Vier Modelle der IT-Betreuung
„IT-Outsourcing“ kann sehr unterschiedliche Vereinbarungen bedeuten. Sie unterscheiden sich vor allem darin, wer die Systeme überwacht, wer bei einem Ausfall eingreift und wer für das Ergebnis verantwortlich ist:
| Modell | Wer überwacht die Systeme | Wer greift bei Ausfall ein | Typischer Einsatz |
|---|---|---|---|
| Vollständig gemanagte IT (MSP) | Der Dienstleister, laufend | Der Dienstleister, laut SLA | Unternehmen ohne eigene IT, die einen verlässlichen Betrieb brauchen |
| Co-Managed IT | Dienstleister und Ihr IT-Mitarbeiter | Wer in der Verantwortungsmatrix benannt ist | Unternehmen mit einem Systemadministrator oder kleinem Team |
| Support nach Bedarf (Break-Fix) | Niemand | Ein Techniker, sobald er Zeit hat | Sehr kleine, unkritische Cloud-Umgebungen |
| Eigenes IT-Team | Ihre Mitarbeitenden | Ihre Mitarbeitenden, wenn verfügbar | Größere Unternehmen mit viel spezifischer Arbeit vor Ort |
Kein Modell ist für alle das beste. Der entscheidende Unterschied liegt zwischen vorausschauender und reaktiver Arbeit: Ein Managed Service Provider wird dafür bezahlt, dass die Systeme laufen, ein Techniker nach Bedarf dafür, dass er sie repariert, wenn sie stehen. Beim ersten liegt die Vermeidung von Störungen im Interesse des Dienstleisters, beim zweiten nicht.
Was über das richtige Modell entscheidet
- Standorte und Länder. Ein Büro mit Cloud-Umgebung ist eine ganz andere Aufgabe als Lager und Niederlassungen in mehreren Ländern, in denen Netzwerk und Identitäten einheitlich verwaltet werden müssen und jemand auch vor Ort erscheinen muss.
- Kritikalität und Supportzeiten. Steht bei einem Ausfall die Produktion oder Logistik still, brauchen Sie laufende Überwachung, garantierte Lösungszeiten und eine klare Abdeckung außerhalb der Geschäftszeiten. Support nach Bedarf leistet das nicht.
- Eigenes Personal. Ohne eigene IT ist vollständig gemanagte IT meist die richtige Wahl. Mit nur einem Systemadministrator ist die Abhängigkeit von einer Person das größte Risiko, deshalb bewährt sich Co-Managed IT: Ihr Kollege bleibt, der Partner bringt Tiefe, Sicherheit und Vertretung.
- Regulierung. Einrichtungen unter NIS2, Finanzunternehmen unter DORA und alle, die viele personenbezogene Daten verarbeiten, brauchen einen Dienstleister, der seine Sicherheitsmaßnahmen nachweisen und vertraglich festhalten kann.
Die Kosten der einzelnen Modelle vergleichen Sie getrennt mit dem Kostenrechner für Managed IT Services. Dieser Leitfaden konzentriert sich auf die Wahl des Modells und die Qualität des Anbieters.
Was ein guter Managed Service Provider leisten muss
Wer einen IT-Dienstleister finden will, sollte Anbieter nach Belegen bewerten, nicht nach Versprechen:
- SLA mit Reaktions- und Lösungszeit. Die Reaktionszeit sagt nur, wann sich jemand meldet. Entscheidend ist, wie schnell das Problem behoben ist, je Priorität und mit klaren Folgen bei Nichteinhaltung. Bevor Sie einen Verfügbarkeitsprozentsatz fordern, prüfen Sie mit dem SLA-Rechner, wie viel Ausfallzeit er tatsächlich erlaubt.
- Sicherheitsbasis als Standard. MFA für alle Konten, EDR auf Geräten und Servern, regelmäßiges Patchen, Datensicherungen mit regelmäßigen Wiederherstellungstests und laufende Überwachung. Fragen Sie, wann zuletzt eine Wiederherstellung getestet wurde.
- Reporting. Ein monatlicher Überblick über Tickets, SLA-Erfüllung, Patch-Stand und Empfehlungen zeigt, ob der Dienstleister Ihre Umgebung wirklich betreut.
- Eskalation und Know-how. Eine benannte Ansprechperson, eine technische Leitung und Partnerschaften mit den Herstellern, die Sie einsetzen, etwa Microsoft und Fortinet.
Cybersicherheit ist kein reines Technikthema, sondern Verantwortung der Geschäftsleitung. Ein guter Partner hilft Ihnen, Risiken zu verstehen und darüber zu entscheiden, statt nur Werkzeuge zu installieren. Dasselbe gilt für neue Technologien: Bevor Sie KI-Werkzeuge einführen, sollte der Partner Zugriffsrechte, Daten und Sicherheit prüfen, denn solche Werkzeuge sehen alles, worauf ein Benutzer Zugriff hat.
Eigentum, IT-Wartungsvertrag und Regulierung
Der häufigste Fehler beim IT-Outsourcing ist der Kontrollverlust über die eigene Umgebung. Admin-Konten, Passwörter, Domains, Lizenzen und Cloud-Tenants müssen auf Ihr Unternehmen laufen, den Notfallzugang verwahren Sie selbst. Die Dokumentation der Umgebung (Inventar, Netzwerkpläne, Konfigurationen) muss Ihnen jederzeit zugänglich sein, nicht erst bei Vertragsende.
Ein MSP hat Zugriff auf E-Mails, Dateien und Systeme mit personenbezogenen Daten und ist daher Auftragsverarbeiter im Sinne der DSGVO. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO muss unter anderem festlegen, dass der Dienstleister weitere Auftragsverarbeiter nur mit Ihrer schriftlichen Genehmigung einsetzt und die Daten nach Ende der Leistungen nach Ihrer Wahl zurückgibt oder löscht.
Die NIS2-Richtlinie (EU) 2022/2555 zählt die Sicherheit der Lieferkette, einschließlich der Beziehungen zu direkten Anbietern und Diensteanbietern, zu den verpflichtenden Risikomanagementmaßnahmen und verlangt, die Qualität der Cybersicherheitspraktiken der Anbieter zu berücksichtigen. Die Richtlinie hält fest, dass Managed Security Service Provider selbst Ziel von Cyberangriffen waren und wegen ihrer engen Einbindung in den Betrieb ihrer Kunden ein besonderes Risiko darstellen, und fordert bei ihrer Auswahl erhöhte Sorgfalt. Zudem führt sie Managed Service Provider als Sektor mit hoher Kritikalität (Anhang I), mittlere und große Anbieter fallen daher in der Regel selbst unter NIS2 bzw. die nationale Umsetzung in Deutschland oder Österreich.
Der IT-Wartungsvertrag sollte außerdem den Leistungsumfang und gesondert abgerechnete Leistungen, die Kündigungsfrist, einen Exit-Plan und die Pflicht des Dienstleisters regeln, den Wechsel zu einem anderen Anbieter zu unterstützen.
Standorte in mehreren Ländern
Viele Unternehmen aus Deutschland und Österreich haben Niederlassungen in Slowenien, Kroatien, Serbien oder anderswo auf dem Balkan. Die entscheidende Frage lautet dann: Wer kommt, wenn im Lager ein Switch ausfällt? Verlangen Sie benannte Ausführende in jedem Land, Support in der Landessprache und eine einheitliche Verwaltung von Netzwerk und Identitäten von einer Stelle aus.
Humanfrog betreut zum Beispiel das Netzwerk eines Unternehmens mit Standorten in allen Balkanländern: Das Fortinet-Netzwerk mit SD-WAN ist an einen zentralen Punkt angebunden, den wir betreiben, sodass Überwachung, Sicherheitsrichtlinien und Änderungen an allen Standorten einheitlich sind. Für das Logistikunternehmen Alfa SP, das in Slowenien, Kroatien und Serbien tätig ist, betreuen wir seit fünf Jahren die IT-Umgebung mit 40 aktiven Benutzern an sechs Standorten: Wir haben E-Mail und Dokumente zu Microsoft 365 migriert, Zugriffsverwaltung, automatische Datensicherung und zentrale Überwachung eingerichtet und die Server in die Cloud verlagert.
Wenn Sie eine Niederlassung auf dem Balkan eröffnen, lesen Sie auch den Leitfaden zur IT für Niederlassungen auf dem Balkan.
IT-Dienstleister wechseln ohne Ausfälle
Wenn Sie mit Ihrem aktuellen Dienstleister unzufrieden sind, kündigen Sie erst, wenn Sie eine Bestandsaufnahme, alle Admin-Zugänge und die Dokumentation haben. Planen Sie den Wechsel innerhalb der Kündigungsfrist, mit Überschneidung:
- Tage 1–30: Bestandsaufnahme, Übernahme der Zugänge auf den Namen des Unternehmens, Einrichtung der Überwachung und eine Testwiederherstellung aus dem Backup.
- Tage 31–60: Der neue Dienstleister übernimmt Anwendersupport und Überwachung und schließt die dringendsten Sicherheitslücken.
- Tage 61–90: Alte Zugänge werden entfernt, der Wiederherstellungsplan getestet und die Verantwortungsmatrix bestätigt. Erst dann endet die Zusammenarbeit mit dem bisherigen Dienstleister.
Warnsignale bei der Auswahl: Der Anbieter will Konten auf seinen Namen registrieren, das SLA schweigt zur Lösungszeit, es gibt keine Dokumentation, Einsätze vor Ort in anderen Ländern erfolgen „nach Absprache“, oder ein niedriger Preis wird genannt, bevor jemand Ihre Umgebung kennt.
Das Tool oben erstellt eine Empfehlung, eine gewichtete Checkliste und einen Wechselplan für Ihren Fall. Wenn Sie Ihre IT-Umgebung und das passende Modell der IT-Betreuung mit einem Experten besprechen möchten, sprechen Sie mit uns.
