Unternehmen ohne eigenen IT-Administrator: Was abgedeckt sein muss

Wer macht bei Ihnen heute die IT?

In kleineren Unternehmen meist „derjenige, der sich auskennt“. Die Buchhalterin, die mit dem Drucker zurechtkommt, der Betriebsleiter, der früher einmal im Helpdesk gearbeitet hat, oder der Sohn des Inhabers. Das funktioniert, bis etwas passiert, womit niemand täglich zu tun hat: ein durchgebrannter Server, verschlüsselte Daten, ein Mitarbeiter, der geht und dem niemand die Zugänge entzogen hat.

Das Problem liegt nicht im Geschick dieser Menschen. Es liegt darin, dass die Verantwortung nirgends festgeschrieben ist und man sie deshalb in der Krise erst suchen muss, und dass über IT sporadisch entschieden wird, wenn schon etwas nicht mehr funktioniert.

Welche Bereiche muss jemand verantworten?

Vier, und der Fehler liegt meist darin, dass man sich nur um einen kümmert. Die Infrastruktur, also Server, Netzwerke und deren Überwachung. Die Endgeräte und die Software darauf. Die Cybersicherheit, also der Schutz und ein Vorgehen für den Fall, dass etwas passiert. Und der Einkauf von Hardware, damit nicht jedes Mal woanders und anders gekauft wird.

Wenn mehrere Dienstleister dafür zuständig sind, sind nicht ihre Rechnungen der größte Kostenfaktor, sondern die Zeit, die man mit der Klärung verbringt, wessen Aufgabe etwas ist. Bei einem Ausfall zeigt sich das in vollem Umfang: Jeder bestätigt, dass sein Teil funktioniert.

Was zeigt ein IT-Audit?

Wo das Unternehmen wirklich steht, und das weicht meist von der Vorstellung der Geschäftsleitung ab. Das Audit umfasst mehr als fünfzig Technologiebereiche, und sein Zweck ist keine Liste von Befunden, sondern die Antwort auf die Frage, ob das Unternehmen bereit ist, einem Angriff standzuhalten, und was zuerst zu tun ist.

Das Ergebnis ist daher ein nach Prioritäten geordneter Maßnahmenplan sowie Empfehlungen, wohin IT-Investitionen fließen sollten. Für Inhaber ist Letzteres oft wertvoller als Ersteres: Das IT-Budget wird üblicherweise für das ausgegeben, was sichtbar ist, während Backups fehlen, von denen niemand weiß, dass sie seit Jahren nicht überprüft wurden.

Was sollten Sie bei sich behalten, auch wenn Sie die IT abgeben?

Die Zugänge, über die Sie Ihr Unternehmen besitzen. Das Administratorkonto für die Domain und das DNS, das Konto beim Registrar, das Abrechnungs- und Administratorkonto für Cloud-Dienste, Lizenzen und die zugehörigen Verträge. Diese Dinge soll der Dienstleister betreuen, nicht besitzen.

Das ist kein Misstrauen, sondern betriebliche Vorsicht: Wenn der Dienstleister wechselt oder der aktuelle nicht reagiert, entscheidet genau das darüber, wie schnell Sie handeln können. Unternehmen, die das unterschätzt haben, bemerken das Problem meist nicht bei der Vertragsunterzeichnung, sondern erst bei der Trennung, wenn sich zeigt, dass die Domain auf eine fremde E-Mail-Adresse registriert ist.

Ebenso bleibt die Entscheidung über Backups bei Ihnen: was gesichert wird, wie lange es aufbewahrt wird und wann zuletzt eine Wiederherstellung getestet wurde. Einen Backup-Job kann jeder einrichten; Wert hat erst der Nachweis, dass daraus tatsächlich einmal etwas wiederhergestellt wurde.

Warum verändert eine Pauschale das Budget?

Weil sie die Logik der Bezahlung umkehrt. Bei Abrechnung pro Einsatz zahlen Sie dann, wenn etwas kaputtgegangen ist, sodass sich Überwachung und Prävention für den Dienstleister am wenigsten lohnen. Bei einem regelmäßigen Monatsbetrag für einen vereinbarten Umfang zahlen Sie dafür, dass alles läuft, und das Budget hängt nicht mehr davon ab, was wann kaputtgeht.

Der zweite Unterschied liegt in der Vertretung. Ein externes Team deckt Infrastruktur, virtuelle Umgebungen, Netzwerke, Büroprogramme und Sicherheit gleichzeitig ab. Ein kleineres Unternehmen kann diesen Umfang nicht aus eigener Kraft aufbauen, weil es für jeden dieser Bereiche einen Spezialisten einstellen müsste.

Was passiert, wenn derjenige, der sich auskannte, geht?

Meist zeigt sich erst dann, wie viel nur in seinem Kopf war. Wo der Server mit der Buchhaltung läuft, warum sich dieser eine Drucker neu startet, wer den Schlüssel zum Serverschrank hat und an welche E-Mail-Adresse die Erinnerungen zu den Domains gehen. Die Übergabe dauert länger als die Kündigungsfrist, und ein Teil der Informationen wird gar nicht übergeben, weil niemand wusste, dass man danach fragen sollte.

Dagegen hilft nur eines, und das ist kein Werkzeug: eine schriftliche Aufstellung dessen, was das Unternehmen betreibt, wer es verwaltet und wie man darauf zugreift. Dieselbe Aufstellung braucht das Unternehmen übrigens auch für das Risikomanagement, sodass die Arbeit nicht doppelt anfällt.

Wann kommt ein Unternehmen allein zurecht?

Öfter, als die Werbung zugibt. Ein Unternehmen mit ein paar Notebooks, ohne eigenen Server, mit E-Mail und Dokumenten in der Cloud und ohne etwas, das rund um die Uhr laufen muss, kommt in der Regel mit einer Person am Telefon aus. Eine externe Überwachung wird dort sinnvoller, wo ein Ausfall den Betrieb stoppen würde: im Lager, in der Produktion, im Geschäft oder in der Arztpraxis.

Der zweite Auslöser ist die Regulierung. Sobald ein Unternehmen einen regulierten Dienst nach dem Gesetz über die Cybersicherheit erbringt, ist Sicherheit keine Ermessensfrage mehr, sondern eine Frage des Nachweises.

Ob das Gesetz Sie betrifft und in welchem Regime, behandelt ein eigener Artikel. Die Verwaltung von Infrastruktur, Netzwerken und Endgeräten sowie das IT-Audit übernehmen unsere ICT-Dienstleistungen, Sicherheitsrollen, Dokumentation und Tests Securent; beides finden Sie in der Kategorie Cybersicherheit.