Den richtigen IT-Dienstleister finden: Fragen und Vertragspunkte

Warum die Wahl des IT-Dienstleisters mehr ist als eine Preisfrage

In einem Betrieb mit 15 Beschäftigten gibt es selten jemanden, der sich hauptberuflich um die IT kümmert. Das übernimmt ein Dienstleister aus der Region, oft seit vielen Jahren. Er richtet Rechner ein, betreut den Server, spielt Updates ein und kommt, wenn der Drucker streikt. Mit der Zeit liegt bei ihm fast alles: Zugangsdaten, Wissen über die Systeme, die Sicherung. Der Inhaber merkt das meist erst, wenn der Dienstleister in Rente geht, die Firma verkauft oder schlicht nicht mehr erreichbar ist.

Daraus folgt die Leitfrage dieses Leitfadens: Wie wählt ein kleiner Betrieb einen IT-Dienstleister aus und wie gestaltet er die Zusammenarbeit so, dass er gut betreut wird, ohne die Kontrolle über die eigene IT zu verlieren? Dafür klären wir die Begriffe, stellen ein Denkmodell aus der Organisationsökonomie vor, prüfen die Befunde, wägen zwei Sichtweisen ab und beschreiben Fragen fürs Erstgespräch und Vertragspunkte.

Wer die Passwörter nicht hat, hat nicht die IT, sondern einen Dienstleister.

Welche Arten von IT-Dienstleistern gibt es?

Ein IT-Dienstleister betreut die Informationstechnik eines Betriebs ganz oder teilweise gegen Bezahlung. Die Formen unterscheiden sich vor allem darin, wie bezahlt wird und wer dafür sorgt, dass nichts ausfällt. Bei der Abrechnung nach Aufwand wird jede Stunde einzeln berechnet. Bei der Betreuungspauschale zahlt der Betrieb einen festen Betrag je Arbeitsplatz und Monat für vereinbarte Leistungen. Beim verwalteten Betrieb, englisch managed services, übernimmt der Dienstleister die laufende Überwachung und Pflege der Systeme und sagt dafür feste Leistungen zu.

Die Vergütung ist keine Nebensache. Sie bestimmt, was sich für den Dienstleister lohnt, und genau damit beschäftigt sich das Denkmodell dieses Leitfadens.

Das Denkmodell: der IT-Dienstleister als Agent

Die Prinzipal-Agent-Theorie beschreibt eine Beziehung, in der eine Person, der Prinzipal, eine Aufgabe an eine andere Person, den Agenten, überträgt. Michael Jensen und William Meckling haben sie 1976 ausgearbeitet. Der Essay Prinzipal-Agent-Theorie im Betrieb wendet sie auf Inhaber und Mitarbeiter an. Sie passt ebenso auf den Betrieb und seinen IT-Dienstleister.

Zwei Annahmen tragen die Theorie. Erstens verfolgen Prinzipal und Agent nicht dieselben Ziele. Der Betrieb will funktionierende, sichere IT zu planbaren Kosten. Der Dienstleister will auch Umsatz, Auslastung und wenig Aufwand bei unbequemen Aufgaben. Zweitens weiß der Agent mehr über seine Arbeit als der Prinzipal. Diese Informationsasymmetrie, also ungleich verteiltes Wissen, ist bei der IT besonders groß, weil der Inhaber kaum prüfen kann, ob eine Sicherung vollständig oder ein System aktuell ist.

Nach Eisenhardt (1989), auf die sich der Essay stützt, gibt es zwei Gegenmittel: bessere Information über das Verhalten oder eine Bezahlung nach Ergebnis. Beide kosten etwas. Für die Auswahl heißt das: vor dem Vertrag die Fähigkeiten prüfen, im Vertrag das Ergebnis beschreiben und während der Zusammenarbeit die Arbeit sichtbar machen.

Eine Analogie macht das greifbar. Wer ein Haus bauen lässt, prüft vorher Referenzen, schreibt in den Vertrag, was fertig sein muss, und lässt einen Gutachter die Abnahme machen. Niemand würde dem Bauunternehmer allein die Schlüssel und die Bauakte überlassen. Bei der IT geschieht genau das oft.

Was die Forschung über ausgelagerte IT zeigt

Die Forschung zur ausgelagerten IT ist umfangreich. Lacity, Khan, Yan und Willcocks (2010) werteten 164 empirische Fachartikel aus den Jahren 1992 bis 2010 aus. Ob ausgelagerte IT erfolgreich war, hing danach von Eigenschaften des Kunden und des Anbieters, von der Beziehung, von der vertraglichen Steuerung und von den Merkmalen der ausgelagerten Aufgabe ab. Könning, Westner und Strahringer (2019) ergänzten diese Übersicht um 63 Arbeiten aus den Jahren 2015 bis 2017.

Drei Befunde dieser neueren Übersicht sind für kleine Betriebe aufschlussreich. Erstens bestätigte sie die Bedeutung von Kommunikation, Wissensaustausch und Vertrauen sowie der fachlichen und technischen Fähigkeiten des Anbieters. Zweitens nannte sie versteckte Kosten, etwa für zusätzliche Kontrolle oder für einen Wechsel nach Vertragsende, als Risiko für den Erfolg, besonders aus Sicht des Kunden. Drittens fand eine dort zitierte Studie einen deutlich positiven Zusammenhang zwischen dem Einhalten des vereinbarten Übergangsplans, also der geordneten Übergabe der IT an den Anbieter, und dem Erfolg.

Für kleine Betriebe im engeren Sinn gibt es eine ältere, aber oft zitierte Studie. Thong, Yap und Raman (1996) untersuchten 114 kleine Betriebe, die Informationssysteme einführten. Gute externe Unterstützung, also die Qualität von Beratern und Anbietern, war für den Erfolg wichtiger als die Unterstützung durch die Geschäftsführung. Der Leitfaden Software auswählen nutzt denselben Befund. Er unterstreicht, wie viel von der Wahl des richtigen Partners abhängt.

Auch beim Thema Sicherheit verlassen sich kleine Betriebe stark auf ihren Dienstleister. In den Interviews von Wilson und McDonald (2025) mit britischen Kleinbetrieben und Sicherheitsanbietern setzten die Betriebe für ihre Sicherheit vor allem auf bestehende Kontakte und ihre IT-Anbieter. Die Anbieter kritisierten zugleich, dass Sicherungen oft nie zurückgespielt würden.

Vertrag oder Vertrauen? Zwei Sichtweisen

Die erste Sichtweise setzt auf den Vertrag. Was nicht schriftlich vereinbart ist, wird im Streitfall nicht geleistet. Reaktionszeiten, Leistungen, Zugänge und Ausstieg gehören deshalb genau geregelt. Dafür spricht die Prinzipal-Agent-Theorie: Wo das Verhalten schwer zu beobachten ist, müssen Ergebnis und Information vorher festgelegt sein.

Die zweite setzt auf Vertrauen. Ein guter Dienstleister kennt den Betrieb, reagiert auch außerhalb der Zusagen und denkt mit. Ein dicker Vertrag signalisiert Misstrauen und lädt dazu ein, nur noch das Vereinbarte zu tun. Dafür sprechen die Befunde zur Bedeutung von Vertrauen und Kommunikation und die Stewardship-Theorie, die der Essay zur Prinzipal-Agent-Theorie als Gegenposition vorstellt.

Ich halte beide für nötig, aber für verschiedene Dinge. Der Vertrag regelt das, was im Konfliktfall zählt: Zugänge, Dokumentation, Sicherung, Ausstieg. Das Vertrauen trägt den Alltag. Ein Vertrag, der die Zugänge beim Betrieb lässt, ist kein Misstrauensbeweis, sondern die Bedingung dafür, dass man einem Dienstleister vertrauen kann, ohne sich ihm auszuliefern.

Acht Fragen fürs Erstgespräch und zehn Vertragspunkte

Die Auswahl folgt derselben Logik wie bei einer Agentur, die der Leitfaden Agentur auswählen beschreibt: allen Anbietern dieselben Fragen in derselben Reihenfolge stellen, Antworten notieren und eine Referenz anrufen.

1. Wer betreut uns konkret, und wer vertritt diese Person bei Urlaub und Krankheit?
2. Welche Betriebe unserer Größe und Branche betreuen Sie, und dürfen wir einen davon anrufen?
3. Wie schnell reagieren Sie bei einem Ausfall, und wie ist das im Vertrag festgehalten?
4. Wie sichern Sie unsere Daten, und wann haben Sie zuletzt bei einem Kunden eine Wiederherstellung getestet?
5. Wie halten Sie Systeme aktuell, und wie erfahren wir, dass es passiert ist?
6. Auf wen laufen Zugänge, Lizenzen und Administratorkonten?
7. Was ist im Preis enthalten, und was wird extra berechnet?
8. Wie läuft eine Übergabe, wenn wir den Vertrag beenden?

Wie genau Reaktionszeiten beschrieben werden, damit sie eingehalten werden, behandelt der Leitfaden Servicezusagen festlegen. Und welche Zielwerte für die Sicherung sinnvoll sind, steht im Leitfaden Datensicherung nach der 3-2-1-Regel.

Wie stark versteckte Kosten den Vergleich verändern, zeigt ein Rechenbeispiel für einen Betrieb mit 15 Arbeitsplätzen. Anbieter A rechnet nach Aufwand, Anbieter B bietet eine Pauschale ohne Sicherungsprüfung, Anbieter C eine Pauschale mit Überwachung, Sicherung und Quartalsbericht. Ergänzt werden die Posten, die im Angebot fehlen. Alle Zahlen sind frei gewählt.

Was über die Auswahl hinaus folgt, und wo die Grenzen liegen

Die Auswahl ist nur der Anfang. Die Zusammenarbeit braucht auf Seiten des Betriebs eine Person, die Ansprechpartner ist, die Quartalsberichte liest und einmal im Jahr prüft, ob Zugänge und Dokumentation tatsächlich beim Betrieb liegen. Das ist keine technische Aufgabe, sondern eine Führungsaufgabe. Der Leitfaden IT-Grundschutz für kleine Betriebe beschreibt, welche Regeln zu Passwörtern, Sicherungen und Zugriffsrechten der Betrieb selbst kennen sollte.

Eine Grenze liegt im Markt. In vielen Regionen gibt es nur wenige IT-Dienstleister für kleine Betriebe, und sie sind ausgelastet. Wer zehn Vertragspunkte durchsetzen will, findet vielleicht keinen Anbieter, der alle akzeptiert. Dann gilt eine Reihenfolge: Zugänge, Dokumentation und Ausstieg zuerst, weil sie die Abhängigkeit begrenzen. Alles andere lässt sich nachverhandeln, wenn die Zusammenarbeit läuft.

Fazit: Wie findet ein Betrieb den richtigen IT-Dienstleister?

Offen war zu Beginn, wie ein kleiner Betrieb einen IT-Dienstleister auswählt und die Zusammenarbeit so gestaltet, dass er gut betreut wird, ohne die Kontrolle zu verlieren. Die Antwort folgt aus dem Denkmodell: Der Dienstleister ist ein Agent, der mehr weiß und andere Ziele hat. Vor dem Vertrag hilft die Prüfung der Fähigkeiten mit festen Fragen und einer Referenz. Im Vertrag helfen ein beschriebenes Ergebnis und eine Vergütung, die Vorbeugen belohnt. Während der Zusammenarbeit helfen Berichte und Zugänge beim Betrieb.

Die Befunde stützen beides, Vertrag und Vertrauen. Kommunikation und Vertrauen tragen den Erfolg, versteckte Kosten und ungeregelte Übergaben gefährden ihn. Ein guter Dienstleister hat nichts dagegen, dass sein Kunde die Schlüssel behält. Wer sich dagegen wehrt, beantwortet die wichtigste Frage der Auswahl schon im Erstgespräch.

Was sich sofort umsetzen lässt

1. Prüfe, auf wen Administratorkonten, Lizenzen und Domain heute laufen, und melde dich überall einmal selbst an.
2. Bitte deinen Dienstleister um die aktuelle Dokumentation deiner IT.
3. Lies deinen bestehenden Vertrag gegen die zehn Vertragspunkte und markiere, was fehlt.
4. Vereinbare einen Wiederherstellungstest und einen kurzen Quartalsbericht.
5. Wenn du wechseln willst: Stelle zwei Anbietern die acht Fragen und rufe je eine Referenz an.