Inhalt
Kurzantwort
Klären Sie zuerst, welche Unterstützung Sie tatsächlich brauchen. Prüfen Sie dann Leistungsumfang, Zuständigkeiten, Reaktionszeiten, Notfall-Erreichbarkeit und den Umgang mit Administratorzugängen. Achten Sie darauf, dass Sie die Kontrolle über Zugänge, Dokumentation und Daten behalten – auch für den Fall, dass Sie den Anbieter später wechseln.
Bedarf zuerst klären
Arten von Dienstleistern
Grob lassen sich klassische IT-Dienstleister bzw. Managed Service Provider (Betrieb von Arbeitsplätzen und Systemen), IT-Sicherheitsdienstleister, Managed Security Service Provider (laufender Sicherheitsbetrieb), MDR-Anbieter (Erkennung und Reaktion auf Endgeräten) und Incident-Response-Spezialisten (Hilfe im akuten Vorfall) unterscheiden. Das sind Marktbegriffe, keine gesetzlich festgelegten Kategorien; Leistungen überschneiden sich.
Welche Unterstützung brauchen Sie?
Typische Bereiche: Arbeitsplatz-IT, Microsoft 365 oder Google Workspace, Backups, Patchmanagement, Netzwerk, Security Monitoring, MDR und Incident Response. Schreiben Sie auf, was davon Sie selbst leisten und was extern erledigt werden soll.
Hilfe im Ernstfall
Für akute Vorfälle veröffentlicht das BSI Auswahlkriterien und eine Liste qualifizierter APT-Response-Dienstleister. Diese Liste richtet sich vor allem an schwere, gezielte Angriffe und ist keine allgemeine Empfehlungsliste.
Dienstleister-Checkliste
- 1
Leistungsumfang
Ist schriftlich klar, was enthalten ist und was nicht?
- 2
Verantwortlichkeiten
Wer ist für Backups, Updates und Sicherheitsvorfälle zuständig – Sie oder der Dienstleister?
- 3
Reaktionszeiten und Erreichbarkeit
Wie schnell reagiert er, auch abends, am Wochenende und im Notfall?
- 4
Vertretung
Gibt es eine Vertretung, wenn die Hauptansprechperson ausfällt?
- 5
Dokumentation
Werden Systeme, Konfigurationen und Zugänge dokumentiert – und erhalten Sie diese Dokumentation?
- 6
Zugänge und MFA
Wie werden Administratorzugänge und Zugangsdaten verwaltet und geschützt?
- 7
Subdienstleister
Werden Teile an Dritte weitergegeben, und wissen Sie davon?
- 8
Datenstandorte
Wo werden Ihre Daten verarbeitet, soweit das für Sie relevant ist?
- 9
Offboarding und Vertragsende
Wie werden Zugänge gesperrt und Daten herausgegeben?
Schritt für Schritt
- 01
Bedarf aufschreiben
Halten Sie fest, welche Bereiche extern betreut werden sollen und welche Ausfallzeiten tolerierbar sind.
- 02
Gespräche führen
Sprechen Sie mit mehreren Anbietern und stellen Sie allen dieselben Fragen aus der Checkliste.
- 03
Nachweise einordnen
Zertifizierungen wie ISO 27001 können ein Prüfkriterium sein. Sie ersetzen nicht die Prüfung von Leistungsumfang, Zuständigkeiten und tatsächlicher Umsetzung. Fehlt ein Zertifikat, ist ein Anbieter nicht automatisch ungeeignet.
- 04
Referenzen erfragen
Fragen Sie nach Erfahrungen mit Unternehmen Ihrer Größe und Branche.
- 05
Zuständigkeiten schriftlich festhalten
Klären Sie vor Vertragsschluss, wer was verantwortet – besonders bei Backups, Updates und Vorfällen. Lassen Sie Verträge bei Bedarf fachkundig prüfen.
- 06
Regelmäßig überprüfen
Prüfen Sie einmal im Jahr oder nach Änderungen, ob Leistung und Bedarf noch zusammenpassen.
Wer kontrolliert die Administratorzugänge?
Externe Dienstleister können sehr weitreichende Zugänge zu Ihren Systemen haben. Prüfen Sie deshalb:
- Individuelle Konten für jede Person beim Dienstleister
- Mehr-Faktor-Anmeldung für alle Administratorzugänge
- Keine unnötig gemeinsam genutzten Admin-Zugänge
- Berechtigungen nur so weit wie erforderlich
- Protokollierung, soweit angemessen
- Schnelle Sperrung bei Personalwechsel oder Vertragsende
- Mindestens ein Notfall-Administratorzugang bleibt in Ihrer eigenen Hand
Was passiert, wenn Sie den Anbieter wechseln?
Bereiten Sie den Wechsel schon bei Vertragsbeginn vor. Klären Sie, wie Sie Folgendes zurückerhalten oder übernehmen:
- Zugangsdaten und Administratorrechte, auch für Cloud-Dienste
- Dokumentation und Konfigurationen
- Backups und Datenexporte
- Domains und Lizenzen – idealerweise auf Ihr Unternehmen registriert
- Geordnete Übergabe an den neuen Dienstleister
- Sperrung aller Zugänge des bisherigen Dienstleisters
Checkliste
- Der Bedarf ist schriftlich festgehalten.
- Leistungsumfang und Zuständigkeiten sind klar.
- Reaktionszeiten und Notfall-Erreichbarkeit sind vereinbart.
- Admin-Zugänge sind individuell, mit MFA und auf das Nötige begrenzt.
- Domains, Lizenzen und ein Notfall-Admin-Zugang liegen beim eigenen Unternehmen.
- Dokumentation und Datenherausgabe bei Vertragsende sind geregelt.
Typische Fehler
- Den Anbieter wählen, bevor der eigene Bedarf klar ist.
- Annehmen, der Dienstleister kümmere sich „um alles“, ohne es schriftlich zu klären.
- Gemeinsame Admin-Zugänge ohne MFA akzeptieren.
- Domains und Lizenzen auf den Dienstleister registrieren lassen.
- Ein Zertifikat für einen Nachweis tatsächlicher Sicherheit halten.
Häufige Fragen
Brauchen wir einen IT-Dienstleister und zusätzlich einen Security-Dienstleister?
Nicht zwingend. Manche IT-Dienstleister decken Sicherheitsthemen mit ab. Entscheidend ist, dass Zuständigkeiten klar und die benötigten Leistungen tatsächlich enthalten sind.
Ist ein ISO-27001-zertifizierter Anbieter automatisch sicher?
Nein. Eine Zertifizierung kann ein Prüfkriterium sein, ersetzt aber nicht die Prüfung von Leistungsumfang und Umsetzung.
Wer ist für Backups verantwortlich?
Das muss ausdrücklich vereinbart sein. Ohne Regelung geht jede Seite oft davon aus, dass die andere sich kümmert.
Was tun wir im Notfall, wenn der Dienstleister nicht erreichbar ist?
Halten Sie eine Vertretung, einen eigenen Notfall-Admin-Zugang und die Kontakte für Incident-Response-Hilfe in Ihrem Notfallplan bereit.
Sollten wir den Vertrag prüfen lassen?
Bei Unsicherheit ja. Diese Seite gibt nur Orientierung und ersetzt keine Vertragsprüfung.
Quellen
- BSI IT-Grundschutz – OPS.2.3 Nutzung von Outsourcing (Edition 2023)
- BSI – Qualifizierte Dienstleister (Auswahlkriterien und Verfahren)
- BSI – Cybersicherheit für KMU: Die TOP 14 Fragen (3. Auflage, PDF)
- ENISA – Cybersecurity guide for SMEs: 12 steps (2021)
Geprüft am 07.10.2026.
Die Inhalte dienen der allgemeinen Orientierung und ersetzen keine individuelle Rechts-, Vertrags- oder Datenschutzberatung.