Wie wähle ich einen Technikpartner für IT und Infrastruktur aus?

Das Wichtigste auf einen Blick

• Ein Technikpartner übernimmt Betriebsverantwortung, nicht nur einzelne Wartungsarbeiten. Prüfen Sie, welche Systeme er rund um die Uhr überwacht und welche Servicezeiten vertraglich zugesichert sind.
• Die Akkreditierung der ausstellenden Zertifizierungsstelle erhöht die Verlässlichkeit eines ISO-27001-Zertifikats. Prüfen Sie diese in der DAkkS-Datenbank.
• Sicherheitsanforderungen gehören vor Vertragsabschluss in die Leistungsbeschreibung. Der BSI-Mindeststandard bietet dafür ein strukturiertes Vorgehen.
• Referenzen und Vor-Ort-Eindrücke sind kein Ersatz für schriftliche Regelungen zu Reaktionszeiten, Eskalation, Prüfrechten und Datenrückgabe.

Grenze zwischen Eigenbetrieb und externem Partner ziehen

Bevor Sie Angebote einholen, sollten Sie festlegen, welche Teile Ihrer IT-Infrastruktur Sie intern betreiben können und wo Unterstützung nötig ist. Ein externer Partner eignet sich besonders für Systeme, die außerhalb der Geschäftszeiten verfügbar sein müssen oder für die internes Fachwissen fehlt. Server, Netzwerke, Firewalls und Backups sind typische Kandidaten. Weniger kritische Systeme wie einzelne Drucker oder lokale Clients können oft weiterhin intern betreut werden.

Eine einfache Matrix hilft bei dieser Entscheidung. Auf der einen Achse steht die interne Kompetenz: hoch oder niedrig. Auf der anderen Achse das Ausfallrisiko für den Geschäftsbetrieb: hoch oder niedrig. Systeme mit hohem Risiko und niedriger interner Kompetenz sollten Sie prioritär an einen externen Partner übergeben. Systeme mit niedrigem Risiko und hoher interner Kompetenz können im Eigenbetrieb bleiben. Bechtle formuliert diesen Gedanken so: Viele Unternehmen geben den Infrastrukturbetrieb wegen Fachkräftemangel und Überlastung interner Teams ab (Partner mit Betriebsverantwortung).

Wichtig ist, die Übergabe nicht als einmaliges Projekt zu sehen. Ein echter Technikpartner übernimmt dauerhaft Verantwortung, dokumentiert Änderungen und reagiert auf Störungen. Wenn Sie nur eine einmalige Installation benötigen, genügt ein Fachbetrieb ohne Betriebsvertrag. Für laufenden Betrieb brauchen Sie jedoch eine andere Vertragsstruktur.

Leistungsbereiche strukturieren: Netzwerk, Server, Clients, Support, Cloud und Sicherheit

Ein Technikpartner sollte mehrere Leistungsbereiche abdecken können. Nur so vermeiden Sie Schnittstellenprobleme zwischen verschiedenen Dienstleistern. Bechtle nennt für den Betrieb von Rechenzentren konkret Service Desk für den 1st und 2nd Level, Remote Management für Server, Netzwerke und Sicherheitskomponenten sowie Installation und Inventarisierung (Managed Datacenter Leistungen). Diese Liste zeigt, wie breit das Spektrum sein kann. Entscheidend ist, dass der Partner die für Sie relevanten Systeme tatsächlich beherrscht.

Für ein mittelständisches Unternehmen mit 50 bis 200 Arbeitsplätzen könnte das bedeuten: Der Partner betreut zwei virtualisierte Server, die Firewall, das WLAN und die Backups. Der Service Desk nimmt Störungsmeldungen entgegen und löst Standardprobleme remote. Vor Ort ist nur selten ein Techniker nötig. Dieses Szenario ist ein Beispiel; Ihre Umgebung kann anders aussehen. Prüfen Sie, welche Systeme der Partner in vergleichbaren Projekten betreut hat.

Scheuen Sie sich nicht, nach konkreten Tools zu fragen. Welches Monitoringsystem nutzt der Anbieter? Werden Patches automatisiert verteilt? Gibt es ein zentrales Ticket-System? Antworten auf diese Fragen zeigen, ob der Partner strukturiert arbeitet. Bechtle beschreibt sein Monitoring als 24/7-Überwachung von IT-Systemkomponenten mit Abgleich gegen Schwellwerte und Weiterleitung von Statusänderungen an die Kunden-IT oder das Operations Center (Systemüberwachung). So eine Beschreibung sollte jeder Anbieter liefern können.

Anbieter prüfen: Referenzen, Zertifikate, Nachweise und Vor-Ort-Besuch

Zertifizierungen sind ein wichtiger Hinweis auf Professionalität, aber kein Beweis für aktuelle Qualität. Ein Anbieter kann ein ISO-27001-Zertifikat vorweisen, dessen ausstellende Stelle nicht akkreditiert ist. Die DAkkS akkreditiert Zertifizierungsstellen für Managementsysteme nach DIN EN ISO/IEC 17021-1, darunter auch für ISO 27001 (Akkreditierung von Zertifizierern). Fragen Sie den Anbieter nach der ausstellenden Zertifizierungsstelle und prüfen Sie deren Akkreditierung in der DAkkS-Datenbank. Achten Sie darauf, dass der Geltungsbereich des Zertifikats Ihre relevanten Systeme abdeckt.

Herstellerzertifizierungen wie Microsoft- oder Cisco-Partnerstatus sind Marketingangaben. Sie belegen, dass der Anbieter Zugang zu bestimmten Ressourcen hat, sagen aber wenig über operative Qualität. Verifizieren Sie solche Angaben über die Partnerverzeichnisse der Hersteller. Bechtle gibt an, nach ISO 27001, ISO 9001, ISAE 3402 und TISAX zertifiziert zu sein. Diese Angabe ist erst durch Einsicht in die Zertifikate unabhängig bestätigt.

Referenzen sind oft aussagekräftiger als Zertifikate. Bitten Sie um zwei bis drei Referenzkunden mit ähnlicher Infrastruktur. Fragen Sie nicht nur nach Zufriedenheit, sondern nach konkreten Problemen: Wie schnell wurde bei einem Ausfall reagiert? Gab es unerwartete Zusatzkosten? Wie lief die Übergabe? Ein Vor-Ort-Besuch beim Anbieter kann zeigen, ob das Operations Center tatsächlich besetzt ist. Bechtle betont die räumliche Nähe durch eine deutschsprachige Service-Managerin oder einen Service-Manager in Ihrer Nähe. Dieses Kriterium sollten Sie bei jedem Anbieter prüfen.

Cloud-Dienste mit dem BSI-Mindeststandard als Orientierungsrahmen bewerten

Für private Unternehmen ist der BSI-Mindeststandard zur Nutzung externer Cloud-Dienste nicht unmittelbar verpflichtend. Er richtet sich an Einrichtungen der Bundesverwaltung. Trotzdem bietet er einen nützlichen Orientierungsrahmen, weil er systematisch aufzeigt, welche Sicherheitsanforderungen in welcher Phase zu prüfen sind. Das BSI hat den Mindeststandard nach § 44 Absatz 1 BSIG erarbeitet und zuletzt im Dezember 2022 auf Version 2.1 aktualisiert (Grundlage BSI-Standard).

Der Standard unterscheidet vier Phasen: Planung, Beschaffung, Einsatz und Beendigung. Für die Auswahl eines Technikpartners ist besonders die Beschaffungsphase relevant. Hier verlangt der Standard, dass Sicherheitsanforderungen bereits in der Leistungsbeschreibung eingefordert werden (Anforderung Beschaffung). Übertragen auf Ihre Situation: Schreiben Sie in die Ausschreibung oder Angebotsanfrage, welche Sicherheitsmaßnahmen der Partner erfüllen muss. Dazu gehören Zugriffsschutz, Verschlüsselung, Protokollierung und Meldepflichten bei Sicherheitsvorfällen.

Der Standard verweist auf den Cloud Computing Compliance Criteria Catalogue (C5) als Prüfschema. Ein C5-Prüfbericht eines Anbieters kann eine wertvolle unabhängige Bewertung sein. Die Sicherheitsnachweise des Anbieters sollten mindestens die angemessene und wirksame Erfüllung der C5-Basiskriterien sowie die aktuelle Dokumentation der Systembeschreibung umfassen. Laut Mindeststandard können diese Nachweise durch die regelmäßige Bereitstellung einer aktuellen C5-Berichterstattung vom Typ 2 erbracht werden. Fragen Sie nach einem solchen aktuellen Bericht und prüfen Sie, ob er den beabsichtigten Dienst abdeckt.

Berücksichtigen Sie auch die Notfallfähigkeit. Die BSI-Anforderung NCD.2.1.04 verlangt, zu bewerten, ob in Notfällen und Krisen weiter auf den Cloud-Dienst zugegriffen werden muss. Für Sie bedeutet das: Kann der Partner im Krisenfall die Systeme wiederherstellen? Gibt es getestete Backup-Rücksicherungen? Diese Fragen gehören in den Vertrag.

Servicelevel und Vertrag: Reaktionszeit, Verfügbarkeit, Eskalation und Ersatzteilhaltung

Ohne klare Servicelevel gibt es keinen belastbaren Betreuungsvertrag. Service Level Agreements (SLA) definieren Reaktionszeiten, Verfügbarkeiten und Eskalationswege. Bechtle übernimmt nach eigener Darstellung rund um die Uhr Verantwortung auf Basis vertraglich vereinbarter Service Levels. Ein solches Versprechen ist nur dann wertvoll, wenn es mit konkreten Zahlen hinterlegt ist. Fragen Sie nach Reaktionszeit nach Störungsmeldung, Zeit bis zur Arbeitsaufnahme und Zeit bis zur Lösung. Diese drei Werte werden oft verwechselt.

Ein Beispiel: Der Anbieter garantiert eine Reaktionszeit von 15 Minuten für kritische Störungen. Das bedeutet nicht, dass das Problem in 15 Minuten gelöst ist. Es bedeutet nur, dass innerhalb von 15 Minuten ein qualifizierter Mitarbeiter mit der Bearbeitung beginnt. Die Lösungszeit hängt von der Störung ab. Lassen Sie sich für jede Prioritätsstufe definieren, was als kritisch gilt und welche Eskalation bei Nichterreichung greift.

Nehmen Sie für ein Rechenbeispiel eine Verfügbarkeit von 99,9 % an. Das erlaubt rechnerisch 8,76 Stunden Ausfall pro Jahr (365 Tage mal 24 Stunden mal 0,001), gerundet 8,8 Stunden. Für einen Online-Shop kann das zu viel, für eine interne Zeiterfassung akzeptabel sein. Legen Sie je System die geschäftlich nötige Verfügbarkeit fest. Die BSI-Anforderung NCD.2.3.03 verlangt für Cloud-Dienste eine mindestens jährliche Beurteilung der Leistungsfähigkeit von Anbieter und Dienst. Diese Pflicht gilt für Bundesbehörden; für private Unternehmen ist ein jährliches Review empfehlenswert.

Ersatzteilhaltung ist ein weiterer Punkt. Wenn ein Server ausfällt, wie schnell ist Ersatzhardware verfügbar? Fragen Sie explizit nach: Welche kritischen Komponenten hält der Partner vor? Gibt es einen Vier-Stunden-Vor-Ort-Service? Wer trägt die Kosten für Ersatzteile? Diese Details entscheiden über die tatsächliche Ausfallzeit.

Übertragbare Betriebsfragen aus dem technischen Gebäudemanagement

Der Instandhaltungsansatz von Gebäudetechnik-Betreibern lässt sich auf IT übertragen. Ein professioneller Betreiber arbeitet herstellerunabhängig, dokumentiert Anlagenzustände und koordiniert Gewerke aus einer Hand. Entscheidend ist die Frage: Übernimmt der Partner die Koordination aller beteiligten Dienstleister oder schiebt er Verantwortung ab?

Stellen Sie sich vor, Ihre IT-Landschaft besteht aus Servern von Dell, Netzwerkkomponenten von Cisco und einer Firewall von Fortinet. Der Technikpartner sollte in der Lage sein, alle drei Hersteller zu betreuen und bei Bedarf direkt mit deren Support zu kommunizieren. Wenn er nur eine Marke beherrscht, entstehen Lücken. Fragen Sie nach seinem Herstellerportfolio und nach Zertifizierungen für die konkret eingesetzten Produkte.

Auch die Übergabedokumentation ist übertragbar. Ein guter Technikpartner erstellt bei Übernahme eine Bestandsaufnahme aller Systeme inklusive Passwörter, Lizenzen und Wartungsverträgen. Diese Dokumentation gehört Ihnen und muss auch nach Vertragsende verfügbar sein. Die BSI-Anforderung NCD.2.2.07 verlangt, Datenrückgabe und Datenlöschung bei Beendigung vertraglich zu regeln. Für die gesamte IT-Betreuung sollten Sie analog festhalten, in welchem Format und innerhalb welcher Frist Sie alle Zugangsdaten und Dokumentationen zurückerhalten.

Notfallplanung und Erreichbarkeit außerhalb der Geschäftszeiten

Störungen treten selten zu Bürozeiten auf. Ein Server fällt um Mitternacht aus oder am Wochenende. Ihr Technikpartner muss dann erreichbar sein. Bechtle erbringt 24x7 IT-Support und Betriebsleistungen mit Schwerpunkt auf IT-Infrastruktur remote aus eigenen Standorten. Prüfen Sie, ob diese Erreichbarkeit auch für Ihre Prioritätsstufen gilt oder nur für ausgewählte Kunden mit teuren Zusatzverträgen.

Definieren Sie einen Eskalationspfad. Wer wird bei einer kritischen Störung alarmiert? Wie schnell ist der diensthabende Techniker einsatzbereit? Gibt es eine Hotline mit echter Person oder nur ein Ticketsystem mit Reaktionszeit am nächsten Werktag? Bechtle leitet Statusänderungen des Monitorings an die Kunden-IT oder das Operations Center weiter. Das setzt voraus, dass im Operations Center rund um die Uhr jemand erreichbar ist. Fragen Sie nach der konkreten Besetzung.

Ein Notfallhandbuch gehört zum Vertrag. Darin steht, welche Systeme in welcher Reihenfolge wiederhergestellt werden. Die BSI-Anforderung NCD.2.1.04 verlangt, die Bedeutung des Cloud-Dienstes in Notfällen zu bewerten. Für Sie bedeutet das: Legen Sie mit dem Partner fest, zuerst die Firewall wiederherzustellen, dann die Server, dann die Clients. Diese Reihenfolge sollte dokumentiert und geübt sein. Ein Notfalltest pro Jahr ist empfehlenswert.

Häufige Fragen

Welche Zertifizierungen sollte ein Technikpartner mindestens haben?

ISO 27001 für Informationssicherheit und ISO 9001 für Qualitätsmanagement sind gängige freiwillige Qualitätsnachweise. Wichtiger als die bloße Existenz ist die Akkreditierung der ausstellenden Zertifizierungsstelle. Die DAkkS akkreditiert solche Stellen nach DIN EN ISO/IEC 17021-1. Prüfen Sie den Geltungsbereich des Zertifikats und lassen Sie sich eine aktuelle Kopie geben. Herstellerzertifizierungen sind zusätzlich hilfreich, aber kein Ersatz.

Wie lange sollte die Vertragslaufzeit mit einem Technikpartner sein?

Als Verhandlungsbeispiel können Sie eine anfängliche Laufzeit von einem Jahr mit Verlängerung um ein weiteres Jahr vorschlagen. Dies ist keine gesetzliche Vorgabe oder Marktübung. Längere Laufzeiten sollten Sie nur akzeptieren, wenn der Partner in Ihre Infrastruktur investiert. Auch eine Kündigungsfrist von drei bis sechs Monaten ist ein selbst gewähltes Beispiel, das Sie an Ihr Risiko anpassen. Die BSI-Anforderung NCD.2.2.06 verlangt für Cloud-Verträge angemessene Kündigungsfristen und den Ausschluss einseitiger Kündigungsrechte des Anbieters zulasten des Auftraggebers. Dies lässt sich auf IT-Betreuungsverträge übertragen.

Kann ich einen Technikpartner wechseln, wenn ich unzufrieden bin?

Ja, wenn der Vertrag eine Kündigungsfrist und eine geregelte Übergabe vorsieht. Verlangen Sie vor Vertragsabschluss eine schriftliche Übergabeverpflichtung: Zugangsdaten, Dokumentationen und Konfigurationen müssen innerhalb von 30 Tagen nach Vertragsende übergeben werden. Die BSI-Anforderung NCD.2.4.01 nennt die Datenrückgabe als Muss-Anforderung in der Beendigungsphase. Übertragen Sie dieses Prinzip auf alle betreuten Systeme, nicht nur Cloud-Dienste.