KMU ohne IT-Outsourcing-Partner = höheres Ausfallrisiko?

Wenn in einem KMU die IT ausfällt, zeigt sich innert kurzer Zeit, wie stark der Betrieb von vielen kleinen, oft übersehenen Schwachstellen abhängt. Ausschlaggebend für IT-Vorfälle ist das Zusammen­spiel aus fehlender IT-Verantwortung, veralteten Systemen, ungenügender Daten­sicherung, Sicherheits­lücken und mangelnder Vorbereitung – insbesondere in KMU bei denen ohne ein IT-Outsourcing zentrale IT-Aufgaben nur nebenbei mitlaufen.

Für Geschäftsleitungen und IT-Verantwortliche geht es nicht nur darum, wie sich IT-Vorfälle jeweils schnell beheben lassen. Wichtiger ist zu wissen, weshalb solche Unterbrechungen überhaupt entstehen und welche Hinweise sich im Vorfeld erkennen lassen. In vielen KMU ohne extern abgestützte IT-Verantwortung zeigt sich ein wiederkehrendes Bild: Ein IT-Ausfall entsteht in der Regel durch eine Verkettung kleiner Schwächen, die sich über Monate oder Jahre aufbaut.

Wer über die künftige IT-Infrastruktur oder über die Zusammenarbeit mit einem  IT-Outsourcing-Partner nachdenkt, sollte daher das Thema IT-Betriebs­bereitschaft nicht nur unter dem Blickwinkel der Technik betrachten. Es geht um Verfügbarkeit, Produktivität, Wiederher­stellungs­zeit, Zuständigkeiten und letztlich auch um wirtschaftliche Risiken. An diesen Punkten entstehen viele der Fragen, die im Entscheidungs­prozess relevant sind.

Weshalb IT-Ausfälle selten aus dem Nichts kommen

Ein Server fällt nicht einfach an einem beliebigen Dienstag aus und ein Backup scheitert nicht zufällig erst im Ernstfall. Auch verursachen Cybervorfälle selten deshalb grossen Schaden, weil ein einzelnes Detail fehlte. In den meisten Fällen lag bereits zuvor eine Kombination aus organisatorischen, technischen und sicherheits­relevanten Schwächen vor.

Typisch sind gewachsene IT-Umgebungen, die sich über längere Zeit hinweg vergrössern:

• Neue Geräte kamen hinzu
  
  
• Zusätzliche Benutzerkonten blieben aktiv, obwohl die betreffenden Mitarbeitenden das Unternehmen bereits verlassen hatten
  
  
• Einzelne Systeme erhielten Updates nur unregelmässig
  
  
• Dokumentation lag nur lückenhaft vor
  
  

Vieles funktioniert im Alltag noch ausreichend. Doch Im Ausfall zeigt sich dann, wie stark das Unternehmen von diesen unscheinbaren Punkten abhängt. Für KMU ist dabei vor allem eines wichtig: Ein IT-Ausfall hat nicht nur eine technische Dimension, sondern er betrifft Kunden­kommunikation, interne Abläufe, Terminplanung, Zugriff auf Geschäfts­daten und oft auch die Handlungs­fähigkeit der Geschäfts­leitung. Ein Vorfall mit zwei Stunden Unterbruch kann im falschen Moment deutlich höhere Kosten verursachen als ein lange diskutiertes Infrastruktur­projekt.

Weshalb KMU ohne IT-Outsourcing stärker exponiert sind

Nicht jedes KMU ohne IT-Outsourcing ist schlecht organisiert. Viele Unternehmen verfügen über engagierte interne Mitarbeitende oder improvisierte Routinen, die im normalen Betrieb gut genügen. Das Risiko steigt, wenn das KMU seine IT nur nebenbei betreut und zentrale IT-Aufgaben nicht mit der nötigen Regelmässigkeit auf dem Tisch liegen.

Besonders häufig fehlen Zeit und Routine für jene Tätigkeiten, die keinen unmittelbaren Druck erzeugen. Dazu gehören:

• Backups testen
  
  
• Benutzerrechte überprüfen
  
  
• Sicherheitsupdates priorisieren
  
  
• Systemzustände überwachen
  
  
• Notfallabläufe dokumentieren
  
  
• Verantwortlichkeiten für Störungen festlegen
  
  

Solange der Betrieb läuft, bleiben solche Lücken meist unsichtbar. Doch im Ereignisfall fehlt dann jene Vorarbeit, die schnelle Entscheidungen ermöglicht hätte. Ein KMU ist in solchen Situationen deshalb unter Druck, weil Wissen, Zuständigkeit und Reaktionslogik nicht ausreichend geordnet sind.

Die häufigsten Ursachen für IT-Ausfälle in KMU

Die Auslöser lassen sich grob in drei Gruppen einteilen: Organisation, Infrastruktur und Sicherheit. In der Praxis überschneiden sich diese Felder laufend. Eine technische Störung dauert länger, wenn Zuständigkeiten fehlen. Ungeprüfte Backups vergrössern bei einem Sicherheitsvorfall den Schaden. Und ohne laufende Überwachung belastet eine alte Infrastruktur den Betrieb zusätzlich.

Diese Gegenüberstellung macht sichtbar, weshalb sich viele Ausfälle nicht auf eine einzige Ursache reduzieren lassen. Ein veralteter Server oder ein ungetestetes Backup allein erklärt noch wenig. Erst im Zusammenspiel entsteht jenes Risiko, das den Betrieb aus dem Takt bringt.

Organisatorische Schwächen verursachen oft die längsten Unterbrüche

Die meisten Unternehmen reduzieren IT-Ausfälle primär auf ein technisches Problem. Doch in der Regel verlängert nicht die Technik die Unterbrechung, sondern die fehlende Organisation rund um den Vorfall. Wenn niemand klar definiert hat, wer entscheidet, wer externe Partner koordiniert, wer die Geschäftsleitung informiert und welche Systeme zuerst zu priorisieren sind, dann gehen wertvolle Minuten und Stunden verloren.

Interessant dabei ist, das dies nicht nur grosse Notfälle betrifft. Schon bei kleineren Störungen zeigt sich, ob eine Umgebung verlässlich geführt ist. Wer prüft, ob Backups erfolgreich liefen? Wer erkennt, wann Lizenzierungen auslaufen? Wer weiss, welche Benutzer administrative Rechte besitzen? Wer hält fest, welche Systeme für Verkauf, Buchhaltung oder Kundenkommunikation unentbehrlich sind?

Solche Fragen gehören in viele KMU früher auf den Tisch, als es üblich ist. Die Antworten darauf helfen einerseits einen Ausfall möglichst kurz zu halten oder bei seiner Vermeidung. Gleichzeitig unterstützen sie Investitionsentscheide, Prioritäten in der Infrastruktur und die Auswahl eines künftigen IT-Outsourcing-Dienstleisters.

Hinweise auf organisatorische Risiken

Bestimmte Anzeichen deuten früh darauf hin, dass ein KMU organisatorisch zu stark von Einzel­personen, Impro­visation oder dem Zufall abhängt. Dazu gehören etwa folgende Punkte:

• Nur eine Person kennt kritische Systeme im Detail

• Passwörter, Zugänge und Verträge liegen nicht zentral vor

• Notfallkontakte fehlen oder sind veraltet

• Interne Kommunikation im Störungsfall ist nicht geregelt

• Geschäftskritische Systeme sind nicht priorisiert
  
  

Technische Altlasten erhöhen die Wahr­schein­lichkeit eines IT-Ausfalls

Viele KMU arbeiten mit gewachsenen Infra­strukturen. Systeme, die ihren Zweck erfüllen, bleiben oft länger im Einsatz. Kritisch wird es, wenn daraus schleichend eine strukturelle Abhängigkeit entsteht: Alte Server, nicht dokumentierte Netzwerke, uneinheitliche Geräte oder lokale Speziallösungen erzeugen Risiken, die sich im ungünstigsten Moment manifestieren und den Betrieb lähmen können.

Veraltete Systeme verursachen nicht unbedingt täglich eine Störung, erhöhen aber das Grundrisiko und erschweren die Planbarkeit, weil Ersatzteile, Herstellerunterstützung und Updates schwieriger verfügbar sind. Der Entscheid «noch ein Jahr warten» wirkt kurzfristig vernünftig, im Ausfall fehlt dann jedoch nicht nur Hardware, sondern auch Zeit, Übersicht und Alternativen.

Ratsam ist ein strukturierter Entscheidungsprozess: Zuerst klären, welche Systeme geschäftskritisch sind, welche Anwendungen lokal bleiben müssen und welche Teile der Infrastruktur sich in eine modernere, besser überwachte Umgebung überführen lassen. Rund um Microsoft 365, Managed IT Services oder hybride Infrastrukturen entstehen dabei oft sinnvolle Zwischenlösungen, ohne dass gleich ein vollständiger Umbruch nötig wird.

Datensicherung reduziert dann das Risiko, wenn sie geprüft wurde

Kaum ein Thema erzeugt so viel Scheinsicherheit wie die Datensicherung. Viele KMU gehen davon aus, dass ein vorhandenes Backup automatisch Schutz bedeutet. Diese Annahme greift zu kurz. Ein Backup ist erst dann wertvoll, wenn eine Wiederherstellung unter realen Bedingungen innert sinnvoller Zeit gelingt.

Für die Geschäftsleitung ist daher nicht nur relevant, ob Daten irgendwo vorhanden sind. Viel wichtiger ist, ob zentrale Informationen, Benutzerumgebungen und produktive Systeme schnell genug zurückkehren, damit der Betrieb weiterläuft. Eine Wiederherstellung nach drei Tagen kann für gewisse Unternehmen akzeptabel sein. Für andere führt sie zu markanten Umsatzverlusten, Terminverschiebungen oder Reputationsschäden.

Wer die eigene IT-Struktur beurteilt, sollte sich deshalb rund um Backups folgende konkreten Fragen stellen:

• Welche Systeme sind im Backup überhaupt enthalten?
  
  
• Wie häufig findet eine Wiederherstellung als Test statt?
  
  
• Wie lange dauert der Zugriff auf zentrale Daten nach einem Vorfall?
  
  
• Sind Backups logisch und geografisch ausreichend getrennt?
  
  
• Gibt es eine verständliche Dokumentation oder ein Disaster Recovery Plan für den Ernstfall?

Spätestens an diesem Punkt zeigt sich, ob eine interne Lösung für das Unternehmen noch genügt oder ob ein externer Partner zusätzliche Stabilität schaffen kann.

IT-Sicherheitslücken bleiben oft lange unsichtbar

Cyberrisiken gehören heute zu den häufigsten Auslösern schwerer Betriebsunterbrechungen. Dabei braucht es nicht zwingend einen spektakulären Angriff. Häufig reichen ungenügend geschützte Zugänge, eine fehlende Mehrfaktor-Authentifizierung, unvollständige Updates oder zu weit vergebene Rechte. Der eigentliche Schaden entsteht dann, wenn das KMU den Vorfall zu spät erkennt oder keine vorbereitete Reaktion existiert.

Im Microsoft-Umfeld zeigen sich solche Risiken an mehreren Stellen. Besonders häufig betroffen sind folgende Bereiche:

• E-Mail-Zugänge

• Identitäten
  
  
• Cloud-Speicher
  
  
• Lokale Verbindungen zu Microsoft 365
  
  
• Schnittstellen zwischen alten und neueren Systemen
  
  
  

IT-Outsourcing und Cybersicherheit: Zunächst aktuelle IT-Infrastruktur bewerten 

Ein KMU, das im Entscheidungsprozess für die künftige IT steckt, sollte Sicherheit deshalb nicht als separates Zusatzthema behandeln, denn sie gehört zur Beurteilung jeder Infrastrukturvariante. Eine nüchterne Bewertung hilft dabei mehr als Alarmismus:

• Welche Angriffsflächen bestehen?

• Welche Systeme sind besonders sensibel?
  
  
• Wo würde ein Identitätsdiebstahl den grössten operativen Schaden verursachen?
  
  
• Wo würde ein Verschlüsselungstrojaner den grössten operativen Schaden verursachen?
  
  
• Welche Schutzmassnahmen sind bereits vorhanden?
  
  
• Welche Schutzmassnahmen fehlen noch?
  
  
• Welche Schutzmassnahmen lassen sich realistisch innert nützlicher Frist umsetzen?

Was kostet fehlende Vorbereitung vs. IT-Outsourcing tatsächlich?

Viele Unternehmen stellen die Kostenfrage zuerst beim IT-Outsourcing oder bei Investitionen in die Infrastruktur. Diese Frage ist legitim. Sie bleibt aber unvollständig, wenn nur die monatlichen oder projektbezogenen Ausgaben betrachtet werden. Ebenso relevant sind die Kosten einer ungeplanten IT-Unterbrechung oder -Störung.

Zu diesen Kosten zählen nicht nur direkte IT-Aufwände. Hinzu kommen eine Reihe von Opportunitätskosten:

• Verlorene Arbeitszeit
  
  
• Unterbrochene Kundenkommunikation
  
  
• Verspätete Lieferungen oder Dienstleistungen
  
  
• Zusätzliche externe Notfallunterstützung
  
  
• Interner Koordinationsaufwand unter Zeitdruck
  
  
• Vertrauensverlust bei Kunden oder Partnern
  
  

Besonders in KMU mit knappen personellen Ressourcen kann bereits ein kurzer Ausfall unverhältnismässig hohe Folgekosten auslösen. Wer Optionen vergleicht, sollte deshalb nicht nur den Preis eines laufenden IT-Outsourcings mit Betreuung beurteilen, sondern auch den wirtschaftlichen Wert regelmässiger Überwachung, schneller Reaktion und getesteter Wiederherstellung.

Woran sich ein guter IT-Outsourcing-Partner messen lässt

Wer einen künftigen IT-Outsourcing-Partner beurteilt, sollte nicht bei allgemeinen Leistungsversprechen stehen bleiben. Relevanter sind Fragen, die direkt mit Ausfällen und deren Vermeidung zu tun haben. Dazu gehören garantierte Reaktionszeiten, Verantwortlichkeiten, Monitoring, Backup-Logik, Dokumentation, Eskalationswege und Erfahrung mit KMU-Strukturen.

Für viele KMU ist dabei ein Managed-IT-Services-Modell die sinnvollste Form des IT-Outsourcings. Der Grund liegt nicht primär in der Anzahl Leistungen, sondern in der Art der Betreuung. Entscheidend ist, dass bei diesem Modell der IT-Dienstleister Cyberrisiken laufend bearbeitet und nicht erst dann reagiert, wenn bereits eine Unterbrechung eingetreten ist.

Typisch für ein solches Modell sind unter anderem folgende Elemente:

• Laufendes Monitoring statt punktueller Störungseinsätze
  
  
• Klare Zuständigkeiten und definierte Eskalationswege
  
  
• Regelmässige Wartung, Updates und Sicherheitskontrollen
  
  
• Geplante Backup-Prüfungen und dokumentierte Wiederherstellung
  
  
• Planbare Kosten durch wiederkehrende Leistungen
  
  
• Mehr Transparenz über Zustand, Risiken und Prioritäten der IT-Landschaft
  
  

Für KMU bringt diese Logik Vorteile, weil interne Ressourcen oft knapp sind und technische Aufgaben im Alltag leicht in den Hintergrund geraten. Ein Managed-Services-Modell schafft hier mehr Verlässlichkeit, mehr Übersicht und meist auch kürzere Reaktionswege im Ereignisfall.

Im Markt zeigt sich oft ein Unterschied zwischen rein reaktiver Unterstützung und tatsächlich proaktiver Betreuung. Ein sinnvoller Vergleich von verschiedenen IT-Outsourcing-Partnern betrachtet deshalb nicht nur Supportfälle, sondern auch Prävention, Sicherheits­niveau, Betriebs­stabilität und Wieder­herstellungs­fähigkeit. KMU finden dabei unterschiedliche Modelle: vom punktuellen Support bis zu proaktiven Managed IT Services. Der IT-Dienstleister care4IT lässt sich in diesem Zusammenhang als Beispiel für einen Anbieter nennen, der den Fokus stark auf proaktive Betreuung, garantierte Reaktions- und Lösungszeiten sowie planbare Unterstützung für KMU im Wirtschaftsraum Zürich legt. Dadurch lassen sich mögliche Cyberrisiken antizipieren und im Sinne einer Prävention frühzeitig ausschalten.