Wie wähle ich einen Technikpartner für IT und Infrastruktur aus?

Das Wichtigste auf einen Blick

Betriebsmodell festlegen: Eigenbetrieb oder externer Partner

Externe Unterstützung lohnt vor allem für Systeme, die außerhalb der Geschäftszeiten verfügbar sein müssen oder für die internes Fachwissen fehlt: Server, Netzwerkkomponenten, Firewalls, Backup-Umgebung.

Für die Aufteilung hilft eine Matrix mit zwei Achsen: interne Kompetenz und Ausfallrisiko. Systeme mit hohem Risiko und geringer interner Kompetenz übergeben Sie zuerst.

Installation und Betrieb sind verschiedene Leistungen: Wer eine Anlage errichtet und übergibt, ist Fachbetrieb. Betriebsverantwortung bedeutet dauerhafte Überwachung, dokumentierte Änderungen und Reaktion auf Störungen.

Leistungsbereiche und Nachweise prüfen

Ein Partner sollte die relevanten Bereiche abdecken: Service Desk für den 1. und 2. Level, Monitoring, Patch- und Schwachstellenmanagement, Backup und Rücksicherung, Netzwerk, Firewall, Client-Verwaltung und Cloud-Anbindung.

Zertifikate prüfen Sie in drei Schritten:

Herstellerangaben wie Microsoft- oder Cisco-Partnerstatus sagen wenig über operative Qualität; prüfen Sie sie in den Partnerverzeichnissen der Hersteller. Ein Vor-Ort-Besuch zeigt, ob ein Operations Center tatsächlich besetzt ist.

Servicelevel mit konkreten Werten vereinbaren

Reaktionszeit, Zeit bis zur Arbeitsaufnahme und Wiederherstellungszeit sind drei verschiedene Werte. Eine Reaktionszeit von 15 Minuten bedeutet, dass die Bearbeitung beginnt, nicht dass die Störung behoben ist.

Die Werte sind Beispielwerte für die Leistungsbeschreibung. Ergänzen Sie Eskalationsstufen mit benannten Ansprechpartnern und die Folgen bei Nichterreichung, etwa Service Credits.

Rechenbeispiel: 99,9 Prozent Verfügbarkeit erlauben 365 Tage mal 24 Stunden mal 0,001, also 8,76 Stunden Ausfall im Jahr. Legen Sie je System fest, welcher Wert vertretbar ist.

Klären Sie auch die Ersatzteilhaltung: Welche Komponenten lagert der Partner ein und wer trägt die Kosten?

Sicherheitsanforderungen und Datenrückgabe regeln

Der BSI-Mindeststandard zur Nutzung externer Cloud-Dienste richtet sich an die Bundesverwaltung, ist für privatwirtschaftliche Auftraggeber aber nicht verpflichtend. Als Prüfraster taugt er dennoch: Er gliedert die Anforderungen in Planung, Beschaffung, Einsatz und Beendigung, wobei die Beschaffungsphase für die Partnerauswahl maßgeblich ist. Danach fordern Sie Zugriffsschutz, Verschlüsselung, Protokollierung und Meldepflichten bei Sicherheitsvorfällen bereits in der Leistungsbeschreibung ein (Anforderungen der Beschaffungsphase).

Als Nachweis dient ein Prüfbericht nach dem Cloud Computing Compliance Criteria Catalogue (C5) vom Typ 2. Verlangen Sie einen aktuellen Bericht und prüfen Sie, ob er den beauftragten Dienst abdeckt. 04 betrifft die Notfallfähigkeit: Klären Sie, ob der Dienst in Krisen weiter benötigt wird und welche Wiederanlaufzeiten gelten. 07 verlangt Regelungen zu Datenrückgabe und Datenlöschung bei Beendigung.

Halten Sie analog fest, binnen welcher Frist Sie Zugangsdaten, Dokumentation und Lizenzen zurückerhalten.

Kosten und Vertragslaufzeit einordnen

Preise hängen an wenigen Faktoren: Zahl der Systeme und Arbeitsplätze, Standorte, Servicezeiten, Reaktionszeiten, Vor-Ort-Service und Ersatzteilbevorratung. Verlangen Sie Angebote, die Pauschale und Zusatzleistungen trennen, samt Stundensätzen für Arbeiten außerhalb des Pauschalentgelts.

Rechnen Sie den Jahresbetrag aus Monatspauschale mal 12, dem einmaligen Aufwand für Bestandsaufnahme und Übergabe sowie erwarteten Zusatzstunden. Achten Sie auf die Angabe netto oder brutto. Die Erstlaufzeit sollte den einmaligen Aufwand tragen, die Kündigungsfrist kurz bleiben.

Häufige Fragen

Welche Zertifikate sind entscheidend?

Ein ISO-27001-Zertifikat einer akkreditierten Stelle mit passendem Geltungsbereich, bei Cloud-Diensten zusätzlich ein C5-Bericht vom Typ 2. Kein Zertifikat ersetzt Referenzen und klare Servicelevel.

Wie viele Angebote sollte ich einholen?

Mindestens drei, alle auf Basis derselben Leistungsbeschreibung und derselben Prioritätsklassen. Nur so lassen sich Pauschalen und Zusatzleistungen vergleichen.

Wie prüfe ich Referenzen konkret?

Bitten Sie um zwei bis drei Kunden mit vergleichbarer Systemlandschaft und fragen Sie nach der Reaktionszeit im letzten Ausfall, unerwarteten Zusatzkosten und dem Ablauf der Übergabe.

Wie lange sollte der Vertrag laufen?

So lange, dass sich Bestandsaufnahme und Übergabe tragen. Vereinbaren Sie schon bei Vertragsbeginn, wie die Übergabe an einen anderen Dienstleister abläuft.