Ein IT-Dienstleister erhält je nach Auftrag weitreichenden Einblick in Systeme, Benutzerkonten, Geräte, Dateien und Geschäftsprozesse. Bei einer Wartung können administrative Rechte erforderlich sein. Bei einer Cloud-Migration werden unter Umständen große Datenbestände verarbeitet. Beim Support können Mitarbeitende versehentlich vertrauliche Informationen übermitteln. Die Auswahl betrifft deshalb nicht nur Preis, Reaktionszeit und Fachwissen, sondern auch die Frage, wie Risiken begrenzt und nachvollziehbar kontrolliert werden.
Für kleine Betriebe ist diese Prüfung besonders wichtig, weil IT-Aufgaben häufig auf wenige Personen verteilt sind. Fällt eine zentrale Ansprechperson aus oder wird ein Dienstleister kurzfristig gewechselt, fehlen möglicherweise Informationen über Passwörter, Sicherungen, Netzwerkgeräte oder laufende Verträge. Gute Sicherheitsanforderungen schaffen hier klare Zuständigkeiten. Sie verhindern außerdem, dass ein externer Zugang dauerhaft bestehen bleibt, obwohl der ursprüngliche Auftrag längst beendet ist.
Vor der Beauftragung sollte daher ein schriftlicher Prüfprozess stehen. Dabei geht es nicht darum, jedes technische Detail selbst zu bewerten. Entscheidend ist, ob der Anbieter Risiken verständlich erläutert, Verantwortlichkeiten akzeptiert und geeignete Nachweise vorlegen kann.
Bevor Angebote eingeholt werden, sollte der Betrieb festhalten, welche Systeme und Informationen betroffen sind. Eine kurze Bestandsaufnahme schafft eine belastbare Grundlage für Gespräche. Zu prüfen sind unter anderem:
Für jede Kategorie kann der Schutzbedarf nach Vertraulichkeit, Integrität und Verfügbarkeit beschrieben werden. Vertraulichkeit bedeutet, dass nur berechtigte Personen Informationen sehen. Integrität bedeutet, dass Daten und Konfigurationen nicht unbemerkt verändert werden. Verfügbarkeit beschreibt, wie schnell ein System nach einer Störung wieder genutzt werden muss.
Zusätzlich sollte festgelegt werden, welche Folgen ein Sicherheitsvorfall hätte. Ein kompromittiertes E-Mail-Konto kann für Phishing missbraucht werden. Der Ausfall einer Warenwirtschaft kann die Arbeit unterbrechen. Der Verlust einer unverschlüsselten Datensicherung kann rechtliche und wirtschaftliche Folgen haben. Diese Bewertung hilft, Sicherheitsanforderungen zu priorisieren und verhindert, dass alle Leistungen pauschal gleich behandelt werden.
Allgemeine Aussagen wie hoher Sicherheitsstandard oder langjährige Erfahrung sagen wenig über den tatsächlichen Ablauf aus. Besser sind Fragen, die eine konkrete Vorgehensweise verlangen. Dazu gehören:
Wichtig ist nicht nur der Inhalt der Antwort, sondern auch ihre Nachvollziehbarkeit. Ein seriöser Anbieter sollte erklären können, welche Rollen, Prozesse und technischen Maßnahmen hinter einer Aussage stehen. Ausweichende Formulierungen, fehlende Dokumentation oder der Wunsch nach einem unbeschränkten Dauerzugang sollten als Warnzeichen behandelt werden.
Das Prinzip der geringsten Berechtigung bedeutet, dass eine Person oder ein technisches Konto nur die Rechte erhält, die für eine bestimmte Aufgabe notwendig sind. Ein Dienstleister benötigt für die Einrichtung eines Druckers andere Berechtigungen als für eine Servermigration. Diese Unterschiede sollten sich im Zugriffskonzept widerspiegeln.
Zu empfehlen sind persönliche Konten statt gemeinsam genutzter Administratorzugänge. Persönliche Konten ermöglichen eine Zuordnung von Änderungen und erleichtern die Sperrung einzelner Zugriffe. Mehrstufige Authentisierung sollte für Fernzugänge, Administratorkonten und zentrale Cloud-Dienste vorgesehen werden, sofern die Systeme diese Funktion unterstützen. Ein Zugang per gemeinsamem Passwort ohne Protokollierung lässt sich bei einem Vorfall kaum zuverlässig nachvollziehen.
Temporäre Zugänge sind dauerhaften Berechtigungen vorzuziehen. Der Auftrag kann eine Start- und Endzeit, den Zweck des Zugriffs sowie die zuständige interne Freigabe enthalten. Nach Abschluss sollte geprüft werden, ob Konten, VPN-Zugänge, API-Schlüssel, Fernwartungsagenten und hinterlegte Zertifikate noch benötigt werden. Auch die Zugriffsrechte des Dienstleisters auf Dokumentationssysteme und Backup-Speicher müssen berücksichtigt werden.
Bei Notfallzugängen kann ein kontrollierter Ausnahmeprozess sinnvoll sein. Ein solcher Zugang sollte besonders geschützt, seine Nutzung protokolliert und nach dem Einsatz überprüft werden.
Fernwartung spart Zeit, vergrößert aber die Angriffsfläche. Vor der Beauftragung sollte deshalb geklärt werden, welches Werkzeug verwendet wird, wer eine Sitzung startet und ob der Zugriff aktiv bestätigt werden muss. Ein dauerhaft erreichbarer Agent auf vielen Geräten kann bei einer kompromittierten Anbieterumgebung zum Risiko werden.
Zu den technischen Mindestfragen gehören die Verschlüsselung der Verbindung, die Mehrstufenanmeldung, die Beschränkung auf freigegebene Geräte und die Protokollierung wichtiger Aktionen. Protokolle sollten zeigen, welcher Benutzer wann auf welches System zugegriffen hat. Dabei ist zu prüfen, wie lange diese Daten aufbewahrt werden und wer sie einsehen darf. Eine Aufzeichnung des Bildschirminhalts kann in bestimmten Fällen unverhältnismäßig sein und sollte nicht ohne klare Notwendigkeit eingesetzt werden.
Monitoring muss ebenfalls abgegrenzt werden. Der Anbieter sollte erläutern, welche Geräte, Dienste und Ereignisse überwacht werden. Dazu gehören etwa fehlgeschlagene Anmeldungen, ungewöhnliche Datenübertragungen, ausgefallene Sicherungen oder veraltete Softwarestände. Ein Alarm allein schützt noch nicht. Vereinbart werden müssen die Zustellung, die Bewertung und die Reaktionszeit. Außerdem sollte feststehen, wer bei einem Alarm entscheidet und welche Maßnahmen ohne zusätzliche Freigabe ausgeführt werden dürfen.
Verarbeitet ein IT-Dienstleister personenbezogene Daten im Auftrag, kann eine Vereinbarung zur Auftragsverarbeitung nach Artikel 28 der Datenschutz-Grundverordnung erforderlich sein. Ob diese Voraussetzung vorliegt, hängt von der konkreten Tätigkeit ab. Eine rechtliche Prüfung durch die zuständige interne Stelle oder eine fachkundige Beratung kann deshalb notwendig sein.
Vor der Unterzeichnung sollten die Verarbeitungstätigkeiten und die betroffenen Datenarten beschrieben werden. Relevant sind etwa Kundendaten, Kontaktdaten, Beschäftigtendaten, Kommunikationsinhalte oder Protokolldaten. Ebenfalls zu klären sind Zweck, Dauer, Löschung oder Rückgabe der Daten, technische und organisatorische Maßnahmen sowie der Umgang mit Unterauftragnehmern.
Der Dienstleister sollte mitteilen, in welchen Ländern Daten verarbeitet oder gespeichert werden. Bei Übermittlungen in Staaten außerhalb des Europäischen Wirtschaftsraums gelten besondere datenschutzrechtliche Anforderungen. Eine pauschale Zusicherung, alle Daten seien geschützt, ersetzt keine konkrete Beschreibung der Verarbeitungsorte und Schutzmaßnahmen.
Datenschutz und Informationssicherheit überschneiden sich, sind aber nicht identisch. Ein System kann technisch gut geschützt sein und dennoch Daten länger speichern als erforderlich. Umgekehrt kann eine korrekte Löschregel wertlos sein, wenn administrative Konten unzureichend abgesichert sind. Beide Perspektiven gehören deshalb in die Prüfung.
Sicherheitsanforderungen sollten nicht ausschließlich in einem unverbindlichen Beratungsgespräch bleiben. Sie gehören in den Vertrag, eine Leistungsbeschreibung oder eine verbindliche Anlage. Dort können unter anderem folgende Punkte geregelt werden:
Service-Level-Vereinbarungen sollten Sicherheitsereignisse getrennt von normalen Supportanfragen betrachten. Eine Störung ohne Sicherheitsbezug kann anders priorisiert werden als ein kompromittiertes Administratorkonto. Begriffe wie unverzüglich oder zeitnah sollten durch klare Eskalationswege und erreichbare Kontaktstellen ergänzt werden.
Auch die Haftungs- und Mitwirkungspflichten verdienen Aufmerksamkeit. Der Betrieb muss wissen, welche Informationen und Freigaben er bereitstellen muss. Der Dienstleister sollte nicht ohne dokumentierte Zustimmung produktive Systeme verändern, sofern kein definierter Notfallprozess greift.
Nachweise können die Auswahl unterstützen, ersetzen aber keine fachlichen Fragen. Ein Zertifikat nach einer anerkannten Norm beschreibt in der Regel den geprüften Geltungsbereich und den Stand zum Prüfzeitpunkt. Es bedeutet nicht automatisch, dass jede einzelne Leistung, jedes Rechenzentrum oder jeder Unterauftragnehmer davon erfasst ist.
Bei einem Nachweis sollte deshalb geprüft werden:
Hilfreich können außerdem Muster für Sicherheitsrichtlinien, Beschreibungen der Zugriffskontrolle, Informationen zu Backup-Tests oder anonymisierte Berichte über Wiederherstellungsübungen sein. Vertrauliche Prüfberichte müssen nicht vollständig herausgegeben werden. Der Anbieter sollte jedoch erklären können, welche Kontrollen geprüft wurden und wie Abweichungen behandelt werden.
Referenzen dürfen nur im Rahmen der geltenden Vertraulichkeitsregeln bewertet werden. Aussagekräftiger als ein allgemeines Lob sind nachvollziehbare Angaben zu vergleichbaren Anforderungen, dokumentierten Übergaben und der Zusammenarbeit bei Störungen.
Ein Dienstleister kann Backups verwalten, überwachen oder wiederherstellen. Die Verantwortung für die geschäftliche Wiederaufnahme bleibt dennoch eine organisatorische Frage des Betriebs. Vor der Beauftragung sollte festgelegt werden, welche Systeme gesichert werden, wie lange Sicherungen aufbewahrt werden und welche Wiederherstellungsziele gelten.
Eine Sicherung ist erst dann belastbar, wenn eine Wiederherstellung getestet wurde. Der Anbieter sollte erläutern, wie Testwiederherstellungen ablaufen, welche Ergebnisse dokumentiert werden und wie Fehler behoben werden. Zu prüfen ist außerdem, ob Backups gegen unbefugte Änderung und Löschung geschützt sind. Eine vom Produktivsystem aus erreichbare Sicherung kann bei einer Schadsoftware-Infektion ebenfalls betroffen sein.
Der Notfallplan sollte Kontaktwege, Entscheidungsbefugnisse und Prioritäten enthalten. Wer darf Systeme isolieren? Wer informiert Mitarbeitende, Kunden oder zuständige Stellen? Welche Systeme werden zuerst wiederhergestellt? Welche Informationen werden benötigt, wenn der Dienstleister nicht erreichbar ist?
Zum Ende der Zusammenarbeit müssen Backup-Daten, Verschlüsselungsschlüssel und Dokumentationen berücksichtigt werden. Eine Migration darf nicht beginnen, bevor geklärt ist, wie der Zugriff auf historische Sicherungen erhalten bleibt und wann alte Kopien gelöscht werden können.
Ein nachvollziehbarer Auswahlprozess kann in mehreren Stufen durchgeführt werden. Zuerst wird eine Anforderungsliste erstellt, die technische, organisatorische und rechtliche Punkte enthält. Danach erhalten alle Anbieter dieselben Kernfragen. Dadurch werden Angebote besser vergleichbar.
Eine Bewertungsmatrix verhindert, dass der Preis die einzige Entscheidungsgrundlage wird. Mögliche Kategorien sind Zugriffssicherheit, Datenschutz, Notfallfähigkeit, Dokumentation, Transparenz und technische Passung. Die Gewichtung sollte sich am Schutzbedarf orientieren. Ein Anbieter mit niedrigen Kosten, aber unklaren Zugriffsprozessen kann für besonders kritische Systeme ungeeignet sein.
Bestimmte Muster sollten zu Rückfragen führen. Dazu gehören pauschale Administratorrechte für alle Systeme, fehlende persönliche Konten oder die Forderung, Zugangsdaten per ungeschützter E-Mail zu übermitteln. Ebenso problematisch ist ein Vertrag, der den Einsatz beliebiger Unterauftragnehmer erlaubt, ohne Informations- oder Widerspruchsrechte zu regeln.
Vorsicht ist auch bei unklaren Verantwortlichkeiten angebracht. Wenn niemand benennen kann, wer Sicherheitsalarme bewertet, Vorfälle meldet oder Backups testet, bleibt eine wichtige Lücke bestehen. Gleiches gilt für Angebote, die Sicherheitsmaßnahmen versprechen, aber keine Angaben zur Protokollierung, Löschung und Übergabe enthalten.
Ein Anbieter muss nicht jede gewünschte Sicherheitsfunktion selbst betreiben. Er sollte Grenzen jedoch offen benennen und gegebenenfalls eine geeignete Ergänzung vorschlagen. Transparenz ist bei der Auswahl wertvoller als eine lückenlose Werbeaussage. Unklare Begriffe wie sicher, geschützt oder professionell sollten in überprüfbare Anforderungen übersetzt werden.
Die Sicherheitsprüfung endet nicht mit der Unterschrift. Vor dem ersten Zugriff sollten die vereinbarten Konten eingerichtet, Freigaben dokumentiert und Zuständigkeiten bestätigt werden. Eine Übersicht sollte enthalten, welche Personen und technischen Konten Zugriff auf welche Systeme haben. Änderungen an dieser Übersicht müssen nachvollziehbar sein.
In regelmäßigen Abständen sollte der Betrieb gemeinsam mit dem Dienstleister prüfen, ob Zugriffe noch erforderlich sind, ob offene Sicherheitsupdates bestehen und ob Sicherungen erfolgreich durchgeführt wurden. Auch Notfallkontakte und Eskalationswege können sich ändern. Nach Personalwechseln auf einer der beiden Seiten ist eine Überprüfung besonders wichtig.
Bei einer Beendigung des Auftrags braucht es einen geordneten Rückgabeprozess. Dazu gehören die Deaktivierung von Konten, der Entzug von VPN- und Fernwartungsrechten, die Rückgabe von Geräten, die Übertragung von Dokumentationen sowie die Löschung gespeicherter Zugangsdaten und Datenbestände. Die Durchführung sollte schriftlich bestätigt werden.
Die wichtigste Grundlage bleibt eine aktuelle Dokumentation. Sie muss nicht umfangreich sein, aber die entscheidenden Informationen enthalten: Systeme, Verantwortliche, Zugänge, Sicherungen, Abhängigkeiten, Verträge und Notfallmaßnahmen. Ohne diese Übersicht entsteht bei einem Wechsel ein vermeidbares Sicherheitsrisiko.
Sinnvoll sind eine Beschreibung der technischen und organisatorischen Maßnahmen, Informationen zu Zugriffs- und Fernwartungsverfahren, Angaben zu Unterauftragnehmern sowie passende Zertifikate oder Prüfberichte. Wichtig ist, den Geltungsbereich jedes Nachweises zu kontrollieren.
Dauerhafte und unbeschränkte Rechte erhöhen das Risiko. Besser sind persönliche, zeitlich begrenzte und auf den Auftrag beschränkte Zugänge. Notfallrechte sollten gesondert geschützt, freigegeben und nach jeder Nutzung überprüft werden.
Das hängt davon ab, ob und wie der Dienstleister personenbezogene Daten im Auftrag verarbeitet. Werden solche Daten bei Support, Hosting, Monitoring oder Wartung zugänglich, sollte die datenschutzrechtliche Einordnung vor Vertragsabschluss geklärt werden.
Festgelegt werden sollten das verwendete Verfahren, die Freigabe durch berechtigte Personen, die Authentisierung, die Protokollierung, der Umfang der Aktionen, die Beendigung des Zugangs und der Umgang mit Protokolldaten.
Fragen zu Wiederherstellungstests, Erreichbarkeit, Eskalation, Ersatzverfahren und Dokumentation liefern mehr Informationen als allgemeine Versprechen. Entscheidend ist, ob Zuständigkeiten und Abläufe nachvollziehbar beschrieben und regelmäßig überprüft werden.
