Was in einen IT-Wartungsvertrag gehört – und woran sich zwei fast identische Angebote unterscheiden

Zwei Angebote für die laufende Betreuung derselben Umgebung, derselbe Monatspreis, zwei Leistungslisten, die sich beim Überfliegen kaum unterscheiden. Die Frage, welches das bessere ist, lässt sich aus diesen beiden Blättern nicht beantworten – aber aus etwa zwölf Rückfragen.

Dieser Beitrag benennt sie. Er ist bewusst so geschrieben, dass er sich auch gegen ein Angebot von TakFlow richten lässt.

„Wartungsvertrag” ist eine Überschrift, kein Leistungsumfang

Anders als bei einem Mietvertrag oder einem Arbeitsvertrag gibt es für die laufende IT-Betreuung kein gesetzliches Grundgerüst, das die fehlenden Punkte auffüllt. Was nicht im Vertrag steht, ist nicht vereinbart. Das gilt auch für Selbstverständlichkeiten – gerade für die.

Praktisch heißt das: Ein Angebot ist nicht deshalb gut, weil es viele Leistungen aufzählt, sondern weil zu jeder Leistung steht, in welchem Umfang, in welchem Takt und mit welcher Zusage sie erbracht wird. „Monitoring” ist keine Leistung. „Monitoring der Erreichbarkeit von vier definierten Diensten im Minutentakt, Alarmierung per E-Mail und SMS an zwei benannte Personen, werktags 8–20 Uhr mit Reaktion innerhalb von vier Stunden” ist eine.

Reaktiver Support und laufender Betrieb sind zwei verschiedene Produkte

Der wichtigste Unterschied zwischen zwei Angeboten liegt oft nicht in einer einzelnen Position, sondern in der Grundausrichtung.

Reaktiver Support wartet auf eine Meldung. Sie schreiben, jemand kümmert sich, es wird nach Aufwand oder aus einem Kontingent abgerechnet. Das ist ein legitimes Modell – für unkritische Systeme, für Umgebungen mit eigener IT und für Kunden, die Störungen selbst bemerken und einordnen können.

Laufender Betrieb heißt, dass jemand hinsieht, bevor Sie etwas merken. Er umfasst Zustandsprüfungen ohne Anlass, Patch-Entscheidungen, Wiederherstellungstests, Kapazitätsbeobachtung, Zertifikats- und Ablauffristen und die Pflege der Dokumentation. Der Aufwand entsteht überwiegend in Monaten, in denen nichts passiert – und genau das ist der Zweck.

Wenn ein Angebot einen Monatspreis nennt, aber jede Position mit „bei Bedarf” oder „auf Anfrage” beschreibt, ist es reaktiver Support mit Grundgebühr. Das kann richtig sein. Es sollte nur nicht mit Betrieb verwechselt werden. Was TakFlow unter laufendem Betrieb versteht, steht auf der Seite zur technischen Betreuung mit dem Takt, in dem die einzelnen Leistungen anfallen.

Reaktionszeit, Servicezeit und Wiederherstellungszeit sind drei Zusagen – Verträge nennen meist eine

Das ist die Unschärfe, die die meisten Verträge enthalten und die im Ernstfall am teuersten wird.

Die Reaktionszeit ist die Zeit bis zur qualifizierten Rückmeldung: Jemand hat die Meldung gelesen, eingeordnet und sagt Ihnen, was er tut. Sie sagt nichts über die Behebung aus. Eine Reaktionszeit von einer Stunde ist verkaufsstark und garantiert Ihnen nach einer Stunde eine E-Mail.

Die Servicezeit ist das Fenster, in dem diese Uhr überhaupt läuft. Ohne sie ist eine Reaktionszeit bedeutungslos: Vier Stunden Reaktionszeit bedeuten bei einer Servicezeit von 8 bis 17 Uhr, dass eine Störung um 16:30 Uhr am Freitag frühestens am Montagvormittag beantwortet wird. Fragen Sie, wann die Uhr anhält und wann sie weiterläuft.

Die Wiederherstellungszeit ist die Zusage, bis wann das System wieder läuft. Sie steht in kaum einem Vertrag eines kleinen Anbieters, und dafür gibt es einen ehrlichen Grund: Sie hängt an Faktoren, die der Dienstleister nicht kontrolliert – Reaktionszeiten des Hosters, Verfügbarkeit von Ersatzhardware, Support-Fristen von Softwareherstellern, Umfang des Datenverlusts. Wer sie trotzdem pauschal zusagt, hat entweder eine Kette von Zulieferverträgen im Rücken, nach denen man fragen darf, oder er sagt etwas zu, was er nicht halten kann.

Belastbar ist ein Mittelweg: keine feste Wiederherstellungsgarantie, aber eine dokumentierte Wiederherstellungsreihenfolge und ein realistisch geschätzter Zeitbedarf je System, ermittelt aus einem echten Test. Das BSI verlangt in seinem Baustein zum Datensicherungskonzept genau diese Angabe im Datensicherungsplan: „in welcher Reihenfolge IT-System und Anwendungen wiederhergestellt werden”.

Der Vertrag muss benennen, welche Systeme er meint und wo die Zuständigkeit endet

Eine Systemliste im Vertrag sollte so konkret sein, dass im Störungsfall niemand darüber diskutiert, ob ein Gerät dazugehört. Zu jedem Eintrag gehören drei Angaben: die Bezeichnung, die Kritikalität und der Umfang der Betreuung.

Mindestens ebenso wichtig ist die Gegenrichtung – was nicht enthalten ist. Typische Grauzonen:

• Der Internetanschluss und die Telefonanlage. Fällt die Leitung aus, ist der Betreuer nicht der Verursacher – aber ist er der, der beim Provider anruft?
• Arbeitsplatzgeräte. Server, Anwendung und Netzwerk sind betreut, die 25 Notebooks der Mitarbeiter oft nicht.
• Drittanbieter-Software. Wer eröffnet ein Ticket beim Hersteller der Branchensoftware, und auf wessen Wartungsvertrag läuft das?
• Domains, TLS-Zertifikate und Lizenzen. Auf wen sind sie ausgestellt, wer bezahlt sie, wer bekommt die Ablaufwarnung?
• Systeme in der Cloud. Ein Microsoft-365-Mandant ist etwas anderes als ein Server im Serverraum, und beides kann in demselben Satz „Ihre IT” heißen.

Wenn Ihre Umgebung an diesen Stellen unklar ist, ist eine Bestandsaufnahme der bessere erste Auftrag als ein Wartungsvertrag. Sie ist bei TakFlow Teil der IT-Infrastruktur-Leistungen und erfasst unter anderem Backups, Berechtigungen, Dokumentation und zentrale Ausfallrisiken.

Updates sind eine dokumentierte Entscheidung, keine Hintergrundroutine

„Regelmäßige Updates” ist die häufigste Leerstelle in Wartungsverträgen. Sie sollte drei Angaben enthalten: in welchem Takt geprüft wird, nach welchem Kriterium ein Update eingespielt wird, und was passiert, wenn es nicht eingespielt wird.

Der letzte Punkt ist der, den fast niemand regelt. Das BSI formuliert ihn in seinem Baustein zum Patch- und Änderungsmanagement als Muss-Anforderung: „Wenn ein Patch nicht eingespielt wird, MÜSSEN die Entscheidung und die Gründe dafür dokumentiert werden.” Genau diese Fälle treten in kleinen Umgebungen dauernd auf – ein Update bricht eine Schnittstelle, eine Branchensoftware ist für die neue Version nicht freigegeben, ein Neustart geht erst im nächsten Wartungsfenster. Der Unterschied zwischen einem betreuten und einem unbetreuten System ist nicht, dass im betreuten alles aktuell ist. Er ist, dass jemand weiß, was nicht aktuell ist und warum.

Zwei weitere Punkte gehören in denselben Absatz des Vertrags: eine Rückfallmöglichkeit, bevor geändert wird – das BSI verlangt, dass beim Einspielen von Patches „Rückfall-Lösungen vorhanden sein” müssen – und der Umgang mit Software, die vom Hersteller nicht mehr unterstützt wird. Ein Betreuer, der ein abgekündigtes System stillschweigend weiterbetreut, verkauft Ihnen ein Risiko als Stabilität.

Ein Backup zählt erst, wenn die Wiederherstellung getestet wurde

Kaum ein Angebot verzichtet auf das Wort „Backup”. Wesentlich seltener steht dabei, ob jemals versucht wurde, aus dieser Sicherung etwas zurückzuholen.

Das BSI führt den Test als Basis-Anforderung, nicht als Kür: „Es MUSS regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können.” Der Zusatz „in angemessener Zeit” ist der entscheidende. Eine Sicherung, aus der eine Wiederherstellung vier Tage dauert, ist für viele Unternehmen keine.

Fünf Angaben, die im Vertrag stehen sollten:

1. Was gesichert wird – Daten, Datenbanken, ganze Systeme oder Konfigurationen. Die vier sind nicht dasselbe.
2. Wie oft – und damit, wie viel Arbeit im Ernstfall verloren ist. Das BSI nennt diese Größe im Datensicherungskonzept Recovery Point Objective.
3. Wie lange aufbewahrt wird – und ob es eine Version gibt, die alt genug ist, um einen erst spät bemerkten Schaden zu überstehen.
4. Wo die Sicherung liegt – räumlich getrennt vom gesicherten System, nach BSI möglichst in einem anderen Brandabschnitt, und geschützt davor, überschrieben zu werden. Eine Sicherung, die dauerhaft beschreibbar am selben Netz hängt, wird bei einem Verschlüsselungsangriff mitverschlüsselt.
5. Wann zuletzt ein Wiederherstellungstest stattfand – mit Datum, Umfang und Ergebnis, schriftlich.

Werden dabei personenbezogene Daten verarbeitet, ist der Wiederherstellungstest zugleich ein Datenschutzthema: Artikel 32 der DSGVO verlangt sowohl die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherzustellen, als auch „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit” der getroffenen Maßnahmen. Wie das im Einzelfall zu bewerten ist, gehört in die datenschutzrechtliche Beratung – dass ein ungetestetes Backup diesen Punkt nicht erfüllt, ist dagegen eine technische Feststellung.

Monitoring ohne benannten Empfänger ist eine Grafik, kein Betrieb

Bei der Überwachung entscheidet nicht die Software, sondern die Empfängerkette. Vier Fragen:

• Was wird überwacht? Erreichbarkeit ist das Minimum. Aussagekräftiger sind Speicherplatz, Zertifikatslaufzeiten, Backup-Ergebnisse, fehlgeschlagene Anmeldeversuche und – bei automatisierten Abläufen – ob der Lauf überhaupt stattgefunden hat. Ein Workflow, der nicht startet, erzeugt keine Fehlermeldung.
• Wer wird alarmiert, namentlich? „Das Team” ist kein Empfänger.
• Zu welcher Zeit? Eine Alarmierung um 3 Uhr, die niemand liest, verschiebt nur den Zeitpunkt der Erkenntnis.
• Was passiert, wenn niemand reagiert? Ein zweiter Kanal, ein zweiter Empfänger, eine Eskalationsstufe.

Das BSI verlangt für den IT-Betrieb, dass „die Schnittstellen und Meldewege sowie das Eskalationsmanagement” festgelegt sind. In einem Wartungsvertrag ist das eine halbe Seite: Wer meldet an wen, über welchen Weg, mit welcher Vertretung, und ab wann geht es eine Stufe höher.

Dokumentation und Änderungskontingent entscheiden über den Alltag

Dokumentationspflicht. Der Vertrag sollte den Dienstleister verpflichten, seine Arbeit nachvollziehbar festzuhalten – und Ihnen Zugriff darauf zu geben. Das BSI nennt als Mindestinhalt für administrative Tätigkeiten: welche Änderung durchgeführt wurde, wer sie durchgeführt hat und wann. In der ausführlicheren Fassung kommen hinzu, aus welchem Anlass geändert wurde und ob dabei von einem Standard abgewichen wurde. Für Wartungsarbeiten gilt dasselbe. Wenn diese Dokumentation ausschließlich im Kopf oder im privaten Notizsystem eines Dienstleisters existiert, kaufen Sie eine Abhängigkeit mit ein.

Änderungskontingent. Fast jeder Betreuungsvertrag enthält kleine Änderungen. Die Frage ist, wo die Grenze verläuft und wer sie zieht. Belastbar ist eine Regel mit drei Teilen: ein Kontingent in Stunden pro Monat, eine Angabe, ob es verfällt oder überträgt, und ein Schwellenwert, ab dem etwas als Projekt angeboten wird statt aus dem Kontingent zu laufen. Ohne den dritten Teil entsteht der Dauerkonflikt, ob eine Anpassung noch „klein” ist.

Ein größerer Versionssprung, eine Migration oder eine neue Schnittstelle ist keine Wartungsaufgabe. Ein Angebot, das so etwas im Monatspreis suggeriert, hat entweder den Aufwand nicht eingeschätzt oder wird die Diskussion später führen.

Erreichbarkeit rund um die Uhr ist eine eigene Leistung, keine Fußnote im Monatspreis

Hier lohnt der genaue Blick, weil zwei sehr verschiedene Dinge denselben Namen tragen.

„24/7” meint bei vielen Anbietern das Monitoring: Systeme werden rund um die Uhr überwacht, eine Meldung landet nachts in einem Postfach, bearbeitet wird sie am Morgen. Etwas anderes ist die Bearbeitung rund um die Uhr — dass um drei Uhr tatsächlich jemand aufsteht und eingreift. Das erste ist meist im Preis enthalten, das zweite fast nie. Fragen Sie im Angebot nach, welches der beiden gemeint ist; die Antwort erklärt den Preisunterschied vollständig.

Der Grund ist keine Unwilligkeit, sondern Arithmetik: Eine Woche hat 168 Stunden, und wer sie ohne Dauerbelastung mit Bearbeitung abdecken will, braucht überschlägig vier bis fünf eingearbeitete Personen — das ist eine Rechnung, keine Branchenkennzahl. Diese Kapazität kostet, und zwar unabhängig davon, ob sie in einer Nacht gebraucht wird oder nicht.

Bei TakFlow decken die regulären Kontaktzeiten zwischen 8:00 und 20:00 Uhr den normalen Betrieb ab. Eine Notfallerreichbarkeit rund um die Uhr bieten wir an — sie wird gesondert vereinbart und abgerechnet und liegt nicht automatisch im Monatspreis. Wer sie bucht, sollte drei Punkte im Vertrag festhalten: was als Notfall gilt, über welchen Weg wir dann erreichbar sind, und welche Reaktionszeit in diesem Fenster gilt. Ohne diese drei Angaben ist eine 24/7-Zusage in jedem Angebot wenig wert — auch in unserem.

Für Sie als Auftraggeber folgen daraus zwei praktische Konsequenzen — auch dann, wenn Sie die Notfallerreichbarkeit buchen. Erstens: Klären Sie, welche Ihrer Systeme einen Ausfall über Nacht oder über ein Wochenende tatsächlich nicht verkraften – und begründen Sie jede Nennung mit einer konkreten Folge, nicht mit einem Gefühl. Für die Systeme, die diese Prüfung überstehen, ist die wirksamere Antwort meist technische Redundanz und nicht ein schnellerer Anruf: Redundanz wirkt um 3 Uhr genauso wie um 11 Uhr. Zweitens: Fragen Sie nach der Vertretung. Das BSI formuliert dazu eine Muss-Anforderung, die auf jeden externen Dienstleister übertragbar ist: „Für jede Administrationsaufgabe MUSS eine Vertretung benannt werden” – mit den nötigen Berechtigungen und den nötigen Kenntnissen. Ein Betreuungsvertrag, dessen Erfüllbarkeit an einer einzelnen Person hängt, die auch in Urlaub fährt, sollte das benennen.

Der Ausstieg gehört in den Vertrag, nicht in die Trennung

Der Abschnitt, der beim Unterschreiben am unwichtigsten wirkt und im Ernstfall über Wochen entscheidet. Er sollte vier Punkte regeln:

Herausgabe der Zugänge. Welche administrativen Konten, Domain- und Hosting-Zugänge, Datenbank-Zugänge, Lizenzportale und API-Schlüssel werden herausgegeben, in welcher Frist und in welcher Form. Dazu gehört zwingend die Gegenbewegung: Das BSI verlangt beim Ende einer Administrationstätigkeit, dass persönliche administrative Konten gesperrt und „Passwörter aller administrativer Konten geändert werden, die der Person bekannt sind”. Wer das erst nach der Trennung organisiert, organisiert es unter Zeitdruck.

Herausgabe der Dokumentation. In einem lesbaren, nicht an ein Werkzeug gebundenen Format. Eine Dokumentation, die nur im Ticketsystem des alten Dienstleisters existiert, ist beim Wechsel verloren.

Herausgabe der Daten. Datenexporte, Backup-Bestände, Konfigurationen – und die Frage, was danach mit den Kopien beim Dienstleister geschieht. Werden dabei personenbezogene Daten im Auftrag verarbeitet, ist ohnehin ein Vertrag nach Artikel 28 DSGVO erforderlich, der unter anderem regelt, dass der Auftragsverarbeiter die Daten nach Abschluss der Leistung nach Wahl des Verantwortlichen löscht oder zurückgibt.

Übergabefenster. Ein Zeitraum nach Vertragsende, in dem der bisherige Betreuer für Rückfragen des Nachfolgers erreichbar ist, mit einem vereinbarten Stundensatz. Das kostet wenig und spart dem Nachfolger Wochen.

Diese Lücken zeigen sich erst im Störungsfall

Kurz und ohne Kommentar, weil jede dieser Situationen ihre eigene Rechnung schreibt:

• Die Sicherung lief, aber niemand hatte je versucht, sie zurückzuspielen.
• Das Monitoring meldete korrekt – an die E-Mail-Adresse eines vor einem Jahr ausgeschiedenen Mitarbeiters.
• Der Zugang zum Hoster lief auf das private Konto eines früheren Dienstleisters.
• Das TLS-Zertifikat lief an einem Sonntag ab.
• Die Branchensoftware war seit zwei Jahren abgekündigt, was niemand schriftlich festgehalten hatte.
• Es gab eine Reaktionszeit, aber keine Servicezeit, und der Ausfall begann um 17:15 Uhr.
• Die Wiederherstellung war technisch möglich, aber niemand wusste, in welcher Reihenfolge die Systeme hochfahren müssen.

Alle sieben sind Vertragslücken, keine technischen Probleme. Sie lassen sich vor Vertragsschluss schließen und danach nur noch bezahlen.

So vergleichen Sie zwei Angebote, die beim Preis gleich aussehen

Statt Positionen zu zählen, legen Sie beide Angebote nebeneinander und tragen zu jeder Zeile ein, was tatsächlich zugesagt ist:

Zwei Auswertungshinweise. Erstens: Leere Felder sind das Ergebnis, nicht ein Zeichen für ein unvollständiges Formular. Ein Anbieter, der zu vier Zeilen nichts sagt, hat vier Zeilen nicht kalkuliert – und was nicht kalkuliert ist, wird später entweder nicht geleistet oder nachberechnet.

Zweitens: Ein höherer Preis mit vollständigen Antworten ist häufig das günstigere Angebot, weil er die Positionen enthält, die im anderen Fall als Aufwand wiederkommen. Umgekehrt kann ein schlanker Vertrag genau richtig sein, wenn Sie eigene IT-Kompetenz im Haus haben und nur punktuelle Unterstützung brauchen. Dann sollte er aber auch so heißen und nicht „Betriebsbetreuung”.

Handlungsaufruf

Legen Sie Ihren bestehenden Wartungsvertrag neben die zwölf Fragen oben. Bleiben mehr als drei Felder leer, lohnt ein Gespräch – auch dann, wenn am Ende der bisherige Dienstleister die Lücken schließt und nicht wir. TakFlow prüft vorab Zugänge, Dokumentation, Lizenzen, Versionen und den aktuellen Zustand und sagt offen, ob und in welchem Umfang eine Betreuung sinnvoll ist.

Betreuung besprechen

Weiterführend: Technische Betreuung und Support von TakFlow · NIS-2 pragmatisch angehen · Microsoft-365-Identitäten absichern

Quellenhinweise

• BSI IT-Grundschutz, OPS.1.1.1 Allgemeiner IT-Betrieb (Edition 2023) – Meldewege und Eskalationsmanagement (A1), SLAs (A11), Regelungen für Wartungs- und Reparaturarbeiten (A19)
• BSI IT-Grundschutz, OPS.1.1.2 Ordnungsgemäße IT-Administration (Edition 2023) – Vertretungsregelungen (A2), Beendigung der Tätigkeit (A4), Nachweisbarkeit (A5), Dokumentation (A11)
• BSI IT-Grundschutz, OPS.1.1.3 Patch- und Änderungsmanagement (Edition 2023) – Rückfall-Lösungen (A1), Bewertung und Dokumentation von Patch-Entscheidungen (A15)
• BSI IT-Grundschutz, CON.3 Datensicherungskonzept (Edition 2023) – Datensicherungspläne (A4), Aufbewahrung (A12), Schutz vor Überschreiben (A14), regelmäßiges Testen (A15), Recovery Point Objective (A6)
• Verordnung (EU) 2016/679 (DSGVO) – Artikel 28 und Artikel 32