Viele Geschäftsführer, CISOs und IT Leiter stellen sich beim IT-Outsourcing dieselbe Frage:
Verliert unser Unternehmen die Kontrolle über geschäftskritische Systeme, wenn ein externer Dienstleister den IT-Betrieb übernimmt? 

Die klare Antwort lautet: Nein – wenn du Verantwortlichkeiten, Kennzahlen und Entscheidungswege von Anfang an richtig gestaltest. 

IT-Outsourcing bedeutet nicht, dass du die Verantwortung für deine IT abgibst.  
Du überträgst ausgewählte operative Aufgaben an einen spezialisierten Partner.  
Die strategische Steuerung, die Priorisierung und die Bewertung von Risiken bleiben in deinem Unternehmen. 

Ein strukturiertes Outsourcing-Modell kann sogar mehr Transparenz schaffen.
Statt informeller Abläufe und personengebundenen Wissens entstehen dokumentierte Prozesse, messbare Leistungen und verbindliche Eskalationswege. 

Das Wichtigste in Kürze

Damit IT-Outsourcing nicht zu Kontrollverlust führt, brauchst du fünf Dinge:

• ein klares Governance-Modell,
• eindeutig geregelte Verantwortlichkeiten,
• relevante KPIs und Service Level,
• interne Steuerungskompetenz,
• ein vertraglich abgesichertes Exit-Management.

Der Dienstleister übernimmt den vereinbarten Betrieb. Du behältst die Kontrolle über Ziele, Prioritäten und Unternehmensinteressen. 

1. Governance: Kläre, wer entscheiden darf 

Eine wirksame IT-Governance legt fest, wie du den Dienstleister steuerst.
Sie beantwortet unter anderem folgende Fragen:

• Welche Leistungen übernimmt der Provider?
• Welche Entscheidungen bleiben intern?
• Wer bewertet Risiken und genehmigt Änderungen?
• Wie werden Leistungen kontrolliert?
• Wann und an wen wird eskaliert?

Diese Regeln sollten bereits vor dem Vertragsabschluss feststehen. Andernfalls besteht die Gefahr, dass der Dienstleister schrittweise Entscheidungen übernimmt, die eigentlich strategische Auswirkungen auf dein Unternehmen haben. 

Was der Dienstleister übernehmen kann 

Zu den typischen operativen Aufgaben gehören die Überwachung von Systemen, die Bearbeitung von Störungen, Wartung, Backup, Patch-Management und die Dokumentation des laufenden Betriebs. 

Was intern bleiben sollte 

In deinem Unternehmen sollten insbesondere folgende Aufgaben verbleiben: 

• IT-Strategie und Zielarchitektur, 

• Priorisierung von Geschäftsanforderungen, 

• Bewertung von Sicherheits- und Geschäftsrisiken, 

• Budget- und Investitionsentscheidungen, 

• Kontrolle der vereinbarten Leistungen. 

IT Leistungen kannst du auslagern. Die unternehmerische Verantwortung für deine IT bleibt jedoch bei dir. 

2. Den Dienstleister mit den richtigen KPIs steuern

Nach der Übergangsphase beginnt der IT Regelbetrieb. Jetzt zeigt sich, ob dein Steuerungsmodell funktioniert. 

Die Grundlage bilden Service Level Agreements und aussagekräftige KPIs. Dabei geht es nicht darum, möglichst viele technische Werte zu erfassen. Die Kennzahlen müssen zeigen, ob der Dienstleister deine geschäftlichen und sicherheitsrelevanten Anforderungen erfüllt. 

Geeignete KPIs sind beispielsweise: 

• Verfügbarkeit geschäftskritischer Systeme, 

• Reaktions- und Lösungszeiten bei Störungen, 

• Einhaltung vereinbarter Service Level, 

• Bearbeitungszeit kritischer Schwachstellen, 

• Erfolgsquote von Backups und Wiederherstellungen. 

Jede Kennzahl sollte eine konkrete Steuerungsfrage beantworten: Können unsere kritischen Prozesse zuverlässig arbeiten? Werden Sicherheitsrisiken rechtzeitig behandelt? Verbessert sich die Servicequalität? 

Wenige geschäftsrelevante KPIs sind wertvoller als umfangreiche technische Reports, aus denen sich keine Entscheidungen ableiten lassen. 

Reports müssen zu Entscheidungen führen 

Ein monatlicher Bericht allein schafft noch keine Kontrolle. Die Ergebnisse müssen regelmäßig gemeinsam bewertet und in konkrete Maßnahmen übersetzt werden. 

Dafür eignen sich feste Termine auf drei Ebenen: 

• operativ für Störungen und aktuelle Aufgaben,
• taktisch für Trends und Verbesserungen, 
• strategisch für Risiken, Investitionen und die IT Roadmap. 

So bleiben sowohl der tägliche Betrieb als auch die langfristige Entwicklung deiner IT steuerbar. 

3. Interne Kompetenz behalten

Auch bei einem umfassenden Outsourcing brauchst du eigene IT Kompetenz im Unternehmen. Diese verbleibende Steuerungseinheit wird häufig als Retained Organization bezeichnet. 

Sie soll den ausgelagerten Betrieb nicht intern duplizieren. Ihre Aufgabe besteht darin, dein Unternehmen fachlich und strategisch entscheidungsfähig zu halten. 

Dazu gehören insbesondere: 

• Provider- und Vertragsmanagement, 

• Kontrolle der Servicequalität, 

• Priorisierung interner Anforderungen, 

• Bewertung technischer Vorschläge, 

• Steuerung von Risiken und Eskalationen. 

Für ein mittelständisches Unternehmen muss daraus keine große Abteilung entstehen. Es sollte jedoch mindestens eine klar benannte interne Rolle geben, die das Geschäft versteht, die Sprache des Dienstleisters spricht und seine Leistungen bewerten kann. 

Fehlt diese Rolle, entsteht das größte Risiko für einen tatsächlichen Kontrollverlust: 
Der Dienstleister wird nicht nur zum Betreiber, sondern zunehmend auch zum alleinigen Berater und Entscheider. 

4. Informationssicherheit überprüfbar machen 

Besonders für CISOs ist entscheidend, dass Sicherheits- und Compliance-Anforderungen auch nach dem Outsourcing nachvollziehbar bleiben. 

Relevante Anforderungen müssen deshalb in Verträgen, Prozessen und Reportings verankert werden.

Dazu gehören unter anderem: 

• Klar geregelte Sicherheitsverantwortlichkeiten, 

• Zugriffs- und Berechtigungskonzepte, 

• Meldefristen bei Sicherheitsvorfällen, 

• Audit- und Kontrollrechte, 

• Anforderungen an Unterauftragnehmer. 

Der Dienstleister sollte nicht nur versichern, dass angemessene Maßnahmen bestehen. Er muss ihre Umsetzung anhand nachvollziehbarer Prozesse, Kennzahlen und Nachweise belegen können. 

Gleichzeitig brauchst du intern die Kompetenz, diese Informationen zu bewerten und bei Abweichungen Maßnahmen einzufordern. 

5. Exit-Management verhindert einseitige Abhängigkeiten

Professionelles IT-Outsourcing plant nicht nur den Einstieg in die Zusammenarbeit. Es berücksichtigt bereits bei Vertragsabschluss, wie Services später an einen anderen Dienstleister oder zurück in dein Unternehmen übertragen werden können. 

Ein belastbares Exit-Management regelt unter anderem die Übergabe von: 

• Daten und Konfigurationen, 

• Dokumentationen und Prozessen, 

• Software und Lizenzen, 

• Wissen und Verantwortlichkeiten, 

• Zugängen und Berechtigungen. 

Außerdem sollte festgelegt sein, welche Mitwirkung der bisherige Provider leisten muss, welche Fristen gelten und in welchen Formaten Daten und Dokumentationen übergeben werden. 

Du musst beim Vertragsabschluss noch keinen späteren Exit vollständig durchplanen. Methoden, Verantwortlichkeiten, Mitwirkungspflichten und Übergabeformate sollten jedoch verbindlich definiert sein. 

Exit-Management ist kein Ausdruck mangelnden Vertrauens. Es ist professionelle Risikovorsorge und schützt deine unternehmerische Handlungsfähigkeit. 

Kompakte Checkliste: Behältst du die Kontrolle? 

Prüfe vor dem Vertragsabschluss und regelmäßig während der Zusammenarbeit: 

• Sind Leistungen und Verantwortlichkeiten eindeutig definiert? 

• Gibt es eine interne Rolle für die Provider-Steuerung? 

• Messen die KPIs geschäftsrelevante Ergebnisse? 

• Sind Review- und Eskalationswege festgelegt? 

• Bleiben Daten und Dokumentationen jederzeit zugänglich? 

• Sind Sicherheitsanforderungen nachweisbar? 

• Ist ein Anbieterwechsel vertraglich vorbereitet? 

Je mehr dieser Fragen du mit Nein beantwortest, desto größer ist das Risiko einer ungewollten Abhängigkeit.
Um den Überblick zu behalten, empfehlen wir dir unsere WK IT-Checkliste!

Quelle:

Daniel Scherer
Manager Cyber Security Services WK IT GmbH

„Ich bin Manager Cyber Security Services bei WK IT GmbH. Anfänglich in der Softwareentwicklung, habe ich meine IT-Erfahrungen als System- und Netzwerkadministrator, Service- und Operationsmanager gesammelt. Es folgten Design und Aufbau von SOC-Infrastrukturen, Rollen als Information Security Officer und Information Security Consultant. Heute begleite ich unsere Kunden in allen Fragen der Informationssicherheit und Cybersecurity von Governance bis Response.“ 

Zu meinem LinkedIn Account