Willkommen auf unserem Webauftritt! Wir stellen Ihnen hier aktuelle Trends und Business-Themen rund um Cloud Computing vor.
Wir freuen uns, dass Sie da sind und wünschen viel Spaß beim Lesen.
Über diesen Webauftritt
Auf dieser Seite möchten wir über neue Techniken bloggen. Wie Sie sicherlich auch schon gemerkt haben, geht die IT derzeit einen unglaublichen Schritt voran. Damals dauerte die Entwicklung neuer Techniken immer mal ein paar Jahre – derzeit ist das anders. Beonders die Einführung der Cloud zeigt, was im Internet los ist: ganz neue Branchen übernehmen komplett die Leistungen von anderen. Da gilt es am Ball zu bleiben und vorne mitzumischen. Der führende Internetanbieter ist doch derzeit Amazon – ein Buchhändler! Aber mit deren Cloud-Produkten zeigen sie sehr anschaulich, wie die Welt sich dreht: Innovationen, Innovationen und Innovationen.
Genau hier setzt diese Webseite an, wir möchten gerne etwas über neue Techniken schreiben und zur Diskussion anregen – und nicht zuletzt natürlich Kunden auf uns aufmerksam machen – ein innovatives Systemhaus aus Hamburg.
Einleitung: Welche Penetrationstest-Anbieter passen zu deinen Anforderungen?
Die zentrale Frage vor jeder Ausschreibung lautet: Wie findet man einen Anbieter, der technische Tiefe und branchenspezifisches Verständnis mitbringt? Ein reiner Preisvergleich greift zu kurz. Wer nur Tagessätze abfragt, riskiert Fehlinvestitionen und Lücken bei der Compliance. Ein strukturierter Auswahlprozess zwingt dazu, Prüfziele, Scope und regulatorische Vorgaben sauber zu definieren – bevor Angebote eingeholt werden.
Aktuelle Regularien verschärfen die Anforderungen massiv. DORA, NIS2 sowie BAIT und KAIT fordern nachweisbar methodische Tests mit auditierbarer Dokumentation. Ein Pentest nach Scanner-Logik reicht nicht mehr; Prüfer und Auditoren erwarten dokumentierte Vorgehensmodelle wie OWASP WSTG oder MITRE ATT&CK. Die Auswahlkriterien für Anbieter müssen daher Methodik, Zertifizierungen der Tester und Branchenreferenzen gewichten – nicht nur den Stundensatz.
Preisspannen variieren stark: Ein fokussierter Webserver-Test startet im niedrigen vierstelligen Bereich, komplexe Red-Team-Engagements erreichen schnell sechsstellige Summen. Dieser Guide skizziert acht konkrete Kriterien für die Ausschreibung – von Methodik und Hands-On-Zertifikaten über Berichtsgüte und Haftpflicht bis zu Retest-SLAs und Vertragsgestaltung. So wird der nächste Pentest nicht nur ein Haken auf der Compliance-Liste, sondern ein echter Sicherheitsgewinn.
Bevor du startest: 3 Klärungsfragen
Bevor du eine Ausschreibung verschickst, müssen drei Fragen intern verbindlich beantwortet sein. Ohne diese Basis liefern Anbieter nur vage Kostenschätzungen statt vergleichbarer Angebote.
1. Welches konkrete Prüfziel steht im Fokus?
Geht es um eine einzelne Webanwendung, ein internes Netzwerksegment oder ein Red-Team-Szenario mit physischer und sozialer Komponente? Jedes Ziel erfordert andere Methodiken, Toolchains und Tester-Profile. Die BSI-Studie zum Durchführungskonzept nennt hierfür acht verbindliche Festlegungspunkte – Zieldefinition ist der erste.
2. Welche Rahmenbedingungen sind bereits bekannt?
Sammle Systemanzahl, vorhandene Dokumentationen (Architekturskizzen, Datenflussdiagramme, API-Specs) und bestehende Berechtigungen. Kläre, ob Tester mit White-Box-Zugang starten oder Black-Box-Rekognition Teil des Auftrags ist. Fehlende Infos verlängern den Scoping-Workshop und treiben den Aufwand.
3. Welcher Zeitraum und Aufwand sind realistisch?
Ein fokussierter Webserver-Test bewegt sich oft im niedrigen vierstelligen Bereich, komplexe Infrastruktur- oder Red-Team-Engagements erreichen schnell fünf- bis sechsstellige Summen. Definiere Testzeitraum, gewünschte Retest-Fristen (z. B. 14 Tage nach Patch) und ob Continuous Pentesting angedacht ist. Die TeleTrusT-Handreichung 2026 liefert dafür einen strukturierten Fragenkatalog.
Diese drei Punkte klärst du am besten in einem halbtägigen Workshop mit IT-Betrieb, Informationssicherheitsbeauftragten und den betroffenen Fachbereichen. Das Ergebnis: eine einseitige Leistungsbeschreibung, die Anbieter in vergleichbare Angebote umsetzen können.
Kriterium 1: Methodik & Standards
Ein seriöser Anbieter dokumentiert seine Vorgehensweise entlang anerkannter Referenzwerke – OWASP Web Security Testing Guide, NIST SP 800-115 oder MITRE ATT&CK Framework – statt sich auf reine Scanner-Ergebnisse zu verlassen. Diese Standards sichern eine systematische Abdeckung relevanter Schwachstellenklassen und schaffen Nachvollziehbarkeit für interne Prüfer wie externe Auditoren. In der Ausschreibung fordern Sie daher explizit eine Methodikbeschreibung sowie einen Testplan, die konkrete Bezüge zu diesen Frameworks herstellen. Fehlen solche Dokumente, handelt es sich oft um automatisierte Scans ohne manuelle Tiefenprüfung.
Achten Sie darauf, dass der Anbieter zwischen Vulnerability Assessment und echtem Penetrationstest unterscheidet. Erstere liefern Listen potenzieller Schwachstellen; letztere validieren Ausnutzbarkeit und Wirkkette – ein Unterschied, den Sodu Secure in seiner Anbieter-Übersicht herausarbeitet. Ergänzend sollten Sie nach Purple-Team- oder Red-Team-Erfahrung fragen: Simulationen realer APT-Taktiken entlang von MITRE ATT&CK ersetzen zunehmend reine Punkt-Tests, wie Deepstrike für den deutschen Markt bestätigt. Verlangen Sie zudem Nachweise zur kontinuierlichen Weiterbildung der Tester – aktuelle Exploit-Techniken, Cloud-nativen Angriffsvektoren und KI-gestützte Reconnaissance erfordern ständiges Training, das über Zertifikate hinausgeht.
Kriterium 2: Tester-Qualifikation (Hard Skills)
Die tatsächliche Qualifikation der durchführenden Tester ist der härteste Qualitätsnachweis. Zertifizierungen wie OSCP, OSWE, OSEP, CPTS oder der BSI-anerkannte IS-Penetrationstester belegen praktische Angriffsfertigkeiten statt reiner Theoriekenntnisse. Seriöse Anbieter benennen im Angebot die Namen und Zertifikate der zugewiesenen Tester – nicht nur die des Account-Managers.
Fordern Sie diese Nachweise explizit ein. Prüfen Sie die Gültigkeit direkt bei den Ausstellern: Offensive Security verwaltet OSCP, OSWE und OSEP über ein öffentliches Verzeichnis; der BSI listet anerkannte IS-Penetrationstester auf seiner Behörden-Seite. Ein abgelaufenes oder nicht auffindbares Zertifikat disqualifiziert den Tester für den Auftrag.
Unterscheiden Sie zudem zwischen Sicherheitsberatung und hands-on Penetration Testing. Berater erstellen oft Konzepte, Policies oder Risikoanalysen – Tester hingegen brechen aktiv in Systeme ein, ketten Exploits und dokumentieren technische Auswirkungen. Nur letztere liefern die für Compliance-Audits (PCI DSS, DORA, ISO 27001 A.18.2.3) verwertbaren Beweise. Eine Checkliste zur Validierung der Tester-Profile bietet Apollon Security; ergänzende Hinweise zu Zertifikats-Prüfung und Vertragsgestaltung finden sich im Leitfaden von VisionCompliance.
Kriterium 3: Branchen- & Regulierungserfahrung
Wer einen Penetrationstest für ein reguliertes Umfeld beauftragt, muss prüfen, ob der Anbieter die jeweilige Norm nicht nur zitiert, sondern operativ beherrscht. PCI DSS verlangt andere Testschwerpunkte als DORA oder BAIT/KAIT; ISO 27001 Control A.18.2.3 fordert regelmäßige technische Compliance-Reviews, die methodisch sauber in den Auditzyklus eingebettet sein müssen. Ein Anbieter,read more
Netzwerkdokumentation gehört zu den Aufgaben, deren Wert sich erst zeigt, wenn sie fehlt. Solange alles läuft, ist sie überflüssige Schreibarbeit. In dem Moment, in dem etwas ausfällt und der Kollege im Urlaub ist, der als Einziger wusste, wie das Netz aufgebaut ist, wird sie zur wichtigsten Datei im Haus — und existiert nicht.
Das ist kein Versäumnis einzelner Betriebe, sondern eine strukturelle Eigenschaft der Aufgabe: Ihr Nutzen fällt zeitlich weit nach ihrem Aufwand an, und zwar bei jemand anderem. Aufgaben mit dieser Eigenschaft bleiben zuverlässig liegen, solange sie niemandem zugeordnet sind.
Kurz gesagt
Eine brauchbare Netzwerkdokumentation umfasst Topologie, IP-Adressen, Gerätekonfigurationen und Zugriffsrechte — dazu die Verbindungen und Abhängigkeiten zwischen den Komponenten. Für den Mittelstand genügt deutlich weniger, als Werkzeuganbieter nahelegen: ein Übersichtsplan, eine Adressliste, die Zugangsdaten an sicherer Stelle und je Gerät drei Angaben. Entscheidend ist nicht die Vollständigkeit, sondern dass die Dokumentation im Störungsfall auffindbar ist — und zwar auch dann, wenn das Netz nicht funktioniert.
Was hineingehört
Anbieter von Dokumentationswerkzeugen nennen übereinstimmend vier Bestandteile: Topologiepläne, IP-Adresslisten, Gerätekonfigurationen und Zugriffsrechte. Dazu kommen aktive und passive Komponenten sowie die logischen und physischen Verbindungen zwischen ihnen.
Für einen mittelständischen Betrieb lässt sich das auf eine überschaubare Menge eindampfen:
Der Mindestumfang, der im Störungsfall trägt
Bestandteil
Inhalt
Wozu im Ernstfall
Übersichtsplan
was hängt woran, grob gezeichnet
Ursache eingrenzen
Adressplan
welche Bereiche, welche Vergabe
Konflikte erkennen
Geräteliste
Typ, Standort, Adresse je Gerät
Gerät finden
Zugangsdaten
getrennt abgelegt, verschlüsselt
überhaupt eingreifen können
Anbindungen
Anbieter, Vertragsnummer, Störungsnummer
richtige Stelle anrufen
Die letzte Zeile fehlt in fast jeder Dokumentation und wird im Ernstfall zuerst gebraucht. Wer beim Ausfall der Anbindung erst die Vertragsnummer suchen muss, verliert die erste halbe Stunde mit Aktenordnern — und zwar die Stunde, in der die Störungsannahme des Anbieters am schnellsten reagiert hätte.
Der Fehler, der alles entwertet
Die häufigste Schwäche ist nicht die Unvollständigkeit, sondern der Ablageort. Eine Dokumentation, die auf dem Dateiserver liegt, ist genau dann nicht erreichbar, wenn das Netz steht.
Dasselbe gilt für Zugangsdaten in einem Passwortmanager, der über eine Anmeldung erreichbar ist, die ihrerseits vom Verzeichnisdienst abhängt. Fällt dieser aus, ist der Zugang zu den Zugangsdaten weg — ausgerechnet dann, wenn man sie braucht.
Die Lösung ist unspektakulär: eine zweite Kopie, die unabhängig vom Netz erreichbar ist. Ein verschlüsselter Datenträger im Serverschrank, ein Ausdruck im Tresor, eine Kopie beim betreuenden Dienstleister. Welche Form gewählt wird, ist zweitrangig — dass eine existiert, ist entscheidend.
=&0=&Bestandteile decken den Mindestbedarf
=&1=&Kopien, davon eine unabhängig vom Netz
=&2=&jährlich prüfen genügt, wenn Änderungen gepflegt werden
Wie detailliert ist sinnvoll?
Die Versuchung besteht, alles zu erfassen — jeden Port, jede Kabelverbindung, jede Konfigurationszeile. Das ist bei größeren Umgebungen richtig und bei kleineren der sichere Weg in eine veraltete Dokumentation.
Der brauchbare Maßstab ist eine Frage: Was müsste jemand wissen, der die Umgebung nicht kennt, um eine Störung einzugrenzen? Alles, was diese Frage beantwortet, gehört hinein. Alles andere ist optional — und optionale Inhalte sind genau die, die zuerst veralten.
Praktisch heißt das: Ein handgezeichneter Übersichtsplan, der stimmt, ist mehr wert als ein automatisch erzeugtes Diagramm mit zweihundert Objekten, das niemand liest. Detailtiefe ist kein Qualitätsmerkmal — Verständlichkeit ist eines.
Automatisch oder von Hand?
Werkzeuge können Netze weitgehend selbstständig erfassen: Geräte, Adressen, teils auch Verbindungen. Das nimmt einen erheblichen Teil der Fleißarbeit ab und hält den Bestand aktuell.
Was sie nicht liefern können, ist die Bedeutung. Ein Werkzeug erkennt einen Switch mit zwölf belegten Ports; ob dieser Switch die Produktion versorgt oder das Besprechungszimmer, weiß nur ein Mensch. Genau diese Einordnung ist im Störungsfall entscheidend.
Automatische Erfassung liefert
+ Aktuelle Geräteliste ohne Pflegeaufwand
+ Adressvergabe und belegte Ports
+ Erkennung neuer Geräte im Netz
+ Verbindungen zwischen Komponenten
Von Hand bleibt
− Wozu dient welche Komponente
− Welche Abhängigkeiten geschäftskritisch sind
− Anbieter- und Vertragsangaben
− Besonderheiten und historische Gründe
Die letzte Zeile rechts ist der unterschätzte Teil. In jedem gewachsenen Netz gibt es Konstruktionen, die niemand von sich aus so bauen würde — und für die es einen Grund gab. Ohne diese Notiz baut der Nächste sie „richtig” um und legt damit etwas lahm.
Der Aufbau in überschaubaren Schritten
Übersicht zeichnen Grob, auf einer Seite: Anbindung, Firewall, Switches, Server, Standorte. Eine Stunde, notfalls von Hand.
Adressplan festhalten Welche Bereiche gibt es, was ist fest vergeben, was dynamisch?
Geräte erfassen Typ, Standort, Adresse, Funktion. Automatisch, wenn ein Werkzeug vorhanden ist, sonst von Hand.
Zugänge sichern Zugangsdaten verschlüsselt ablegen, plus eine netzunabhängige Kopie.
Vertragsdaten ergänzen Anbieter, Kundennummer, Störungsnummer je Anbindung.
Pflege koppeln Wer etwas ändert, aktualisiert die Dokumentation — im selben Arbeitsgang.
Schritt sechs entscheidet, ob die ersten fünf mehr als eine Momentaufnahme sind. Eine Dokumentation ohne gekoppelte Pflege ist nach einem Jahr überholt, und nach zwei Jahren gefährlich — weil man sich dann auf etwas verlässt, das nicht mehr stimmt.
Wer sie schreibt und wann
Die Aufgabe fällt selten jemandem zu — sie wird übrig gelassen. Deshalb hilft es, einen konkreten Anlass zu wählen statt eines guten Vorsatzes.
Drei Gelegenheiten eignen sich besonders, weil ohnehin am Netz gearbeitet wird: eine Erweiterung, ein Gerätetausch oder die Einarbeitung einer neuen Person. In allen drei Fällen muss die Struktur ohnehin erklärt werden — sie dabei aufzuschreiben kostet einen Bruchteil des Aufwands einer eigenen Aktion.
Die Einarbeitung ist dabei die produktivste Gelegenheit. Wer etwas erklärt, merkt sofort, wo die eigene Erklärung lückenhaft ist — und die neue Person stellt genau die Fragen, die später auch im Störungsfall aufkommen.
Wo ein externer Dienstleister betreut, gehört die Dokumentation in den Vertrag. Sie ist dann eine Leistung, kein Nebenprodukt — und sie bleibt beim Kunden, auch wenn der Dienstleister wechselt. Ohne diese Vereinbarung liegt das Wissen über das eigene Netz bei jemand anderem.
Der Test, der den Wert zeigt
Ob eine Dokumentation taugt, lässt sich nicht am Umfang beurteilen. Es gibt aber einen einfachen Test: Kann eine Person, die das Netz nicht kennt, damit einen Switch im Serverraum finden und sich darauf anmelden?
Diese Frage deckt die üblichen Lücken zuverlässig auf. Meist scheitert es nicht an der Zeichnung, sondern an einer fehlenden Standortangabe, an Zugangsdaten, die nirgends stehen, oder daran, dass die Dokumentation selbst nicht auffindbar ist.
Der Test kostet zwanzig Minuten und lohnt sich einmal im Jahr — am besten durchgeführt von jemandem, der die Umgebung tatsächlich nicht täglich betreut.
Was bei der Ablage der Zugangsdaten zu beachten ist
Zugangsdaten gehören nicht in dieselbe Datei wie der Netzplan. Der Plan darf breit zugänglich sein — die Zugänge nicht. Zwei getrennte Ablagen mit unterschiedlichen Berechtigungen sind deshalb der Normalfall, nicht die Ausnahme.
Für die netzunabhängige Kopie gilt zusätzlich: Sie muss aktuell gehalten werden. Eine verschlüsselte Kopie im Serverschrank, die drei Jahre alt ist, enthält Passwörter, die nicht mehr funktionieren — und erzeugt im Ernstfall zusätzlichen Zeitverlust statt Hilfe.
Was die Dokumentation nebenbei leistet
Der Hauptzweck ist die Störungsbearbeitung. Drei weitere Situationen profitieren ebenfalls, und sie treten häufiger ein als der Totalausfall.
Der Dienstleisterwechsel. Ein neuer Partner braucht Wochen, um eine undokumentierte Umgebung zu verstehen — und stellt diese Zeit in Rechnung. Mit Dokumentation sind es Tage.
Die Urlaubsvertretung. Wer eine Umgebung vertritt, die er nicht kennt, kann ohne Unterlagen nur abwarten. Das ist der häufigste Anlass, bei dem die Lücke schmerzt.
Umbau und Erweiterung. Wer ein Netz erweitert, ohne die vorhandene Struktur zu kennen, baut Widersprüche ein — doppelte Adressbereiche, Schleifen, Abhängigkeiten, die erst später auffallen.
In allen drei Fällen ist der Nutzen nicht das Verhindern einer Katastrophe, sondern gesparte Zeit. Und die lässt sich beziffern, was die Dokumentation von einer Pflichtübung zu einer Investition macht.
Häufige Fragen
Was gehört in eine Netzwerkdokumentation?
Nach übereinstimmender Darstellung von Fachanbietern: Topologiepläne, IP-Adresslisten, Gerätekonfigurationen und Zugriffsrechte, dazu die aktiven und passiven Komponenten sowie deren Verbindungen und Abhängigkeiten. Für den Mittelstand genügen fünf Bestandteile: Übersichtsplan, Adressplan, Geräteliste, gesicherte Zugangsdaten und die Vertragsangaben zu den Anbindungen.
Wo sollte die Dokumentation liegen?
Nicht ausschließlich auf dem Dateiserver — der ist bei einer Netzstörung nicht erreichbar. Es braucht eine zweite Kopie, die unabhängig vom Netz zugänglich ist: ein verschlüsselter Datenträger im Serverschrank, ein Ausdruck im Tresor oder eine Kopie beim betreuenden Dienstleister. Dasselbe gilt für die Zugangsdaten.
Wie detailliert muss sie sein?
So detailliert, dass jemand ohne Kenntnis der Umgebung damit eine Störung eingrenzen kann — mehr nicht. Ein handgezeichneter Plan, der stimmt, ist wertvoller als ein automatisch erzeugtes Diagramm mit hunderten Objekten, das niemand liest. Detailtiefe ist kein Qualitätsmerkmal, Verständlichkeit schon.
Lohnt sich ein Werkzeug zur automatischen Erfassung?
Für Geräteliste, Adressvergabe und Verbindungen ja — das nimmt die Fleißarbeit ab und hält den Bestand aktuell. Nicht liefern kann ein Werkzeug die Bedeutung: wozu eine Komponente dient, welche Abhängigkeiten geschäftskritisch sind und warum eine ungewöhnliche Konstruktion existiert.read more
Managed Services bieten proaktiven, abonnementbasierten Support mit SLA und reduzieren langfristig IT-Kosten um 20‑35 %. Break-Fix ist reaktiv und verursacht hohe Ausfallkosten bei unerwarteten Problemen. Für KMU ab 10‑15 Arbeitsplätzen ist ein Managed-Service-Partner in der Regel wirtschaftlicher und sicherer.
Der grundlegende Unterschied liegt im Anreizsystem: Beim Break-Fix-Modell verdient der Dienstleister an Störungen, bei Managed Services an stabiler Infrastruktur. Marktbeobachtungen bestätigen, dass bereits 59 Prozent der IT-Services auf das proaktive Modell umgestiegen sind. Wer Compliance-Anforderungen oder Cloud-Nutzung hat, fährt mit festen Monatsraten und präventivem Monitoring langfristig günstiger als mit stundenweiser Feuerwehr. Die Wirtschaftlichkeitsgrenze zieht sich dabei oft schon bei zehn bis fünfzehn Arbeitsplätzen.
Einleitung: Warum die Wahl des IT-Modells entscheidend ist
Für kleine und mittelständische Unternehmen bildet die IT-Infrastruktur das Rückgrat operativer Prozesse. Ob Produktion, Vertrieb oder Verwaltung – Ausfälle lähmen das Geschäft. Die Entscheidung zwischen Break-Fix und Managed Services bestimmt deshalb nicht nur die Kostenstruktur, sondern auch Sicherheitsniveau und Compliance-Fähigkeit.
Aktuelle Marktdaten zeigen: 59 % der IT-Services haben bereits den Sprung auf abonnementbasierte Modelle geschafft. Der Trend ist eindeutig – Unternehmen suchen Planbarkeit statt Überraschungen. Eine Langzeitanalyse aus der Schweiz bestätigt den Vorteil: KMU, die von Stundensatz auf Pauschalen umstiegen, senkten IT-Kosten über drei Jahre um 20 bis 35 %.
Doch Zahlen allein reichen nicht. Die passende Wahl hängt von Unternehmensgröße, Risikoappetit und regulatorischen Auflagen ab. Beim Break-Fix-Modell trägt das KMU das volle Ausfallrisiko selbst, während Managed Services Prävention in den Kerninteresse des Anbieters rücken. Der Fachkräftemangel verschärft die Lage: Interne IT-Stellen bleiben oft unbesetzt, weshalb MSPs als virtuelle IT-Abteilung mit Vertretung bei Urlaub und Krankheit an Bedeutung gewinnen.
Dieser Artikel liefert eine objektive Vergleichsbasis, um das Modell zu finden, das zur individuellen Lage passt – ohne Marketingfloskeln, mit klaren Kriterien.
Break-Fix – Reaktives Modell mit Fallabrechnung
Beim Break-Fix-Ansatz wird der IT-Dienstleister nur gerufen, wenn ein konkretes Problem auftritt. Die Abrechnung erfolgt nach Aufwand oder Stundensatz. Laufende Grundgebühren entfallen, was das Modell auf den ersten Blick günstig erscheinen lässt. Doch genau hier liegt die Falle: Bei längeren Ausfällen oder komplexen Störungen können die Kosten schnell eskalieren, weil jedes Eingreifen separat verrechnet wird.
Der Anbieter verdient nur, wenn etwas kaputtgeht. Das setzt einen strukturellen Anreiz, Probleme zu beheben statt sie zu vermeiden. Präventive Maßnahmen wie Patch-Management, proaktives Monitoring oder strategische Architektur-Beratung fallen aus dem Raster – sie werden entweder gar nicht erbracht oder als gesonderte Zusatzleistungen angeboten. Für Unternehmen, die auf stabile Prozesse angewiesen sind, entsteht so ein blinder Fleck im Risikomanagement. Ein konkretes Beispiel: Ein Ransomware-Angriff auf einen ungeschützten Fileserver kostet im Break-Fix-Modell nicht nur die Stunden für die Bereinigung, sondern auch die Wiederherstellung aus Backups – sofern diese überhaupt existieren und getestet wurden.
Dennoch kann Break-Fix für sehr kleine Organisationen mit überschaubarer Gerätezahl und geringen Compliance-Anforderungen eine pragmatische Lösung darstellen. Wer nur wenige Arbeitsplätze betreibt, keine sensiblen Mandantendaten verarbeitet und Ausfallzeiten von mehreren Stunden verkraftet, fährt mit der reaktiven Variante oft günstiger als mit einem vollen Managed-Service-Vertrag. Entscheidend ist eine ehrliche Einschätzung der eigenen Ausfalltoleranz.
Ein klassisches Systemhaus wie TTG in Duderstadt bietet beide Modelle an und berät Kunden vor Vertragsabschluss zur passenden Variante. Auch SW Business Solutions weist darauf hin, dass der scheinbare Preisvorteil bei Break-Fix oft trügt, sobald Sicherheitsvorfälle oder Compliance-Nachweise ins Spiel kommen. Wer wächst, wechselt meist früher oder später in ein proaktives Modell – weil Planbarkeit und Risikotransfer dann wichtiger werden als der Stundensatz.
Managed Services – Proaktives Abo-Modell mit SLA
Managed Services lösen die reaktive Stundensatzlogik durch ein festes monatliches Entgelt ab. Der Vertrag definiert ein Leistungsspektrum, das Monitoring, Patch-Management, Helpdesk und häufig auch Sicherheitsdienste umfasst. Ein SLA legt verbindliche Reaktionszeiten und Verfügbarkeitsziele fest – der Anbieter haftet wirtschaftlich für deren Einhaltung. Sein Ertrag hängt damit direkt von stabiler Infrastruktur ab, nicht von Störfällen.
Laut Marktbeobachtung haben bereits 59 % der IT-Services den Wechsel vom klassischen Break-Fix auf abonnementbasierte Verträge vollzogen. Schweizer KMU senkten durch den Umstieg ihre gesamten IT-Kosten über drei Jahre um 20–35 %. Die Wirtschaftlichkeitsgrenze liegt bei etwa 10 bis 15 Arbeitsplätzen – ab dieser Größe ist ein externer Partner günstiger als eine interne Teilzeitlösung. Diese Schwelle nennt Hagel IT als Orientierung für den Einstieg.
Das Risikoprofil verschiebt sich grundlegend: Im Break-Fix-Modell trägt das Unternehmen das volle Ausfallrisiko. Managed Services ziehen Prävention in den Kerninteresse des Dienstleisters. „Beim Break-Fix-Modell verdient der Anbieter an Ihren Problemen. Beim Managed-Services-Modell verdient er daran, dass Sie keine Probleme haben“, fasst es ein Branchenkommentar zusammen. Für KMU mit Mandantendaten, Cloud-Nutzung und Compliance-Pflichten – etwa DSGVO oder NIS2 – wird das Modell zum Standard. Credolie empfiehlt ein Pilotquartal mit messbaren KPIs (Reaktionszeit, Patch-Quote, Uptime) vor langfristiger Bindung.
Aktuelle Treiber sind der Fachkräftemangel – MSPs fungieren als virtuelle IT-Abteilung mit Vertretungsgarantie – sowie modulare „Managed Services Light“-Pakete, die Monitoring, Backup oder Security einzeln buchbar machen. Ein Beispiel: Ein 25-köpfiges Ingenieurbüro bucht zunächst nur Managed Monitoring und Patch-Management, erweitert nach sechs Monaten um Managed Backup und Security Operations Center. Der proaktive Ansatz reduziert ungeplante Ausfälle, schafft Planungssicherheit im IT-Budget und erleichtert den Nachweis regulatorischer Sorgfaltspflichten.
Direktvergleich: Break-Fix vs. Managed Services
Die folgende Gegenüberstellung zeigt die sechs entscheidenden Kriterien, an denen sich die Wahl zwischen reaktivem Abruf und proaktivem Abo misst. Eine Analyse der IT-Security-Experten bestätigt: Für KMU mit Mandantendaten, Cloud-Nutzung und Compliance-Pflichten ist Managed Services Standard, Break-Fix allenfalls ergänzend.
Die Anreizstrukturen liegen diametral gegenüber: Beim Break-Fix-Modell verdient der Dienstleister an Problemen, beim Abo-Modell an deren Abwesenheit. Ein Branchenüberblick zeigt, dass bereits 59 % der IT-Services den Wechsel vollzogen haben. Schweizer KMU senkten ihre Gesamt-IT-Kosten über drei Jahre um 20 bis 35 Prozent. Ab 10 bis 15 Arbeitsplätzen rechnet sich das Abo gegenüber interner Teilzeit-IT. Ein Pilotquartal mit messbaren KPIs – Reaktionszeit, Patch-Quote, Uptime – schützt vor Fehlentscheidungen vor Langzeitbindung.
Wann Break-Fix die bessere Wahl ist
Break-Fix bleibt für Mikrounternehmen mit weniger als fünf Arbeitsplätzen eine valide Option, sofern die IT-Infrastruktur simpel aufgebaut ist und Ausfälle den Geschäftsbetrieb nicht existenziell gefährden. Fehlen Server, Virtualisierung oder Cloud-Dienste, lassen sich Störungen oft ad hoc beheben, ohne dass eine permanente Überwachung nötig wird. Eine Analyse der Kostenstrukturen zeigt, dass sich der Wechsel zu Managed Services erst ab etwa zehn bis fünfzehn Arbeitsplätzen rechnerisch lohnt, weil dann Skaleneffekte greifen und Fixkosten sich auf mehr Nutzer verteilen.
Ein konkretes Beispiel: Eine dreiköpfige Steuerkanzlei mit lokaler DATEV-Installation, ohne Cloud-Nutzung undread more
