Jens FischerIn der Nacht vom 24. auf den 25. Oktober 2026 drehen Millionen Deutsche ihre Uhren zurück – und schlafen eine Stunde länger. Für Unternehmen, deren Systeme automatisiert in der Nacht laufen, kann diese eine Stunde dagegen teuer werden: Rechnungen werden doppelt verschickt, Backups überschreiben sich gegenseitig, Bankaufträge laufen zweimal durch. Der Auslöser liegt tief im Maschinenraum der IT-Infrastruktur – und betrifft mehr Betriebe, als deren Geschäftsführer vermuten. Dabei sind die Risiken bekannt, die Lösungen sind technisch ausgereift – und die verbleibende Zeit bis zum 25. Oktober reicht noch für eine gezielte Prüfung.
Die Stunde, die Computersysteme aus dem Takt bringt
Am 25. Oktober 2026 wird um 3:00 Uhr die Uhr auf 2:00 Uhr zurückgestellt. Deutschland wechselt von der Mitteleuropäischen Sommerzeit (MESZ) zur Mitteleuropäischen Zeit (MEZ). Für Menschen bedeutet das eine längere Nacht. Für automatisierte IT-Systeme bedeutet es: Die Stunde zwischen 2:00 und 3:00 Uhr existiert zweimal hintereinander.
Wenn ein automatisierter Prozess – ein sogenannter Cron-Job oder eine Task-Scheduler-Aufgabe – um 2:30 Uhr ausgeführt werden soll, läuft er in dieser Nacht potenziell zweimal ab: einmal um 2:30 Uhr MESZ und einmal, eine Stunde später, um 2:30 Uhr MEZ. Das System erkennt das nicht als Fehler, weil beide Ausführungen aus seiner Perspektive zur korrekten Zeit stattfinden. Nur der Schaden ist real.
Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gehört die Verwaltung von Zeitzonen und Systemzeiten zu den klassischen Schwachstellen in der IT-Infrastruktur von Unternehmen. Das IT-Grundschutz-Kompendium empfiehlt seit Jahren, kritische Systeme auf UTC-Basis zu betreiben, um Fehler durch Zeitzonenübergänge zu vermeiden. Viele mittelständische Unternehmen haben diese Empfehlung jedoch noch nicht umgesetzt – mit vorhersehbaren Folgen zur Winterzeit.
Was IT-Berater seit Jahren wissen – und Geschäftsführer oft nicht
Erfahrene IT-Spezialisten bereiten ihre Unternehmenskunden regelmäßig auf die Herbst-Zeitumstellung vor. Denn die Oktober-Umstellung ist tückischer als jene im März: Wenn die Uhren im Frühling vorgestellt werden, entfällt eine Stunde – ein Cron-Job wird schlicht nicht ausgeführt, und der Fehler fällt auf. Wenn die Uhren im Herbst zurückgestellt werden, kommt eine Stunde hinzu, und ein Prozess kann sich wiederholen, ohne dass irgendjemand eine Fehlermeldung sieht.
Diese stille Wiederholung ist das eigentliche Problem. Wie die DEV Community in einer Analyse von Produktionssystemen dokumentiert, führen Zeitzone-Bugs selten zu Abstürzen – sie brechen still Abläufe und erzeugen falsche Datensätze, die erst Stunden oder Tage später auffallen. In dieser Zeit können Kunden bereits Zahlungen geleistet, Stornierungen eingereicht oder Regressansprüche formuliert haben. Besonders betroffen sind:
- Automatisierte Rechnungsläufe und Stapelverarbeitungen im ERP-System
- Cron-Jobs für Backup, Reporting und Datenbankbereinigung mit nächtlichen Ausführungsfenstern
- E-Commerce-Plattformen mit zeitgesteuerten Preisaktionen oder Bestellbestätigungen
- Bankschnittstellen und SEPA-Übertragungen, die in der Nacht verarbeitet werden
- Datenbanken, die Timestamps in lokaler Zeit statt UTC speichern – was bei späteren Revisionen zu Lücken oder Duplikaten führt
Erschwerend kommt hinzu, dass viele betroffene Unternehmen ihre Systeme seit Jahren nicht auf DST-Tauglichkeit geprüft haben. Solange alles läuft, besteht kein Anlass zur Kontrolle – bis zur ersten Herbst-Zeitumstellung, bei der ein Prozess zweimal feuert.
Ein weiteres Risiko betrifft Windows Task Scheduler: Das Microsoft-eigene Planungstool behandelt Zeitumstellungen historisch auf Basis der lokalen Systemzeit, was zur doppelten Ausführung führen kann – ähnlich wie bei dem Microsoft Outlook-Ausfall im April 2026, der Unternehmen an ihre IT-Sicherheitsgrenzen brachte. Wer auf Microsoft-Infrastruktur setzt und keine UTC-Konfiguration vorgenommen hat, sollte die Nacht des 25. Oktober nicht dem Zufall überlassen.
Wenn der Fehler entdeckt wird, ist das Geld schon weg
Nehmen Sie den konkreten Fall einer mittelständischen Marketingagentur aus Düsseldorf mit 23 Mitarbeitenden und 120 Stammkunden. Das Unternehmen betreibt ein ERP-System aus dem Jahr 2018, das nächtliche Rechnungsläufe um 2:30 Uhr ausführt – gespeichert in lokaler Systemzeit. In der Nacht vom 24. auf den 25. Oktober 2026 läuft der Rechnungsprozess zweimal durch:
Erste Ausführung um 2:30 Uhr MESZ: 47 fällige Monatsrechnungen werden erstellt und per E-Mail versendet. Zweite Ausführung um 2:30 Uhr MEZ, eine Stunde später: Derselbe Prozess startet erneut. Weitere 47 Rechnungen mit identischem Betrag und identischer Rechnungsnummer laufen aus dem System heraus.
Am Morgen des 25. Oktober haben 47 Kunden jeweils zwei Rechnungen für denselben Monat im Postfach. Der Schaden ist unmittelbar: Eine Vollzeit-Buchhaltungskraft benötigt 2 bis 3 Werktage, um alle Stornierungen manuell zu bearbeiten – das entspricht internen Kosten von 600 bis 1.200 Euro. Ein externer IT-Berater wird für eine Notfallprüfung hinzugezogen: 4 bis 6 Stunden Einsatz, Kosten 400 bis 900 Euro. Insgesamt entstehen Mehrkosten von 1.000 bis 2.100 Euro – zuzüglich des schwerer zu beziffernden Reputationsschadens.
Die Wenn-dann-Regel für Unternehmen lautet: Wenn Ihr System automatisch zwischen 0:00 und 3:59 Uhr agiert und nicht auf UTC basiert, ist das Risiko einer doppelten Ausführung am 25. Oktober 2026 hoch. Je höher der Transaktionswert pro Buchungsvorgang, desto größer der potenzielle Schaden. Bei einer E-Commerce-Plattform mit 200 Nachtbestellungen im Durchschnitt und einem Warenkorbwert von 75 Euro wären im Worst Case 15.000 Euro in falschen Buchungseinträgen – die alle manuell korrigiert werden müssen.
Welche Systeme jetzt auf dem Prüfstand stehen sollten
Nicht jedes Unternehmen trägt dasselbe Risiko. Ein IT-Berater bewertet die Gefährdungslage typischerweise anhand von drei Kriterien: Laufzeiten der automatisierten Prozesse, Zeitzonenkonfiguration der Systeme und Alter der eingesetzten Software.
Hohes Risiko – sofortiger Handlungsbedarf vor dem 25. Oktober: Systeme mit geplanten Prozessen zwischen 0:00 und 4:00 Uhr, gespeichert in lokaler Zeit; ERP- oder Buchungssysteme vor Baujahr 2016 ohne UTC-Konfiguration; Eigenentwicklungen und Legacy-Software ohne dokumentierten DST-Test.
Mittleres Risiko – Überprüfung empfohlen: Cloud-Systeme, bei denen die Zeitzone nicht explizit auf UTC gesetzt wurde; externe Schnittstellen zu Partnern in anderen Zeitzonen; Anwendungen, die Windows Task Scheduler ohne UTC-Offset nutzen.
Geringes Risiko: Moderne SaaS-Plattformen, die explizit UTC verwenden und regelmäßige DST-Tests dokumentieren; Systeme mit automatisierten Prozessen ausschließlich in den Geschäftszeiten (9:00 bis 18:00 Uhr), fernab der kritischen Zone.
Eine systematische IT-Prüfung durch einen Fachberater dauert typischerweise eine halbe bis eine Tagesleistung (4 bis 8 Stunden), Kosten zwischen 350 und 700 Euro – abhängig von Systemkomplexität und Anzahl der Schnittstellen. Diese Investition ist in nahezu jedem Fall günstiger als die Schadensbeseitigung nach einer fehlerhaften Doppelverarbeitung.
Was Unternehmen jetzt konkret tun können
IT-Spezialisten empfehlen eine abgestufte Vorgehensweise je nach verbleibender Zeit und vorhandenen Ressourcen.
Bis 20. Oktober 2026 – aktive Vorbereitung möglich: Alle Cron-Jobs, Task-Scheduler-Einträge und automatisierten Prozesse inventarisieren und auf Laufzeiten zwischen 0:00 und 4:00 Uhr prüfen. Kritische Prozesse auf Zeitfenster nach 5:00 Uhr verlegen – außerhalb der gefährdeten Zone. UTC-Konfiguration auf Datenbankservern und Applikationsservern überprüfen und gegebenenfalls umstellen. DST-Testlauf in einer Staging-Umgebung simulieren, um das Verhalten aller geplanten Prozesse zu beobachten.
Ab 21. Oktober – kurzfristige Maßnahmen: Falls keine UTC-Migration mehr möglich ist, kritische Prozesse in der Nacht des 24./25. Oktober manuell deaktivieren und am Morgen des 25. Oktober manuell anstoßen. Eine Duplikat-Erkennung im Rechnungssystem aktivieren: Prüfen, ob ein Eintrag für denselben Zeitraum bereits existiert, bevor ein neuer angelegt wird.
Ohne Inhouse-Ressourcen: Wer keine eigene IT-Abteilung hat oder wessen interne Kapazitäten für eine Systemprüfung dieser Art fehlen, sollte kurzfristig einen externen IT-Berater hinzuziehen. Plattformen wie ExpertZoom verbinden Unternehmen mit verifizierten IT-Spezialisten, die solche DST-Audits zeitnah übernehmen können – auch auf kurzfristiger Basis.
Das Bundesamt für Sicherheit in der Informationstechnik stellt im BSI IT-Grundschutz-Kompendium umfassende Checklisten für den sicheren IT-Betrieb bereit, einschließlich Empfehlungen zur Zeitzonenverwaltung in Produktivsystemen.
Der 25. Oktober 2026 ist in vier Wochen. Für Systeme, die in der Nacht automatisch laufen, bleibt nicht viel Zeit – aber noch genug, um den Schaden zu verhindern.
Hinweis: Dieser Artikel dient der allgemeinen Information. Für eine individuelle Einschätzung Ihrer IT-Infrastruktur empfehlen wir die Beratung durch einen zertifizierten IT-Fachmann.
