Was passiert, wenn dein IT-Dienstleister morgen ausfällt und wie du Abhängigkeiten reduzierst

Wenn plötzlich niemand mehr ans Telefon geht

Freitagmittag fällt der zentrale Server aus. Normalerweise genügt ein Anruf beim IT-Dienstleister. Diesmal geht dort niemand ans Telefon.

Vielleicht ist der zuständige Techniker krank. Vielleicht ist er im Urlaub und seine Vertretung kennt deine Umgebung nicht. Im ungünstigsten Fall existiert das Unternehmen plötzlich gar nicht mehr oder die Zusammenarbeit endet unerwartet.

Die entscheidende Frage ist dann nicht, wie gut dein bisheriger Dienstleister gearbeitet hat.

Entscheidend ist, ob dein Unternehmen ohne ihn weiterhin Zugriff auf die eigene IT hat.

Gerade in kleinen Unternehmen entsteht über Jahre häufig eine enge Zusammenarbeit mit einem einzelnen Techniker oder Dienstleister. Er kennt die Server, hat die Firewall eingerichtet, weiß, welche Maschine welche Sonderlösung benötigt und besitzt sämtliche Administratorzugänge.

Das ist bequem und kann im Alltag hervorragend funktionieren.

Zum Risiko wird es, wenn dieses Wissen ausschließlich dort vorhanden ist.

Der Dienstleister darf wichtig sein, aber nicht unersetzbar

Ein guter IT-Dienstleister muss nicht austauschbar sein wie eine Druckerpatrone. Langjährige Erfahrung mit einem Unternehmen ist wertvoll und lässt sich nicht vollständig dokumentieren.

Trotzdem sollte ein anderer qualifizierter Fachmann in der Lage sein, die wichtigsten Systeme zu übernehmen.

Dafür muss dein Unternehmen zumindest über die Informationen und Zugänge verfügen, die für den Betrieb notwendig sind.

Dazu gehören beispielsweise die administrativen Zugänge zu Firewall, Servern, Datensicherung, zentraler Benutzerverwaltung und wichtigen Cloud-Diensten.

Ebenso wichtig sind Verträge, Lizenzinformationen, Ansprechpartner und technische Dokumentationen.

Wenn dein Unternehmen diese Dinge selbst nicht besitzt, hast du einen Teil der Kontrolle über deine eigene Infrastruktur abgegeben.

Eine brauchbare IT-Dokumentation reduziert genau diese Abhängigkeit.

Prüfe zuerst, wem die wichtigen Konten tatsächlich gehören

Ein besonders unangenehmes Problem entsteht, wenn zentrale Dienste nicht auf das Unternehmen registriert sind.

Die Domain wurde damals vom Dienstleister angelegt und läuft auf dessen Kundenkonto. Der Internetvertrag wurde über einen Ansprechpartner bestellt, dessen E-Mail-Adresse niemand mehr verwendet. Das Administratorkonto für Microsoft 365 ist mit einer persönlichen Adresse verknüpft.

Solange niemand etwas ändern muss, fällt das kaum auf.

Bei einem Wechsel beginnt dann die Suche nach Zugängen, Vertragsnummern und Eigentumsnachweisen.

Für zentrale Dienste sollte deshalb klar sein, wer Vertragspartner und Kontoinhaber ist. Geschäftskritische Konten gehören grundsätzlich in die Kontrolle des Unternehmens.

Der Dienstleister kann sie verwalten. Er sollte sie aber nicht besitzen.

Das betrifft unter anderem:

• Domain und Namensauflösung
• Webhosting
• Internetanschlüsse
• Microsoft 365 oder vergleichbare Dienste
• Datensicherung
• Firewall und Fernzugänge
• Server und Virtualisierung
• wichtige Softwarelizenzen
• Cloud-Anwendungen
• Telefonanlage

Bei einer Prüfung ist deshalb eine einfache Frage hilfreich: Könnte das Unternehmen bei jedem dieser Dienste selbst nachweisen, dass das Konto ihm gehört?

Administratorzugänge brauchen eine geregelte Übergabe

Die nächste Frage lautet: Kommt ein anderer Techniker überhaupt hinein?

In vielen Umgebungen liegen wichtige Kennwörter ausschließlich im Passwortspeicher des bisherigen Dienstleisters. Das ist aus dessen Sicht zunächst nachvollziehbar, wird aber problematisch, wenn das Unternehmen selbst keinerlei Zugriffsmöglichkeit besitzt.

Ein Geschäftsführer muss diese Kennwörter nicht kennen und sollte sie schon gar nicht für seine tägliche Arbeit verwenden.

Es braucht aber eine geregelte Möglichkeit, sie im Bedarfsfall zu erhalten.

Für den normalen Betrieb eignet sich ein zentral verwalteter Passwortmanager. Besonders wichtige Notfallzugänge können zusätzlich getrennt hinterlegt werden.

Bei einigen Unternehmen ist dafür sogar eine versiegelte Papierdokumentation im Tresor sinnvoll. Das klingt wenig modern, funktioniert aber auch dann, wenn Server, Internetzugang oder Passwortmanager gerade nicht verfügbar sind.

Wichtig ist, dass solche Notfallzugänge regelmäßig geprüft und nach wesentlichen Änderungen aktualisiert werden.

Ein Umschlag mit einem fünf Jahre alten Kennwort vermittelt nur scheinbar Sicherheit.

Auch die Konfiguration selbst kann wichtig sein

Ein Kennwort allein reicht manchmal nicht.

Wenn eine Firewall ausfällt und ersetzt werden muss, ist die aktuelle Konfiguration möglicherweise genauso wichtig wie der Administratorzugang.

Gleiches gilt für Netzwerk-Switches, Telefonanlagen, Serverdienste und bestimmte Produktionssysteme.

Deshalb sollten wichtige Konfigurationen regelmäßig gesichert werden. Bei Geräten, die den Hersteller oder das Modell wechseln können, gehört zusätzlich dokumentiert, welche Aufgabe sie übernehmen und welche besonderen Einstellungen für den Betrieb notwendig sind.

Damit wird ein Ausfall nicht automatisch einfach. Ein anderer Fachmann beginnt aber nicht bei null.

Besonders bei gewachsenen Netzwerken zahlt sich eine nachvollziehbare Dokumentation der Netzwerkstruktur aus.

Das Wissen über Besonderheiten ist oft wichtiger als die Technik

Der schwierigste Teil einer Übergabe steckt häufig nicht in Kennwörtern oder Gerätelisten.

Es sind die Besonderheiten.

Eine alte Maschine darf nur nach einem bestimmten Server gestartet werden. Ein Programm verwendet eine ungewöhnliche Schnittstelle. Ein Drucksystem funktioniert nur mit einer bestimmten Treiberversion. Eine Freigabe darf nicht umbenannt werden, weil eine Produktionssoftware den Pfad fest eingetragen hat.

Solches Wissen entsteht über Jahre.

Deshalb sollte eine Dokumentation nicht versuchen, jedes technische Detail aufzuschreiben. Sie sollte vor allem die Dinge festhalten, die ein neuer Techniker nicht ohne Weiteres erkennen kann.

Besonders wichtig sind Abhängigkeiten und Ausnahmen.

Bei einem kritischen System sollte beantwortet sein:

• Was macht dieses System?
• Was hängt davon ab?
• Was benötigt es selbst?
• Gibt es Besonderheiten beim Start oder bei der Wiederherstellung?
• Wer kennt sich damit aus?
• Gibt es einen Hersteller oder externen Ansprechpartner?

Gerade bei alter Produktions-IT können diese Informationen im Ernstfall viel wertvoller sein als eine perfekte Inventarliste.

Eine Vertretung sollte praktisch funktionieren

Manche Dienstleister haben mehrere Mitarbeiter, trotzdem betreut jahrelang immer dieselbe Person den Kunden.

Das ist verständlich. Der Techniker kennt die Umgebung und arbeitet dadurch schneller.

Trotzdem lohnt sich die Frage, ob innerhalb des Dienstleisters tatsächlich eine Vertretung möglich wäre.

Kann ein Kollege auf die Kundendokumentation zugreifen? Sind Kennwörter zentral hinterlegt? Kennt zumindest eine zweite Person die wichtigsten Besonderheiten?

Ein Dienstleister mit fünf Mitarbeitern hilft wenig, wenn sämtliches Wissen über dein Unternehmen bei genau einem davon liegt.

Dasselbe gilt für interne IT-Verantwortliche.

Wenn ein Mitarbeiter allein weiß, wie die gesamte Infrastruktur funktioniert, besteht dieselbe Abhängigkeit lediglich innerhalb des eigenen Unternehmens.

IT-Wissen, das nur im Kopf einer einzigen Person steckt, sollte deshalb gezielt dokumentiert und verteilt werden.

Ein Wechsel sollte möglich sein, auch wenn du keinen planst

Die beste Zeit, einen möglichen Dienstleisterwechsel vorzubereiten, ist dann, wenn du überhaupt keinen Wechsel beabsichtigst.

Dann besteht kein Zeitdruck und die Zusammenarbeit funktioniert.

Du kannst in Ruhe prüfen, ob Dokumentation, Zugänge, Verträge und Konfigurationen vorhanden sind.

Ein sauber aufgestelltes Unternehmen kann seinem Dienstleister sagen: „Wir möchten sicherstellen, dass unsere Unterlagen vollständig sind.“

Ein seriöser Dienstleister sollte damit kein Problem haben.

Kritisch wird es, wenn zentrale Zugangsdaten bewusst zurückgehalten werden oder das Unternehmen keinen Zugriff auf Systeme bekommt, die ihm selbst gehören.

Welche Unterlagen bei einer Übergabe tatsächlich vorhanden sein sollten, spielt beim Wechsel eines IT-Dienstleisters eine besonders große Rolle.

Ein einfacher Ãœbernahmetest zeigt die Schwachstellen

Du musst deinen Dienstleister nicht wechseln, um die eigene Abhängigkeit zu prüfen.

Stell dir lediglich vor, morgen käme ein anderer qualifizierter Techniker.

Könntest du ihm sagen, welche Systeme kritisch sind?

Bekäme er Zugriff auf Firewall, Server und Datensicherung?

Gäbe es einen Netzwerkplan?

Wüsste er, welche externen Anbieter beteiligt sind?

Könnte er herausfinden, welche Sicherungen vorhanden sind und wie daraus Systeme wiederhergestellt werden?

Wären wichtige Besonderheiten der Produktion dokumentiert?

Wenn mehrere dieser Fragen mit „Das weiß unser IT-Mann“ beantwortet werden, ist die Abhängigkeit größer, als sie sein müsste.

Der bestehende Dienstleister kann weiterhin der wichtigste Ansprechpartner bleiben. Entscheidend ist, dass sein Ausfall nicht gleichzeitig dazu führt, dass dein Unternehmen den Zugriff auf die eigene IT verliert.