Incident-Response-Retainer: Wie man vorausbezahlte Blockstunden, Draw-Downs und die Notfall-Surge bucht

Zwei Unternehmen werden in derselben Woche von derselben Ransomware-Variante getroffen. Dieselben 200 Stunden Forensik, Eindämmung und Wiederherstellung. Das eine zahlt rund 60.000 $ und hat innerhalb von zwei Stunden Responder bei der Triage. Das andere zahlt deutlich über 150.000 $, verbringt den ersten Tag mit Vertragsverhandlungen, während die Systeme dunkel bleiben, und trifft sein Response-Team zum ersten Mal in der schlimmsten Woche der Firmengeschichte. Der Unterschied war nie die Malware. Es war ein Vertrag, der Monate zuvor bei ruhigem Wetter unterzeichnet wurde — ein Incident-Response-Retainer — und die Frage, ob jedes Unternehmen verstanden hatte, was es gekauft hatte.

Wenn Ihr Unternehmen eine Forensik-Firma googeln müsste, während Angreifer durch Ihre Dateifreigaben wandern, ist dieser Beitrag für Sie. Er erklärt, was ein IR-Retainer tatsächlich kauft, wie man den vorausbezahlten Block in den eigenen Büchern bucht, was mit nicht genutzten Stunden passiert und was die Notfall-„Surge-Rate" mit Stunden jenseits des Blocks macht. Die Buchhaltung ist genauso wichtig wie der Vertrag: Ein falsch gebuchter Retainer überzeichnet still und leise Ihre Vermögenswerte das ganze Jahr, und überrascht Sie dann zweimal — einmal, wenn ungenutzte Stunden verfallen, und wieder, wenn die Nachzahlungsrechnung eintrifft.

Was ein Retainer tatsächlich kauft​

Ein Incident-Response-Retainer ist ein vorausbezahlter Block von Responder-Stunden, gekauft bevor irgendetwas brennt. Sie zahlen im Voraus für eine definierte Anzahl von Stunden (oder Credits) über eine Laufzeit von 12 Monaten, und im Gegenzug erhalten Sie zwei Dinge, die ein Laufkunde nicht kaufen kann: eine vertraglich vereinbarte Triage-SLA, meist ein bis vier Stunden, und einen vorverhandelten Draw-Satz für jede Stunde, die die Firma arbeitet. Ohne Retainer dehnt sich die Mobilisierung auf 24 bis 72 Stunden aus, während Sie Umfang und Vertrag aus dem Stand heraus klären, und jede Stunde wird zum Notfalltarif abgerechnet.

Der Markt bietet fünf Wege, ungefähr denselben Schutz zu kaufen, und die veröffentlichten Preise gruppieren sich nützlich:

Zwei Dinge fallen auf. Erstens veröffentlichen die meisten großen Firmen überhaupt keinen Stundensatz — Mandiant, CrowdStrike, Kroll und Unit 42 quotieren alle pro Einsatz — die obigen Zahlen sind also Planungsanker, keine Angebote. Holen Sie sich Ihre eigenen drei Zahlen schriftlich: den Notfalltarif ohne Retainer, den Draw-Satz unter einem Retainer und die Jahresgebühr. Zweitens: Vergleichen Sie jeden dieser Retainer-Preise mit dem Einsatz: IBMs Studie zu den Kosten einer Datenpanne 2025 beziffert die globale durchschnittliche Datenpanne auf 4,44 Mio. $ und den US-Durchschnitt auf einen Rekordwert von 10,22 Mio. $. Ein fünfstelliger Retainer ist Rundungsfehler neben einem einzigen Vorfall — genau deshalb verdient seine Buchhaltung mehr Sorgfalt, als ein Rundungsfehler normalerweise bekommt.

In Ihren Büchern ist ein Retainer ein Vermögenswert, kein Aufwand​

Hier ist der Fehler, den die meisten kleinen Unternehmen machen: Die Rechnung über den 40.000-$-Retainer kommt im Oktober, und der gesamte Betrag landet in den Sicherheitsausgaben dieses Monats. Der Oktober sieht furchtbar aus, die nächsten elf Monate sehen künstlich sauber aus, und die Bilanz zeigt nie, was Sie tatsächlich besitzen — 40.000 $ künftige Responder-Zeit.

Ein vorausbezahlter Retainer ist ein vorausbezahlter Aufwand, ein Umlaufvermögen. Sie haben Bargeld für einen wirtschaftlichen Vorteil bezahlt, den Sie noch nicht verbraucht haben: Stunden Expertenzeit, die über die Vertragslaufzeit auf Abruf verfügbar sind. Der Kauf verschiebt Geld zwischen Vermögenswertkonten — Bargeld runter, vorausbezahlter Retainer rauf — und berührt die Gewinn- und Verlustrechnung überhaupt nicht. Erst wenn Stunden gezogen werden (oder verfallen, dazu später mehr), wird der Aufwand zum Aufwand.

Das ist keine Beckmesserei. Den vollen Retainer sofort als Aufwand zu verbuchen, untertreibt Ihre Vermögenswerte um den nicht verbrauchten Saldo in jedem Monat der Laufzeit, überzeichnet den Aufwand des ersten Monats und verbirgt das Draw-Down-Muster, das Ihnen sagt, ob der Retainer richtig dimensioniert war. Wenn Sie jährlich verlängern, wiederholt sich die Verzerrung jedes Jahr, und die Sicherheitsausgaben von Jahr zu Jahr werden unlesbar. Buchen Sie den Vermögenswert, dann den Verbrauch als Aufwand. Ihr Monatsabschluss wird es Ihnen danken.

Den Block abbauen, während Vorfälle ihn verbrauchen​

Stellen Sie sich den vorausbezahlten Block wie einen Kontostand vor: Jeder Vorfall ist eine Abhebung, und der verbleibende Saldo ist ein Vermögenswert, den Sie noch ausgeben können. Jeden Monat (oder nach jedem Einsatz) nehmen Sie die Stundenabrechnung Ihrer IR-Firma und verschieben den verbrauchten Wert zum Draw-Satz vom vorausbezahlten Vermögenswert zu den Sicherheitsausgaben. Ein 22-stündiger Eindämmungseinsatz zum Draw-Satz von 300 $ pro Stunde ist ein Aufwand von 6.600 $ in dem Monat, in dem die Arbeit stattfand — nicht in dem Monat, in dem Sie vorausbezahlt haben.

Drei Buchhaltungsgewohnheiten halten den Draw-Down ehrlich:

• Stunden wie Bargeld abgleichen. Die Stundenabrechnung der Firma ist Ihr Kontoauszug für dieses Konto. Tragen Sie jeden Monat Anfangsbestand, gezogene Stunden, angewandten Satz und Endbestand ein, auch in ruhigen Monaten, in denen die Buchung „keine Änderung" lautet. Der Monat, in dem Sie aufhören abzugleichen, ist der Monat, in dem eine strittige 14-stündige „Begutachtung" durchrutscht.
• Ausgeführte, aber noch nicht abgerechnete Arbeit zurückstellen. Wenn Responder in der letzten Woche des Monats gearbeitet haben und die Stundenabrechnung Mitte des Folgemonats eintrifft, buchen Sie eine Rückstellung: Sicherheitsaufwand belasten, eine Verbindlichkeit gutschreiben. Andernfalls sieht der Vorfallmonat billig und der Rechnungsmonat teuer aus, und keiner von beiden spiegelt die Realität wider.
• Gezogene Stunden und Nachzahlungen in der GuV trennen. Innerhalb des Blocks gezogene Stunden und über den Block hinaus abgerechnete Notfallstunden sind unterschiedliche wirtschaftliche Ereignisse zu sehr unterschiedlichen Sätzen. Ein Aufwandskonto kann beides nur dann halten, wenn Sie nie die Frage beantworten wollen „Was hat uns der Retainer tatsächlich gespart?" — nutzen Sie also Unterkonten oder eine Merkdisziplin, die Ihnen die Trennung ermöglicht.

Die Stunden, die Sie nie nutzen: Verfall, Übertrag und Abschreibung​

Die stillste Klausel im Retainer ist, was mit Stunden passiert, die Sie nie ziehen. Die meisten Verträge wählen eine von drei Behandlungen: Stunden verfallen am Laufzeitende wertlos, ein begrenzter Anteil wird in die nächste Laufzeit übertragen, oder ungenutzte Stunden werden in proaktive Leistungen wie Tabletop-Übungen oder Kompromittierungsbegutachtungen umgewandelt. IBMs eingereichte Stufen beispielsweise bündeln proaktive Serviceeinheiten neben Response-Stunden — ein eingebauter Umwandlungspfad.

Was auch immer Ihr Vertrag sagt, Ihre Bücher müssen damit übereinstimmen. Wenn 40 Ihrer 100 Stunden am Laufzeitende ungenutzt verfallen, ist der verbleibende vorausbezahlte Saldo kein Vermögenswert mehr — er ist ein Verlust. Schreiben Sie ihn ab: Sicherheitsaufwand (oder ein Abschreibungskonto, wenn Sie den Verfall getrennt sichtbar machen wollen) belasten, den vorausbezahlten Vermögenswert auf null gutschreiben. Diesen Eintrag zu überspringen ist der Weg, auf dem vorausbezahlte Konten Geisterbestände ansammeln, die die Vermögenswerte jahrelang überzeichnen.

Die Seite des Anbieters spiegelt Ihre exakt wider, was man wissen sollte, bevor man verhandelt. In den Büchern der Firma liegt Ihre Vorauszahlung als Deferred Revenue — eine Verbindlichkeit, Bargeld vereinnahmt für noch nicht erbrachte Arbeit — und ungenutzte Stunden, die verfallen, werden zum Verfallzeitpunkt zum Umsatz der Firma, eine Kategorie, die Buchhalter Breakage nennen. Ihre verfallenen Stunden sind deren Marge. Das ist keine Kritik; es ist Verhandlungshebel. Firmen, die von Breakage profitieren, handeln sie oft weg: Bitten Sie um Übertragungsobergrenzen, Umwandlung ungenutzter Stunden in proaktive Leistungen oder einen kleineren Block mit günstigerem Aufstockungssatz statt eines großen, auf Verfall ausgelegten Blocks. Jede in eine Tabletop-Übung umgewandelte Stunde ist eine Stunde, die ein Vermögenswert bleibt, statt zur Abschreibung zu werden.

Die Surge-Rate: Was Stunden jenseits des Blocks wirklich kosten​

Nun die Klausel, die entscheidet, ob sich der Retainer selbst bezahlt. Stunden innerhalb des Blocks werden zum Draw-Satz abgerechnet, den Sie bei ruhigen Bedingungen verhandelt haben. Stunden jenseits des Blocks — und jede Stunde für ein Unternehmen ganz ohne Retainer — werden zum Notfalltarif abgerechnet, und die Kluft ist die gesamte Ökonomie des Produkts.

Machen Sie die Division mit Ihren eigenen Angeboten, aber erwarten Sie, dass der Notfalltarif bei den meisten Firmen etwa 50 bis 150 Prozent über dem Draw-Satz liegt — derselbe Laden, der Ihren Block zu 300 $ pro Stunde zieht, berechnet Laufkundschaft im Notfall vielleicht 450 bis 750 $ — während erstklassige Notfalleinsätze 800 bis 1.500 $ pro Stunde bei Draw-Sätzen von 175 bis 400 $ erreichen. Die Surge kumuliert zudem mit dem Timing: Nächte, Wochenenden und spezialisierte Forensik stapeln Zuschläge auf den Basis-Notfalltarif.

Die Break-even-Rechnung ist einfach genug, um sie vor der Unterschrift durchzurechnen. Vergleichen Sie (erwartete Stunden × Notfalltarif) gegen (erwartete Stunden × Draw-Satz) + Retainer-Gebühr für einen Vorfall der Größe, für die Sie tatsächlich planen. Weil die Retainer-Gebühr gegen genutzte Stunden verrechnet wird, liegt der Break-even meist deutlich innerhalb eines einzigen ernsthaften Vorfalls: Bei einem Draw-Satz von 300 $ gegen einen Notfalltarif von 750 $ kostet ein 100-Stunden-Einsatz mit Retainer 30.000 $ plus Gebühr gegenüber 75.000 $ ohne — die Gebühr bezahlt sich vor dem zweiten Vorfall selbst, und die vertraglich vereinbarte Triage-SLA ist obendrauf ein Wert. Dimensionieren Sie den Block auf den Vorfall, für den Sie planen, nicht den, auf den Sie hoffen, und budgetieren Sie eine Barreserve für die Nachzahlung, die Sie noch schulden, wenn der große Fall über den Block hinausläuft. Der Retainer kauft den Satz. Er deckelt den Vorfall nicht.

Wenn Sie Retainer verkaufen, gilt das Spiegelbild​

Viele Leser stehen auf der anderen Seite dieses Vertrags — MSPs, Sicherheitsberater und IT-Firmen, die ihre eigenen vorausbezahlten Blockstunden verkaufen. Die Buchhaltung spiegelt die des Käufers: Die Vorauszahlung eines Kunden ist nicht Ihr Umsatz, sie ist Deferred Revenue, eine Verbindlichkeit für geschuldete Arbeit. Realisieren Sie Umsatz erst, wenn Stunden erbracht werden, halten Sie den nicht erbrachten Saldo in der Bilanz (nach ASC 606 eine Vertragsverbindlichkeit), und realisieren Sie Breakage erst als Umsatz, wenn Stunden gemäß den Vertragsbedingungen tatsächlich verfallen — nicht, wenn Sie zuversichtlich sind, dass der Kunde sie nicht nutzen wird. Dieselbe Abgleichsdisziplin gilt: Wenn Ihr passiver Abgrenzungsposten und der vorausbezahlte Saldo Ihres Kunden nicht übereinstimmen, liegt einer von Ihnen falsch, und das Stundenprotokoll klärt es. Firmen, die die volle Vorauszahlung als Umsatz am ersten Tag realisieren, überzeichnen das Ergebnis, unterzeichnen die Verpflichtungen und entdecken die Lücke während der Due Diligence für einen Verkauf, wenn der Käufer jeden Dollar nicht erbrachter Arbeit als übernommene Verbindlichkeit bewertet.

Wie das Jahr in einem Hauptbuch aussieht​

Hier ist ein volles Retainer-Jahr für einen Käufer: ein Block von 40.000 $ für 100 Stunden, gekauft im Oktober, ein 22-stündiger Vorfall zum Draw-Satz von 300 $ pro Stunde im Februar, 8 Notfall-Nachzahlungsstunden zu 750 $ im selben Vorfall (eine Surge von 150 Prozent über dem Draw-Satz), und der ungenutzte Saldo wird abgeschrieben, als die Laufzeit ohne weitere Vorfälle endet. Wenn Sie Ihre Bücher im Plain Text führen, deckt die Dokumentation die Einrichtung ab, und Fava verwandelt den vorausbezahlten Saldo in ein Diagramm, dem Sie beim Leerlaufen über die Laufzeit zusehen können:

2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
 
2025-10-01 * "Sentinel IR" "Annual retainer, 100 prepaid hours"
  Assets:Prepaid:IR-Retainer  40000.00 USD
  Assets:Cash:Operating  -40000.00 USD
 
2026-02-14 * "Sentinel IR" "Containment, 22 hours drawn at 300.00 USD per hour"
  Expenses:Security:Incident-Response  6600.00 USD
  Assets:Prepaid:IR-Retainer  -6600.00 USD
 
2026-02-20 * "Sentinel IR" "Emergency overage, 8 hours at 750.00 USD per hour"
  Expenses:Security:Incident-Response  6000.00 USD
  Liabilities:Payable  -6000.00 USD
 
2026-03-02 * "Sentinel IR" "Overage invoice paid"
  Liabilities:Payable  6000.00 USD
  Assets:Cash:Operating  -6000.00 USD
 
2026-09-30 * "Sentinel IR" "Term expired, unused hours written off"
  Expenses:Security:Incident-Response  33400.00 USD
  Assets:Prepaid:IR-Retainer  -33400.00 USD

Lesen Sie die Geschichte, die die Konten erzählen: 6.600 $ Incident Response zum Ruhigwetter-Satz gekauft, 6.000 $ zum Surge-Satz gekauft, und 33.400 $, die nichts kauften außer der Option anzurufen — der Preis eines überdimensionierten Blocks. Diese Abschreibung ist kein Argument gegen Retainer. Sie ist ein Argument dafür, den nächsten Block aus der Draw-Historie dieses Jahres zu dimensionieren statt aus dem Angebot der Firma, und dafür zu verhandeln, den ungenutzten Rest vor dem Verfall in proaktive Arbeit umzuwandeln.

Eine Monatsabschluss-Checkliste für Retainer-Käufer​

Setzen Sie dies auf die Abschluss-Checkliste für jeden Monat, in dem der Retainer aktiv ist, und die Jahresendversion schreibt sich von selbst:

• Ziehen Sie die Stundenabrechnung der Firma und gleichen Sie sie mit Ihrem vorausbezahlten Saldo ab — Anfangsstunden, gezogene Stunden, Satz, Endstunden — bevor Sie irgendetwas buchen.
• Verbuchen Sie gezogene Stunden als Aufwand in dem Monat, in dem die Arbeit stattfand, und stellen Sie nicht abgerechnete Arbeit zum Monatsende zurück, statt auf die Abrechnung zu warten.
• Halten Sie Nachzahlungen in einem eigenen Unterkonto, damit die Surge-Prämie neben den Draw-Satz-Ausgaben sichtbar bleibt, die sie überstieg.
• Tragen Sie das Verfallsdatum mit einer 90-Tage-Warnung in den Kalender ein: Dann planen Sie die Tabletop-Übung, verhandeln den Übertrag oder dimensionieren die Verlängerung neu — nicht in der Woche, in der die Stunden sterben.
• Teilen Sie bei der Verlängerung die gesamten Vorfallkosten des letzten Jahres (Draw + Nachzahlung + Abschreibung) durch die tatsächlich genutzten Stunden. Dieser Mischsatz, nicht der Draw-Satz aus der Broschüre, ist die Zahl, gegen die der nächste Block antreten muss.

Das Unternehmen, das 60.000 $ für seine 200 Stunden zahlt, und das, das 150.000 $ zahlt, haben unterschiedliche Verträge gekauft — aber sie haben auch unterschiedliche Bücher geführt. Das eine behandelte den Retainer als einen Vermögenswert, den man verwaltet, abgleicht, zieht und aus Belegen heraus verlängert. Das andere verbuchte ihn im Oktober als Aufwand und erlebte die Surge-Rate als Überraschung. Unterschreiben Sie den Retainer, bevor Sie ihn brauchen, buchen Sie ihn als das, was er ist, und lassen Sie die Draw-Historie — nicht das Verkaufsangebot — den Block des nächsten Jahres bestimmen.