Managed Hosting oder selbst verwalten? Verantwortungen sauber entscheiden

Kurzantwort: Wann ist Managed Hosting sinnvoll?

Managed Hosting ist sinnvoll, wenn ein Unternehmen den laufenden technischen Betrieb einer klar definierten Umgebung nicht vollständig selbst abdecken möchte oder kann. Dazu können Überwachung, Wartung, Backup-Kontrolle, Wiederherstellungsvorbereitung und koordinierte Änderungen gehören. Der genaue Umfang ergibt sich aus der Vereinbarung, nicht aus dem Begriff ‚managed‘.

Eigenbetrieb ist eine belastbare Option, wenn intern ausreichend Fachwissen, Zeit, Vertretung, Dokumentation und Entscheidungswege vorhanden sind. Reines Infrastruktur-Hosting liegt dazwischen: Der Anbieter stellt Rechenleistung, Speicher und Netzwerk bereit, während Betriebssystem, Datenbank, Anwendung und Fachbetrieb häufig beim Kunden bleiben. Deshalb beginnt die Entscheidung mit den Betriebsschichten, nicht mit einem Produktnamen.

Drei Betriebsmodelle voneinander unterscheiden

Beim Eigenbetrieb verantwortet das Unternehmen die vereinbarten technischen Schichten selbst oder koordiniert mehrere einzelne Anbieter. Das schafft direkte Kontrolle, verlangt aber kontinuierliche Betriebsfähigkeit. Beim Infrastruktur-Hosting stellt ein Rechenzentrums- oder Cloud-Anbieter Ressourcen bereit; die Administration oberhalb dieser Basis bleibt weitgehend beim Kunden.

Managed Hosting ergänzt definierte Betriebsleistungen. Ein Dienstleister betreut beispielsweise Betriebssystem, Laufzeit, Datenbank, Monitoring und Backups, während ein Softwarehersteller die Anwendung liefert und der Kunde Benutzer, Daten und fachliche Freigaben steuert. Mischformen sind normal. Problematisch wird nicht die Mischung, sondern eine Aufgabe ohne benannten Eigentümer.

Verantwortung je Schicht sichtbar machen

Der BSI-C5-Kriterienkatalog enthält korrespondierende Kriterien für Cloud-Kunden und macht damit deutlich, dass sichere Cloud-Nutzung eigene Maßnahmen des Kunden erfordert. Auch das BSI-Modul OPS.2.3 zur Nutzung von Outsourcing betrachtet Auswahl, Vereinbarung, Steuerung und Beendigung als Aufgaben der nutzenden Organisation. Ein Vertrag verlagert Leistungen, nicht die Notwendigkeit, sie zu steuern.

Eine einfache Verantwortungsmatrix benennt für jede Schicht Ausführung, Freigabe, Kontrolle und Vertretung. ‚Anbieter macht IT‘ ist dafür zu ungenau. Besonders bei Anwendungspflege, Datenbank, Identität, Schnittstellen, Sicherungen und Wiederherstellung entstehen sonst Annahmen, die erst im Störungsfall auffallen.

• Rechenzentrum, Hardware, Virtualisierung und Basisnetz
• Betriebssystem, Härtung, Updates und Zertifikate
• Laufzeit, Datenbank, Middleware und technische Konten
• Anwendung, Konfiguration, Lizenzen und Herstellerkontakt
• Integrationen, Datenflüsse, Warteschlangen und Fehlerbehandlung
• Benutzer, Rollen, Identitäten und fachliche Freigaben
• Backups, Schlüssel, Restore-Tests und Wiederanlaufreihenfolge
• Monitoring, Alarmierung, Reaktion und Kommunikation
• Daten, Aufbewahrung, Export und Löschung

Eigenbetrieb an realer Betriebsfähigkeit messen

Ein System selbst verwalten zu können bedeutet mehr als Administratorzugriff. Es braucht ein aktuelles Inventar, unterstützte Versionen, regelmäßige Wartung, überwachte Dienste, sichere Schlüssel, geprüfte Sicherungen und einen dokumentierten Wiederanlauf. Für Urlaub, Krankheit und Personalwechsel muss eine Vertretung existieren. Kritische Aufgaben dürfen nicht ausschließlich im Gedächtnis einer Person liegen.

Eigenbetrieb kann passend sein, wenn die Umgebung eng mit Produktion oder lokalen Fachsystemen verbunden ist, besondere Anpassungen benötigt oder ein kompetentes internes Team vorhanden ist. Die Entscheidung sollte trotzdem Kosten für Rufbereitschaft, Schulung, Werkzeuge, Testumgebungen, Dokumentation und Wiederherstellung berücksichtigen. Eine niedrige Infrastrukturrechnung ist noch kein vollständiger Betriebskostenvergleich.

Managed Hosting über konkrete Ergebnisse beschreiben

Ein sinnvoller Leistungsumfang nennt betreute Komponenten, regelmäßige Aufgaben, Wartungsfenster, Monitoring-Signale, Meldungswege, Backup- und Restore-Leistungen sowie Grenzen. Er beschreibt auch, welche Änderungen einer Freigabe bedürfen und wer eine fachliche Funktion nach Wartung oder Wiederherstellung abnimmt. Pauschale Verfügbarkeits- oder Reaktionsversprechen dürfen nicht aus der Bezeichnung abgeleitet werden.

Managed Hosting schafft vor allem einen gebündelten Betriebsprozess. Es ersetzt nicht automatisch den Softwarehersteller, den Datenschutzbeauftragten, die Fachverantwortung oder den Infrastrukturprovider. Je nach Anwendung bleiben mehrere Beteiligte notwendig. Der Managed-Hosting-Partner sollte ihre Übergaben koordinieren, soweit dies vereinbart ist, und offenlegen, wo seine Zuständigkeit endet.

Die Entscheidung anhand von sechs Fragen treffen

Statt Cloud und On-Premise pauschal zu bewerten, prüfen Sie den konkreten Dienst. Der BSI-Mindeststandard für externe Cloud-Dienste strukturiert Auswahl, Nutzung, Steuerung und Beendigung. Für mittelständische Betriebsentscheidungen lassen sich daraus praktische Fragen ableiten, auch wenn der Mindeststandard selbst für die Bundesverwaltung formuliert ist.

• Kritikalität: Welche Unterbrechung und welcher Datenverlust sind betrieblich tragbar?
• Fähigkeiten: Wer kann die Umgebung installieren, überwachen, ändern und wiederherstellen?
• Abhängigkeiten: Welche Anwendungen, Identitäten, Netze und externen Dienste müssen zusammenarbeiten?
• Änderungsbedarf: Wie häufig ändern sich Anwendung, Last, Schnittstellen und Sicherheitsanforderungen?
• Schutzbedarf: Welche Daten, Zugriffe, Protokolle und Nachweise müssen kontrolliert werden?
• Übergabefähigkeit: Lassen sich Daten, Konfiguration, Schlüssel und Dokumentation geordnet übernehmen oder zurückgeben?

Eine Betriebsübernahme als eigenes Projekt behandeln

Vor der Übernahme werden Systeme, Versionen, Verträge, Zugänge, Abhängigkeiten, offene Störungen und Sicherungen erfasst. Fehlende Administratorrechte, nicht unterstützte Software oder unbekannte Datenbankzugänge sind keine Kleinigkeiten. Sie verändern Aufwand und Risiko und müssen vor einem festen Übernahmetermin sichtbar werden.

Die Übergabe endet nicht mit der Zugangsliste. Ein kontrollierter Test prüft Monitoring, Wartung, Backup, Wiederherstellung, Eskalation und eine zentrale Anwendungsfunktion. Der bisherige und der neue Verantwortliche bestätigen den dokumentierten Zustand. Offene Punkte erhalten Frist und Eigentümer; unbekannte Risiken werden nicht still als betreut ausgegeben.

Wartung, Monitoring und Wiederherstellung zusammenführen

Monitoring erkennt definierte Abweichungen, behebt sie aber nicht. Wartung verändert Systeme kontrolliert; Backups bewahren Datenstände; Restore-Tests prüfen die Wiederherstellbarkeit. Ein Betriebsmodell muss diese Funktionen verbinden: Alarm führt zu einer verantwortlichen Reaktion, Wartung zu einer Funktionsprüfung und ein fehlgeschlagener Restore-Test zu einer nachverfolgten Korrektur.

Auch Schnittstellen gehören in diesen Zusammenhang. Eine erreichbare Anwendung kann fachlich ausfallen, wenn Identitätsdienst, ERP-Übergabe oder Dokumentenspeicher nicht funktionieren. Deshalb werden technische und fachliche Prüfpunkte getrennt festgelegt. Der Dienstleister kann den technischen Zustand bestätigen; der Fachbereich nimmt die geschäftliche Funktion ab.

Den Anbieter mit wenigen belastbaren Nachweisen steuern

Regelmäßige Betriebsberichte sollten Entscheidungen ermöglichen. Dazu gehören offene Risiken, Änderungen, relevante Störungen, Wartungsstand, Backup- und Restore-Befunde sowie auslaufende Zertifikate oder Versionen. Eine lange Liste grüner Einzelwerte ersetzt keine Erklärung, ob die vereinbarten Geschäftsprozesse geschützt und wiederherstellbar sind.

Der Auftraggeber benennt einen fachlichen und einen technischen Ansprechpartner. Er entscheidet über Prioritäten, genehmigt wesentliche Änderungen und hält Benutzer- sowie Datenverantwortung aktuell. Der Dienstleister dokumentiert die ausgeführten Leistungen und meldet Grenzen. Beide Seiten prüfen die Vereinbarung, wenn Architektur, Anwendung oder Schutzbedarf sich wesentlich ändern.

Den Exit schon beim Start vereinbaren

Ein Betriebsmodell ist erst vollständig, wenn die Beendigung geregelt ist. Benötigt werden Datenexport, Konfigurationen, Infrastruktur- und Betriebsdokumentation, offene Tickets, Zugangstransfer, Löschverfahren und ein abgestimmter Zeitraum für die Übergabe. Proprietäre Funktionen und nicht übertragbare Lizenzen müssen vor der Entscheidung bekannt sein.

Beim Wechsel wird nicht nur ein Datenbestand kopiert. Neue Verantwortliche müssen die Umgebung verstehen, überwachen, warten und wiederherstellen können. Ein Exit-Test oder eine geprobte Übergabe zeigt früh, ob Export und Dokumentation ausreichen. Weitere Pflichten, etwa aus dem EU Data Act bei Datenverarbeitungsdiensten, sind für den konkreten Vertrag gesondert zu prüfen.

Betriebsmodell in sieben Schritten festlegen

Die Entscheidung darf als überprüfbarer Betriebsentwurf geführt werden. Sie bleibt anpassbar, wenn Anwendung, Team oder Anforderungen sich verändern.

• 1. Anwendungen, Daten, Nutzer, Schnittstellen und Geschäftsziele erfassen.
• 2. Kritikalität, Schutzbedarf sowie Wiederanlaufziele festlegen.
• 3. Alle Betriebsschichten und erforderlichen Aufgaben auflisten.
• 4. Interne Fähigkeiten, Vertretung und tatsächliche verfügbare Zeit bewerten.
• 5. Eigenbetrieb, Infrastruktur-Hosting und Managed Hosting mit gleicher Matrix vergleichen.
• 6. Leistungsgrenzen, Freigaben, Nachweise, Kostenarten und Exit schriftlich vereinbaren.
• 7. Übergabe praktisch testen und das Modell nach wesentlichen Änderungen neu prüfen.