Eigene IT-Abteilung oder externer IT-Dienstleister?

Die Frage nach der eigenen IT-Stelle wird selten in Ruhe gestellt. Meistens steht sie im Raum, nachdem etwas passiert ist: Der Kollege, der „das mit den Servern gemacht hat“, ist ausgeschieden. Ein Update ist zwei Jahre liegen geblieben. Ein Dienstleister reagiert nicht mehr, und niemand weiß, wo die Zugänge liegen.

Die Entscheidung wird dann als Alternative formuliert – eigene Abteilung oder externer Anbieter. In der Praxis ist sie das fast nie. Sie ist eine Aufteilung, und die Qualität der Aufteilung entscheidet, nicht die Seite, auf die man sich schlägt.

Bevor Sie verteilen, brauchen Sie eine Liste der Aufgaben

Solange „IT“ ein Sammelbegriff bleibt, lässt sich nichts sinnvoll zuordnen. Der IT-Grundschutz des BSI setzt deshalb im Baustein OPS.1.1.1 mit einer Basis-Anforderung an, die vor jeder Organisationsfrage steht: Für alle betriebenen IT-Komponenten muss festgelegt werden, welche Aufgaben anfallen und wer dafür zuständig ist – einschließlich der Schnittstellen, der Meldewege und des Eskalationsmanagements zwischen den beteiligten Einheiten.

Diese Liste ist nicht nur eine Sicherheitsanforderung. Sie ist die Entscheidungsgrundlage und später die Anlage zum Vertrag. Eine brauchbare Fassung enthält für jedes System: Wer nutzt es, wer administriert es, wer entscheidet über Änderungen, wer wird bei Störungen wann informiert, und was passiert, wenn diese Person nicht erreichbar ist.

Der Baustein beschreibt außerdem, was in ein Betriebshandbuch gehört: System- und Kontaktinformationen, Konfigurationsvorgaben, Rollen und Berechtigungen, Monitoring und Alarmierung, Datensicherung und Notfallkonzepte, Incident Management sowie Vorgaben für regelmäßige und außerplanmäßige Tätigkeiten. Wenn Sie diese Punkte für Ihre Umgebung nicht beantworten können, ist die Frage „intern oder extern“ noch nicht dran.

Nicht die Mitarbeiterzahl entscheidet, sondern der gemessene Aufwand

Auf die Frage „ab wie vielen Mitarbeitern braucht man einen eigenen Admin“ gibt es keine belegbare Zahl, und wer eine nennt, rät. Die Mitarbeiterzahl ist ein schlechter Indikator: Ein Handwerksbetrieb mit 60 Beschäftigten, der vollständig auf zwei Cloud-Diensten arbeitet, hat weniger Betriebsaufwand als ein Ingenieurbüro mit 15 Beschäftigten, das Fachanwendungen, Lizenzserver, Messrechner und einen eigenen Fileserver betreibt.

Der IT-Grundschutz benennt stattdessen ein Verfahren. Der IT-Betrieb soll über ausreichende Personal-Ressourcen verfügen, und dafür „SOLLTE der Aufwand für alle Tätigkeiten des IT-Betriebs ermittelt werden“. Weiter heißt es, die Personal-Ressourcen sollten „mit angemessenen Redundanzen und Reserven geplant werden und auch kurzfristige Personalausfälle sowie temporär erhöhte Personalbedarfe berücksichtigen“.

Praktisch bedeutet das: Messen Sie ein Quartal lang mit, wie viel Zeit tatsächlich in Benutzeranliegen, Administration, Störungen und Projekte fließt – auch die Zeit, die heute nebenbei von der Geschäftsführung oder einem technikaffinen Mitarbeiter aufgebracht wird. Erst diese Zahl lässt sich gegen eine Stelle oder einen Vertrag halten.

Als grobe Orientierung – ausdrücklich als Einschätzung, nicht als Kennzahl – verschiebt sich die Rechnung zugunsten einer eigenen Stelle, wenn mehrere der folgenden Punkte zusammenkommen:

Der gemessene Aufwand liegt dauerhaft deutlich über einer halben Stelle.
Ein relevanter Teil der Systeme wird selbst betrieben, nicht als Dienst bezogen.
Es gibt mehrere Standorte, Produktions- oder Schichtzeiten.
Nutzerbetreuung ist täglich und kurzfristig gefragt, nicht planbar.
Es laufen mehrere Veränderungsprojekte pro Jahr.
Fachliche Nähe zu den eigenen Prozessen ist entscheidend, weil die IT ins Produkt hineinreicht.

Und umgekehrt: Wer wenige, standardisierte, überwiegend bezogene Systeme hat, wird eine eigene Stelle über die Auslastung nicht rechtfertigen können – und bekommt dann das Modell, das im nächsten Abschnitt beschrieben wird.

Das Ein-Personen-Modell scheitert nicht an Kompetenz, sondern an Verfügbarkeit

Die häufigste Aufstellung im Mittelstand ist eine einzelne Person, die alles macht. Sie scheitert selten an Können. Sie scheitert an vier Stellen, und alle vier sind vorhersehbar.

Abwesenheit. Urlaub, Krankheit, Elternzeit, Kündigung. Der IT-Grundschutz formuliert das Risiko im Baustein OPS.1.1.1 unmissverständlich: „Ist das benötigte Know-how beim Betriebspersonal nicht ausreichend redundant verfügbar, da weiteres Personal beispielsweise nur unzureichend geschult wurde, kann die Abhängigkeit von einzelnen Personen dazu führen, dass die Verfügbarkeit des IT-Betriebs nicht mehr vollständig gewährleistet ist.“

Wissen, das nur im Kopf existiert. Wenn Konfiguration, Sonderfälle und Passwörter nirgends dokumentiert sind, ist die Abwesenheit nicht überbrückbar. Dieselbe Quelle nennt als Ursache für den Verlust betriebsrelevanter Informationen auch die unzureichende Abstimmung mit beauftragten Dienstleistern darüber, welche Dokumentation überhaupt zu liefern ist – das gilt für interne wie externe Verantwortung gleichermaßen.

Fachliche Breite. Netzwerk, Windows-Serverdienste, Linux, Microsoft 365, Backup, Sicherheit, Fachanwendungen und Benutzerbetreuung sind unterschiedliche Handwerke. Eine Person kann in zwei oder drei davon wirklich gut sein. Der Rest wird improvisiert, meist unter Zeitdruck.

Ausscheiden ohne geordnete Übergabe. Der IT-Grundschutz verlangt an dieser Stelle etwas Konkretes: „Insbesondere MÜSSEN die Berechtigungen von ausgeschiedenem Personal auf den IT-Komponenten entfernt werden.“ Sammel-Accounts dürfen nur in begründeten Ausnahmefällen existieren – genau sie sind aber der Grund, warum nach einem Weggang oft niemand mehr sagen kann, welche Zugänge noch offen sind.

Dieselben vier Schwachstellen gelten übrigens für einen sehr kleinen Dienstleister. Ein externer Vertrag beseitigt sie nicht automatisch; er verlagert sie nur, und ob er sie tatsächlich abfedert, hängt an dem, was schriftlich vereinbart ist.

So sieht ein Hybridmodell aus, das im Alltag hält

Das in kleinen und mittleren Unternehmen tragfähigste Modell ist geteilt. Bemerkenswert ist, dass der IT-Grundschutz das für Auslagerungen selbst empfiehlt: „Die Nutzenden von Outsourcing SOLLTEN ausreichend Fähigkeiten, Kompetenzen sowie Ressourcen behalten, um einer Abhängigkeit gegenüber den Anbietenden von Outsourcing vorzubeugen.“

Eine Aufteilung, die sich in der Praxis bewährt:

Aufgabe	Sinnvoll intern	Sinnvoll extern
Priorisierung und Freigaben	ja, immer	nein
Beschaffung und Vertragsbeziehungen	ja	Beratung möglich
Erste Anlaufstelle für Benutzeranliegen	häufig intern	je nach Volumen
Benutzer- und Rechteverwaltung	Entscheidung intern	Umsetzung extern möglich
Server-, Netz- und Systembetrieb	nur mit Vertretung	häufig extern
Patch- und Änderungsmanagement	selten allein tragbar	extern gut abbildbar
Monitoring und Alarmierung	nein	extern
Backup und Wiederherstellungstests	Kontrolle intern	Durchführung extern
Projekte und Spezialthemen	Anforderung intern	Umsetzung extern
Dokumentation	Eigentum intern	Pflicht zur Lieferung extern

Die interne Rolle muss dafür keine Vollzeit-Administration sein. Sie muss aber existieren und benannt sein: eine Person, die die eigenen Prozesse kennt, die priorisiert, die Freigaben erteilt und die weiß, welche Systeme es überhaupt gibt. Ohne diese Rolle entsteht das Muster, das der IT-Grundschutz als Abhängigkeit beschreibt – Wissen wandert ab, Defizite fallen intern nicht mehr auf, und die Verhandlungsposition verschlechtert sich mit jedem Jahr.

Wer mit mehreren Anbietern arbeitet, sollte außerdem festhalten, wer was verantwortet. Der IT-Grundschutz nennt das ein Auslagerungsregister; für ein kleines Unternehmen reicht eine gepflegte Tabelle mit System, Anbieter, Ansprechpartner, Vertragsende und Kündigungsfrist. Sie ist bei der ersten größeren Störung mehr wert als jedes Organigramm. Wie ein solcher Betrieb konkret aussieht, beschreiben wir unter IT-Infrastruktur, Server und Managed Services.

Vier Dinge gehören nie vollständig in fremde Hände

Der Baustein zur Nutzung von Outsourcing stellt den Grundsatz an den Anfang: „Allerdings verbleibt die Verantwortung aus Sicht der Informationssicherheit stets bei der auslagernden Institution.“ Daraus folgen vier Bereiche, die auch bei vollständig ausgelagertem Betrieb intern bleiben.

Entscheidungen über Zugriff. Ein Dienstleister richtet Konten ein und entzieht Rechte – aber wer welche Rechte bekommt, welche administrativen Zugänge existieren und wer im Notfall welchen Zugriff hat, entscheidet das Unternehmen. Diese Entscheidungen gehören dokumentiert, und sie gehören regelmäßig überprüft.

Eigentum an Daten, Konten und Verträgen. Domain, Hosting-Konto, Microsoft-Mandant, Lizenzen und Zertifikate müssen auf das Unternehmen ausgestellt sein, nicht auf den Dienstleister. Diese Frage wird meist erst gestellt, wenn eine Trennung ansteht – dann ist sie teuer. Es ist einer der fünf Punkte, die wir vor jeder laufenden Betreuung klären, zusammen mit Zugängen, Dokumentation, Versionsständen und dem tatsächlichen Zustand der Umgebung.

Kenntnis des eigenen Bestands. Welche Systeme laufen, welche Daten liegen wo, welche Schnittstellen bestehen. Diese Übersicht darf gepflegt werden lassen, aber sie muss im Haus verfügbar sein.

Die Verantwortung selbst. Für Unternehmen, die unter NIS-2 fallen, ist das inzwischen ausdrücklich geregelt: Nach § 38 BSIG sind Geschäftsleitungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 „umzusetzen und ihre Umsetzung zu überwachen“; bei schuldhafter Pflichtverletzung haften sie ihrer Einrichtung gegenüber, und sie müssen regelmäßig an Schulungen teilnehmen. Zu den Maßnahmen nach § 30 Abs. 2 gehört ausdrücklich die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ – der Dienstleister ist also Gegenstand der eigenen Pflichten, nicht ihr Empfänger.

Das betrifft nicht jedes Unternehmen. NIS-2 greift nur für besonders wichtige und wichtige Einrichtungen, und dafür muss ein Unternehmen zunächst in einen der Sektoren aus den Anlagen 1 oder 2 des BSIG fallen; die Größenschwellen kommen erst danach zum Tragen. Größe allein löst NIS-2 nie aus. Der zugrunde liegende Gedanke gilt trotzdem allgemein: Ein Vertrag kann Arbeit übertragen, aber keine Verantwortung.

Ein belastbarer Vertrag beantwortet acht Fragen

Der IT-Grundschutz formuliert für Verträge mit Dienstleistern Mindestinhalte: Sie müssen „Aspekte der Informationssicherheit, einen Zustimmungsvorbehalt bei Weiterverlagerungen sowie ein Recht auf Prüfung, Revision und Audit“ enthalten. Für ein mittelständisches Unternehmen lässt sich das in acht konkrete Fragen übersetzen.

Welche Systeme sind namentlich enthalten? Ein Vertrag über „die IT-Betreuung“ ist im Streitfall wertlos. Eine Liste ist es nicht.
Was heißt Reaktionszeit genau? Gemessen ab wann, in welchen Zeiten, über welchen Kanal – und ausdrücklich: Reaktionszeit ist nicht Lösungszeit. Wer eine Wiederherstellungszeit zusagt, muss sagen, für welche Störungsklasse.
Wie eskaliert es? Wer wird informiert, wenn die erste Stufe nicht antwortet, und nach welcher Frist.
Welche Dokumentation wird geliefert? Was wird dokumentiert, in welcher Form, wo liegt sie, und gehört sie Ihnen. Ohne diese Zusage entsteht genau die Wissenslücke, die eine Auslagerung eigentlich vermeiden sollte.
Dürfen Subunternehmer eingesetzt werden? Und zwar nur mit Zustimmung, mit denselben Pflichten und offen benannt.
Dürfen Sie prüfen? Ein Prüf- oder Auskunftsrecht ist auch dann sinnvoll, wenn Sie es nie ausüben – es zwingt zu prüfbaren Zuständen.
Was ist enthalten, was nicht? Kontingente für Änderungen, Projekte außerhalb des Vertrags, Wartungsfenster, Zusatzleistungen.
Wie endet die Zusammenarbeit? Der IT-Grundschutz verlangt Regelungen für geplante und ungeplante Beendigungen: Es muss festgelegt werden, wie alle Informationen, Daten und Hardware zurückgegeben werden, gesetzliche Aufbewahrungsvorgaben sind zu beachten, und es soll überprüft werden, ob die Zugangs-, Zutritts- und Zugriffsrechte des Anbieters mit dem Ende tatsächlich aufgehoben wurden.

Die letzte Frage ist die, die am seltensten gestellt und am schmerzhaftesten übersehen wird. Sie gehört an den Anfang der Zusammenarbeit, nicht an ihr Ende.

Was ein kleiner Anbieter nicht leisten kann – auch wir nicht

TakFlow ist ein kleines Team. Das hat Vorteile – kurze Wege, dieselben Ansprechpartner, keine Ticketstrecke durch drei Ebenen – und es hat Grenzen, die vor einer Entscheidung auf dem Tisch liegen müssen.

Erreichbarkeit rund um die Uhr kostet extra – im Preis enthalten ist sie nicht. Die regulären Kontaktzeiten liegen zwischen 8:00 und 20:00 Uhr und decken den normalen Betrieb ab. Eine Notfallerreichbarkeit außerhalb dieses Fensters bieten wir an, sie wird aber gesondert vereinbart und abgerechnet. Das ist keine Formalie: Wer sie bucht, sollte im Vertrag festhalten, was als Notfall gilt, über welchen Weg wir dann erreichbar sind und welche Reaktionszeit gilt – sonst wird im Ernstfall darüber diskutiert statt gearbeitet.

Daraus folgt eine Entscheidung, die vor der Anbieterwahl liegt: Wenn der Ausfall eines Systems um drei Uhr nachts Geld kostet, gibt es drei Wege. Interne Rufbereitschaft mit mehreren Personen. Eine vereinbarte Notfallerreichbarkeit beim Dienstleister, mit entsprechendem Preis. Oder eine Architektur, in der ein nächtlicher Ausfall bis zum Morgen warten kann – Redundanz, automatische Umschaltung, Betrieb bei einem Plattformanbieter mit eigener Verfügbarkeitszusage. Der dritte Weg ist für die meisten Unternehmen unserer Größe der wirtschaftlichste, und er wird zu selten geprüft, weil zuerst über Reaktionszeiten verhandelt wird statt über Ausfallfolgen.

Kein vollständiges Leistungsspektrum. Penetrationstests, forensische Incident Response und rechtliche Compliance-Prüfungen bieten wir nicht an. Wir setzen technische Maßnahmen um und dokumentieren sie; die rechtliche Bewertung gehört zu Ihrer Rechtsberatung.

Ein kleiner Anbieter ist selbst ein Klumpenrisiko. Das lässt sich nicht wegreden, nur absichern: Dokumentation im Haus des Kunden, Konten und Lizenzen auf den Kunden ausgestellt, ein geregelter Übergabeweg im Vertrag. Wir empfehlen genau die Punkte, die uns im Trennungsfall ersetzbar machen – alles andere wäre unehrlich.

Und der Fall, in dem Sie uns nicht brauchen. Wenn Sie bereits zwei eingearbeitete Administratoren haben, Ihre Umgebung dokumentiert ist und Vertretung geregelt ist, dann ist ein laufender Betreuungsvertrag für den Alltag keine sinnvolle Ausgabe. Interessant bleiben dann einzelne Projekte, Spezialthemen und ein Blick von außen – nicht der Betrieb.

Eine Reihenfolge, die zu einer tragfähigen Entscheidung führt

Systeme und Aufgaben auflisten, mit Zuständigkeit und Meldeweg je System.
Ein Quartal lang den tatsächlichen Aufwand messen, einschließlich der Zeit, die heute nebenbei anfällt.
Festlegen, was intern bleiben muss: Entscheidungen über Zugriff, Eigentum an Konten und Daten, Vertragsbeziehungen, Kenntnis des Bestands.
Für den Rest die Vertretung planen – intern durch eine zweite eingearbeitete Person, extern durch einen Vertrag mit benannten Systemen und Reaktionszeiten.
Ausstieg, Rückgabe und Dokumentationspflichten regeln, bevor die Zusammenarbeit beginnt.
Einmal jährlich prüfen, ob Aufwand, Aufteilung und Vertrag noch zusammenpassen.

Wer diese Reihenfolge einhält, trifft am Ende keine Glaubensentscheidung zwischen intern und extern, sondern eine nachvollziehbare Aufteilung, die auch dann noch funktioniert, wenn eine der beteiligten Personen nicht mehr da ist.

Handlungsaufruf

Sie wissen nicht, ob Ihr aktueller Aufwand eine Stelle, einen Vertrag oder beides rechtfertigt? Der nützlichste erste Schritt ist eine Bestandsaufnahme: welche Systeme laufen, wer ist zuständig, wo fehlen Vertretung und Dokumentation. TakFlow führt diese Aufnahme durch und sagt anschließend offen, welche Aufgaben sinnvoll intern bleiben – auch dann, wenn das den Umfang einer Betreuung verkleinert.

Bestandsaufnahme anfragen

Weiterführend: IT-Infrastruktur, Server und Managed Services · Betreuung und technischer Support · Microsoft 365 sicher und sinnvoll betreiben

Eigene IT-Abteilung oder externer Dienstleister: Ab wann sich welche Aufstellung trägt