollziehbar und überprüfbar ist. Ein Anruf mit dem Satz „Wir wurden gehackt, es ist alles weg“ reicht dafür nicht aus.
Die Versicherung will wissen, was genau passiert ist, wann es passiert ist, wie es passieren konnte, welcher Schaden entstanden ist und ob der Versicherungsnehmer seine Obliegenheiten erfüllt hat. Für die Beantwortung dieser Fragen braucht es eine strukturierte technische Analyse. Genau das ist die Aufgabe eines IT-Sachverständigen.
Die sechs Bereiche der Dokumentation
Ein IT-Gutachten für die Versicherung nach einem Cyberangriff umfasst typischerweise sechs Bereiche, die zusammen ein vollständiges Bild des Vorfalls und seiner Folgen ergeben.
1. Der Angriffsvektor: Wie ist der Angreifer eingedrungen?
Die Versicherung muss verstehen, auf welchem Weg der Angriff erfolgt ist. Das ist aus zwei Gründen wichtig: Erstens, um zu prüfen, ob ein versichertes Ereignis vorliegt. Zweitens, um zu beurteilen, ob der Versicherungsnehmer seine Sicherheitspflichten eingehalten hat.
Der Sachverständige rekonstruiert den Angriffsweg anhand der verfügbaren Spuren: Logfiles der Firewall, des E-Mail-Servers, der Endpoint-Protection, der Active-Directory-Protokolle und gegebenenfalls der Cloud-Dienste. Typische Eintrittspunkte sind Phishing-E-Mails mit schadhaften Anhängen oder Links, kompromittierte Zugangsdaten (etwa durch Credential Stuffing oder Brute-Force-Angriffe), ausgenutzte Schwachstellen in ungepatchter Software, offene RDP-Zugänge (Remote Desktop Protocol) ohne Multi-Faktor-Authentifizierung sowie kompromittierte Lieferanten oder Dienstleister (Supply-Chain-Angriff).
Die Dokumentation hält fest, welcher Angriffstyp vorliegt, welche Systeme zuerst betroffen waren, wie sich der Angreifer im Netzwerk ausgebreitet hat (Lateral Movement) und wann die verschiedenen Phasen des Angriffs stattgefunden haben.
2. Der Zeitverlauf: Die Timeline des Angriffs
Für die Versicherung ist der zeitliche Ablauf aus mehreren Gründen relevant. Er bestimmt den Beginn der Betriebsunterbrechung, er zeigt, wie schnell das Unternehmen reagiert hat, und er kann Hinweise darauf geben, ob der Angriff hätte früher erkannt werden können.
Der Sachverständige erstellt eine forensische Timeline, die die einzelnen Phasen des Angriffs chronologisch darstellt: den initialen Zugriff, die Ausbreitung im Netzwerk, die Eskalation von Berechtigungen, die Exfiltration von Daten (falls erfolgt) und die eigentliche Schadensaktion, etwa die Verschlüsselung durch Ransomware. Diese Timeline basiert auf der Korrelation von Zeitstempeln aus verschiedenen Quellen: Systemlogs, Netzwerkprotokolle, Dateisystem-Metadaten und Sicherheitssoftware-Meldungen.
Die präzise Dokumentation des Zeitverlaufs ist auch deshalb wichtig, weil viele Cyberversicherungen eine Karenzzeit für die Betriebsunterbrechungsdeckung vorsehen. Der Sachverständige muss nachweisen, ab welchem Zeitpunkt der Betrieb tatsächlich beeinträchtigt war.
3. Der technische Schaden: Was wurde beschädigt oder zerstört?
Der technische Schaden umfasst alles, was durch den Angriff an IT-Systemen und Daten beschädigt, zerstört oder kompromittiert wurde. Der Sachverständige dokumentiert, welche Server, Arbeitsplatzrechner und Netzwerkkomponenten betroffen sind, welche Datenbanken und Dateisysteme verschlüsselt, gelöscht oder manipuliert wurden, welche Anwendungen nicht mehr funktionsfähig sind, welche Backups verfügbar und intakt sind und welche Systeme neu aufgesetzt werden müssen.
Diese Bestandsaufnahme ist die Grundlage für die Berechnung der Wiederherstellungskosten. Die Versicherung benötigt eine nachvollziehbare Aufstellung, die zwischen reparablen und irreparablen Schäden unterscheidet.
4. Der wirtschaftliche Schaden: Was kostet der Vorfall?
Die Schadensermittlung ist der Bereich, in dem die Interessen des Versicherungsnehmers und der Versicherung am ehesten auseinandergehen können. Der Sachverständige liefert hier eine objektive, nachvollziehbare Grundlage.
Die direkten Kosten umfassen die IT-Forensik selbst, die Wiederherstellung der Systeme, die Neubeschaffung von Hardware (falls nötig), die Wiedereinspieling von Backups, die Rekonfiguration von Systemen und die zusätzlichen Arbeitsstunden des IT-Personals.
Die Betriebsunterbrechungskosten bemessen sich nach der Dauer des Stillstands und den daraus resultierenden Einnahmeausfällen. Der Sachverständige dokumentiert, welche Geschäftsprozesse ab welchem Zeitpunkt nicht mehr funktioniert haben und wann sie wiederhergestellt wurden. Er beziffert den Ertragsausfall auf Basis der betriebswirtschaftlichen Kennzahlen des Unternehmens.
Die Drittschäden entstehen, wenn durch den Angriff personenbezogene Daten von Kunden oder Mitarbeitern abgeflossen sind. In diesem Fall greifen die Meldepflichten der DSGVO: Meldung an die Datenschutzbehörde innerhalb von 72 Stunden gemäß Art. 33 DSGVO, gegebenenfalls Benachrichtigung der betroffenen Personen gemäß Art. 34 DSGVO. Die Kosten für diese Maßnahmen, einschließlich Rechtsberatung und Krisenkommunikation, fallen unter die Deckung der Cyberversicherung.
5. Die Obliegenheitsprüfung: Hat das Unternehmen seine Pflichten erfüllt?
Hier wird es für viele Unternehmen heikel. Cyberversicherungen stellen in ihren Bedingungen konkrete Anforderungen an die IT-Sicherheit des Versicherungsnehmers. Diese Obliegenheiten sind die Voraussetzung für den Versicherungsschutz. Typische Anforderungen sind regelmäßige und funktionierende Datensicherungen, zeitnahe Installation von Sicherheitsupdates und Patches, Einsatz von Firewall und Antiviren-Software, Zugangsschutz durch Passwortrichtlinien und Multi-Faktor-Authentifizierung, Sensibilisierung der Mitarbeiter für Cyberrisiken sowie Trennung von Administrator- und Benutzerkonten.
Wenn die Versicherung feststellt, dass der Versicherungsnehmer diese Obliegenheiten verletzt hat, kann sie die Leistung kürzen oder im Extremfall verweigern. Der Sachverständige dokumentiert objektiv, welche Sicherheitsmaßnahmen zum Zeitpunkt des Angriffs implementiert waren und welche nicht. Er stellt fest, ob die vorhandenen Maßnahmen dem Stand der Technik entsprochen haben und ob die Obliegenheiten aus dem Versicherungsvertrag erfüllt waren.
Diese Prüfung ist für das Unternehmen ein zweischneidiges Schwert: Ein ehrliches Gutachten kann Schwachstellen aufzeigen, die die Versicherung als Obliegenheitsverletzung wertet. Andererseits stärkt ein Gutachten, das die Einhaltung der Sicherheitsstandards bestätigt, die Position des Versicherungsnehmers erheblich. In jedem Fall ist es besser, wenn diese Prüfung durch einen unabhängigen Sachverständigen erfolgt als durch einen Gutachter, den die Versicherung selbst beauftragt.
6. Die Ursache-Wirkungs-Kette: Kausalität zwischen Angriff und Schaden
Die Versicherung deckt nur Schäden, die kausal auf das versicherte Ereignis zurückzuführen sind. Der Sachverständige muss daher die Kausalitätskette nachweisen: Der Angriff führte zur Verschlüsselung der Systeme, die Verschlüsselung führte zum Betriebsstillstand, der Betriebsstillstand führte zum dokumentierten Ertragsausfall.
Was einfach klingt, kann in der Praxis komplex werden. Wenn ein Unternehmen bereits vor dem Angriff mit IT-Problemen zu kämpfen hatte, wird die Versicherung argumentieren, dass ein Teil des Schadens nicht auf den Angriff zurückzuführen ist. Wenn die Wiederherstellung länger dauert als nötig, weil interne Ressourcen fehlen, stellt sich die Frage, ob die gesamte Dauer der Betriebsunterbrechung als versicherter Schaden gilt. Der Sachverständige muss diese Abgrenzungen nachvollziehbar treffen.
Der Zeitfaktor: Warum die Dokumentation sofort beginnen muss
Die forensische Dokumentation eines Cyberangriffs muss parallel zur Incident Response beginnen, nicht erst nach der Wiederherstellung. Dafür gibt es zwei Gründe.
Erstens sind digitale Spuren flüchtig. Die Logfiles, die den Angriffsverlauf zeigen, werden durch den laufenden Betrieb oder durch die Wiederherstellungsmaßnahmen selbst überschrieben. Arbeitsspeicherinhalte gehen bei einem Neustart verloren. Cloud-Logs haben begrenzte Aufbewahrungsfristen. Was in den ersten Stunden nicht gesichert wird, ist möglicherweise unwiederbringlich verloren.
Zweitens verlangen die meisten Cyberversicherungen eine unverzügliche Schadensmeldung, häufig innerhalb von 24 bis 72 Stunden. Diese Meldung muss bereits eine erste Einschätzung des Vorfalls enthalten. Ein Sachverständiger, der von Anfang an eingebunden ist, kann diese Ersteinschätzung fundiert liefern.
Die Versicherung selbst hat in der Regel ebenfalls ein Netzwerk aus IT-Forensikern, die sie im Schadensfall einsetzt. Es ist jedoch im Interesse des Versicherungsnehmers, auch einen eigenen Sachverständigen einzuschalten. Denn der Forensiker der Versicherung arbeitet im Auftrag der Versicherung, nicht im Auftrag des Versicherungsnehmers. Ein unabhängiger Sachverständiger stellt sicher, dass die Dokumentation die Interessen des Unternehmens angemessen berücksichtigt.
Was Sie jetzt tun sollten – auch ohne akuten Vorfall
Wenn Ihr Unternehmen eine Cyberversicherung hat oder eine abschließen möchte, sollten Sie drei Dinge prüfen.
Kennen Sie die Obliegenheiten Ihrer Police? Viele Unternehmen schließen eine Cyberversicherung ab, ohne die konkreten Sicherheitsanforderungen der Versicherungsbedingungen zu kennen. Im Schadensfall kann das zur Leistungskürzung führen. Lassen Sie die Anforderungen durch einen IT-Fachmann gegen Ihren tatsächlichen Sicherheitsstand abgleichen.
Haben Sie einen Incident-Response-Plan? Ein dokumentierter Ablaufplan für den Fall eines Cyberangriffs beschleunigt nicht nur die Reaktion, sondern zeigt der Versicherung auch, dass Sie vorbereitet waren. Dieser Plan sollte die Kontaktdaten eines IT-Sachverständigen enthalten, der im Ernstfall innerhalb kurzer Zeit verfügbar ist.
Ist Ihre IT-Dokumentation aktuell? Eine aktuelle Dokumentation der IT-Infrastruktur, der Netzwerkarchitektur, der Backup-Strategie und der Sicherheitsmaßnahmen ist nicht nur für die Prävention wichtig. Sie ist auch die Grundlage, auf der ein Sachverständiger im Schadensfall arbeitet. Ohne diese Dokumentation dauert die Befundaufnahme deutlich länger und wird entsprechend teurer.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger unterstütze ich Unternehmen sowohl bei der forensischen Dokumentation nach einem Cyberangriff als auch bei der Vorbereitung auf den Ernstfall. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

20. Jänner 2026
Beweissicherung bei IT-Streitigkeiten: Warum der Zeitpunkt entscheidend ist

Digitale Beweise sind flüchtig. Server werden neu aufgesetzt, Logfiles rotieren, Testumgebungen werden abgebaut, Cloud-Instanzen gelöscht, Mitarbeiter verlassen das Unternehmen. Was heute noch auf einem System nachvollziehbar ist, kann morgen unwiederbringlich verloren sein. Bei IT-Streitigkeiten entscheidet der Zeitpunkt der Beweissicherung deshalb häufig über den Ausgang des gesamten Verfahrens.
Digitale Beweise sind anders als physische Beweise
Im Bauwesen kann ein Sachverständiger auch Jahre nach der Fertigstellung einen Riss in der Wand dokumentieren oder eine fehlerhafte Abdichtung freilegen. Der Mangel ist physisch vorhanden und verändert sich in der Regel nur langsam. Bei IT-Streitigkeiten ist das grundlegend anders.
Software existiert in einem bestimmten Zustand zu einem bestimmten Zeitpunkt. Dieser Zustand verändert sich laufend: durch Updates, Patches, Konfigurationsänderungen, durch den normalen Betrieb, durch den Ablauf automatisierter Prozesse und durch bewusste oder unbewusste Eingriffe. Wenn ein ERP-System im Januar fehlerhaft arbeitet und der Anbieter im März ein Update einspielt, ist der fehlerhafte Zustand vom Januar möglicherweise nicht mehr rekonstruierbar. Der Mangel wurde vielleicht behoben, aber der Beweis für seine Existenz ist verschwunden.
Noch gravierender ist die Situation bei Logfiles und Protokolldaten. Die meisten Systeme speichern Protokolle nur für einen begrenzten Zeitraum. Webserver-Logs werden typischerweise nach 30 bis 90 Tagen rotiert, Firewall-Logs nach wenigen Wochen überschrieben, Datenbankprotokolle nach der nächsten Archivierung gelöscht. Wer sechs Monate nach einem Vorfall einen Sachverständigen einschaltet, findet oft keine verwertbaren Protokolldaten mehr vor.
Deshalb gilt bei IT-Streitigkeiten eine einfache Regel: Die Beweissicherung muss so früh wie möglich erfolgen. Jeder Tag, der verstreicht, reduziert die Menge und Qualität der verfügbaren Beweise.
Was bei IT-Streitigkeiten gesichert werden muss
Die Beweissicherung bei IT-Streitigkeiten umfasst deutlich mehr als eine Kopie der Software. Je nach Fallkonstellation können folgende Beweismittel relevant sein.
Der aktuelle Zustand der Software ist der offensichtlichste Beweisgegenstand. Welche Version ist installiert? Welche Module sind aktiv? Welche Konfiguration ist hinterlegt? Welche Anpassungen (Customizing) wurden vorgenommen? Bei Webanwendungen oder Cloud-Lösungen muss dieser Zustand gesichert werden, bevor der Anbieter Zugriff entzieht oder Änderungen vornimmt.
Die Datenbankinhalte dokumentieren den tatsächlichen Betriebszustand. Sind die Stammdaten korrekt migriert? Stimmen die Lagerbestände? Funktionieren die Preiskalkulationen? Bei ERP-Streitigkeiten liegen die entscheidenden Beweise häufig nicht in der Software selbst, sondern in den Daten, die sie verarbeitet.
Logfiles und Protokolldaten sind oft die einzige Möglichkeit, Vorgänge in der Vergangenheit zu rekonstruieren. Systemprotokolle zeigen, wann welche Fehler aufgetreten sind. Anmeldeprotokolle belegen, wer wann auf das System zugegriffen hat. Änderungsprotokolle dokumentieren, welche Konfigurationsänderungen vorgenommen wurden. E-Mail-Server-Logs können beweisen, dass eine bestimmte Benachrichtigung gesendet oder empfangen wurde.
Die Projektdokumentation umfasst Verträge, Lastenhefte, Pflichtenhefte, Projektprotokolle, Statusberichte, E-Mail-Korrespondenz, Ticketsysteme und Change Requests. Diese Dokumente sind weniger flüchtig als technische Daten, aber auch sie können verloren gehen: wenn Projektplattformen abgeschaltet, Ticketsysteme archiviert oder E-Mail-Konten gelöscht werden.
Testumgebungen und Entwicklungssysteme werden nach dem Go-Live oft als erste abgebaut. Dabei sind sie für die Begutachtung häufig wertvoller als das Produktivsystem, weil sie den Zustand der Software zu einem bestimmten Zeitpunkt konservieren, ohne dass der laufende Betrieb die Spuren überschrieben hat.
Die Flüchtigkeit digitaler Beweise: Fünf typische Szenarien
Aus meiner Praxis als IT-Sachverständiger kenne ich eine Reihe von Situationen, in denen der Zeitpunkt der Beweissicherung den Ausgang des Verfahrens bestimmt hat.
Der Anbieter spielt ein Update ein. Ein Unternehmen beklagt sich über systematische Rechenfehler in der Fakturierung seines neuen ERP-Systems. Der Anbieter erkennt das Problem an und spielt ein Update ein. Damit ist der Fehler behoben, aber zugleich ist der Beweis für die ursprüngliche Fehlfunktion verschwunden. Hätte das Unternehmen vor dem Update den Zustand der Software dokumentiert und die fehlerhaften Berechnungen mit Testdaten reproduziert, wäre der Mangel nachweisbar gewesen.
Der Cloud-Zugang wird gesperrt. Ein SaaS-Vertrag wird gekündigt oder läuft aus. Der Anbieter sperrt den Zugang zum System. Ab diesem Zeitpunkt ist eine technische Befundaufnahme nicht mehr möglich. Die Daten, die Konfiguration, die Fehlerprotokolle, alles liegt auf der Infrastruktur des Anbieters und ist nicht mehr zugänglich. Wenn die Beweissicherung nicht vor der Sperrung erfolgt ist, fehlt dem Sachverständigen die Grundlage für eine Begutachtung.
Server werden neu aufgesetzt. Nach einem gescheiterten IT-Projekt entscheidet das Unternehmen, die alte Infrastruktur abzubauen und ein neues System einzuführen. Die Server des gescheiterten Systems werden formatiert und neu installiert. Damit gehen nicht nur die Software und ihre Konfiguration verloren, sondern auch sämtliche Logfiles, temporären Dateien und Datenbankstände, die den fehlerhaften Betrieb dokumentiert haben.
Mitarbeiter verlassen das Unternehmen. Der Projektleiter beim IT-Dienstleister, der die Implementierung verantwortet hat, wechselt zu einem anderen Arbeitgeber. Sein E-Mail-Konto wird deaktiviert, seine lokalen Dateien gelöscht. Die E-Mails, in denen er bestimmte Funktionalitäten zugesagt oder Probleme eingeräumt hat, sind nicht mehr zugänglich, sofern sie nicht auf dem Mailserver des Empfängers gesichert wurden.
Automatische Löschfristen greifen. Viele Unternehmen haben, nicht zuletzt aus datenschutzrechtlichen Gründen, automatisierte Löschprozesse implementiert. E-Mails werden nach zwölf Monaten gelöscht, Logfiles nach 90 Tagen rotiert, Tickets nach Abschluss archiviert und nach einem Jahr entfernt. Diese Prozesse laufen im Hintergrund und erfassen auch diejenigen Daten, die für eine spätere Streitigkeit relevant wären.
Die Beweissicherung aus rechtlicher Sicht
Das österreichische Zivilprozessrecht kennt das Beweissicherungsverfahren gemäß §§ 384 bis 389 ZPO. Dieses Verfahren ermöglicht die vorsorgliche Aufnahme von Beweisen, auch schon vor der Einbringung einer Klage. Voraussetzung ist, dass der Antragsteller ein rechtliches Interesse an der Beweissicherung glaubhaft macht, insbesondere dass ein Beweisverlust droht.
Im gerichtlichen Beweissicherungsverfahren bestellt das Gericht einen Sachverständigen, der den gegenwärtigen Zustand einer Sache feststellt. Bei IT-Streitigkeiten bedeutet das: Der Sachverständige dokumentiert den aktuellen Zustand der Software, der Systeme und der Daten. Wichtig ist, dass im Rahmen der Beweissicherung grundsätzlich ein Befund erstattet wird, also eine Feststellung des Ist-Zustands. Die Erstattung eines vollständigen Gutachtens mit rechtlicher Würdigung ist im Beweissicherungsverfahren nicht vorgesehen, kann aber im anschließenden Hauptverfahren erfolgen.
Alternativ kann ein Privatgutachten beauftragt werden. Der Sachverständige wird dabei direkt von einer Partei beauftragt und erstellt eine Befundaufnahme auf privatrechtlicher Grundlage. Ein Privatgutachten hat vor Gericht den Charakter eines urkundlich belegten Parteienvorbringens, nicht eines Beweismittels im prozessualen Sinn. Für die Beweissicherung kann es dennoch entscheidend sein: Es dokumentiert den Zustand zu einem bestimmten Zeitpunkt und schafft damit eine Grundlage, auf die sich ein späteres Gerichtsgutachten stützen kann.
In der Praxis ist das Privatgutachten bei IT-Streitigkeiten häufig der schnellere Weg. Ein gerichtliches Beweissicherungsverfahren erfordert einen Antrag, einen Beschluss, die Bestellung eines Sachverständigen und die Terminierung. Das kann Wochen dauern. Bei flüchtigen digitalen Beweisen sind Wochen manchmal zu lang.
Die Chain of Custody: Damit Beweise auch Beweise bleiben
Die Sicherung digitaler Beweise muss so erfolgen, dass ihr Beweiswert erhalten bleibt. Dafür ist die Chain of Custody, die lückenlose Kette der Obhut, entscheidend. Sie dokumentiert, wer wann welches Beweismittel gesichert, transportiert, aufbewahrt und untersucht hat.
Konkret bedeutet das: Von Datenträgern werden forensische Duplikate (Images) erstellt, nicht einfache Kopien. Die Integrität des Duplikats wird durch kryptografische Hashwerte (SHA-256) sichergestellt. Jeder Schritt wird dokumentiert: Datum, Uhrzeit, beteiligte Personen, verwendete Werkzeuge, Vorgehen. Das Originalsystem wird nach der Sicherung möglichst nicht mehr verändert.
Bei der Sicherung laufender Systeme ist die Reihenfolge wichtig: Flüchtige Daten (Arbeitsspeicher, aktive Netzwerkverbindungen, laufende Prozesse) werden zuerst gesichert, weil sie beim Herunterfahren verloren gehen. Dann folgen die Massenspeicher (Festplatten, SSDs), anschließend die externen Speichermedien. Dieses Prinzip der Flüchtigkeitsreihenfolge stellt sicher, dass die kurzlebigsten Beweise zuerst erfasst werden.
Für den späteren Beweiswert ist außerdem die Vier-Augen-Regel bedeutsam: Die Sicherung sollte von zwei Personen durchgeführt oder bezeugt werden, damit die korrekte Vorgehensweise im Verfahren bestätigt werden kann.
Beweissicherung bei verschiedenen Streittypen
Der Umfang und die Dringlichkeit der Beweissicherung hängen vom konkreten Streittyp ab.
Bei gescheiterten IT-Projekten wie ERP-Einführungen ist die Beweissicherung dringlich, aber nicht minutenkritisch. Hier geht es darum, den Zustand der Software, die Projektdokumentation und die Kommunikation zwischen den Parteien zu sichern, bevor Systeme abgebaut oder Dokumente gelöscht werden. Ein Zeitfenster von einigen Wochen ist typisch, aber es sollte nicht unnötig ausgereizt werden.
Bei Cyberangriffen und Sicherheitsvorfällen ist die Beweissicherung höchst zeitkritisch. Angriffsspuren im Arbeitsspeicher gehen bei einem Neustart verloren. Logfiles, die den Angriffsverlauf zeigen, werden möglicherweise durch den Angreifer selbst gelöscht oder durch den normalen Systembetrieb überschrieben. Hier muss die forensische Sicherung innerhalb von Stunden beginnen.
Bei Softwaremängeln im laufenden Betrieb besteht die besondere Herausforderung darin, den fehlerhaften Zustand zu dokumentieren, ohne den Betrieb zu unterbrechen. Hier kommen häufig gezielte Testszenarien zum Einsatz: Der Sachverständige reproduziert den Fehler unter kontrollierten Bedingungen und dokumentiert ihn protokollfest.
Bei Streitigkeiten über Datenverlust oder Datenmanipulation steht die Integrität der Daten im Mittelpunkt. Hier muss nachgewiesen werden, dass Daten zu einem bestimmten Zeitpunkt in einem bestimmten Zustand waren. Ohne zeitnahe Sicherung ist dieser Nachweis kaum zu führen.
Was Sie jetzt tun sollten
Wenn Sie sich in einer IT-Streitigkeit befinden oder eine solche befürchten, sollten Sie sofort handeln.
Sichern Sie den aktuellen Zustand. Erstellen Sie Backups aller relevanten Systeme, Datenbanken und Konfigurationen. Exportieren Sie Logfiles, bevor die automatische Rotation sie löscht. Dokumentieren Sie den Zustand mit Screenshots, Bildschirmaufnahmen und Protokollen. Auch wenn diese interne Sicherung nicht den forensischen Standards eines Sachverständigengutachtens entspricht, ist sie besser als gar keine Sicherung.
Bewahren Sie die Kommunikation auf. Sichern Sie alle E-Mails, Chat-Verläufe, Ticketsystem-Einträge und Projektdokumente, die mit dem Streitgegenstand zusammenhängen. Deaktivieren Sie automatische Löschprozesse für die betroffenen Daten.
Schalten Sie einen Sachverständigen ein, bevor Sie technische Veränderungen vornehmen. Bevor Sie ein System abschalten, ein Update einspielen, einen Server neu aufsetzen oder eine Testumgebung abbauen, sollte ein Sachverständiger die Gelegenheit haben, den aktuellen Zustand zu dokumentieren.
Handeln Sie nicht vorschnell, aber handeln Sie schnell. Die Beweissicherung muss nicht am selben Tag abgeschlossen sein. Aber sie muss begonnen werden, bevor die Beweise verschwinden. Und das kann schneller passieren, als man denkt.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger führe ich Beweissicherungen sowohl im Rahmen gerichtlicher Beweissicherungsverfahren als auch als Privatgutachter durch. Im Erstgespräch können wir gemeinsam einschätzen, welche Beweise in Ihrem Fall gefährdet sind und welche Maßnahmen prioritär ergriffen werden sollten. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

17. Jänner 2026
Wie finde ich einen qualifizierten IT-Sachverständigen in Österreich? Checkliste für die Auswahl

Die Qualität eines IT-Gutachtens steht und fällt mit der Qualifikation des Sachverständigen. Doch wie erkennen Sie, ob ein IT-Sachverständiger tatsächlich die fachliche Tiefe, die methodische Kompetenz und die rechtliche Erfahrung mitbringt, die Ihr Fall erfordert? In Österreich gibt es ein gesetzlich geregeltes Zertifizierungssystem, das Orientierung bietet, aber nicht jeder Sachverständige ist für jede Fragestellung gleich gut geeignet. Dieser Beitrag erklärt, worauf Sie bei der Auswahl achten sollten, und gibt Ihnen eine konkrete Checkliste an die Hand.
Die gerichtliche Sachverständigenliste als Ausgangspunkt
In Österreich existiert ein weltweit einzigartiges System zur Qualitätssicherung von Sachverständigen: die Gerichtssachverständigen- und Gerichtsdolmetscherliste nach dem Sachverständigen- und Dolmetschergesetz (SDG). Diese elektronische Liste wird von den Präsidenten der Landesgerichte geführt und ist öffentlich über die Justiz-Plattform sdgliste.justiz.gv.at zugänglich.
Wer in dieser Liste eingetragen ist, darf die Bezeichnung „allgemein beeideter und gerichtlich zertifizierter Sachverständiger“ führen. Diese Bezeichnung ist gesetzlich geschützt und an ein strenges Zertifizierungsverfahren gebunden. Die SDG-Liste ist damit der erste und wichtigste Anlaufpunkt, wenn Sie einen qualifizierten IT-Sachverständigen suchen.
Sie können die Liste nach Fachgebieten und Gerichtssprengeln durchsuchen. IT-Sachverständige finden sich typischerweise in den Fachgruppen für Informationstechnologie, Datenverarbeitung oder verwandte Gebiete. Die Einträge enthalten Name, Kontaktdaten, Fachgebiete und häufig auch Angaben zur Ausbildung und beruflichen Erfahrung.
Was die SDG-Zertifizierung garantiert
Die Eintragung in die Gerichtssachverständigenliste ist keine Formalität. Das Zertifizierungsverfahren nach §§ 2, 4 und 4a SDG stellt sicher, dass nur Sachverständige eingetragen werden, die eine Reihe anspruchsvoller Voraussetzungen erfüllen.
Die erste Voraussetzung ist nachgewiesene Sachkunde im jeweiligen Fachgebiet. Für IT-Sachverständige bedeutet das: fundiertes Wissen über Informationstechnologie, Softwareentwicklung, IT-Infrastruktur, Cybersecurity oder verwandte Bereiche, je nach eingetragenem Fachgebiet.
Die zweite Voraussetzung ist Berufserfahrung in der gesetzlich geforderten Dauer. Das SDG verlangt eine zehnjährige Tätigkeit in verantwortlicher Stellung auf dem betreffenden Fachgebiet unmittelbar vor der Eintragung. Eine fünfjährige Tätigkeit genügt, wenn der Bewerber ein entsprechendes Hochschulstudium erfolgreich abgeschlossen hat. In beiden Fällen muss es sich um eine Tätigkeit in verantwortlicher Stellung handeln, nicht um eine untergeordnete Zuarbeit.
Die dritte Voraussetzung sind Kenntnisse des Verfahrensrechts. Ein IT-Sachverständiger muss nicht nur sein Fachgebiet beherrschen, sondern auch wissen, wie ein Gerichtsverfahren abläuft, welche Rechte die Parteien haben, wie eine Befundaufnahme korrekt durchgeführt wird und wie ein Gutachten aufgebaut sein muss, damit es den prozessualen Anforderungen genügt.
Die vierte Voraussetzung ist die persönliche Eignung: Integrität, Zuverlässigkeit, geordnete wirtschaftliche Verhältnisse und der Abschluss einer Haftpflichtversicherung.
Geprüft wird das alles in einem mehrstufigen Verfahren. Eine unabhängige Zertifizierungskommission, bestehend aus einem Richter und zwei Fachleuten, prüft den Bewerber mündlich und gegebenenfalls schriftlich. Dabei kann auch die Erstattung eines Probegutachtens verlangt werden. Erst nach positivem Abschluss dieser Prüfung erfolgt die Eintragung durch den Landesgerichtspräsidenten.
Die Zertifizierung ist auf zehn Jahre befristet. Danach muss der Sachverständige die Rezertifizierung durchlaufen und nachweisen, dass er die Voraussetzungen nach wie vor erfüllt und sich fachlich weitergebildet hat.
Warum die SDG-Zertifizierung allein nicht ausreicht
Die SDG-Zertifizierung ist ein starkes Qualitätssignal, aber sie beantwortet nicht jede Frage. Fachgebiete in der Sachverständigenliste sind breit definiert. Ein Sachverständiger, der für das Fachgebiet „Informationstechnologie“ eingetragen ist, kann ein Spezialist für Netzwerktechnik sein, für Softwarearchitektur, für IT-Forensik oder für Datenbanksysteme. Ob seine spezifische Expertise zu Ihrem konkreten Fall passt, ergibt sich nicht automatisch aus dem Listeneintrag.
Deshalb sollten Sie über die SDG-Zertifizierung hinaus weitere Kriterien prüfen.
Checkliste: 10 Kriterien für die Auswahl eines IT-Sachverständigen
Die folgende Checkliste hilft Ihnen, aus der Menge der zertifizierten Sachverständigen den richtigen für Ihren Fall zu finden.
1. Passt das Fachgebiet zur Fragestellung? Prüfen Sie, ob die eingetragenen Fachgebiete des Sachverständigen zu Ihrem konkreten Problem passen. Ein Sachverständiger für Netzwerktechnik ist nicht automatisch der richtige Ansprechpartner für einen Softwarestreit. Fragen Sie im Erstgespräch gezielt nach, in welchen Teilbereichen der IT der Sachverständige seine Kernkompetenz sieht.
2. Welche praktische Erfahrung bringt der Sachverständige mit? Die SDG-Zertifizierung verlangt langjährige Berufserfahrung, aber entscheidend ist, welche Art von Erfahrung. Ein IT-Sachverständiger, der aus der Praxis kommt und selbst IT-Projekte geleitet, Systeme implementiert oder Sicherheitsvorfälle bearbeitet hat, bringt ein anderes Verständnis mit als jemand, dessen Erfahrung rein akademisch ist. Fragen Sie nach konkreten Tätigkeitsschwerpunkten.
3. Hat der Sachverständige Erfahrung mit vergleichbaren Fällen? Ohne vertrauliche Details preiszugeben, kann ein erfahrener Sachverständiger Ihnen im Erstgespräch sagen, ob er mit ähnlichen Fragestellungen bereits befasst war. Hat er schon ERP-Streitigkeiten begutachtet? Cyberschäden dokumentiert? IT-Infrastrukturen bewertet? Diese Erfahrung macht einen erheblichen Unterschied in der Effizienz und Qualität des Gutachtens.
4. Kann der Sachverständige komplexe IT-Themen verständlich erklären? Ein IT-Gutachten muss von einem Richter ohne IT-Hintergrund verstanden werden können. Der beste Fachmann nützt nichts, wenn sein Gutachten nur für Informatiker verständlich ist. Achten Sie schon im Erstgespräch darauf, ob der Sachverständige in der Lage ist, technische Zusammenhänge klar und nachvollziehbar zu erklären.
5. Ist der Sachverständige unabhängig? Prüfen Sie, ob der Sachverständige in einer Geschäftsbeziehung zu einer der Parteien steht oder anderweitig befangen sein könnte. Bei gerichtlichen Bestellungen prüft das Gericht die Unbefangenheit, aber bei Privatgutachten liegt diese Verantwortung beim Auftraggeber. Ein Sachverständiger, der für den IT-Dienstleister arbeitet, gegen den Sie einen Anspruch geltend machen, ist offensichtlich nicht geeignet. Weniger offensichtliche Verbindungen, etwa über Geschäftspartner oder gemeinsame Kunden, sollten ebenfalls hinterfragt werden.
6. Wie ist die methodische Arbeitsweise? Ein guter Sachverständiger arbeitet strukturiert und transparent. Fragen Sie, wie er bei der Befundaufnahme vorgeht, welche Methoden und Werkzeuge er einsetzt und wie er sein Gutachten dokumentiert. Bei IT-Forensik ist die Frage der Beweissicherungskette (Chain of Custody) entscheidend: Wie stellt der Sachverständige sicher, dass digitale Beweise gerichtsfest gesichert werden?
7. Verfügt der Sachverständige über die nötige technische Ausstattung? Die SDG-Zertifizierung verlangt eine ausreichende Ausstattung für die Gutachtenstätigkeit. Bei IT-Sachverständigen bedeutet das: Zugang zu aktuellen Betriebssystemen, Testumgebungen, forensischen Werkzeugen und gegebenenfalls spezialisierter Software. Fragen Sie nach, wenn Ihr Fall besondere technische Anforderungen stellt.
8. Ist der Sachverständige zeitlich verfügbar? Gerade bei zeitkritischen Fällen, etwa der Beweissicherung nach einem Cyberangriff, ist die Verfügbarkeit entscheidend. Klären Sie im Erstgespräch, wann der Sachverständige mit der Arbeit beginnen kann und welchen Zeitrahmen er für die Gutachtenserstattung veranschlagt. Ein Sachverständiger, der erst in drei Monaten beginnen kann, ist für eine dringende Beweissicherung nicht geeignet.
9. Wie transparent ist die Kostenkommunikation? Ein seriöser Sachverständiger gibt Ihnen nach einer ersten Sichtung des Sachverhalts eine realistische Einschätzung des voraussichtlichen Aufwands. Er erklärt, wie sich die Kosten zusammensetzen, und weist auf Unsicherheiten hin. Misstrauen Sie Pauschalangeboten ohne vorherige Sachverhaltskenntnis ebenso wie Sachverständigen, die keine Kosteneinschätzung geben wollen.
10. Gibt es Referenzen oder einen öffentlichen Auftritt? Aufgrund der Vertraulichkeit von Gutachten kann ein Sachverständiger in der Regel keine Klientenliste veröffentlichen. Aber er kann auf andere Weise Kompetenz zeigen: durch Fachpublikationen, Vorträge, Lehrtätigkeit, eine informative Website oder eine nachvollziehbare Darstellung seiner Tätigkeitsschwerpunkte. Ein Sachverständiger, der sich öffentlich zu seinem Fachgebiet äußert, zeigt damit Selbstvertrauen in seine fachliche Position.
Wo Sie IT-Sachverständige in Österreich finden
Die offizielle Gerichtssachverständigenliste auf sdgliste.justiz.gv.at ist der wichtigste Ausgangspunkt. Dort können Sie gezielt nach Fachgebiet und Region suchen.
Der Hauptverband der allgemein beeideten und gerichtlich zertifizierten Sachverständigen Österreichs und seine Landesverbände bieten ebenfalls Suchmöglichkeiten und können Empfehlungen aussprechen.
Anwaltskanzleien, die regelmäßig IT-Streitigkeiten betreuen, haben in der Regel ein Netzwerk an Sachverständigen, mit denen sie gute Erfahrungen gemacht haben. Wenn Ihr Anwalt einen Sachverständigen empfiehlt, ist das oft ein verlässlicher Hinweis, ersetzt aber nicht Ihre eigene Prüfung anhand der Checkliste.
Wirtschaftskammern und Fachverbände können ebenfalls Auskunft geben, insbesondere wenn Sie einen Sachverständigen für ein branchenspezifisches Thema suchen.
Häufige Fehler bei der Auswahl
Drei Fehler sehe ich in der Praxis immer wieder.
Der erste Fehler ist die Auswahl nach dem niedrigsten Preis. Ein Gutachten ist eine Investition in die Qualität Ihrer Rechtsposition. Ein günstiges, aber oberflächliches Gutachten, das vor Gericht nicht standhält, ist teurer als ein sorgfältiges Gutachten, das seinen Preis wert ist.
Der zweite Fehler ist die Verwechslung von IT-Kompetenz und Gutachtenskompetenz. Ein hervorragender Softwareentwickler ist nicht automatisch ein guter Sachverständiger. Die Fähigkeit, einen Befund zu erheben, daraus nachvollziehbare Schlüsse zu ziehen und diese in einem für Juristen verständlichen Gutachten darzustellen, ist eine eigenständige Kompetenz, die über das reine IT-Wissen hinausgeht.
Der dritte Fehler ist die fehlende Prüfung der Fachgebietpassung. Nicht jeder zertifizierte IT-Sachverständige ist für jede IT-Fragestellung geeignet. Die IT ist ein weites Feld, und ein Experte für Netzwerkinfrastruktur ist möglicherweise nicht der richtige für einen Softwarelizenzstreit.
Der richtige Sachverständige für Ihren Fall
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger bin ich in der Gerichtssachverständigenliste eingetragen und bringe über 20 Jahre Erfahrung in der IT-Branche mit. Meine Tätigkeitsschwerpunkte umfassen IT-Projektstreitigkeiten, Cyberschäden und IT-Forensik, IT-Bewertungen sowie Fragen rund um IT-Sicherheit und Datenschutz.
Ob ich der richtige Sachverständige für Ihren konkreten Fall bin, klären wir am besten in einem unverbindlichen Erstgespräch. Ich nehme mir die Zeit, Ihren Sachverhalt zu verstehen, und sage Ihnen ehrlich, ob meine Expertise zu Ihrer Fragestellung passt. Falls nicht, helfe ich Ihnen gerne, den passenden Kollegen zu finden.
Kontaktieren Sie mich für eine erste Einschätzung.

17. Jänner 2026
Lastenheft vs. Pflichtenheft: Worauf ein IT-Sachverständiger bei Vertragsstreitigkeiten achtet

In IT-Vertragsstreitigkeiten dreht sich fast alles um eine Frage: Was war geschuldet – und was wurde geliefert? Die Antwort liegt in zwei Dokumenten, die in der Praxis erstaunlich oft fehlen, unvollständig sind oder widersprüchlich zueinander stehen: dem Lastenheft und dem Pflichtenheft. Für den IT-Sachverständigen sind sie der Ausgangspunkt jeder Begutachtung. Für die Parteien entscheiden sie häufig über den Ausgang des Verfahrens.
Was ist ein Lastenheft, was ein Pflichtenheft?
Die Unterscheidung klingt einfach, wird in der Praxis aber regelmäßig verwischt. Das Lastenheft beschreibt das „Was“ und „Wofür“: Es enthält die Anforderungen des Auftraggebers an die zu liefernde IT-Lösung. Welche Geschäftsprozesse soll die Software abbilden? Welche Funktionen werden benötigt? Welche Schnittstellen zu bestehenden Systemen müssen funktionieren? Das Lastenheft wird vom Auftraggeber erstellt und dokumentiert seine Erwartungen aus Anwendersicht, idealerweise lösungsneutral.
Das Pflichtenheft beschreibt das „Wie“ und „Womit“: Es ist die Antwort des IT-Dienstleisters auf das Lastenheft. Hier dokumentiert der Auftragnehmer, mit welchen konkreten Mitteln, Modulen und technischen Lösungen er die Anforderungen aus dem Lastenheft umsetzen will. Das Pflichtenheft wird vom Auftragnehmer erstellt, in der Regel in enger Abstimmung mit dem Auftraggeber. Nach der Freigabe durch den Auftraggeber wird es zum Vertragsbestandteil.
Gemäß DIN 69901-5 enthält das Lastenheft die „vom Auftraggeber festgelegte Gesamtheit der Forderungen an die Lieferungen und Leistungen eines Auftragnehmers“, das Pflichtenheft die „vom Auftragnehmer erarbeiteten Realisierungsvorgaben aufgrund der Umsetzung des vom Auftraggeber vorgegebenen Lastenheftes“. In Österreich hat die DIN-Norm keine unmittelbare Rechtswirkung, sie wird aber als anerkannter Standard in der IT-Branche herangezogen und spiegelt die saubere Trennung wider, die für die rechtliche Beurteilung entscheidend ist.
Warum die Unterscheidung für Vertragsstreitigkeiten so wichtig ist
In einem IT-Vertragsstreit muss das Gericht feststellen, ob die gelieferte Leistung mangelhaft ist. Dafür braucht es einen Maßstab: Was genau war die vereinbarte Beschaffenheit der Software? Diese Frage lässt sich nur beantworten, wenn klar ist, welche Dokumente Vertragsbestandteil geworden sind und welchen Inhalt sie haben.
Hier liegt das zentrale Problem: In vielen IT-Projekten werden Lastenheft und Pflichtenheft nicht sauber getrennt. Manchmal existiert nur ein einziges Dokument, das als „Spezifikation“ oder „Fachkonzept“ bezeichnet wird, ohne dass klar ist, ob es die Anforderungen des Auftraggebers oder die Umsetzungszusagen des Auftragnehmers enthält. Manchmal gibt es ein Lastenheft, aber kein formelles Pflichtenheft. Manchmal wurden beide Dokumente erstellt, aber das Pflichtenheft weicht inhaltlich vom Lastenheft ab, ohne dass diese Abweichungen formell vereinbart wurden.
Für den IT-Sachverständigen beginnt die Arbeit deshalb nicht mit einer technischen Prüfung, sondern mit einer Dokumentenanalyse: Welche Dokumente existieren? Welche wurden Vertragsbestandteil? Welchen Inhalt haben sie? Und wo widersprechen sie einander?
Die sieben typischen Problemfelder
In meiner Praxis als IT-Sachverständiger begegnen mir bei Vertragsstreitigkeiten immer wieder dieselben Konstellationen, in denen Lastenheft und Pflichtenheft zum Streitgegenstand werden.
Das fehlende Lastenheft. Erstaunlich viele IT-Projekte starten ohne ein formelles Lastenheft. Der Auftraggeber beschreibt seine Anforderungen mündlich, in E-Mails oder in einer Vertriebspräsentation des Anbieters. Wenn das Projekt scheitert, fehlt die dokumentierte Grundlage dafür, was der Auftraggeber tatsächlich gefordert hat. Als Sachverständiger muss ich dann aus der gesamten Projektkorrespondenz rekonstruieren, welche Anforderungen erkennbar waren. Das ist aufwändig und das Ergebnis ist zwangsläufig weniger belastbar als die Analyse eines sauber formulierten Lastenhefts.
Das zu vage Lastenheft. Manche Lastenhefte bestehen aus wenigen Seiten mit allgemeinen Formulierungen: „Das System soll die Auftragsabwicklung optimieren“ oder „Die Lösung muss die branchenüblichen Anforderungen erfüllen“. Solche Formulierungen sind für eine technische Begutachtung nahezu wertlos. Sie lassen keine prüfbare Soll-Ist-Abweichung feststellen, weil der Soll-Zustand nicht definiert ist. Der Sachverständige kann in solchen Fällen nur auf den Stand der Technik, die vorausgesetzte Verwendung gemäß § 922 ABGB und die gewöhnlich vorausgesetzten Eigenschaften abstellen.
Das fehlende Pflichtenheft. Wenn der IT-Dienstleister kein Pflichtenheft erstellt hat, fehlt die Dokumentation seiner konkreten Umsetzungszusagen. Das ist für den Auftragnehmer riskant, denn ohne Pflichtenheft schuldet er im Werkvertrag grundsätzlich ein Ergebnis, das den Anforderungen des Lastenhefts entspricht. Er kann sich nicht darauf berufen, dass er bestimmte Anforderungen anders interpretiert oder bewusst anders umgesetzt hat, wenn er diese Interpretation nicht dokumentiert hat.
Das Pflichtenheft als Verkaufsargument. In der ERP-Welt kommt es vor, dass das Pflichtenheft im Wesentlichen aus einer Funktionsliste des Standardsystems besteht, ergänzt um pauschale Zusagen wie „Anpassung an kundenspezifische Prozesse“. Solche Dokumente beschreiben das Produkt des Anbieters, nicht die Lösung für das konkrete Problem des Kunden. Als Sachverständiger prüfe ich, ob das Pflichtenheft tatsächlich eine individuelle Antwort auf das Lastenheft ist oder ob es sich um ein weitgehend standardisiertes Verkaufsdokument handelt.
Widersprüche zwischen Lastenheft und Pflichtenheft. Das Lastenheft fordert eine automatisierte Schnittstelle zum bestehenden Warenwirtschaftssystem, das Pflichtenheft sieht einen manuellen CSV-Import vor. Das Lastenheft verlangt die Abbildung branchenspezifischer Kalkulationslogik, das Pflichtenheft beschreibt eine Standardkalkulation mit „optionaler Anpassung“. Solche Widersprüche sind häufiger als man erwarten würde. Der Sachverständige muss feststellen, ob der Auftraggeber dem Pflichtenheft in Kenntnis dieser Abweichungen zugestimmt hat oder ob die Abweichung verdeckt war.
Nachträgliche Änderungen ohne Dokumentation. IT-Projekte entwickeln sich. Anforderungen ändern sich, neue kommen hinzu, andere werden gestrichen. Das ist normal und unvermeidlich. Problematisch wird es, wenn diese Änderungen nicht in einem formellen Change-Request-Verfahren dokumentiert werden. Dann stehen am Ende des Projekts ein ursprüngliches Pflichtenheft und eine gelieferte Software, die voneinander abweichen, ohne dass nachvollziehbar ist, welche Abweichungen vereinbart waren und welche Mängel darstellen.
Das agile Projekt ohne Spezifikation. Immer häufiger werden IT-Projekte nach agilen Methoden durchgeführt. Sprints, User Stories, Product Backlogs ersetzen das klassische Pflichtenheft. Das kann methodisch sinnvoll sein, schafft aber erhebliche Probleme, wenn es zum Streit kommt. Der Sachverständige muss aus Sprint-Protokollen, Story-Beschreibungen, Akzeptanzkriterien und Product-Backlog-Einträgen rekonstruieren, was zu welchem Zeitpunkt als Leistungsumfang vereinbart war. Die Dokumentationslage ist dabei häufig unübersichtlich und lückenhaft.
Was der IT-Sachverständige konkret prüft
Wenn ein Gericht oder eine Partei einen Sachverständigen mit der Begutachtung einer IT-Vertragsstreitigkeit beauftragt, geht die Prüfung systematisch in mehreren Schritten vor.
Im ersten Schritt wird der vertragliche Leistungsumfang ermittelt. Der Sachverständige analysiert den Vertrag, das Lastenheft, das Pflichtenheft und alle weiteren Dokumente, die Vertragsbestandteil geworden sind: Angebote, Beiblätter, Protokolle, Change Requests, E-Mail-Korrespondenz. Ziel ist eine vollständige Zusammenstellung dessen, was der Auftragnehmer schuldet. Dabei muss auch geklärt werden, welche Dokumente Vorrang haben, wenn sie sich widersprechen, also welche Rangfolge der Vertrag für seine Bestandteile vorsieht.
Im zweiten Schritt wird der Ist-Zustand der Software erfasst. Was leistet die gelieferte Software tatsächlich? Welche Funktionen sind vorhanden, welche fehlen, welche funktionieren nicht wie beschrieben? Diese Befundaufnahme ist technisch und erfordert Zugang zu den Systemen, Testdaten und gegebenenfalls zum Quellcode.
Im dritten Schritt erfolgt der Soll-Ist-Vergleich. Jede im Pflichtenheft dokumentierte Anforderung wird gegen den tatsächlichen Zustand der Software geprüft. Abweichungen werden kategorisiert: Ist die Funktion nicht vorhanden? Ist sie vorhanden, aber fehlerhaft? Ist sie vorhanden, funktioniert aber anders als spezifiziert? Jede dieser Kategorien hat unterschiedliche rechtliche Konsequenzen.
Im vierten Schritt werden die Ursachen der Abweichungen analysiert. Liegt ein Implementierungsfehler des Auftragnehmers vor? Oder war die Anforderung im Lastenheft so formuliert, dass eine andere Interpretation ebenfalls vertretbar war? Hat der Auftraggeber während des Projekts widersprüchliche Vorgaben gemacht? Hat er notwendige Informationen nicht bereitgestellt? Diese Ursachenanalyse ist entscheidend für die Zuordnung der Verantwortung.
Worauf Auftraggeber und Auftragnehmer achten sollten
Die meisten Streitigkeiten, die ich als Sachverständiger begutachte, hätten durch eine bessere Dokumentation vermieden oder zumindest entschärft werden können.
Für Auftraggeber gilt: Ein sorgfältig erstelltes Lastenheft ist die wichtigste Investition in die Absicherung Ihrer Ansprüche. Es sollte alle Anforderungen konkret, messbar und prüfbar formulieren. Allgemeine Formulierungen schaden ausschließlich dem Auftraggeber, weil sie keinen belastbaren Maßstab für die Prüfung der Leistung liefern. Und: Prüfen Sie das Pflichtenheft des Auftragnehmers sorgfältig, bevor Sie es freigeben. Was Sie freigeben, wird zum Vertragsbestandteil, auch wenn es vom Lastenheft abweicht.
Für Auftragnehmer gilt: Ein präzises Pflichtenheft schützt Sie vor Ansprüchen, die über das hinausgehen, was Sie zugesagt haben. Dokumentieren Sie klar, welche Anforderungen des Lastenhefts Sie wie umsetzen, und dokumentieren Sie ebenso klar, welche Anforderungen Sie nicht oder anders umsetzen. Die sogenannte negative Abgrenzung, also die explizite Auflistung dessen, was nicht Leistungsgegenstand ist, kann im Streitfall entscheidend sein.
Für beide Seiten gilt: Führen Sie ein formelles Change-Request-Verfahren. Jede Änderung gegenüber dem Pflichtenheft muss dokumentiert, von beiden Seiten freigegeben und gegebenenfalls mit einer Kosten- und Terminanpassung versehen werden. Mündliche Vereinbarungen oder beiläufige E-Mail-Zusagen sind im Streitfall kaum belastbar.
Wenn die Dokumentation fehlt: Was der Sachverständige trotzdem tun kann
Auch bei lückenhafter Dokumentation ist eine Begutachtung möglich, wenn auch aufwändiger. Der Sachverständige kann den vereinbarten Leistungsumfang aus der Gesamtheit der Projektdokumentation rekonstruieren: aus Angeboten, Protokollen, E-Mails, Statusberichten, Schulungsunterlagen, Testprotokollen und der Software selbst.
Darüber hinaus kann der Sachverständige auf objektive Maßstäbe zurückgreifen. Wenn keine konkrete Spezifikation existiert, schuldet der Auftragnehmer ein Werk, das sich für die gewöhnliche oder die nach dem Vertrag vorausgesetzte Verwendung eignet (§ 922 ABGB). Der Sachverständige kann dann beurteilen, ob die Software dem Stand der Technik entspricht, ob sie die branchenüblichen Anforderungen erfüllt und ob sie für den erkennbaren Verwendungszweck geeignet ist. Dieser Maßstab ist weniger präzise als ein konkretes Pflichtenheft, aber er bietet dem Gericht zumindest eine fachlich fundierte Grundlage.
Wann Sie einen Sachverständigen einschalten sollten
Ein IT-Sachverständiger kann in verschiedenen Phasen einer Vertragsstreitigkeit unterstützen. Vor der Einleitung eines Verfahrens liefert ein Privatgutachten eine realistische Einschätzung der technischen Sachlage und der Erfolgsaussichten. Im laufenden Verfahren beantwortet ein Gerichtsgutachten die Beweisfragen des Gerichts. Und auch außergerichtlich kann ein Sachverständiger als neutraler Dritter helfen, die technischen Streitpunkte zu klären und eine Grundlage für Vergleichsverhandlungen zu schaffen.
Wenn Sie in einer IT-Vertragsstreitigkeit stecken oder eine solche befürchten, stehe ich Ihnen als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger für eine erste Einschätzung zur Verfügung. Im Erstgespräch kann ich beurteilen, ob die Dokumentationslage eine Begutachtung trägt und welche Fragen ein Gutachten beantworten kann. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

15. Jänner 2026
ERP-Einführung gescheitert: So sichern Sie Ihre Ansprüche mit einem IT-Gutachten

Eine ERP-Einführung ist eines der risikoreichsten IT-Projekte, das ein Unternehmen durchführen kann. Wenn das Projekt scheitert, stehen oft sechsstellige Beträge im Raum: für die bereits bezahlte Software, für Beratungsleistungen, für den internen Aufwand und für den entgangenen Geschäftsnutzen. In dieser Situation stellt sich die Frage, wer die Verantwortung trägt und wie sich die eigenen Ansprüche durchsetzen lassen. Ein IT-Gutachten kann hier die entscheidende Grundlage schaffen.
Warum ERP-Projekte scheitern – und warum die Schuldfrage selten einfach ist
ERP-Projekte scheitern nicht über Nacht. Sie erodieren über Monate hinweg, durch eine Kette von Problemen, die einzeln beherrschbar gewesen wären, aber in Summe das Projekt zum Kippen bringen. Die häufigsten Ursachen sind ein unvollständiges oder widersprüchliches Lastenheft, ein Pflichtenheft, das die tatsächlichen Anforderungen nicht korrekt abbildet, mangelndes Projektmanagement auf einer oder beiden Seiten, unzureichende Mitwirkung des Auftraggebers, unrealistische Zeitpläne und eine fehlende oder gescheiterte Datenmigration.
Das Problem für die rechtliche Aufarbeitung: In den meisten gescheiterten ERP-Projekten tragen beide Seiten einen Teil der Verantwortung. Der IT-Dienstleister hat vielleicht eine Standardsoftware als passend verkauft, die für die spezifischen Geschäftsprozesse des Kunden nie geeignet war. Aber der Kunde hat möglicherweise seine Anforderungen nie vollständig spezifiziert, interne Ressourcen nicht bereitgestellt oder notwendige Entscheidungen verschleppt.
Genau diese Gemengelage macht ein IT-Gutachten so wichtig. Denn die Frage, wer welchen Anteil am Scheitern trägt, lässt sich nicht allein durch juristische Argumentation beantworten. Sie erfordert eine technische Analyse, die objektiv feststellt, was vereinbart war, was geliefert wurde, wo die Abweichungen liegen und welche Ursachen sie haben.
Lastenheft, Pflichtenheft, Vertrag: Was der Sachverständige zuerst prüft
Die technische Analyse eines gescheiterten ERP-Projekts beginnt nicht am Bildschirm, sondern am Vertrag. Der IT-Sachverständige prüft zunächst die vertragliche Grundlage, um festzustellen, was überhaupt geschuldet war.
Das Lastenheft beschreibt die Anforderungen des Auftraggebers: Was soll das ERP-System leisten, welche Geschäftsprozesse soll es abbilden, welche Schnittstellen werden benötigt? Das Lastenheft wird vom Auftraggeber erstellt und dokumentiert das „Was“. Es ist die Grundlage für die Angebotslegung und die spätere Beurteilung, ob die Leistung vertragsgemäß erbracht wurde.
Das Pflichtenheft ist die Antwort des IT-Dienstleisters: Wie setzt er die Anforderungen des Lastenhefts mit seiner Software um? Welche Module werden eingesetzt, welche Anpassungen (Customizing) sind nötig, welche Abweichungen vom Standard werden vereinbart? Das Pflichtenheft dokumentiert das „Wie“ und ist in der Regel Vertragsbestandteil.
Die Praxis zeigt: In gescheiterten ERP-Projekten ist die Dokumentenlage häufig lückenhaft. Manchmal existiert kein formales Lastenheft, sondern nur eine Sammlung von Gesprächsprotokollen und E-Mails. Manchmal wurde ein Pflichtenheft erstellt, aber nie formell abgenommen. Manchmal wurde der Vertrag auf Basis einer Vertriebspräsentation geschlossen, ohne dass die konkreten Leistungen präzise definiert wurden. All diese Umstände muss der Sachverständige erfassen und in seine Beurteilung einbeziehen.
Was der IT-Sachverständige konkret untersucht
Nach der Analyse der Vertragslage folgt die technische Untersuchung. Bei einem gescheiterten ERP-Projekt umfasst die Befundaufnahme typischerweise mehrere Bereiche.
Die Funktionsprüfung beantwortet die Frage: Erfüllt die gelieferte Software die im Pflichtenheft vereinbarten Funktionen? Der Sachverständige prüft systematisch, welche Funktionen vorhanden sind, welche fehlen und welche zwar vorhanden, aber fehlerhaft implementiert sind. Bei ERP-Systemen geht es dabei nicht nur um einzelne Bildschirmmasken, sondern um komplexe Geschäftsprozesse, die über mehrere Module hinweg funktionieren müssen: vom Angebot über die Auftragsabwicklung und die Produktion bis zur Rechnungslegung.
Die Prüfung der Datenmigration ist häufig ein neuralgischer Punkt. Viele ERP-Projekte scheitern nicht an der Software selbst, sondern daran, dass die Daten aus dem Altsystem nicht korrekt in das neue System übernommen wurden. Kundenstammdaten mit falschen Zuordnungen, unvollständige Lagerbestände, fehlende Artikelstämme oder inkonsistente Preislisten können den Produktivbetrieb unmöglich machen.
Die Analyse der Projektdokumentation zeigt, wie das Projekt geführt wurde. Gab es regelmäßige Statusberichte? Wurden Probleme eskaliert? Wie wurde mit Change Requests umgegangen? Wurden Meilensteine definiert und eingehalten? Gab es ein formales Abnahmeverfahren für Teilleistungen? Diese Fragen sind entscheidend, weil sie zeigen, ob der IT-Dienstleister seine Sorgfaltspflichten eingehalten hat und ob der Auftraggeber seiner Mitwirkungspflicht nachgekommen ist.
Die Bewertung der Systemarchitektur klärt, ob die gewählte technische Lösung für den konkreten Anwendungsfall überhaupt geeignet war. War das ERP-System grundsätzlich in der Lage, die Geschäftsprozesse des Auftraggebers abzubilden, oder wurden grundlegende Anforderungen von Anfang an nicht berücksichtigt?
Die Mitwirkungspflicht des Auftraggebers: Ein häufig unterschätztes Thema
ERP-Einführungen sind keine Einbahnstraße. Der Auftraggeber hat eine Mitwirkungspflicht, die weit über das bloße Bezahlen hinausgeht. Er muss Anforderungen definieren, Testdaten bereitstellen, Ansprechpartner benennen, Abnahmen durchführen, Schulungen ermöglichen und organisatorische Voraussetzungen schaffen.
In der Praxis ist die Verletzung der Mitwirkungspflicht einer der häufigsten Einwände, die IT-Dienstleister erheben, wenn ein Projekt scheitert. Und nicht selten ist dieser Einwand berechtigt. Ein Sachverständiger prüft daher auch die Leistung des Auftraggebers: Wurden die zugesagten internen Ressourcen bereitgestellt? Wurden Entscheidungen rechtzeitig getroffen? Wurden Testphasen ernst genommen und dokumentiert?
Diese Prüfung ist für den Auftraggeber nicht nur ein Risiko, sondern auch eine Chance. Denn wenn der Sachverständige feststellt, dass der Auftraggeber seinen Mitwirkungspflichten nachgekommen ist, stärkt das seine Rechtsposition erheblich. Umgekehrt hilft eine ehrliche Analyse auch dann, wenn beide Seiten Fehler gemacht haben: Sie schafft Klarheit über die Verantwortungsanteile und damit eine realistische Grundlage für Vergleichsverhandlungen.
Die Schadensermittlung: Was ist der tatsächliche Schaden?
Neben der Frage, wer verantwortlich ist, muss auch der Schaden beziffert werden. Bei gescheiterten ERP-Projekten kann der Schaden aus mehreren Komponenten bestehen.
Die direkten Kosten umfassen die bereits geleisteten Zahlungen an den IT-Dienstleister: Lizenzgebühren, Beratungsleistungen, Customizing-Aufwand, Schulungen und Datenmigration. Wenn das Projekt gescheitert ist und die Software nicht produktiv genutzt werden kann, sind diese Kosten grundsätzlich als Schaden geltend zu machen.
Der interne Aufwand umfasst die Arbeitszeit der eigenen Mitarbeiter, die für das Projekt eingesetzt wurden. Projektleiter, Key-User, IT-Abteilung und Geschäftsleitung investieren bei einer ERP-Einführung erhebliche Zeit. Dieser Aufwand ist quantifizierbar und kann als Schadenposition geltend gemacht werden.
Der entgangene Geschäftsnutzen ist die schwierigste Schadenposition. Das neue ERP-System sollte Prozesse optimieren, Kosten senken, Transparenz schaffen. Wenn diese Vorteile nicht eintreten, entsteht ein Schaden, der sich nur schätzen lässt. Hier kann ein Sachverständiger eine fundierte Bewertung liefern, die auf nachvollziehbaren Annahmen basiert.
Die Kosten der Ersatzbeschaffung fallen an, wenn das gescheiterte System durch ein anderes ersetzt werden muss. Die Kosten für die Auswahl, Implementierung und Inbetriebnahme eines Ersatzsystems können den ursprünglichen Projektwert deutlich übersteigen.
Timing: Wann sollten Sie einen Sachverständigen einschalten?
Die Antwort ist eindeutig: so früh wie möglich. Idealerweise noch bevor das Projekt endgültig für gescheitert erklärt wird.
Es gibt mehrere Zeitpunkte, an denen die Einschaltung eines Sachverständigen sinnvoll ist.
Wenn sich das Projekt in einer Krise befindet, der Go-Live wiederholt verschoben wird und die Kommunikation zwischen den Parteien zunehmend konfrontativ wird, kann ein Sachverständiger eine neutrale Bestandsaufnahme liefern. Diese Bestandsaufnahme kann entweder die Grundlage für eine Rettung des Projekts sein oder für eine geordnete Beendigung.
Unmittelbar nach dem Abbruch des Projekts ist die Dokumentenlage noch frisch, Ansprechpartner sind noch verfügbar und die technischen Systeme sind noch zugänglich. Je länger der Abbruch zurückliegt, desto schwieriger wird die Beweissicherung: Server werden abgebaut, Testumgebungen gelöscht, Mitarbeiter wechseln den Arbeitsplatz.
Vor der Einleitung eines Rechtsstreits sollte ein Privatgutachten die Erfolgsaussichten klären. Ein erfahrener Anwalt wird vor einer Klage wissen wollen, ob die technischen Argumente einer sachverständigen Prüfung standhalten. Ein Privatgutachten liefert diese Grundlage und kann eine unnötige Klage vermeiden oder eine berechtigte Klage auf ein solides Fundament stellen.
Was ein Gutachten für Ihre Rechtsposition bringt
Ein IT-Gutachten zu einem gescheiterten ERP-Projekt liefert drei wesentliche Ergebnisse.
Erstens eine objektive Feststellung des Sachverhalts. Was wurde vereinbart? Was wurde geliefert? Wo liegen die Abweichungen? Diese Fragen werden auf Basis der Vertragsunterlagen, der Projektdokumentation und der technischen Analyse beantwortet, nicht auf Basis von Behauptungen der Parteien.
Zweitens eine Zuordnung der Verantwortung. Welche Fehler hat der IT-Dienstleister gemacht? Wo hat der Auftraggeber seine Mitwirkungspflichten verletzt? In welchem Verhältnis stehen die jeweiligen Beiträge zum Scheitern? Diese Frage erfordert sowohl technische als auch projektmethodische Kompetenz.
Drittens eine nachvollziehbare Schadensermittlung. Wie hoch ist der tatsächliche Schaden? Welche Schadenspositionen sind kausal auf welche Fehler zurückzuführen? Diese Bezifferung ist die Grundlage für jede Vergleichsverhandlung und für jedes Klageverfahren.
Ein solches Gutachten wirkt in mehrere Richtungen: Es stärkt die eigene Verhandlungsposition, es schafft Klarheit über die tatsächlichen Aussichten eines Verfahrens und es signalisiert der Gegenseite, dass die Ansprüche fachlich fundiert untermauert sind. Nicht selten führt allein die Existenz eines seriösen Gutachtens dazu, dass die Gegenpartei bereit ist, über eine außergerichtliche Einigung zu verhandeln.
Handlungsempfehlungen: Was Sie jetzt tun sollten
Wenn Ihr ERP-Projekt in der Krise steckt oder bereits gescheitert ist, sollten Sie drei Dinge sofort tun.
Sichern Sie die Dokumentation. Sammeln Sie alle Verträge, Lastenhefte, Pflichtenhefte, Projektprotokolle, E-Mail-Korrespondenz, Statusberichte, Change Requests, Abnahmeprotokolle und Rechnungen. Je vollständiger die Dokumentation, desto belastbarer wird ein späteres Gutachten.
Sichern Sie den technischen Zustand. Sorgen Sie dafür, dass die aktuelle Version des ERP-Systems, die Testumgebungen und die Datenbankstände erhalten bleiben. Wenn der IT-Dienstleister den Zugang zu den Systemen sperrt oder die Umgebung abbaut, gehen entscheidende Beweise verloren.
Lassen Sie die Situation fachlich einschätzen. Bevor Sie eine Klage einreichen oder einen Vergleich akzeptieren, sollten Sie die technischen Fakten kennen. Ein IT-Sachverständiger kann Ihnen in einem Erstgespräch eine erste Einschätzung geben, ob ein Gutachten sinnvoll ist und welchen Umfang es voraussichtlich haben wird.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger habe ich Erfahrung mit der Begutachtung gescheiterter IT-Projekte. Ich kenne die typischen Muster, die technischen Fallstricke und die Fragen, die Gerichte und Anwälte an ein solches Gutachten stellen. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

12. Jänner 2026
Was ist der Unterschied zwischen einem Gerichtsgutachten und einem Privatgutachten in der IT?

Wenn ein IT-Streit eskaliert, fällt früher oder später der Satz: „Wir brauchen ein Gutachten.“ Doch Gutachten ist nicht gleich Gutachten. In Österreich gibt es zwei grundlegend verschiedene Wege, einen IT-Sachverständigen einzuschalten: das Gerichtsgutachten und das Privatgutachten. Beide haben ihre Berechtigung, unterscheiden sich aber in Auftraggeber, Ablauf, Kosten, Beweiswert und strategischer Funktion erheblich. Dieser Beitrag erklärt die Unterschiede so, dass Sie die richtige Entscheidung für Ihre Situation treffen können.
Die Grundunterscheidung: Wer erteilt den Auftrag?
Der wichtigste Unterschied liegt im Auftraggeber. Ein Gerichtsgutachten wird vom Gericht im Rahmen eines laufenden Verfahrens in Auftrag gegeben. Der Richter wählt den Sachverständigen aus der Sachverständigenliste aus, formuliert die Beweisfragen im Beweisbeschluss und bestimmt die Frist für die Gutachtenserstattung. Die Rechtsgrundlage bilden die §§ 351 ff der Zivilprozessordnung (ZPO).
Ein Privatgutachten wird von einer Partei selbst in Auftrag gegeben: von einem Unternehmen, einer Anwaltskanzlei, einer Versicherung oder einer Privatperson. Der Auftraggeber wählt den Sachverständigen frei aus, stimmt die Fragestellung mit ihm ab und vereinbart das Honorar direkt. Es gelten keine verfahrensrechtlichen Vorgaben, aber die fachlichen und methodischen Standards sind dieselben.
Diese Unterscheidung klingt schlicht, hat aber weitreichende Konsequenzen für den gesamten Prozess.
Beweiswert: Das Gerichtsgutachten als Beweismittel, das Privatgutachten als qualifiziertes Parteivorbringen
Der gravierendste Unterschied betrifft den Beweiswert vor Gericht, und genau hier herrscht in der Praxis die größte Unsicherheit.
Das Gerichtsgutachten ist ein vollwertiges Beweismittel im Sinne der ZPO. Der gerichtlich bestellte Sachverständige ist dem Gericht gegenüber verantwortlich, zur Unparteilichkeit verpflichtet und unterliegt den Standesregeln des Hauptverbands der Sachverständigen. Sein Gutachten fließt direkt in die richterliche Beweiswürdigung ein. In der Praxis folgen Gerichte dem Gerichtsgutachten in den meisten Fällen, sofern es vollständig, nachvollziehbar und schlüssig ist.
Das Privatgutachten hat eine andere prozessuale Stellung. Die österreichische Lehre und Rechtsprechung qualifizieren es als urkundlich belegtes Parteienvorbringen. Das bedeutet: Ein Privatgutachten ist kein Beweismittel im engeren Sinn der ZPO, aber es ist mehr als eine bloße Behauptung. Da die ZPO die zulässigen Beweismittel nicht abschließend aufzählt, muss das Gericht ein Privatgutachten zum Akt nehmen und sich inhaltlich damit auseinandersetzen.
Was heißt das konkret? Mit einem Privatgutachten allein lässt sich nach ständiger Rechtsprechung kein Sachverständigenbeweis führen. Werden Feststellungen ausschließlich auf ein Privatgutachten gestützt, liegt ein Verfahrensmangel vor. Aber: Ein Privatgutachten kann Zweifel an einem Gerichtsgutachten begründen und das Gericht dazu veranlassen, ergänzende Fragen zu stellen, eine Erörterung anzuberaumen oder sogar ein zweites Gerichtsgutachten einzuholen. Damit ist es ein wirksames Instrument der Qualitätskontrolle.
Unparteilichkeit und Objektivität
Beim Gerichtsgutachten ist die Unparteilichkeit des Sachverständigen gesetzlich verankert. Der Sachverständige wird vom Gericht bestellt und ist beiden Parteien gleichermaßen verpflichtet. Die Parteien haben ein Ablehnungsrecht, wenn Gründe vorliegen, die Zweifel an der Unbefangenheit rechtfertigen. Der Sachverständige darf weder mit einer Partei in einer Geschäftsbeziehung stehen noch ein persönliches Interesse am Ausgang des Verfahrens haben.
Beim Privatgutachten ist die Ausgangslage anders: Der Sachverständige wird von einer Partei beauftragt und von dieser bezahlt. Das weckt bei Gerichten und der Gegenpartei regelmäßig die Frage, ob das Ergebnis möglicherweise durch die Interessen des Auftraggebers beeinflusst ist. In der Praxis wird einem Privatgutachten deshalb oft mit einer gewissen Grundskepsis begegnet.
Allerdings: Ein allgemein beeideter und gerichtlich zertifizierter Sachverständiger ist auch bei Privatgutachten an die Standesregeln gebunden. Er ist zur Objektivität verpflichtet, unabhängig davon, wer ihn beauftragt hat. Das Ergebnis eines seriös erstellten Privatgutachtens steht nicht von vornherein fest. Es kann durchaus zu dem Schluss kommen, dass die Position des Auftraggebers fachlich nicht haltbar ist. Gerade das macht ein solches Gutachten glaubwürdig und strategisch wertvoll: Wenn ein vom Auftraggeber selbst beauftragter Sachverständiger dessen Position bestätigt, spricht das für deren fachliche Berechtigung.
Ablauf und Verfahren im Vergleich
Beim Gerichtsgutachten ist der Ablauf durch die ZPO vorgezeichnet. Nach dem Beweisbeschluss des Gerichts erhält der Sachverständige den Gerichtsakt, führt die Befundaufnahme durch (zu der die Parteien geladen werden müssen), erstellt das schriftliche Gutachten und übermittelt es dem Gericht. Die Parteien erhalten Einsicht und können Stellung nehmen. Bei Bedarf folgt eine mündliche Gutachtenserörterung bei Gericht. Das gesamte Verfahren dauert typischerweise mehrere Monate, weil Fristen, Stellungnahmen und Terminisierungen den Zeitplan bestimmen.
Beim Privatgutachten ist der Ablauf flexibler. Nach einem Erstgespräch und der Auftragserteilung beginnt der Sachverständige mit dem Aktenstudium und der Befundaufnahme. Da kein gerichtlicher Rahmen einzuhalten ist, kann schneller gearbeitet werden. Es gibt keine Stellungnahmefristen der Gegenpartei, keine Terminisierung durch das Gericht und keine formale Erörterung. Dafür ist die Mitwirkung der Gegenpartei nicht gewährleistet: Der Sachverständige hat nur Zugang zu den Unterlagen und Systemen, die ihm der Auftraggeber zur Verfügung stellt.
Gerade bei IT-Streitigkeiten kann das ein Nachteil sein. Wenn der Sachverständige nur die Sicht einer Partei kennt, etwa nur deren Projektdokumentation oder deren Darstellung des Sachverhalts, fehlt dem Gutachten möglicherweise die Ausgewogenheit, die ein Gericht erwartet. Ein erfahrener Sachverständiger weist in seinem Privatgutachten deshalb transparent auf die Grenzen seiner Untersuchung hin.
Kosten und Kostentragung
Bei Gerichtsgutachten bestimmt sich die Vergütung nach dem Gebührenanspruchsgesetz (GebAG). Für qualifizierte IT-Sachverständige liegt der Gebührenrahmen seit der Zuschlagsverordnung 2024 bei rund 116 bis 217,50 Euro pro Stunde. Die beweisführende Partei muss vorab einen Kostenvorschuss leisten. Am Ende des Verfahrens trägt in der Regel die unterlegene Partei die gesamten Verfahrenskosten, einschließlich der Sachverständigengebühren.
Bei Privatgutachten ist der Stundensatz frei vereinbar und orientiert sich an den marktüblichen Honoraren für vergleichbare Sachverständigentätigkeiten. Da keine gesetzlichen Tarife gelten, liegt der Stundensatz häufig über den GebAG-Sätzen. Dafür ist der Gesamtaufwand bei Privatgutachten oft geringer, weil die verfahrensbedingten Schritte wie Stellungnahmefristen und Erörterungstermine entfallen.
Der Auftraggeber trägt die Kosten des Privatgutachtens zunächst selbst. Ob diese Kosten im Falle eines späteren Gerichtsverfahrens als erstattungsfähige Prozesskosten geltend gemacht werden können, hängt vom Einzelfall ab, insbesondere davon, ob das Gutachten zur zweckentsprechenden Rechtsverfolgung notwendig war.
Wann ist welches Gutachten das richtige?
Die Wahl zwischen Gerichts- und Privatgutachten ist keine Frage der Qualität, sondern der Strategie und des Zeitpunkts.
Ein Gerichtsgutachten kommt in Betracht, wenn bereits ein Gerichtsverfahren läuft oder unmittelbar bevorsteht und ein vollwertiges Beweismittel benötigt wird. Das Gericht bestimmt den Sachverständigen und die Fragestellung. Die Parteien haben keinen direkten Einfluss auf die Auswahl, können aber einen Sachverständigen ablehnen, wenn Befangenheitsgründe vorliegen.
Ein Privatgutachten ist in mehreren Situationen die bessere Wahl.
Vor einem Rechtsstreit hilft ein Privatgutachten, die eigene Rechtsposition einzuschätzen. Bevor ein Unternehmen eine Klage einreicht oder sich gegen eine Forderung verteidigt, kann ein Privatgutachten klären, ob die technischen Argumente einer fachlichen Prüfung standhalten. Das spart Kosten und vermeidet Verfahren mit geringen Erfolgsaussichten.
Zur Unterstützung im laufenden Verfahren kann ein Privatgutachten dem Anwalt die fachliche Grundlage liefern, um ein Gerichtsgutachten kritisch zu hinterfragen. Wenn der gerichtlich bestellte Sachverständige zu Ergebnissen kommt, die aus Sicht einer Partei fachlich nicht haltbar sind, liefert ein Privatgutachten die Argumente für gezielte Ergänzungsfragen oder einen Antrag auf ein zweites Gerichtsgutachten.
Bei außergerichtlichen Einigungen reicht ein Privatgutachten oft aus. Wenn zwei Parteien einen IT-Streit ohne Gericht lösen wollen, etwa im Rahmen einer Mediation oder einer Vergleichsverhandlung, kann ein gemeinsam beauftragtes oder auch einseitig eingeholtes Privatgutachten die Verhandlungsbasis schaffen. Hier ist der formale Beweiswert irrelevant, weil es nicht um ein Gerichtsverfahren geht, sondern um eine sachliche Grundlage für die Einigung.
Zur Beweissicherung nach einem Vorfall ist Geschwindigkeit entscheidend. Nach einem Cyberangriff, einem Datenverlust oder einem Systemausfall müssen digitale Spuren gesichert werden, bevor sie verloren gehen. Ein Privatgutachten kann innerhalb von Tagen beginnen, ein Gerichtsgutachten erst, wenn der Beweisbeschluss vorliegt, was Wochen oder Monate dauern kann.
Für Versicherungsfälle benötigen Versicherungen eine technische Bewertung des Schadens, der Schadensursache und der Frage, ob der Versicherungsnehmer seinen Obliegenheiten nachgekommen ist. Hier wird in der Regel ein Privatgutachten beauftragt, entweder durch die Versicherung selbst oder durch den Versicherungsnehmer.
Die Kombination: Privatgutachten als Vorbereitung auf das Gerichtsverfahren
In der Praxis ist die Trennung zwischen Gerichts- und Privatgutachten weniger starr, als es die Theorie vermuten lässt. Erfahrene Anwälte setzen Privatgutachten gezielt als strategisches Instrument ein.
Ein typisches Szenario: Ein Unternehmen stellt fest, dass ein IT-Dienstleister die vertraglich geschuldete Leistung nicht erbracht hat. Bevor eine Klage eingereicht wird, holt der Anwalt ein Privatgutachten ein, um die technischen Fakten zu sichern und die Erfolgsaussichten eines Verfahrens einzuschätzen. Bestätigt das Privatgutachten die Position des Unternehmens, wird Klage eingereicht. Im Verfahren beantragt der Anwalt einen Sachverständigenbeweis. Kommt das Gerichtsgutachten zum selben Ergebnis, ist die Position doppelt abgesichert. Kommt es zu einem abweichenden Ergebnis, liefert das Privatgutachten die Grundlage für eine fundierte Auseinandersetzung mit dem Gerichtsgutachten.
Diese Kombination kostet zwar mehr, kann aber den Unterschied zwischen einem gewonnenen und einem verlorenen Verfahren ausmachen.
Zusammenfassung: Die wichtigsten Unterschiede auf einen Blick
Ein Gerichtsgutachten wird vom Gericht bestellt, folgt den Verfahrensvorschriften der ZPO, hat vollen Beweiswert und wird nach den Sätzen des GebAG vergütet. Beide Parteien haben Mitwirkungsrechte, und der Sachverständige ist dem Gericht gegenüber verantwortlich.
Ein Privatgutachten wird von einer Partei selbst beauftragt, ist im Ablauf flexibler und schneller, gilt im Verfahren als urkundlich belegtes Parteienvorbringen und wird zu frei vereinbarten Honoraren erstellt. Es eignet sich besonders für die Vorbereitung auf ein Verfahren, für außergerichtliche Einigungen und für zeitkritische Beweissicherung.
Beide Gutachtensarten setzen dieselbe fachliche Kompetenz voraus und folgen denselben methodischen Standards. Der Unterschied liegt nicht in der Qualität der Arbeit, sondern im rechtlichen Rahmen und in der strategischen Funktion.
Welches Gutachten brauchen Sie?
Wenn Sie unsicher sind, ob für Ihren Fall ein Gerichtsgutachten oder ein Privatgutachten der richtige Weg ist, berate ich Sie gerne. Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger erstelle ich sowohl Gerichtsgutachten im Auftrag österreichischer Gerichte als auch Privatgutachten für Unternehmen, Anwaltskanzleien und Versicherungen.
In einem unverbindlichen Erstgespräch klären wir gemeinsam, welche Art von Gutachten für Ihre Situation sinnvoll ist und welchen Umfang es voraussichtlich haben wird. Kontaktieren Sie mich, damit wir den für Sie besten Weg finden.

10. Jänner 2026
Was kostet ein IT-Gutachten in Österreich? Gebühren, Stundensätze und Einflussfaktoren

Die Frage nach den Kosten ist die häufigste, die mir gestellt wird. Verständlich, denn ein IT-Gutachten ist eine Investition, deren Umfang sich nicht mit einem Pauschalpreis beantworten lässt. Ob ein Gutachten 2.000 oder 20.000 Euro kostet, hängt von der Art des Auftrags, der Komplexität des Sachverhalts und dem rechtlichen Rahmen ab. Dieser Beitrag erklärt, wie sich die Kosten zusammensetzen, welche gesetzlichen Grundlagen gelten und womit Sie in der Praxis rechnen sollten.
Gerichtsgutachten und Privatgutachten: Zwei unterschiedliche Kostenmodelle
Bevor es um konkrete Zahlen geht, muss eine grundlegende Unterscheidung klar sein. Die Kosten eines IT-Gutachtens hängen zunächst davon ab, ob es sich um ein Gerichtsgutachten oder ein Privatgutachten handelt. Beide folgen unterschiedlichen Regeln.
Bei einem Gerichtsgutachten wird der Sachverständige vom Gericht bestellt. Die Vergütung richtet sich nach dem Gebührenanspruchsgesetz (GebAG), das den Rahmen für Stundensätze, Reisekosten und weitere Gebührenbestandteile vorgibt. Die Parteien des Verfahrens müssen vorab einen Kostenvorschuss leisten, der vom Gericht festgesetzt wird.
Bei einem Privatgutachten beauftragt ein Unternehmen, eine Anwaltskanzlei oder eine Versicherung den Sachverständigen direkt. Hier gelten keine gesetzlich vorgeschriebenen Tarife. Der Stundensatz wird frei vereinbart und orientiert sich an den marktüblichen Honoraren für vergleichbare Sachverständigentätigkeiten. Privatgutachten werden in der Regel auf Basis eines schriftlichen Angebots erstellt, das den voraussichtlichen Aufwand und die Kosten transparent aufschlüsselt.
Die gesetzliche Grundlage: Das Gebührenanspruchsgesetz (GebAG)
Das GebAG regelt die Vergütung von Sachverständigen, die im Auftrag eines Gerichts tätig werden. Die relevanten Bestimmungen finden sich in den §§ 24 bis 42. Für IT-Sachverständige ist insbesondere § 34 relevant, der die Gebühr für Mühewaltung regelt. Unter Mühewaltung versteht das Gesetz die Aufnahme des Befundes und die Erstattung des Gutachtens.
Für die Höhe der Gebühr unterscheidet das GebAG nach dem erforderlichen Qualifikationsniveau. Für Tätigkeiten, die besonders hohe fachliche Kenntnisse erfordern, welche durch ein Universitätsstudium oder eine gleichwertige Vorbildung vermittelt werden, sieht § 34 Abs. 3 Z 3 GebAG einen Gebührenrahmen von 80 bis 150 Euro pro angefangener Stunde vor. Dieser Rahmen bildet die Basis.
Seit 1. Jänner 2024 gilt zusätzlich eine Zuschlagsverordnung (BGBl. II Nr. 430/2023), die die festen Gebührenbeträge im GebAG um bis zu 45 Prozent anhebt. Damit liegt der effektive Gebührenrahmen für qualifizierte IT-Sachverständige bei rund 116 bis 217,50 Euro pro Stunde. Innerhalb dieses Rahmens bestimmt das Gericht die konkrete Gebühr nach richterlichem Ermessen, wobei die aufgewendete Zeit, die Schwierigkeit der Aufgabe und die marktüblichen Einkünfte des Sachverständigen berücksichtigt werden.
Wichtig: Diese Sätze gelten nur für Gerichtsgutachten. Bei Privatgutachten ist der Sachverständige nicht an das GebAG gebunden.
Was kostet ein Privatgutachten in der Praxis?
Die Stundensätze für private IT-Gutachten in Österreich orientieren sich am außergerichtlichen Markt und liegen typischerweise höher als die GebAG-Sätze. Je nach Fachgebiet, Komplexität und Erfahrung des Sachverständigen bewegen sich die Honorare in einem Bereich, der vergleichbar ist mit spezialisierten IT-Beratungsleistungen oder den Leitlinien der Bundeskammer der Ziviltechniker:innen, die für die höchste Leistungskategorie Orientierungswerte von 187 bis 293 Euro pro Stunde ausweist.
Die Gesamtkosten eines Privatgutachtens hängen vor allem vom Umfang ab. Ein einfaches Kurzgutachten zu einer überschaubaren Fragestellung, etwa ob eine bestimmte Software eine vereinbarte Funktion erfüllt, kann mit einem Aufwand von 10 bis 20 Stunden erstellt werden. Ein umfangreiches Gutachten zu einem gescheiterten ERP-Projekt mit Analyse der Projektdokumentation, der Vertragslage und der technischen Umsetzung kann einen Aufwand von 50 bis 100 Stunden oder mehr erfordern.
Als grobe Orientierung für die Praxis: Einfache Privatgutachten beginnen bei einigen tausend Euro. Komplexe Gutachten zu IT-Großprojekten oder umfangreichen Cyberschäden können auch deutlich darüber liegen. Der tatsächliche Aufwand lässt sich erst nach einer ersten Sichtung des Sachverhalts seriös einschätzen, weshalb ein unverbindliches Erstgespräch der richtige erste Schritt ist.
Woraus setzt sich die Gesamtgebühr zusammen?
Die Kosten eines IT-Gutachtens bestehen nicht allein aus dem Stundensatz multipliziert mit der aufgewendeten Zeit. Das GebAG listet in § 24 mehrere Gebührenbestandteile auf, die auch bei Privatgutachten als Orientierung dienen.
Die Gebühr für Mühewaltung ist der größte Posten. Sie deckt die eigentliche Gutachtenstätigkeit ab: die Analyse der Unterlagen, die technische Untersuchung, die Befundaufnahme und das Verfassen des schriftlichen Gutachtens. Hier fällt der Großteil des zeitlichen Aufwands an.
Das Aktenstudium ist bei IT-Verfahren oft erheblich. Verträge, Pflichtenhefte, Lastenhefte, Projektprotokolle, E-Mail-Korrespondenz, technische Dokumentation: Bevor ein Sachverständiger eine Beurteilung abgeben kann, muss er die relevanten Unterlagen vollständig sichten und verstehen. Je nach Umfang der Akten kann allein dieser Schritt mehrere Stunden bis Tage in Anspruch nehmen.
Kosten für die Beiziehung von Hilfskräften fallen an, wenn der Sachverständige für Teilbereiche spezialisierte Mitarbeiter oder externe Fachleute hinzuzieht, etwa für die forensische Datensicherung oder die Analyse bestimmter Softwaresysteme.
Reise- und Aufenthaltskosten entstehen, wenn der Sachverständige für die Befundaufnahme vor Ort sein muss, etwa für eine Besichtigung der IT-Infrastruktur, ein Gespräch mit den beteiligten Personen oder die Teilnahme an einer Gerichtsverhandlung.
Die Gebühr für die Teilnahme an einer Verhandlung fällt bei Gerichtsgutachten an, wenn der Sachverständige sein Gutachten mündlich erörtern und Fragen der Parteien beantworten muss.
Welche Faktoren beeinflussen die Kosten am stärksten?
Aus meiner Erfahrung gibt es fünf wesentliche Faktoren, die den Gesamtpreis eines IT-Gutachtens bestimmen.
Der erste und wichtigste Faktor ist die Komplexität des technischen Sachverhalts. Die Prüfung, ob eine Website eine vereinbarte Funktionalität erfüllt, ist eine andere Aufgabe als die Analyse eines mehrjährigen IT-Migrationsprojekts mit dutzenden beteiligten Systemen und Dienstleistern. Je komplexer die technische Fragestellung, desto mehr Zeit braucht der Sachverständige für Befund und Gutachten.
Der zweite Faktor ist der Umfang der Unterlagen. Wenn ein Projektordner aus 200 Seiten besteht, ist die Ausgangslage eine andere als bei einem Datenraum mit 10.000 Dokumenten. Dieser Punkt wird von Auftraggebern häufig unterschätzt. Eine gründliche Analyse braucht Zeit, und Abkürzungen gehen auf Kosten der Qualität und der Belastbarkeit des Gutachtens.
Der dritte Faktor ist die Anzahl und Art der Gutachtensfragen. Je mehr Fragen ein Gericht oder ein Auftraggeber stellt, desto umfangreicher wird das Gutachten. Auch die Art der Fragen spielt eine Rolle: Eine rein technische Bewertung ist weniger aufwendig als eine Frage, die technische und wirtschaftliche Aspekte verknüpft, etwa die Ermittlung eines Schadens in Euro.
Der vierte Faktor ist die Dringlichkeit. Wenn ein Gutachten kurzfristig benötigt wird, etwa weil eine gerichtliche Frist läuft oder Beweise gesichert werden müssen, bevor sie verloren gehen, kann das den Aufwand erhöhen. Nicht weil der Stundensatz steigt, sondern weil andere Aufträge priorisiert und zusätzliche Ressourcen eingesetzt werden müssen.
Der fünfte Faktor ist das Erfordernis einer Verhandlungsteilnahme oder Erörterung. Bei Gerichtsgutachten ist die Teilnahme an der Gutachtenserörterung üblich und verursacht zusätzlichen Zeitaufwand: für die Vorbereitung, die Anreise und die Verhandlung selbst.
Wer trägt die Kosten eines IT-Gutachtens?
Die Kostentragung hängt vom Kontext ab.
Bei Gerichtsgutachten muss die beweisführende Partei einen Kostenvorschuss leisten. Dieser wird vom Gericht mit Beschluss festgesetzt und deckt die voraussichtlichen Kosten des Sachverständigen ab. Am Ende des Verfahrens werden die Sachverständigenkosten als Teil der Verfahrenskosten zugesprochen. In der Regel trägt die unterlegene Partei die gesamten Kosten, einschließlich der Sachverständigengebühren.
Bei Privatgutachten trägt der Auftraggeber die Kosten selbst. Wird das Privatgutachten im Rahmen eines Rechtsstreits eingebracht und gewinnt die auftraggebende Partei das Verfahren, können die Kosten unter bestimmten Voraussetzungen als erstattungsfähige Prozesskosten geltend gemacht werden.
Bei Versicherungsgutachten hängt die Kostentragung von der vertraglichen Vereinbarung ab. In vielen Fällen beauftragt die Versicherung selbst einen Sachverständigen. Wenn der Versicherungsnehmer ein eigenes Gutachten einholt, trägt er zunächst die Kosten, kann diese aber je nach Vertragslage und Ausgang des Falls erstattet bekommen.
Was ein Gutachten kosten darf und was es wert ist
Die Kosten eines IT-Gutachtens stehen nie isoliert im Raum. Sie müssen immer in Relation zum Streitwert, zum möglichen Schaden oder zum Risiko gesetzt werden, das ohne Gutachten besteht.
Ein Gutachten für 5.000 Euro kann ein Unternehmen vor einem sechsstelligen Schaden bewahren, wenn es rechtzeitig die Beweislage klärt. Umgekehrt kann das Fehlen eines Gutachtens dazu führen, dass ein berechtigter Anspruch nicht durchgesetzt werden kann, weil die technische Grundlage fehlt.
Besonders bei Privatgutachten, die als Vorbereitung auf ein Verfahren eingeholt werden, ist das Kosten-Nutzen-Verhältnis oft eindeutig: Eine fundierte technische Einschätzung vor der Klage kann entweder die Verhandlungsposition stärken oder aber rechtzeitig zeigen, dass eine Klage wenig Aussicht auf Erfolg hätte. In beiden Fällen spart das Gutachten am Ende Geld.
So erhalten Sie eine realistische Kosteneinschätzung
Seriöse IT-Sachverständige geben keine Pauschalpreise ab, bevor sie den Sachverhalt kennen. Das wäre weder ehrlich noch professionell. Was sie hingegen leisten können und sollten, ist eine transparente Ersteinschätzung des voraussichtlichen Aufwands nach einem ersten Gespräch oder einer kurzen Sichtung der Unterlagen.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger biete ich Ihnen ein unverbindliches Erstgespräch an, in dem wir Ihre Situation besprechen. Dabei kläre ich mit Ihnen, ob ein Gutachten für Ihren Fall sinnvoll ist, welchen Umfang es voraussichtlich haben wird und mit welchen Kosten Sie rechnen sollten. Erst auf dieser Basis entscheiden Sie, ob Sie den Auftrag erteilen möchten.
Kontaktieren Sie mich für ein unverbindliches Erstgespräch. Ich nehme mir die Zeit, Ihren Fall zu verstehen, bevor über Kosten gesprochen wird.

4. Jänner 2026
Wann brauche ich einen IT-Sachverständigen? 7 typische Situationen aus der Praxis

Technische Streitfälle eskalieren oft schneller als erwartet. Ein Softwareprojekt liefert nicht, was vereinbart war. Ein Cyberangriff legt den Betrieb lahm. Oder ein Geschäftspartner behauptet, der Datenverlust sei nicht seine Schuld. Spätestens wenn Geld, Verträge oder Gerichtsverfahren im Spiel sind, stellt sich die Frage: Brauche ich einen IT-Sachverständigen?
Die Antwort hängt davon ab, ob ein technischer Sachverhalt objektiv und nachvollziehbar beurteilt werden muss, den die beteiligten Parteien nicht selbst klären können oder wollen. Ein allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger bringt dabei etwas mit, das interne IT-Abteilungen und externe Berater nicht leisten können: gerichtsfeste Unabhängigkeit.
In meiner Praxis als IT-Sachverständiger begegnen mir bestimmte Situationen immer wieder. Die folgenden sieben decken den Großteil der Fälle ab, in denen Unternehmen, Anwaltskanzleien, Versicherungen oder Gerichte einen IT-Gutachter hinzuziehen.
1. Das IT-Projekt ist gescheitert und niemand will schuld sein
Ein mittelständisches Unternehmen beauftragt einen IT-Dienstleister mit der Einführung eines neuen ERP-Systems. Nach 18 Monaten, drei Budgetüberschreitungen und zahlreichen Nachbesserungen funktioniert das System immer noch nicht wie versprochen. Der Dienstleister sagt, die Anforderungen waren unklar. Der Auftraggeber sagt, die Umsetzung war mangelhaft. Beide Seiten haben Ordner voller E-Mails, Protokolle und Spezifikationsdokumente, die ihre jeweilige Position stützen sollen.
Genau hier wird ein IT-Sachverständiger gebraucht. Er analysiert die Projektdokumentation, vergleicht Lastenheft und Pflichtenheft mit dem tatsächlich gelieferten Ergebnis, prüft ob anerkannte Standards des IT-Projektmanagements eingehalten wurden und beurteilt, wo die Verantwortung für das Scheitern liegt. Das Gutachten schafft eine technische Grundlage, auf der Anwälte und Gerichte aufbauen können. Ohne diese Grundlage bleiben IT-Streitigkeiten oft jahrelang in einem Hin und Her stecken, weil beide Parteien technische Argumente vorbringen, die ein Richter nicht ohne Fachwissen bewerten kann.
Ob als Privatgutachten zur Vorbereitung einer Klage oder als Gerichtsgutachten im laufenden Verfahren: Bei gescheiterten IT-Projekten ist ein Sachverständiger in den meisten Fällen unverzichtbar.
2. Ein Cyberangriff hat Schaden angerichtet und die Versicherung verlangt Nachweise
Ransomware verschlüsselt sämtliche Unternehmensdaten. Der Betrieb steht für Tage oder Wochen still. Die Cyberversicherung ist abgeschlossen, aber bevor sie zahlt, stellt sie berechtigte Fragen: Wie hoch ist der tatsächliche Schaden? Waren die IT-Sicherheitsmaßnahmen zum Zeitpunkt des Angriffs dem Stand der Technik entsprechend? Liegt eine Obliegenheitsverletzung vor, etwa weil Sicherheitsupdates nicht eingespielt oder Mitarbeiter nicht geschult waren?
Ein IT-Sachverständiger dokumentiert den Vorfall forensisch, ermittelt die Schadenshöhe nachvollziehbar und beurteilt, ob die vorhandenen Schutzmaßnahmen angemessen waren. Das Gutachten dient der Versicherung als Entscheidungsgrundlage und dem Unternehmen als Nachweis seiner Ansprüche.
Wichtig zu wissen: Auch Versicherungen selbst beauftragen IT-Sachverständige, um Schadensmeldungen zu prüfen. Wenn Sie als Versicherungsnehmer sichergehen wollen, dass Ihre Ansprüche korrekt bewertet werden, kann ein eigenes Privatgutachten sinnvoll sein. Es stärkt Ihre Verhandlungsposition erheblich.
3. Daten sind verloren gegangen und die Haftungsfrage ist offen
Ein Cloud-Anbieter hat technische Probleme. Daten sind weg, Backups unvollständig. Oder ein interner Mitarbeiter löscht versehentlich einen Datenbankbestand, der nicht mehr vollständig wiederhergestellt werden kann. In beiden Fällen stellt sich sofort die Frage: Wer haftet?
Die Beantwortung dieser Frage erfordert eine technische Analyse, die weit über das hinausgeht, was ein Anwalt oder ein Geschäftsführer beurteilen kann. Ein IT-Sachverständiger untersucht, welche Sicherungsmaßnahmen vertraglich vereinbart waren, ob sie tatsächlich umgesetzt wurden, ob Backup-Konzepte dem Stand der Technik entsprachen und ob der Datenverlust vermeidbar gewesen wäre.
Gerade bei Streitigkeiten zwischen Unternehmen und ihren IT-Dienstleistern ist diese Analyse entscheidend. Denn ohne eine technische Klärung bleibt die Frage, ob der Dienstleister seine vertraglichen Pflichten verletzt hat, rein spekulativ.
4. Ein Versicherungsschaden muss bewertet werden
Nicht nur Cyberangriffe führen zu IT-Versicherungsschäden. Ein Blitzschlag zerstört die Server-Hardware. Ein Wasserschaden im Serverraum macht die gesamte IT-Infrastruktur unbrauchbar. Oder ein Feuer vernichtet Geräte und Datenträger.
In all diesen Fällen braucht die Versicherung eine nachvollziehbare Bewertung des Schadens. Was ist die betroffene Hardware tatsächlich wert? Zeitwert oder Neuwert? Welche Kosten entstehen für die Wiederherstellung von Daten und Systemen? Wie lange dauert die Betriebsunterbrechung und welcher finanzielle Schaden entsteht dadurch?
Ein IT-Sachverständiger beantwortet diese Fragen objektiv und unabhängig. Er kennt aktuelle Marktpreise, kann den Aufwand für eine Systemwiederherstellung realistisch einschätzen und dokumentiert alles so, dass es einer versicherungstechnischen oder gerichtlichen Prüfung standhält.
5. Ein Rechtsstreit erfordert technische Beweissicherung
Stellen Sie sich vor, Sie vermuten, dass ein ehemaliger Mitarbeiter vor seinem Ausscheiden vertrauliche Unternehmensdaten kopiert und an einen Mitbewerber weitergegeben hat. Oder Sie sind überzeugt, dass ein IT-Anbieter Ihre maßgeschneiderte Software ohne Erlaubnis weiterentwickelt und an andere Kunden verkauft hat.
Solche Fälle erfordern eine professionelle digitale Beweissicherung. E-Mails, Zugriffsprotokolle, Datei-Metadaten und Systemlogs müssen forensisch korrekt gesichert werden, bevor sie verändert oder gelöscht werden können. Das muss schnell geschehen, denn digitale Spuren sind flüchtig. Ein Neustart, ein Update oder der normale Systembetrieb kann Beweise unwiederbringlich vernichten.
Ein IT-Sachverständiger führt diese Beweissicherung nach anerkannten forensischen Standards durch und stellt sicher, dass die Ergebnisse vor Gericht verwertbar sind. Er dokumentiert lückenlos, wie die Daten erhoben und gesichert wurden, sodass die Gegenseite die Integrität der Beweise nicht angreifen kann.
Mein Rat aus der Praxis: Wenn Sie vermuten, dass Sie digitale Beweise brauchen werden, handeln Sie sofort. Jeder Tag, der vergeht, verringert die Chancen auf eine vollständige Beweissicherung. Die Beauftragung eines Sachverständigen vor einem formellen Gerichtsverfahren ist nicht nur möglich, sondern oft entscheidend.
6. Eine IT-Bewertung ist erforderlich, etwa bei Unternehmenskauf oder Insolvenz
Vor dem Kauf eines Unternehmens gehört eine IT Due Diligence mittlerweile zum Standard. Käufer wollen wissen: In welchem Zustand ist die IT-Infrastruktur? Gibt es technische Altlasten, die nach der Übernahme hohe Investitionen erfordern? Sind die eingesetzten Softwarelizenzen ordnungsgemäß? Bestehen Sicherheitsrisiken, die den Geschäftsbetrieb gefährden könnten?
Ähnliche Fragen stellen sich bei Insolvenzverfahren, bei denen der Insolvenzverwalter den Wert der IT-Assets ermitteln muss. Oder bei Erbschaften und Gesellschafterausscheiden, wenn IT-bezogene Unternehmenswerte aufgeteilt werden müssen.
Ein IT-Sachverständiger bewertet die vorhandene Infrastruktur, die Software, die Datenbestände und die IT-Prozesse. Er identifiziert Risiken und gibt eine fundierte Einschätzung des Werts ab. Dieses Gutachten schützt Käufer vor teuren Überraschungen und gibt Verkäufern eine objektive Verhandlungsgrundlage.
7. Ein Gericht bestellt einen Sachverständigen für ein IT-Verfahren
In vielen der oben genannten Situationen kommt es irgendwann zu einem Gerichtsverfahren. Wenn das Gericht feststellt, dass es zur Beurteilung des Sachverhalts technisches Fachwissen braucht, bestellt es nach § 351 der Zivilprozessordnung einen Sachverständigen. Dieser muss in der Gerichtssachverständigen- und Gerichtsdolmetscherliste eingetragen sein, also die Zertifizierung nach dem Sachverständigen- und Dolmetschergesetz (SDG) durchlaufen haben.
Der gerichtlich bestellte Sachverständige ist zur Objektivität und Unparteilichkeit verpflichtet. Er nimmt einen Befund auf, also die systematische Erhebung der technischen Fakten, und erstellt auf dieser Basis sein Gutachten. Die Parteien haben das Recht, bei der Befundaufnahme anwesend zu sein, Fragen zu stellen und zum Gutachten Stellung zu nehmen. In der Gutachtenserörterung vor Gericht kann der Sachverständige mündlich befragt werden.
Was viele nicht wissen: Auch wenn das Gericht einen Sachverständigen bestellt, kann jede Partei zusätzlich ein Privatgutachten einbringen. Dieses hat zwar nicht dieselbe Beweiskraft wie ein Gerichtsgutachten, kann aber helfen, die richtigen Fragen zu stellen, Schwächen im Gerichtsgutachten aufzuzeigen und die eigene Position fachlich zu untermauern.
Wann Sie keinen IT-Sachverständigen brauchen
Der Vollständigkeit halber: Nicht jede technische Meinungsverschiedenheit erfordert ein Gutachten. Wenn der Streitwert gering ist, wenn beide Parteien gesprächsbereit sind oder wenn die technische Frage relativ einfach zu klären ist, kann ein gemeinsames Gespräch mit einem technischen Berater ausreichen.
Ein Gutachten lohnt sich vor allem dann, wenn hohe Summen im Spiel sind, wenn die Parteien sich nicht einigen können, wenn ein Gerichtsverfahren droht oder bereits läuft, oder wenn eine Versicherung objektive Nachweise verlangt.
Im Zweifel hilft ein kurzes Erstgespräch mit einem Sachverständigen, um einzuschätzen, ob ein formelles Gutachten sinnvoll ist oder ob eine andere Form der Klärung zielführender wäre.
So beauftragen Sie einen IT-Sachverständigen
Wenn Sie sich in einer der beschriebenen Situationen wiedererkennen, ist der erste Schritt ein unverbindliches Gespräch. In diesem Erstgespräch kläre ich mit Ihnen, ob ein Gutachten für Ihren Fall sinnvoll ist, welchen Umfang es haben sollte und mit welchem zeitlichen und finanziellen Aufwand Sie rechnen können.
Als allgemein beeideter und gerichtlich zertifizierter IT-Sachverständiger bin ich in der Gerichtssachverständigenliste des österreichischen Justizministeriums eingetragen und erstelle sowohl Gerichtsgutachten als auch Privatgutachten für Unternehmen, Anwaltskanzleien und Versicherungen in ganz Österreich. Mit über 20 Jahren Erfahrung in der IT und der Unterstützung eines spezialisierten Expertenteams sorge ich dafür, dass Sie eine verlässliche, termingerechte und verständlich formulierte Beurteilung erhalten.
Kontaktieren Sie mich für ein unverbindliches Erstgespräch. Gemeinsam finden wir heraus, wie ich Ihnen weiterhelfen kann.

2. Jänner 2026

Kategorie: Unternehmen

Warum die Schadenshöhe so schwer zu beziffern ist

Die vier Schadenskategorien bei Ransomware

Kategorie 1: Direkte IT-Kosten

Kategorie 2: Betriebsunterbrechungsschaden

Kategorie 3: Datenverlustschaden

Kategorie 4: Folge- und Drittschäden

Was gerichtsfeste Dokumentation bedeutet

Der Zeitfaktor: Parallel zur Wiederherstellung dokumentieren

Wann ein Schadensgutachten gebraucht wird

Was Obliegenheiten sind – und warum sie zum Problem werden

Die fünf häufigsten Obliegenheiten – und wo es in der Praxis hakt

Was der IT-Sachverständige konkret prüft

Der Kausalitätsgegenbeweis: Wo die Argumentation oft gewonnen wird

Vorvertragliche Anzeigepflicht: Wenn die Risikofragen zum Problem werden

Was Unternehmen aus Obliegenheitsstreitigkeiten lernen können

Warum die Versicherung ein Gutachten braucht

Die sechs Bereiche der Dokumentation

1. Der Angriffsvektor: Wie ist der Angreifer eingedrungen?

2. Der Zeitverlauf: Die Timeline des Angriffs

3. Der technische Schaden: Was wurde beschädigt oder zerstört?

4. Der wirtschaftliche Schaden: Was kostet der Vorfall?

5. Die Obliegenheitsprüfung: Hat das Unternehmen seine Pflichten erfüllt?

6. Die Ursache-Wirkungs-Kette: Kausalität zwischen Angriff und Schaden

Der Zeitfaktor: Warum die Dokumentation sofort beginnen muss

Was Sie jetzt tun sollten – auch ohne akuten Vorfall

Digitale Beweise sind anders als physische Beweise

Was bei IT-Streitigkeiten gesichert werden muss

Die Flüchtigkeit digitaler Beweise: Fünf typische Szenarien

Die Beweissicherung aus rechtlicher Sicht

Die Chain of Custody: Damit Beweise auch Beweise bleiben

Beweissicherung bei verschiedenen Streittypen

Was Sie jetzt tun sollten

Die gerichtliche Sachverständigenliste als Ausgangspunkt

Was die SDG-Zertifizierung garantiert

Warum die SDG-Zertifizierung allein nicht ausreicht

Checkliste: 10 Kriterien für die Auswahl eines IT-Sachverständigen

Wo Sie IT-Sachverständige in Österreich finden

Häufige Fehler bei der Auswahl

Der richtige Sachverständige für Ihren Fall

Was ist ein Lastenheft, was ein Pflichtenheft?

Warum die Unterscheidung für Vertragsstreitigkeiten so wichtig ist

Die sieben typischen Problemfelder

Was der IT-Sachverständige konkret prüft

Worauf Auftraggeber und Auftragnehmer achten sollten

Wenn die Dokumentation fehlt: Was der Sachverständige trotzdem tun kann

Wann Sie einen Sachverständigen einschalten sollten

Warum ERP-Projekte scheitern – und warum die Schuldfrage selten einfach ist

Lastenheft, Pflichtenheft, Vertrag: Was der Sachverständige zuerst prüft

Was der IT-Sachverständige konkret untersucht

Die Mitwirkungspflicht des Auftraggebers: Ein häufig unterschätztes Thema

Die Schadensermittlung: Was ist der tatsächliche Schaden?

Timing: Wann sollten Sie einen Sachverständigen einschalten?

Was ein Gutachten für Ihre Rechtsposition bringt

Handlungsempfehlungen: Was Sie jetzt tun sollten

Die Grundunterscheidung: Wer erteilt den Auftrag?

Beweiswert: Das Gerichtsgutachten als Beweismittel, das Privatgutachten als qualifiziertes Parteivorbringen

Unparteilichkeit und Objektivität

Ablauf und Verfahren im Vergleich

Kosten und Kostentragung

Wann ist welches Gutachten das richtige?

Die Kombination: Privatgutachten als Vorbereitung auf das Gerichtsverfahren

Zusammenfassung: Die wichtigsten Unterschiede auf einen Blick

Welches Gutachten brauchen Sie?

Gerichtsgutachten und Privatgutachten: Zwei unterschiedliche Kostenmodelle

Die gesetzliche Grundlage: Das Gebührenanspruchsgesetz (GebAG)

Was kostet ein Privatgutachten in der Praxis?

Woraus setzt sich die Gesamtgebühr zusammen?

Welche Faktoren beeinflussen die Kosten am stärksten?

Wer trägt die Kosten eines IT-Gutachtens?

Was ein Gutachten kosten darf und was es wert ist

So erhalten Sie eine realistische Kosteneinschätzung

1. Das IT-Projekt ist gescheitert und niemand will schuld sein

2. Ein Cyberangriff hat Schaden angerichtet und die Versicherung verlangt Nachweise

3. Daten sind verloren gegangen und die Haftungsfrage ist offen

4. Ein Versicherungsschaden muss bewertet werden

5. Ein Rechtsstreit erfordert technische Beweissicherung

6. Eine IT-Bewertung ist erforderlich, etwa bei Unternehmenskauf oder Insolvenz

7. Ein Gericht bestellt einen Sachverständigen für ein IT-Verfahren

Wann Sie keinen IT-Sachverständigen brauchen