IT-Dienstleister wechseln, ohne Zugänge und Daten zu verlieren

Woher die Sorge vor einem Wechsel des IT-Dienstleisters kommt

Beginnen wir mit einem Satz, der in fast jedem solchen Gespräch fällt. Der bisherige Dienstleister hat sämtliche Passwörter und kennt das gesamte Netzwerk. Wenn er sich gekränkt fühlt, bleiben Sie mit einer Infrastruktur zurück, von der niemand etwas weiß.

Diese Sorge ist keineswegs abwegig. Sie ist nur falsch ausgerichtet. Das Problem ist nicht die Technik, denn Hardware und Systeme bleiben genau dort, wo sie sind. Das Problem sind die Informationen. Wer hat die Kontenliste? Wer weiß, warum eine bestimmte Firewall-Regel überhaupt eingerichtet wurde? Wo befindet sich die neueste Datensicherung? Wer über dieses Wissen verfügt, hat die Situation unter Kontrolle.

Die gute Nachricht ist, dass sich diese Informationen der Reihe nach und kontrolliert übertragen lassen. Der Wechsel des IT-Dienstleisters ist ein Projekt mit einer Checkliste und kein Sprung ins kalte Wasser. Nachfolgend finden Sie diese Liste in der Reihenfolge, in der es sinnvoll ist, sie abzuarbeiten.

Bestandsaufnahme der Zugänge als erster Schritt

Bevor jemand etwas umstellt, wird eine Liste aller Administratorkonten erstellt, über die das Unternehmen verfügt. Es geht noch nicht um die Passwörter. Es geht um die Liste der Türen, die ein Passwort öffnet.

• Domain und DNS einschließlich des Zugangs zum Registrar-Portal,
• E-Mail und Office-Paket, also das globale Administratorkonto für Microsoft 365 oder Google Workspace,
• Server und Virtualisierung, also Domänenadministratorkonten, lokale Konten sowie die vSphere- oder Hyper-V-Konsole,
• Netzwerk, also Switches, Access Points, Firewall, VPN und Konten in den Portalen der Netzbetreiber,
• Daten, also die Konsole für die Datensicherung, das Speichersystem, NAS und Cloud-Abonnements mit der Angabe, auf wessen Namen sie abgerechnet werden,
• häufig vergessene Punkte, also Monitoring, Kameras, Zutrittskontrolle an den Türen, Telefonanlage und Lizenzportale der Hersteller.

Ergänzen Sie zu jedem Punkt eine zweite Frage, die wichtiger ist als die erste. Wer verfügt außerdem noch über diesen Zugang? Sehr oft tauchen in der Antwort ein ehemaliger Mitarbeiter, ein Subunternehmer aus dem Jahr 2019 und ein Konto namens admin auf. Das Passwort dieses Kontos ist der halben Belegschaft und dem gesamten früheren Team bekannt. Ein solcher Zugang lässt sich nicht entziehen. Er lässt sich nur ändern.

Eine besondere Falle sollte eigens erwähnt werden. Wenn der zweite Anmeldefaktor für ein Administratorkonto an das private Telefon einer Person beim bisherigen Dienstleister oder an deren als Wiederherstellungsadresse hinterlegte E-Mail-Adresse gesendet wird, reicht das Passwort allein nicht aus. Das muss Punkt für Punkt geprüft werden.

Die Dokumentation, die meist fehlt

Im zweiten Schritt wird die Netzwerk- und Serverdokumentation übernommen. In der Praxis zeigt sich eine von drei Situationen: Die Dokumentation ist vorhanden und aktuell, sie ist vorhanden, beschreibt aber das Netzwerk von vor vier Jahren, oder sie fehlt vollständig und das gesamte Wissen steckt in einem einzigen Kopf.

Was Sie anfordern sollten:

• der Adressierungsplan und die Aufteilung in VLANs mit einer Beschreibung, was wohin gehört,
• eine Beschreibung der Firewall-Regeln und der Gründe, aus denen sie jeweils erstellt wurden,
• die VPN-Konfigurationen und eine Liste der Personen, die sie nutzen,
• ein Verzeichnis der Server mit ihren Rollen und Abhängigkeiten, damit klar ist, was nach dem Abschalten eines Servers nicht mehr funktioniert,
• eine Beschreibung der Datensicherungen, also was gesichert wird, wo die Sicherungen liegen und wie lange sie aufbewahrt werden,
• Lizenzschlüssel und Supportverträge mit den jeweiligen Verlängerungsterminen.

Wenn keine Dokumentation vorliegt, ist das kein Grund, auf den Wechsel zu verzichten. Die Bestandsaufnahme ist dann einfach die erste Aufgabe des neuen Teams. Sie erfolgt direkt an den Geräten und nicht anhand von Erzählungen. Sie sollten lediglich wissen, dass sie Zeit in Anspruch nimmt. Fragen Sie den neuen Dienstleister, ob die Bestandsaufnahme zum Umfang der Übernahme gehört und welche Ergebnisse Sie anschließend schriftlich erhalten.

Verträge mit Netzbetreibern und Herstellern

Dieser Punkt fällt meist zu spät auf, weil er in keiner Konsole sichtbar ist. Entscheidend ist, welcher Firmenname und welche Steuernummer in den Unterlagen stehen.

• Internet- und MPLS-Verbindungen sowie die Frage, ob das Unternehmen den Vertrag selbst unterzeichnet hat oder ob der IT-Dienstleister dies im Namen des Unternehmens getan hat,
• der Herstellersupport für die Hardware, also wer eine Störung meldet und auf wessen Namen der Vertrag registriert ist,
• über einen Reseller erworbene Lizenzen, die im Tenant des Dienstleisters statt im Tenant des Unternehmens hinterlegt sein können,
• Cloud-Abonnements sowie die Frage, wem das Abonnement und das Benutzerverzeichnis gehören,
• die Domain und die Zertifikate, also wer sie verlängert und mit welcher Karte.

Wenn etwas aus dieser Liste auf den bisherigen Dienstleister registriert ist, stellt die Übertragung eine eigene Aufgabe mit einem eigenen Zeitplan dar, der mitunter mehrere Wochen umfasst. Das lässt sich nicht in der letzten Vertragswoche erledigen. Der schlimmste Fall ist hier nicht der Verlust eines Passworts. Der schlimmste Fall ist eine auslaufende Firewall-Lizenz, von der das Unternehmen erst erfährt, wenn das Gerät keine Signaturen mehr aktualisiert.

Datensicherungen und Datum des letzten Wiederherstellungstests

Wenn Sie dem bisherigen Dienstleister nur eine Frage stellen könnten, fragen Sie nach den Datensicherungen. Fragen Sie nicht, ob die Datensicherung läuft, denn das ist fast immer der Fall. Fragen Sie, wann zuletzt Daten daraus wiederhergestellt wurden und welche Daten genau wiederhergestellt wurden.

Fünf Punkte sollten Sie klären: was gesichert wird, wo sich die Sicherungen physisch befinden, wer Zugriff auf die Konsole hat, wie lange sie aufbewahrt werden sowie Datum und Umfang der letzten erfolgreichen Wiederherstellung.

Die branchenübliche 3-2-1-Regel sieht drei Kopien der Daten auf zwei unterschiedlichen Medientypen vor, davon eine an einem externen Standort. Die neuere Variante 3-2-1-1-0 ergänzt eine vom Netzwerk getrennte Kopie sowie null Fehler. Diese Null bedeutet, dass die Kopien durch regelmäßige Wiederherstellungstests geprüft werden. Der Test ist kein Zusatz zur Datensicherung mehr. Er ist ein Bestandteil davon.

Zum Abschluss dieses Punktes noch ein praktischer Hinweis. Wenn sich die Datensicherungen in der Infrastruktur oder im Cloud-Konto des bisherigen Dienstleisters befinden, müssen sie vor Vertragsende übertragen werden und nicht danach. Nach der Kündigung ist niemand verpflichtet, sie länger aufzubewahren.

Parallelbetrieb, statt Brücken abzubrechen

Die geordnetsten Übernahmen haben eines gemeinsam. Beide Unternehmen haben für einen vereinbarten Zeitraum Zugriff, beide sind darüber informiert und die Regelung steht im Kündigungsschreiben oder in einem Nachtrag. Das neue Team arbeitet bereits, während das bisherige Team noch für Fragen erreichbar ist, die nie dokumentiert wurden.

Der Parallelbetrieb muss nicht lang sein. Er muss einen vollständigen Arbeitszyklus des Unternehmens abdecken, etwa den Monatsabschluss, die Gehaltsabrechnung, die Inventur oder eine saisonale Hochphase. Vorgänge, die nur einmal im Monat stattfinden, werden auch nur einmal im Monat sichtbar.

Klären Sie außerdem einen Punkt, der in einer emotionalen Situation leicht vergessen wird. Die Beendigung der Zusammenarbeit sollte formell und höflich erfolgen. Eine Person, die noch über die Passwörter verfügt und sich daran erinnert, warum etwas genau so umgesetzt wurde, ist in diesem Moment wertvoller als die Genugtuung, die eine scharf formulierte E-Mail verschafft.

Reihenfolge beim Deaktivieren der alten Zugänge

Hier gilt eine Regel ohne Ausnahme. Ein alter Zugang wird erst deaktiviert, wenn der neue in der Praxis geprüft wurde. Geprüft bedeutet, dass sich jemand angemeldet, eine tatsächliche Änderung vorgenommen und sie wieder rückgängig gemacht hat. Ein Begrüßungsbildschirm allein reicht nicht aus.

Eine sinnvolle Reihenfolge sieht so aus:

• Neue Administratorkonten werden angelegt und jeweils einzeln getestet,
• Die Passwörter gemeinsam genutzter Konten werden geändert, weil sich solche Zugänge nicht entziehen lassen,
• Zuerst werden die besonders sensiblen Zugänge entzogen, also Domänenadministrator, Firewall, Datensicherungskonsole, globaler Cloud-Administrator und Portale der Netzbetreiber,
• Die zweiten Authentifizierungsfaktoren und Wiederherstellungsadressen werden so angepasst, dass sie dem Unternehmen zugeordnet sind,
• Die VPN-Konten und regulären Administratorkonten des bisherigen Teams werden deaktiviert,
• Zuletzt werden Tools für den Fernzugriff und Remote-Management-Agenten von den Arbeitsplatzrechnern und Servern entfernt.

Der letzte Punkt ist wichtiger, als er auf den ersten Blick erscheint. Ein Remote-Management-Agent ist ein aktiver Zugangskanal zu jedem System im Unternehmen. Bleibt er nach Vertragsende installiert, verlieren alle vorherigen Punkte ihren Sinn.

Was Sie schriftlich mitnehmen und was Sie den neuen Dienstleister fragen sollten

Eine Übernahme endet mit einem Dokument, nicht mit einem Telefonat. Mindestens Folgendes sollte darin stehen:

• ein Übergabeprotokoll mit einer Liste der Systeme, Konten und tatsächlich übergebenen Elemente,
• Passwörter in einem Passwortmanager, der dem Unternehmen und nicht dem Dienstleister gehört,
• eine Übersicht der Verträge mit Netzbetreibern und Herstellern einschließlich der Verlängerungstermine,
• eine Beschreibung der Datensicherungen mit Aufbewahrungsfristen und dem Datum der letzten Wiederherstellung,
• eine Liste der deaktivierten Zugänge mit dem jeweiligen Datum der Deaktivierung,
• eine Erklärung, dass die Daten gelöscht oder zurückgegeben und ihre Kopien gelöscht wurden.

Der letzte Punkt ist keine willkürliche Forderung. Wenn der IT-Dienstleister personenbezogene Daten im Auftrag des Unternehmens verarbeitet hat, war er an einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gebunden. Derselbe Artikel legt fest, dass der Auftragsverarbeiter nach Abschluss der Leistungen die Daten löscht oder zurückgibt und alle vorhandenen Kopien löscht. Auch mit dem neuen Dienstleister ist ein solcher Vertrag vom ersten Tag an erforderlich.

Bevor Sie etwas unterschreiben, sollten Sie dem neuen Dienstleister einige Fragen stellen. Wie läuft die Übernahme ab und wie lange dauert sie? Was erhalte ich schriftlich? Wer führt sie auf Ihrer Seite durch? Was prüfen Sie in der ersten Woche, bevor Sie überhaupt etwas ändern? Wie lang ist die Reaktionszeit? Ist eine 24/7-Rufbereitschaft im Vertrag festgehalten oder wird sie nur in der Broschüre erwähnt?

Ein Wechsel des IT-Dienstleisters ist machbar und erfolgt in einer festgelegten Reihenfolge. Wenn Sie diese Liste anhand Ihrer eigenen Infrastruktur durchgehen und feststellen möchten, wo Lücken bestehen, rufen Sie uns unter +48 662 036 615 an oder schreiben Sie an [email protected].

IT-Service ansehen