Welche Fragen muss ein KMU seinem IT-Dienstleister vor Vertragsabschluss stellen?

Vor der Beauftragung eines IT-Dienstleisters muss ein KMU klären, wer welche Sicherheitsaufgabe übernimmt, wo Daten bearbeitet werden, wie Wiederherstellungen getestet werden und was bei einem Vorfall oder Anbieterwechsel geschieht. Eine überzeugende Produktdemo ersetzt diese Antworten nicht. Entscheidend ist, ob Verantwortlichkeiten, Nachweise und Reaktionszeiten schriftlich überprüfbar sind.

Warum die Verantwortung nicht vollständig ausgelagert werden kann

Viele kleine Unternehmen benötigen externe Unterstützung, weil sie keine eigene IT-Abteilung betreiben. Das Bundesamt für Cybersicherheit (BACS) empfiehlt, Zuständigkeiten für technische und organisatorische Sicherheitsmassnahmen klar zu regeln und Haftungsfragen für den Fall vertraglich festzuhalten, dass vereinbarte Sicherheitsmassnahmen nicht eingehalten werden.

Bei Personendaten bleibt der Auftraggeber ebenfalls in der Verantwortung. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hält fest, dass ein Unternehmen seinen Auftragsbearbeiter sorgfältig auswählen, instruieren und soweit nötig überwachen muss. Das betrifft unter anderem Datensicherheit, Unterauftragnehmer und Datenbekanntgaben ins Ausland.

Dieser Ratgeber ist eine praktische Prüfhilfe und keine rechtliche Einzelfallberatung. Bei besonders schützenswerten Daten, Berufsgeheimnissen, grenzüberschreitender Bearbeitung oder kritischen Geschäftsprozessen ist eine fachliche Prüfung des konkreten Vertrags sinnvoll.

Zwölf Fragen, die vor die Unterschrift gehören

1. Welche Systeme und Daten übernimmt der Anbieter genau? Eine Formulierung wie «Betreuung der IT» ist zu unpräzise. Benötigt wird eine Liste der Systeme, Konten, Schnittstellen und Datenkategorien. 2. Wer ist für welche Schutzmassnahme verantwortlich? Kläre etwa Updates, Zugriffsrechte, Mehrfaktor-Authentifizierung, Protokollierung, Verschlüsselung und Mitarbeiterschulung. 3. Wo werden die Daten bearbeitet und gespeichert? Relevant sind nicht nur Rechenzentren des Hauptanbieters, sondern auch Länder der Unterauftragnehmer. 4. Welche Unterauftragnehmer werden eingesetzt? Verlange eine aktuelle Liste und einen geregelten Prozess für Änderungen. 5. Wie werden Zugriffe des Dienstleisters kontrolliert? Frage nach personalisierten Konten, minimalen Berechtigungen, Protokollen und dem Entzug von Zugängen bei Personalwechseln. 6. Wie sieht das Backup-Konzept aus? Entscheidend sind Umfang, Häufigkeit, Trennung vom Produktivsystem und Aufbewahrungsdauer. 7. Wann wurde eine Wiederherstellung zuletzt erfolgreich getestet? Ein vorhandenes Backup ist erst dann belastbar, wenn der Wiederanlauf geprüft wurde. 8. Wie schnell wird ein Sicherheitsvorfall gemeldet? Definiere Kontaktweg, erreichbare Personen, Mindestinformationen und Fristen. 9. Welche Reaktions- und Wiederherstellungszeiten gelten? «So schnell wie möglich» ist kein messbares Service-Level. 10. Welche Nachweise liegen vor? Frage nach relevanten Audits, Zertifizierungen, Testberichten und dem Geltungsbereich dieser Nachweise. 11. Wie funktioniert der Austritt? Datenexport, Format, Frist, Unterstützung, Kosten, Löschung von Kopien und Übergabe von Dokumentation müssen vorab geklärt sein. 12. Wie sind Haftung und Mitwirkung geregelt? Prüfe, was bei Pflichtverletzungen, Datenverlust, Ausfällen oder verspäteter Unterstützung gilt.

Die Antworten müssen zum tatsächlichen Risiko passen

Nicht jedes KMU braucht dieselben Anforderungen. Ein Anbieter für die öffentliche Website trägt eine andere Verantwortung als ein Betreiber des CRM, der Lohnbuchhaltung oder einer Produktionsanlage. Beginne deshalb mit drei Fragen: Welche Daten wären bei Verlust besonders problematisch? Welcher Systemausfall würde den Betrieb stoppen? Welche Verpflichtungen gegenüber Kunden, Mitarbeitenden oder Behörden wären betroffen?

Anschliessend können Anforderungen priorisiert werden. Bei einem geschäftskritischen System sind dokumentierte Wiederanlaufzeiten und getestete Backups zentral. Bei einer Anwendung mit Personendaten rücken Weisungsbindung, Unterauftragnehmer, Datenstandorte und Unterstützung bei Betroffenenanfragen in den Vordergrund.

Vier rote Flaggen im Anbietergespräch

Vorsicht ist angebracht, wenn ein Anbieter Datenstandorte nicht eindeutig nennen kann, Sicherheitsfragen nur mit «branchenüblich» beantwortet, keine getestete Wiederherstellung belegt oder den Datenexport beim Vertragsende offenlässt. Auch eine Zertifizierung ist kein Freipass: Sie muss die angebotene Leistung und den relevanten Betrieb tatsächlich abdecken.

Ein weiteres Warnsignal ist die Behauptung, der Kunde müsse sich nach der Auslagerung nicht mehr um Sicherheit oder Datenschutz kümmern. Gerade beim Cloud-Einsatz bleiben Verantwortlichkeiten geteilt. Das BACS weist beim Grundschutz für Unternehmen darauf hin, dass der Anbieter die Plattform schützt, während die Organisation für ihre Daten und ihre Konfigurationen verantwortlich bleibt.

So vergleichst du Angebote statt Verkaufsfolien

Erstelle eine Tabelle mit den zwölf Fragen und bewerte jede Antwort nach vier Kriterien: schriftlich zugesichert, technisch nachvollziehbar, mit einem Nachweis belegt und im Preis enthalten. Eine gute Antwort nennt nicht nur ein Versprechen, sondern auch den Prozess dahinter.

Beispiel: «Wir machen täglich Backups» bleibt unvollständig. Aussagekräftiger ist: welche Daten gesichert werden, wo die Sicherung liegt, wie lange sie aufbewahrt wird, wer den Restore auslöst, welche Wiederherstellungszeit angestrebt wird und wann der letzte Test erfolgreich war.

Vergleiche anschliessend nicht nur Monatsgebühren. Rechne Einrichtungsaufwand, Zusatzleistungen, Mindestlaufzeit, Datenexport, Support ausserhalb der Bürozeiten und mögliche Wechselkosten mit ein. Das günstigste Angebot kann teuer werden, wenn zentrale Leistungen erst im Störungsfall separat verrechnet werden.

Was in die laufende Zusammenarbeit gehört

Die Prüfung endet nicht mit der Unterschrift. Lege einen festen Termin fest, an dem Berechtigungen, offene Sicherheitsmassnahmen, Vorfälle, Änderungen bei Unterauftragnehmern und Wiederherstellungstests besprochen werden. Für kritische Systeme sollte auch klar sein, wer im eigenen Unternehmen Entscheidungen trifft, wenn der normale Ansprechpartner nicht erreichbar ist.

Dokumentiere Abweichungen und setze Fristen. Werden neue Systeme, zusätzliche Datenarten oder weitere Schnittstellen eingeführt, muss geprüft werden, ob Vertrag und Sicherheitskonzept noch passen. Ein alter Vertrag beschreibt sonst eine Zusammenarbeit, die technisch längst nicht mehr existiert.

Die unternehmerische Entscheidung

Ein guter IT-Dienstleister muss nicht jede Aufgabe selbst erledigen. Er muss aber transparent zeigen, welche Leistungen er übernimmt, welche Partner beteiligt sind und wo die Verantwortung des Kunden beginnt. Wer diese Grenzen vor dem Vertragsabschluss klärt, entscheidet nicht nur über Technik, sondern über Betriebsfähigkeit, Datenschutz und Handlungsfreiheit beim nächsten Vorfall oder Anbieterwechsel.