ZANONI Consulting GmbH

Cybersicherheit im Unternehmen: Wo Betriebe tatsächlich angreifbar sind

Fb-zanoni-consulting.de — Mon, 28 Sep 2026 07:49:51 +0000

Wer an Cyberangriffe denkt, denkt an Konzerne, Krankenhäuser und Behörden. Die Zahlen zeigen ein anderes Bild. Nach dem Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) gab es von Juli 2024 bis Juni 2025 in Deutschland 950 bekannt gewordene Ransomware-Angriffe. In 80 Prozent der Fälle traf es kleine und mittlere Unternehmen.

Der Grund ist schlicht. Die meisten Angriffe beginnen nicht mit der Auswahl eines Opfers, sondern mit einer automatischen Suche nach offenen Türen: ein Fernzugang ohne aktuelle Updates, ein Postfach, das nur mit Passwort geschützt ist, eine Mitarbeiterin, die auf einen gut gemachten Link klickt. Wer diese Tür hat, wird gefunden. Die Größe des Betriebs spielt dabei keine Rolle.

Dieser Beitrag zeigt, wie Angriffe auf mittelständische Betriebe typischerweise ablaufen, an welchen sieben Stellen die meisten Lücken liegen und wie Sie herausfinden, wo Ihr Betrieb steht.

Wie steht es um die Cybersicherheit im Mittelstand?

Angespannt. Das BSI zählte im letzten Berichtszeitraum durchschnittlich 119 neue Sicherheitslücken pro Tag, ein Viertel mehr als im Jahr davor. Die Bitkom-Studie „Wirtschaftsschutz 2026“ beziffert den Schaden für die deutsche Wirtschaft auf 211 bis 270,8 Milliarden Euro, davon 76 Prozent durch digitale Angriffe.

Hinter diesen Zahlen stehen keine abstrakten Risiken, sondern Betriebe, in denen morgens die Rechner nicht mehr starten, die Buchhaltung eine gefälschte Rechnung bezahlt hat oder Kundendaten im Netz auftauchen. Die gute Nachricht: Die meisten dieser Angriffe nutzen bekannte Lücken, die sich mit vertretbarem Aufwand schließen lassen.

Wie ein Angriff auf einen Betrieb typischerweise abläuft

Die Abläufe ähneln sich stark, ob es einen Handwerksbetrieb mit zwanzig Mitarbeitenden trifft oder einen Zulieferer mit zweihundert.

Der Zugang. Am Anfang steht fast immer eines von drei Dingen: eine Phishing-Mail, über die Zugangsdaten abgegriffen werden, ein Fernzugang oder eine Firewall mit einer bekannten, nicht geschlossenen Sicherheitslücke, oder ein Konto, das nur mit einem Passwort geschützt ist, das irgendwo schon einmal erbeutet wurde.

Die Erkundung. Mit dem ersten Zugang sehen sich Angreifer im Netz um. Oft über Tage oder Wochen, ohne dass es jemand bemerkt. Sie suchen Administratorkonten, Server und vor allem die Datensicherung.

Der Schaden. Erst dann schlagen sie zu. Daten werden kopiert und verschlüsselt, Backups vorher gelöscht oder mitverschlüsselt. Oder das übernommene Postfach der Buchhaltung verschickt Rechnungen mit neuer Bankverbindung an Ihre Kunden.

Wer den Ablauf kennt, sieht, wo die Hebel liegen: den ersten Zugang erschweren, ungewöhnliche Aktivität bemerken und eine Datensicherung haben, an die ein Angreifer nicht herankommt.

Die sieben Stellen, an denen Betriebe am häufigsten angreifbar sind

1. E-Mail

Die meisten Angriffe beginnen im Postfach. Ein guter Spamfilter fängt einen Großteil ab, aber nicht alles. Entscheidend ist, dass verdächtige Anhänge und Links vor dem Öffnen geprüft werden und dass Ihre Domain gegen Missbrauch durch Fremde abgesichert ist, damit niemand in Ihrem Namen Mails verschicken kann.

2. Die Anmeldung

Ein Passwort allein reicht nicht mehr. Wer für Microsoft 365, Fernzugänge und Verwaltungsoberflächen einen zweiten Faktor verlangt, macht erbeutete Passwörter weitgehend wertlos. Das ist die Maßnahme mit dem größten Nutzen für den geringsten Aufwand. Was bei Microsoft 365 dafür eingestellt sein muss, beschreiben wir im Beitrag Microsoft 365 im Unternehmen.

3. Fernzugänge

VPN, Fernwartung, Zugänge für Dienstleister: Jeder Weg von außen ins Netz ist auch ein Weg für Angreifer. Oft existieren mehr davon, als irgendjemand im Betrieb weiß. Ein Zugang, den ein früherer Dienstleister eingerichtet hat und der nie geschlossen wurde, ist keine Seltenheit.

4. Updates

Hersteller schließen Sicherheitslücken laufend. Das nützt nur, wenn die Updates auch eingespielt werden, auf Rechnern, Servern, Firewalls und Netzwerkgeräten. Gerade Geräte, die „einfach laufen“, werden dabei gern vergessen. Bei 119 neuen Lücken pro Tag ist das keine Aufgabe für zwischendurch, sondern ein fester Prozess.

5. Endgeräte

Ein klassischer Virenscanner erkennt bekannte Schadsoftware. Moderne Angriffe fallen dadurch oft nicht auf. Schutzprogramme, die ungewöhnliches Verhalten auf dem Rechner erkennen und melden, schließen diese Lücke. Dazu gehört, dass Laptops verschlüsselt sind und ein verlorenes Gerät keinen Zugang zu Betriebsdaten öffnet.

6. Berechtigungen

Wenn jeder Mitarbeitende auf alle Ordner zugreifen kann, kann ein Angreifer mit einem einzigen Konto auch alles verschlüsseln. Rechte nach Aufgabe zu vergeben, begrenzt den Schaden. Administratorrechte gehören auf wenige, eigens dafür angelegte Konten.

7. Datensicherung

Das Backup ist die letzte Verteidigungslinie, und Angreifer wissen das. Deshalb suchen sie gezielt danach. Eine Sicherung, die im selben Netz liegt und mit denselben Zugangsdaten erreichbar ist, wird im Ernstfall mitverschlüsselt. Sicher ist eine Sicherung erst, wenn eine Kopie getrennt vom Netz liegt und die Wiederherstellung regelmäßig getestet wird.

Technik allein reicht nicht

Die sieben Punkte oben sind überwiegend technisch. Zwei Dinge gehören trotzdem dazu, die keine Software ersetzt.

Die Mitarbeitenden. Eine gut gemachte Phishing-Mail erkennt man nicht an Rechtschreibfehlern. Mitarbeitende, die wissen, worauf sie achten müssen, und die einen Verdacht sofort melden statt ihn zu verschweigen, stoppen viele Angriffe am ersten Schritt. Dafür bieten wir Awareness-Trainings an.

Der Plan für den Ernstfall. Wer entscheidet, wenn die Systeme ausfallen? Wen rufen Sie an? Welche Rechner werden vom Netz genommen? Diese Fragen im Ernstfall zum ersten Mal zu stellen, kostet Stunden. Ein kurzer, schriftlicher Ablauf, der auch ausgedruckt vorliegt, spart sie.

„Wir sind doch viel zu klein“

Das ist der häufigste Satz, den wir im Gespräch hören. Er stimmt aus zwei Gründen nicht.

Erstens wählen automatisierte Angriffe ihre Ziele nicht nach Größe aus, sondern nach offenen Lücken. Die Zahlen des BSI zeigen, dass kleine und mittlere Betriebe die Mehrheit der Ransomware-Opfer stellen.

Zweitens verlangen Ihre Kunden zunehmend Nachweise. Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, müssen die Sicherheit ihrer Lieferkette bewerten. Das erreicht auch Zulieferer und Dienstleister, die selbst nicht betroffen sind, über Fragebögen und Vertragsklauseln. Wie das abläuft, erklärt unser Beitrag NIS2 im Mittelstand. Für Handwerksbetriebe haben wir die typischen Einfallstore gesondert beschrieben: Cyberangriffe auf Handwerksbetriebe.

Der kostenfreie Cybersicherheits-Check

Die meisten Betriebe wissen nicht genau, wo sie bei diesen sieben Punkten stehen. Das ist normal, denn die Antworten liegen verteilt in Firewall, Servern, Microsoft 365 und bei früheren Dienstleistern. Genau dafür gibt es unseren Cybersicherheits-Check. Er ist für Sie kostenfrei.

Wir nehmen den aktuellen Stand auf: Mail-Sicherheit, Endgeräte, Fernzugänge, Datensicherung, Berechtigungen und Update-Stand. Sie erhalten eine klare Übersicht, die zwischen kritisch, mittel und strategisch unterscheidet. Damit wissen Sie, welche Lücken Sie sofort schließen sollten und welche warten können.

Was danach passiert, entscheiden Sie. Wenn Sie möchten, setzen wir die Maßnahmen Schritt für Schritt um, so dass der Betrieb weiterläuft. Bei Firewalls setzen wir ausschließlich auf deutsche Hersteller. Anschließend übernehmen wir Überwachung, Updates und regelmäßige Prüfungen über unsere IT-Betreuung. Im Ernstfall reagieren wir in unter 180 Minuten. Welche Leistungen dazugehören, finden Sie auf unserer Seite zur IT-Sicherheit.

Wer seine Abwehr darüber hinaus regelmäßig von außen testen lassen will, findet Informationen im Beitrag Pentest as a Service.

Häufige Fragen

Was gehört zur Cybersicherheit in einem Unternehmen?

Microsoft 365 im Unternehmen: Was richtig eingerichtet sein muss

Fb-zanoni-consulting.de — Mon, 21 Sep 2026 13:05:49 +0000

In den meisten Betrieben ist Microsoft 365 längst da. Die Mails laufen über Outlook, besprochen wird in Teams, Dateien liegen irgendwo zwischen OneDrive und SharePoint. Eingerichtet wurde das Ganze einmal, oft unter Zeitdruck und manchmal von jemandem, der heute nicht mehr im Haus ist. Seitdem ist es gewachsen.

Das Tückische an Microsoft 365: Es funktioniert auch dann, wenn es falsch eingerichtet ist. Mails kommen an, Teams-Anrufe klappen, Dateien lassen sich öffnen. Ob jeder Mitarbeitende nur das sieht, was er sehen soll, ob ein gestohlenes Passwort reicht, um ins Postfach zu kommen, und ob eine gelöschte Datei nach drei Monaten noch zurückzuholen ist, merkt man im Alltag nicht. Man merkt es an dem Tag, an dem es darauf ankommt.

Dieser Beitrag zeigt, was Microsoft 365 im Betrieb eigentlich umfasst, welche Lizenz zu welchem Bedarf passt und an welchen Stellen die Einrichtung im Mittelstand am häufigsten Lücken hat.

Was gehört zu Microsoft 365?

Microsoft 365 ist ein Abonnement, das Office-Programme, E-Mail, Telefonie und Konferenzen, Dateiablage und Benutzerverwaltung in einer Plattform bündelt. Für Betriebe bis 300 Mitarbeitende bietet Microsoft die Business-Pläne an. Entscheidend ist nicht die Lizenz, sondern wie Konten, Rechte und Ablage eingerichtet sind.

Im Alltag begegnen Ihnen vor allem diese Bausteine:

Exchange Online für E-Mail, Kalender und Kontakte
Teams für Chat, Besprechungen und auf Wunsch Telefonie
SharePoint für die gemeinsame Ablage von Abteilungen und Projekten
OneDrive für die persönliche Ablage jedes Mitarbeitenden
Word, Excel, PowerPoint und Outlook als Programme im Browser, auf dem Smartphone und je nach Lizenz auf dem Rechner

Dahinter liegt ein Teil, den die meisten Nutzer nie sehen: das Admin-Center mit Benutzerkonten, Lizenzen, Sicherheitseinstellungen und Freigaberegeln. Genau dort entscheidet sich, ob Microsoft 365 sicher und geordnet läuft.

Welche Lizenz passt zu Ihrem Betrieb?

Die drei Business-Pläne unterscheiden sich weniger im Umfang der Programme als in den Werkzeugen für Sicherheit und Geräteverwaltung. Viele Betriebe zahlen entweder für Funktionen, die nie eingerichtet wurden, oder sparen an genau der Stelle, an der der Schutz liegt.

1. Business Basic

Enthält E-Mail, Teams, SharePoint und OneDrive sowie die Office-Programme im Browser und auf mobilen Geräten. Die Programme zum Installieren auf dem Rechner fehlen. Das reicht für Mitarbeitende, die vor allem Mails lesen und Termine sehen, etwa in der Werkstatt oder auf der Baustelle.

2. Business Standard

Ergänzt die Office-Programme für Windows und Mac. Das ist der Plan für die meisten Büroarbeitsplätze.

3. Business Premium

Enthält alles aus Standard und zusätzlich drei Sicherheitsbausteine: Microsoft Defender for Business für den Schutz der Endgeräte, Microsoft Intune für die Verwaltung von Rechnern und Smartphones und Microsoft Entra ID P1. Damit lassen sich Regeln festlegen, wann und von wo sich jemand anmelden darf, zum Beispiel nur von betriebseigenen Geräten.

Zwei Punkte, die in der Praxis oft übersehen werden:

Pläne lassen sich mischen. Nicht jeder Arbeitsplatz braucht dieselbe Lizenz. Wer für alle Konten denselben Plan bucht, zahlt häufig an der falschen Stelle.
Premium schützt erst, wenn es eingerichtet ist. Die Sicherheitsfunktionen sind in der Lizenz enthalten, aber nicht automatisch aktiv. Ein Betrieb mit Premium-Lizenzen und Standard-Einstellungen ist nicht besser geschützt als einer mit Standard.

Wo die Einrichtung am häufigsten Lücken hat

Die folgenden Punkte sind keine Spezialfälle. Sie betreffen Betriebe mit zehn Arbeitsplätzen genauso wie mit hundert, und sie entstehen fast immer auf dieselbe Weise: Etwas wurde schnell eingerichtet, damit es läuft, und danach nie wieder angefasst.

1. Die Anmeldung hängt nur am Passwort

Ein Microsoft-365-Konto, das nur mit Passwort geschützt ist, lässt sich mit einem einzigen erbeuteten Passwort übernehmen. Wer das Postfach der Buchhaltung kontrolliert, kann im Namen Ihres Betriebs Rechnungen mit geänderter Bankverbindung verschicken.

Microsoft hat dafür die sogenannten Sicherheitsstandards eingeführt. Sie verlangen von allen Nutzern einen zweiten Faktor, meist eine App auf dem Smartphone, und sperren veraltete Anmeldeverfahren. Für neu angelegte Umgebungen sind sie ab Werk eingeschaltet. In älteren Umgebungen, und überall dort, wo sie bei der Einrichtung abgeschaltet wurden, weil einzelne Geräte oder Programme nicht mitspielten, fehlen sie.

Prüffrage: Muss sich jeder Mitarbeitende, einschließlich der Geschäftsführung, mit einem zweiten Faktor anmelden?

2. Zu viele Konten mit Administratorrechten

Ein Administratorkonto kann alles: Postfächer lesen, Konten anlegen, Sicherheitseinstellungen abschalten. In vielen Betrieben haben mehrere Personen diese Rechte, oft auch die Geschäftsführung für ihr tägliches Arbeitskonto. Jedes dieser Konten ist ein Schlüssel für die gesamte Umgebung.

Sauber ist: wenige Administratorkonten, getrennt vom Konto für die tägliche Arbeit, jeweils mit zweitem Faktor.

Prüffrage: Wer hat heute Administratorrechte und wer davon braucht sie wirklich?

3. Konten ehemaliger Mitarbeitender

Wenn jemand den Betrieb verlässt, bleibt das Konto häufig bestehen. Entweder weil niemand daran denkt oder weil man fürchtet, sonst die Mails und Dateien zu verlieren. Beides hat Folgen: Das Konto kostet weiter eine Lizenz, und ein Zugang, den niemand mehr nutzt, fällt auch niemandem auf, wenn ihn ein Fremder nutzt.

Umgekehrt gilt Vorsicht beim schnellen Löschen. Wird ein Konto entfernt, hält Microsoft den OneDrive-Speicher dieser Person in der Standardeinstellung 30 Tage vor. Danach wandert er in den Papierkorb und ist nach weiteren 93 Tagen endgültig weg. Was dort lag und nicht vorher übertragen wurde, ist verloren.

Prüffrage: Gibt es einen festen Ablauf für den Austritt, der Daten übergibt und den Zugang schließt?

4. Freigaben, die niemand mehr überblickt

Über SharePoint und OneDrive lassen sich Dateien mit einem Klick teilen, auch mit Personen außerhalb des Betriebs. Je nach Einstellung reicht ein Link, den jeder öffnen kann, der ihn hat. In Teams bleiben externe Gäste aus einem längst abgeschlossenen Projekt oft dauerhaft Mitglied.

Das ist kein Bedienfehler der Mitarbeitenden. Es ist eine Frage der Grundeinstellung, die im Admin-Center festgelegt wird, und die in vielen Umgebungen nie bewusst gewählt wurde.

Prüffrage: Welche Dateien und Teams sind heute für Personen außerhalb des Betriebs zugänglich?

5. Keine eigene Datensicherung

Viele Betriebe gehen davon aus, dass Microsoft ihre Daten sichert. Das stimmt nur teilweise. Microsoft sorgt dafür, dass die Plattform läuft und Daten bei einem Hardwaredefekt im Rechenzentrum nicht verloren gehen. Gegen Löschen durch einen Mitarbeitenden, gegen einen Verschlüsselungstrojaner, der synchronisierte Dateien unbrauchbar macht, oder gegen ein übernommenes Konto, das Daten gezielt entfernt, hilft das nur begrenzt.

Die eingebauten Papierkörbe haben feste Fristen. Für OneDrive und SharePoint sind es 93 Tage. Wer eine Datei zurückbraucht, die vor vier Monaten überschrieben wurde, hat ohne eigene Sicherung keine Chance.

Prüffrage: Gibt es eine Sicherung von Postfächern, SharePoint und OneDrive außerhalb von Microsoft 365, und wurde die Wiederherstellung schon einmal getestet?

6. Die Ablage ist über persönliche Speicher verteilt

Wenn wichtige Unterlagen im OneDrive einzelner Mitarbeitender liegen statt in einer gemeinsamen Ablage in SharePoint oder Teams, hängt der Zugriff an einer Person. Fällt sie aus oder verlässt den Betrieb, beginnt die Suche.

Eine klare Struktur mit Bereichen pro Abteilung oder Projekt und festgelegten Rechten löst das. Sie ist keine technische Frage, sondern eine organisatorische, und sie lässt sich nachträglich einführen.

Prüffrage: Findet eine Vertretung alle Unterlagen, die sie braucht, ohne dass jemand Dateien weiterleiten muss?

Ist Microsoft 365 datenschutzkonform nutzbar?

Ja, unter Bedingungen. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat im November 2025 festgestellt, dass Microsoft 365 datenschutzkonform genutzt werden kann. Er verweist dabei auf die angepassten Vertragsbedingungen, die EU-Datengrenze und die Unterlagen, die Microsoft für die Dokumentation bereitstellt.

Der Bericht macht aber auch deutlich, dass das nicht von selbst passiert. Der Betrieb muss mitwirken: Verträge abschließen und ablegen, Einstellungen bewusst wählen und die Nutzung dokumentieren. Welche Einstellungen das im Einzelnen sind, hängt davon ab, welche Daten Sie verarbeiten. Die rechtliche Bewertung gehört zu Ihrem Datenschutzbeauftragten. Die technische Umsetzung übernehmen wir.

Warum das so oft liegen bleibt

Die Gründe sind in fast allen Betrieben dieselben.

Niemand ist zuständig. Microsoft 365 wurde eingerichtet, aber keiner Person oder keinem Dienstleister ausdrücklich übertragen. Solange es läuft, kümmert sich niemand.
Die Umgebung verändert sich laufend. Microsoft ergänzt Funktionen, benennt Bereiche um und ändert Standardeinstellungen. Was vor drei Jahren richtig eingerichtet war, muss heute nicht mehr stimmen.
Die Oberfläche ist unübersichtlich. Die Einstellungen verteilen sich auf mehrere Verwaltungsportale. Wer nicht täglich damit arbeitet, findet sich dort kaum zurecht. Das ist kein Vorwurf an die Betriebe, sondern der Grund, warum es sich lohnt, das einmal geordnet durchzugehen.

Microsoft 365 und die eigene Infrastruktur

Microsoft 365 ersetzt nicht jede andere IT im Betrieb. Branchensoftware, Warenwirtschaft oder große Datenbestände laufen oft besser auf eigenen Servern oder in einem Rechenzentrum, das Sie kennen. Wir verbinden beides zu einem Gesamtbild, in dem klar ist, welche Daten wo liegen und wer darauf zugreift.

Für den Teil, der nicht zu Microsoft soll, betreiben wir ein eigenes Rechenzentrum in Bremen. Mehr dazu auf unserer Seite zu Cloud-Lösungen. Wie wir Microsoft 365 als festen Teil der Infrastruktur einrichten, beschreiben wir unter IT-Infrastruktur.

Der Microsoft-365-Check

Mit dem Microsoft-365-Check schauen wir uns einmal an, wie Ihre Umgebung heute eingerichtet ist. Wir gehen die Punkte aus diesem Beitrag durch: Anmeldung, Administratorrechte, Konten, Freigaben, Datensicherung und Ablage. Danach wissen Sie, was in Ordnung ist, was dringend ist und was warten kann.

Sie müssen dafür nichts vorbereiten und nichts verstehen, was in diesem Beitrag steht. Das ist unsere Aufgabe.

Wenn Sie danach möchten, dass wir die Punkte umsetzen und Microsoft 365 dauerhaft betreuen, geschieht das über unsere IT-Betreuung. Gewachsene Umgebungen zu übernehmen und zu ordnen, ist für uns Alltag. Über 100 IT-Übernahmen haben wir bisher begleitet. Wie so ein Wechsel abläuft, lesen Sie im Beitrag IT-Dienstleister wechseln.

Microsoft 365 ist nur ein Teil der Sicherheit. Welche Stellen außerhalb davon wichtig sind, zeigt unser Beitrag zur Cybersicherheit im Unternehmen.

Häufige Fragen

Welche Microsoft-365-Lizenz braucht ein kleines Unternehmen?

Woran Sie ein gutes IT-Systemhaus erkennen

Fb-zanoni-consulting.de — Mon, 17 Aug 2026 10:10:59 +0000

Wer in Bremen nach einem IT-Systemhaus sucht, bekommt eine unübersichtliche Liste: Konzerntöchter mit Niederlassung, überregionale Anbieter mit Bremer Adresse, inhabergeführte Betriebe mit sechs Leuten und dazwischen mehrere Vergleichsportale, die selbst gar keine IT betreiben, sondern Anfragen weitervermitteln.

Von außen sieht das alles ähnlich aus. Die Websites versprechen dasselbe. Der Unterschied zeigt sich erst im Vertrag und im ersten Ernstfall.

Dieser Beitrag klärt drei Dinge: Was ein Systemhaus überhaupt von einem IT-Dienstleister unterscheidet. Welche vier Fragen im Erstgespräch die Spreu vom Weizen trennen. Und welche Art von Anbieter zu welcher Art von Betrieb passt, einschließlich der Fälle, in denen ein Konzernanbieter die bessere Wahl ist als wir.

Was unterscheidet ein IT-Systemhaus von einem IT-Dienstleister?

Ein IT-Systemhaus plant, liefert und betreibt komplette IT-Umgebungen: Hardware, Software, Netzwerk, Server, Sicherheit und den laufenden Betrieb aus einer Hand. Ein IT-Dienstleister im engeren Sinn übernimmt einzelne Leistungen, häufig Support und Wartung. Der Unterschied liegt in der Tiefe der Verantwortung, nicht in der Firmierung.

Geschützt ist keiner der beiden Begriffe. Jeder darf sich Systemhaus nennen. In der Praxis haben sich drei Rollen herausgebildet, die sich überlappen:

Klassisches Systemhaus

Das klassische Systemhaus kommt aus dem Projektgeschäft. Es plant Infrastrukturen, beschafft Hardware und Lizenzen, setzt um und schult. Der Umsatz entsteht überwiegend über Projekte und Handelsware.

IT-Dienstleister

Der IT-Dienstleister übernimmt Betrieb und Support, oft nach Aufwand abgerechnet. Er reagiert auf Störungen und arbeitet Tickets ab.

Managed Service Provider

Der Managed Service Provider verkauft den Betrieb als Abo mit festem Leistungsumfang und festem Preis. Er hat ein wirtschaftliches Interesse daran, dass wenig kaputtgeht, weil zusätzliche Einsätze seine Marge kosten.

Diese letzte Unterscheidung ist die wichtigste, und sie hat nichts mit dem Namen zu tun, sondern mit dem Abrechnungsmodell.

Warum das Abrechnungsmodell mehr verrät als das Firmenschild

Fragen Sie sich bei jedem Angebot: Wer verdient woran, wenn etwas nicht funktioniert?

Bei Abrechnung nach Aufwand verdient der Anbieter an jeder Störung. Das unterstellt niemandem böse Absicht, aber es fehlt der Anreiz, die Ursache zu beseitigen. Wir sehen in Übernahmen regelmäßig Betriebe, bei denen dasselbe Problem seit Jahren alle paar Wochen zurückkommt, jedes Mal schnell behoben, nie abgestellt.

Bei einer Pauschale mit definiertem Leistungsumfang dreht sich der Anreiz um. Stabilität wird zum Geschäftsinteresse des Anbieters. Das ist der Grund, warum wir mit festen Monatspreisen arbeiten und nicht mit Stundenkontingenten.

Ein gutes Systemhaus deckt heute alle drei Rollen ab: Es kann ein Projekt planen und umsetzen, es kann den Betrieb übernehmen, und es rechnet den laufenden Teil planbar ab. Wer nur eine der drei Rollen beherrscht, ist deshalb nicht schlecht. Er passt nur zu einer engeren Auswahl an Betrieben.

Vier Fragen für das Erstgespräch

Die üblichen Auswahlkriterien stehen in jedem Ratgeber. Diese vier Fragen stehen nirgends, weil sie unangenehm sind. Genau deshalb sind sie brauchbar. Ein Anbieter, der alle vier ruhig und konkret beantwortet, hat seine Hausaufgaben gemacht.

1. Steht die Reaktionszeit im Vertrag oder nur auf der Website?

Fast jedes Systemhaus wirbt mit schneller Reaktion. Entscheidend ist, ob daraus eine Verpflichtung wird. Lassen Sie sich die Stelle im Vertrag zeigen, an der die Zeit steht.

Klären Sie dabei drei Punkte, die in der Praxis oft auseinanderfallen:

Worauf bezieht sich die Zeit? Auf die erste Rückmeldung oder auf den Beginn der Bearbeitung? Zwischen beidem können Stunden liegen.
Wann läuft die Uhr? Nur innerhalb der Servicezeiten oder auch danach? Eine Zusage von vier Stunden nützt wenig, wenn die Störung um 16:45 Uhr auftritt und die Servicezeit um 17:00 Uhr endet.
Gilt sie für alle Störungen oder nur für kritische? Und wer entscheidet, was kritisch ist, Sie oder der Anbieter?

Zur Einordnung: ZANONI sichert eine Reaktionszeit von unter 180 Minuten zu, bei Servicezeiten von Montag bis Freitag zwischen 8:30 und 17:00 Uhr und Erreichbarkeit an 365 Tagen im Jahr.

Ob 180 Minuten für Ihren Betrieb ausreichen, hängt davon ab, was eine Stunde Stillstand bei Ihnen kostet. Diese Zahl sollten Sie kennen, bevor Sie verhandeln. In vielen Betrieben liegt sie höher, als die Geschäftsführung vermutet.

2. Wer haftet, wenn Daten verloren gehen?

Das ist die Frage, bei der Erstgespräche interessant werden. Die meisten Anbieter begrenzen ihre Haftung in den AGB, was üblich und rechtlich zulässig ist. Sie sollten nur wissen, worauf Sie sich einlassen.

Fragen Sie konkret nach:

Wie ist die Haftung begrenzt? Häufig auf Vorsatz und grobe Fahrlässigkeit, oft zusätzlich der Höhe nach, etwa auf den Jahresauftragswert.
Besteht eine IT-Haftpflicht- oder Vermögensschadenhaftpflichtversicherung, und mit welcher Deckungssumme? Eine Haftungszusage ohne dahinterliegende Versicherung ist im Schadensfall wenig wert.
Wer ist für das Backup verantwortlich, und wer prüft, dass es funktioniert? Hier entstehen die meisten Missverständnisse. Der Anbieter richtet das Backup ein, der Kunde geht davon aus, dass es läuft, und niemand testet die Wiederherstellung. Lassen Sie sich zeigen, wie oft ein Rückspielen getestet wird und wo das dokumentiert ist.
Liegt ein Auftragsverarbeitungsvertrag vor? Sobald ein Dienstleister Zugriff auf personenbezogene Daten hat, ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich. Wenn ein Anbieter bei dieser Frage zögert, ist das ein Signal.

Ein seriöser Anbieter wird Ihnen keine unbegrenzte Haftung zusagen. Das kann und wird niemand. Er wird Ihnen aber genau erklären, wo die Grenze liegt, und er wird die Backup-Frage nicht wegmoderieren.

3. Wie dokumentiert der Anbieter, und bekommen Sie Zugriff?

Eine IT-Dokumentation umfasst Netzpläne, Konfigurationen, Zugangsdaten, Lizenzen und Vertragslaufzeiten. Ohne sie ist jede Störungsbehebung Rekonstruktionsarbeit, und jeder Anbieterwechsel wird teuer.

Die entscheidende Frage ist aber nicht, ob dokumentiert wird, sondern wem die Dokumentation zugänglich ist. Wenn sie ausschließlich beim Systemhaus liegt und nicht herausgegeben wird, hängt Ihre Handlungsfähigkeit an dessen Bereitschaft zur Zusammenarbeit. In einem Streitfall ist das eine schwierige Position.

Bei ZANONI kann jeder Kunde einen eigenen Zugang zur Dokumentation seines Betriebs erhalten und jederzeit einsehen, welche Systeme wie eingerichtet sind.

Reaktion beobachten: Wer auf diese Frage souverän reagiert, hat sauber gearbeitet. Wer ausweicht oder erklärt, das sei „im Kopf der Techniker“, baut Ihnen eine Abhängigkeit auf, die Sie erst beim Wechsel bemerken.

4. Was passiert bei einer Kündigung?

Diese Frage im ersten Gespräch zu stellen, wirkt unhöflich. Sie ist trotzdem die aussagekräftigste, weil sie das Geschäftsmodell offenlegt.

Auf wen sind Lizenzen und Domains ausgestellt? Auf Ihren Betrieb oder auf das Systemhaus? Lizenzen, die dem Anbieter gehören, können Sie nicht mitnehmen.
Wem gehören die Zugangsdaten zu Ihren Systemen? Und bekommen Sie sie vollständig?
Wird die Dokumentation herausgegeben, und in welcher Form? Ein PDF-Export reicht meist nicht.
Gibt es eine geregelte Übergabephase? Ein guter Anbieter arbeitet auch beim Abschied noch professionell.
Wie lang sind Kündigungsfristen und Mindestlaufzeiten? Und was passiert mit laufenden Projekten?

Wir haben in über 100 Betriebsübernahmen gesehen, wie die Gegenseite aussieht: Zugangsdaten, die nicht herausgegeben wurden, Lizenzen auf den Namen des alten Dienstleisters, gewachsene Eigenbauten, die niemand außer dem Erbauer verstand. Wie eine strukturierte Übergabe stattdessen abläuft, steht im Beitrag zum Wechsel des IT-Dienstleisters.

Ein guter Partner baut Ihre IT so auf, dass ein anderer sie übernehmen könnte. Das klingt in einem Text eines Systemhauses widersinnig, ist aber der ehrlichste Prüfstein, den es gibt.

Die Bremer Anbieterlandschaft, ehrlich sortiert

Im Raum Bremen treffen Sie auf fünf Arten von Anbietern. Jede hat ihre Berechtigung, und jede passt zu einer bestimmten Art von Betrieb.

Konzernanbieter mit Bremer Standort

Große Häuser wie Bechtle betreiben in Bremen eigene Standorte. Sie bringen mit, was ein regionaler Anbieter nicht leisten kann: Zugriff auf nahezu jeden Hersteller, eigene Fachabteilungen für Spezialthemen, internationale Präsenz und Strukturen, die auch eine Ausschreibung im öffentlichen Sektor bedienen.

Wann ein Konzernanbieter die bessere Wahl ist:

Ihr Unternehmen hat Standorte in mehreren Ländern und braucht einheitliche Betreuung über Grenzen hinweg.
Sie sind Teil eines Konzerns, dessen Rahmenverträge einen bestimmten Anbieter vorgeben.
Sie benötigen Spezialwissen, das ein Team von sechs bis fünfzehn Personen nicht vorhalten kann, etwa SAP-Basisbetrieb, große Storage-Landschaften oder hochspezialisierte Industrieanwendungen.
Sie schreiben öffentlich aus und brauchen formale Nachweise, die kleine Anbieter oft nicht liefern können.
Sie beschaffen Hardware in Stückzahlen, bei denen Einkaufskonditionen den Ausschlag geben.

Das ist keine Höflichkeitsfloskel. In diesen Fällen sind wir das falsche Haus, und wir sagen das auch im Erstgespräch.

Wo die Grenzen liegen: Mittelständische Kunden berichten regelmäßig von wechselnden Ansprechpartnern, langen Eskalationswegen und davon, dass ein Betrieb mit 40 Arbeitsplätzen in einer Konzernstruktur nicht die Aufmerksamkeit bekommt, die er im Alltag braucht.

Überregionale Systemhäuser mit Bremer Niederlassung

Anbieter mit Hauptsitz in Berlin, Hamburg oder dem Ruhrgebiet unterhalten in Bremen Niederlassungen. Die Mischung kann gut funktionieren, weil überregionale Kapazität mit lokaler Präsenz zusammenkommt.

Prüfen Sie zwei Punkte: Wie viele Techniker sitzen tatsächlich in Bremen, und wo werden Entscheidungen getroffen? Eine Adresse im Impressum ist noch kein Standort. Fragen Sie im Erstgespräch nach der Teamgröße vor Ort und danach, wer bei einem Vor-Ort-Notfall am Samstag kommt.

Regionale, inhabergeführte Systemhäuser

Die Gruppe, zu der auch ZANONI gehört. Typischerweise fünf bis dreißig Personen, Inhaber operativ im Geschäft, Kundenstamm im Umkreis von 50 bis 100 Kilometern.

Wofür diese Gruppe steht: kurze Entscheidungswege, feste Ansprechpartner, Vor-Ort-Präsenz innerhalb von Stunden statt Tagen, und ein Verständnis für die Realität eines Mittelständlers, weil der Anbieter selbst einer ist.

Wo Sie genau hinschauen sollten: Bei kleinen Teams stellt sich die Frage der Abdeckung. Was passiert bei Urlaub, Krankheit oder wenn zwei Notfälle gleichzeitig auftreten? Lassen Sie sich die Vertretungsregelung konkret erklären. Bei einem Team von unter fünf Personen ist das ein echtes Risiko, das Sie kennen sollten.

Einzelkämpfer und kleine IT-Dienstleister

Ein bis drei Personen, oft technisch stark, häufig günstig. Für kleine Büros mit zehn Arbeitsplätzen und überschaubarer Infrastruktur kann das genau richtig sein.

Ab einer gewissen Betriebsgröße wird es zum Klumpenrisiko. Fällt die eine Person aus, steht Ihre IT ohne Ansprechpartner da, oft ohne Dokumentation, an die jemand anders herankommt. Wir haben mehrere solcher Situationen übernommen. Sie sind aufwendig, weil erst rekonstruiert werden muss, was vorhanden ist.

Vergleichsportale und Vermittler

Ein Teil der Treffer bei der Suche nach einem Systemhaus in Bremen sind gar keine Anbieter. Es sind Portale, die Ihre Anfrage aufnehmen und an Partnerbetriebe weiterleiten, meist gegen Provision.

Das ist nicht unseriös, Sie sollten es nur wissen. Wenn Sie dort eine Anfrage stellen, geben Sie Ihre Daten nicht an ein Systemhaus, sondern an einen Vermittler. Wer bei Ihnen anruft, ist nicht das Ergebnis einer fachlichen Auswahl, sondern eines Vertriebsvertrags. Erkennbar sind solche Seiten meist daran, dass sie keine Adresse eines Technikstandorts nennen und über auffällig viele Städte gleichzeitig ranken.

Die Größenfrage: Passt der Anbieter zu Ihrer Betriebsgröße?

Als grobe Orientierung, mit allen Unschärfen einer Faustregel:

Bis etwa 15 Arbeitsplätze: Ein kleiner lokaler Dienstleister reicht oft aus, sofern Dokumentation und Vertretung geklärt sind.

15 bis 150 Arbeitsplätze: Der Bereich, in dem regionale Systemhäuser ihre Stärke ausspielen. Genug Struktur für Vertretung und Spezialisierung, klein genug für feste Ansprechpartner und kurze Wege.

Ab 150 Arbeitsplätzen oder mehreren Standorten: Hier lohnt der Vergleich zwischen einem größeren regionalen Anbieter und einem Konzernhaus. Häufig entsteht eine Mischform mit interner Koordination und externem Betrieb.

Arbeitsplätze	Orientierung	Passendes Modell
Bis ca. 15	Überschaubarer IT-Bedarf	Kleiner lokaler Dienstleister, sofern Dokumentation und Vertretung geklärt sind
15–150	Mehr Struktur und Spezialisierung erforderlich	Regionales Systemhaus mit festen Ansprechpartnern und Vertretung
Ab ca. 150	Höhere Komplexität, oft mehrere Standorte	Größerer regionaler Anbieter oder Konzernhaus, häufig ergänzt durch interne IT-Koordination

Wichtiger als die Zahl ist die Frage, wie stark Ihr Betrieb von der IT abhängt. Ein Ingenieurbüro mit 40 Leuten und rechenintensiven Arbeitsplätzen braucht mehr als ein Handelsbetrieb derselben Größe.

Häufige Fragen

Ist ein IT-Systemhaus dasselbe wie ein Managed Service Provider?

Externe IT-Abteilung: Wann sich der Schritt lohnt und wann nicht

Fb-zanoni-consulting.de — Mon, 17 Aug 2026 08:25:23 +0000

Irgendwann kommt in jedem wachsenden Betrieb der Moment, in dem die IT nicht mehr nebenbei läuft. Der Kollege, der sich „ein bisschen auskennt“, kommt nicht mehr hinterher. Die Frage, die dann auf dem Tisch liegt, lautet fast immer gleich: Stellen wir jemanden ein, oder geben wir das nach außen?

Beides kann richtig sein. Was die Entscheidung erschwert, ist, dass die ehrlichen Zahlen selten auf dem Tisch liegen. Dieser Beitrag legt sie offen: was eine eigene Stelle tatsächlich kostet, ab welcher Betriebsgröße sich das dreht, woran Sie eine externe IT-Abteilung von einem reinen Support-Vertrag unterscheiden und in welchen Fällen Sie um eigene Leute nicht herumkommen.

Was ist eine externe IT-Abteilung?

Eine externe IT-Abteilung übernimmt die Aufgaben, die sonst eine interne IT-Stelle erledigt: Betrieb, Wartung, Support, Sicherheit, Beschaffung und Planung. Der Unterschied zum klassischen IT-Dienstleister liegt in der Verantwortung. Ein Dienstleister reagiert auf Tickets. Eine externe Abteilung ist für den Zustand der IT zuständig, auch wenn niemand anruft.

Genau an dieser Unterscheidung entscheidet sich, ob der Begriff berechtigt ist. Viele Anbieter nennen ihr Support-Paket „externe IT-Abteilung“, liefern aber Störungsbehebung nach Aufwand. Woran Sie den Unterschied erkennen, steht weiter unten.

Ab welcher Mitarbeiterzahl rechnet sich eine externe IT-Abteilung?

Als Faustregel: Bis etwa 25 Arbeitsplätze ist eine eigene Vollzeitstelle kaum auszulasten und selten wirtschaftlich. Zwischen 25 und 80 Arbeitsplätzen ist die externe Lösung in den meisten Betrieben im Vorteil. Ab etwa 80 bis 100 Arbeitsplätzen wird eine eigene Stelle rechnerisch tragfähig, meist als Mischform mit externer Unterstützung.

Diese Zahlen sind Größenordnungen, keine Grenzwerte. Ein Ingenieurbüro mit 40 Leuten und drei CAD-Arbeitsplätzen hat einen völlig anderen IT-Bedarf als ein Pflegedienst mit 40 Leuten an sechs Standorten. Entscheidend ist nicht die Kopfzahl, sondern wie stark der Betrieb von der IT abhängt. Trotzdem lohnt sich die Rechnung, weil sie die eine Zahl liefert, um die sich alles dreht.

Was eine eigene IT-Stelle wirklich kostet

Das Bruttogehalt ist der kleinere Teil der Rechnung. Nach Daten von GEHALT.de liegt das mittlere Bruttogehalt für System- und Netzwerkadministratoren in Deutschland bei rund 4.000 Euro im Monat, in Bremen bei etwa 3.914 Euro. In Unternehmen mit weniger als 100 Mitarbeitenden sind es im Schnitt rund 44.500 Euro im Jahr.

Dazu kommen die Arbeitgeberanteile zur Sozialversicherung mit rund 21 Prozent. Aus 45.000 Euro Bruttogehalt werden so etwa 54.000 Euro Personalkosten. Rechnen Sie Arbeitsplatz, Fahrzeug oder Fahrtkosten, Weiterbildung, Zertifizierungen und Fachlizenzen dazu, landen Sie realistisch bei 62.000 bis 72.000 Euro im Jahr. Das sind rund 5.200 bis 6.000 Euro im Monat für eine Person.

Wer erfahrene Leute sucht, zahlt mehr. Ab neun Jahren Berufserfahrung liegt das Mediangehalt bereits bei etwa 53.300 Euro. Und im aktuellen Bewerbermarkt bekommt ein mittelständischer Betrieb in Bremen einen guten Administrator selten zum Durchschnittspreis.

Das Verfügbarkeitsproblem, über das selten gesprochen wird

Eine Person ist eine Person. Bei 30 Tagen Urlaub, durchschnittlichen Krankheitstagen und Weiterbildungszeiten bleiben von 365 Tagen etwa 210 bis 220 Arbeitstage. An den übrigen Tagen ist die IT unbesetzt.

Das ist kein theoretisches Problem. Der Serverausfall kommt nicht mit Rücksicht auf den Urlaubsplan. Wer eine einzelne Stelle besetzt, kauft Fachwissen, aber keine Abdeckung. Und er kauft das Wissen genau einer Person: Was sie nicht kann, kann der Betrieb nicht. Firewall, Microsoft 365, Backup-Strategie, Netzwerk, Virtualisierung, Datenschutz und Endgeräteverwaltung deckt kaum jemand allein auf gutem Niveau ab.

Ein externes Team verteilt beides. Bei ZANONI arbeiten sechs Personen, jede mit eigenen Schwerpunkten. Wer bei uns anruft, bekommt die Person, die das Thema am besten kennt, und nicht die, die gerade da ist.

Die Rechnung, die Sie selbst aufmachen können

Stellen Sie zwei Zahlen nebeneinander:

Links: die Vollkosten einer eigenen Stelle, also Bruttogehalt plus 21 Prozent Arbeitgeberanteil plus Arbeitsplatz, Weiterbildung und Lizenzen.

Rechts: das Angebot für eine externe Betreuung, hochgerechnet auf zwölf Monate, plus die Projekte, die Sie im kommenden Jahr ohnehin vorhaben.

Wenn die rechte Zahl kleiner ist, ist die Sache klar. Wenn sie ähnlich groß ist, entscheidet die Verfügbarkeit: Auf der linken Seite bekommen Sie eine Person an 220 Tagen. Auf der rechten ein Team an 365. Erst wenn die linke Seite deutlich kleiner ist, weil Ihr Betrieb so IT-intensiv arbeitet, dass eine Person durchgehend ausgelastet wäre, spricht die Rechnung für die eigene Stelle.

Woran Sie eine echte externe IT-Abteilung erkennen

Der Begriff ist nicht geschützt. Vier Punkte trennen eine externe Abteilung von einem Support-Vertrag mit gutem Namen. Fragen Sie sie im Erstgespräch konkret ab.

Feste Ansprechpartner statt Hotline

Sie brauchen Leute, die Ihren Betrieb kennen. Wer bei jedem Anruf von vorne erklären muss, wie die Standorte verkabelt sind und welche Software in der Buchhaltung läuft, verliert bei jeder Störung dieselben zwanzig Minuten. Eine externe Abteilung hat einen festen Ansprechpartner und mindestens eine Vertretung, die den Betrieb ebenfalls kennt.

Die Frage dazu: Wer ist bei uns zuständig, und wer springt ein, wenn diese Person im Urlaub ist?

Dokumentation, auf die Sie selbst zugreifen können

Eine gepflegte IT-Dokumentation ist die Grundlage von allem: Netzpläne, Zugangsdaten, Lizenzen, Vertragslaufzeiten, Konfigurationen. Ohne sie ist jeder Handgriff Rekonstruktion.

Entscheidend ist die zweite Hälfte: Sie muss Ihnen zugänglich sein. Wenn die gesamte Dokumentation ausschließlich beim Dienstleister liegt, hängt Ihre Handlungsfähigkeit an dessen Wohlwollen. Bei ZANONI kann jeder Kunde einen eigenen Zugang zur Dokumentation seines Betriebs bekommen und jederzeit einsehen, was wie eingerichtet ist.

Die Frage dazu: Bekomme ich Zugriff auf die Dokumentation meines eigenen Betriebs?

Reaktionszeiten, die im Vertrag stehen

„Wir melden uns schnell“ ist keine Zusage. Eine Reaktionszeit gehört in den Vertrag, mit einer Zahl und mit der Angabe, worauf sie sich bezieht: auf die erste Rückmeldung oder auf den Beginn der Bearbeitung.

ZANONI arbeitet mit einer Reaktionszeit von unter 180 Minuten, bei Servicezeiten von Montag bis Freitag zwischen 8:30 und 17:00 Uhr und Erreichbarkeit an 365 Tagen im Jahr. Ob eine Zusage zu Ihrem Betrieb passt, hängt davon ab, was eine Stunde Stillstand bei Ihnen kostet. Diese Zahl sollten Sie kennen, bevor Sie über Reaktionszeiten verhandeln.

Die Frage dazu: Welche Reaktionszeit steht im Vertrag, und was passiert, wenn sie überschritten wird?

Übergabefähigkeit von Anfang an

Das klingt paradox in einem Text eines IT-Dienstleisters, ist aber der ehrlichste Prüfstein: Ein guter Partner richtet Ihre IT so ein, dass ein anderer sie übernehmen könnte. Standardisierte Lösungen statt Eigenbauten, saubere Dokumentation, Lizenzen auf Ihren Namen, Zugänge, die Ihnen gehören.

Wir haben in über 100 Betriebsübernahmen die Gegenseite gesehen: gewachsene Konstruktionen, die nur einer verstand, Lizenzen auf den Dienstleister ausgestellt, Zugangsdaten, die nicht herausgegeben wurden. Wer so arbeitet, bindet Kunden über Abhängigkeit statt über Leistung. Wie eine saubere Übergabe abläuft, haben wir im Beitrag zum Wechsel des IT-Dienstleisters beschrieben.

Die Frage dazu: Auf wen sind unsere Lizenzen ausgestellt, und was bekommen wir bei einer Kündigung mit?

Wann Sie trotzdem eigene IT-Kräfte brauchen

Es gibt Konstellationen, in denen eine rein externe Lösung nicht trägt. Vier Fälle sehen wir regelmäßig.

Tief integrierte Branchensoftware. Wenn ein ERP- oder Warenwirtschaftssystem den gesamten Betriebsablauf abbildet und laufend an Prozesse angepasst wird, brauchen Sie jemanden im Haus, der die Prozesse kennt. Das ist keine IT-Aufgabe im engeren Sinn, sondern Anwendungsbetreuung. Sie lässt sich schwer von außen leisten, weil das Wissen aus dem Tagesgeschäft kommt.

Produktion und Maschinensteuerung. Sobald Anlagen, Steuerungen oder Schichtbetrieb im Spiel sind, entstehen Anforderungen, die über klassische Büro-IT hinausgehen. Häufig ist auch außerhalb der üblichen Servicezeiten jemand nötig. Hier ist ein interner Kern sinnvoll, ergänzt durch externe Spezialisten für Netzwerk, Sicherheit und Server.

Eigene Softwareentwicklung. Wer selbst entwickelt, braucht Entwicklungs- und Betriebswissen im Haus. Das ist ein anderes Berufsbild als IT-Betreuung und wird auch von guten Systemhäusern nicht abgedeckt.

Vorgaben von Konzernmutter oder Auftraggebern. Manche Konzernstrukturen oder Ausschreibungsbedingungen verlangen interne Zuständigkeiten für bestimmte Bereiche. Das ist selten verhandelbar.

Der häufigste Endzustand ist die Mischform

In mittelständischen Betrieben ab etwa 100 Mitarbeitenden entsteht in der Praxis meist kein Entweder-oder, sondern eine Aufteilung. Intern sitzt eine Person, die den Betrieb und seine Prozesse kennt, Anwenderfragen aufnimmt und Projekte koordiniert. Extern liegt der technische Unterbau: Server, Netzwerk, Sicherheit, Backup, Rufbereitschaft und die Themen, für die sich eine eigene Spezialisierung nicht lohnt.

Diese Aufteilung ist häufig günstiger als beide reinen Modelle. Der interne Kopf muss kein Vollprofi in allen Disziplinen sein, was die Stelle besetzbar macht. Und Sie zahlen extern nur für das, was Spezialwissen erfordert.

Häufige Fragen

Ist eine externe IT-Abteilung teurer als eine eigene Stelle?

NIS2 im Mittelstand: Wer betroffen ist und was jetzt zu tun ist

Fb-zanoni-consulting.de — Fri, 14 Aug 2026 15:21:51 +0000

Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Damit ist die Diskussion darüber, ob und wann es kommt, beendet. Die Frage lautet jetzt: Gilt es für uns, und was heißt das konkret?

Viele Geschäftsführer im Mittelstand haben diese Frage bis heute nicht beantwortet. Das liegt weniger an Nachlässigkeit als an der Darstellung des Themas. Der Gesetzestext arbeitet mit Anlagen, Verweisen auf EU-Richtlinien und Schwellenwerten, die sich nicht in zwei Sätzen zusammenfassen lassen.

Dieser Beitrag macht daraus vier Prüfschritte. Danach wissen Sie, ob Sie gemeint sind. Anschließend geht es um den Punkt, den fast alle übersehen: Auch Betriebe, die nicht unter das Gesetz fallen, bekommen die Anforderungen über ihre Kunden auf den Tisch.

Schritt 1: Arbeitet Ihr Betrieb in einem der erfassten Sektoren?

Das Gesetz gilt nicht für die Wirtschaft insgesamt, sondern für aufgezählte Sektoren. Sie stehen in den Anlagen 1 und 2 des BSIG.

Anlage 1, Sektoren mit hoher Kritikalität:

Energie
Transport und Verkehr
Finanz- und Versicherungswesen
Gesundheitswesen
Trinkwasser und Abwasser
Digitale Infrastruktur
Verwaltung von IKT-Diensten
Weltraumtechnik
Öffentliche Verwaltung

Anlage 2, sonstige kritische Sektoren:

Transport und Verkehr in Teilbereichen
Abfallbewirtschaftung
Produktion, Herstellung und Handel mit chemischen Stoffen
Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Verarbeitendes Gewerbe und Herstellung von Waren
Anbieter digitaler Dienste
Forschung

Wenn Ihr Betrieb in keinem dieser Sektoren tätig ist: Sie sind nicht direkt betroffen. Springen Sie zu Schritt 4, der für Sie trotzdem relevant ist.

Wenn Ihr Betrieb in einem dieser Sektoren tätig ist: weiter zu Schritt 2.

Der Punkt, an dem sich viele verrechnen

„Verarbeitendes Gewerbe und Herstellung von Waren“ in Anlage 2 klingt so breit, dass sich jeder Produktionsbetrieb angesprochen fühlt. Der Sektor ist im Gesetz jedoch über konkrete Wirtschaftszweige eingegrenzt. Ein Handwerksbetrieb, der Anlagen montiert und wartet, ist etwas anderes als ein Hersteller von Datenverarbeitungsgeräten oder Medizinprodukten.

Verlassen Sie sich hier nicht auf Ihr Gefühl, sondern auf die Anlage. Und nutzen Sie im Zweifel die Betroffenheitsprüfung des BSI, die weiter unten verlinkt ist.

Schritt 2: Erreicht Ihr Betrieb die Größenschwellen?

Auch innerhalb der erfassten Sektoren gilt das Gesetz nicht für jeden Betrieb. Maßgeblich sind Mitarbeiterzahl, Umsatz und Bilanzsumme nach § 28 BSIG.

Besonders wichtige Einrichtung, wenn eine der beiden Bedingungen erfüllt ist:

mindestens 250 Mitarbeitende, oder
Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro

Wichtige Einrichtung, wenn eine der beiden Bedingungen erfüllt ist:

mindestens 50 Mitarbeitende, oder
Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro

Achten Sie auf das Zusammenspiel von „oder“ und „und“. Bei der Mitarbeiterzahl genügt das Erreichen der Schwelle allein. Bei den Finanzkennzahlen müssen beide Werte überschritten sein.

Unter 50 Mitarbeitende und unter den Finanzschwellen: In der Regel nicht direkt betroffen, sofern kein Sonderfall aus Schritt 3 vorliegt.

Vorsicht bei Konzern- und Verbundstrukturen

Die Werte werden nicht immer nur für die einzelne GmbH gerechnet. Bei verbundenen Unternehmen kann eine Zusammenrechnung nach den EU-Regeln zur Definition kleiner und mittlerer Unternehmen greifen. Ein Betrieb mit 40 Mitarbeitenden, der zu einer größeren Gruppe gehört, kann dadurch in den Anwendungsbereich rutschen. Wer in einer solchen Struktur steckt, sollte das prüfen lassen und sich nicht auf die eigene Kopfzahl verlassen.

Schritt 3: Liegt ein Sonderfall vor, der unabhängig von der Größe gilt?

Einige Einrichtungen sind erfasst, egal wie klein sie sind. Dazu gehören:

Betreiber kritischer Anlagen im Sinne der KRITIS-Regelungen
Anbieter öffentlicher Telekommunikationsnetze und öffentlich zugänglicher Telekommunikationsdienste
Vertrauensdiensteanbieter
DNS-Diensteanbieter und Namensregister für Domänen oberster Stufe

Wenn einer dieser Punkte auf Ihren Betrieb zutrifft, sind Sie unabhängig von Mitarbeiterzahl und Umsatz erfasst.

Schritt 4: Kommen die Anforderungen über Ihre Kunden zu Ihnen?

Das ist der Schritt, der in den meisten Darstellungen fehlt, und für den Bremer Mittelstand der wichtigste.

Zu den Pflichten betroffener Unternehmen gehört die Sicherheit der Lieferkette. Sie müssen die Cybersicherheitspraxis ihrer unmittelbaren Anbieter und Dienstleister bewerten und berücksichtigen. Das BSI formuliert die Konsequenz ungewöhnlich deutlich: Betroffene Einrichtungen können unter Umständen nicht mehr mit jedem Anbieter zusammenarbeiten, ohne Pflichtverstöße zu riskieren.

Für Sie als Zulieferer heißt das: Sie unterliegen dem Gesetz nicht, aber Ihr Kunde muss Ihre Sicherheit nachweisen können. In der Praxis passiert das über Verträge, Fragebögen und Nachweise.

Woran Sie merken, dass es Sie erreicht:

Ein Kunde schickt einen Sicherheitsfragebogen, der deutlich länger ist als früher.
In einer Vertragsverlängerung tauchen neue Klauseln zu Meldepflichten, Mindestmaßnahmen oder Auditrechten auf.
Bei einer Ausschreibung werden Nachweise zur Informationssicherheit verlangt, wo vorher der Preis entschied.
Ein Auftraggeber fragt nach Ihrer Reaktionszeit bei Sicherheitsvorfällen und danach, wen er nachts erreicht.

Wer diese Fragen sauber beantworten kann, gewinnt Aufträge. Wer sie nicht beantworten kann, verliert sie an einen Wettbewerber, der es kann. Das ist der eigentliche wirtschaftliche Hebel von NIS2 für kleinere Betriebe, und er wirkt unabhängig davon, ob das Gesetz für Sie gilt.

Ein Nebeneffekt, den viele unterschätzen: Auch wer seine IT vollständig ausgelagert hat, bleibt selbst verantwortlich. Der Vertrag mit dem Dienstleister verschiebt die Pflicht nicht.

Sonderfall Pflege: Was hier fast überall falsch steht

Weil das Gesundheitswesen in Anlage 1 steht, gehen viele Beiträge davon aus, dass Pflegeeinrichtungen unter NIS2 fallen. Das ist nach Darstellung des BSI nicht der Fall.

Das BSI stellt in seinem Infopaket zum Gesundheitswesen ausdrücklich klar, dass ambulante Pflegedienste, Pflegeheime sowie Einrichtungen der Tages- und Kurzzeitpflege grundsätzlich nicht in den Geltungsbereich des BSIG fallen und eine Registrierung in der Regel nicht notwendig ist. Grund ist der Zuschnitt der zugrunde liegenden EU-Patientenmobilitätsrichtlinie, die Leistungen der Langzeitpflege ausnimmt.

Erfasst sind dagegen Krankenhäuser und bestimmte Gesundheitsdienstleister, etwa Labore, Apotheken und Rettungsdienste, jeweils bei Erreichen der Schwellenwerte oder als Betreiber kritischer Anlagen. Eine Einzelfallprüfung kann nötig sein, wenn medizinische Leistungen einen erheblichen Teil der Tätigkeit ausmachen, was eher auf Hospize zutrifft als auf klassische Pflegeeinrichtungen.

Was das praktisch bedeutet: Wenn Sie ein Pflegeheim betreiben, brauchen Sie sich wegen NIS2 in der Regel nicht zu registrieren. Die Risiken bleiben trotzdem dieselben. Bewohnerdaten, Pflegedokumentation und Abrechnung sind für Angreifer attraktiv, und die Anforderungen aus der DSGVO gelten unverändert. Wir haben die typischen Themen auf unserer Seite zur IT für Pflegeeinrichtungen zusammengefasst.

Lassen Sie sich von keinem Anbieter ein NIS2-Paket verkaufen, ohne dass er Ihnen zeigen kann, warum Sie betroffen sein sollen.

Die Pflichten der Geschäftsleitung

NIS2 verschiebt die Verantwortung ausdrücklich weg von der IT-Abteilung und hin zur Unternehmensleitung. Die Präsidentin des BSI, Claudia Plattner, formuliert es so: Die Richtlinie mache Cybersicherheit zur Chefinnen- und Chefsache.

Die Geschäftsleitung betroffener Einrichtungen muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich zu Fragen der Bewertung und des Managements von Cyberrisiken schulen lassen. Die Schulungspflicht steht in § 38 Absatz 3 BSIG. Das BSI stellt dafür eine eigene Geschäftsleitungsschulung als kostenfreies Dokument bereit.

Das Delegieren an den IT-Dienstleister funktioniert bei der operativen Umsetzung, nicht bei der Verantwortung. Wer als Geschäftsführer unterschreibt, ohne verstanden zu haben, was er unterschreibt, hat die Pflicht nicht erfüllt.

Zur persönlichen Haftung: Nach dem Gesetzgebungsverfahren war vorgesehen, dass die Einrichtung bei Pflichtverletzungen der Geschäftsleitung Ersatzansprüche geltend machen kann und ein Verzicht darauf unwirksam ist. Ob dieser Teil im Wortlaut des verabschiedeten Gesetzes so enthalten ist, sollte im Einzelfall anwaltlich geprüft werden. Fest steht die Pflichtenlage aus Billigung, Überwachung und Schulung.

Was Sie mit vorhandener Technik bereits abdecken

Das Gesetz verlangt in § 30 Absatz 2 BSIG einen Katalog von Risikomanagementmaßnahmen. Für Betriebe mit ordentlich betreuter IT ist ein großer Teil davon bereits vorhanden. Der Aufwand liegt häufig weniger in neuer Technik als im Nachweis.

Was in gut betreuten Betrieben meist schon läuft:

Firewall, Endpoint-Schutz und Mail-Sicherheit
Backups mit definiertem Rhythmus
Zugriffskontrolle über Benutzerkonten und Rechtegruppen
Verschlüsselung bei Übertragung und auf mobilen Geräten
Patch- und Updateprozesse

Was in der Praxis meistens fehlt:

Dokumentation der Maßnahmen. Das Gesetz verlangt nicht nur, dass etwas getan wird, sondern dass es nachvollziehbar ist. Wer alles richtig macht und nichts aufschreibt, erfüllt die Anforderung nicht.
Getestete Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist ein Versprechen, keine Maßnahme. Die Wiederherstellung gehört getestet und protokolliert.
Ein Plan für den Vorfall. Wer wird informiert, wer entscheidet, wer meldet, in welcher Reihenfolge. Das gehört aufgeschrieben und geübt.
Multi-Faktor-Authentifizierung flächendeckend. Häufig für einzelne Dienste aktiv, selten überall, wo sie hingehört.
Sensibilisierung der Mitarbeitenden. Regelmäßig und dokumentiert, nicht einmalig beim Onboarding.
Bewertung der eigenen Lieferanten. Der Punkt, den fast niemand angefangen hat.
Wirksamkeitsprüfung. Ein Verfahren, mit dem Sie feststellen, ob die Maßnahmen tatsächlich wirken.

Der ehrliche Befund: Die technische Investition ist bei ordentlich betreuter IT überschaubar. Der Aufwand steckt in Struktur, Dokumentation und Regelmäßigkeit. Genau deshalb ist NIS2 kein Produkt, das man kauft, sondern eine Arbeitsweise, die man einführt.

Meldepflichten und Registrierung

Registrierung: Betroffene Einrichtungen müssen sich beim BSI registrieren, nach § 33 Absatz 6 BSIG innerhalb von drei Monaten ab Eintritt der Betroffenheit. Die erste Frist nach Inkrafttreten ist inzwischen abgelaufen. Das BSI weist auf seiner Seite ausdrücklich darauf hin, dass noch nicht registrierte Betroffene sich umgehend registrieren sollen. Der Weg führt über ein ELSTER-Organisationszertifikat und das BSI-Portal.

Meldung von Sicherheitsvorfällen in drei Stufen:

Innerhalb von 24 Stunden nach Kenntnis: frühe Erstmeldung mit vorläufiger Einschätzung
Innerhalb von 72 Stunden nach Kenntnis: Folgemeldung mit Ursache, Schweregrad und Auswirkungen
Innerhalb eines Monats: Abschlussmeldung, oder eine weitere Folgemeldung, falls der Vorfall noch andauert

Die 24-Stunden-Frist ist der Punkt, an dem Betriebe ohne vorbereiteten Ablauf scheitern. Sie beginnt mit der Kenntnis, nicht mit der abgeschlossenen Analyse. Wer erst dann anfängt zu klären, wer meldet und über welchen Zugang, verliert die Frist.

Die offizielle Betroffenheitsprüfung des BSI

Das BSI stellt eine kostenfreie Betroffenheitsprüfung bereit, mit der Sie Ihre Einrichtung einordnen können:

betroffenheitspruefung-nis-2.bsi.de

Das BSI weist selbst darauf hin, dass das Ergebnis unverbindlich ist, keine Rechtsberatung ersetzt und das BSI keine verbindliche Auskunft zur individuellen Betroffenheit gibt. Als erste Orientierung ist das Werkzeug trotzdem der beste Startpunkt, weil es direkt von der zuständigen Behörde kommt.

Häufige Fragen

Seit wann gilt NIS2 in Deutschland?

Wann externe IT-Beratung wirklich Sinn macht – und wann nicht

Fb-zanoni-consulting.de — Wed, 22 Jul 2026 12:46:26 +0000

Externe IT-Beratung ist im Bremer Mittelstand ein zwiespältiges Thema. Viele Geschäftsführer haben schon einmal die Erfahrung gemacht, dass Beratung am Ende doch nur Verkauf war. Andere haben eine interne IT-Abteilung und fragen sich, ob externe Sicht überhaupt sinnvoll ist. Und wieder andere wissen nicht, wo sie mit der Suche überhaupt beginnen sollen.

Romano Zanoni, Geschäftsführer der ZANONI Consulting GmbH, führt seit über 20 Jahren solche Erstgespräche. Im Interview spricht er darüber, wann sich externe Beratung wirklich lohnt, warum sie auch bei interner IT-Abteilung ihren Platz hat, welche Themen mit einem eigenen Team besser lösbar sind, wie ein Erstkontakt bei ZANONI konkret abläuft und worauf ein Bremer Mittelständler bei der Auswahl eines IT-Beraters achten muss.

„Es muss nicht immer gleich die Beauftragung sein" – Romano Zanoni im Interview"

In welchen Situationen ist externe IT-Beratung im Mittelstand wirklich sinnvoll?

Um ehrlich zu sein: fast immer. Viele Unternehmen im Mittelstand wissen gar nicht, was heute möglich ist. Sie haben kein Gefühl dafür, wie weit sie schon wären, wenn sie sich einmal externe Hilfe holen und sich mit dem Thema strukturiert auseinandersetzen würden. Externe IT-Beratung ist aus meiner Sicht eine Essenz dafür, dass ein Unternehmen erfolgreicher wird. Man muss natürlich den richtigen Partner finden und die Beziehung auf Augenhöhe führen. Dann wird ein Unternehmen sich entsprechend weiterentwickeln.

Bei den kleineren Mittelständlern ohne eigene IT-Abteilung ist der Fall eindeutig. Als Inhaber möchte man sich auf sein Geschäft konzentrieren und nicht nebenbei IT machen. Sich einen Partner zu holen, der genau das übernimmt, ist die vernünftigste Entscheidung. In der IT-Beratung ist es allerdings schwierig, den Wert direkt zu greifen, weil viele Unternehmen nicht wissen, was ein Systemhaus im Alltag tatsächlich leistet. Trotzdem: In dieser Konstellation ist externe Beratung immer sinnvoll.

Wichtig ist der Hinweis: Es muss nicht immer gleich die vollständige Beauftragung sein. Ein einzelnes Beratungsgespräch bringt oft schon Klarheit darüber, wo ein Betrieb steht. Wer nur einmal ehrlich hört, was ein Externer zur aktuellen Situation sagt, hat schon eine gute Grundlage für die eigene Entscheidung.

Macht externe IT-Beratung auch dann Sinn, wenn schon eine interne IT-Abteilung vorhanden ist?

Ja, aus zwei Gründen.

Der First- und Second-Level-Support lässt sich mit einer internen IT gut abbilden, wenn ein Mitarbeiter sich damit auseinandersetzt und den eigenen Betrieb kennt. Ich muss hier aber alle Inhaber warnen: Genau hinschauen. Ich war in der Vergangenheit bei größeren Unternehmen selbst in solchen IT-Abteilungen tätig. Ich habe erlebt, dass ein Team von sechs bis acht IT-Mitarbeitenden ein Unternehmen mit rund 5.500 Angestellten betreut hat. Das ist ein grobes Missverhältnis, und die Folge ist immer dieselbe: Die Qualität leidet, Kolleginnen und Kollegen sind unzufrieden, die IT bekommt einen schlechten Ruf. Was aber niemand einer anderen Person im Haus wirklich vorwirft, weil man ja jeden Tag zusammenarbeitet. Bei einem externen Dienstleister wäre das ein sofortiger Prüf- und Handlungsfall.

Was ich also jedem Inhaber empfehle: Prüfen Sie regelmäßig. Gibt es klar definierte IT-Prozesse? Haben Sie Zugriff auf das Ticket-System Ihrer IT? Wie schnell erfolgt eine Rückmeldung, wie lange dauert die Bearbeitung? Diese Faktoren einmal hinzuschreiben und mit den Vollkosten einer eigenen IT (Gehälter inklusive Arbeitgeberbelastung, Bürofläche, Geräte) gegen ein externes Angebot zu halten, führt oft zu einer sehr klaren Antwort. Ein externer Dienstleister hat ein anderes Standing und einen ganz anderen Druck, tatsächlich zu liefern.

Der zweite Grund betrifft die IT-Beratung im engeren Sinne. Auch wenn Sie einen internen IT-Berater beschäftigen, ist er Angestellter. Er hat oft weder die Muße noch die Zeit noch die Aufgabe, sich täglich mit Neuerungen und Entwicklungen auseinanderzusetzen. Er sieht nur seinen Kosmos, seinen einen Betrieb. Ein externer Berater arbeitet täglich mit mehreren IT-Landschaften, mit unterschiedlichen Herausforderungen und mit neuen Entwicklungen. Diese Breite bringt er in Ihren Betrieb mit. Wenn Sie als Inhaber merken „irgendwie kommen wir IT-mäßig nicht wirklich weiter“, ist das der Moment, in dem sich eine externe zweite Meinung lohnt.

Welche Themen sind mit einer internen IT-Abteilung besser lösbar?

Die Frage ist ehrlich beantwortet schwierig. In den internen IT-Abteilungen, die ich selbst als Angestellter erlebt habe, war ich immer weniger zufrieden als bei IT-Dienstleistern. Es gibt aber eine Konstellation, in der interne IT sehr gut funktionieren kann.

Es braucht jemanden in der obersten Etage des Unternehmens, der die Verantwortung für die IT wirklich trägt. Nicht nur ein IT-Leiter, der eingestellt ist, sondern ein Entscheider mit einem echten Auge auf das Thema. Idealerweise mit ein bisschen Technik-Ahnung, aber vor allem mit Entscheidungsbefugnis. Sobald diese Person da ist, kann eine interne IT deutlich effizienter arbeiten, weil sie tief in die Prozesse des Unternehmens hineinschauen kann und keine Reibungsverluste durch externe Kommunikation hat.

Externe Dienstleister sind aus dem gleichen Grund oft so gut: Sie haben einen Inhaber oder Geschäftsführer, der dieses Business gegründet hat und mit der Materie tief verwoben ist. Genau dieses „mit dem Thema wirklich verheiratet sein“ fehlt in vielen internen Konstellationen. Wenn es aber da ist, ist die interne Lösung sehr stark.

Wie sieht ein typischer Erstkontakt aus, wenn ein Bremer Unternehmen das erste Mal über externe Beratung nachdenkt?

In den meisten Fällen kommt der Kontakt zustande, wenn schon Unzufriedenheit im Betrieb herrscht. Der Impuls entsteht selten aus reiner Neugier, sondern weil es klemmt. Der Kunde ruft an oder schreibt eine Mail, und wir vereinbaren ein Erstgespräch. Diese Gespräche führe ich in der Regel selbst.

Wichtig ist mir eines: Bei uns ist das Erstgespräch kostenlos. Inzwischen verlangen einige IT-Unternehmen schon für dieses erste Gespräch Geld und verkaufen es als Beratungsdienstleistung. Ich finde das den falschen Ansatz. Das Erstgespräch sollte offen sein, ohne dass eine große Analyse gefahren wird. Wer viele IT-Landschaften gesehen hat, erkennt die typischen Probleme im Gespräch relativ schnell und kann sie offen ansprechen.

Der Rest des Gesprächs ist dann relativ selbsterklärend. Wir stellen die richtigen Fragen: Wie war die Reaktionszeit beim bisherigen Dienstleister? Wie war die Problemlösung? Wie war die Kommunikation? Wenn wir aus diesen Antworten schon ein klares Bild negativer Erfahrungen bekommen, wissen wir, wo wir ansetzen können.

Falls der Kunde unsicher ist, ob er wechseln oder etwas grundsätzlich ändern will, empfehle ich eine Infrastrukturanalyse. Die ist mit Aufwand verbunden und deshalb nicht kostenfrei, aber wir bieten sie preisgünstig an. Am Ende erhält der Kunde einen ausführlichen Report, in dem er sofort erkennen kann, ob sein jetziger Dienstleister einen guten Job gemacht hat oder nicht. Wir setzen uns dann noch einmal zusammen, gehen den Report gemeinsam durch und zeigen auf, welche Punkte angegangen werden müssten, damit die Infrastruktur einen besseren Score bekommt.

Wenn der Kunde dann in die Zusammenarbeit gehen möchte, gibt es zwei klare Schritte: Zuerst ein einmaliges Projekt, in dem wir die größeren Probleme beheben und die Infrastruktur auf einen aktuellen Stand bringen. Anschließend eine proaktive Wartung zu einem festen monatlichen Fixum. Diese Reihenfolge ist entscheidend, weil eine proaktive Wartung nur dann versprochen werden kann, wenn die Infrastruktur solide ist. Sonst würden wir immer nur alte Probleme hinterher reparieren und stünden nach kurzer Zeit selbst am Pranger.

Worauf sollte man bei der Auswahl eines IT-Beraters in Bremen besonders achten?

Sechs Punkte, die aus unserer Erfahrung wirklich den Unterschied machen.

1. Moderne Außendarstellung. Es gibt tatsächlich IT-Dienstleister ohne eigene Website. Das mag in einer Branche funktionieren, in der jeder ohnehin einen IT-Partner braucht, aber es sagt etwas aus. Wenn sich ein Unternehmen keine Gedanken darüber macht, wie es nach außen wirkt, hat es entweder kein Interesse an weiteren Kunden oder eine Haltung nach dem Motto „Die Leute schlucken eh alles“. Beides ist kein guter Start.

2. Team statt Einzelunternehmer. Ich habe selbst als Einzelkämpfer angefangen und will das nicht generell verurteilen. Aber inzwischen sind wir ein Team von sieben Personen, und ich spüre in Gesprächen immer wieder: Kunden mit einem erfolgreichen Betrieb haben Sorge, ihre Daten und ihre Prozesse einem Solo-Dienstleister anzuvertrauen. Was passiert, wenn dieser eine Person etwas zustößt, wenn er ausfällt, wenn er verkauft? In meinem Netzwerk gab es genau einen solchen Fall, und die Folgen waren erheblich. Ein Team gibt Ihnen Kontinuität und mehrere Ansprechpartner.

3. Produktoffenheit. Ein guter Partner ist offen für Neuerungen, neue Projekte und neue Themen. Wer nur „Schema A oder Schema B“ anbietet und im Gespräch schon erkennen lässt, dass er ausschließlich das eine Produkt aus seiner Schublade verkaufen will, wird Sie langfristig ausbremsen. Prozesse und ein klares Standard-Portfolio sind gut. Nicht über das eigene Portfolio hinaus denken zu können, ist nicht gut.

4. Regionalität. Vieles lässt sich remote lösen, das stimmt. Aber wenn etwas passiert oder ein Vor-Ort-Termin nötig ist, macht ein Dienstleister im gleichen Bundesland einen echten Unterschied bei der Reaktionszeit. Ein IT-Partner im Raum Bremen kann in Stunden vor Ort sein, jemand aus München nicht.

5. Vertragslogik. Diese Frage sollten Sie im Erstgespräch direkt stellen: „Was passiert, wenn wir irgendwann nicht mehr mit euch zusammenarbeiten möchten?“ Ich habe mehrfach erlebt, dass Dienstleister Kunden über Verträge geradezu fesseln. Fünf-Jahres-Knebel-Verträge, aus denen man ohne Anwalt nicht herauskommt. Klären Sie vor der Unterschrift: Gibt es eine frühzeitige Beendigungsmöglichkeit bei Unzufriedenheit? Wie funktioniert der Ausstieg? Am besten schriftlich festhalten. Wer bei dieser Frage schlucken muss, hat kein Interesse an einer Zusammenarbeit auf Augenhöhe, sondern will nur wiederkehrende Einnahmen.

6. Serverstandort und Datenhaltung. Wenn der Dienstleister Ihnen einen Server stellt oder Daten für Sie speichert: Fragen Sie, wo diese Daten physisch liegen. Als Unternehmensinhaber müssen Sie das wissen. Wenn ein Anbieter diese Frage nicht klar beantworten kann, sagt das viel. Bei uns liegt alles im eigenen Rechenzentrum in Bremen. Diese Klarheit sollten Sie überall verlangen.

Wenn Sie in Bremen externe IT-Beratung in Erwägung ziehen

Bei ZANONI Consulting ist das Erstgespräch grundsätzlich kostenlos. Wir hören uns Ihre Situation an, stellen die richtigen Fragen und geben Ihnen eine ehrliche erste Einschätzung, ob externe Unterstützung in Ihrem Fall sinnvoll ist und in welcher Form. Erst wenn Klarheit besteht, sprechen wir über konkrete Schritte wie eine Infrastrukturanalyse, ein Projekt zur Behebung akuter Themen oder eine laufende IT-Betreuung mit festem monatlichem Fixum.

Wir sind ein siebenköpfiges Team im Raum Bremen mit über 20 Jahren IT-Erfahrung, arbeiten produktoffen, betreiben unsere Cloud-Infrastruktur im eigenen Bremer Rechenzentrum und stellen Ihnen faire Verträge ohne Knebel-Klauseln.

IT-Beratung in Bremen: Was Romano Zanoni aus über 100 IT-Übernahmen gelernt hat

Fb-zanoni-consulting.de — Mon, 20 Jul 2026 11:37:36 +0000

IT-Beratung ist im Bremer Mittelstand oft wenig mehr als ein anderes Wort für IT-Verkauf. Wer den Unterschied kennt, kann bei der Auswahl eines Partners viel Geld und noch mehr Frust sparen. Romano Zanoni, Geschäftsführer der ZANONI Consulting GmbH, hat mit seinem Team in über 20 Jahren mehr als 100 Betriebsübernahmen begleitet. Im Gespräch teilt er, was ihn dabei am meisten überrascht hat, welche fünf Hebel eine gute IT-Beratung ausmachen und welche Fragen ein Bremer Mittelständler in einem Erstgespräch stellen sollte.

„Erfahrung ist das Wichtigste, was es in dieser Branche gibt" – Romano Zanoni im Interview"

Romano Zanoni betreut mit seinem sechsköpfigen Team mittelständische Unternehmen im Raum Bremen als externe IT-Abteilung. In über 20 Jahren IT-Erfahrung hat er die typischen Muster kennengelernt, die entstehen, wenn IT in Mittelständlern über Jahre gewachsen ist. Im Interview spricht er über Erlebnisse aus Übernahmen, über sein Verständnis von Beratung und darüber, was er heute jedem jungen Kollegen mitgeben würde.

Sie haben mit Ihrem Team über 100 Betriebsübernahmen begleitet. Was war die größte Überraschung in diesen Übernahmen?

Es gab diverse Überraschungen bei Übernahmen von historisch gewachsener IT-Infrastruktur, häufig, weil sie über Jahre von einem Hobby-IT-Verantwortlichen betreut wurde. Ein Klassiker: Festplatten in einem RAID sind kaputt, der Server piepst seit Wochen, und niemand hat sich darum gekümmert. Passwörter waren dokumentiert auf einem einzelnen Blatt Papier. Manchmal kannte niemand die vollständigen Zugangsdaten. Jeder wusste ein bisschen, aber niemand hatte sich mal die Zeit genommen, es sauber aufzuschreiben.

Was uns dabei immer wieder auffällt: Es geht bei diesen Konstellationen weniger um technische Fehler, sondern um fehlende Verantwortlichkeit. Kein wirklicher Eigentümer der IT im Unternehmen, sondern nur jemand, der das nebenher als Hobby macht.

Ein besonders eindrückliches Beispiel war ein Kunde, bei dem die Server einfach im Dachgeschoss standen, auf einem Tisch platziert, ohne Klimatisierung. Wenn man sich vorstellt, was bei den Sommertemperaturen der letzten Jahre passiert wäre, wenn dort etwas ausgefallen wäre, ist das keine Kleinigkeit mehr. Ein anderer Fall: Der bisherige „Dienstleister“ hatte einen ganz normalen Bürorechner genommen, alle Server-Software darauf installiert und mit einer kostenlosen Virtualisierungslösung virtualisiert. Kein Backup, keine Strategie, keine Redundanz. Ein falscher Klick zur falschen Zeit, und alles wäre weg gewesen.

Welche fünf Erkenntnisse haben sich für Sie als wichtigste Beratungs-Hebel herauskristallisiert?

Es sind mehrere Punkte, die für mich in der Summe eine ehrliche Beratung ausmachen.

Erstens: Nicht mit Angst verkaufen. Das kennt jeder aus der Versicherungsbranche. „Wenn du diese Versicherung nicht hast und dir passiert etwas, sitzt du auf dem Schaden.“ Dieses Muster wird in unserer Branche viel zu oft benutzt. Ich versuche das bewusst zu umgehen und stattdessen darauf einzugehen, was der Kunde wirklich braucht. Was bringt ihm ein Mehrwert? Was bringt sein Unternehmen wirklich nach vorn? Sicherheit ist wichtig, aber sie ist nicht das einzige Argument.

Zweitens: Ehrlich beraten, statt Produkte anzudrehen, die der Kunde nicht braucht. Das passiert in der Branche sehr häufig. Systemhäuser wollen zusätzlich verkaufen, obwohl es dem Kunden nichts bringt. Für mich gilt das genaue Gegenteil: Wir empfehlen nur, was tatsächlich einen Beitrag leistet.

Drittens: Transparente Preisgestaltung. Wir arbeiten mit Pauschalen aus Erfahrungswerten. Wir sagen dem Kunden: Für diese und diese Leistung brauchen wir erfahrungsgemäß einen Tag. In den meisten Fällen liegt unsere Einschätzung nah an der Realität, und wir können pauschalisieren. Kommt bei einem Projekt eine Komponente hinzu, die abweicht, dann sagen wir das auch. Zusätzlich haben wir transparente Arbeitsberichte, in denen dokumentiert ist, was wir wann getan haben und wie lange es gedauert hat. Der Kunde soll sich bei dem Preis abgeholt fühlen, auch wenn ihn die Details bei einer Pauschale eigentlich nicht mehr interessieren müssten.

Viertens: Nicht den Ferrari verkaufen, wenn der Kunde einen soliden Mittelklassewagen braucht. In der IT gibt es Hersteller wie Cisco, mit denen man arbeiten kann, deren Komponenten aber ein Vielfaches teurer sind als vergleichbare Produkte. Für einen kleinen Mittelständler ist das oft völlig unpassend, vor allem, wenn das Ergebnis am Ende dasselbe wäre. Ich schaue mir immer die konkrete Kundensituation an. Wenn unser Standardprodukt zum Kunden passt, nutzen wir es. Wenn es nicht passt, nehme ich ein anderes. Es geht nicht darum, das eigene Portfolio durchzudrücken.

Fünftens: Fachchinesisch vermeiden. Wer mit Kunden spricht und sein eigenes Fach nicht so erklären kann, dass der Kunde es versteht, verkauft nichts. Nicht, weil der Preis zu hoch ist, sondern weil der Kunde nicht weiß, was er eigentlich bekommt. Unter Kolleginnen und Kollegen dürfen wir die Fachbegriffe nutzen. Mit dem Kunden müssen wir übersetzen. Das ist einer der wichtigsten Hebel, weil er alles andere überhaupt erst ermöglicht.

Was ich in den vielen Übernahmen für mich zusätzlich festgestellt habe: Ich weiß bei fast jeder Kundenfrage schon, was zu tun ist, weil ich das Thema so oder so ähnlich schon gesehen habe. Diese Erfahrung ist für den Kunden ein Sicherheitsanker. Er merkt, dass er sich nicht in einem Experiment befindet, und fühlt sich entsprechend gut aufgehoben.

Welche Beratungs-Fragen, die in der Branche selten gestellt werden, sind aus Ihrer Sicht entscheidend?

Es gibt fünf Fragen, die in einem ehrlichen Erstgespräch stehen sollten. Ich stelle sie bewusst, weil sie in klassischen Verkaufsgesprächen kaum vorkommen.

„Was kostet Sie eine Stunde Stillstand?“ Viele Kunden haben darüber nie nachgedacht. Wenn die IT ausfällt, steht in 99 Prozent der Fälle der ganze Betrieb still. Eine Stunde, zwei Stunden, ein Tag Arbeitsausfall — je nach Betriebsgröße ist das ein sehr wesentlicher Faktor. Erst wenn man diese Zahl kennt, lässt sich eine IT-Investition wirklich bewerten.

„Welche Ihrer IT-Kosten sind planbar, und welche entstehen nur durch Reaktion?“ Häufig sehen wir, dass bei einem Kunden dasselbe Problem alle paar Wochen zurückkommt. Der Dienstleister löst es jedes Mal schnell, aber niemand geht an die Ursache. Das ist teuer für den Kunden und irgendwann auch für uns nicht sinnvoll. Der Unterschied zwischen planbaren und reaktiven Kosten ist ein guter Indikator dafür, wie gut ein IT-Dienstleister tatsächlich arbeitet.

„Gibt es Systeme, für die Sie zahlen, ohne sie zu nutzen?“ Diese Frage kann in vielen Betrieben gar nicht beantwortet werden. Häufig laufen bestimmte Systeme im Hintergrund, keiner hat sie mehr auf dem Schirm, aber die Rechnung wird jeden Monat bezahlt. Wer diese Frage stellt, spart oft mehr Geld ein, als eine neue Beratung kostet.

„Wurde Ihr Backup schon einmal getestet?“ Die meisten Kunden haben ein Backup. Aber ob es im Ernstfall wirklich funktioniert, weiß niemand, weil es nie getestet wurde. Ein ungetestetes Backup ist im Worst Case einfach nur ein teurer Speicher, der nichts hilft. Wenn ich diese Frage stelle und Stille im Raum entsteht, weiß ich, wo wir anfangen müssen.

„Haben Sie Zugriff auf Ihre eigene IT-Dokumentation?“ Diese Frage überrascht viele Geschäftsführer. In den meisten Fällen liegt die komplette Dokumentation beim Dienstleister und wird gehütet wie ein Schatz. Das gibt dem Dienstleister einen Hebel, der bis zur Erpressung reichen kann, wenn es zum Streit kommt. Bei uns kann jeder Kunde gegen einen kleinen Monatspreis einen eigenen Zugang zu unserer Dokumentation zu seinem Betrieb bekommen. Er sieht, was drin steht, kann jederzeit einsehen, welche Systeme wie eingerichtet sind. Das ist Grundlage jeder ehrlichen Zusammenarbeit. Wer als Ein-Mann-Dienstleister von heute auf morgen ausfällt und alle Zugänge mitnimmt, hinterlässt sonst eine Katastrophe beim Kunden.

Wenn Sie bei einem Kunden eine schwache IT vorfinden, wie sieht der typische Beratungsweg aus?

Zuerst schaue ich mir das Ganze kurz an und bilde mir eine erste Einschätzung. Wenn die IT tatsächlich schwach aussieht, empfehle ich eine ordentliche Infrastrukturanalyse. Das ist der Punkt, an dem wir am Ende ganz genau wissen, wo die Schwachstellen sitzen und welche Punkte beseitigt werden müssen.

Aus der Analyse wird ein Projektplan. Wir besprechen mit dem Kunden gemeinsam, welche Punkte wann und wie gelöst werden. Alles wird nach Priorität und Dringlichkeit geordnet. Der klassische Weg ist ein Workshop-Format mit mehreren Gesprächen, in denen wir die Themen aufgreifen, gewichten und in eine Reihenfolge bringen. So bekommt der Kunde keine Wall aus Problemen, sondern einen strukturierten Plan mit klarem Anfang.

Was würden Sie einem jungen IT-Berater heute mitgeben, wenn Sie ihn ausbilden würden?

Nichts überstürzen. Sich am Anfang auf das Wesentliche konzentrieren, statt jedem neuen Hype hinterherzuspringen. Das Wichtigste in dieser Branche ist Erfahrung, und Erfahrung sammelt man nur, indem man Dinge auch wirklich macht und dabei ehrlich ist.

Wenn ich zum ersten Mal ein bestimmtes Projekt umsetze, sage ich das dem Kunden offen. „Pass auf, das mache ich zum ersten Mal, ich lerne dabei, aber ich wachse mit dir und biete es dir vergünstigt an.“ Ehrlichkeit zahlt sich langfristig immer aus. In der IT wird gerne der schnelle Reichtum gesehen, weil man Technik verkauft. Aber das ist ein Trugschluss. Kunden spüren, wenn man zu hoch kalkuliert oder ihnen etwas verkauft, das sie nicht brauchen. Mit vernünftiger Kalkulation und Ehrlichkeit gewinnt man auf Dauer immer.

Was ich auch bei unseren Auszubildenden beobachte: Sie sollten selbst Sachen ausprobieren, sich Themen aneignen, nicht nur in der beruflichen Bubble unterwegs sein. In unserem Bereich braucht man eine gewisse Affinität und eine Leidenschaft für die Technik. Ich bin selbst technikbegeistert. Wenn es etwas Neues gibt, interessiere ich mich dafür, recherchiere, setze mich damit auseinander, auch in der Freizeit. Das macht mir einfach Spaß.

Ich hatte viele junge Menschen im Vorstellungsgespräch, die in ihrer Bewerbung geschrieben hatten, dass sie besonders IT-affin sind und Technik lieben. Nach fünf, zehn Minuten Gespräch war klar, dass das nicht stimmt und nur da stand, um eingeladen zu werden. Das merkt man sofort. Deshalb: seid ehrlich zu euch selbst. Menschen, die lange in dem Bereich arbeiten, spüren, wenn jemand nur die Rolle spielt. Das ist einer der Punkte, die ich jedem jungen Berater mitgeben würde.

Was das für Bremer Unternehmen konkret bedeutet

Aus den Antworten Romanos ergeben sich für Bremer Mittelständler drei praktische Konsequenzen, die sich in jedem Erstgespräch mit einem IT-Berater überprüfen lassen.

Prüfen Sie, mit welcher Argumentation Ihr Gegenüber arbeitet. Wird primär mit Angst verkauft („wenn das passiert, dann…“), oder wird ein konkreter Mehrwert beschrieben? Ehrliche IT-Beratung baut auf dem zweiten Weg auf.
Stellen Sie die fünf Fragen aus dem Interview. Kosten pro Stunde Stillstand, planbare versus reaktive IT-Kosten, ungenutzte Systeme, getestete Backups, eigener Zugriff auf die IT-Dokumentation. Wer diese fünf Punkte konkret beantworten kann, hat entweder gute Beratung im Haus oder gerade den passenden Moment für eine externe.
Verlangen Sie Transparenz beim Preis und bei der Dokumentation. Pauschalen mit Erfahrungswerten sind fair, wenn im Hintergrund transparente Arbeitsberichte laufen. Und Ihre IT-Dokumentation gehört Ihnen, nicht Ihrem Dienstleister. Wer Sie an dieser Stelle vor eine geschlossene Tür stellt, arbeitet nicht auf Augenhöhe.

Wenn Sie in Bremen einen IT-Berater suchen, der ehrlich arbeitet

ZANONI Consulting betreut mittelständische Unternehmen im Raum Bremen und im Umkreis von rund 70 Kilometern als externe IT-Abteilung. Sechs Personen, über 20 Jahre IT-Erfahrung, mehr als 100 begleitete Betriebsübernahmen und ein eigenes Rechenzentrum in Bremen. Wir arbeiten mit transparenten Pauschalen, dokumentierten Arbeitsberichten und einer Kundendokumentation, auf die Sie jederzeit zugreifen können.

Ob wir der richtige Partner für Ihren Betrieb sind, klären wir am ehrlichsten in einem unverbindlichen Erstgespräch. Bei Bedarf machen wir vorher eine Infrastrukturanalyse, damit Sie wissen, wo Ihr Betrieb heute steht.

Pentest as a Service: Wenn der einmalige Stresstest nicht mehr reicht

Fb-zanoni-consulting.de — Thu, 18 Jun 2026 14:12:16 +0000

Cyber-Versicherungen sind im Mittelstand verbreiteter denn je. Sie greifen jedoch erst, wenn der Schaden eingetreten ist. Sie erstatten finanzielle Folgen, aber sie machen nicht die Ausfalltage rückgängig, nicht den Vertrauensverlust beim Kunden und nicht die Pflichtmeldung an die Aufsicht. Wer nur auf die Versicherung setzt, hat das Risiko bereits eingegangen.

Ein Penetrationstest ist die proaktive Variante. Statt darauf zu warten, dass jemand eine Schwachstelle ausnutzt, suchen erfahrene Sicherheitsexperten sie selbst und decken sie auf, bevor jemand anderes sie findet. Wichtig zu wissen: Ein Pentest zeigt die Lücken und liefert die Handlungsempfehlung, die Behebung selbst ist nicht Teil der Test-Leistung. Wer die Lücken anschließend schließt, klären wir vorab und gehen darauf weiter unten genauer ein. Allerdings hat das klassische Modell ein Problem: Ein einmaliger Test am 14. Juni sagt nichts über den Sicherheitszustand am 14. September. IT-Umgebungen verändern sich, neue Schwachstellen werden bekannt, Mitarbeitende kommen und gehen.

Genau hier setzt Pentest as a Service an. Der Beitrag erklärt, was Pentest as a Service ist, wie sich dieses Modell vom klassischen einmaligen Test unterscheidet, für welche Unternehmen es sich lohnt und warum gerade kleine und mittlere Betriebe davon stärker profitieren, als sie zunächst vermuten.

Was ein Penetrationstest überhaupt ist

Ein Penetrationstest ist ein kontrollierter Angriff auf die eigenen Systeme. Spezialisierte Sicherheitsexperten versuchen mit denselben Methoden, die echte Angreifer einsetzen, in Ihre IT-Umgebung einzudringen. Sie nutzen technische Schwachstellen, prüfen Konfigurationsfehler, testen die Wirksamkeit von Sicherheitsmaßnahmen und versuchen, schrittweise weitere Rechte zu erlangen.

Das Ergebnis ist kein theoretisches Sicherheitsgutachten, sondern ein konkreter Befund: Diese Schwachstellen existieren, so ließen sie sich ausnutzen, das sind die wirtschaftlichen und regulatorischen Folgen, mit folgenden Maßnahmen lassen sie sich schließen. Die eigentliche Umsetzung dieser Maßnahmen ist bewusst getrennt von der Test-Leistung, dazu im nächsten Abschnitt mehr.

Der Unterschied zu einem automatisierten Schwachstellenscan liegt in der Qualität der Ergebnisse. Scans liefern Listen mit potenziellen Lücken. Ein echter Penetrationstest zeigt, welche dieser Lücken im konkreten Zusammenspiel der Systeme tatsächlich gefährlich sind und wie ein realer Angriffspfad aussieht.

Reports nach CREST-Standard

Unsere Pentest-Berichte folgen dem CREST-Standard, dem etablierten Format für Penetrationstest-Reports auf europäischer Ebene. Damit erhalten Sie eine Dokumentation, die Versicherer, Auditoren und Aufsichtsbehörden als anerkannten Nachweis akzeptieren und die sich strukturell in bestehende Compliance-Prozesse einfügt. Die Auswahl unseres Test-Toolings haben wir bewusst nach diesem Standard ausgerichtet, damit Befunde, Risikobewertung und Handlungsempfehlung in einer Form vorliegen, die international vergleichbar ist.

Wer die gefundenen Lücken anschließend schließt

Ein Punkt, der erfahrungsgemäß für Klarheit sorgt, bevor ein Test startet: Der Pentest selbst deckt die Schwachstellen auf, liefert die Priorisierung und gibt konkrete Handlungsempfehlungen. Die eigentliche Behebung dieser Lücken ist nicht Teil der Test-Leistung. Wer sie umsetzt, hängt davon ab, wie Ihr Unternehmen aufgestellt ist.

Unternehmen mit eigener IT-Abteilung. Sie setzen die Maßnahmen mit Ihrem internen Team um. Wir stehen während dieser Phase beratend zur Seite und ordnen einzelne Befunde technisch ein. Diese Begleitung ist in der Pentest-Leistung enthalten und braucht keinen separaten Auftrag.
Unternehmen ohne eigene IT. Kleinere Betriebe haben in der Regel keine interne IT, die einen Befundbericht direkt umsetzen kann. In diesem Fall erstellen wir auf Basis des Pentest-Reports einen transparenten Kostenvoranschlag für die Behebung der gefundenen Lücken. Sie entscheiden anschließend, was Sie umsetzen lassen möchten und in welcher Reihenfolge.

So bleibt der Pentest klar in seiner Rolle als unabhängige Bewertung, und die Maßnahmenphase ist sauber davon getrennt.

Der Unterschied zum klassischen einmaligen Stresstest

Klassische Penetrationstests werden meist als einmaliges Projekt durchgeführt. Ein Stichtag wird festgelegt, der Test läuft eine bis zwei Wochen, am Ende gibt es einen Bericht. In der Praxis wird dieser Test in vielen Unternehmen vor allem deshalb beauftragt, weil ein Versicherer oder eine Behörde einen Nachweis verlangt. Sobald der Bericht vorliegt, liegt der Bericht im besten Fall in der Schublade, im weniger guten Fall in einer veralteten Version auf einem Server, der inzwischen abgelöst wurde.

Die Schwächen dieses Modells sind in der Praxis erheblich.

Die Umgebung verändert sich ständig. Neue Software wird eingeführt, Mitarbeitende werden eingestellt, Server werden migriert, Cloud-Dienste werden ergänzt. Was im Juni getestet wurde, sieht im November anders aus.
Schwachstellen entstehen ständig neu. Allein in den letzten Wochen wurden mehrere kritische Lücken in Windows Server, Check Point und Palo Alto aktiv ausgenutzt. Ein Test vom Vorjahr deckt diese aktuellen Bedrohungen nicht ab.
Die Maßnahmen werden nie konsequent nachgehalten. Ein einmaliger Test endet mit einem Bericht. Was zwischen Bericht und Umsetzung passiert, bleibt oft offen. In vielen Mittelständlern landen Empfehlungen auf einer Liste, die im operativen Geschäft langsam in Vergessenheit gerät.
Lernkurve und Verbesserung sind nicht eingebaut. Wer einmal pro Jahr testet, hat keine Vergleichswerte. Ein Sicherheitsniveau lässt sich aber nur dann verbessern, wenn es messbar ist und Veränderungen erkennbar werden.

Pentest as a Service löst genau diese vier Probleme.

So funktioniert unser Pentest as a Service

Wir verteilen die Sicherheitsprüfung auf mehrere Tests pro Jahr. Zwischen den Tests liegt jeweils eine Maßnahmenphase, in der die im vorherigen Test gefundenen Schwachstellen geschlossen werden. So entsteht ein durchgehender Verbesserungszyklus statt einer Momentaufnahme.

Die genaue Anzahl der Tests pro Jahr legen wir gemeinsam mit Ihnen fest. Welche Frequenz für Ihren Betrieb sinnvoll ist, hängt von Branche, Größe und regulatorischen Anforderungen ab und wird im Vorgespräch geklärt.

Wie ein typischer Jahreslauf aussehen kann, zeigt das folgende Beispielszenario.

Erster Test: Bestandsaufnahme. Der erste Test ist der ehrlichste Spiegel. Er zeigt den realen Ausgangszustand. Auf dieser Grundlage entstehen die Sofortmaßnahmen.

Folgetest mit Fokus auf die behobenen Bereiche. Der nächste Test prüft, ob die Sofortmaßnahmen wirklich greifen. Gleichzeitig wird der Untersuchungsbereich erweitert oder auf andere Systeme gerichtet.

Folgetest mit aktualisierten Bedrohungsszenarien. Cyber-Bedrohungen entwickeln sich ständig weiter. Spätere Tests im Jahr beziehen neue Schwachstellen und Angriffstechniken ein, die in der Zwischenzeit relevant geworden sind.

Abschluss-Test und Auswertung. Der letzte Test im vereinbarten Zeitraum bildet den Abschluss. Er prüft das gesamte Sicherheitsniveau, vergleicht es mit dem Ausgangszustand und liefert eine Jahresbilanz. Auf dieser Basis startet das nächste Jahr mit klar definierten Schwerpunkten.

Zwischen den Tests stehen wir mit Ihrer IT-Verantwortung in regelmäßigem Austausch. Befunde werden besprochen, Maßnahmen werden priorisiert, Umsetzungen werden begleitet. Pentest as a Service ist damit keine punktuelle Prüfung, sondern eine kontinuierliche Sicherheitspartnerschaft.

Für welche Unternehmen Pentest as a Service sinnvoll ist

In erster Linie für mittelständische Betriebe mit einer IT-Umgebung, die mehrere Server oder Cloud-Dienste umfasst. Konkret betrifft das:

Unternehmen mit sensiblen Daten. Pflegeeinrichtungen, Arztpraxen, Kanzleien, Steuerberatungen, Lohnbüros. Überall, wo personenbezogene Daten in besonderen Kategorien verarbeitet werden, ist ein einmaliger Test pro Jahr aus regulatorischer Sicht nicht mehr zeitgemäß.

Zulieferer für größere Industrien. Wer für Konzernkunden arbeitet, wird zunehmend nach Nachweisen zum eigenen Sicherheitsniveau gefragt. Eine NIS-2-Compliance-Anforderung in der Lieferkette ist heute keine Ausnahme mehr.

Betriebe mit kritischen Abläufen. Hafenlogistik, Produktion, Lebensmittelverarbeitung. Überall, wo ein IT-Ausfall sofort zu Stillstand und finanziellem Schaden führt.

Unternehmen mit Pflicht zur Risikobewertung. Wer durch NIS-2, DSGVO-Audits oder Vertragsanforderungen verpflichtet ist, sein Sicherheitsniveau regelmäßig zu prüfen und zu dokumentieren.

Warum auch kleine Unternehmen davon profitieren

Hier liegt ein häufiges Missverständnis. Penetrationstests gelten als Konzern-Thema. In Wirklichkeit sind kleinere Betriebe ein besonders lohnendes Ziel für Angreifer, weil sie schwächer geschützt sind und schneller zahlen, wenn etwas passiert.

Pentest as a Service ist genau deshalb auch für kleinere Unternehmen sinnvoll. Drei Gründe.

Die Kosten sind planbar. Mehrere kleinere Tests pro Jahr lassen sich budgetieren wie ein laufender Service. Ein großer einmaliger Test ist meist teurer und liefert weniger Wirkung pro Euro.
Der Aufwand verteilt sich. Sie haben nicht eine einzige Belastungsphase im Jahr, sondern mehrere überschaubare. Das passt besser zu kleinen IT-Verantwortlichkeiten, die nicht den Großteil ihrer Zeit für Sicherheit aufwenden können.
Die Wirkung ist proportional größer. Ein Konzern hat interne Sicherheitsteams, die im Alltag prüfen, was kein Pentest mehr zusätzlich findet. Ein kleiner Betrieb hat dieses Reservepolster nicht. Jede Lücke, die ein Pentest aufdeckt, ist hier ein wirklicher Sicherheitsgewinn.

Für kleinere Unternehmen ohne eigene IT-Abteilung übernehmen wir nach dem Test zusätzlich die Erstellung eines transparenten Kostenvoranschlags für die Behebung der gefundenen Lücken. So entsteht für Sie ein klares Bild davon, was als nächstes ansteht und in welchem finanziellen Rahmen.

Der Ablauf eines einzelnen Tests im Detail

Pro Test laufen vier Phasen ab.

Phase 1: Scoping. Wir definieren gemeinsam mit Ihnen, ob in diesem Test ein interner oder ein externer Angriffsweg geprüft wird. Externe Tests simulieren einen Angreifer von außerhalb des Unternehmensnetzes. Interne Tests gehen von einem bereits kompromittierten oder berechtigten Zugang im internen Netz aus. Welche Variante wann sinnvoll ist und welche Systeme abgedeckt werden, klären wir vor jedem Test.

Phase 2: Test. Der eigentliche Test läuft in einem definierten Zeitfenster. Wir nutzen eine Kombination aus technischen Werkzeugen und manueller Analyse. Tests sind so konzipiert, dass sie keine Betriebsstörungen verursachen.

Phase 3: Auswertung. Nach dem Test erhalten Sie einen nach CREST-Standard aufgebauten Bericht, der nicht aus 200 Seiten Standardtext besteht, sondern aus konkreten Befunden mit Priorisierung, Erläuterung und Handlungsempfehlung. Den Bericht erläutern wir in einem persönlichen Gespräch.

Phase 4: Maßnahmen. In den Wochen nach dem Test begleiten wir die Umsetzung der Empfehlungen. Bei Unternehmen mit eigener IT begleiten wir das interne Team beratend, bei Unternehmen ohne eigene IT erstellen wir den Kostenvoranschlag für die Behebung. Welche Maßnahmen sofort, welche im laufenden Quartal, welche strategisch. Im nächsten Test prüfen wir, ob die Maßnahmen wirken.

Was wir testen

In den vereinbarten Tests werden typischerweise folgende Bereiche abgedeckt, jeweils in der Tiefe, die zum Reifegrad Ihrer IT passt.

Externes Netzwerk und exponierte Dienste
Internes Netzwerk und Berechtigungsstrukturen
Microsoft-365-Umgebung und Cloud-Setup
Web-Anwendungen, sofern vorhanden
Endgeräte und mobile Geräte
Berechtigungs- und Rechtekonzepte

Welche Bereiche im jeweiligen Test-Schwerpunkt sind, klären wir im Scoping. So entsteht über das Jahr eine breit angelegte Prüfung, die einzelne Bereiche jeweils in der nötigen Tiefe untersucht.

Häufige Fragen

Worin unterscheidet sich Pentest as a Service vom klassischen Penetrationstest?

Den passenden IT-Dienstleister auswählen: Worauf achten?

Fb-zanoni-consulting.de — Thu, 18 Jun 2026 12:29:14 +0000

Die Suche nach einem IT-Dienstleister im Raum Bremen ist für die meisten Geschäftsführer keine angenehme Aufgabe. Häufig steht sie an, wenn der bisherige Partner nicht mehr passt: lange Wartezeiten, fehlende Transparenz, Rechnungen, die jedes Quartal überraschen. Oder wenn ein Betrieb wächst und die bisherige Lösung mit dem Schwiegersohn aus dem PC-Markt an Grenzen stößt.

In beiden Fällen ist die zentrale Frage dieselbe: Woran erkennt man einen IT-Dienstleister, der wirklich zum eigenen Betrieb passt? Dieser Beitrag zeigt sieben Kriterien, drei Warnzeichen und ein paar Bremer Besonderheiten, die in der Praxis den Unterschied machen.

Warum die Auswahl wichtiger ist als viele denken

Ein IT-Dienstleister ist kein austauschbarer Lieferant für Toner und Mauspads. Er ist verantwortlich für die Systeme, ohne die Ihr Betrieb stillsteht: Server, Netzwerk, Mail, Cloud, Sicherheit, Backup. Wenn diese Strukturen unsauber aufgebaut oder schlecht gepflegt sind, fällt das im Alltag erst einmal nicht auf. Bei einer Störung, einer Migration oder einem Cyberangriff wird es jedoch sofort sichtbar und teuer.

Die meisten unzufriedenen Mittelständler, die zu uns wechseln, hätten die Probleme vier oder fünf Jahre früher erkennen können, wenn sie bei der Auswahl ihres damaligen Partners andere Kriterien angelegt hätten. Genau diese Kriterien fassen wir hier zusammen.

Sieben Kriterien, an denen Sie einen guten IT-Dienstleister erkennen

1. Klar definierte Reaktionszeit, schriftlich

Wenn ein Anbieter auf die Frage „Wie schnell sind Sie bei einer kritischen Störung erreichbar?" mit „so schnell wie möglich" antwortet, ist das kein Service-Versprechen. Ein professioneller IT-Dienstleister nennt definierte Reaktionszeiten und hält sie schriftlich im Vertrag fest. 180 Minuten Reaktionszeit sind im Mittelstand ein sinnvoller Standard, an dem Sie sich orientieren können.

2. Fester Ansprechpartner statt anonymer Hotline

Sie sollten den Namen Ihres zuständigen Technikers kennen. Bei jeder Anfrage erneut alles erklären zu müssen, was Sie schon beim letzten Mal erklärt haben, ist im Mittelstand keine Option. Klären Sie vorab, ob Ihr Betrieb von einer Person betreut wird, von einem kleinen Team mit klarer Vertretungsregelung oder von einem rotierenden Ticketpool.

3. Transparente und kalkulierbare Kostenstruktur

Die IT-Kosten sollten planbar sein. Eine IT-Flatrate, die einen klar definierten Leistungsumfang zu einem festen monatlichen Preis abbildet, ist für die meisten mittelständischen Unternehmen wirtschaftlich sinnvoller als eine reine Stundenabrechnung. Lassen Sie sich genau zeigen, was im Vertrag enthalten ist und was als Zusatzleistung gilt. Das Abrechnungsmodell verrät dabei viel darüber, wie ein Anbieter arbeitet. Welche Unterschiede es zwischen den verschiedenen Betreuungsmodellen gibt, erklären wir ausführlicher in unserem Beitrag zum IT-Systemhaus in Bremen.

4. Branchenkenntnis, nicht nur IT-Kenntnis

Eine Pflegeeinrichtung hat andere Anforderungen als ein Handwerksbetrieb. Eine Anwaltskanzlei wiederum andere als ein Lebensmittelhersteller. Ein guter IT-Dienstleister kennt die typischen Abläufe Ihrer Branche. Er weiß, wie MEDIFOX DAN in einer Pflegeeinrichtung sauber eingebunden wird, wie WLAN in einer Werkhalle funktioniert und welche regulatorischen Anforderungen für Ihre Branche gelten.

5. Strukturierte Übergabe statt großer Knall

Falls Sie einen Wechsel planen: Fragen Sie konkret nach, wie der Übergabeablauf aussieht. Eine saubere Übernahme arbeitet in drei Phasen (Analyse, Übergabeplan, Übernahme im laufenden Betrieb), nicht in einer hektischen Wochenendaktion. Ein erfahrener Anbieter hat über 100 Übergaben begleitet und einen Standardablauf, den er an Ihre Situation anpasst. Mehr dazu im Detail im Beitrag IT-Dienstleister wechseln.

6. Eigene Sicherheits-Standards

Fragen Sie nach: Welche Firewall-Hersteller werden eingesetzt? Wie werden Backups regelmäßig getestet? Wie ist das Berechtigungskonzept aufgebaut, wie greift die Endgeräte-Sicherheit, was passiert im Notfall? Ein guter Anbieter hat auf diese Fragen klare Antworten und kann sie verständlich erklären, ohne in Fachchinesisch zu verfallen.

7. Eigene oder zertifizierte Cloud-Infrastruktur

Wenn Cloud Teil Ihrer IT-Strategie ist, prüfen Sie, ob der Anbieter eine eigene Infrastruktur in Deutschland betreibt oder ausschließlich Hyperscaler aus dem US-Raum vermittelt. Ein Anbieter mit eigener Cloud in Bremen schafft Datensouveränität direkt vor Ort: Sie wissen genau, wo Ihre Daten liegen, wer Zugriff darauf hat und auf welcher Infrastruktur sie laufen. Das ist im Mittelstand 2026 ein realer Komfort- und Vertrauensgewinn.

Drei Warnzeichen, bei denen Sie zurückhaltend sein sollten

Genauso wichtig wie die positiven Kriterien sind die roten Flaggen, die wir in Bremen und Umgebung immer wieder beobachten.

1. Druck zur sofortigen Unterschrift

Ein guter neuer Dienstleister bietet Ihnen vor dem Wechsel eine Bestandsaufnahme an, ohne dass Sie sofort einen Wartungsvertrag unterschreiben müssen. Wer auf eine schnelle Unterschrift drängt, hat in der Regel Eigeninteressen, die nicht zu Ihren passen.

2. Pauschale Antworten auf konkrete Fragen

„Das machen wir alles" ist keine Antwort. Wenn Sie fragen, wie der Anbieter Backups testet oder welche EDR-Lösung er einsetzt, sollte er konkrete Produkte und Prozesse nennen können.

3. Mangelnde Dokumentation der eigenen Arbeit

Fragen Sie, wie der Anbieter seine Kunden-IT dokumentiert. Wer auf diese Frage nervös reagiert oder „im Kopf der Techniker" antwortet, baut Ihnen genau die Wissensinsel, an der Sie später beim nächsten Wechsel scheitern.

Firewall und Netzwerkschutz. Wir setzen ausschließlich Firewall-Hersteller aus Deutschland ein. Der Grund ist nicht patriotisch, sondern technisch: Bei Produkten aus dem außereuropäischen Ausland lässt sich nicht zweifelsfrei ausschließen, dass Hintertüren in der Firmware liegen. Bei deutschen Lösungen ist das transparent geprüft und DSGVO-konform dokumentiert.
Endpoint-Schutz und EDR. Klassischer Virenschutz erkennt nur bekannte Bedrohungen. Moderne EDR-Lösungen analysieren das Verhalten der Endgeräte und stoppen verdächtige Aktivitäten, bevor sie Schaden anrichten. Wenn ein Programm anfängt, hunderte Dateien zu verschlüsseln, schlägt das System Alarm und beendet den Vorgang.
Mail-Security und revisionssichere Archivierung. Die meisten Angriffe beginnen mit einer E-Mail. Ein vorgelagertes Filtersystem fängt Phishing, Spoofing und Schadsoftware ab, bevor sie im Posteingang landen. Eine revisionssichere Mailarchivierung erfüllt parallel gesetzliche Anforderungen aus Steuerrecht und Handelsrecht.
Strukturierte Backup-Strategie mit Tests. Ein Backup, das nie wiederhergestellt wurde, ist kein Backup. Wir bauen Backups in mehreren Stufen auf, mit mindestens einer Offline- oder versionierten Kopie, die gegen Ransomware geschützt ist. Regelmäßige Wiederherstellungstests sind Teil der Betreuung.
Sicherheitskonzept und Risikoanalyse. Technische Maßnahmen wirken nur, wenn sie zur Gesamtlage des Betriebs passen. Wir analysieren bestehende Infrastruktur, bewerten Risiken priorisiert und erstellen ein abgestimmtes Sicherheitskonzept, das die wichtigsten Lücken zuerst schließt.
Awareness und menschliche Firewall. Mitarbeitende sind kein Risiko, sondern ein Schutzwall, wenn sie wissen, worauf sie achten müssen. Eine kurze, regelmäßige Schulung sensibilisiert für die typischen Muster, ohne das Team zu überfordern. In unserer Praxis bezeichnen wir dieses Element als die menschliche Firewall.

Bremer Besonderheiten

Im Raum Bremen gibt es einige strukturelle Punkte, die bei der Auswahl eines IT-Partners eine Rolle spielen.

Regionale Erreichbarkeit zählt. Auch wenn vieles remote läuft, gibt es Situationen, in denen jemand vor Ort sein muss: Hardware-Tausch, Netzwerkbau in einer neuen Filiale, größere Migrationen, Notfälle. Ein IT-Dienstleister im Raum Bremen kann diese Vor-Ort-Einsätze innerhalb von Stunden leisten. Wer aus München kommt, kann es nicht.

Netzwerk in der Region. Ein Bremer IT-Dienstleister hat über Jahre Kontakte zu Internet-Providern, Hardware-Lieferanten und Handwerksbetrieben im Umkreis aufgebaut. Wenn es darum geht, kurzfristig eine Leitung umzulegen, ein Ersatzgerät zu beschaffen oder einen Elektriker für eine neue Verkabelung in der Werkhalle zu organisieren, macht dieses Netzwerk den Unterschied zwischen einer Lösung am selben Tag und einer Wartezeit von Wochen.

Branchenmix verlangt Erfahrung. Bremen ist Hafenstadt, Industriestandort und Sitz vieler Pflegeeinrichtungen und mittelständischer Handwerksbetriebe. Ein IT-Dienstleister, der in dieser Vielfalt zu Hause ist, kann Ihnen helfen, ohne dass er sich erst einarbeiten muss.

Größenklasse passt zur Größenklasse. Konzern-IT-Dienstleister mit Tausenden Mitarbeitenden bedienen den Mittelstand selten passend. Ein 5- bis 15-köpfiges Team kennt die Realitäten eines Bremer Mittelständlers besser, weil es selbst einer ist.

Wenn der bisherige Partner nicht mehr passt

Falls Sie über einen Wechsel nachdenken, ist die Sorge fast immer dieselbe: Was passiert, wenn während der Übergabe etwas verloren geht? Die zweite Sorge folgt direkt: Wir wissen selbst nicht mehr genau, wie unsere IT aufgebaut ist. Kann das überhaupt jemand sauber übernehmen?

Beide Sorgen sind nachvollziehbar und beide lassen sich mit einem strukturierten Vorgehen entkräften. Eine gute Übernahme arbeitet parallel, nicht mit einem Tag-X-Schnitt. Der bestehende Zustand wird dokumentiert, bevor irgendetwas verändert wird. Migrationen erfolgen in Etappen, jeder Schritt wird getestet, bevor der nächste startet.

Eine ausführliche Darstellung mit zwei anonymisierten Praxisbeispielen finden Sie im verlinkten Interview-Beitrag.

Wer ZANONI Consulting ist

Wir betreuen mittelständische Unternehmen im Raum Bremen und im Umkreis von rund 70 Kilometern als externe IT-Abteilung. Sechs Personen, über 20 Jahre IT-Erfahrung, über 100 begleitete Betriebsübernahmen und ein eigenes Rechenzentrum in Bremen. Und was wir in den über 100 Übernahmen gelernt haben, erfahren Sie in diesem Artikel.

Unser Versprechen ist nüchtern: 180 Minuten Reaktionszeit, 365 Tage Erreichbarkeit, fester Ansprechpartner, klare Pakete statt Überraschungskosten. Wir setzen ausschließlich Firewall-Hersteller aus Deutschland ein, betreiben Cloud-Infrastruktur in unserem eigenen Bremer Rechenzentrum und legen Wert auf strukturierte, dokumentierte Arbeit, die auch im Notfall trägt.

Schwerpunkte sind branchenspezifische IT-Lösungen für Pflegeeinrichtungen (mit unserer Komplettlösung CURA IT) und für Handwerks- und Industriebetriebe, dazu allgemeine IT-Betreuung, IT-Sicherheit und Cloud-Lösungen für den Mittelstand.

Ob wir der richtige Partner für Sie sind, klären wir am ehrlichsten in einem unverbindlichen Erstgespräch. Bei Bedarf machen wir vorab eine Infrastrukturanalyse, damit Sie wissen, wo Ihr Betrieb heute steht.

Wenn Sie nicht vergleichen, sondern direkt einen Partner suchen:
Hier finden Sie unsere Leistungen als IT-Dienstleister in Bremen.

Häufige Fragen

Worin unterscheiden sich IT-Systemhaus, IT-Dienstleister und Managed Service Provider?

IT-Sicherheit für Unternehmen in Bremen und Niedersachsen

Fb-zanoni-consulting.de — Thu, 18 Jun 2026 07:24:12 +0000

Bremen und das niedersächsische Umland bilden einen wirtschaftlichen Raum mit starkem Mittelstand: Hafenlogistik, maritime Wirtschaft, Lebensmittelproduktion, Maschinenbau, Pflege, Handwerk. Diese Vielfalt ist eine Stärke. Sie ist gleichzeitig die Begründung, warum die Region heute ein attraktives Ziel für Cyberangriffe ist. Mittelständische Betriebe haben reale Werte, sind oft Zulieferer für größere Industrien und sind in der Regel schwächer geschützt als die Konzerne, die sie beliefern.

Dieser Beitrag zeigt, wie die aktuelle Bedrohungslage für Unternehmen in Bremen und Niedersachsen aussieht, welche Maßnahmen wirklich Schutz bringen und warum eine regional verankerte IT-Sicherheits-Betreuung den Unterschied macht, wenn etwas passiert.

Wer ist heute betroffen?

Die kurze Antwort: jeder. Die längere Antwort ist genauer.

Cyberangriffe folgen heute selten der Logik „großer Betrieb, großes Ziel“. Sie folgen der Logik „lohnender Aufwand“. Konzerne investieren massiv in IT-Sicherheit, also weichen Angreifer aus. Mittelständische Betriebe mit 30 bis 300 Mitarbeitenden geraten genau dadurch in den Fokus: Sie verarbeiten echte Werte, sind aber häufig schwächer geschützt und haben weniger Reserven, um eine Krise mehrere Wochen lang abzufedern.

Im Nordwesten betrifft das vor allem fünf Branchen, die wir in unserer Arbeit immer wieder sehen.

Hafen- und Logistikbetriebe sind durch ihre Schnittstellen zu internationalen Partnern und ihre kritischen Abläufe besonders sensibel. Ein Tag Stillstand kostet hier sechsstellig.
Pflegeeinrichtungen verarbeiten Bewohnerdaten, die unter die besonderen Kategorien personenbezogener Daten fallen. Ein Datenverlust hat hier sofort eine regulatorische Dimension.
Handwerks- und Industriebetriebe haben Standortvernetzungen, mobile Teams und gewachsene IT-Strukturen, die selten dokumentiert sind.
Anwaltskanzleien, Steuerberatungen und Arztpraxen in der Region arbeiten mit hochsensiblen Daten und sind damit für gezielte Angriffe wirtschaftlich attraktiv.
Lebensmittel- und Konsumgüterproduktion in Niedersachsen ist häufig Zulieferer für große Handelsketten und damit ein indirekter Zugangspunkt zu deren Systemen.

In allen fünf Branchen sehen wir die gleichen Muster: gewachsene IT, fehlende Dokumentation, unklare Verantwortlichkeit, kein erprobter Notfallplan.

Die aktuelle Bedrohungslage

Die Angriffsmuster haben sich in den letzten 18 Monaten verschoben. Drei Entwicklungen prägen den Alltag.

KI-basierte Phishing-Mails

Generative KI macht es Angreifern leicht, grammatikalisch perfekte, kontextbezogene Mails zu erstellen, die selbst geschulte Mitarbeitende kaum noch von echten Mails unterscheiden können. Eine Anrede mit dem richtigen Vornamen, Bezug auf ein laufendes Projekt, der Anhang sieht aus wie eine Rechnung des Stammlieferanten. Klassische Erkennungsmuster (schlechtes Deutsch, allgemeine Anrede) greifen nicht mehr.

Ransomware mit doppelter Erpressung

Angreifer verschlüsseln nicht mehr nur Daten, sie ziehen sie vorher auch ab und drohen mit Veröffentlichung. Damit reicht das beste Backup allein nicht mehr aus, um eine Erpressung zu beenden. Der reputative Schaden steht im Raum, selbst wenn der Betrieb technisch wieder läuft.

Angriffe über Lieferketten

Ein kompromittierter Dienstleister, ein gehackter Cloud-Anbieter, eine unsaubere Software-Aktualisierung beim Lohnbüro: All das landet in Ihrem System, ohne dass Sie selbst etwas falsch gemacht haben. Die Sicherheit Ihrer Partner ist Teil Ihrer eigenen Sicherheit.

Diese drei Muster sind keine Theorie. Sie sind die Realität, in der mittelständische Betriebe in Bremen und Niedersachsen heute arbeiten.

Welche Maßnahmen wirklich Schutz bringen

IT-Sicherheit muss kein Sammelsurium aus zehn isolierten Einzellösungen sein. Sechs aufeinander abgestimmte Bausteine schließen die häufigsten Angriffswege. Wir setzen sie im Rahmen unserer IT-Sicherheits-Lösungen für Mittelständler im Nordwesten regelmäßig auf.

Firewall und Netzwerkschutz. Wir setzen ausschließlich Firewall-Hersteller aus Deutschland ein. Der Grund ist nicht patriotisch, sondern technisch: Bei Produkten aus dem außereuropäischen Ausland lässt sich nicht zweifelsfrei ausschließen, dass Hintertüren in der Firmware liegen. Bei deutschen Lösungen ist das transparent geprüft und DSGVO-konform dokumentiert.
Endpoint-Schutz und EDR. Klassischer Virenschutz erkennt nur bekannte Bedrohungen. Moderne EDR-Lösungen analysieren das Verhalten der Endgeräte und stoppen verdächtige Aktivitäten, bevor sie Schaden anrichten. Wenn ein Programm anfängt, hunderte Dateien zu verschlüsseln, schlägt das System Alarm und beendet den Vorgang.
Mail-Security und revisionssichere Archivierung. Die meisten Angriffe beginnen mit einer E-Mail. Ein vorgelagertes Filtersystem fängt Phishing, Spoofing und Schadsoftware ab, bevor sie im Posteingang landen. Eine revisionssichere Mailarchivierung erfüllt parallel gesetzliche Anforderungen aus Steuerrecht und Handelsrecht.
Strukturierte Backup-Strategie mit Tests. Ein Backup, das nie wiederhergestellt wurde, ist kein Backup. Wir bauen Backups in mehreren Stufen auf, mit mindestens einer Offline- oder versionierten Kopie, die gegen Ransomware geschützt ist. Regelmäßige Wiederherstellungstests sind Teil der Betreuung.
Sicherheitskonzept und Risikoanalyse. Technische Maßnahmen wirken nur, wenn sie zur Gesamtlage des Betriebs passen. Wir analysieren bestehende Infrastruktur, bewerten Risiken priorisiert und erstellen ein abgestimmtes Sicherheitskonzept, das die wichtigsten Lücken zuerst schließt.
Awareness und menschliche Firewall. Mitarbeitende sind kein Risiko, sondern ein Schutzwall, wenn sie wissen, worauf sie achten müssen. Eine kurze, regelmäßige Schulung sensibilisiert für die typischen Muster, ohne das Team zu überfordern. In unserer Praxis bezeichnen wir dieses Element als die menschliche Firewall.

Warum lokale Sicherheits-Betreuung im Nordwesten zählt

IT-Sicherheit ist kein Produkt, das man einmal kauft. Sie ist ein laufender Prozess aus Monitoring, Updates, Tests, Anpassungen und im Ernstfall schneller Reaktion. Gerade beim letzten Punkt wird regionale Nähe konkret.

Wenn nachts um zwei eine kritische Lücke ausgenutzt wird und ein Server kompromittiert ist, hilft Ihnen keine Hotline im Ausland. Sie brauchen einen Ansprechpartner, der Ihren Betrieb kennt, der morgens vor Ort sein kann, der die Strukturen und die Verantwortlichkeiten in Ihrem Haus auswendig weiß.

Aus Bremen heraus betreuen wir Mittelständler im Radius von rund 70 Kilometern direkt vor Ort, in Niedersachsen ebenso wie in den umliegenden Landkreisen. Remote-Betreuung läuft überregional, technische Vor-Ort-Einsätze gehören in den Stunden- und nicht in den Tagesbereich. 180 Minuten Reaktionszeit und eine 365-Tage-Erreichbarkeit sind dabei kein Werbeversprechen, sondern Servicestandard.

NIS-2 und regulatorische Pflichten

Mit der NIS-2-Richtlinie hat die EU die regulatorischen Anforderungen an IT-Sicherheit deutlich erhöht. Sie gilt unmittelbar für „wesentliche“ und „wichtige“ Einrichtungen aus bestimmten Sektoren ab definierten Größenklassen.

Für viele Mittelständler in Bremen und Niedersachsen heißt das in der Praxis: entweder direkt betroffen oder über die Lieferkette indirekt verpflichtet, weil größere Kunden Sicherheitsanforderungen weitergeben. In Bremens Hafenlogistik, im Lebensmittelmittelstand und in der niedersächsischen Industrie ist das längst Realität.

Auf rechtlicher Ebene gehört die Detailbewertung in die Hände spezialisierter Juristen. Auf technischer Ebene unterstützen wir bei der Bewertung des aktuellen Sicherheitsniveaus, der Identifikation kritischer Systeme, der Umsetzung technischer Schutzmaßnahmen und einer strukturierten Dokumentation.

In drei Schritten zu einer belastbaren Sicherheitsstrategie

Sicherheit im Mittelstand muss nicht groß gedacht werden. Sie muss richtig geordnet werden. Wir arbeiten in drei Phasen.

Sicherheits-Check. Wir nehmen den aktuellen Stand auf: Mail-Sicherheit, Endgeräte, Remote-Zugänge, Backup-Konzept, Berechtigungen, Patch-Status. Sie erhalten ein ehrliches Lückenpapier, das zwischen kritisch, mittel und strategisch unterscheidet.
Priorisierung nach Risiko. Aus dem Check entsteht eine klare Reihenfolge: Welche Maßnahmen schließen sofort die größten Lücken? Welche stabilisieren mittelfristig? Welche sind strategisch sinnvoll, aber nicht akut?
Schrittweise Umsetzung und laufende Betreuung. Maßnahmen werden so umgesetzt, dass der Betrieb nicht beeinträchtigt wird. Anschließend übernehmen wir Monitoring, Updates und regelmäßige Sicherheitsprüfungen im Rahmen der laufenden IT-Betreuung. Sicherheit bleibt damit auf einem definierten Niveau, statt langsam zu verfallen.