Managed Services oder interne IT: Was passt?

Ein ausgefallener Server, ein Phishing-Vorfall oder eine kurzfristige Audit-Anfrage stellt viele Organisationen vor dieselbe Frage: Sind Managed Services oder interne IT die verlässlichere Lösung? Die Antwort entscheidet nicht allein über monatliche Kosten. Sie beeinflusst Reaktionszeiten, Datenschutz, Informationssicherheit, Wissen im Haus und die Fähigkeit, regulatorische Anforderungen dauerhaft nachzuweisen.

Für mittelständische Unternehmen, Behörden, Kommunen und Vereine ist die Entscheidung selten ein reines Entweder-oder. Wer nur Personalstellen mit Dienstleisterpauschalen vergleicht, übersieht den eigentlichen Punkt: IT muss heute nicht nur funktionieren. Sie muss dokumentiert, abgesichert, überwacht und an Anforderungen wie DSGVO, NIS2, ISO 27001 sowie den sicheren Einsatz von KI angepasst werden.

Managed Services oder interne IT richtig bewerten

Interne IT bedeutet direkte Nähe zum Tagesgeschäft. Mitarbeitende kennen Fachverfahren, gewachsene Systemlandschaften und die Menschen, die damit arbeiten. Bei einer Störung kann diese Kenntnis sehr wertvoll sein. Insbesondere Organisationen mit vielen individuellen Anwendungen, Produktionssystemen oder speziellen Verwaltungsverfahren profitieren davon, wenn internes Wissen verfügbar und nachvollziehbar dokumentiert ist.

Gleichzeitig ist eine interne IT kein Selbstläufer. Eine einzelne Fachkraft kann nicht dauerhaft Helpdesk, Administration, Patch-Management, Backup-Kontrolle, Berechtigungsmanagement, Sicherheitsmonitoring, Lieferantensteuerung und Compliance-Dokumentation mit derselben Qualität abdecken. Urlaub, Krankheit, Personalwechsel und steigende technische Anforderungen schaffen schnell kritische Abhängigkeiten.

Managed Services verlagern klar definierte Betriebsaufgaben an einen spezialisierten Partner. Dazu können etwa die Betreuung von Arbeitsplätzen und Servern, Microsoft-365-Administration, Monitoring, Patch-Management, Backup-Prüfungen, Endpoint-Schutz oder ein Service Desk gehören. Der Vorteil liegt nicht nur in zusätzlicher Kapazität. Ein gut aufgesetztes Modell schafft feste Abläufe, Vertretungsfähigkeit und überprüfbare Service-Level.

Entscheidend ist daher nicht die Frage, ob externe Unterstützung grundsätzlich besser ist. Entscheidend ist, welche Leistungen standardisierbar sind, wo internes Prozesswissen unverzichtbar bleibt und wer für Entscheidungen verantwortlich zeichnet.

Die vier Kriterien für eine belastbare Entscheidung

1. Kritische Abhängigkeiten und Verfügbarkeit

Werden zentrale Systeme von einer oder zwei Personen betreut, besteht ein erhebliches Betriebsrisiko. Das gilt auch dann, wenn diese Personen sehr erfahren sind. Fehlen aktuelle Dokumentationen, klare Vertretungsregeln oder ein geregelter Zugriff auf Administrationskonten, wird aus Fachwissen schnell ein Single Point of Failure.

Managed Services können dieses Risiko reduzieren, wenn der Anbieter über definierte Vertretungen, dokumentierte Betriebsprozesse und verbindliche Eskalationswege verfügt. Prüfen Sie deshalb nicht nur, ob Unterstützung angeboten wird. Fragen Sie konkret nach Servicezeiten, Reaktionszeiten, Notfallkommunikation, Berechtigungsprozessen und der Regelung bei Sicherheitsvorfällen.

Interne IT bleibt besonders sinnvoll, wenn Systeme eine hohe fachliche Individualität aufweisen oder Entscheidungen unmittelbar mit internen Abläufen verbunden sind. In diesen Fällen sollte jedoch mindestens eine belastbare Vertretung aufgebaut werden.

2. Sicherheit und regulatorische Nachweisfähigkeit

IT-Sicherheit entsteht nicht durch den Kauf einzelner Tools. Sie benötigt wiederkehrende Kontrollen: Updates müssen bewertet und eingespielt, Backups getestet, Zugriffsrechte überprüft, Sicherheitsmeldungen bearbeitet und Mitarbeitende sensibilisiert werden. Dazu kommen Anforderungen an Risikoanalysen, technische und organisatorische Maßnahmen sowie die nachvollziehbare Behandlung von Vorfällen.

Eine interne IT kann diese Aufgaben leisten, wenn ausreichend qualifiziertes Personal, Zeit und klare Verantwortlichkeiten vorhanden sind. In der Praxis konkurrieren diese Tätigkeiten jedoch oft mit dringenden Nutzeranfragen und laufenden Projekten. Dokumentation wird dann verschoben, obwohl sie im Audit oder nach einem Sicherheitsvorfall entscheidend sein kann.

Ein Managed-Service-Modell sollte deshalb nicht bei Technik enden. Es muss zu Datenschutz, Informationssicherheit und Compliance passen. Beispielsweise braucht die technische Umsetzung von Zugriffsrechten eine Verbindung zu organisatorischen Rollen, Löschkonzepten, Onboarding- und Offboarding-Prozessen sowie Schulungen. Genau an diesen Schnittstellen entstehen sonst Lücken.

3. Kosten realistisch vergleichen

Die monatliche Pauschale eines Dienstleisters lässt sich leicht beziffern. Die tatsächlichen Kosten einer internen IT sind oft weniger sichtbar. Neben Gehalt und Nebenkosten gehören dazu Fortbildungen, Vertretung, Recruiting, Lizenzwissen, externe Spezialisten für Einzelfälle, Ausfallrisiken und der Zeitaufwand für Dokumentation oder Lieferantenmanagement.

Umgekehrt ist ein Managed Service nur dann wirtschaftlich, wenn der Leistungsumfang präzise beschrieben ist. Eine günstige Pauschale hilft nicht, wenn jeder zusätzliche Arbeitsplatz, jeder Vorfall oder jede Projektstunde später unklar abgerechnet wird. Transparente Leistungskataloge und geregelte Zusatzleistungen sind wichtiger als ein möglichst niedriger Einstiegspreis.

Vergleichen Sie deshalb über einen Zeitraum von mindestens drei Jahren. Berücksichtigen Sie die Kosten für den laufenden Betrieb, geplante Erneuerungen, Sicherheitsmaßnahmen und ungeplante Störungen. Für kleinere und mittlere Organisationen ist ein planbares Betriebsmodell häufig wertvoller als eine vermeintlich günstige Lösung mit hohen Einzelrisiken.

4. Steuerbarkeit statt vollständiger Auslagerung

Outsourcing bedeutet nicht, Verantwortung abzugeben. Geschäftsführung, Verwaltungsleitung und zuständige Fachbereiche bleiben dafür verantwortlich, dass Risiken erkannt, Dienstleister gesteuert und gesetzliche Pflichten erfüllt werden. Ein externer IT-Partner braucht daher klare Ansprechpartner, Entscheidungswege und regelmäßige Abstimmungen.

Gute Steuerung zeigt sich in verständlichen Berichten: Welche Systeme wurden aktualisiert? Welche Backups wurden erfolgreich geprüft? Welche offenen Risiken bestehen? Welche Maßnahmen sind geplant? Kennzahlen müssen entscheidungsfähig machen, nicht nur technische Aktivität dokumentieren.

Auch bei interner IT ist diese Transparenz nötig. Wenn die Leitung nicht weiß, welche Systeme kritisch sind, welche Schutzmaßnahmen fehlen oder welche Verträge auslaufen, ist die Organisation nicht steuerbar. Der Unterschied liegt dann nicht zwischen intern und extern, sondern zwischen geregeltem und ungeregeltem Betrieb.

Das hybride Modell ist häufig die praktische Antwort

Für viele Organisationen ist eine Kombination aus interner IT und Managed Services die sinnvollste Struktur. Interne Verantwortliche halten Fachwissen, koordinieren Anforderungen aus den Bereichen und treffen Priorisierungsentscheidungen. Ein externer Partner übernimmt standardisierte, wiederkehrende und sicherheitskritische Betriebsaufgaben.

Dieses Modell eignet sich etwa, wenn eine interne IT-Abteilung die Fachanwendungen und Projekte verantwortet, während Monitoring, Patch-Management, Endpoint-Schutz, Backup-Kontrollen oder First-Level-Support extern abgesichert werden. Auch externe Spezialisten für Datenschutz, Informationssicherheit oder KI-Compliance lassen sich so gezielt einbinden, ohne für jede Aufgabe eigene Vollzeitstellen schaffen zu müssen.

Die Trennung muss eindeutig dokumentiert sein. Wer genehmigt neue Benutzerkonten? Wer bewertet kritische Sicherheitsupdates? Wer informiert bei einem möglichen Datenschutzvorfall? Wer pflegt das Asset-Verzeichnis? Ohne diese Antworten entstehen Übergabeverluste, die im Ernstfall Zeit und Sicherheit kosten.

So starten Sie ohne Großprojekt

Beginnen Sie mit einer nüchternen Bestandsaufnahme. Erfassen Sie die wichtigsten Systeme, Verantwortlichkeiten, laufenden Verträge, bekannten Risiken und wiederkehrenden Aufgaben. Schon dabei wird oft sichtbar, ob Wissen nur in einzelnen Köpfen liegt oder ob Kontrollen nicht regelmäßig nachgewiesen werden können.

Priorisieren Sie anschließend die Bereiche mit dem größten Risiko für Verfügbarkeit und Sicherheit. Das sind häufig Backup und Wiederherstellung, Administrationsrechte, Update-Management, Schutz von Endgeräten und die Reaktion auf Sicherheitsvorfälle. Erst danach sollte die Frage beantwortet werden, welche Aufgaben intern verbleiben und welche extern unterstützt werden.

DSEV verbindet dabei IT-Betreuung mit Datenschutz, Informationssicherheit, Weiterbildung und passenden Software-Tools. Das schafft eine gemeinsame Grundlage für technische Maßnahmen, organisatorische Prozesse und belastbare Nachweise.

Die richtige Entscheidung entsteht nicht durch ein pauschales Bekenntnis zu intern oder extern. Sie entsteht, wenn Zuständigkeiten, Risiken und Serviceerwartungen so klar geregelt sind, dass Ihre Organisation auch bei Personalwechsel, Audit oder Sicherheitsvorfall handlungsfähig bleibt.