Viele Schweizer KMU-Inhaber glauben, sie hätten ihre IT-Betreuung geregelt, weil ein Techniker auf Abruf verfügbar ist. Doch dieser Irrtum verursacht erhebliche Kosten in Form von ungeplanten Ausfallzeiten, Sicherheitslücken und Compliance-Risiken. Break-Fix-Support und echte Managed IT Services sind grundverschiedene Modelle mit entgegengesetzten Anreizstrukturen. Wer diesen Unterschied nicht kennt, delegiert kein Problem, sondern verschiebt es lediglich.
Dieser Beitrag zieht eine klare Linie zwischen reaktiver Störungsbehebung und proaktiver IT-Betreuung. Sie erfahren, warum RMM-gestütztes Monitoring und automatisiertes Patch-Management technisch unverzichtbar sind, welche Anforderungen das revidierte Datenschutzgesetz an Ihren IT-Partner stellt und wie SLA-Mechanismen vertraglich so verankert werden, dass sie tatsächlich schützen. Darüber hinaus beleuchtet dieser Artikel, wie eine modulare Service-Architektur KMU erlaubt, gezielt einzukaufen statt überdimensionierte Pakete zu akzeptieren, und welche Rolle Microsoft 365 sowie virtuelle Infrastruktur in modernen Managed IT Services spielen. Am Ende verfügen Sie über ein konkretes Bewertungsraster für jeden potenziellen IT-Partner.
Break-Fix-Support vs. Managed Services: Zwei grundverschiedene Anreizmodelle
Wer IT-Support für sein KMU einkauft, steht vor einer Grundsatzentscheidung, die häufig unterschätzt wird: Break-Fix oder Managed Services. Der Unterschied ist kein Nuancenunterschied in der Leistungsbeschreibung, sondern ein fundamentaler Widerspruch in der Anreizstruktur.
Das Break-Fix-Modell rechnet nach Aufwand ab. Jede Störung, jeder Ausfall, jeder Notfalleinsatz generiert Umsatz. Ein Break-Fix-Anbieter, der Probleme verhindert, bevor sie entstehen, arbeitet gegen sein eigenes Geschäftsmodell. Proaktive Massnahmen wie Systemüberwachung, Patch-Prüfungen oder Kapazitätsplanung werden nicht vergütet und bleiben daher systematisch aus. Das ist kein Vorwurf an einzelne Techniker, sondern eine strukturelle Realität des Modells.
Managed Services IT funktioniert nach inverser Logik. Der Anbieter erhält einen fixen Monatsbetrag; je stabiler die Systeme laufen, desto profitabler arbeitet er. Prävention ist damit nicht Mehraufwand, sondern Kerninteresse. Diese Ausrichtung auf Stabilität ist das eigentliche Wertversprechen, nicht bloss schnellere Reaktionszeiten.
Im Break-Fix-Modell trägt das KMU das volle Ausfallrisiko. Wartezeiten entstehen nicht durch schlechten Willen, sondern weil der Anbieter keine vertragliche Verpflichtung zur Priorisierung hat. Wechselnde Techniker ohne Systemkenntnis sind die Norm, nicht die Ausnahme; jede Störungsbehebung beginnt mit einer Einarbeitungsphase auf Kosten des Kunden. Ungeplante Kosten entstehen genau dann, wenn das Unternehmen bereits durch den Ausfall belastet ist.
Managed IT-Services ersetzen dieses Ad-hoc-Muster durch vertragliche Verantwortlichkeit. Feste Ansprechpartner mit dokumentierter Systemkenntnis, standardisierte Übergabeprozesse und nachvollziehbare Change-Records definieren, wer was verantwortet. Weitere Details dazu, was ein strukturiertes Managed Service für Infrastruktur konkret umfasst, zeigen, wie diese Verantwortlichkeiten in der Praxis aussehen.
Die Unterscheidung hat direkte wirtschaftliche Relevanz. Für ein KMU mit 20 bis 80 Mitarbeitenden summieren sich die Kosten eines einzigen ungeplanten Server-Ausfalls schnell: Produktionsausfall, Mitarbeiterstillstand, Datenwiederherstellung und Reputationsschaden übersteigen häufig den Jahresbetrag eines Managed-Services-Vertrags. Die Frage ist nicht, ob sich Managed Services lohnen, sondern ob das KMU das Ausfallrisiko selbst tragen will.
RMM als technisches Fundament echter Managed IT-Services
Proaktiver IT-Betrieb braucht mehr als gute Absichten; er braucht eine technische Grundlage, die rund um die Uhr arbeitet, unabhängig davon, ob ein Mitarbeitender ein Ticket öffnet.
Remote Monitoring and Management (RMM) ist genau diese Grundlage. Ein RMM-System installiert auf jedem betreuten Endpoint, Server und Netzwerkgerät einen leichtgewichtigen Agenten, der kontinuierlich Metriken erfasst: CPU-Auslastung, Speicherfüllstand, Festplattengesundheit, Dienststatus, fehlgeschlagene Update-Vorgänge und Systemanomalien. Die Überwachung läuft 24 Stunden täglich, nicht nur während der Supportzeiten und nicht nur nach gemeldeten Störungen.
Was ein professionelles RMM-System konkret erkennt
Eine Plattform wie Atera, die im proaktiven Managed Services für Infrastruktur und Netzwerke zum Einsatz kommt, meldet beispielsweise, wenn sich ein Festplatten-SMART-Wert verschlechtert, bevor die Disk ausfällt; wenn ein Windows-Dienst sich unbemerkt beendet hat; oder wenn der freie Speicher auf einem Server unter einen kritischen Schwellenwert fällt. Kein Nutzer bemerkt diese Zustände zunächst, doch unbehandelt münden sie zuverlässig in ungeplante Ausfälle.
Alerts, Eskalation und kein manueller Aufwand für das KMU
Vordefinierte Schwellenwerte lösen automatisierte Alerts aus, die direkt beim zuständigen Techniker landen. Eskalationsregeln bestimmen, was bei ausbleibender Reaktion innerhalb definierter Zeitfenster geschieht. Das KMU selbst muss nichts prüfen, nichts weiterleiten und keinen Fehler erst beschreiben können. Das System liefert dem Techniker bereits den vollständigen Kontext: betroffenes Gerät, Anomalie-Typ, Zeitverlauf und betroffene Systemkomponenten.
Der entscheidende Unterschied zum Helpdesk
Ein einfacher Helpdesk reagiert auf Tickets. RMM-basierter IT-Support für KMU beseitigt Probleme, bevor ein Ticket überhaupt entsteht. Das ist kein Formulierungsunterschied, sondern ein struktureller: Der Techniker handelt auf Basis von Systemdaten, nicht auf Basis von Nutzerbeschwerden.
Daraus folgt eine praktische Prüffrage für jedes Anbietergespräch: Welches RMM-Tool setzen Sie ein, und welche Metriken werden darüber überwacht? Wer diese Frage nicht konkret beantwortet, liefert proaktiven Support als Marketingversprechen, nicht als erbrachte Leistung.
Patch-Management: Warum reaktives Vorgehen im KMU strukturell scheitert
RMM erkennt, dass ein Patch fehlgeschlagen ist. Automatisiertes Patch-Management stellt sicher, dass der Patch überhaupt und systematisch ausgerollt wird. Beides ist nötig; keines ersetzt das andere.
Die schiere Menge jährlich veröffentlichter Updates macht manuelles Patch-Management für KMU ohne dedizierten IT-Stab faktisch undurchführbar. Windows-Betriebssystem-Updates, Treiber, Sicherheits-Patches und Drittanbieter-Applikationen wie Adobe Reader, Java oder Browser erzeugen einen kontinuierlichen Strom an Aktualisierungen. Wer diese Aufgabe einem Mitarbeitenden «nebenbei» übergibt, akzeptiert strukturelle Lücken.
Was professionelles Patch-Management abdeckt
Ein automatisiertes Patch-Management im Rahmen von Managed IT-Services für KMU erfasst alle Schichten des Software-Stacks: Windows OS, Drittanbieter-Applikationen, Treiber und Security-Patches. Entscheidend ist der Rollout-Zeitpunkt: Updates werden ausserhalb der Geschäftszeiten eingespielt, sodass der Betrieb tagsüber ungestört bleibt.
Risikoklassifikation ist nicht optional
Ein pauschaler Automatismus, der jeden Patch sofort auf alle Systeme verteilt, ist ebenso problematisch wie gar kein Patching. Professionelles Patch-Management unterscheidet zwei Kategorien klar:
- Kritische Sicherheits-Patches: Sofortiger Rollout, sobald ein CVSS-Score oder Herstellerempfehlung hohes Risiko signalisiert.
- Feature-Updates: Kontrollierter Rollout nach einer definierten Testphase, um Kompatibilitätsprobleme in produktiven Umgebungen zu vermeiden.
Compliance-Relevanz unter dem revDSG
Ungepatchte Systeme sind ein bekannter Einfallsvektor für Ransomware und Datenschutzverletzungen. Reaktives Patching nach dem Prinzip «wenn Zeit ist» ist unter dem revidierten Schweizer Datenschutzgesetz (revDSG, in Kraft seit September 2023) keine vertretbare Strategie. Das Gesetz verpflichtet Verantwortliche zum Nachweis technischer Schutzmassnahmen; eine Lücke im Patch-Zyklus untergräbt diesen Nachweis direkt.
Deshalb dokumentiert ein qualifizierter IT-Partner jeden Patch-Vorgang mit Zeitstempel, Versionsnummer und Ergebnis. Diese Aufzeichnungen sind bei Audits oder nach einem Sicherheitsvorfall nachweisrelevant und unterscheiden einen compliance-fähigen Anbieter von einem, der lediglich Updates verteilt.
Compliance und Datenschutz: Was das revDSG von Ihrem IT-Partner verlangt
Neben der Patch-Dokumentation stellt das revDSG strukturelle Anforderungen an jeden IT-Partner. Es verpflichtet Verantwortliche gemäss Art. 7 Abs. 1 dazu, die Einhaltung technischer und organisatorischer Schutzmassnahmen nachweisbar zu machen. Ein IT-Partner, der keine Change-Records führt, kein Audit-Log vorhält und Systemeingriffe nicht dokumentiert, erfüllt diese gesetzliche Mindestanforderung schlicht nicht.
Change-Records, System-Audits und standardisierte Prozesse sind keine Premium-Option. Sie sind die Voraussetzung dafür, dass ein Managed-Services-Vertrag überhaupt compliance-tauglich ist. Fehlt diese Dokumentation, trägt das KMU im Störungsfall das volle Beweislastrisiko gegenüber dem EDÖB.
Swiss Data Residency
Datenhaltung in Schweizer Rechenzentren mit verschlüsselten Backups war lange ein Differenzierungsmerkmal. In regulierten Branchen wie Gesundheit, Finanzdienstleistungen und Recht entwickelt sie sich zum erwarteten Standard. Wer als IT-Dienstleister für Schweizer KMU tätig ist, muss den Speicherort aller verarbeiteten Daten benennen können, nicht erst auf Nachfrage.
RTO, RPO und vertragliche Fixierung
Hybride Backup-Konzepte auf Basis von Synology NAS, kombiniert mit verschlüsselter Replizierung in ein Schweizer Rechenzentrum, ermöglichen präzise definierte Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO). Diese Kennzahlen müssen vertraglich fixiert sein. Ein Backup-Konzept ohne messbare Wiederherstellungsziele ist für ein KMU wertlos, weil im Ernstfall unklar bleibt, wie lange der Betrieb steht und wie viel Datenverlust akzeptiert wird.
Der AV-Vertrag als Pflichtdokument
Art. 9 revDSG regelt die Zusammenarbeit zwischen Verantwortlichem und Auftragsbearbeiter verbindlich. Ein Auftragsbearbeitungsvertrag (AV-Vertrag) ist keine Formsache, sondern konstitutiv für eine rechtmässige Zusammenarbeit. KMU sollten dieses Dokument aktiv einfordern, bevor ein Vertrag unterzeichnet wird. Ein IT-Partner, der auf diese Frage ausweicht oder den AV-Vertrag erst nachreichen muss, signalisiert, dass Compliance intern keinen Stellenwert hat.
SLA-Mechanismen: Was ein KMU vertraglich einfordern muss
Nach den inhaltlichen Anforderungen aus Datenschutz und Change-Records stellt sich die operative Frage: Was ist schriftlich zugesichert, wenn etwas schiefläuft?
Ein Managed-Services-Vertrag ohne definierte SLAs ist kein Managed-Services-Vertrag. Er ist ein Dienstleistungsversprechen ohne Verbindlichkeit. Reaktionszeit (Response Time), Lösungszeit (Resolution Time) und Verfügbarkeitsgarantien müssen als messbare Grössen im Vertrag stehen, nicht in der Verkaufspräsentation.
Der Schweizer Marktstandard liegt bei vier Stunden Reaktionszeit während der Geschäftszeiten (Mo-Fr, 08:00-17:00 Uhr). Für viele KMU ist das ausreichend. Wer jedoch produktionskritische Systeme betreibt, Schichtbetrieb führt oder kundenseitige Uptime-Verpflichtungen hat, muss explizit nach verkürzten SLA-Stufen oder After-Hours-Abdeckung fragen. Solche Erweiterungen sind verfügbar, aber sie werden selten proaktiv angeboten. Was konkret in einem SLA für IT-Support für KMU geregelt sein sollte, lässt sich anhand eines strukturierten Musterrahmens prüfen.
Penalty-Klauseln und Service Credits bei SLA-Verletzungen finden sich in Schweizer IT-Verträgen nicht standardmässig, sind aber keineswegs unverhandelbar. Ihr Fehlen hat eine klare Konsequenz: Das gesamte Ausfallrisiko verbleibt beim KMU. Ein Anbieter ohne vertragliche Konsequenzen bei Nichteinhaltung hat keinen finanziellen Anreiz, SLA-Grenzen ernstzunehmen. KMU sollten diese Klauseln aktiv einfordern, auch wenn der erste Entwurf sie nicht enthält.
Mindestens ebenso kritisch sind Exit-Klauseln und Datenportabilität. Verträge müssen konkret regeln, wie RMM-Agenten bei Vertragsende deinstalliert werden, wie Konfigurationsdaten exportiert und wie Wissensdokumentationen übergeben werden. Anbieter, die diesen Punkt im Vertrag offenlassen, schaffen faktischen Lock-in, der eine spätere Ablösung teuer und riskant macht.
Schliesslich gehören Eskalationspfade in jeden Vertrag. Wer ist erreichbar, wenn der erste Techniker das Problem nicht löst? Innerhalb welcher Frist greift die nächste Eskalationsstufe? Rotierende Anonymtechniker ohne Systemkenntnis sind kein Qualitätsmerkmal, sondern ein strukturelles Risiko. Ein verlässlicher IT-Partner benennt feste Ansprechpersonen mit dokumentiertem Systemwissen, keine wechselnden Ressourcen aus einem anonymen Support-Pool.
Modulare Service-Architektur: Granular einkaufen statt monolithische Pakete akzeptieren
Klare SLA-Bedingungen definieren, was ein Partner liefert und wann. Eine ebenso wichtige Frage ist, welche Leistungsblöcke überhaupt Teil des Vertrags sind.
Moderne Managed IT-Services sind nicht länger monolithische Pakete, die ein KMU entweder vollständig abnimmt oder ablehnt. Seriöse Anbieter strukturieren ihr Portfolio in diskrete Service-Blöcke: typischerweise Service Desk, Infrastruktur, Workplace, Security und vollständiges IT-Outsourcing. Jeder Block kann unabhängig beauftragt werden, was einen sachlichen Vertragsvergleich überhaupt erst ermöglicht.
Mit einem Kernpaket beginnen, gezielt erweitern
Der praktische Einstieg für die meisten KMU ist ein Kernpaket aus RMM-Monitoring und automatisiertem Patch-Management. Dieses Fundament liefert sofortigen Mehrwert, weil es ungeplante Ausfälle reduziert, ohne dass umfangreiche Reorganisationen der internen IT nötig wären. Wächst das Unternehmen oder steigen regulatorische Anforderungen, lassen sich Security-Module oder ein vollständiger Managed Service Desk schrittweise dazubuchen.
Das Problem mit dem «All-in-One»-Paket
Ein Pauschalangebot ohne aufgeschlüsselte Leistungsbeschreibung macht eine Qualitätsprüfung unmöglich. Wenn nicht schriftlich definiert ist, welche Endpoints überwacht werden, in welchem Intervall Patches ausgerollt werden und wer bei einem Sicherheitsvorfall welche Rolle übernimmt, bleibt das Angebot eine Marketingaussage. Transparenz der Leistungsgrenzen ist kein Komfort-Feature; sie ist ein Qualitätsmerkmal, das Verantwortlichkeit erst möglich macht.
Ko-geführtes Modell für KMU mit interner IT-Kompetenz
KMU, die bereits einen internen IT-Mitarbeitenden oder einen technisch versierten Office-Manager beschäftigen, benötigen kein vollständiges Outsourcing. Ein ko-geführtes Modell ist die effizientere Lösung: Der externe Partner übernimmt RMM, Patch-Management und Security-Monitoring; interne Mitarbeitende behalten First-Level-Anfragen und applikationsspezifischen Support. Die Schnittstellen müssen vertraglich klar gezogen sein, sonst entstehen Lücken in der Verantwortung.
Messbarkeit als Mindestanforderung
Jeder Service-Block muss mit messbaren Kennzahlen hinterlegt sein: Anzahl betreuter Endpoints, Patch-Compliance-Rate in Prozent, Monitoring-Abdeckung und Ticket-Reaktionszeiten. Leistungen, die sich nicht in Zahlen ausdrücken lassen, können nicht überprüft und damit nicht eingefordert werden.
Microsoft 365 und Modern Workplace als fester Bestandteil von Managed Services IT
Workplace-Dienste sind heute kein eigenes Modul mehr, das ein KMU optional dazubucht. Exchange Online, Teams, SharePoint und Entra ID bilden für die meisten Schweizer Unternehmen die operative Kerninfrastruktur. Wer diese Umgebung nur einrichtet und dann sich selbst überlässt, betreibt keinen Managed Service, sondern einen einmaligen Projektauftrag.
Entra ID ist ein zentraler Verwaltungsbereich innerhalb von Microsoft 365. Als zentrales Identitäts- und Zugriffskontrollsystem steuert es, wer auf welche Ressourcen zugreifen darf, von welchem Gerät und unter welchen Bedingungen. Conditional Access Policies, MFA-Erzwingung für alle Benutzer und Privileged Identity Management für administrative Konten gehören zur Grundkonfiguration, nicht zur Premium-Option. Ein IT-Partner, der diese Einstellungen nicht aktiv verwaltet, hinterlässt strukturelle Angriffsflächen.
Sicherheitskonfigurationen in Microsoft 365 veralten kontinuierlich. Microsoft Defender for Office 365 erhält regelmässig neue Erkennungsregeln; Angriffsvektoren wie Business Email Compromise und Consent-Phishing verändern sich schneller, als statische Erstkonfigurationen mithalten können. Hinzu kommen aktualisierte Compliance-Anforderungen, die sich aus dem revDSG und sektorspezifischen Vorgaben ergeben. Eine verantwortungsvolle Microsoft 365-Administration für Schweizer KMU umfasst deshalb regelmässige Konfigurationsreviews, keine Einmaleinrichtung.
SharePoint-Sites und Teams-Workspaces, die ohne definierte Berechtigungskonzepte betrieben werden, sind aktive Datenschutzrisiken. Wenn jedes Mitglied eines Teams standardmässig alle Dateien sehen kann, oder wenn externe Gastkonten ohne Ablaufdatum existieren, sind interne Dokumente faktisch ungeschützt. Ein externer Partner muss Governance-Regeln mitliefern: Namenskonventionen, Zugriffsreviews, Ablaufrichtlinien für Gastkonten und Data-Loss-Prevention-Richtlinien.
Die Integration von Microsoft 365 in RMM-basiertes Monitoring schliesst eine kritische Sichtbarkeitslücke. Moderne RMM-Plattformen erlauben es, Lizenzzustand, Dienstgesundheit und Sicherheitswarnungen aus Microsoft 365 neben On-Premise-Infrastruktur wie Proxmox VE-Servern in einem einzigen Dashboard zusammenzuführen. So erkennt der IT-Partner einen fehlgeschlagenen Exchange-Mail-Flow oder einen Lizenzkonflikt mit derselben Früherkennung wie einen drohenden Festplattenausfall.
Virtuelle Infrastruktur und Storage: Technische Grundlage stabiler Managed Services
Die Cloud-Schicht rund um Microsoft 365 braucht ein stabiles Fundament darunter. Für Schweizer KMU bedeutet das konkret: On-Premise-Server, Netzwerke und Backup-Systeme, die genauso professionell betrieben werden wie die Cloud-Dienste darüber.
Proxmox VE als Hypervisor-Plattform
Proxmox VE ist eine lizenzkostenfreie Alternative zu proprietären Hypervisoren, die für das KMU-Segment relevant ist. Die Plattform bietet KVM-basierte Virtualisierung auf Enterprise-Niveau und vollständige Kontrolle über die eigene Infrastruktur. Für ein KMU mit 20 bis 60 Mitarbeitenden, das mehrere virtuelle Server betreibt, macht dieser Unterschied über drei bis fünf Jahre einen messbaren Budgeteffekt. Entscheidend ist, dass ein externer IT-Partner Proxmox VE nicht nur installiert, sondern laufend verwaltet: Clustering, Live-Migration bei Wartungsarbeiten und Snapshot-Management gehören zum professionellen Betrieb einer managed Infrastruktur für KMU.
Storage, Backup und das 3-2-1-Prinzip
Synology NAS-Systeme in hybrider Konfiguration decken die Backup-Anforderungen der meisten Schweizer KMU zuverlässig ab. Das lokale NAS dient als primäres Backup-Ziel für schnelle Wiederherstellungen; verschlüsselte Replizierung in ein Schweizer Rechenzentrum bildet die externe Kopie. Nach dem verbreiteten 3-2-1-Prinzip werden damit drei Kopien auf zwei verschiedenen Medientypen gehalten, davon eine an einem Offsite-Standort. RTO und RPO müssen — wie im Compliance-Abschnitt dargelegt — vertraglich fixiert sein.
Netzwerk und Firewall als Teil der Angriffsfläche
Firewall-Konfigurationen, segmentierte VLANs und Site-to-Site-VPN sind keine separaten Themen vom Managed-Services-Scope, sondern integraler Bestandteil davon. Enterprise-Firewalls mit IDS/IPS-Funktionen erkennen Angriffsmuster im Netzwerkverkehr, bevor sie Systeme erreichen. Wer diese Komponenten aus dem Vertragsumfang ausklammert, hat eine unüberwachte Flanke.
Proaktives Lifecycle-Management
Ein IT-Partner, der Infrastruktur betreibt, muss Kapazitätsengpässe, Hardware-Alter und Migrationsbedarf aktiv ansprechen. Server, die das Ende ihrer empfohlenen Betriebsdauer überschreiten, erhöhen das Ausfallrisiko messbar. Wer erst reagiert, wenn die Hardware ausfällt, betreibt kein Managed Service; er betreibt teuren Break-Fix mit monatlichem Pauschalpreis.
Checkliste: Woran Sie einen seriösen Managed-IT-Partner erkennen
Alle technischen Grundlagen, die in den vorangehenden Abschnitten beschrieben wurden, lassen sich nur dann sinnvoll nutzen, wenn der richtige Partner sie umsetzt. Die folgenden sechs Kriterien helfen Ihnen, seriöse Anbieter von oberflächlichen Versprechen zu unterscheiden.
RMM-Tool: Transparenz statt Blackbox
Ein verlässlicher Anbieter nennt das eingesetzte RMM-Tool beim Namen, beispielsweise Atera, und erklärt konkret, welche Metriken überwacht werden: CPU-Last, Speicherfüllstände, Dienste-Status, Backup-Ergebnisse. Ebenso wichtig ist die Eskalationslogik: Wer empfängt welchen Alert, innerhalb welcher Frist, und was passiert, wenn keine Reaktion erfolgt? Wer diese Fragen nicht beantworten kann oder will, betreibt kein echtes Proaktiv-Monitoring.
Patch-Management: schriftlich und verbindlich
Mündliche Zusicherungen reichen nicht. Die Dokumentation muss drei Fragen beantworten: Wer legt die Rollout-Fenster fest? Wie wird zwischen sicherheitskritischen Patches und Feature-Updates unterschieden? Wer übernimmt die Verantwortung bei einem fehlgeschlagenen Update? Fehlt diese Schriftlichkeit, trägt das KMU im Schadensfall das Risiko allein.
SLAs: Zahlen statt Floskeln
Reaktions- und Lösungszeiten müssen als konkrete Zeitwerte im Vertrag stehen. Formulierungen wie «schnellstmöglich» oder «zeitnah» sind juristisch wertlos. Verlangen Sie definierte Eskalationspfade: Wer übernimmt, wenn der erste Techniker das Problem nicht löst, und bis wann? (Vier Stunden während der Geschäftszeiten gilt im Markt als Referenzwert — vgl. SLA-Abschnitt.)
AV-Vertrag: proaktiv bereitgestellt, nicht auf Nachfrage
Ein revDSG-konformer AV-Vertrag muss standardmässig vorgelegt werden; fehlt er, ist das ein klares Warnsignal.
Exit-Klauseln: Partnerschaft endet, Daten bleiben Ihres
Seriöse Anbieter regeln im Vertrag, wie RMM-Agenten deinstalliert, Konfigurationsdaten exportiert und Systemdokumentationen übergeben werden. Anbieter, die diesen Punkt meiden oder vage lassen, sichern sich einen strukturellen Vorteil beim Vertragswechsel. Das ist kein Partnerschaftsverständnis.
Monatliches Reporting: Leistung messbar machen
Verlangen Sie monatliche Reports mit konkreten Kennzahlen: Patch-Compliance-Rate, Monitoring-Uptime, Ticket-Volumen nach Kategorie und geplante Massnahmen für den Folgemonat. Ein Anbieter, der keine solchen Berichte liefert, kann seinen Beitrag zum Betrieb Ihrer IT nicht nachweisen.
Fazit: Managed IT-Services richtig einfordern
Wer die Checkliste aus dem vorigen Abschnitt konsequent anwendet, stellt schnell fest: Echter IT-Support für KMU beginnt nicht beim Ticket. Er beginnt mit kontinuierlichem RMM-Monitoring, automatisiertem Patch-Management und lückenlos dokumentierten Prozessen, die Probleme verhindern, bevor sie den Betrieb unterbrechen.
Der entscheidende Perspektivwechsel liegt in der Budgetlogik. Managed-Services-Verträge sind kein Kostenfaktor, sondern strukturiertes Risikomanagement. Ein gut verhandelter Vertrag verlagert das operative IT-Risiko auf den Partner, der die Infrastruktur, die Prozesse und die Werkzeuge hat, um es zu tragen. Das KMU gewinnt Planungssicherheit; der IT-Partner trägt die Konsequenzen mangelhafter Prävention.
Vier Mindestanforderungen sind nicht verhandelbar:
- RMM-basiertes Proaktiv-Monitoring: Kontinuierliche Überwachung aller Endpoints und Server, nicht reaktives Eingreifen nach Eskalation durch Mitarbeitende.
- Automatisiertes Patch-Management: Strukturierter Rollout mit Risikoklassifikation, Rollout-Fenstern ausserhalb der Geschäftszeiten und vollständiger Dokumentation jedes Vorgangs.
- Dokumentierte Change-Records: Nachvollziehbare Aufzeichnungen aller Konfigurationsänderungen, die bei Sicherheitsvorfällen und Audits als Nachweis dienen.
- Revisionssicherer AV-Vertrag gemäss revDSG: Ohne diesen Vertrag fehlt die rechtliche Grundlage für jede Datenverarbeitung durch den externen Partner.
Wer diese Kriterien als Massstab für Anbieterauswahl und Vertragsverhandlung nutzt, trifft eine fundierte Entscheidung. Er kauft strukturiertes Risikomanagement — keine Ad-hoc-Reaktion auf Störungen.
