Probleme · IT-Betrieb & Arbeitsplatz
Wie sicher sind IT-Outsourcing-Lösungen?
Kurz gesagt
IT-Outsourcing ist nicht automatisch sicher oder unsicher. Entscheidend sind die Wahl des Partners, begrenzte und geschützte Zugänge, nachvollziehbare Änderungen, geregelte Stellvertretung, bekannte Datenstandorte und Unterauftragnehmende sowie ein Austrittsplan. Die Verantwortung für eine angemessene Kontrolle bleibt bei deinem Unternehmen und muss zum Risiko der betroffenen Systeme und Daten passen.
Für wen das gilt
Für KMU, die IT-Aufgaben an einen externen Partner geben oder das planen, und für Geschäftsleitungen, Verwaltungsräte oder Treuhänder, die das Risiko beurteilen müssen. Die Antwort gehört zur Säule IT-Betrieb & Arbeitsplatz.
Zahlen
Für die Sicherheit beim Outsourcing gibt es keine allgemeingültige Kennzahl. Die Anforderungen hängen vom Risiko ab: Der Zugriff auf eine allgemeine Arbeitsplatzanwendung ist anders zu beurteilen als der Administratorzugang zu sensiblen Daten oder produktionskritischen Systemen. Was die Leistungen von BITS kosten, steht auf der Preisseite.
Aus der Praxis
Ein externer Partner braucht für seine Aufgabe häufig weitreichende Zugänge. Dadurch kann er Systeme wirksam betreuen. Gleichzeitig entsteht eine Abhängigkeit, die bewusst kontrolliert werden muss.
Wenn wir die Betreuung übernehmen, ordnen wir zuerst Zugänge, Verantwortlichkeiten und Kontrollpunkte für die konkrete IT-Umgebung ein. Sicherheit bleibt dabei eine gemeinsame Aufgabe: Der Partner verantwortet die vereinbarten technischen und organisatorischen Massnahmen, das KMU weiterhin Auswahl, Auftrag, interne Freigaben und Kontrolle.
Ehrlich gesagt: worauf du dich nicht verlassen solltest
Ein bekannter Name oder ein Standort in der Schweiz ersetzt keine Prüfung. Rechtliche und branchenspezifische Pflichten müssen für deinen konkreten Fall geprüft werden. Dieser Artikel ersetzt keine Rechtsberatung.
So gehst du vor
Kläre vor einer Auslagerung mindestens diese Punkte:
- Zugänge sind personenbezogen oder eindeutig zugeordnet und mit Mehrfaktor-Authentisierung geschützt.
- Rechte beschränken sich auf die vereinbarten Aufgaben und werden regelmässig überprüft.
- Kritische Änderungen und administrative Handlungen sind nachvollziehbar.
- Stellvertretung und Notfallzugriff sind geregelt, ohne gemeinsame unkontrollierte Konten.
- Datenstandorte, Unterauftragnehmende, Aufbewahrung und Löschung sind bekannt.
- Sicherheitsvorfälle haben einen vereinbarten Melde- und Eskalationsweg.
- Dein Unternehmen behält Zugriff auf Dokumentation, Verträge und notwendige Konfigurationen.
- Für das Ende der Zusammenarbeit bestehen Rückgabe-, Lösch- und Übergaberegeln.
Ob sich Outsourcing für dich überhaupt lohnt, beantwortet Wann lohnt sich IT-Outsourcing für ein KMU?. Wie interne IT und Partner die Arbeit teilen, zeigt Kann unsere interne IT mit einem externen Partner arbeiten?. Wo Sicherungen von Microsoft 365 liegen, erklärt Wo werden die Microsoft-365-Backups gespeichert?.
Häufige Fragen
Reicht ein bekannter Anbieter mit Sitz in der Schweiz?
Nein. Ein bekannter Anbietername oder ein Standort in der Schweiz ersetzt die Prüfung von Zugängen, Kontrolle, Datenbearbeitung und Austrittsregeln nicht.
Wer ist für die Sicherheit verantwortlich?
Beide Seiten. Der Partner verantwortet die vereinbarten technischen und organisatorischen Massnahmen. Dein Unternehmen bleibt verantwortlich für Auswahl, Auftrag, interne Freigaben und Kontrolle.
Darf der Partner gemeinsame Administratorkonten nutzen?
Besser nicht. Zugänge sollten personenbezogen oder eindeutig zugeordnet und mit Mehrfaktor-Authentisierung geschützt sein. Auch Stellvertretung und Notfallzugriff lassen sich ohne gemeinsame, unkontrollierte Konten regeln.
Was gilt am Ende der Zusammenarbeit?
Dafür braucht es Rückgabe-, Lösch- und Übergaberegeln. Dein Unternehmen sollte jederzeit Zugriff auf Dokumentation, Verträge und notwendige Konfigurationen behalten.
