Mehrere IT-Dienstleister im KMU steuern

Um mehrere IT-Dienstleister in einem KMU zu steuern, braucht es drei Dinge: eine schriftliche Landkarte, wer wofür verantwortlich ist, einen Hauptdienstleister, der die Gesamtverantwortung für die Infrastruktur trägt, und eine regelmässige Überprüfung der Zugriffe und Verträge. Ohne diese drei Elemente wird jeder Vorfall zum Schwarzer-Peter-Spiel, und niemand hat den Überblick über Ihr Informationssystem. So strukturieren Sie diese Steuerung, auch ohne internen Informatiker.

Warum KMU bei mehreren Dienstleistern landen

Kaum ein KMU hat sich bewusst für fünf IT-Dienstleister entschieden. Die Situation entsteht durch Anhäufung: Der Anbieter der Branchensoftware stammt aus der Gründungszeit, der Telefoninstallateur kam mit dem Umzug, die Webagentur betreut die Website, ein Selbstständiger kümmert sich «seit jeher» um die Arbeitsplätze, und ein Wiederverkäufer hat den Server mit Wartungsvertrag verkauft.

Jeder ist in seinem Bereich vielleicht kompetent. Das Problem ist nicht die Kompetenz, sondern der fehlende Überblick: Niemand kennt die komplette Infrastruktur, niemand prüft, ob die Backups alles abdecken, und niemand fühlt sich verantwortlich, wenn ein Problem an der Grenze zweier Bereiche liegt.

Die drei Risiken einer ungesteuerten Multi-Dienstleister-IT

Das Verantwortungs-Pingpong

Die Branchensoftware ist langsam. Der Softwareanbieter beschuldigt das Netzwerk, der Informatiker den Server, der Serververkäufer die Software. Währenddessen warten Ihre Teams. Ohne schriftliche Bereiche und ohne designierten Schiedsrichter wiederholt sich dieses Szenario bei jedem bereichsübergreifenden Vorfall — und genau diese dauern am längsten.

Die Abdeckungslücken

Jeder Dienstleister nimmt an, dass ein anderer erledigt, was nicht in seinem Vertrag steht. Typisches Ergebnis: Niemand sichert den Arbeitsplatz der Buchhaltung, niemand aktualisiert die vor fünf Jahren installierte Firewall, niemand deaktiviert die Konten ausgetretener Mitarbeitender. Diese Lücken sieht man im Alltag nicht; man entdeckt sie am Tag des Vorfalls.

Die Wucherung der Zugriffe

Jeder Beteiligte sammelt Zugriffe an: VPN, Administratorkonten, per E-Mail geteilte Passwörter. Über die Jahre weiss niemand mehr, wer wo hineinkommt. Das ist ein grosses Sicherheitsrisiko — unser Cybersicherheits-Leitfaden für KMU zählt unkontrollierte Zugriffe zu den wichtigsten Einbruchsvektoren — und ein Datenschutzproblem, da diese Dienstleister Ihre Auftragsbearbeiter im Sinne des DSG sind.

Die Steuerungsmethode in vier Praktiken

1. Kartieren: wer ist wofür verantwortlich

Erstellen Sie ein einfaches Dokument, das jeden Bereich auflistet (Arbeitsplätze, Server, Netzwerk, E-Mail, Branchensoftware, Telefonie, Website, Backups) mit jeweils: dem verantwortlichen Dienstleister, dem abdeckenden Vertrag, dem Kontakt und der vereinbarten Reaktionszeit. Eine Seite genügt. Dieses Dokument ist die Basis für alles Weitere — und allein seine Erstellung deckt in der Regel zwei bis drei Abdeckungslücken auf.

2. Einen Hauptdienstleister bestimmen

Ein Beteiligter muss die Verantwortung für die Gesamtinfrastruktur tragen: Er überwacht, erkennt Probleme, koordiniert die anderen Dienstleister bei bereichsübergreifenden Vorfällen und berät Sie bei Abwägungen. Genau das ist die Rolle eines Managed-IT-Vertrags wie AlpenCare: Ihre spezialisierten Dienstleister bleiben an Bord, aber ein einziger Ansprechpartner steht für das Ganze ein. Unser Artikel über Managed IT Services beschreibt diese Rolle im Detail.

3. Die Zugriffe einrahmen

Persönliche Konten für jeden Beteiligten, geringste Berechtigung, MFA-Pflicht, Passwort-Tresor statt E-Mails, und eine jährliche Überprüfung aller externen Zugriffe. Bei Vertragsende gehört der Entzug der Zugriffe zur Austrittsprozedur, ebenso wie die Rückgabe der Dokumentation.

4. Die Jahresrevision institutionalisieren

Prüfen Sie einmal jährlich jeden Vertrag: Entspricht der Umfang noch der Realität? Werden die Reaktionszeiten eingehalten? Ist der Preis marktgerecht? Diese Revision ist der richtige Moment zum Nachverhandeln oder Konsolidieren. Für die Bewertung eines Managed-IT-Vertrags liefert unser Vertragsvergleichs-Leitfaden die vollständige Checkliste.

Konsolidieren oder koordinieren?

Sollte man die Zahl der Dienstleister reduzieren? Nicht unbedingt. Der Anbieter der Branchensoftware und die Webagentur sind in ihrer Spezialität oft unersetzlich. Die Bereiche des laufenden Betriebs hingegen — Arbeitsplätze, Server, Netzwerk, E-Mail, Backups, Sicherheit — profitieren fast immer von der Konsolidierung bei einem einzigen Dienstleister: weniger Schnittstellen, weniger Grauzonen, ein SLA.

Das richtige Modell für die meisten KMU: ein Hauptdienstleister, verantwortlich für Betrieb und Koordination, plus die Fachspezialisten in ihrem Bereich. Wenn Sie bei der Wahl dieses Hauptdienstleisters bei null anfangen, listet unser Leitfaden Wie Sie Ihren IT-Dienstleister auswählen die entscheidenden Kriterien.

Häufige Fragen

Wie viele IT-Dienstleister sollte ein KMU haben?

So wenige wie möglich, und idealerweise einen einzigen Verantwortlichen für den laufenden Betrieb. Ein KMU mit 10 bis 50 Personen arbeitet oft mit 3 bis 5 Dienstleistern (Managed IT, Telefonie, Branchensoftware, Website, Drucker): Das ist beherrschbar, solange einer von ihnen die Gesamtverantwortung für die Infrastruktur trägt und die anderen koordiniert.

Wer soll die IT-Dienstleister koordinieren, wenn es keinen internen IT-Verantwortlichen gibt?

Entweder übernimmt ein Mitglied der Geschäftsleitung diese Rolle mit dediziertem Zeitbudget, oder Sie delegieren sie vertraglich an Ihren Haupt-Dienstleister für Managed IT. Die zweite Option ist meist wirksamer: Der Hauptdienstleister spricht dieselbe technische Sprache wie die anderen und kann Verantwortungsfragen schlichten.

Wie verhindert man, dass sich Dienstleister die Verantwortung für einen Vorfall zuschieben?

Durch schriftliche Dokumentation, wer wofür zuständig ist: ein aktuelles Infrastrukturschema, eine Verantwortungsmatrix pro Bereich (Netzwerk, Arbeitsplätze, Server, Branchensoftware, Telefonie) und eine zentrale Anlaufstelle für Ihre Mitarbeitenden. Ohne diese Dokumentation wird jeder Vorfall an der Grenze zweier Bereiche zum Pingpong.

Sollen alle Dienstleister Administratorzugriffe erhalten?

Nein. Jeder Dienstleister erhält nur die für seinen Bereich nötigen Zugriffe (Prinzip der geringsten Berechtigung), mit persönlichen, nicht geteilten Konten. Zugriffe müssen inventarisiert, mindestens jährlich überprüft und bei Vertragsende sofort entzogen werden. Aktiv gebliebene Konten ehemaliger Dienstleister sind ein klassischer Einstiegspunkt für Angreifer.

Was tun, wenn zwei Dienstleister widersprüchliche Empfehlungen geben?

Das kommt häufig vor und ist das Symptom eines fehlenden technischen Schiedsrichters. Bestimmen Sie einen Referenten (Hauptdienstleister oder unabhängiger Berater), der auf Basis Ihres Interesses entscheidet, nicht des Verkäuferinteresses. Ein unabhängiges Infrastruktur-Audit objektiviert die Debatte zusätzlich mit einer faktischen Bestandsaufnahme.