«Das dachten wir, sei bei euch inbegriffen.» Diesen Satz hören wir meist dann, wenn etwas ausgefallen ist und die Zeit drängt. Managed Services und IT-Management klingen ähnlich, meinen aber nicht dasselbe. Wer den Unterschied vor der Vertragsunterschrift klärt, diskutiert ihn später nicht mitten in einem Störfall.

Was ist der Unterschied zwischen Managed Services und IT-Management?

Managed Services sind der laufende Betrieb klar definierter IT-Bausteine. IT-Management ist die Steuerung Ihrer IT als Ganzes und bleibt eine Führungsaufgabe in Ihrem Unternehmen.

Ein Managed Service ist eine umrissene Leistung: Arbeitsplätze bereitstellen, Server überwachen, Firewall-Regeln pflegen, Applikationen patchen. Umfang, Servicezeiten und Reaktionszeiten stehen im Vertrag. Abgerechnet wird meist pauschal pro Gerät oder pro Benutzerin.

IT-Management beantwortet die Fragen davor und danach. Welche Systeme braucht das Unternehmen in drei Jahren? Wie viel ist uns eine Stunde Ausfallsicherheit wert? Wer darf auf Lohndaten zugreifen? Ihr Dienstleister kann Varianten rechnen und umsetzen. Entscheiden müssen Sie.

Wer den Betrieb abgibt, gibt nicht automatisch die Zuständigkeit für Prioritäten und Zugriffsrechte ab.

Wer entscheidet, wer betreibt, wer haftet?

Sie entscheiden, Ihr Dienstleister betreibt, und haftbar gegenüber Kunden und Behörden bleibt Ihr Unternehmen. Trennen Sie diese drei Rollen, bevor Sie über Preise sprechen.

Die Begriffe geraten im Alltag durcheinander. Entscheiden heisst, den Rahmen festlegen: Budget, Berechtigungen, geforderte Verfügbarkeit. Betreiben heisst, diesen Rahmen technisch umsetzen und überwachen. Haften heisst, gegenüber Kunden, Behörden und Gesetz geradezustehen.

Die folgende Übersicht zeigt das Grundmuster entlang der Bausteine, die BeSync als Managed Workplace für Schweizer KMU und Managed Services anbietet. Verbindlich ist immer Ihr Servicevertrag mit dem zugehörigen Service-Level-Agreement (SLA).

In der letzten Spalte stehen keine technischen Aufgaben, sondern Freigaben und Meldungen. Wird ein Austritt nicht gemeldet, bleibt der Zugang bestehen, egal was im SLA steht.

Warum entstehen trotz Vertrag Missverständnisse?

Weil Verträge Leistungen beschreiben, Erwartungen aber Ergebnisse meinen. Im Vertrag steht «Überwachung der Server». Im Kopf der Geschäftsführerin steht «unsere Daten sind sicher».

Dazu kommen drei praktische Ursachen. Erstens unscharfe Begriffe: «inbegriffen», «24/7» und «Support» bedeuten je nach Anbieter etwas anderes. Zweitens Lücken zwischen mehreren Lieferanten – Internetanbieter, Telefonie, Fachapplikation und IT-Partner zeigen im Störungsfall gern aufeinander. Drittens fehlt die Übersetzung ins Geschäftliche: Eine Reaktionszeit von vier Stunden klingt harmlos, bis man sie mit dem eigenen Tagesgeschäft verrechnet.

Welche Aufgaben bleiben auch mit Managed Services bei Ihnen?

Vier Aufgaben lassen sich vertraglich nicht übertragen: Risikoentscheide, die Freigabe von Zugriffsrechten, die Meldung von Änderungen und die Kontrolle des Dienstleisters.

Das Bundesamt für Cybersicherheit (BACS) formuliert es deutlich: Verantwortung lässt sich weder auslagern noch delegieren. Kommt es zu einem Vorfall, steht Ihr Unternehmen am Ende der Haftungskette. Das gilt unabhängig davon, wie sorgfältig Ihr Partner arbeitet.

Praktisch brauchen Sie deshalb einen Auftragsbearbeitungsvertrag und eine Antwort auf die Frage, ob Ihre Daten in der Schweiz, in der EU oder in einem Drittstaat liegen. Dazu kommt die periodische Überprüfung der vereinbarten Leistungen. Das revidierte Datenschutzgesetz verlangt diese Übersicht von Ihnen, nicht von Ihrem Dienstleister.

Wie prüfen Sie einen bestehenden Vertrag?

Nehmen Sie den Vertrag zur Hand und markieren Sie jede Leistung, bei der Sie nicht in einem Satz sagen können, was im Ernstfall geschieht. Das sind Ihre Traktanden für die nächste Vertragsbesprechung.

Das BACS empfiehlt Unternehmen, ihrem IT-Partner unter anderem diese Fragen zu stellen:

• Wo genau liegen unsere Daten, und gibt es einen Auftragsbearbeitungsvertrag?
• Wie sieht das Backup-Konzept aus, und wann wurde die Wiederherstellung zuletzt erfolgreich getestet?
• Sind alle Zugänge mit Mehr-Faktor-Authentisierung geschützt, auch die Fernwartung?
• Welche Überwachung ist inbegriffen, und wer wird wann alarmiert?
• Wer ist nachts und am Wochenende erreichbar, und was kostet ein Notfalleinsatz?

Fazit

Der Betrieb lässt sich auslagern, die Haftung nicht. Gehen Sie Ihren Vertrag deshalb Baustein für Baustein durch und notieren Sie zu jedem, wer entscheidet, wer betreibt und wer haftet. Wo Sie eine Spalte nicht ausfüllen können, haben Sie ein Thema für das nächste Gespräch mit Ihrem Dienstleister. Klären Sie es, bevor Sie den Vertrag verlängern.