Glossar: 50 IT-Begriffe für KMU

Ein Managed Service ist die vertraglich geregelte Betreuung der IT eines Unternehmens durch einen Dienstleister. Der Dienstleister übernimmt Betrieb, Wartung, Überwachung und Dokumentation, das Unternehmen behält die Entscheidung über Ziele, Budget und Zugriffsrechte. Kennzeichnend ist die feste Zusage: geregelte Reaktionszeiten, ein persönlicher Ansprechpartner und eine lückenlose Dokumentation des Zustands. Abzugrenzen ist der Begriff vom punktuellen Projekt und von der reinen Beratung – ein Managed Service ist ein laufender Betrieb, kein einmaliges Projekt.

Ein Managed Service Provider ist ein Unternehmen, das IT-Infrastrukturen dauerhaft betreut und dafür Verantwortung übernimmt – von der Cloud über Security und Backup bis zum Endgerät. Der Unterschied zum klassischen IT-Dienstleister liegt in der Verantwortung: Der MSP trägt das Ergebnis, nicht nur einzelne Leistungen. Im Netzwerkmarkt werden die Begriffe oft synonym verwendet. Für die Auswahl zählt, ob Reaktionszeiten, Dokumentation und Eskalationswege vertraglich geregelt sind und ob eine feste Ansprechperson benannt ist.

Ein IT-Dienstleister erbringt IT-Leistungen auf Zuruf: Beratung, Support, Installation, Einrichtung oder Reparatur. Im Unterschied zum Managed Service bleibt die Steuerung beim Kunden – der Dienstleister setzt um, das Unternehmen entscheidet, was umgesetzt wird und trägt das Ergebnis. Viele Anbieter bieten beide Modelle an. Für die Auswahl zählt die Frage, wer die Verantwortung für den laufenden Betrieb übernimmt: Ein Angebot ohne geregelte Reaktionszeit und ohne dokumentierte Übergaben bleibt eine Sammlung einzelner Leistungen.

Ein IT-Systemhaus ist kein Shop für Hardware, sondern ein Dienstleister, der die gesamte IT-Landschaft eines Unternehmens verantwortet: vom Aufbau über den laufenden Betrieb bis zur Weiterentwicklung. Der Begriff hat im deutschen Mittelstand eine lange Tradition, und damit eine Erwartungshaltung: Ein Systemhaus ist für das Funktionieren der IT zuständig, nicht nur für die Lieferung von Geräten. Typisch sind ein fester Ansprechpartner, dokumentierte Abläufe und geregelte Reaktionszeiten. Wer diese drei Punkte nicht findet, hat einen Lieferanten vor sich, kein Systemhaus.

IT-Beratung ist die Analyse einer IT-Landschaft mit dem Ziel, Entscheidungen zu ermöglichen. Ergebnis ist keine Installation, sondern eine nachvollziehbare Empfehlung: Was läuft, wo liegen Risiken, welche Optionen gibt es, was kostet der Vergleich. Beratung und Umsetzung sind zwei getrennte Schritte, die auch getrennt vergeben werden können. Für KMU ist die Trennung sinnvoll, wenn die eigene IT das Ergebnis nicht bewerten kann: Eine unabhängige Einschätzung vor der Investition verhindert, dass Hardware zum Selbstzweck wird.

IT-Outsourcing bedeutet, Teile der IT an einen externen Dienstleister zu übergeben. Je nachdem, was übergeben wird, ergeben sich verschiedene Formen: das komplette outsourcing, die Betriebsverlagerung in die Cloud oder die Auslagerung einzelner Fachgebiete wie Backups, Security oder Endgeräte. Der Vorteil ist Planbarkeit und Zugang zu Spezialwissen, das im eigenen Haus nicht vorgehalten werden kann. Der Preis ist Abhängigkeit: Wissen liegt beim Dienstleister, und bei Problemen entsteht eine zusätzliche Schnittstelle. Deshalb gehören Dokumentationsübergabe, feste Ansprechpartner und eine Eskalationskette von Anfang an in den Vertrag.

Ein Service Level Agreement ist die vertragliche Zusage darüber, welche Leistung zu welcher Qualität und in welcher Zeit erbracht wird. Für IT-Dienstleister nennt es meist Reaktionszeiten je Störungsklasse, Erreichbarkeit, Wartungsfenster und den Umgang mit Fehlern. Die Vereinbarung schafft Orientierung, weil sie aus dem Bauchgefühl eine prüfbare Größe macht. Sie ist aber kein Qualitätsbeweis: Ein SLA ohne saubere Definitionen, ohne Messung und ohne dokumentierte Eskalation bleibt eine Zahl auf Papier. Entscheidend ist deshalb, wie gemessen und wie bei Verfehlung verfahren wird.

Managed Server umfasst den Betrieb eines physischen oder virtuellen Servers: Aufsetzen, Wartung, Sicherung, Überwachung und die Behebung von Störungen. Dazu gehören das Schließen von Sicherheitslücken, die Kontrolle der Protokolle und ein sauberer Wiederherstellungspunkt. Für kleine Unternehmen ist das meist die wirtschaftlichste Form von Managed Services, weil ein Fehler am Server den kompletten Betrieb betrifft: E-Mail, Dateiablage und Telefonie hängen an derselben Kiste. Der Nutzen liegt in der Vorhersagbarkeit – Wartungsfenster, Reaktionszeit und geprüfte Wiederherstellung stehen schriftlich fest.

Managed Endpoint betreut die Arbeitsplätze eines Unternehmens: Inventar der Geräte, Patch-Management, Zugriffsschutz, Virenschutz und die Einrichtung von Standardsoftware. Der unsichtbare Teil ist die Inventarliste – nur mit ihr lässt sich sagen, welche Geräte im Netz stehen, wie alt sie sind und ob sie vollständig abgesichert sind. Häufige Aufgabe im Tagesgeschäft ist der Austausch von Notebooks und die geordnete Übernahme der Daten. Managed Endpoint endet dort, wo der Wunsch nach zusätzlicher Bedrohungserkennung und Reaktion beginnt; dafür ist Endpoint Detection and Response zuständig.

Ein Managed Security Service ist die dauerhafte Überwachung und Absicherung der IT-Sicherheit durch ein spezialisiertes Team. Typisch sind eine rund um die Uhr besetzte Frühwarnung, die Bewertung von Meldungen, die Einleitung von Gegenmaßnahmen und die Dokumentation jedes Vorgangs. Der Unterschied zur reinen Firewall oder zum Antivirenprogramm ist die Reaktion: Es geht nicht nur darum, einen Angriff zu erkennen, sondern ihn zu stoppen und danach zu rekonstruieren. Der BSI-Lagebericht 2025 nennt 950 angezeigte Ransomware-Angriffe, rund 80 Prozent davon gegen kleine und mittlere Unternehmen.

Managed E-Mail Security umfasst den Betrieb des Schutzwalls für E-Mails: Filter für Spam, Schadsoftware und Phishing, die Einbindung von Anhängen in Sandbox-Umgebungen sowie die Regeln für externe Absender. E-Mail bleibt der häufigste Einstieg in IT-Landschaften, weil der Angriff nicht technisch, sondern über eine Nachricht kommt. Ein Filter allein reicht nicht: Entscheidend ist, wer eine ausgelöste Sperre prüft und wie schnell. Deshalb gehört zurManaged-Variante eine Benachrichtigung an eine benannte Person und ein geregelter Freigabeweg, damit keine echte Nachricht unbemerkt im Filter hängen bleibt.

Managed Cloud Backup ist die Datensicherung in einem Rechenzentrum außerhalb des eigenen Hauses, betrieben von einem Dienstleister. Die Kopie liegt damit an einem anderen Ort und ist nicht an das Bürogebäude, den Stromanschluss oder die Mitarbeitenden gebunden. Üblich sind mehrere Kopien, eine davon unveränderbar, sowie regelmäßige Restore-Tests, die zeigen, dass die Wiederherstellung funktioniert. Der Unterschied zum reinen Cloud-Speicher ist die Wiederherstellbarkeit: Kopieren ohne geprüften Rückweg ist keine Sicherung. Der Nutzen für kleine Unternehmen liegt in der geografischen Trennung, die ein lokenes Backup nicht bietet.

Managed M365 Backup sichert die Daten aus Microsoft 365, für die der Anbieter selbst keine Sicherung anbietet: Teams, Gruppenpostfächer, SharePoint-Daten und zusätzliche Exchange-Postfächer. Die Plattform bringt für Exchange, SharePoint und OneDrive eine einbaubare Sicherung mit, deckt damit aber nicht den gesamten Mandanten ab. Managed heißt hier: Ein Dienstleister übernimmt Einrichtung, Überwachung, Aktualisierung und die regelmäßige Prüfung der Wiederherstellung. Wichtig ist die Frage der Zuständigkeiten: Werden die Daten mit einem separaten Mandanten gesichert, kann ein kompromittiertes Konto die Sicherung nicht mitlöschen.

Ein Managed Mailarchiv übernimmt die revisionssichere Aufbewahrung von E-Mails: Nachrichten werden unveränderbar gespeichert, mit Zeitstempel und Zugriffsnachweis, und lassen sich über Jahre hinweg wiederherstellen. Es erfüllt die Anforderungen der GoBD für steuerlich relevante Unterlagen und unterstützt die Nachweispflichten nach der Datenschutz-Grundverordnung. Fachlich ist es kein Backup: Ein Backup stellt verlorene Daten wieder her, ein Mailarchiv belegt, was wann geschrieben und empfangen wurde. Managed heißt, dass Betrieb, Aufbewahrungsfristen, Löschkonzept und Zugriffsrechte beim Dienstleister liegen und dokumentiert sind.

Managed Mobile Device verwaltet Smartphones und Tablets im Unternehmen zentral: Geräte werden registriert, Profile und Richtlinien werden gesetzt, und die Trennung von privat und dienstlich wird technisch erzwungen. Mobile-Device-Management ist die technische Seite von BYOD. Es schützt vor der Verlagerung von Zugangsdaten auf private Geräte, erlaubt das Löschen von Daten bei Verlust und legt fest, welche Anwendungen installiert werden dürfen. Ohne zentrale Verwaltung bleiben private und dienstliche Daten auf demselben Gerät vermischt – eine der häufigsten unbemerkten Lücken im Alltag kleiner Unternehmen.

Managed Network & Wireless betreut die Kommunikation im Unternehmen: Router, Switches, Firewalls, WLAN und die Anbindung ans Internet. Dazu gehören Segmentierung, Gästenetz, DHCP- und DNS-Betrieb sowie die Überwachung der Verfügbarkeit. Gerade im WLAN entscheidet die zentrale Verwaltung über Sicherheit: Gäste und Mitarbeitende gehören in getrennte Netze, und die Konfiguration liegt nicht mehr in der einzelnen Fritzbox. Für Unternehmen mit mehreren Standorten ist die einheitliche Konfiguration der entscheidende Unterschied – ein Fehler, der an einer Stelle behoben wird, bleibt an der nächsten Stelle sonst bestehen.

Eine Managed Private Cloud ist eine IT-Landschaft, die ausschließlich für ein Unternehmen betrieben wird, aber dennoch von einem Dienstleister verantwortet wird. Sie verbindet die Kontrolle über Datenstandort und Zugriffsrechte mit dem Komfort eines Managed Service. Technisch reicht von klassischer Virtualisierung bis zu einer privaten Cloud-Umgebung. Für mittlere Unternehmen ist der entscheidende Punkt die Personalfrage: Eine eigene private Cloud zu betreiben setzt voraus, dass dauerhaft qualifiziertes Personal vorhanden ist. Der Dienstleister übernimmt diese Rolle, das Unternehmen behält die Umgebungsgrenze und die Datenhoheit.

Managed Prozess-Automatisierung bedeutet, wiederkehrende Büro- und IT-Abläufe automatisiert zu betreiben: Rechnungen, Freigaben, Datentransfers und Benachrichtigungen laufen ohne manuellen Eingriff, inklusive Betrieb, Überwachung und Anpassung. Der Unterschied zur reinen Automatisierung ist die Betriebsverantwortung: Es geht nicht darum, einmal einen Ablauf zu bauen, sondern ihn dauerhaft zuverlässig zu halten. Der Nutzen liegt in der Entlastung der Fachabteilung und in der Nachvollziehbarkeit – jeder durchlaufene Vorgang ist dokumentiert, was zugleich der Nachweis gegenüber Prüfern hilft.

Endpoint Security bezeichnet den Schutz von Arbeitsplätzen, Servern und Mobilgeräten. EDR steht für Endpoint Detection and Response: Die Software erkennt nicht nur bekannte Schadsoftware, sondern beobachtet das Verhalten eines Geräts und meldet ungewöhnliche Abläufe – etwa das Verschlüsseln vieler Dateien in kurzer Zeit. Ein klassisches Antivirenprogramm arbeitet mit Signaturen und erkennt bekannte Schadware. EDR schließt die Lücke, die Angreifer mit legitimen Systemwerkzeugen nutzen. Wichtig bleibt die Auswertung: Ein Alarm ohne Menschen, der ihn bewertet, verändert an der Sicherheit nichts.

Patch-Management ist die geregelte Verteilung und Installation von Fehlerbehebungen für Betriebssysteme, Anwendungen und Firmware. Die meisten erfolgreichen Angriffe nutzen bekannte Schwachstellen – die nicht gefährlich sind, weil sie neu sind, sondern weil sie nicht geschlossen wurden. Aus Patch-Management wird Patch-Management mit Priorisierung: Eine Lücke, die aktiv ausgenutzt wird oder ein erreichbares System betrifft, kommt zuerst, der Rest im Wartungsfenster. Wichtig sind ein Testlauf, ein Rollback und ein Nachweis, welcher Stand auf welchem Gerät installiert ist. Ein bloßes Update-Skript ohne diese drei Punkte ist nur Automatisierung.

Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Freigabe Lösegeld fordert. In vielen Fällen werden die Daten vorher aus dem Netz kopiert – die Erpressung droht dann mit der Veröffentlichung. Das Bundeskriminalamt zählte für 2025 1.041 angezeigte Ransomware-Angriffe, rund 90 Prozent davon gegen kleine und mittlere Unternehmen; rund 82 Prozent folgten dem Muster der Doppelten Erpressung. Das BSI zählte im Lagebericht 2025 rund 950 Angriffe, 72 Prozent mit Datenleaks. Ein Backup stellt die Daten wieder her, gegen den Abfluss hilft Zugriffsschutz.

Ransomware-as-a-Service ist ein Geschäftsmodell, bei dem Angreifer gegen eine Gebühr Zugang zu Erpressersoftware und Unterstützung beim Angriff erhalten. Der Angriff wird dadurch planbarer und kostet für den Angreifer fast nichts. Für kleine Unternehmen ändert das nichts: Der Einstieg entscheidet, nicht die Größe des Angriffs. Wer über E-Mail, VPN oder ein Konto ohne zweiten Faktor erreichbar ist, wird zum Ziel – unabhängig von der IT-Ausstattung.

Netzwerksegmentierung teilt das Netz eines Unternehmens in getrennte Bereiche, damit ein Angreifer nicht von einem System aus auf alle anderen zugreifen kann. Üblich sind interne Netze, eine demilitarisierte Zone für öffentlich erreichbare Dienste und die Außenbindung; die Übergänge sichert eine Firewall. Das IT-Grundschutz-Kompendium, Edition 2023, beschreibt die Segmentierung als bewährte Maßnahme. Der praktische Nutzen zeigt sich im Ernstfall: Bleibt der Angriff im betroffenen Segment, stehen die übrigen Systeme weiter.

Ein Security Operations Center ist die Stelle, an der sicherheitsrelevante Ereignisse zentral ausgewertet und bewertet werden – bei einem Managed Security Service rund um die Uhr durch Spezialisten. Aufgaben sind die Überwachung der Systeme, die Bewertung von Meldungen, die Einleitung von Gegenmaßnahmen und die Dokumentation jedes Vorgangs. Der Unterschied zur reinen Technik liegt in der Reaktion: Ein Alarm ohne Bewertung ist nur eine Meldung. Für kleine Unternehmen ist ein eigenes SOC fast nie sinnvoll, weil es Personal rund um die Uhr voraussetzt.

Eine Firewall filtert Netzwerkverkehr an einer Grenze nach festgelegten Regeln: Was darf hinein, was darf hinaus, was wird protokolliert. Man unterscheidet Hardware-Firewalls als eigene Geräte und Software-Firewalls, die auf Servern oder in virtuellen Umgebungen laufen. Für kleine Unternehmen sind drei Dinge entscheidend: die Regelbasis, die Protokollierung und die Aktualisierung – eine Firewall mit veralteten Regeln blockiert entweder zu viel oder lässt zu viel durch. Das IT-Grundschutz-Kompendium empfiehlt, die Kommunikation zwischen Netzzonen auf das Notwendige zu beschränken und die Übergänge zu dokumentieren.

Eine Cloud-Firewall ist ein Sicherheitsdienst, der Anwendungen und Daten schützt, die bereits in der Cloud laufen – durch Filterung von Anfragen, Rate-Begrenzung und Schutz vor verbreiteten Angriffen. Der Unterschied zur klassischen Firewall: Sie sitzt nicht im eigenen Netz, sondern zwischen Nutzer und Cloud-Anwendung. Das ist sinnvoll, sobald Anwendungen im Browser oder als SaaS genutzt werden. Wichtig bleibt die Protokollierung: Eine Cloud-Firewall, die nur blockiert und nichts dokumentiert, lässt sich im Vorfall nicht auswerten.

Multifaktor-Authentifizierung verlangt bei der Anmeldung mehr als ein Merkmal: Wissen, Besitz oder Biometrie. Üblich ist ein Passwort plus ein Code auf dem Smartphone oder eine Sicherheitsschlüssel. Damit schützt MFA direkt gegen Phishing und Passwortdiebstahl, weil ein Angreifer mit dem Passwort allein nicht hineinkommt. Für kleine Unternehmen ist MFA der wirksamste Einzelschritt, weil er unabhängig von der Größe des Betriebs funktioniert und ohne Zusatzkosten umsetzbar ist. Wichtig: MFA muss erzwungen und nicht nur angeboten werden, und Ausnahmen für Notfälle brauchen einen geregelten Prozess statt einer Dauer-Ausnahme.

Ein Backup ist eine Kopie von Daten, die getrennt vom Original entsteht und nicht von einer Löschung oder Verschlüsselung betroffen ist. Es schützt vor technischen Fehlern: defekte Datenträger, versehentliches Löschen, Fehler bei Updates und Verlust durch Brand oder Diebstahl. Gegen Erpressung mit Lösegeld hilft es nur, wenn die Kopie getrennt und möglichst unveränderbar liegt. Ein Backup ohne geprüfte Wiederherstellung ist ungenutzt: Erst der Restore-Test zeigt, ob die Kopie wirklich hilft und wie lange die Rückkehr in den Normalbetrieb dauert.

Die 3-2-1-Regel ist der Standard für zuverlässige Datensicherung: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Medien, davon eine außerhalb des Gebäudes. Die Kopie außer Haus schützt vor Diebstahl, Brand und vor einer Erpressungswelle, die auch die lokale Sicherung mitnimmt. Heute kommt eine vierte Ebene hinzu: eine Kopie, die niemand löschen oder verändern kann. Die Regel ist leicht gemerkt, ihre Umsetzung nicht – in der Praxis scheitert die Sicherung an Details wie unbekannten Zusatzdaten, ungeprüften Zugangsdaten oder fehlenden Restore-Tests.

Ein Immutable Backup ist eine Sicherung, die nachträglich nicht mehr verändert oder gelöscht werden kann – weder durch einen Angreifer mit Administratrechten noch durch einen unglücklichen Fehlbefehl. Angeboten wird das über WORM-Speicher oder über gesperrte Aufbewahrungsfristen im Backup-Ziel. Der Nutzen liegt genau dort, wo herkömmliche Backups versagen: Angriffe auf Erpressersoftware suchen gezielt nach Backup-Software und löschen oder verschlüsseln die Sicherungen mit. Immutable Backups beenden diesen Weg. Für kleine Unternehmen ist das der wirksamste Schutz gegen Datenverlust, wenn im Ernstfall die Produktivsysteme bereits verschlüsselt sind.

Eine Synchronisation überträgt Änderungen in beide Richtungen: Eine versehentlich gelöschte Datei verschwindet auch auf den anderen Geräten. Eine Datensicherung erzeugt dagegen eine Kopie, die niemand synchron verändert. Genau dieser Unterschied entscheidet im Ernstfall. OneDrive und SharePoint sind Synchronisationsdienste – die Papierkorb-Frist macht eine Rückholung möglich, aber sie endet. Wer Synchronisation mit Backup verwechselt, hält sich für abgesichert, während die Daten weiterhin nur an einem Ort liegen. Als Ergänzung sinnvoll, als Ersatz für ein Backup nicht.

Datenträgerlöschung ist das sichere Löschen von Daten auf Datenträgern, bevor ein Gerät ausgesondert oder weitergegeben wird. Der Baustein CON.6 „Löschen und Vernichten“ im IT-Grundschutz-Kompendium, Edition 2023, verlangt eine dokumentierte Regelung, benennt Verantwortlichkeiten und beschreibt Mindestanforderungen an die Verfahren: bei verschlüsselten Datenträgern die Löschung des Schlüssels, bei integrierten Datenträgern die sichere Löschung über die Gerätefunktionen, bei defekten Datenträgern die Vernichtung. Der Nachweis ist entscheidend: Ein gelöschter Datenträger ist ein Beleg, ein entsorgter nicht.

Cloud-Computing ist die Bereitstellung von IT-Leistungen wie Rechenleistung, Speicher und Anwendungen über das Internet – bedarfsgerecht und nutzungsabhängig abgerechnet. Für kleine Unternehmen ist der praktische Nutzen, IT-Kapazität zu nutzen, ohne sie selbst zu beschaffen. Die Belastung liegt bei den Fragen, die bei eigener Hardware nicht auftauchen: Wo liegen die Daten, wer darf zugreifen, und was passiert bei einem Anbieterwechsel. Die Antworten gehören in einen Vertrag und in eine schriftliche Ausstiegsregel, sonst wird der Umstieg später teurer als der Betrieb.

Public Cloud, Private Cloud und Hybrid Cloud unterscheiden sich danach, wer die Umgebung betreibt und wer auf die Daten zugreifen darf. In der Public Cloud teilen sich viele Kunden die Infrastruktur. Die Private Cloud wird ausschließlich für ein Unternehmen betrieben – im Rechenzentrum des Anbieters oder im eigenen Haus. Hybrid verbindet beide. Für die Praxis zählt nicht das Etikett, sondern die Antwort auf drei Fragen: Wo liegen die Daten, wer hat Administratorrechte, und wie wird ausgewechselt, wenn der Anbieter wechseln soll.

Cloud-Migration ist der geordnete Umzug von Anwendungen und Daten in eine Cloud-Umgebung. Sie gliedert sich in vier Schritte: Bestand aufnehmen, Ziel definieren, testweise migrieren, Ausstiegsplan festlegen. Der häufigste Fehler beginnt bei Punkt eins – ohne vollständige Bestandsaufnahme wandern Altlasten, versteckte Abhängigkeiten und Sonderpfade mit und werden erst nach dem Umzug sichtbar. Fachlich empfiehlt sich zudem, nicht alles auf einmal umzuziehen: Der teilweise Umzug schafft Zeit, Vergleichswerte und einen realistischen Testbetrieb.

Lift-and-Shift beschreibt eine Migrationsstrategie, bei der Anwendungen ohne inhaltliche Anpassung in die Cloud verschoben werden: gleiche Technik, gleiche Konfiguration, nur anderer Ort. Das ist schnell umsetzbar und birgt dabei zwei Risiken. Erstens wandern Altlasten mit, weil nichts geprüft wird. Zweitens entstehen Betriebsaufgaben in der Cloud, die im eigenen Haus von einer Person erledigt wurden. Für KMU ist Lift-and-Shift sinnvoll, wenn eine Anwendung unverändert weiterlaufen soll; für alles andere ist eine Anpassung derzeitlich meist günstiger, weil Cloud-Kosten nach Nutzung entstehen.

Microsoft 365 bündeltExchange Online, SharePoint, OneDrive, Teams und die Microsoft-365-Apps in einem Mandanten. Für kleine Unternehmen ist der entscheidende Punkt nicht die Appsammlung, sondern die Kontrolle über Daten, Zugriffsrechte und Wiederherstellung. Die Plattform bringt für Exchange, SharePoint und OneDrive eine einbaubare Sicherung mit, deckt aber nicht alles ab, was im Mandant liegt. Damit die Daten bei einem Anbieter- oder Kontenwechsel nicht verloren gehen, gehört zur Einführung eine Bestandsaufnahme der SharePoints, ein Rollenkonzept und ein nachvollziehbarer Rechteplan.

Office 365 und Microsoft 365 sind aufeinander abgestimmt, aber nicht identisch. Office 365 bezeichnet die Anwendungen aus Office – Word, Excel, Outlook, PowerPoint und Teams. Microsoft 365 ist der übergreifende Begriff für die gesamte Plattform aus Anwendungen, Exchange, SharePoint, OneDrive und den Sicherheitsfunktionen rund um Identitäten und Daten. Für die Planung zählt die Unterscheidung an einer Stelle: Nur mit Microsoft 365 sind die weiterentwickelten Sicherheits- und Verwaltungsfunktionen enthalten.

OneDrive ist der Cloudspeicher für Dateien eines einzelnen Kontos, SharePoint der Speicher für Teams, Abteilungen und Intranet-Bereiche. Beide synchronisieren Änderungen in beide Richtungen: Eine gelöschte Datei verschwindet auch auf den anderen Geräten. SharePoint-Listen und Bibliotheken brauchen deshalb ein Rollenkonzept – zu viele Bearbeitungsrechte sind die häufigste Ursache für unbeabsichtigte Datenfreigaben. Für die Datensicherung bedeutet das: Der native Backup-Mechanismus deckt SharePoint und OneDrive ab, deckt aber nicht alles im Mandanten ab und schützt nicht vor Datenabfluss durch kompromittierte Konten.

VoIP überträgt Sprache über das Internet statt über eine klassische Telefonleitung. Eine Cloud-Telefonanlage ersetzt die Telefonanlage im Haus: Nummern, Rufgruppen und Berechtigungen laufen in der Cloud, die Endgeräte sind oft simple IP-Telefone oder Apps. Für kleine Unternehmen ist der Wechsel der letzte große Schritt, an dem noch eine eigene Technik hängt. Zwei Punkte sind vorab zu klären: die Qualität der Internetanbindung und die Frage, was mit bestehenden Rufnummern und Durchwahlen geschieht.

IT-Lifecycle-Management begleitet ein Gerät über seine gesamte Nutzungsdauer: von der Beschaffung über den Betrieb und die Erneuerung bis zur Aussonderung. Die zentrale Phase ist die letzte: Geräte, die nicht ausgesondert werden, bleiben erreichbare Ziele – unabhängig davon, ob sie noch in Betrieb sind. Der Baustein CON.6 des IT-Grundschutz-Kompendiums verlangt dafür eine dokumentierte Regelung und nachweisbare Löschverfahren. Der Nutzen ist doppelt: Sie ersetzen Geräte, bevor der Ausfall das Betriebsrisiko bestimmt, und Sie löschen nachvollziehbar, statt zu vermuten.

Ein IT-Notfallplan beschreibt, wer nach einem Ausfall entscheidet, welche Systeme zuerst wieder laufen und wie der Betrieb in den Normalzustand zurückfindet. Er ist auch ohne eigene IT-Abteilung sinnvoll, weil er Beteiligte, Reihenfolge und Kommunikation regelt. In der Praxis entstehen die meisten Schäden nicht durch den Ausfall selbst, sondern durch die Improvisation danach: Zuständigkeiten sind unklar, Entscheider fehlen, Prioritäten werden nicht eingeführt. Ein Notfallplan braucht deshalb einen realistischen Test und eine Pflege, sonst veraltet er schneller als er hilft.

Business Continuity bezeichnet die Planung, mit der ein Unternehmen bei schweren Störungen handlungsfähig bleibt: nicht nur die IT wird wiederhergestellt, sondern die Prozesse, die Erträge bringt. Der Unterschied zum IT-Notfallplan ist der Blickwinkel: Der Notfallplan beantwortet die Frage, wie die Systeme zurückkommen, die Business-Continuity-Planung beschreibt, welche geschäftlichen Leistungen in welcher Reihenfolge gesichert werden müssen und ab welchem Ausfall der Betrieb einzieht. Für kleine Unternehmen reicht eine knappe, geübte Fassung – ohne sie bleibt der Notfallplan ein technisches Dokument ohne wirtschaftliche Priorität.

Monitoring ist der laufende Vorgang: Werte werden erhoben, Grenzwerte hinterlegt und Alarme erzeugt. Überwachung ist das Ziel dahinter – die Aussage, ob ein System verfügbar ist. Beides wird oft synonym verwendet, obwohl es unterschiedliche Voraussetzungen hat. Monitoring ohne Auswertung bleibt eine Datenflut: Alarme, die niemand bewertet, verschleissen die Aufmerksamkeit. Überwachung braucht deshalb eine Auswertung mit klarer Zuständigkeit, definierte Eskalationswege und eine Aufbereitung, die auch Nicht-Techniker verstehen. Der Nutzen zeigt sich, wenn ein Fehler vor dem Ausfall erkannt wird.

User Awareness Training ist die Schulung von Mitarbeitenden zum sicheren Umgang mit IT und Daten. Inhalt sind typische Angriffswege, das Erkennen von Phishing-Mails, der sichere Umgang mit Passwörtern und der Umgang mit fremden Datenträgern. Die Schulung wirkt nur, wenn sie an der Praxis ansetzt: realistische Beispiele, klare Regeln und ein kurzer Weg, verdächtige Nachrichten zu melden. Technische Filter bleiben notwendig, weil Menschen trotz Schulung Fehler machen. Umgekehrt ersetzt eine Schulung keine Technik – zusammen senken beide die Wahrscheinlichkeit, dass ein Angriff überhaupt stattfindet.

Eine IT-Sicherheitsberatung ermittelt den Stand der Absicherung, benennt Lücken und benennt die Maßnahmen in der Reihenfolge ihrer Wirkung. Sie ist eine Bestandsaufnahme mit Handlungsempfehlung, keine Produktberatung: Im Mittelpunkt steht die Frage, welcher Schaden im Ernstfall entsteht und welche technische oder organisatorische Lücke ihn wahrscheinlicher macht. Für kleine Unternehmen ist die Beratung der sinnvollste Einstieg, weil sie den Aufwand auf die wirksamen Schritte begrenzt. Ergebnis sollte eine priorisierte Liste sein – mit Aufwand, Zuständigkeit und Reihenfolge.

Die Datenschutz-Grundverordnung (DSGVO) verlangt von Unternehmen, personenbezogene Daten nachweislich zu schützen. Zentral dafür sind die technischen und organisatorischen Maßnahmen (TOMs): Sie beschreiben, wie Daten geschützt, gesichert und gelöscht werden. Erforderlich ist außerdem ein Verzeichnis der Verarbeitungstätigkeiten, und wer Daten im Auftrag verarbeitet, braucht einen Vertrag mit dem Auftraggeber. Für IT-Dienstleister ist entscheidend, dass die TOMs nicht nur auf Papier existieren, sondern im laufenden Betrieb wirken – sonst fehlt der Nachweis genau dann, wenn er gebraucht wird.

Die NIS-2-Richtlinie der Europäischen Union verschärft die Anforderungen an die IT-Sicherheit bestimmter Unternehmen. Sie verlangt unter anderem ein Managementsystem für Informationssicherheit, eine belastbare Risikoanalyse, Meldepflichten bei schwerwiegenden Vorfällen und die Einbeziehung der Lieferkette. Ob und welche Pflichten ein Unternehmen treffen, hängt von Branche, Unternehmensgröße und Standort ab; die konkrete Umsetzung erfolgt in nationalem Recht. Welche Pflichten für Sie gelten, klären Sie mit Ihrer Rechtsabteilung. Vorbereitend wirken vor allem die Maßnahmen, die ohnehin sinnvoll sind: ein Notfallplan, ein aktuelles Inventar und geprüfte Backups.

Der IT-Grundschutz ist die gemeinsame Sicherheitsstandardisierung des Bundesamts für Sicherheit in der Informationstechnik für den privaten und öffentlichen Sektor. Das IT-Grundschutz-Kompendium, Edition 2023, bündelt 111 Bausteine in zehn Schichten – von den Grundlagen der IT-Sicherheit bis zur Datenträgerlöschung. Bausteine beschreiben jeweils Gefährdungslage, Rollen und Anforderungen, etwa für Patch-Management, Segmentierung oder das Löschen und Vernichten von Datenträgern. Für kleine Unternehmen ist der Grundschutz kein Selbstzweck, sondern ein Fundament: Viele Anforderungen sind ohnehin gute Praxis und lassen sich mit überschaubarem Aufwand umsetzen.

Die GoBD regeln, wie Bücher, Aufzeichnungen und Unterlagen in elektronischer Form geführt, aufbewahrt und verfügbar gehalten werden müssen – verbindlich für steuerlich relevante Unterlagen. Für die IT bedeutet das: Daten müssen vollständig, nachvollziehbar und unveränderbar gespeichert sein, Zugriffe protokolliert und Aufbewahrungsfristen eingehalten werden. Ein revisionssicheres Mailarchiv mit dokumentierter Löschung ist die praktische Umsetzung im Arbeitsalltag. Die Anforderungen überschneiden sich mit denen der Datenschutz-Grundverordnung, ziehen aber in dieselbe Richtung: Nachweisbar, nicht veränderbar, fristgerecht bereinigt.