Wie sicher sind IT-Outsourcing-Lösungen?

Ein externer Partner benötigt für seine Aufgabe häufig weitreichende Zugänge. Dadurch kann er Systeme wirksam betreuen, gleichzeitig entsteht eine Abhängigkeit, die bewusst kontrolliert werden muss. Ein bekannter Anbietername oder ein Standort in der Schweiz ersetzt diese Prüfung nicht.

Vor einer Auslagerung sollten Sie mindestens folgende Punkte klären:

• Zugänge werden personenbezogen oder eindeutig zugeordnet und mit Mehrfaktor-Authentisierung geschützt.
• Rechte beschränken sich auf die vereinbarten Aufgaben und werden regelmässig überprüft.
• Kritische Änderungen und administrative Handlungen sind nachvollziehbar.
• Stellvertretung und Notfallzugriff sind geregelt, ohne gemeinsame unkontrollierte Konten zu verwenden.
• Datenstandorte, Unterauftragnehmende, Aufbewahrung und Löschung sind bekannt.
• Sicherheitsvorfälle haben einen vereinbarten Melde- und Eskalationsweg.
• Das Unternehmen behält Zugriff auf Dokumentation, Verträge und notwendige Konfigurationen.
• Für das Ende der Zusammenarbeit bestehen Rückgabe-, Lösch- und Übergaberegeln.

Die Anforderungen hängen vom Risiko ab. Der Zugriff auf eine allgemeine Arbeitsplatzanwendung ist anders zu beurteilen als der administrative Zugang zu sensiblen Daten oder produktionskritischen Systemen. Rechtliche und branchenspezifische Pflichten müssen für den konkreten Fall geprüft werden; diese Seite ersetzt keine Rechtsberatung.

Sicherheit bleibt eine gemeinsame Aufgabe. Der Partner verantwortet die vereinbarten technischen und organisatorischen Massnahmen, das KMU weiterhin Auswahl, Auftrag, interne Freigaben und Kontrolle. Der Übergabeplan beim Wechsel des IT-Dienstleisters zeigt, welche Informationen und Zugänge auch beim Austritt verfügbar bleiben sollten.