Viele kleine und mittlere Unternehmen kennen das: Die IT läuft, solange niemand Zeit für sie braucht. Updates bleiben liegen, die Datensicherung wird selten geprüft, und wenn ein Server ausfällt, beginnt die Suche nach der Ursache erst dann. Managed Services sind ein Weg, diesen Betrieb planbar zu machen.
Dieser Ratgeber erklärt, was Managed Services in der IT sind, welche Aufgaben ein Vertrag umfassen kann und worauf Sie bei Leistungsbeschreibung, Vertrag und Anbieterwahl achten sollten. Unser eigenes Angebot beschreiben wir auf der Seite Managed Services – IT zum Festpreis.
Was sind Managed Services?
Bei Managed Services übernimmt ein IT-Dienstleister vereinbarte Aufgaben im IT-Betrieb dauerhaft und nach festen Regeln. Man nennt ihn auch Managed Service Provider, kurz MSP. Welche Systeme er betreut, wie schnell er reagiert und welche Berichte Sie erhalten, steht im Vertrag. Abgerechnet wird dann nicht pro Einsatz, sondern als laufender Betrag für den vereinbarten Umfang.
Das Gegenmodell heißt „Break-Fix“: Ein Dienstleister wird gerufen, wenn etwas kaputt ist, und rechnet nach Aufwand ab. Das kann für unkritische Einzelaufgaben genügen. Vorbeugende Arbeit wie Updates, Überwachung und Wiederherstellungstests findet dabei aber nur statt, wenn jemand sie gezielt beauftragt.
Managed Services sind eine Form der Auslagerung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont im IT-Grundschutz-Baustein OPS.2.3, dass die Verantwortung für die Informationssicherheit dabei stets beim auslagernden Unternehmen bleibt (BSI, OPS.2.3 Nutzung von Outsourcing, Edition 2023). Sie geben also Aufgaben ab, aber nicht die Verantwortung.
Welche Aufgaben ein Managed-Service-Vertrag umfassen kann
Ein MSP übernimmt nicht automatisch die gesamte IT. Häufige Bausteine sind:
- Überwachung: Server, Arbeitsplätze und Netzwerkgeräte werden laufend auf Ausfälle, volle Datenträger oder gestoppte Dienste geprüft. Wichtig ist, wer auf eine Warnung reagiert und wie schnell.
- Updates: Sicherheitsupdates für Betriebssysteme und Programme werden geplant eingespielt, Ausnahmen werden dokumentiert.
- Datensicherung: Sicherungen laufen nicht nur, sondern werden kontrolliert. Lassen Sie sich Wiederherstellungstests zeigen, nicht nur Erfolgsmeldungen.
- Support: Anfragen der Mitarbeitenden laufen über Telefon, E-Mail oder Ticket. Manche Anfragen lassen sich per Fernwartung lösen, andere brauchen einen Termin vor Ort.
- Sicherheit: Virenschutz, Firewall, Benutzerrechte und die Überwachung auf Angriffe können Teil des Vertrags sein oder als eigene Leistung dazukommen.
- Cloud-Dienste: Verwaltung von Benutzern, Lizenzen und Einstellungen, zum Beispiel in Microsoft 365.
„Sicherheit inklusive“ ist als Vertragsangabe zu ungenau. Klären Sie, ob damit nur ein Virenschutz gemeint ist oder auch die Behandlung von Sicherheitsvorfällen.
Managed Services, eigene IT oder Abrechnung nach Aufwand?
Die drei Modelle verteilen Aufgaben und Risiken unterschiedlich. Die folgende Übersicht ist eine Orientierung, kein starres Schema. Ob ein Dienstleister alles übernehmen soll oder mehrere sich die Aufgaben teilen, vergleicht unser Ratgeber IT aus einer Hand.
| Kriterium | Abrechnung nach Aufwand | Eigene IT-Abteilung | Managed Services |
|---|---|---|---|
| Kosten | schwanken mit den Störungen | Personal, Weiterbildung, Werkzeuge | laufender Betrag für den vereinbarten Umfang, Zusatzleistungen getrennt |
| Vorbeugende Arbeit | nur, wenn beauftragt | abhängig von Zeit und Besetzung | Teil des Vertrags |
| Reaktion | abhängig von der Auslastung des Dienstleisters | abhängig von Urlaub und Krankheit | im Vertrag nach Priorität festgelegt |
| Wissen | wird bei Bedarf eingekauft | im Haus, oft bei wenigen Personen | beim Dienstleister, dokumentiert für Sie |
Mischformen sind möglich. Eine interne IT-Kraft kann zum Beispiel die Anwender betreuen, während der Dienstleister Server, Updates und Datensicherung übernimmt. Wichtig ist dann eine klare Grenze: Wer ist wofür zuständig?
Was in die Leistungsvereinbarung gehört
Die Leistungsvereinbarung heißt oft SLA, kurz für „Service Level Agreement“. Sie legt fest, was der Dienstleister im Alltag schuldet. Unterscheiden Sie dabei drei Zeiten:
- Reaktionszeit: Wie schnell beginnt der Dienstleister mit der Bearbeitung?
- Wiederherstellungszeit: Wie schnell läuft ein wichtiges System wieder, notfalls mit einer Übergangslösung?
- Lösungszeit: Bis wann ist die eigentliche Ursache behoben?
Eine kurze Reaktionszeit sagt noch nichts darüber, wann ein System wieder läuft. Achten Sie außerdem auf Servicezeiten, Prioritätsstufen und den Beginn der Zeitmessung. Ein Ausfall des Warenwirtschaftssystems braucht eine andere Priorität als ein defekter Drucker.
Das BSI empfiehlt in OPS.2.3, Leistungskennzahlen im Vertrag festzulegen und zu regeln, was gilt, wenn sie nicht erreicht werden. Sinnvolle Kennzahlen sind etwa die Einhaltung der Reaktionszeiten, offene Sicherheitsupdates und die Ergebnisse von Wiederherstellungstests. Besprechen Sie die Berichte regelmäßig, nicht erst vor einer Vertragsverlängerung.
Sicherheit und Datenschutz im Vertrag
Der IT-Grundschutz-Baustein OPS.2.3 nennt Punkte, die ein Auslagerungsvertrag regeln sollte. Für Managed Services sind diese besonders wichtig:
- Sicherheitsanforderungen: Welche Regeln zur Informationssicherheit gelten für den Dienstleister?
- Unterauftragnehmer: Der Vertrag sollte vorsehen, dass der Dienstleister Aufgaben nur mit Ihrer Zustimmung weitergibt.
- Prüfrechte: Der Vertrag sollte Ihnen das Recht geben, die Einhaltung der Vereinbarungen zu prüfen.
- Zugriffe: Auf welche Bereiche und Dienste in Ihrem Netz darf der Dienstleister zugreifen?
- Notfälle: Wer ist im Notfall und in einer Krise wofür verantwortlich?
- Vertragsende: Wie erhalten Sie Daten, Dokumentation und Geräte zurück? Werden alle Zugänge des Dienstleisters aufgehoben?
Hat der Dienstleister bei Wartung oder Fernwartung Zugriff auf personenbezogene Daten, handelt es sich nach Auffassung der Datenschutzkonferenz um eine Auftragsverarbeitung. Dann ist ein Vertrag nach Art. 28 DSGVO abzuschließen (Datenschutzkonferenz, Kurzpapier Nr. 13).
Managed Services und NIS2
Das NIS-2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 (BSI: Fragen und Antworten zu NIS-2). Betroffene Unternehmen müssen nach § 30 BSIG Maßnahmen zum Risikomanagement umsetzen. Dazu zählen unter anderem:
- die Bewältigung von Sicherheitsvorfällen,
- die Aufrechterhaltung des Betriebs, etwa durch Backup-Management und Wiederherstellung nach einem Notfall,
- die Sicherheit der Lieferkette, einschließlich der Beziehungen zu Dienstleistern,
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich des Umgangs mit Schwachstellen.
Ein MSP kann bei mehreren dieser Punkte die praktische Arbeit übernehmen, etwa bei Updates und Datensicherung. Gleichzeitig ist er selbst Teil Ihrer Lieferkette. Prüfen Sie ihn deshalb wie jeden anderen wichtigen Dienstleister. Unser Angebot zu diesem Thema finden Sie auf der Seite NIS2 und Risikomanagement.
Preismodelle verstehen
Für die Abrechnung gibt es verschiedene Modelle, zum Beispiel:
- Pro Benutzer: passt zu Unternehmen mit vielen ähnlichen Büroarbeitsplätzen. Klären Sie, wie Teilzeitkräfte und gemeinsam genutzte Konten zählen.
- Pro Gerät: passt, wenn viele Server, Rechner oder Spezialgeräte zu betreuen sind. Legen Sie fest, welche Geräteklassen dazugehören.
- Pauschale: ein fester Betrag für einen klar beschriebenen Umfang. Sie bleibt nur planbar, wenn die Grenzen genau beschrieben sind, etwa bei neuen Standorten oder zusätzlichen Cloud-Diensten.
Ein niedriger Festpreis ist kein Vorteil, wenn wichtige Leistungen gesondert abgerechnet werden. Vergleichen Sie Angebote deshalb immer anhand derselben Leistungsliste.
Checkliste für die Auswahl eines Anbieters
- Bestand: Haben Sie Systeme, Standorte, Benutzer und wichtige Anwendungen schriftlich erfasst? Ohne diese Liste sind Angebote kaum vergleichbar.
- Leistungsumfang: Welche Systeme sind enthalten, welche ausgeschlossen? Was gilt als Zusatzaufwand?
- Leistungsvereinbarung: Welche Reaktions-, Wiederherstellungs- und Lösungszeiten gelten je Priorität und zu welchen Servicezeiten?
- Überwachung: Wer bewertet Warnungen, und was passiert außerhalb der Bürozeiten?
- Sicherheitsvorfälle: Gibt es einen festen Ablauf für Verdachtsfälle, Beweissicherung und die Information der Geschäftsführung?
- Nähe: Wie schnell ist bei Bedarf jemand vor Ort?
- Nachweise: Welche Prozessbeschreibungen, Berichte oder Zertifizierungen kann der Anbieter vorlegen?
- Datenschutz: Liegt ein Vertrag zur Auftragsverarbeitung vor?
- Ausstieg: Wie laufen Rückgabe von Daten und Dokumentation und das Entziehen der Zugänge bei einem Wechsel?
Wir empfehlen, mit einem klar abgegrenzten Umfang zu beginnen und nach einigen Monaten gemeinsam auszuwerten: Ist der Bestand vollständig erfasst? Sind Tickets nachvollziehbar? Wurden Wiederherstellungstests gemacht? Danach lässt sich der Umfang begründet erweitern.
Managed Services bei der GSL Groß GmbH
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Seit 2016 bieten wir Managed Services an. Was wir zum monatlichen Festpreis übernehmen, lesen Sie auf unserer Seite Managed Services – IT zum Festpreis. Wie Sie unseren Support erreichen und wie die Fernwartung funktioniert, finden Sie auf den jeweiligen Seiten.
Wenn die Überwachung auf Angriffe für Sie im Vordergrund steht, lesen Sie mehr zu unserem Angebot für Managed Security und MDR. Wie Sie Datensicherungen dauerhaft organisieren, beschreibt unser Ratgeber zum Backup als Managed Service.
Sie möchten wissen, welche Aufgaben Sie sinnvoll abgeben können und was dafür in den Vertrag gehört? Sprechen Sie uns an.