IT-Ansprechpartner ohne IT-Abteilung: Wer entscheidet?

Wenn in einem kleinen Unternehmen eine Freigabe für ein neues Gerät, ein Update oder ein Sicherheitsthema fehlt, liegt das selten an der Technik. Häufig fehlt eine interne Person mit Entscheidungsbefugnis. Dann stocken Freigaben, Beschaffungen und Prioritäten, und keine vertraglich zugesicherte Reaktionszeit kann das ausgleichen. Genau hier wird IT-Support für kleine Unternehmen zur Frage der Rollenklärung statt der Technik: Externe Dienstleister können entlasten, aber sie brauchen einen internen Ansprechpartner, der entscheidet.

Dieser Beitrag zeigt, warum die fehlende Ansprechperson der eigentliche Engpass ist, was Zahlen über KMU sagen und welche Aufgaben ohne interne Entscheidungsbefugnis konkret liegen bleiben. Sie erfahren, was intern entschieden werden muss und was nicht, was ein externer Partner übernehmen kann, etwa Helpdesk, RMM, Microsoft 365 und Backup, und wie Sie die interne IT-Rolle in der Praxis besetzen. Eine Checkliste hilft zu prüfen, ob die Rolle wirklich besetzt ist. Anschließend regeln Sie Schnittstelle, Eskalation und Vertrag. Das Fazit: Erst die Rolle klären, dann den Vertrag schließen.

Warum die fehlende Ansprechperson der eigentliche Engpass ist

Wie im Einstieg gezeigt, scheitert externe IT-Betreuung selten an der Technik. Eine vertragliche Reaktionszeit regelt, wie schnell der Dienstleister reagiert. Sie regelt nicht, wer auf Kundenseite Ja sagt, Angebote zeichnet oder ein Wartungsfenster bestätigt. Reaktionszeit und Entscheidungszeit sind zwei verschiedene Grössen.

Offerten liegen wochenlang ungeprüft, Softwareänderungen warten auf eine Unterschrift, Benutzerkonten werden nicht freigegeben, und die Ticket-Priorisierung richtet sich nach der lautesten Stimme statt nach der Kritikalität des Systems. Die interne Rolle verlangt kein Technikwissen. Sie verlangt ein Mandat, ein kalkuliertes Zeitbudget und die Bereitschaft, innerhalb vereinbarter Grenzen selbst zu entscheiden.

Die Folgekosten sind messbar: Der Dienstleister arbeitet im Wartemodus, parallele Notlösungen entstehen, und Sicherheitslücken bleiben offen, weil Patches oder Konfigurationsänderungen nicht abgenommen werden. Für KMU in der Zentralschweiz bedeutet das in der Praxis: eine namentlich benannte interne Person und ein regional erreichbarer externer Dienstleister als verlässliches Gegenüber. Fehlt diese Person, wird auch der IT-Provider-Wechsel für KMU zum Risiko, weil niemand Freigaben und Dokumentation verantwortet.

Hohe Bedeutung, wenig Umsetzung: Was die Zahlen über KMU sagen

Die Zahlen stützen diese Beobachtung. Der BSI-Lagebericht 2025 zählt im Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025 durchschnittlich 119 neue Sicherheitslücken pro Tag. Der Verlauf: 68 (2022), 78 (2023), 96 (2024). Rund 80 Prozent der gemeldeten Fälle betreffen KMU, oft mit wenig Ressourcen und Know-how für Abwehr und Aufarbeitung. Laut einem Bericht über Ransomware-Angriffe rangiert Deutschland unter den am häufigsten betroffenen Ländern weltweit.

Die Angriffsfläche ist offen: 61 Prozent der erreichbaren .de-Domains nutzen ausschliesslich IPv4, bei 47 Prozent der IP-Adressen waren sensible Informationen öffentlich einsehbar. Adressen, Zugänge und Verzeichnisse lassen sich mit wenig Aufwand absuchen.

Die Lücke zwischen Einschätzung und Umsetzung zeigt die WIK-Studie 2017: Zwei Drittel der kleinen KMU hielten IT-Sicherheit für hoch bedeutsam, nur rund 20 Prozent führten eine IT-Sicherheitsanalyse durch. Ältere Untersuchungen zeigen bereits, dass IT-Leitung und Geschäftsführung die Sicherheitslage unterschiedlich einschätzen und Steuerungsdefizite entstehen. Die Lücke besteht fort. Der Trend 2025: viele leicht umsetzbare Angriffe statt einzelner Grossangriffe, zunehmend Datenverschlüsselung mit Erpressung. Für Schweizer KMU mit EU-Lieferketten steigt der Druck zusätzlich, etwa durch NIS2 und NISG 2026.

Einordnung: Die Zahlen beziehen sich auf Deutschland; vergleichbare öffentliche KMU-Zahlen für die Schweiz liegen in dieser Quellenauswahl nicht vor.

Was ohne interne Entscheidungsbefugnis konkret ins Stocken gerät

Im Betriebsalltag wird diese Lücke konkret: Ohne benannte Entscheidungsbefugnis stockt nicht die Technik, sondern der Prozess davor.

• Freigaben: Änderungen an Servern, neue Benutzerkonten, MFA-Einführung oder Ausnahmen bei Zugriffsrechten warten auf eine Entscheidung, die niemand treffen darf. Der Dienstleister kann vorbereiten, aber nicht abzeichnen.
• Beschaffungen: Hardware-Ersatz, Lizenzen oder zusätzlicher Speicher bleiben liegen, weil die Offerte vorliegt, aber niemand über den Betrag entscheiden kann. Jede Woche Verzug verteuert den Ersatz meist. Was reaktive Ausgaben über die Zeit kosten, zeigt die Analyse zu den IT-Kosten für KMU.
• Prioritäten: Ohne festgelegte Reihenfolge konkurrieren alle Anliegen gleichzeitig. Wer die Kritikalität seiner Systeme nie benannt hat, erhält eine Priorisierung nach Zuruf statt nach Geschäftsrisiko.
• Notfälle: Bei Ransomware-Verdacht oder Datenverlust muss jemand über Sofortmassnahmen entscheiden: Systeme abschalten, Forensik beauftragen, nach aussen kommunizieren. Fehlt die Vollmacht, vergehen die ersten Stunden ungenutzt.
• Projekte: Migrationen zu Microsoft 365, Serverablösungen oder Backup-Umbauten starten nicht, weil Abnahmen und Meilenstein-Freigaben ausbleiben. Der Dienstleister wartet, der Nutzen verzögert sich.

Einordnung: Diese Abläufe sind Beobachtung aus der Betreuungspraxis, nicht durch die genannten Studien direkt belegt. Die BSI-Broschüre Cybersicherheit für KMU stellt zuerst die Frage nach der Verantwortung; die Symptome zeigen sich im Projektalltag.

Was intern entschieden werden muss und was nicht

Damit aus den beschriebenen Stockungen ein klarer Ablauf wird, muss das KMU sechs Entscheidungen intern verankern.

Budgetrahmen: Wie viel darf jährlich in Betrieb, Ersatz und Sicherheit fliessen, und bis zu welchem Betrag entscheidet die benannte Person selbst, ohne die Geschäftsleitung einzuschalten?

Priorisierung: Welche Systeme und Prozesse sind geschäftskritisch? Diese Einschätzung kommt aus den Fachbereichen, nicht vom Dienstleister, denn nur das Unternehmen kennt seine Abhängigkeiten.

Risikoakzeptanz und Compliance: Wie lange darf ein System ausfallen, welche Daten dürfen wo liegen, welche Aufbewahrungs- und Zugriffsregeln gelten? Das ist eine Führungsentscheidung.

Freigaben: Wer genehmigt neue Konten, Rollenwechsel, Ausnahmen von Sicherheitsregeln und den Zugriff des Dienstleisters auf Systeme?

Governance: Eine namentlich benannte Person mit Mandat, eine Stellvertretung und ein definierter Eskalationsweg zur Geschäftsleitung. Zuständigkeiten sind organisatorischer Aufwand, kein Technikaufwand.

Ausführung extern: Monitoring, Patch-Management, Helpdesk, Backup-Kontrolle und Administration können vollständig extern laufen. Intern bleibt die Entscheidung, extern die Umsetzung. Genau diese Trennung ist der Kern des Rollenmodells. Wie die Schnittstelle vertraglich sauber aufgesetzt wird, zeigt externer IT-Support für KMU.

IT-Support für kleine Unternehmen: Was ein externer Partner übernehmen kann

Nachdem geklärt ist, was intern entschieden wird, lässt sich der externe Teil sauber beschreiben. Ein verlässlicher externer IT-Partner wie KMU Informatik Support übernimmt die Ausführung und bereitet Entscheidungen vor, ersetzt sie aber nicht.

• Beratung und Architektur: Unabhängige Beratung und Planung der Systemlandschaft, bevor Hardware und Lizenzen gekauft werden. Das bereitet die Investitionsentscheidung vor, trifft sie aber nicht.
• Server und Cloud: Planung, Migration und Betrieb von Serverlandschaften auf Basis von Proxmox VE sowie angepassten Hypervisor-Architekturen.
• Microsoft 365: Einrichtung, Administration und Absicherung mit Exchange Online, Teams, SharePoint und Entra ID.
• Netzwerk und Sicherheit: Auslegung von Netzwerkinfrastrukturen, VPN-Verbindungen und Enterprise-Firewalls, unter anderem Securepoint, plus Endpoint Security, Zugriffskontrollen, E-Mail-Sicherheit und Disaster-Recovery-Strategien.
• Laufender Betrieb: Proaktives Systemmanagement mit Überwachung und automatisiertem Patch-Management aller Clients und Server über Atera RMM, Helpdesk mit Remote-Support und Vor-Ort-Einsätze im Raum Zentralschweiz.
• Speicher, Telefonie, Kommunikation: Backup- und Speicherkonzepte auf Basis lokaler und hybrider Synology NAS-Systeme mit Datensicherungslösungen wie Beeam, 3CX-Telefonanlagen sowie Anbindung von Kundenkommunikationsplattformen wie Respond.

Die Grenze bleibt: Was der Dienstleister übernimmt, steht im Vertrag. Budget, Priorität und Risiko entscheidet das Unternehmen. Wer beides vermischt, erhält Betrieb ohne Steuerung. Die passende Schnittstelle für IT-Support für kleine Unternehmen beschreibt IT-Support für KMU und Management.

Die interne IT-Rolle in der Praxis besetzen

Damit ist die Aufgabenteilung klar. Nun entscheidet die Besetzung auf Kundenseite.

Person benennen statt Funktion beschreiben. Ein Eintrag im Organigramm genügt nicht; es braucht einen Namen und eine Stellvertretung. Ideal ist jemand mit Entscheidungsbefugnis, nicht die Person mit der meisten PC-Erfahrung.

Mandat schriftlich festhalten. Entscheidungsgrenzen in Beträgen, Freigaberechte für Änderungen, Notfallvollmachten und ein definierter Eskalationsweg. Ohne Schriftlichkeit bleibt die Rolle informell und wird im Tagesgeschäft verdrängt.

Zeitbudget einplanen. Ein fester Kalenderblock pro Woche für Freigaben, offene Tickets und Abstimmung mit dem Dienstleister. Gepflegte Dokumentation senkt den Aufwand spürbar. Die Verzahnung mit dem 1st- und 2nd-Level-Support entlastet zusätzlich.

Aufgabenkatalog definieren. Systemliste mit Kritikalität pflegen, Freigaben erteilen, Prioritäten setzen, Ansprechpartner für den Dienstleister sein und Sicherheitsvorfälle im Unternehmen richtig melden.

Menschen einbeziehen. Die BMWi-Studie zu IT-Dienstleistern führt Kapitel zu Risikofaktor Mensch und Zuständigkeiten im Unternehmen. Kurze Sensibilisierung, klare Meldewege und eine benannte Ansprechperson wirken dort, wo Technik nicht greift.

Dienstleister-Onboarding. Zugänge, Kontakte, Notfallplan und Kritisysteme übergeben, damit im Ernstfall niemand nach Unterlagen suchen muss. Das ist Aufgabe der internen Rolle, nicht des Dienstleisters. Ob sie wirklich besetzt ist, zeigt der nächste Abschnitt.

Checkliste: Ist die interne IT-Rolle wirklich besetzt?

Die Rolle ist definiert, das Mandat schriftlich. Nun prüft die folgende Checkliste, ob die Besetzung auch im Alltag trägt.

• Namentlich benannt und der Belegschaft bekannt, inklusive Stellvertretung? Eine Rolle im Organigramm genügt nicht; Name, Stellvertretung und Kommunikation an alle Mitarbeitenden sind Pflicht.
• Budgetkompetenz mit definierter Betragsgrenze und Freigaberecht für Änderungen? Ohne diese Grenze entscheidet die Person nicht, sondern fragt zurück.
• Sicherheitsvorfall: Wer entscheidet über Sofortmassnahmen, und wie ist diese Person ausserhalb der Bürozeiten erreichbar? Erreichbarkeit und Vollmacht müssen vor dem Ernstfall geklärt sein.
• Schriftliche Freigabeprozesse für Änderungen, neue Zugänge, Ausnahmen und Beschaffungen? Mündliche Absprachen verdrängen sich im Tagesgeschäft.
• Aktuelle Systemliste mit Kritikalität, Verantwortlichen und Vertragspartnern? Sie ist die Grundlage für Priorisierung und für die Frage, wer im Störungsfall zuständig ist. Auch die Firewall-Konfiguration gehört darauf: Firewall für KMU: Was die Standardkonfiguration nicht schützt.
• Klare Schnittstelle zum externen Dienstleister mit Ticketkanal, Eskalationsstufen und festem Review-Takt? Ohne diese Schnittstelle gehen Anfragen verloren oder werden doppelt bearbeitet.
• Gemeinsame Kennzahlen: offene Tickets, Patch-Stand, letzte erfolgreiche Backup-Wiederherstellung? Diese Zahlen zeigen, ob Betrieb und Sicherheit tatsächlich funktionieren.
• Mindestens ein Quartalstermin zwischen interner Rolle, Dienstleister und Geschäftsleitung? Dort werden Prioritäten nachgeführt und Budgetfragen geklärt.

Die Checkliste zeigt Lücken. Der nächste Schritt ist, die Zusammenarbeit verbindlich zu regeln.

Zusammenarbeit regeln: Schnittstelle, Eskalation und Vertrag

Nach der Checkliste folgt der nächste Schritt: die Zusammenarbeit selbst regeln. Das Onboarding klärt Zugänge und Notfallkontakte – danach gilt: eine Schnittstelle statt vieler Kanäle. Anfragen laufen ausschliesslich über das Ticketportal oder die Helpdesk-Hotline des Dienstleisters, gebündelt über die benannte interne Person. So wird nichts doppelt oder gar nicht bearbeitet.

Eskalationsstufen schriftlich: Ab wann wird aus einem Ticket ein Vorfall, wer informiert die Geschäftsleitung, und ab welcher Dauer braucht es einen Workaround?

Vertragsgespräch: Reaktionszeiten und Service-Level beschreiben, wie schnell reagiert wird, nicht wie schnell intern entschieden wird. Entscheidungswege gehören deshalb ebenfalls in den Vertrag.

Review-Takt: Monatlich Tickets, Patch-Stand, Backups und Projekte, quartalsweise Budget und Prioritäten. So werden Freigaben zur Routine. Einmal jährlich eine Notfallübung, von der Meldung über die Entscheidung bis zur Wiederherstellung. Sie zeigt, ob die Rolle nur auf Papier existiert.

Dokumentation: Auf beiden Seiten festhalten, wer welche Entscheidung worauf gestützt getroffen hat. Das schützt bei Audits, Versicherungsfragen und beim Wechsel des Dienstleisters.

Fazit: Erst die Rolle, dann der Vertrag

Eine klare Schnittstelle, Eskalationsstufen und ein Review-Takt wirken jedoch nur, wenn auf Kundenseite jemand entscheiden darf. Die beschriebene Lücke schliessen vier Schritte:

1. Person benennen: eine namentlich benannte Person mit Stellvertretung und schriftlichem Mandat. Die Rolle braucht kein Technikwissen, aber Zeit und Entscheidungsbefugnis.
2. Entscheidungsgrenzen festhalten: Betragsgrenzen, Freigabeprozesse und Notfallvollmachten schriftlich regeln. Damit ist klar, wer Änderungen, Zugriffe und Sofortmassnahmen abzeichnet.
3. Schnittstelle definieren: Ticketkanal, Eskalationsweg und Review-Takt zum externen Dienstleister festlegen. Die interne Rolle bleibt die einzige Entscheidungsstelle, der Dienstleister liefert die Ausführung.
4. Jährlich prüfen: Checkliste durchgehen und Systemliste mit Kritikalität, Verantwortlichen und Vertragspartnern nachführen.

Wer Betrieb auslagern will, ohne die Entscheidungen mitzuliefern, bekommt Reaktionszeiten ohne Wirkung. Wer die interne Rolle klärt, macht aus IT-Support für kleine Unternehmen einen steuerbaren Teil der Geschäftsführung.