Eine Managed IT für eine regulierte Branche — Treuhand, Arztpraxis, Anwalts- oder Notariatskanzlei — muss sieben Dinge garantieren, die eine Standard-Managed-IT nicht immer garantiert: kontrolliertes Schweizer Hosting, persönliche und protokollierte Zugriffe, verstärkte vertragliche Vertraulichkeit, verschlüsselte Backups, dokumentiertes Vorgehen bei Verletzungen, vollständige Reversibilität und eine bei Kontrollen belastbare Dokumentation. Hier sind diese sieben Anforderungen — und die Fragen, mit denen Sie jede vor der Unterschrift überprüfen.
1. Schweizer Hosting, ohne versteckte Ausnahme
Für Daten unter Berufsgeheimnis muss der Schweizer Standort die Produktion, die Backups und die Werkzeuge des Anbieters (Überwachung, Ticketing, Fernwartung) abdecken — den letzten Punkt prüft fast niemand. Amerikanische Cloud-Anbieter unterliegen dem CLOUD Act, wo auch immer die Server physisch stehen — ein Punkt, den unser Artikel über die Schweizer Cloud vertieft. Zu stellende Frage: «Listen Sie mir schriftlich alle Orte auf, an denen meine Daten und Ihre Werkzeuge gehostet werden.»
2. Persönliche, protokollierte, entziehbare Zugriffe
Jeder Zugriff des Anbieters auf Ihre Systeme muss individuell sein (kein geteiltes «Admin»-Konto), durch MFA geschützt, protokolliert und sofort entziehbar. Bei einer Kontrolle oder einem Vorfall müssen Sie sagen können, wer wann auf was zugegriffen hat. Zu stellende Frage: «Können Sie mir das Zugriffsprotokoll Ihrer Techniker auf meine Systeme des letzten Monats liefern?»
3. Verstärkte vertragliche Vertraulichkeit
Die Standard-Vertraulichkeitsklausel eines IT-Vertrags genügt nicht, wenn die Verletzung des Berufsgeheimnisses eine Straftat ist. Der Vertrag muss die Vertraulichkeitspflicht ausdrücklich auf die geheimnisgeschützten Daten ausdehnen, jeden Mitarbeitenden des Anbieters individuell binden und das Vertragsende überdauern. Zu stellende Frage: «Erwähnt Ihre Vertraulichkeitsklausel das Berufsgeheimnis, dem ich unterliege?»
4. Verschlüsselte und getestete Backups
Backups enthalten dieselben Geheimnisse wie die Produktion — Kundendossiers, Patientendaten, Urkunden —, verlassen aber Ihre Infrastruktur. Sie müssen vor dem Verlassen verschlüsselt, in der Schweiz gespeichert und durch regelmässige dokumentierte Wiederherstellungen getestet werden. Zu stellende Frage: «Wann haben Sie zuletzt eine vollständige Wiederherstellung getestet, und können Sie mir den Bericht zeigen?»
5. Dokumentiertes Vorgehen bei Verletzungen
Das DSG verlangt die Meldung an den EDÖB «so rasch als möglich» bei Verletzungen mit hohem Risiko — und für eine regulierte Branche ist fast jedes Leck ein hohes Risiko. Ihr Anbieter muss sich vertraglich verpflichten, Sie unverzüglich zu alarmieren, mit den für Ihre Bewertung nötigen Fakten. Unser DSG-Leitfaden 2026 beschreibt dieses Verfahren. Zu stellende Frage: «Beschreiben Sie mir Ihr genaues Vorgehen, wenn Sie an einem Samstagabend einen Einbruch in meine Systeme entdecken.»
6. Vollständige Reversibilität
Ein Anbieterwechsel darf Ihre Daten nie gefährden und Sie nie zur Geisel machen. Der Vertrag muss die Rückgabe aller Daten in nutzbarem Format, die Übergabe der Passwörter und der Dokumentation sowie die zertifizierte Vernichtung der beim Anbieter verbleibenden Kopien garantieren. Die genauen Klauseln stehen in unserem Leitfaden zu Managed-IT-Verträgen.
7. Belastbare Dokumentation
Bei einer Kontrolle, einem Streitfall oder einem Schadenereignis müssen Sie Ihre Sorgfalt belegen können: Systeminventar, Zugriffsregister, Auftragsbearbeitungsverträge, Berichte der Wiederherstellungstests, Monatsberichte. Ein Anbieter für regulierte Branchen erstellt diese Dokumentation laufend, ohne dass Sie sie einfordern müssen. Sie verwandelt «wir passen auf» in einen Beweis.
Wie Sie diese Liste nutzen
Diese sieben Anforderungen dienen als Ausschreibungsraster: Stellen Sie die sieben Fragen schriftlich an jeden Kandidaten und vergleichen Sie die Antworten. Ein Anbieter mit Erfahrung in regulierten Branchen antwortet präzise und prompt; vage oder mündliche Antworten scheiden aus. Ergänzen Sie mit den allgemeinen Kriterien unseres Leitfadens Wie Sie Ihren IT-Dienstleister auswählen.
Bei AlpenData ist die Managed IT regulierter Branchen ein zentraler Schwerpunkt von AlpenCare — bis hin zum Sovereign-Paket, das die Abhängigkeiten von ausländischen Clouds reduziert. Wir arbeiten namentlich mit Treuhändern, Arztpraxen und Anwalts- und Notariatskanzleien in der Westschweiz.
Häufige Fragen
Was ist eine «regulierte» Managed IT?
Eine Managed IT für Unternehmen mit verschärften gesetzlichen Pflichten für ihre Daten: Berufsgeheimnis (Anwälte, Notare, Ärzte, Treuhänder), Bankgeheimnis oder branchenspezifische Anforderungen. Über das für alle geltende DSG hinaus muss der Anbieter kontrolliertes Hosting, protokollierte Zugriffe, verstärkte Vertraulichkeit und eine bei Kontrollen belastbare Dokumentation garantieren.
Darf eine Arztpraxis ihre Informatik auslagern?
Ja, und die meisten tun es: Die elektronische Patientenakte erfordert Kompetenzen, die kaum eine Praxis intern hat. Die Bedingung: ein Anbieter, der den Rahmen des Arztgeheimnisses respektiert — Gesundheitsdaten in der Schweiz gehostet, persönliche und protokollierte Zugriffe, schriftliche Vertraulichkeitsverpflichtung und für den medizinischen Kontext sensibilisierte Techniker.
Verbietet das Berufsgeheimnis amerikanische Clouds?
Nicht formell, aber es verkompliziert sie erheblich: Amerikanische Anbieter unterliegen dem CLOUD Act und können vertraglich nicht garantieren, dass US-Behörden nie auf die Daten zugreifen. Für Daten unter Berufsgeheimnis ist Schweizer Hosting der Weg des geringsten Risikos, empfohlen von den meisten Berufsverbänden.
Was muss ein IT-Dienstleister für eine regulierte Branche protokollieren?
Wer wann auf was zugegriffen hat: Verbindungen zu Servern und sensiblen Daten, Ferneingriffe auf Arbeitsplätzen, Änderungen von Zugriffsrechten. Diese Protokolle schützen beide Seiten: Sie belegen Ihre Sorgfalt bei einer Kontrolle und ermöglichen die Untersuchung jedes Vorfalls. Ein Anbieter, der seine eigenen Zugriffe nicht protokolliert, ist ein blinder Fleck Ihrer Konformität.
Was kostet eine Managed IT für eine regulierte Branche?
Rechnen Sie mit dem oberen Ende der Standardspanne, also 100 bis 150 CHF pro Arbeitsplatz und Monat: Schweizer Hosting, verschlüsselte Backups, Nachvollziehbarkeit und verstärkte Dokumentation erfordern mehr Sorgfalt, nicht unbedingt mehr Technologie. Der Preisunterschied zur Basis-Managed-IT ist klein im Verhältnis zum abgedeckten Risiko — die Verletzung des Berufsgeheimnisses ist eine Straftat.
Geschrieben von
David Cunha
Mitgründer · Technische Leitung, AlpenData
Als Informatikingenieur mit über 10 Jahren Erfahrung in der Verwaltung von Systemen, Netzwerken und Infrastrukturen begleitet David Schweizer KMU bei IT, Sicherheit und Konformität.
Mehr über AlpenData →