Inhaltsverzeichnis
Risikomanagement heißt, die Ereignisse zu kennen, die dein Unternehmen ernsthaft beschädigen können, und vorher festzulegen, wie du sie verhinderst, abmilderst oder auffängst. Für Startups reicht dafür ein schlankes System: eine Risikoliste, eine einfache Bewertung nach Wahrscheinlichkeit und Schaden und ein fester Termin, an dem du beides aktualisierst. Für Geschäftsführer einer GmbH oder UG ist eine Krisenfrüherkennung seit 2021 außerdem gesetzliche Pflicht (§ 1 StaRUG). Dieser Artikel ersetzt keine individuelle Rechtsberatung.
Das Wichtigste in Kürze
- Ablauf: Risiken identifizieren, bewerten, steuern, überwachen, kommunizieren. Ähnlich gliedert die Leitlinie ISO 31000 den Prozess.
- Pflicht: Geschäftsleiter juristischer Personen müssen fortlaufend Entwicklungen überwachen, die den Fortbestand gefährden können (§ 1 StaRUG).
- Werkzeug: Eine Risikomatrix mit je fünf Stufen für Wahrscheinlichkeit und Schaden reicht für die meisten jungen Unternehmen.
- Größte Startup-Risiken: Liquidität, Abhängigkeit von wenigen Kunden oder Personen, IT-Ausfall und rechtliche Fehler.
- Rhythmus: Risikoliste mindestens quartalsweise prüfen, Liquidität monatlich.
Gesetzliche Pflichten zum Risikomanagement
| Rechtsform | Pflicht | Grundlage |
|---|---|---|
| GmbH, UG, AG, eG und Personengesellschaften ohne persönlich haftende natürliche Person | Krisenfrüherkennung, Gegenmaßnahmen, Information der Überwachungsorgane | § 1 StaRUG |
| AG | Früherkennungssystem für bestandsgefährdende Entwicklungen | § 91 Abs. 2 AktG |
| Börsennotierte AG | zusätzlich internes Kontroll- und Risikomanagementsystem | § 91 Abs. 3 AktG |
| Einzelunternehmen, GbR mit natürlichen Personen | keine ausdrückliche Pflicht, aber unbeschränkte persönliche Haftung | – |
Eine bestimmte Form schreibt § 1 StaRUG nicht vor. Wie aufwendig das System sein muss, hängt von Größe und Komplexität des Unternehmens ab. Wichtig ist, dass du die Überwachung nachweisen kannst, etwa mit einer datierten Risikoliste und einer rollierenden Liquiditätsplanung.
Ernst wird es, wenn ein Insolvenzgrund eintritt. Bei Zahlungsunfähigkeit muss die Geschäftsführung einer Kapitalgesellschaft spätestens drei Wochen danach Insolvenzantrag stellen, bei Überschuldung spätestens nach sechs Wochen (§ 15a Abs. 1 InsO). Überschuldet ist ein Unternehmen nur dann nicht, wenn die Fortführung in den nächsten zwölf Monaten überwiegend wahrscheinlich ist (§ 19 Abs. 2 InsO). Ein funktionierendes Risikomanagement sorgt dafür, dass du solche Entwicklungen Monate vorher siehst. Wie sich die Haftung je nach Rechtsform unterscheidet, steht in Rechtsform wählen.
Der Risikomanagement-Prozess in fünf Schritten
1. Risiken identifizieren
Sammle Risiken strukturiert nach Bereichen. Diese Fragen helfen:
- Finanzen: Wie viele Monate reicht die Liquidität? Hängt mehr als ein Viertel des Umsatzes an einem Kunden?
- Personen: Gibt es Wissen, das nur eine Person hat? Was passiert, wenn ein Gründer ausfällt?
- Markt: Wovon hängt die Nachfrage ab? Gibt es Lieferanten ohne Alternative?
- IT und Daten: Was passiert bei einem Ausfall des wichtigsten Systems oder einem Ransomware-Angriff?
- Recht und Compliance: Welche Verträge, Genehmigungen, Datenschutz- oder Produktpflichten sind kritisch?
Ein gemeinsamer Workshop mit dem Team von 90 Minuten liefert für den Anfang meist 20 bis 40 Einträge.
2. Risiken bewerten
Bewerte jedes Risiko auf zwei Skalen von 1 bis 5:
| Stufe | Eintrittswahrscheinlichkeit (12 Monate) | Schaden |
|---|---|---|
| 1 | sehr unwahrscheinlich | kaum spürbar |
| 2 | unwahrscheinlich | ärgerlich, in Tagen behoben |
| 3 | möglich | spürbarer Umsatz- oder Zeitverlust |
| 4 | wahrscheinlich | gefährdet Ziele des Jahres |
| 5 | fast sicher | gefährdet den Fortbestand |
Das Produkt beider Werte ergibt die Risikozahl von 1 bis 25. Lege fest, ab welcher Zahl du handeln musst, zum Beispiel ab 12. Risiken mit Schaden 5 behandelst du unabhängig von der Wahrscheinlichkeit.
Die Stufen sind bewusst grob. Wenn du Schaden in Euro fassen kannst, ordne die Stufen Beträgen zu, etwa Stufe 5 ab drei Monatsumsätzen.
3. Risiken steuern
Für jedes relevante Risiko wählst du eine von vier Strategien:
- Vermeiden: Das riskante Geschäft gar nicht erst machen.
- Vermindern: Wahrscheinlichkeit oder Schaden senken, zum Beispiel durch Backups, Vier-Augen-Prinzip oder einen zweiten Lieferanten.
- Übertragen: Auf Versicherer oder Vertragspartner verlagern, etwa mit einer Berufs- oder Betriebshaftpflicht.
- Tragen: Bewusst akzeptieren und finanziell vorsorgen, zum Beispiel mit einem Notfallfonds.
Jede Maßnahme bekommt eine verantwortliche Person und ein Datum.
4. Überwachen
Lege für die wichtigsten Risiken Frühwarnindikatoren fest, die du ohnehin misst: Liquiditätsreichweite in Monaten, Anteil des größten Kunden am Umsatz, offene Forderungen über 60 Tage, Kündigungen im Team. Wie du solche Kennzahlen aufbaust, beschreibt Datengetriebene Entscheidungen.
5. Kommunizieren und dokumentieren
Bespreche die Top-Risiken quartalsweise mit Mitgründern, Beirat oder Investoren. Halte das Ergebnis datiert fest. Damit erfüllst du gleichzeitig den Teil von § 1 StaRUG, der die Unterrichtung der Überwachungsorgane verlangt, soweit es welche gibt.
Beispiel: Risikoliste einer Online-Agentur
Beispiel: Eine Agentur mit acht Beschäftigten und einer GmbH als Rechtsform.
| Risiko | W | S | Zahl | Maßnahme | Verantwortlich |
|---|---|---|---|---|---|
| Größter Kunde (40 % Umsatz) kündigt | 3 | 5 | 15 | Neukundenakquise, Ziel unter 25 % in 12 Monaten | Geschäftsführung |
| Liquidität unter zwei Monatsausgaben | 3 | 4 | 12 | Rollierende 13-Wochen-Planung, Kontokorrentrahmen vorab verhandeln | Geschäftsführung |
| Ausfall der Lead-Entwicklerin | 2 | 4 | 8 | Dokumentation, zweite Person einarbeiten | Teamleitung |
| Ransomware auf Kundensystemen | 2 | 5 | 10 | Offline-Backups, Zwei-Faktor-Login, Notfallplan | IT |
| Abmahnung wegen Bildrechten | 3 | 2 | 6 | Lizenzdatenbank für Bildmaterial | Projektleitung |
Die Zahlen sind ein Beispiel. Entscheidend ist, dass du die Liste regelmäßig aktualisierst und Maßnahmen tatsächlich erledigst.
Liquiditätsrisiko zuerst
Die meisten jungen Unternehmen scheitern nicht an einem einzelnen Großschaden, sondern an fehlender Liquidität. Eine rollierende Liquiditätsplanung über 13 Wochen und ein Überblick über deine Fixkosten sind deshalb der wichtigste Baustein. Eine Anleitung findest du in Fixkosten berechnen.
Notfallplanung und Business Continuity
Risikomanagement beschreibt, was passieren kann. Notfallplanung beschreibt, was du tust, wenn es passiert. Für die wichtigsten Prozesse solltest du festhalten:
- Wer entscheidet im Notfall, wer vertritt wen?
- Welche Systeme müssen innerhalb welcher Zeit wieder laufen?
- Wo liegen Backups, Zugangsdaten und Notfallkontakte, und wer kommt daran?
- Wie informierst du Kunden?
Als Orientierung für ein strukturiertes Notfall- und Kontinuitätsmanagement hat das BSI den Standard 200-4 veröffentlicht. Für IT- und Cybersicherheitspflichten bestimmter Branchen lohnt ein Blick in NIS2 für Startups.
Häufige Fragen
Was ist der Unterschied zwischen Risikoanalyse und Risikomanagement?
Die Risikoanalyse ist ein Teil davon: Sie identifiziert und bewertet Risiken. Risikomanagement umfasst zusätzlich die Steuerung, Überwachung und Kommunikation, also den gesamten laufenden Prozess.
Brauche ich als Einzelunternehmer ein Risikomanagement?
Gesetzlich vorgeschrieben ist es nicht. Weil du mit deinem Privatvermögen haftest, lohnt sich eine einfache Risikoliste trotzdem, besonders für Liquidität, Krankheit und Haftung.
Gibt es eine Norm für Risikomanagement?
Ja, die ISO 31000:2018 enthält Leitlinien für das Risikomanagement. Sie ist nicht zertifizierbar und dient als Rahmen. Laut ISO befindet sich eine Überarbeitung in Arbeit.
Wie oft sollte ich meine Risiken prüfen?
Liquidität monatlich, die gesamte Risikoliste mindestens einmal pro Quartal. Zusätzlich bei jedem größeren Ereignis, etwa einer neuen Finanzierungsrunde, einem Großauftrag oder dem Verlust eines wichtigen Kunden.
