ZANONI Consulting GmbH

IT-Systemhaus in Bremen: Woran Sie ein gutes erkennen

Fb-zanoni-consulting.de — Mon, 17 Aug 2026 10:10:59 +0000

Wer in Bremen nach einem IT-Systemhaus sucht, bekommt eine unübersichtliche Liste: Konzerntöchter mit Niederlassung, überregionale Anbieter mit Bremer Adresse, inhabergeführte Betriebe mit sechs Leuten und dazwischen mehrere Vergleichsportale, die selbst gar keine IT betreiben, sondern Anfragen weitervermitteln.

Von außen sieht das alles ähnlich aus. Die Websites versprechen dasselbe. Der Unterschied zeigt sich erst im Vertrag und im ersten Ernstfall.

Dieser Beitrag klärt drei Dinge: Was ein Systemhaus überhaupt von einem IT-Dienstleister unterscheidet. Welche vier Fragen im Erstgespräch die Spreu vom Weizen trennen. Und welche Art von Anbieter zu welcher Art von Betrieb passt, einschließlich der Fälle, in denen ein Konzernanbieter die bessere Wahl ist als wir.

Was unterscheidet ein IT-Systemhaus von einem IT-Dienstleister?

Ein IT-Systemhaus plant, liefert und betreibt komplette IT-Umgebungen: Hardware, Software, Netzwerk, Server, Sicherheit und den laufenden Betrieb aus einer Hand. Ein IT-Dienstleister im engeren Sinn übernimmt einzelne Leistungen, häufig Support und Wartung. Der Unterschied liegt in der Tiefe der Verantwortung, nicht in der Firmierung.

Geschützt ist keiner der beiden Begriffe. Jeder darf sich Systemhaus nennen. In der Praxis haben sich drei Rollen herausgebildet, die sich überlappen:

Klassisches Systemhaus

Das klassische Systemhaus kommt aus dem Projektgeschäft. Es plant Infrastrukturen, beschafft Hardware und Lizenzen, setzt um und schult. Der Umsatz entsteht überwiegend über Projekte und Handelsware.

IT-Dienstleister

Der IT-Dienstleister übernimmt Betrieb und Support, oft nach Aufwand abgerechnet. Er reagiert auf Störungen und arbeitet Tickets ab.

Managed Service Provider

Der Managed Service Provider verkauft den Betrieb als Abo mit festem Leistungsumfang und festem Preis. Er hat ein wirtschaftliches Interesse daran, dass wenig kaputtgeht, weil zusätzliche Einsätze seine Marge kosten.

Diese letzte Unterscheidung ist die wichtigste, und sie hat nichts mit dem Namen zu tun, sondern mit dem Abrechnungsmodell.

Warum das Abrechnungsmodell mehr verrät als das Firmenschild

Fragen Sie sich bei jedem Angebot: Wer verdient woran, wenn etwas nicht funktioniert?

Bei Abrechnung nach Aufwand verdient der Anbieter an jeder Störung. Das unterstellt niemandem böse Absicht, aber es fehlt der Anreiz, die Ursache zu beseitigen. Wir sehen in Übernahmen regelmäßig Betriebe, bei denen dasselbe Problem seit Jahren alle paar Wochen zurückkommt, jedes Mal schnell behoben, nie abgestellt.

Bei einer Pauschale mit definiertem Leistungsumfang dreht sich der Anreiz um. Stabilität wird zum Geschäftsinteresse des Anbieters. Das ist der Grund, warum wir mit festen Monatspreisen arbeiten und nicht mit Stundenkontingenten.

Ein gutes Systemhaus deckt heute alle drei Rollen ab: Es kann ein Projekt planen und umsetzen, es kann den Betrieb übernehmen, und es rechnet den laufenden Teil planbar ab. Wer nur eine der drei Rollen beherrscht, ist deshalb nicht schlecht. Er passt nur zu einer engeren Auswahl an Betrieben.

Vier Fragen für das Erstgespräch

Die üblichen Auswahlkriterien stehen in jedem Ratgeber. Diese vier Fragen stehen nirgends, weil sie unangenehm sind. Genau deshalb sind sie brauchbar. Ein Anbieter, der alle vier ruhig und konkret beantwortet, hat seine Hausaufgaben gemacht.

1. Steht die Reaktionszeit im Vertrag oder nur auf der Website?

Fast jedes Systemhaus wirbt mit schneller Reaktion. Entscheidend ist, ob daraus eine Verpflichtung wird. Lassen Sie sich die Stelle im Vertrag zeigen, an der die Zeit steht.

Klären Sie dabei drei Punkte, die in der Praxis oft auseinanderfallen:

Worauf bezieht sich die Zeit? Auf die erste Rückmeldung oder auf den Beginn der Bearbeitung? Zwischen beidem können Stunden liegen.
Wann läuft die Uhr? Nur innerhalb der Servicezeiten oder auch danach? Eine Zusage von vier Stunden nützt wenig, wenn die Störung um 16:45 Uhr auftritt und die Servicezeit um 17:00 Uhr endet.
Gilt sie für alle Störungen oder nur für kritische? Und wer entscheidet, was kritisch ist, Sie oder der Anbieter?

Zur Einordnung: ZANONI sichert eine Reaktionszeit von unter 180 Minuten zu, bei Servicezeiten von Montag bis Freitag zwischen 8:30 und 17:00 Uhr und Erreichbarkeit an 365 Tagen im Jahr.

Ob 180 Minuten für Ihren Betrieb ausreichen, hängt davon ab, was eine Stunde Stillstand bei Ihnen kostet. Diese Zahl sollten Sie kennen, bevor Sie verhandeln. In vielen Betrieben liegt sie höher, als die Geschäftsführung vermutet.

2. Wer haftet, wenn Daten verloren gehen?

Das ist die Frage, bei der Erstgespräche interessant werden. Die meisten Anbieter begrenzen ihre Haftung in den AGB, was üblich und rechtlich zulässig ist. Sie sollten nur wissen, worauf Sie sich einlassen.

Fragen Sie konkret nach:

Wie ist die Haftung begrenzt? Häufig auf Vorsatz und grobe Fahrlässigkeit, oft zusätzlich der Höhe nach, etwa auf den Jahresauftragswert.
Besteht eine IT-Haftpflicht- oder Vermögensschadenhaftpflichtversicherung, und mit welcher Deckungssumme? Eine Haftungszusage ohne dahinterliegende Versicherung ist im Schadensfall wenig wert.
Wer ist für das Backup verantwortlich, und wer prüft, dass es funktioniert? Hier entstehen die meisten Missverständnisse. Der Anbieter richtet das Backup ein, der Kunde geht davon aus, dass es läuft, und niemand testet die Wiederherstellung. Lassen Sie sich zeigen, wie oft ein Rückspielen getestet wird und wo das dokumentiert ist.
Liegt ein Auftragsverarbeitungsvertrag vor? Sobald ein Dienstleister Zugriff auf personenbezogene Daten hat, ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich. Wenn ein Anbieter bei dieser Frage zögert, ist das ein Signal.

Ein seriöser Anbieter wird Ihnen keine unbegrenzte Haftung zusagen. Das kann und wird niemand. Er wird Ihnen aber genau erklären, wo die Grenze liegt, und er wird die Backup-Frage nicht wegmoderieren.

3. Wie dokumentiert der Anbieter, und bekommen Sie Zugriff?

Eine IT-Dokumentation umfasst Netzpläne, Konfigurationen, Zugangsdaten, Lizenzen und Vertragslaufzeiten. Ohne sie ist jede Störungsbehebung Rekonstruktionsarbeit, und jeder Anbieterwechsel wird teuer.

Die entscheidende Frage ist aber nicht, ob dokumentiert wird, sondern wem die Dokumentation zugänglich ist. Wenn sie ausschließlich beim Systemhaus liegt und nicht herausgegeben wird, hängt Ihre Handlungsfähigkeit an dessen Bereitschaft zur Zusammenarbeit. In einem Streitfall ist das eine schwierige Position.

Bei ZANONI kann jeder Kunde einen eigenen Zugang zur Dokumentation seines Betriebs erhalten und jederzeit einsehen, welche Systeme wie eingerichtet sind.

Reaktion beobachten: Wer auf diese Frage souverän reagiert, hat sauber gearbeitet. Wer ausweicht oder erklärt, das sei „im Kopf der Techniker“, baut Ihnen eine Abhängigkeit auf, die Sie erst beim Wechsel bemerken.

4. Was passiert bei einer Kündigung?

Diese Frage im ersten Gespräch zu stellen, wirkt unhöflich. Sie ist trotzdem die aussagekräftigste, weil sie das Geschäftsmodell offenlegt.

Auf wen sind Lizenzen und Domains ausgestellt? Auf Ihren Betrieb oder auf das Systemhaus? Lizenzen, die dem Anbieter gehören, können Sie nicht mitnehmen.
Wem gehören die Zugangsdaten zu Ihren Systemen? Und bekommen Sie sie vollständig?
Wird die Dokumentation herausgegeben, und in welcher Form? Ein PDF-Export reicht meist nicht.
Gibt es eine geregelte Übergabephase? Ein guter Anbieter arbeitet auch beim Abschied noch professionell.
Wie lang sind Kündigungsfristen und Mindestlaufzeiten? Und was passiert mit laufenden Projekten?

Wir haben in über 100 Betriebsübernahmen gesehen, wie die Gegenseite aussieht: Zugangsdaten, die nicht herausgegeben wurden, Lizenzen auf den Namen des alten Dienstleisters, gewachsene Eigenbauten, die niemand außer dem Erbauer verstand. Wie eine strukturierte Übergabe stattdessen abläuft, steht im Beitrag zum Wechsel des IT-Dienstleisters.

Ein guter Partner baut Ihre IT so auf, dass ein anderer sie übernehmen könnte. Das klingt in einem Text eines Systemhauses widersinnig, ist aber der ehrlichste Prüfstein, den es gibt.

Die Bremer Anbieterlandschaft, ehrlich sortiert

Im Raum Bremen treffen Sie auf fünf Arten von Anbietern. Jede hat ihre Berechtigung, und jede passt zu einer bestimmten Art von Betrieb.

Konzernanbieter mit Bremer Standort

Große Häuser wie Bechtle betreiben in Bremen eigene Standorte. Sie bringen mit, was ein regionaler Anbieter nicht leisten kann: Zugriff auf nahezu jeden Hersteller, eigene Fachabteilungen für Spezialthemen, internationale Präsenz und Strukturen, die auch eine Ausschreibung im öffentlichen Sektor bedienen.

Wann ein Konzernanbieter die bessere Wahl ist:

Ihr Unternehmen hat Standorte in mehreren Ländern und braucht einheitliche Betreuung über Grenzen hinweg.
Sie sind Teil eines Konzerns, dessen Rahmenverträge einen bestimmten Anbieter vorgeben.
Sie benötigen Spezialwissen, das ein Team von sechs bis fünfzehn Personen nicht vorhalten kann, etwa SAP-Basisbetrieb, große Storage-Landschaften oder hochspezialisierte Industrieanwendungen.
Sie schreiben öffentlich aus und brauchen formale Nachweise, die kleine Anbieter oft nicht liefern können.
Sie beschaffen Hardware in Stückzahlen, bei denen Einkaufskonditionen den Ausschlag geben.

Das ist keine Höflichkeitsfloskel. In diesen Fällen sind wir das falsche Haus, und wir sagen das auch im Erstgespräch.

Wo die Grenzen liegen: Mittelständische Kunden berichten regelmäßig von wechselnden Ansprechpartnern, langen Eskalationswegen und davon, dass ein Betrieb mit 40 Arbeitsplätzen in einer Konzernstruktur nicht die Aufmerksamkeit bekommt, die er im Alltag braucht.

Überregionale Systemhäuser mit Bremer Niederlassung

Anbieter mit Hauptsitz in Berlin, Hamburg oder dem Ruhrgebiet unterhalten in Bremen Niederlassungen. Die Mischung kann gut funktionieren, weil überregionale Kapazität mit lokaler Präsenz zusammenkommt.

Prüfen Sie zwei Punkte: Wie viele Techniker sitzen tatsächlich in Bremen, und wo werden Entscheidungen getroffen? Eine Adresse im Impressum ist noch kein Standort. Fragen Sie im Erstgespräch nach der Teamgröße vor Ort und danach, wer bei einem Vor-Ort-Notfall am Samstag kommt.

Regionale, inhabergeführte Systemhäuser

Die Gruppe, zu der auch ZANONI gehört. Typischerweise fünf bis dreißig Personen, Inhaber operativ im Geschäft, Kundenstamm im Umkreis von 50 bis 100 Kilometern.

Wofür diese Gruppe steht: kurze Entscheidungswege, feste Ansprechpartner, Vor-Ort-Präsenz innerhalb von Stunden statt Tagen, und ein Verständnis für die Realität eines Mittelständlers, weil der Anbieter selbst einer ist.

Wo Sie genau hinschauen sollten: Bei kleinen Teams stellt sich die Frage der Abdeckung. Was passiert bei Urlaub, Krankheit oder wenn zwei Notfälle gleichzeitig auftreten? Lassen Sie sich die Vertretungsregelung konkret erklären. Bei einem Team von unter fünf Personen ist das ein echtes Risiko, das Sie kennen sollten.

Einzelkämpfer und kleine IT-Dienstleister

Ein bis drei Personen, oft technisch stark, häufig günstig. Für kleine Büros mit zehn Arbeitsplätzen und überschaubarer Infrastruktur kann das genau richtig sein.

Ab einer gewissen Betriebsgröße wird es zum Klumpenrisiko. Fällt die eine Person aus, steht Ihre IT ohne Ansprechpartner da, oft ohne Dokumentation, an die jemand anders herankommt. Wir haben mehrere solcher Situationen übernommen. Sie sind aufwendig, weil erst rekonstruiert werden muss, was vorhanden ist.

Vergleichsportale und Vermittler

Ein Teil der Treffer bei der Suche nach einem Systemhaus in Bremen sind gar keine Anbieter. Es sind Portale, die Ihre Anfrage aufnehmen und an Partnerbetriebe weiterleiten, meist gegen Provision.

Das ist nicht unseriös, Sie sollten es nur wissen. Wenn Sie dort eine Anfrage stellen, geben Sie Ihre Daten nicht an ein Systemhaus, sondern an einen Vermittler. Wer bei Ihnen anruft, ist nicht das Ergebnis einer fachlichen Auswahl, sondern eines Vertriebsvertrags. Erkennbar sind solche Seiten meist daran, dass sie keine Adresse eines Technikstandorts nennen und über auffällig viele Städte gleichzeitig ranken.

Die Größenfrage: Passt der Anbieter zu Ihrer Betriebsgröße?

Als grobe Orientierung, mit allen Unschärfen einer Faustregel:

Bis etwa 15 Arbeitsplätze: Ein kleiner lokaler Dienstleister reicht oft aus, sofern Dokumentation und Vertretung geklärt sind.

15 bis 150 Arbeitsplätze: Der Bereich, in dem regionale Systemhäuser ihre Stärke ausspielen. Genug Struktur für Vertretung und Spezialisierung, klein genug für feste Ansprechpartner und kurze Wege.

Ab 150 Arbeitsplätzen oder mehreren Standorten: Hier lohnt der Vergleich zwischen einem größeren regionalen Anbieter und einem Konzernhaus. Häufig entsteht eine Mischform mit interner Koordination und externem Betrieb.

Arbeitsplätze	Orientierung	Passendes Modell
Bis ca. 15	Überschaubarer IT-Bedarf	Kleiner lokaler Dienstleister, sofern Dokumentation und Vertretung geklärt sind
15–150	Mehr Struktur und Spezialisierung erforderlich	Regionales Systemhaus mit festen Ansprechpartnern und Vertretung
Ab ca. 150	Höhere Komplexität, oft mehrere Standorte	Größerer regionaler Anbieter oder Konzernhaus, häufig ergänzt durch interne IT-Koordination

Wichtiger als die Zahl ist die Frage, wie stark Ihr Betrieb von der IT abhängt. Ein Ingenieurbüro mit 40 Leuten und rechenintensiven Arbeitsplätzen braucht mehr als ein Handelsbetrieb derselben Größe.

Häufige Fragen

Ist ein IT-Systemhaus dasselbe wie ein Managed Service Provider?

Externe IT-Abteilung: Wann sich der Schritt lohnt und wann nicht

Fb-zanoni-consulting.de — Mon, 17 Aug 2026 08:25:23 +0000

Irgendwann kommt in jedem wachsenden Betrieb der Moment, in dem die IT nicht mehr nebenbei läuft. Der Kollege, der sich „ein bisschen auskennt“, kommt nicht mehr hinterher. Die Frage, die dann auf dem Tisch liegt, lautet fast immer gleich: Stellen wir jemanden ein, oder geben wir das nach außen?

Beides kann richtig sein. Was die Entscheidung erschwert, ist, dass die ehrlichen Zahlen selten auf dem Tisch liegen. Dieser Beitrag legt sie offen: was eine eigene Stelle tatsächlich kostet, ab welcher Betriebsgröße sich das dreht, woran Sie eine externe IT-Abteilung von einem reinen Support-Vertrag unterscheiden und in welchen Fällen Sie um eigene Leute nicht herumkommen.

Was ist eine externe IT-Abteilung?

Eine externe IT-Abteilung übernimmt die Aufgaben, die sonst eine interne IT-Stelle erledigt: Betrieb, Wartung, Support, Sicherheit, Beschaffung und Planung. Der Unterschied zum klassischen IT-Dienstleister liegt in der Verantwortung. Ein Dienstleister reagiert auf Tickets. Eine externe Abteilung ist für den Zustand der IT zuständig, auch wenn niemand anruft.

Genau an dieser Unterscheidung entscheidet sich, ob der Begriff berechtigt ist. Viele Anbieter nennen ihr Support-Paket „externe IT-Abteilung“, liefern aber Störungsbehebung nach Aufwand. Woran Sie den Unterschied erkennen, steht weiter unten.

Ab welcher Mitarbeiterzahl rechnet sich eine externe IT-Abteilung?

Als Faustregel: Bis etwa 25 Arbeitsplätze ist eine eigene Vollzeitstelle kaum auszulasten und selten wirtschaftlich. Zwischen 25 und 80 Arbeitsplätzen ist die externe Lösung in den meisten Betrieben im Vorteil. Ab etwa 80 bis 100 Arbeitsplätzen wird eine eigene Stelle rechnerisch tragfähig, meist als Mischform mit externer Unterstützung.

Diese Zahlen sind Größenordnungen, keine Grenzwerte. Ein Ingenieurbüro mit 40 Leuten und drei CAD-Arbeitsplätzen hat einen völlig anderen IT-Bedarf als ein Pflegedienst mit 40 Leuten an sechs Standorten. Entscheidend ist nicht die Kopfzahl, sondern wie stark der Betrieb von der IT abhängt. Trotzdem lohnt sich die Rechnung, weil sie die eine Zahl liefert, um die sich alles dreht.

Was eine eigene IT-Stelle wirklich kostet

Das Bruttogehalt ist der kleinere Teil der Rechnung. Nach Daten von GEHALT.de liegt das mittlere Bruttogehalt für System- und Netzwerkadministratoren in Deutschland bei rund 4.000 Euro im Monat, in Bremen bei etwa 3.914 Euro. In Unternehmen mit weniger als 100 Mitarbeitenden sind es im Schnitt rund 44.500 Euro im Jahr.

Dazu kommen die Arbeitgeberanteile zur Sozialversicherung mit rund 21 Prozent. Aus 45.000 Euro Bruttogehalt werden so etwa 54.000 Euro Personalkosten. Rechnen Sie Arbeitsplatz, Fahrzeug oder Fahrtkosten, Weiterbildung, Zertifizierungen und Fachlizenzen dazu, landen Sie realistisch bei 62.000 bis 72.000 Euro im Jahr. Das sind rund 5.200 bis 6.000 Euro im Monat für eine Person.

Wer erfahrene Leute sucht, zahlt mehr. Ab neun Jahren Berufserfahrung liegt das Mediangehalt bereits bei etwa 53.300 Euro. Und im aktuellen Bewerbermarkt bekommt ein mittelständischer Betrieb in Bremen einen guten Administrator selten zum Durchschnittspreis.

Das Verfügbarkeitsproblem, über das selten gesprochen wird

Eine Person ist eine Person. Bei 30 Tagen Urlaub, durchschnittlichen Krankheitstagen und Weiterbildungszeiten bleiben von 365 Tagen etwa 210 bis 220 Arbeitstage. An den übrigen Tagen ist die IT unbesetzt.

Das ist kein theoretisches Problem. Der Serverausfall kommt nicht mit Rücksicht auf den Urlaubsplan. Wer eine einzelne Stelle besetzt, kauft Fachwissen, aber keine Abdeckung. Und er kauft das Wissen genau einer Person: Was sie nicht kann, kann der Betrieb nicht. Firewall, Microsoft 365, Backup-Strategie, Netzwerk, Virtualisierung, Datenschutz und Endgeräteverwaltung deckt kaum jemand allein auf gutem Niveau ab.

Ein externes Team verteilt beides. Bei ZANONI arbeiten sechs Personen, jede mit eigenen Schwerpunkten. Wer bei uns anruft, bekommt die Person, die das Thema am besten kennt, und nicht die, die gerade da ist.

Die Rechnung, die Sie selbst aufmachen können

Stellen Sie zwei Zahlen nebeneinander:

Links: die Vollkosten einer eigenen Stelle, also Bruttogehalt plus 21 Prozent Arbeitgeberanteil plus Arbeitsplatz, Weiterbildung und Lizenzen.

Rechts: das Angebot für eine externe Betreuung, hochgerechnet auf zwölf Monate, plus die Projekte, die Sie im kommenden Jahr ohnehin vorhaben.

Wenn die rechte Zahl kleiner ist, ist die Sache klar. Wenn sie ähnlich groß ist, entscheidet die Verfügbarkeit: Auf der linken Seite bekommen Sie eine Person an 220 Tagen. Auf der rechten ein Team an 365. Erst wenn die linke Seite deutlich kleiner ist, weil Ihr Betrieb so IT-intensiv arbeitet, dass eine Person durchgehend ausgelastet wäre, spricht die Rechnung für die eigene Stelle.

Woran Sie eine echte externe IT-Abteilung erkennen

Der Begriff ist nicht geschützt. Vier Punkte trennen eine externe Abteilung von einem Support-Vertrag mit gutem Namen. Fragen Sie sie im Erstgespräch konkret ab.

Feste Ansprechpartner statt Hotline

Sie brauchen Leute, die Ihren Betrieb kennen. Wer bei jedem Anruf von vorne erklären muss, wie die Standorte verkabelt sind und welche Software in der Buchhaltung läuft, verliert bei jeder Störung dieselben zwanzig Minuten. Eine externe Abteilung hat einen festen Ansprechpartner und mindestens eine Vertretung, die den Betrieb ebenfalls kennt.

Die Frage dazu: Wer ist bei uns zuständig, und wer springt ein, wenn diese Person im Urlaub ist?

Dokumentation, auf die Sie selbst zugreifen können

Eine gepflegte IT-Dokumentation ist die Grundlage von allem: Netzpläne, Zugangsdaten, Lizenzen, Vertragslaufzeiten, Konfigurationen. Ohne sie ist jeder Handgriff Rekonstruktion.

Entscheidend ist die zweite Hälfte: Sie muss Ihnen zugänglich sein. Wenn die gesamte Dokumentation ausschließlich beim Dienstleister liegt, hängt Ihre Handlungsfähigkeit an dessen Wohlwollen. Bei ZANONI kann jeder Kunde einen eigenen Zugang zur Dokumentation seines Betriebs bekommen und jederzeit einsehen, was wie eingerichtet ist.

Die Frage dazu: Bekomme ich Zugriff auf die Dokumentation meines eigenen Betriebs?

Reaktionszeiten, die im Vertrag stehen

„Wir melden uns schnell“ ist keine Zusage. Eine Reaktionszeit gehört in den Vertrag, mit einer Zahl und mit der Angabe, worauf sie sich bezieht: auf die erste Rückmeldung oder auf den Beginn der Bearbeitung.

ZANONI arbeitet mit einer Reaktionszeit von unter 180 Minuten, bei Servicezeiten von Montag bis Freitag zwischen 8:30 und 17:00 Uhr und Erreichbarkeit an 365 Tagen im Jahr. Ob eine Zusage zu Ihrem Betrieb passt, hängt davon ab, was eine Stunde Stillstand bei Ihnen kostet. Diese Zahl sollten Sie kennen, bevor Sie über Reaktionszeiten verhandeln.

Die Frage dazu: Welche Reaktionszeit steht im Vertrag, und was passiert, wenn sie überschritten wird?

Übergabefähigkeit von Anfang an

Das klingt paradox in einem Text eines IT-Dienstleisters, ist aber der ehrlichste Prüfstein: Ein guter Partner richtet Ihre IT so ein, dass ein anderer sie übernehmen könnte. Standardisierte Lösungen statt Eigenbauten, saubere Dokumentation, Lizenzen auf Ihren Namen, Zugänge, die Ihnen gehören.

Wir haben in über 100 Betriebsübernahmen die Gegenseite gesehen: gewachsene Konstruktionen, die nur einer verstand, Lizenzen auf den Dienstleister ausgestellt, Zugangsdaten, die nicht herausgegeben wurden. Wer so arbeitet, bindet Kunden über Abhängigkeit statt über Leistung. Wie eine saubere Übergabe abläuft, haben wir im Beitrag zum Wechsel des IT-Dienstleisters beschrieben.

Die Frage dazu: Auf wen sind unsere Lizenzen ausgestellt, und was bekommen wir bei einer Kündigung mit?

Wann Sie trotzdem eigene IT-Kräfte brauchen

Es gibt Konstellationen, in denen eine rein externe Lösung nicht trägt. Vier Fälle sehen wir regelmäßig.

Tief integrierte Branchensoftware. Wenn ein ERP- oder Warenwirtschaftssystem den gesamten Betriebsablauf abbildet und laufend an Prozesse angepasst wird, brauchen Sie jemanden im Haus, der die Prozesse kennt. Das ist keine IT-Aufgabe im engeren Sinn, sondern Anwendungsbetreuung. Sie lässt sich schwer von außen leisten, weil das Wissen aus dem Tagesgeschäft kommt.

Produktion und Maschinensteuerung. Sobald Anlagen, Steuerungen oder Schichtbetrieb im Spiel sind, entstehen Anforderungen, die über klassische Büro-IT hinausgehen. Häufig ist auch außerhalb der üblichen Servicezeiten jemand nötig. Hier ist ein interner Kern sinnvoll, ergänzt durch externe Spezialisten für Netzwerk, Sicherheit und Server.

Eigene Softwareentwicklung. Wer selbst entwickelt, braucht Entwicklungs- und Betriebswissen im Haus. Das ist ein anderes Berufsbild als IT-Betreuung und wird auch von guten Systemhäusern nicht abgedeckt.

Vorgaben von Konzernmutter oder Auftraggebern. Manche Konzernstrukturen oder Ausschreibungsbedingungen verlangen interne Zuständigkeiten für bestimmte Bereiche. Das ist selten verhandelbar.

Der häufigste Endzustand ist die Mischform

In mittelständischen Betrieben ab etwa 100 Mitarbeitenden entsteht in der Praxis meist kein Entweder-oder, sondern eine Aufteilung. Intern sitzt eine Person, die den Betrieb und seine Prozesse kennt, Anwenderfragen aufnimmt und Projekte koordiniert. Extern liegt der technische Unterbau: Server, Netzwerk, Sicherheit, Backup, Rufbereitschaft und die Themen, für die sich eine eigene Spezialisierung nicht lohnt.

Diese Aufteilung ist häufig günstiger als beide reinen Modelle. Der interne Kopf muss kein Vollprofi in allen Disziplinen sein, was die Stelle besetzbar macht. Und Sie zahlen extern nur für das, was Spezialwissen erfordert.

Häufige Fragen

Ist eine externe IT-Abteilung teurer als eine eigene Stelle?

NIS2 im Mittelstand: Wer betroffen ist und was jetzt zu tun ist

Fb-zanoni-consulting.de — Fri, 14 Aug 2026 15:21:51 +0000

Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Damit ist die Diskussion darüber, ob und wann es kommt, beendet. Die Frage lautet jetzt: Gilt es für uns, und was heißt das konkret?

Viele Geschäftsführer im Mittelstand haben diese Frage bis heute nicht beantwortet. Das liegt weniger an Nachlässigkeit als an der Darstellung des Themas. Der Gesetzestext arbeitet mit Anlagen, Verweisen auf EU-Richtlinien und Schwellenwerten, die sich nicht in zwei Sätzen zusammenfassen lassen.

Dieser Beitrag macht daraus vier Prüfschritte. Danach wissen Sie, ob Sie gemeint sind. Anschließend geht es um den Punkt, den fast alle übersehen: Auch Betriebe, die nicht unter das Gesetz fallen, bekommen die Anforderungen über ihre Kunden auf den Tisch.

Schritt 1: Arbeitet Ihr Betrieb in einem der erfassten Sektoren?

Das Gesetz gilt nicht für die Wirtschaft insgesamt, sondern für aufgezählte Sektoren. Sie stehen in den Anlagen 1 und 2 des BSIG.

Anlage 1, Sektoren mit hoher Kritikalität:

Energie
Transport und Verkehr
Finanz- und Versicherungswesen
Gesundheitswesen
Trinkwasser und Abwasser
Digitale Infrastruktur
Verwaltung von IKT-Diensten
Weltraumtechnik
Öffentliche Verwaltung

Anlage 2, sonstige kritische Sektoren:

Transport und Verkehr in Teilbereichen
Abfallbewirtschaftung
Produktion, Herstellung und Handel mit chemischen Stoffen
Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Verarbeitendes Gewerbe und Herstellung von Waren
Anbieter digitaler Dienste
Forschung

Wenn Ihr Betrieb in keinem dieser Sektoren tätig ist: Sie sind nicht direkt betroffen. Springen Sie zu Schritt 4, der für Sie trotzdem relevant ist.

Wenn Ihr Betrieb in einem dieser Sektoren tätig ist: weiter zu Schritt 2.

Der Punkt, an dem sich viele verrechnen

„Verarbeitendes Gewerbe und Herstellung von Waren“ in Anlage 2 klingt so breit, dass sich jeder Produktionsbetrieb angesprochen fühlt. Der Sektor ist im Gesetz jedoch über konkrete Wirtschaftszweige eingegrenzt. Ein Handwerksbetrieb, der Anlagen montiert und wartet, ist etwas anderes als ein Hersteller von Datenverarbeitungsgeräten oder Medizinprodukten.

Verlassen Sie sich hier nicht auf Ihr Gefühl, sondern auf die Anlage. Und nutzen Sie im Zweifel die Betroffenheitsprüfung des BSI, die weiter unten verlinkt ist.

Schritt 2: Erreicht Ihr Betrieb die Größenschwellen?

Auch innerhalb der erfassten Sektoren gilt das Gesetz nicht für jeden Betrieb. Maßgeblich sind Mitarbeiterzahl, Umsatz und Bilanzsumme nach § 28 BSIG.

Besonders wichtige Einrichtung, wenn eine der beiden Bedingungen erfüllt ist:

mindestens 250 Mitarbeitende, oder
Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro

Wichtige Einrichtung, wenn eine der beiden Bedingungen erfüllt ist:

mindestens 50 Mitarbeitende, oder
Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro

Achten Sie auf das Zusammenspiel von „oder“ und „und“. Bei der Mitarbeiterzahl genügt das Erreichen der Schwelle allein. Bei den Finanzkennzahlen müssen beide Werte überschritten sein.

Unter 50 Mitarbeitende und unter den Finanzschwellen: In der Regel nicht direkt betroffen, sofern kein Sonderfall aus Schritt 3 vorliegt.

Vorsicht bei Konzern- und Verbundstrukturen

Die Werte werden nicht immer nur für die einzelne GmbH gerechnet. Bei verbundenen Unternehmen kann eine Zusammenrechnung nach den EU-Regeln zur Definition kleiner und mittlerer Unternehmen greifen. Ein Betrieb mit 40 Mitarbeitenden, der zu einer größeren Gruppe gehört, kann dadurch in den Anwendungsbereich rutschen. Wer in einer solchen Struktur steckt, sollte das prüfen lassen und sich nicht auf die eigene Kopfzahl verlassen.

Schritt 3: Liegt ein Sonderfall vor, der unabhängig von der Größe gilt?

Einige Einrichtungen sind erfasst, egal wie klein sie sind. Dazu gehören:

Betreiber kritischer Anlagen im Sinne der KRITIS-Regelungen
Anbieter öffentlicher Telekommunikationsnetze und öffentlich zugänglicher Telekommunikationsdienste
Vertrauensdiensteanbieter
DNS-Diensteanbieter und Namensregister für Domänen oberster Stufe

Wenn einer dieser Punkte auf Ihren Betrieb zutrifft, sind Sie unabhängig von Mitarbeiterzahl und Umsatz erfasst.

Schritt 4: Kommen die Anforderungen über Ihre Kunden zu Ihnen?

Das ist der Schritt, der in den meisten Darstellungen fehlt, und für den Bremer Mittelstand der wichtigste.

Zu den Pflichten betroffener Unternehmen gehört die Sicherheit der Lieferkette. Sie müssen die Cybersicherheitspraxis ihrer unmittelbaren Anbieter und Dienstleister bewerten und berücksichtigen. Das BSI formuliert die Konsequenz ungewöhnlich deutlich: Betroffene Einrichtungen können unter Umständen nicht mehr mit jedem Anbieter zusammenarbeiten, ohne Pflichtverstöße zu riskieren.

Für Sie als Zulieferer heißt das: Sie unterliegen dem Gesetz nicht, aber Ihr Kunde muss Ihre Sicherheit nachweisen können. In der Praxis passiert das über Verträge, Fragebögen und Nachweise.

Woran Sie merken, dass es Sie erreicht:

Ein Kunde schickt einen Sicherheitsfragebogen, der deutlich länger ist als früher.
In einer Vertragsverlängerung tauchen neue Klauseln zu Meldepflichten, Mindestmaßnahmen oder Auditrechten auf.
Bei einer Ausschreibung werden Nachweise zur Informationssicherheit verlangt, wo vorher der Preis entschied.
Ein Auftraggeber fragt nach Ihrer Reaktionszeit bei Sicherheitsvorfällen und danach, wen er nachts erreicht.

Wer diese Fragen sauber beantworten kann, gewinnt Aufträge. Wer sie nicht beantworten kann, verliert sie an einen Wettbewerber, der es kann. Das ist der eigentliche wirtschaftliche Hebel von NIS2 für kleinere Betriebe, und er wirkt unabhängig davon, ob das Gesetz für Sie gilt.

Ein Nebeneffekt, den viele unterschätzen: Auch wer seine IT vollständig ausgelagert hat, bleibt selbst verantwortlich. Der Vertrag mit dem Dienstleister verschiebt die Pflicht nicht.

Sonderfall Pflege: Was hier fast überall falsch steht

Weil das Gesundheitswesen in Anlage 1 steht, gehen viele Beiträge davon aus, dass Pflegeeinrichtungen unter NIS2 fallen. Das ist nach Darstellung des BSI nicht der Fall.

Das BSI stellt in seinem Infopaket zum Gesundheitswesen ausdrücklich klar, dass ambulante Pflegedienste, Pflegeheime sowie Einrichtungen der Tages- und Kurzzeitpflege grundsätzlich nicht in den Geltungsbereich des BSIG fallen und eine Registrierung in der Regel nicht notwendig ist. Grund ist der Zuschnitt der zugrunde liegenden EU-Patientenmobilitätsrichtlinie, die Leistungen der Langzeitpflege ausnimmt.

Erfasst sind dagegen Krankenhäuser und bestimmte Gesundheitsdienstleister, etwa Labore, Apotheken und Rettungsdienste, jeweils bei Erreichen der Schwellenwerte oder als Betreiber kritischer Anlagen. Eine Einzelfallprüfung kann nötig sein, wenn medizinische Leistungen einen erheblichen Teil der Tätigkeit ausmachen, was eher auf Hospize zutrifft als auf klassische Pflegeeinrichtungen.

Was das praktisch bedeutet: Wenn Sie ein Pflegeheim betreiben, brauchen Sie sich wegen NIS2 in der Regel nicht zu registrieren. Die Risiken bleiben trotzdem dieselben. Bewohnerdaten, Pflegedokumentation und Abrechnung sind für Angreifer attraktiv, und die Anforderungen aus der DSGVO gelten unverändert. Wir haben die typischen Themen auf unserer Seite zur IT für Pflegeeinrichtungen zusammengefasst.

Lassen Sie sich von keinem Anbieter ein NIS2-Paket verkaufen, ohne dass er Ihnen zeigen kann, warum Sie betroffen sein sollen.

Die Pflichten der Geschäftsleitung

NIS2 verschiebt die Verantwortung ausdrücklich weg von der IT-Abteilung und hin zur Unternehmensleitung. Die Präsidentin des BSI, Claudia Plattner, formuliert es so: Die Richtlinie mache Cybersicherheit zur Chefinnen- und Chefsache.

Die Geschäftsleitung betroffener Einrichtungen muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich zu Fragen der Bewertung und des Managements von Cyberrisiken schulen lassen. Die Schulungspflicht steht in § 38 Absatz 3 BSIG. Das BSI stellt dafür eine eigene Geschäftsleitungsschulung als kostenfreies Dokument bereit.

Das Delegieren an den IT-Dienstleister funktioniert bei der operativen Umsetzung, nicht bei der Verantwortung. Wer als Geschäftsführer unterschreibt, ohne verstanden zu haben, was er unterschreibt, hat die Pflicht nicht erfüllt.

Zur persönlichen Haftung: Nach dem Gesetzgebungsverfahren war vorgesehen, dass die Einrichtung bei Pflichtverletzungen der Geschäftsleitung Ersatzansprüche geltend machen kann und ein Verzicht darauf unwirksam ist. Ob dieser Teil im Wortlaut des verabschiedeten Gesetzes so enthalten ist, sollte im Einzelfall anwaltlich geprüft werden. Fest steht die Pflichtenlage aus Billigung, Überwachung und Schulung.

Was Sie mit vorhandener Technik bereits abdecken

Das Gesetz verlangt in § 30 Absatz 2 BSIG einen Katalog von Risikomanagementmaßnahmen. Für Betriebe mit ordentlich betreuter IT ist ein großer Teil davon bereits vorhanden. Der Aufwand liegt häufig weniger in neuer Technik als im Nachweis.

Was in gut betreuten Betrieben meist schon läuft:

Firewall, Endpoint-Schutz und Mail-Sicherheit
Backups mit definiertem Rhythmus
Zugriffskontrolle über Benutzerkonten und Rechtegruppen
Verschlüsselung bei Übertragung und auf mobilen Geräten
Patch- und Updateprozesse

Was in der Praxis meistens fehlt:

Dokumentation der Maßnahmen. Das Gesetz verlangt nicht nur, dass etwas getan wird, sondern dass es nachvollziehbar ist. Wer alles richtig macht und nichts aufschreibt, erfüllt die Anforderung nicht.
Getestete Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist ein Versprechen, keine Maßnahme. Die Wiederherstellung gehört getestet und protokolliert.
Ein Plan für den Vorfall. Wer wird informiert, wer entscheidet, wer meldet, in welcher Reihenfolge. Das gehört aufgeschrieben und geübt.
Multi-Faktor-Authentifizierung flächendeckend. Häufig für einzelne Dienste aktiv, selten überall, wo sie hingehört.
Sensibilisierung der Mitarbeitenden. Regelmäßig und dokumentiert, nicht einmalig beim Onboarding.
Bewertung der eigenen Lieferanten. Der Punkt, den fast niemand angefangen hat.
Wirksamkeitsprüfung. Ein Verfahren, mit dem Sie feststellen, ob die Maßnahmen tatsächlich wirken.

Der ehrliche Befund: Die technische Investition ist bei ordentlich betreuter IT überschaubar. Der Aufwand steckt in Struktur, Dokumentation und Regelmäßigkeit. Genau deshalb ist NIS2 kein Produkt, das man kauft, sondern eine Arbeitsweise, die man einführt.

Meldepflichten und Registrierung

Registrierung: Betroffene Einrichtungen müssen sich beim BSI registrieren, nach § 33 Absatz 6 BSIG innerhalb von drei Monaten ab Eintritt der Betroffenheit. Die erste Frist nach Inkrafttreten ist inzwischen abgelaufen. Das BSI weist auf seiner Seite ausdrücklich darauf hin, dass noch nicht registrierte Betroffene sich umgehend registrieren sollen. Der Weg führt über ein ELSTER-Organisationszertifikat und das BSI-Portal.

Meldung von Sicherheitsvorfällen in drei Stufen:

Innerhalb von 24 Stunden nach Kenntnis: frühe Erstmeldung mit vorläufiger Einschätzung
Innerhalb von 72 Stunden nach Kenntnis: Folgemeldung mit Ursache, Schweregrad und Auswirkungen
Innerhalb eines Monats: Abschlussmeldung, oder eine weitere Folgemeldung, falls der Vorfall noch andauert

Die 24-Stunden-Frist ist der Punkt, an dem Betriebe ohne vorbereiteten Ablauf scheitern. Sie beginnt mit der Kenntnis, nicht mit der abgeschlossenen Analyse. Wer erst dann anfängt zu klären, wer meldet und über welchen Zugang, verliert die Frist.

Die offizielle Betroffenheitsprüfung des BSI

Das BSI stellt eine kostenfreie Betroffenheitsprüfung bereit, mit der Sie Ihre Einrichtung einordnen können:

betroffenheitspruefung-nis-2.bsi.de

Das BSI weist selbst darauf hin, dass das Ergebnis unverbindlich ist, keine Rechtsberatung ersetzt und das BSI keine verbindliche Auskunft zur individuellen Betroffenheit gibt. Als erste Orientierung ist das Werkzeug trotzdem der beste Startpunkt, weil es direkt von der zuständigen Behörde kommt.

Häufige Fragen

Seit wann gilt NIS2 in Deutschland?

Wann externe IT-Beratung wirklich Sinn macht – und wann nicht

Fb-zanoni-consulting.de — Wed, 22 Jul 2026 12:46:26 +0000

Externe IT-Beratung ist im Bremer Mittelstand ein zwiespältiges Thema. Viele Geschäftsführer haben schon einmal die Erfahrung gemacht, dass Beratung am Ende doch nur Verkauf war. Andere haben eine interne IT-Abteilung und fragen sich, ob externe Sicht überhaupt sinnvoll ist. Und wieder andere wissen nicht, wo sie mit der Suche überhaupt beginnen sollen.

Romano Zanoni, Geschäftsführer der ZANONI Consulting GmbH, führt seit über 20 Jahren solche Erstgespräche. Im Interview spricht er darüber, wann sich externe Beratung wirklich lohnt, warum sie auch bei interner IT-Abteilung ihren Platz hat, welche Themen mit einem eigenen Team besser lösbar sind, wie ein Erstkontakt bei ZANONI konkret abläuft und worauf ein Bremer Mittelständler bei der Auswahl eines IT-Beraters achten muss.

„Es muss nicht immer gleich die Beauftragung sein" – Romano Zanoni im Interview"

In welchen Situationen ist externe IT-Beratung im Mittelstand wirklich sinnvoll?

Um ehrlich zu sein: fast immer. Viele Unternehmen im Mittelstand wissen gar nicht, was heute möglich ist. Sie haben kein Gefühl dafür, wie weit sie schon wären, wenn sie sich einmal externe Hilfe holen und sich mit dem Thema strukturiert auseinandersetzen würden. Externe IT-Beratung ist aus meiner Sicht eine Essenz dafür, dass ein Unternehmen erfolgreicher wird. Man muss natürlich den richtigen Partner finden und die Beziehung auf Augenhöhe führen. Dann wird ein Unternehmen sich entsprechend weiterentwickeln.

Bei den kleineren Mittelständlern ohne eigene IT-Abteilung ist der Fall eindeutig. Als Inhaber möchte man sich auf sein Geschäft konzentrieren und nicht nebenbei IT machen. Sich einen Partner zu holen, der genau das übernimmt, ist die vernünftigste Entscheidung. In der IT-Beratung ist es allerdings schwierig, den Wert direkt zu greifen, weil viele Unternehmen nicht wissen, was ein Systemhaus im Alltag tatsächlich leistet. Trotzdem: In dieser Konstellation ist externe Beratung immer sinnvoll.

Wichtig ist der Hinweis: Es muss nicht immer gleich die vollständige Beauftragung sein. Ein einzelnes Beratungsgespräch bringt oft schon Klarheit darüber, wo ein Betrieb steht. Wer nur einmal ehrlich hört, was ein Externer zur aktuellen Situation sagt, hat schon eine gute Grundlage für die eigene Entscheidung.

Macht externe IT-Beratung auch dann Sinn, wenn schon eine interne IT-Abteilung vorhanden ist?

Ja, aus zwei Gründen.

Der First- und Second-Level-Support lässt sich mit einer internen IT gut abbilden, wenn ein Mitarbeiter sich damit auseinandersetzt und den eigenen Betrieb kennt. Ich muss hier aber alle Inhaber warnen: Genau hinschauen. Ich war in der Vergangenheit bei größeren Unternehmen selbst in solchen IT-Abteilungen tätig. Ich habe erlebt, dass ein Team von sechs bis acht IT-Mitarbeitenden ein Unternehmen mit rund 5.500 Angestellten betreut hat. Das ist ein grobes Missverhältnis, und die Folge ist immer dieselbe: Die Qualität leidet, Kolleginnen und Kollegen sind unzufrieden, die IT bekommt einen schlechten Ruf. Was aber niemand einer anderen Person im Haus wirklich vorwirft, weil man ja jeden Tag zusammenarbeitet. Bei einem externen Dienstleister wäre das ein sofortiger Prüf- und Handlungsfall.

Was ich also jedem Inhaber empfehle: Prüfen Sie regelmäßig. Gibt es klar definierte IT-Prozesse? Haben Sie Zugriff auf das Ticket-System Ihrer IT? Wie schnell erfolgt eine Rückmeldung, wie lange dauert die Bearbeitung? Diese Faktoren einmal hinzuschreiben und mit den Vollkosten einer eigenen IT (Gehälter inklusive Arbeitgeberbelastung, Bürofläche, Geräte) gegen ein externes Angebot zu halten, führt oft zu einer sehr klaren Antwort. Ein externer Dienstleister hat ein anderes Standing und einen ganz anderen Druck, tatsächlich zu liefern.

Der zweite Grund betrifft die IT-Beratung im engeren Sinne. Auch wenn Sie einen internen IT-Berater beschäftigen, ist er Angestellter. Er hat oft weder die Muße noch die Zeit noch die Aufgabe, sich täglich mit Neuerungen und Entwicklungen auseinanderzusetzen. Er sieht nur seinen Kosmos, seinen einen Betrieb. Ein externer Berater arbeitet täglich mit mehreren IT-Landschaften, mit unterschiedlichen Herausforderungen und mit neuen Entwicklungen. Diese Breite bringt er in Ihren Betrieb mit. Wenn Sie als Inhaber merken „irgendwie kommen wir IT-mäßig nicht wirklich weiter“, ist das der Moment, in dem sich eine externe zweite Meinung lohnt.

Welche Themen sind mit einer internen IT-Abteilung besser lösbar?

Die Frage ist ehrlich beantwortet schwierig. In den internen IT-Abteilungen, die ich selbst als Angestellter erlebt habe, war ich immer weniger zufrieden als bei IT-Dienstleistern. Es gibt aber eine Konstellation, in der interne IT sehr gut funktionieren kann.

Es braucht jemanden in der obersten Etage des Unternehmens, der die Verantwortung für die IT wirklich trägt. Nicht nur ein IT-Leiter, der eingestellt ist, sondern ein Entscheider mit einem echten Auge auf das Thema. Idealerweise mit ein bisschen Technik-Ahnung, aber vor allem mit Entscheidungsbefugnis. Sobald diese Person da ist, kann eine interne IT deutlich effizienter arbeiten, weil sie tief in die Prozesse des Unternehmens hineinschauen kann und keine Reibungsverluste durch externe Kommunikation hat.

Externe Dienstleister sind aus dem gleichen Grund oft so gut: Sie haben einen Inhaber oder Geschäftsführer, der dieses Business gegründet hat und mit der Materie tief verwoben ist. Genau dieses „mit dem Thema wirklich verheiratet sein“ fehlt in vielen internen Konstellationen. Wenn es aber da ist, ist die interne Lösung sehr stark.

Wie sieht ein typischer Erstkontakt aus, wenn ein Bremer Unternehmen das erste Mal über externe Beratung nachdenkt?

In den meisten Fällen kommt der Kontakt zustande, wenn schon Unzufriedenheit im Betrieb herrscht. Der Impuls entsteht selten aus reiner Neugier, sondern weil es klemmt. Der Kunde ruft an oder schreibt eine Mail, und wir vereinbaren ein Erstgespräch. Diese Gespräche führe ich in der Regel selbst.

Wichtig ist mir eines: Bei uns ist das Erstgespräch kostenlos. Inzwischen verlangen einige IT-Unternehmen schon für dieses erste Gespräch Geld und verkaufen es als Beratungsdienstleistung. Ich finde das den falschen Ansatz. Das Erstgespräch sollte offen sein, ohne dass eine große Analyse gefahren wird. Wer viele IT-Landschaften gesehen hat, erkennt die typischen Probleme im Gespräch relativ schnell und kann sie offen ansprechen.

Der Rest des Gesprächs ist dann relativ selbsterklärend. Wir stellen die richtigen Fragen: Wie war die Reaktionszeit beim bisherigen Dienstleister? Wie war die Problemlösung? Wie war die Kommunikation? Wenn wir aus diesen Antworten schon ein klares Bild negativer Erfahrungen bekommen, wissen wir, wo wir ansetzen können.

Falls der Kunde unsicher ist, ob er wechseln oder etwas grundsätzlich ändern will, empfehle ich eine Infrastrukturanalyse. Die ist mit Aufwand verbunden und deshalb nicht kostenfrei, aber wir bieten sie preisgünstig an. Am Ende erhält der Kunde einen ausführlichen Report, in dem er sofort erkennen kann, ob sein jetziger Dienstleister einen guten Job gemacht hat oder nicht. Wir setzen uns dann noch einmal zusammen, gehen den Report gemeinsam durch und zeigen auf, welche Punkte angegangen werden müssten, damit die Infrastruktur einen besseren Score bekommt.

Wenn der Kunde dann in die Zusammenarbeit gehen möchte, gibt es zwei klare Schritte: Zuerst ein einmaliges Projekt, in dem wir die größeren Probleme beheben und die Infrastruktur auf einen aktuellen Stand bringen. Anschließend eine proaktive Wartung zu einem festen monatlichen Fixum. Diese Reihenfolge ist entscheidend, weil eine proaktive Wartung nur dann versprochen werden kann, wenn die Infrastruktur solide ist. Sonst würden wir immer nur alte Probleme hinterher reparieren und stünden nach kurzer Zeit selbst am Pranger.

Worauf sollte man bei der Auswahl eines IT-Beraters in Bremen besonders achten?

Sechs Punkte, die aus unserer Erfahrung wirklich den Unterschied machen.

1. Moderne Außendarstellung. Es gibt tatsächlich IT-Dienstleister ohne eigene Website. Das mag in einer Branche funktionieren, in der jeder ohnehin einen IT-Partner braucht, aber es sagt etwas aus. Wenn sich ein Unternehmen keine Gedanken darüber macht, wie es nach außen wirkt, hat es entweder kein Interesse an weiteren Kunden oder eine Haltung nach dem Motto „Die Leute schlucken eh alles“. Beides ist kein guter Start.

2. Team statt Einzelunternehmer. Ich habe selbst als Einzelkämpfer angefangen und will das nicht generell verurteilen. Aber inzwischen sind wir ein Team von sieben Personen, und ich spüre in Gesprächen immer wieder: Kunden mit einem erfolgreichen Betrieb haben Sorge, ihre Daten und ihre Prozesse einem Solo-Dienstleister anzuvertrauen. Was passiert, wenn dieser eine Person etwas zustößt, wenn er ausfällt, wenn er verkauft? In meinem Netzwerk gab es genau einen solchen Fall, und die Folgen waren erheblich. Ein Team gibt Ihnen Kontinuität und mehrere Ansprechpartner.

3. Produktoffenheit. Ein guter Partner ist offen für Neuerungen, neue Projekte und neue Themen. Wer nur „Schema A oder Schema B“ anbietet und im Gespräch schon erkennen lässt, dass er ausschließlich das eine Produkt aus seiner Schublade verkaufen will, wird Sie langfristig ausbremsen. Prozesse und ein klares Standard-Portfolio sind gut. Nicht über das eigene Portfolio hinaus denken zu können, ist nicht gut.

4. Regionalität. Vieles lässt sich remote lösen, das stimmt. Aber wenn etwas passiert oder ein Vor-Ort-Termin nötig ist, macht ein Dienstleister im gleichen Bundesland einen echten Unterschied bei der Reaktionszeit. Ein IT-Partner im Raum Bremen kann in Stunden vor Ort sein, jemand aus München nicht.

5. Vertragslogik. Diese Frage sollten Sie im Erstgespräch direkt stellen: „Was passiert, wenn wir irgendwann nicht mehr mit euch zusammenarbeiten möchten?“ Ich habe mehrfach erlebt, dass Dienstleister Kunden über Verträge geradezu fesseln. Fünf-Jahres-Knebel-Verträge, aus denen man ohne Anwalt nicht herauskommt. Klären Sie vor der Unterschrift: Gibt es eine frühzeitige Beendigungsmöglichkeit bei Unzufriedenheit? Wie funktioniert der Ausstieg? Am besten schriftlich festhalten. Wer bei dieser Frage schlucken muss, hat kein Interesse an einer Zusammenarbeit auf Augenhöhe, sondern will nur wiederkehrende Einnahmen.

6. Serverstandort und Datenhaltung. Wenn der Dienstleister Ihnen einen Server stellt oder Daten für Sie speichert: Fragen Sie, wo diese Daten physisch liegen. Als Unternehmensinhaber müssen Sie das wissen. Wenn ein Anbieter diese Frage nicht klar beantworten kann, sagt das viel. Bei uns liegt alles im eigenen Rechenzentrum in Bremen. Diese Klarheit sollten Sie überall verlangen.

Wenn Sie in Bremen externe IT-Beratung in Erwägung ziehen

Bei ZANONI Consulting ist das Erstgespräch grundsätzlich kostenlos. Wir hören uns Ihre Situation an, stellen die richtigen Fragen und geben Ihnen eine ehrliche erste Einschätzung, ob externe Unterstützung in Ihrem Fall sinnvoll ist und in welcher Form. Erst wenn Klarheit besteht, sprechen wir über konkrete Schritte wie eine Infrastrukturanalyse, ein Projekt zur Behebung akuter Themen oder eine laufende IT-Betreuung mit festem monatlichem Fixum.

Wir sind ein siebenköpfiges Team im Raum Bremen mit über 20 Jahren IT-Erfahrung, arbeiten produktoffen, betreiben unsere Cloud-Infrastruktur im eigenen Bremer Rechenzentrum und stellen Ihnen faire Verträge ohne Knebel-Klauseln.

IT-Beratung in Bremen: Was Romano Zanoni aus über 100 IT-Übernahmen gelernt hat

Fb-zanoni-consulting.de — Mon, 20 Jul 2026 11:37:36 +0000

IT-Beratung ist im Bremer Mittelstand oft wenig mehr als ein anderes Wort für IT-Verkauf. Wer den Unterschied kennt, kann bei der Auswahl eines Partners viel Geld und noch mehr Frust sparen. Romano Zanoni, Geschäftsführer der ZANONI Consulting GmbH, hat mit seinem Team in über 20 Jahren mehr als 100 Betriebsübernahmen begleitet. Im Gespräch teilt er, was ihn dabei am meisten überrascht hat, welche fünf Hebel eine gute IT-Beratung ausmachen und welche Fragen ein Bremer Mittelständler in einem Erstgespräch stellen sollte.

„Erfahrung ist das Wichtigste, was es in dieser Branche gibt" – Romano Zanoni im Interview"

Romano Zanoni betreut mit seinem sechsköpfigen Team mittelständische Unternehmen im Raum Bremen als externe IT-Abteilung. In über 20 Jahren IT-Erfahrung hat er die typischen Muster kennengelernt, die entstehen, wenn IT in Mittelständlern über Jahre gewachsen ist. Im Interview spricht er über Erlebnisse aus Übernahmen, über sein Verständnis von Beratung und darüber, was er heute jedem jungen Kollegen mitgeben würde.

Sie haben mit Ihrem Team über 100 Betriebsübernahmen begleitet. Was war die größte Überraschung in diesen Übernahmen?

Es gab diverse Überraschungen bei Übernahmen von historisch gewachsener IT-Infrastruktur, häufig, weil sie über Jahre von einem Hobby-IT-Verantwortlichen betreut wurde. Ein Klassiker: Festplatten in einem RAID sind kaputt, der Server piepst seit Wochen, und niemand hat sich darum gekümmert. Passwörter waren dokumentiert auf einem einzelnen Blatt Papier. Manchmal kannte niemand die vollständigen Zugangsdaten. Jeder wusste ein bisschen, aber niemand hatte sich mal die Zeit genommen, es sauber aufzuschreiben.

Was uns dabei immer wieder auffällt: Es geht bei diesen Konstellationen weniger um technische Fehler, sondern um fehlende Verantwortlichkeit. Kein wirklicher Eigentümer der IT im Unternehmen, sondern nur jemand, der das nebenher als Hobby macht.

Ein besonders eindrückliches Beispiel war ein Kunde, bei dem die Server einfach im Dachgeschoss standen, auf einem Tisch platziert, ohne Klimatisierung. Wenn man sich vorstellt, was bei den Sommertemperaturen der letzten Jahre passiert wäre, wenn dort etwas ausgefallen wäre, ist das keine Kleinigkeit mehr. Ein anderer Fall: Der bisherige „Dienstleister“ hatte einen ganz normalen Bürorechner genommen, alle Server-Software darauf installiert und mit einer kostenlosen Virtualisierungslösung virtualisiert. Kein Backup, keine Strategie, keine Redundanz. Ein falscher Klick zur falschen Zeit, und alles wäre weg gewesen.

Welche fünf Erkenntnisse haben sich für Sie als wichtigste Beratungs-Hebel herauskristallisiert?

Es sind mehrere Punkte, die für mich in der Summe eine ehrliche Beratung ausmachen.

Erstens: Nicht mit Angst verkaufen. Das kennt jeder aus der Versicherungsbranche. „Wenn du diese Versicherung nicht hast und dir passiert etwas, sitzt du auf dem Schaden.“ Dieses Muster wird in unserer Branche viel zu oft benutzt. Ich versuche das bewusst zu umgehen und stattdessen darauf einzugehen, was der Kunde wirklich braucht. Was bringt ihm ein Mehrwert? Was bringt sein Unternehmen wirklich nach vorn? Sicherheit ist wichtig, aber sie ist nicht das einzige Argument.

Zweitens: Ehrlich beraten, statt Produkte anzudrehen, die der Kunde nicht braucht. Das passiert in der Branche sehr häufig. Systemhäuser wollen zusätzlich verkaufen, obwohl es dem Kunden nichts bringt. Für mich gilt das genaue Gegenteil: Wir empfehlen nur, was tatsächlich einen Beitrag leistet.

Drittens: Transparente Preisgestaltung. Wir arbeiten mit Pauschalen aus Erfahrungswerten. Wir sagen dem Kunden: Für diese und diese Leistung brauchen wir erfahrungsgemäß einen Tag. In den meisten Fällen liegt unsere Einschätzung nah an der Realität, und wir können pauschalisieren. Kommt bei einem Projekt eine Komponente hinzu, die abweicht, dann sagen wir das auch. Zusätzlich haben wir transparente Arbeitsberichte, in denen dokumentiert ist, was wir wann getan haben und wie lange es gedauert hat. Der Kunde soll sich bei dem Preis abgeholt fühlen, auch wenn ihn die Details bei einer Pauschale eigentlich nicht mehr interessieren müssten.

Viertens: Nicht den Ferrari verkaufen, wenn der Kunde einen soliden Mittelklassewagen braucht. In der IT gibt es Hersteller wie Cisco, mit denen man arbeiten kann, deren Komponenten aber ein Vielfaches teurer sind als vergleichbare Produkte. Für einen kleinen Mittelständler ist das oft völlig unpassend, vor allem, wenn das Ergebnis am Ende dasselbe wäre. Ich schaue mir immer die konkrete Kundensituation an. Wenn unser Standardprodukt zum Kunden passt, nutzen wir es. Wenn es nicht passt, nehme ich ein anderes. Es geht nicht darum, das eigene Portfolio durchzudrücken.

Fünftens: Fachchinesisch vermeiden. Wer mit Kunden spricht und sein eigenes Fach nicht so erklären kann, dass der Kunde es versteht, verkauft nichts. Nicht, weil der Preis zu hoch ist, sondern weil der Kunde nicht weiß, was er eigentlich bekommt. Unter Kolleginnen und Kollegen dürfen wir die Fachbegriffe nutzen. Mit dem Kunden müssen wir übersetzen. Das ist einer der wichtigsten Hebel, weil er alles andere überhaupt erst ermöglicht.

Was ich in den vielen Übernahmen für mich zusätzlich festgestellt habe: Ich weiß bei fast jeder Kundenfrage schon, was zu tun ist, weil ich das Thema so oder so ähnlich schon gesehen habe. Diese Erfahrung ist für den Kunden ein Sicherheitsanker. Er merkt, dass er sich nicht in einem Experiment befindet, und fühlt sich entsprechend gut aufgehoben.

Welche Beratungs-Fragen, die in der Branche selten gestellt werden, sind aus Ihrer Sicht entscheidend?

Es gibt fünf Fragen, die in einem ehrlichen Erstgespräch stehen sollten. Ich stelle sie bewusst, weil sie in klassischen Verkaufsgesprächen kaum vorkommen.

„Was kostet Sie eine Stunde Stillstand?“ Viele Kunden haben darüber nie nachgedacht. Wenn die IT ausfällt, steht in 99 Prozent der Fälle der ganze Betrieb still. Eine Stunde, zwei Stunden, ein Tag Arbeitsausfall — je nach Betriebsgröße ist das ein sehr wesentlicher Faktor. Erst wenn man diese Zahl kennt, lässt sich eine IT-Investition wirklich bewerten.

„Welche Ihrer IT-Kosten sind planbar, und welche entstehen nur durch Reaktion?“ Häufig sehen wir, dass bei einem Kunden dasselbe Problem alle paar Wochen zurückkommt. Der Dienstleister löst es jedes Mal schnell, aber niemand geht an die Ursache. Das ist teuer für den Kunden und irgendwann auch für uns nicht sinnvoll. Der Unterschied zwischen planbaren und reaktiven Kosten ist ein guter Indikator dafür, wie gut ein IT-Dienstleister tatsächlich arbeitet.

„Gibt es Systeme, für die Sie zahlen, ohne sie zu nutzen?“ Diese Frage kann in vielen Betrieben gar nicht beantwortet werden. Häufig laufen bestimmte Systeme im Hintergrund, keiner hat sie mehr auf dem Schirm, aber die Rechnung wird jeden Monat bezahlt. Wer diese Frage stellt, spart oft mehr Geld ein, als eine neue Beratung kostet.

„Wurde Ihr Backup schon einmal getestet?“ Die meisten Kunden haben ein Backup. Aber ob es im Ernstfall wirklich funktioniert, weiß niemand, weil es nie getestet wurde. Ein ungetestetes Backup ist im Worst Case einfach nur ein teurer Speicher, der nichts hilft. Wenn ich diese Frage stelle und Stille im Raum entsteht, weiß ich, wo wir anfangen müssen.

„Haben Sie Zugriff auf Ihre eigene IT-Dokumentation?“ Diese Frage überrascht viele Geschäftsführer. In den meisten Fällen liegt die komplette Dokumentation beim Dienstleister und wird gehütet wie ein Schatz. Das gibt dem Dienstleister einen Hebel, der bis zur Erpressung reichen kann, wenn es zum Streit kommt. Bei uns kann jeder Kunde gegen einen kleinen Monatspreis einen eigenen Zugang zu unserer Dokumentation zu seinem Betrieb bekommen. Er sieht, was drin steht, kann jederzeit einsehen, welche Systeme wie eingerichtet sind. Das ist Grundlage jeder ehrlichen Zusammenarbeit. Wer als Ein-Mann-Dienstleister von heute auf morgen ausfällt und alle Zugänge mitnimmt, hinterlässt sonst eine Katastrophe beim Kunden.

Wenn Sie bei einem Kunden eine schwache IT vorfinden, wie sieht der typische Beratungsweg aus?

Zuerst schaue ich mir das Ganze kurz an und bilde mir eine erste Einschätzung. Wenn die IT tatsächlich schwach aussieht, empfehle ich eine ordentliche Infrastrukturanalyse. Das ist der Punkt, an dem wir am Ende ganz genau wissen, wo die Schwachstellen sitzen und welche Punkte beseitigt werden müssen.

Aus der Analyse wird ein Projektplan. Wir besprechen mit dem Kunden gemeinsam, welche Punkte wann und wie gelöst werden. Alles wird nach Priorität und Dringlichkeit geordnet. Der klassische Weg ist ein Workshop-Format mit mehreren Gesprächen, in denen wir die Themen aufgreifen, gewichten und in eine Reihenfolge bringen. So bekommt der Kunde keine Wall aus Problemen, sondern einen strukturierten Plan mit klarem Anfang.

Was würden Sie einem jungen IT-Berater heute mitgeben, wenn Sie ihn ausbilden würden?

Nichts überstürzen. Sich am Anfang auf das Wesentliche konzentrieren, statt jedem neuen Hype hinterherzuspringen. Das Wichtigste in dieser Branche ist Erfahrung, und Erfahrung sammelt man nur, indem man Dinge auch wirklich macht und dabei ehrlich ist.

Wenn ich zum ersten Mal ein bestimmtes Projekt umsetze, sage ich das dem Kunden offen. „Pass auf, das mache ich zum ersten Mal, ich lerne dabei, aber ich wachse mit dir und biete es dir vergünstigt an.“ Ehrlichkeit zahlt sich langfristig immer aus. In der IT wird gerne der schnelle Reichtum gesehen, weil man Technik verkauft. Aber das ist ein Trugschluss. Kunden spüren, wenn man zu hoch kalkuliert oder ihnen etwas verkauft, das sie nicht brauchen. Mit vernünftiger Kalkulation und Ehrlichkeit gewinnt man auf Dauer immer.

Was ich auch bei unseren Auszubildenden beobachte: Sie sollten selbst Sachen ausprobieren, sich Themen aneignen, nicht nur in der beruflichen Bubble unterwegs sein. In unserem Bereich braucht man eine gewisse Affinität und eine Leidenschaft für die Technik. Ich bin selbst technikbegeistert. Wenn es etwas Neues gibt, interessiere ich mich dafür, recherchiere, setze mich damit auseinander, auch in der Freizeit. Das macht mir einfach Spaß.

Ich hatte viele junge Menschen im Vorstellungsgespräch, die in ihrer Bewerbung geschrieben hatten, dass sie besonders IT-affin sind und Technik lieben. Nach fünf, zehn Minuten Gespräch war klar, dass das nicht stimmt und nur da stand, um eingeladen zu werden. Das merkt man sofort. Deshalb: seid ehrlich zu euch selbst. Menschen, die lange in dem Bereich arbeiten, spüren, wenn jemand nur die Rolle spielt. Das ist einer der Punkte, die ich jedem jungen Berater mitgeben würde.

Was das für Bremer Unternehmen konkret bedeutet

Aus den Antworten Romanos ergeben sich für Bremer Mittelständler drei praktische Konsequenzen, die sich in jedem Erstgespräch mit einem IT-Berater überprüfen lassen.

Prüfen Sie, mit welcher Argumentation Ihr Gegenüber arbeitet. Wird primär mit Angst verkauft („wenn das passiert, dann…“), oder wird ein konkreter Mehrwert beschrieben? Ehrliche IT-Beratung baut auf dem zweiten Weg auf.
Stellen Sie die fünf Fragen aus dem Interview. Kosten pro Stunde Stillstand, planbare versus reaktive IT-Kosten, ungenutzte Systeme, getestete Backups, eigener Zugriff auf die IT-Dokumentation. Wer diese fünf Punkte konkret beantworten kann, hat entweder gute Beratung im Haus oder gerade den passenden Moment für eine externe.
Verlangen Sie Transparenz beim Preis und bei der Dokumentation. Pauschalen mit Erfahrungswerten sind fair, wenn im Hintergrund transparente Arbeitsberichte laufen. Und Ihre IT-Dokumentation gehört Ihnen, nicht Ihrem Dienstleister. Wer Sie an dieser Stelle vor eine geschlossene Tür stellt, arbeitet nicht auf Augenhöhe.

Wenn Sie in Bremen einen IT-Berater suchen, der ehrlich arbeitet

ZANONI Consulting betreut mittelständische Unternehmen im Raum Bremen und im Umkreis von rund 70 Kilometern als externe IT-Abteilung. Sechs Personen, über 20 Jahre IT-Erfahrung, mehr als 100 begleitete Betriebsübernahmen und ein eigenes Rechenzentrum in Bremen. Wir arbeiten mit transparenten Pauschalen, dokumentierten Arbeitsberichten und einer Kundendokumentation, auf die Sie jederzeit zugreifen können.

Ob wir der richtige Partner für Ihren Betrieb sind, klären wir am ehrlichsten in einem unverbindlichen Erstgespräch. Bei Bedarf machen wir vorher eine Infrastrukturanalyse, damit Sie wissen, wo Ihr Betrieb heute steht.

Pentest as a Service: Wenn der einmalige Stresstest nicht mehr reicht

Fb-zanoni-consulting.de — Thu, 18 Jun 2026 14:12:16 +0000

Cyber-Versicherungen sind im Mittelstand verbreiteter denn je. Sie greifen jedoch erst, wenn der Schaden eingetreten ist. Sie erstatten finanzielle Folgen, aber sie machen nicht die Ausfalltage rückgängig, nicht den Vertrauensverlust beim Kunden und nicht die Pflichtmeldung an die Aufsicht. Wer nur auf die Versicherung setzt, hat das Risiko bereits eingegangen.

Ein Penetrationstest ist die proaktive Variante. Statt darauf zu warten, dass jemand eine Schwachstelle ausnutzt, suchen erfahrene Sicherheitsexperten sie selbst und decken sie auf, bevor jemand anderes sie findet. Wichtig zu wissen: Ein Pentest zeigt die Lücken und liefert die Handlungsempfehlung, die Behebung selbst ist nicht Teil der Test-Leistung. Wer die Lücken anschließend schließt, klären wir vorab und gehen darauf weiter unten genauer ein. Allerdings hat das klassische Modell ein Problem: Ein einmaliger Test am 14. Juni sagt nichts über den Sicherheitszustand am 14. September. IT-Umgebungen verändern sich, neue Schwachstellen werden bekannt, Mitarbeitende kommen und gehen.

Genau hier setzt Pentest as a Service an. Der Beitrag erklärt, was Pentest as a Service ist, wie sich dieses Modell vom klassischen einmaligen Test unterscheidet, für welche Unternehmen es sich lohnt und warum gerade kleine und mittlere Betriebe davon stärker profitieren, als sie zunächst vermuten.

Was ein Penetrationstest überhaupt ist

Ein Penetrationstest ist ein kontrollierter Angriff auf die eigenen Systeme. Spezialisierte Sicherheitsexperten versuchen mit denselben Methoden, die echte Angreifer einsetzen, in Ihre IT-Umgebung einzudringen. Sie nutzen technische Schwachstellen, prüfen Konfigurationsfehler, testen die Wirksamkeit von Sicherheitsmaßnahmen und versuchen, schrittweise weitere Rechte zu erlangen.

Das Ergebnis ist kein theoretisches Sicherheitsgutachten, sondern ein konkreter Befund: Diese Schwachstellen existieren, so ließen sie sich ausnutzen, das sind die wirtschaftlichen und regulatorischen Folgen, mit folgenden Maßnahmen lassen sie sich schließen. Die eigentliche Umsetzung dieser Maßnahmen ist bewusst getrennt von der Test-Leistung, dazu im nächsten Abschnitt mehr.

Der Unterschied zu einem automatisierten Schwachstellenscan liegt in der Qualität der Ergebnisse. Scans liefern Listen mit potenziellen Lücken. Ein echter Penetrationstest zeigt, welche dieser Lücken im konkreten Zusammenspiel der Systeme tatsächlich gefährlich sind und wie ein realer Angriffspfad aussieht.

Reports nach CREST-Standard

Unsere Pentest-Berichte folgen dem CREST-Standard, dem etablierten Format für Penetrationstest-Reports auf europäischer Ebene. Damit erhalten Sie eine Dokumentation, die Versicherer, Auditoren und Aufsichtsbehörden als anerkannten Nachweis akzeptieren und die sich strukturell in bestehende Compliance-Prozesse einfügt. Die Auswahl unseres Test-Toolings haben wir bewusst nach diesem Standard ausgerichtet, damit Befunde, Risikobewertung und Handlungsempfehlung in einer Form vorliegen, die international vergleichbar ist.

Wer die gefundenen Lücken anschließend schließt

Ein Punkt, der erfahrungsgemäß für Klarheit sorgt, bevor ein Test startet: Der Pentest selbst deckt die Schwachstellen auf, liefert die Priorisierung und gibt konkrete Handlungsempfehlungen. Die eigentliche Behebung dieser Lücken ist nicht Teil der Test-Leistung. Wer sie umsetzt, hängt davon ab, wie Ihr Unternehmen aufgestellt ist.

Unternehmen mit eigener IT-Abteilung. Sie setzen die Maßnahmen mit Ihrem internen Team um. Wir stehen während dieser Phase beratend zur Seite und ordnen einzelne Befunde technisch ein. Diese Begleitung ist in der Pentest-Leistung enthalten und braucht keinen separaten Auftrag.
Unternehmen ohne eigene IT. Kleinere Betriebe haben in der Regel keine interne IT, die einen Befundbericht direkt umsetzen kann. In diesem Fall erstellen wir auf Basis des Pentest-Reports einen transparenten Kostenvoranschlag für die Behebung der gefundenen Lücken. Sie entscheiden anschließend, was Sie umsetzen lassen möchten und in welcher Reihenfolge.

So bleibt der Pentest klar in seiner Rolle als unabhängige Bewertung, und die Maßnahmenphase ist sauber davon getrennt.

Der Unterschied zum klassischen einmaligen Stresstest

Klassische Penetrationstests werden meist als einmaliges Projekt durchgeführt. Ein Stichtag wird festgelegt, der Test läuft eine bis zwei Wochen, am Ende gibt es einen Bericht. In der Praxis wird dieser Test in vielen Unternehmen vor allem deshalb beauftragt, weil ein Versicherer oder eine Behörde einen Nachweis verlangt. Sobald der Bericht vorliegt, liegt der Bericht im besten Fall in der Schublade, im weniger guten Fall in einer veralteten Version auf einem Server, der inzwischen abgelöst wurde.

Die Schwächen dieses Modells sind in der Praxis erheblich.

Die Umgebung verändert sich ständig. Neue Software wird eingeführt, Mitarbeitende werden eingestellt, Server werden migriert, Cloud-Dienste werden ergänzt. Was im Juni getestet wurde, sieht im November anders aus.
Schwachstellen entstehen ständig neu. Allein in den letzten Wochen wurden mehrere kritische Lücken in Windows Server, Check Point und Palo Alto aktiv ausgenutzt. Ein Test vom Vorjahr deckt diese aktuellen Bedrohungen nicht ab.
Die Maßnahmen werden nie konsequent nachgehalten. Ein einmaliger Test endet mit einem Bericht. Was zwischen Bericht und Umsetzung passiert, bleibt oft offen. In vielen Mittelständlern landen Empfehlungen auf einer Liste, die im operativen Geschäft langsam in Vergessenheit gerät.
Lernkurve und Verbesserung sind nicht eingebaut. Wer einmal pro Jahr testet, hat keine Vergleichswerte. Ein Sicherheitsniveau lässt sich aber nur dann verbessern, wenn es messbar ist und Veränderungen erkennbar werden.

Pentest as a Service löst genau diese vier Probleme.

So funktioniert unser Pentest as a Service

Wir verteilen die Sicherheitsprüfung auf mehrere Tests pro Jahr. Zwischen den Tests liegt jeweils eine Maßnahmenphase, in der die im vorherigen Test gefundenen Schwachstellen geschlossen werden. So entsteht ein durchgehender Verbesserungszyklus statt einer Momentaufnahme.

Die genaue Anzahl der Tests pro Jahr legen wir gemeinsam mit Ihnen fest. Welche Frequenz für Ihren Betrieb sinnvoll ist, hängt von Branche, Größe und regulatorischen Anforderungen ab und wird im Vorgespräch geklärt.

Wie ein typischer Jahreslauf aussehen kann, zeigt das folgende Beispielszenario.

Erster Test: Bestandsaufnahme. Der erste Test ist der ehrlichste Spiegel. Er zeigt den realen Ausgangszustand. Auf dieser Grundlage entstehen die Sofortmaßnahmen.

Folgetest mit Fokus auf die behobenen Bereiche. Der nächste Test prüft, ob die Sofortmaßnahmen wirklich greifen. Gleichzeitig wird der Untersuchungsbereich erweitert oder auf andere Systeme gerichtet.

Folgetest mit aktualisierten Bedrohungsszenarien. Cyber-Bedrohungen entwickeln sich ständig weiter. Spätere Tests im Jahr beziehen neue Schwachstellen und Angriffstechniken ein, die in der Zwischenzeit relevant geworden sind.

Abschluss-Test und Auswertung. Der letzte Test im vereinbarten Zeitraum bildet den Abschluss. Er prüft das gesamte Sicherheitsniveau, vergleicht es mit dem Ausgangszustand und liefert eine Jahresbilanz. Auf dieser Basis startet das nächste Jahr mit klar definierten Schwerpunkten.

Zwischen den Tests stehen wir mit Ihrer IT-Verantwortung in regelmäßigem Austausch. Befunde werden besprochen, Maßnahmen werden priorisiert, Umsetzungen werden begleitet. Pentest as a Service ist damit keine punktuelle Prüfung, sondern eine kontinuierliche Sicherheitspartnerschaft.

Für welche Unternehmen Pentest as a Service sinnvoll ist

In erster Linie für mittelständische Betriebe mit einer IT-Umgebung, die mehrere Server oder Cloud-Dienste umfasst. Konkret betrifft das:

Unternehmen mit sensiblen Daten. Pflegeeinrichtungen, Arztpraxen, Kanzleien, Steuerberatungen, Lohnbüros. Überall, wo personenbezogene Daten in besonderen Kategorien verarbeitet werden, ist ein einmaliger Test pro Jahr aus regulatorischer Sicht nicht mehr zeitgemäß.

Zulieferer für größere Industrien. Wer für Konzernkunden arbeitet, wird zunehmend nach Nachweisen zum eigenen Sicherheitsniveau gefragt. Eine NIS-2-Compliance-Anforderung in der Lieferkette ist heute keine Ausnahme mehr.

Betriebe mit kritischen Abläufen. Hafenlogistik, Produktion, Lebensmittelverarbeitung. Überall, wo ein IT-Ausfall sofort zu Stillstand und finanziellem Schaden führt.

Unternehmen mit Pflicht zur Risikobewertung. Wer durch NIS-2, DSGVO-Audits oder Vertragsanforderungen verpflichtet ist, sein Sicherheitsniveau regelmäßig zu prüfen und zu dokumentieren.

Warum auch kleine Unternehmen davon profitieren

Hier liegt ein häufiges Missverständnis. Penetrationstests gelten als Konzern-Thema. In Wirklichkeit sind kleinere Betriebe ein besonders lohnendes Ziel für Angreifer, weil sie schwächer geschützt sind und schneller zahlen, wenn etwas passiert.

Pentest as a Service ist genau deshalb auch für kleinere Unternehmen sinnvoll. Drei Gründe.

Die Kosten sind planbar. Mehrere kleinere Tests pro Jahr lassen sich budgetieren wie ein laufender Service. Ein großer einmaliger Test ist meist teurer und liefert weniger Wirkung pro Euro.
Der Aufwand verteilt sich. Sie haben nicht eine einzige Belastungsphase im Jahr, sondern mehrere überschaubare. Das passt besser zu kleinen IT-Verantwortlichkeiten, die nicht den Großteil ihrer Zeit für Sicherheit aufwenden können.
Die Wirkung ist proportional größer. Ein Konzern hat interne Sicherheitsteams, die im Alltag prüfen, was kein Pentest mehr zusätzlich findet. Ein kleiner Betrieb hat dieses Reservepolster nicht. Jede Lücke, die ein Pentest aufdeckt, ist hier ein wirklicher Sicherheitsgewinn.

Für kleinere Unternehmen ohne eigene IT-Abteilung übernehmen wir nach dem Test zusätzlich die Erstellung eines transparenten Kostenvoranschlags für die Behebung der gefundenen Lücken. So entsteht für Sie ein klares Bild davon, was als nächstes ansteht und in welchem finanziellen Rahmen.

Der Ablauf eines einzelnen Tests im Detail

Pro Test laufen vier Phasen ab.

Phase 1: Scoping. Wir definieren gemeinsam mit Ihnen, ob in diesem Test ein interner oder ein externer Angriffsweg geprüft wird. Externe Tests simulieren einen Angreifer von außerhalb des Unternehmensnetzes. Interne Tests gehen von einem bereits kompromittierten oder berechtigten Zugang im internen Netz aus. Welche Variante wann sinnvoll ist und welche Systeme abgedeckt werden, klären wir vor jedem Test.

Phase 2: Test. Der eigentliche Test läuft in einem definierten Zeitfenster. Wir nutzen eine Kombination aus technischen Werkzeugen und manueller Analyse. Tests sind so konzipiert, dass sie keine Betriebsstörungen verursachen.

Phase 3: Auswertung. Nach dem Test erhalten Sie einen nach CREST-Standard aufgebauten Bericht, der nicht aus 200 Seiten Standardtext besteht, sondern aus konkreten Befunden mit Priorisierung, Erläuterung und Handlungsempfehlung. Den Bericht erläutern wir in einem persönlichen Gespräch.

Phase 4: Maßnahmen. In den Wochen nach dem Test begleiten wir die Umsetzung der Empfehlungen. Bei Unternehmen mit eigener IT begleiten wir das interne Team beratend, bei Unternehmen ohne eigene IT erstellen wir den Kostenvoranschlag für die Behebung. Welche Maßnahmen sofort, welche im laufenden Quartal, welche strategisch. Im nächsten Test prüfen wir, ob die Maßnahmen wirken.

Was wir testen

In den vereinbarten Tests werden typischerweise folgende Bereiche abgedeckt, jeweils in der Tiefe, die zum Reifegrad Ihrer IT passt.

Externes Netzwerk und exponierte Dienste
Internes Netzwerk und Berechtigungsstrukturen
Microsoft-365-Umgebung und Cloud-Setup
Web-Anwendungen, sofern vorhanden
Endgeräte und mobile Geräte
Berechtigungs- und Rechtekonzepte

Welche Bereiche im jeweiligen Test-Schwerpunkt sind, klären wir im Scoping. So entsteht über das Jahr eine breit angelegte Prüfung, die einzelne Bereiche jeweils in der nötigen Tiefe untersucht.

Häufige Fragen

Worin unterscheidet sich Pentest as a Service vom klassischen Penetrationstest?

IT-Dienstleister in Bremen finden – Worauf Sie wirklich achten sollten

Fb-zanoni-consulting.de — Thu, 18 Jun 2026 12:29:14 +0000

Die Suche nach einem IT-Dienstleister im Raum Bremen ist für die meisten Geschäftsführer keine angenehme Aufgabe. Häufig steht sie an, wenn der bisherige Partner nicht mehr passt: lange Wartezeiten, fehlende Transparenz, Rechnungen, die jedes Quartal überraschen. Oder wenn ein Betrieb wächst und die bisherige Lösung mit dem Schwiegersohn aus dem PC-Markt an Grenzen stößt.

In beiden Fällen ist die zentrale Frage dieselbe: Woran erkennt man einen IT-Dienstleister, der wirklich zum eigenen Betrieb passt? Dieser Beitrag zeigt sieben Kriterien, drei Warnzeichen und ein paar Bremer Besonderheiten, die in der Praxis den Unterschied machen.

Warum die Auswahl wichtiger ist als viele denken

Ein IT-Dienstleister ist kein austauschbarer Lieferant für Toner und Mauspads. Er ist verantwortlich für die Systeme, ohne die Ihr Betrieb stillsteht: Server, Netzwerk, Mail, Cloud, Sicherheit, Backup. Wenn diese Strukturen unsauber aufgebaut oder schlecht gepflegt sind, fällt das im Alltag erst einmal nicht auf. Bei einer Störung, einer Migration oder einem Cyberangriff wird es jedoch sofort sichtbar und teuer.

Die meisten unzufriedenen Mittelständler, die zu uns wechseln, hätten die Probleme vier oder fünf Jahre früher erkennen können, wenn sie bei der Auswahl ihres damaligen Partners andere Kriterien angelegt hätten. Genau diese Kriterien fassen wir hier zusammen.

Sieben Kriterien, an denen Sie einen guten IT-Dienstleister erkennen

1. Klar definierte Reaktionszeit, schriftlich

Wenn ein Anbieter auf die Frage „Wie schnell sind Sie bei einer kritischen Störung erreichbar?" mit „so schnell wie möglich" antwortet, ist das kein Service-Versprechen. Ein professioneller IT-Dienstleister nennt definierte Reaktionszeiten und hält sie schriftlich im Vertrag fest. 180 Minuten Reaktionszeit sind im Mittelstand ein sinnvoller Standard, an dem Sie sich orientieren können.

2. Fester Ansprechpartner statt anonymer Hotline

Sie sollten den Namen Ihres zuständigen Technikers kennen. Bei jeder Anfrage erneut alles erklären zu müssen, was Sie schon beim letzten Mal erklärt haben, ist im Mittelstand keine Option. Klären Sie vorab, ob Ihr Betrieb von einer Person betreut wird, von einem kleinen Team mit klarer Vertretungsregelung oder von einem rotierenden Ticketpool.

3. Transparente und kalkulierbare Kostenstruktur

Die IT-Kosten sollten planbar sein. Eine IT-Flatrate, die einen klar definierten Leistungsumfang zu einem festen monatlichen Preis abbildet, ist für die meisten mittelständischen Unternehmen wirtschaftlich sinnvoller als eine reine Stundenabrechnung. Lassen Sie sich genau zeigen, was im Vertrag enthalten ist und was als Zusatzleistung gilt. Das Abrechnungsmodell verrät dabei viel darüber, wie ein Anbieter arbeitet. Welche Unterschiede es zwischen den verschiedenen Betreuungsmodellen gibt, erklären wir ausführlicher in unserem Beitrag zum IT-Systemhaus in Bremen.

4. Branchenkenntnis, nicht nur IT-Kenntnis

Eine Pflegeeinrichtung hat andere Anforderungen als ein Handwerksbetrieb. Eine Anwaltskanzlei wiederum andere als ein Lebensmittelhersteller. Ein guter IT-Dienstleister kennt die typischen Abläufe Ihrer Branche. Er weiß, wie MEDIFOX DAN in einer Pflegeeinrichtung sauber eingebunden wird, wie WLAN in einer Werkhalle funktioniert und welche regulatorischen Anforderungen für Ihre Branche gelten.

5. Strukturierte Übergabe statt großer Knall

Falls Sie einen Wechsel planen: Fragen Sie konkret nach, wie der Übergabeablauf aussieht. Eine saubere Übernahme arbeitet in drei Phasen (Analyse, Übergabeplan, Übernahme im laufenden Betrieb), nicht in einer hektischen Wochenendaktion. Ein erfahrener Anbieter hat über 100 Übergaben begleitet und einen Standardablauf, den er an Ihre Situation anpasst. Mehr dazu im Detail im Beitrag IT-Dienstleister wechseln.

6. Eigene Sicherheits-Standards

Fragen Sie nach: Welche Firewall-Hersteller werden eingesetzt? Wie werden Backups regelmäßig getestet? Wie ist das Berechtigungskonzept aufgebaut, wie greift die Endgeräte-Sicherheit, was passiert im Notfall? Ein guter Anbieter hat auf diese Fragen klare Antworten und kann sie verständlich erklären, ohne in Fachchinesisch zu verfallen.

7. Eigene oder zertifizierte Cloud-Infrastruktur

Wenn Cloud Teil Ihrer IT-Strategie ist, prüfen Sie, ob der Anbieter eine eigene Infrastruktur in Deutschland betreibt oder ausschließlich Hyperscaler aus dem US-Raum vermittelt. Ein Anbieter mit eigener Cloud in Bremen schafft Datensouveränität direkt vor Ort: Sie wissen genau, wo Ihre Daten liegen, wer Zugriff darauf hat und auf welcher Infrastruktur sie laufen. Das ist im Mittelstand 2026 ein realer Komfort- und Vertrauensgewinn.

Drei Warnzeichen, bei denen Sie zurückhaltend sein sollten

Genauso wichtig wie die positiven Kriterien sind die roten Flaggen, die wir in Bremen und Umgebung immer wieder beobachten.

1. Druck zur sofortigen Unterschrift

Ein guter neuer Dienstleister bietet Ihnen vor dem Wechsel eine Bestandsaufnahme an, ohne dass Sie sofort einen Wartungsvertrag unterschreiben müssen. Wer auf eine schnelle Unterschrift drängt, hat in der Regel Eigeninteressen, die nicht zu Ihren passen.

2. Pauschale Antworten auf konkrete Fragen

„Das machen wir alles" ist keine Antwort. Wenn Sie fragen, wie der Anbieter Backups testet oder welche EDR-Lösung er einsetzt, sollte er konkrete Produkte und Prozesse nennen können.

3. Mangelnde Dokumentation der eigenen Arbeit

Fragen Sie, wie der Anbieter seine Kunden-IT dokumentiert. Wer auf diese Frage nervös reagiert oder „im Kopf der Techniker" antwortet, baut Ihnen genau die Wissensinsel, an der Sie später beim nächsten Wechsel scheitern.

Firewall und Netzwerkschutz. Wir setzen ausschließlich Firewall-Hersteller aus Deutschland ein. Der Grund ist nicht patriotisch, sondern technisch: Bei Produkten aus dem außereuropäischen Ausland lässt sich nicht zweifelsfrei ausschließen, dass Hintertüren in der Firmware liegen. Bei deutschen Lösungen ist das transparent geprüft und DSGVO-konform dokumentiert.
Endpoint-Schutz und EDR. Klassischer Virenschutz erkennt nur bekannte Bedrohungen. Moderne EDR-Lösungen analysieren das Verhalten der Endgeräte und stoppen verdächtige Aktivitäten, bevor sie Schaden anrichten. Wenn ein Programm anfängt, hunderte Dateien zu verschlüsseln, schlägt das System Alarm und beendet den Vorgang.
Mail-Security und revisionssichere Archivierung. Die meisten Angriffe beginnen mit einer E-Mail. Ein vorgelagertes Filtersystem fängt Phishing, Spoofing und Schadsoftware ab, bevor sie im Posteingang landen. Eine revisionssichere Mailarchivierung erfüllt parallel gesetzliche Anforderungen aus Steuerrecht und Handelsrecht.
Strukturierte Backup-Strategie mit Tests. Ein Backup, das nie wiederhergestellt wurde, ist kein Backup. Wir bauen Backups in mehreren Stufen auf, mit mindestens einer Offline- oder versionierten Kopie, die gegen Ransomware geschützt ist. Regelmäßige Wiederherstellungstests sind Teil der Betreuung.
Sicherheitskonzept und Risikoanalyse. Technische Maßnahmen wirken nur, wenn sie zur Gesamtlage des Betriebs passen. Wir analysieren bestehende Infrastruktur, bewerten Risiken priorisiert und erstellen ein abgestimmtes Sicherheitskonzept, das die wichtigsten Lücken zuerst schließt.
Awareness und menschliche Firewall. Mitarbeitende sind kein Risiko, sondern ein Schutzwall, wenn sie wissen, worauf sie achten müssen. Eine kurze, regelmäßige Schulung sensibilisiert für die typischen Muster, ohne das Team zu überfordern. In unserer Praxis bezeichnen wir dieses Element als die menschliche Firewall.

Bremer Besonderheiten

Im Raum Bremen gibt es einige strukturelle Punkte, die bei der Auswahl eines IT-Partners eine Rolle spielen.

Regionale Erreichbarkeit zählt. Auch wenn vieles remote läuft, gibt es Situationen, in denen jemand vor Ort sein muss: Hardware-Tausch, Netzwerkbau in einer neuen Filiale, größere Migrationen, Notfälle. Ein IT-Dienstleister im Raum Bremen kann diese Vor-Ort-Einsätze innerhalb von Stunden leisten. Wer aus München kommt, kann es nicht.

Netzwerk in der Region. Ein Bremer IT-Dienstleister hat über Jahre Kontakte zu Internet-Providern, Hardware-Lieferanten und Handwerksbetrieben im Umkreis aufgebaut. Wenn es darum geht, kurzfristig eine Leitung umzulegen, ein Ersatzgerät zu beschaffen oder einen Elektriker für eine neue Verkabelung in der Werkhalle zu organisieren, macht dieses Netzwerk den Unterschied zwischen einer Lösung am selben Tag und einer Wartezeit von Wochen.

Branchenmix verlangt Erfahrung. Bremen ist Hafenstadt, Industriestandort und Sitz vieler Pflegeeinrichtungen und mittelständischer Handwerksbetriebe. Ein IT-Dienstleister, der in dieser Vielfalt zu Hause ist, kann Ihnen helfen, ohne dass er sich erst einarbeiten muss.

Größenklasse passt zur Größenklasse. Konzern-IT-Dienstleister mit Tausenden Mitarbeitenden bedienen den Mittelstand selten passend. Ein 5- bis 15-köpfiges Team kennt die Realitäten eines Bremer Mittelständlers besser, weil es selbst einer ist.

Wenn der bisherige Partner nicht mehr passt

Falls Sie über einen Wechsel nachdenken, ist die Sorge fast immer dieselbe: Was passiert, wenn während der Übergabe etwas verloren geht? Die zweite Sorge folgt direkt: Wir wissen selbst nicht mehr genau, wie unsere IT aufgebaut ist. Kann das überhaupt jemand sauber übernehmen?

Beide Sorgen sind nachvollziehbar und beide lassen sich mit einem strukturierten Vorgehen entkräften. Eine gute Übernahme arbeitet parallel, nicht mit einem Tag-X-Schnitt. Der bestehende Zustand wird dokumentiert, bevor irgendetwas verändert wird. Migrationen erfolgen in Etappen, jeder Schritt wird getestet, bevor der nächste startet.

Eine ausführliche Darstellung mit zwei anonymisierten Praxisbeispielen finden Sie im verlinkten Interview-Beitrag.

Wer ZANONI Consulting ist

Wir betreuen mittelständische Unternehmen im Raum Bremen und im Umkreis von rund 70 Kilometern als externe IT-Abteilung. Sechs Personen, über 20 Jahre IT-Erfahrung, über 100 begleitete Betriebsübernahmen und ein eigenes Rechenzentrum in Bremen. Und was wir in den über 100 Übernahmen gelernt haben, erfahren Sie in diesem Artikel.

Unser Versprechen ist nüchtern: 180 Minuten Reaktionszeit, 365 Tage Erreichbarkeit, fester Ansprechpartner, klare Pakete statt Überraschungskosten. Wir setzen ausschließlich Firewall-Hersteller aus Deutschland ein, betreiben Cloud-Infrastruktur in unserem eigenen Bremer Rechenzentrum und legen Wert auf strukturierte, dokumentierte Arbeit, die auch im Notfall trägt.

Schwerpunkte sind branchenspezifische IT-Lösungen für Pflegeeinrichtungen (mit unserer Komplettlösung CURA IT) und für Handwerks- und Industriebetriebe, dazu allgemeine IT-Betreuung, IT-Sicherheit und Cloud-Lösungen für den Mittelstand.

Ob wir der richtige Partner für Sie sind, klären wir am ehrlichsten in einem unverbindlichen Erstgespräch. Bei Bedarf machen wir vorab eine Infrastrukturanalyse, damit Sie wissen, wo Ihr Betrieb heute steht.

Häufige Fragen

Worin unterscheiden sich IT-Systemhaus, IT-Dienstleister und Managed Service Provider?

IT-Sicherheit für Unternehmen in Bremen und Niedersachsen

Fb-zanoni-consulting.de — Thu, 18 Jun 2026 07:24:12 +0000

Bremen und das niedersächsische Umland bilden einen wirtschaftlichen Raum mit starkem Mittelstand: Hafenlogistik, maritime Wirtschaft, Lebensmittelproduktion, Maschinenbau, Pflege, Handwerk. Diese Vielfalt ist eine Stärke. Sie ist gleichzeitig die Begründung, warum die Region heute ein attraktives Ziel für Cyberangriffe ist. Mittelständische Betriebe haben reale Werte, sind oft Zulieferer für größere Industrien und sind in der Regel schwächer geschützt als die Konzerne, die sie beliefern.

Dieser Beitrag zeigt, wie die aktuelle Bedrohungslage für Unternehmen in Bremen und Niedersachsen aussieht, welche Maßnahmen wirklich Schutz bringen und warum eine regional verankerte IT-Sicherheits-Betreuung den Unterschied macht, wenn etwas passiert.

Wer ist heute betroffen?

Die kurze Antwort: jeder. Die längere Antwort ist genauer.

Cyberangriffe folgen heute selten der Logik „großer Betrieb, großes Ziel“. Sie folgen der Logik „lohnender Aufwand“. Konzerne investieren massiv in IT-Sicherheit, also weichen Angreifer aus. Mittelständische Betriebe mit 30 bis 300 Mitarbeitenden geraten genau dadurch in den Fokus: Sie verarbeiten echte Werte, sind aber häufig schwächer geschützt und haben weniger Reserven, um eine Krise mehrere Wochen lang abzufedern.

Im Nordwesten betrifft das vor allem fünf Branchen, die wir in unserer Arbeit immer wieder sehen.

Hafen- und Logistikbetriebe sind durch ihre Schnittstellen zu internationalen Partnern und ihre kritischen Abläufe besonders sensibel. Ein Tag Stillstand kostet hier sechsstellig.
Pflegeeinrichtungen verarbeiten Bewohnerdaten, die unter die besonderen Kategorien personenbezogener Daten fallen. Ein Datenverlust hat hier sofort eine regulatorische Dimension.
Handwerks- und Industriebetriebe haben Standortvernetzungen, mobile Teams und gewachsene IT-Strukturen, die selten dokumentiert sind.
Anwaltskanzleien, Steuerberatungen und Arztpraxen in der Region arbeiten mit hochsensiblen Daten und sind damit für gezielte Angriffe wirtschaftlich attraktiv.
Lebensmittel- und Konsumgüterproduktion in Niedersachsen ist häufig Zulieferer für große Handelsketten und damit ein indirekter Zugangspunkt zu deren Systemen.

In allen fünf Branchen sehen wir die gleichen Muster: gewachsene IT, fehlende Dokumentation, unklare Verantwortlichkeit, kein erprobter Notfallplan.

Die aktuelle Bedrohungslage

Die Angriffsmuster haben sich in den letzten 18 Monaten verschoben. Drei Entwicklungen prägen den Alltag.

KI-basierte Phishing-Mails

Generative KI macht es Angreifern leicht, grammatikalisch perfekte, kontextbezogene Mails zu erstellen, die selbst geschulte Mitarbeitende kaum noch von echten Mails unterscheiden können. Eine Anrede mit dem richtigen Vornamen, Bezug auf ein laufendes Projekt, der Anhang sieht aus wie eine Rechnung des Stammlieferanten. Klassische Erkennungsmuster (schlechtes Deutsch, allgemeine Anrede) greifen nicht mehr.

Ransomware mit doppelter Erpressung

Angreifer verschlüsseln nicht mehr nur Daten, sie ziehen sie vorher auch ab und drohen mit Veröffentlichung. Damit reicht das beste Backup allein nicht mehr aus, um eine Erpressung zu beenden. Der reputative Schaden steht im Raum, selbst wenn der Betrieb technisch wieder läuft.

Angriffe über Lieferketten

Ein kompromittierter Dienstleister, ein gehackter Cloud-Anbieter, eine unsaubere Software-Aktualisierung beim Lohnbüro: All das landet in Ihrem System, ohne dass Sie selbst etwas falsch gemacht haben. Die Sicherheit Ihrer Partner ist Teil Ihrer eigenen Sicherheit.

Diese drei Muster sind keine Theorie. Sie sind die Realität, in der mittelständische Betriebe in Bremen und Niedersachsen heute arbeiten.

Welche Maßnahmen wirklich Schutz bringen

IT-Sicherheit muss kein Sammelsurium aus zehn isolierten Einzellösungen sein. Sechs aufeinander abgestimmte Bausteine schließen die häufigsten Angriffswege. Wir setzen sie im Rahmen unserer IT-Sicherheits-Lösungen für Mittelständler im Nordwesten regelmäßig auf.

Firewall und Netzwerkschutz. Wir setzen ausschließlich Firewall-Hersteller aus Deutschland ein. Der Grund ist nicht patriotisch, sondern technisch: Bei Produkten aus dem außereuropäischen Ausland lässt sich nicht zweifelsfrei ausschließen, dass Hintertüren in der Firmware liegen. Bei deutschen Lösungen ist das transparent geprüft und DSGVO-konform dokumentiert.
Endpoint-Schutz und EDR. Klassischer Virenschutz erkennt nur bekannte Bedrohungen. Moderne EDR-Lösungen analysieren das Verhalten der Endgeräte und stoppen verdächtige Aktivitäten, bevor sie Schaden anrichten. Wenn ein Programm anfängt, hunderte Dateien zu verschlüsseln, schlägt das System Alarm und beendet den Vorgang.
Mail-Security und revisionssichere Archivierung. Die meisten Angriffe beginnen mit einer E-Mail. Ein vorgelagertes Filtersystem fängt Phishing, Spoofing und Schadsoftware ab, bevor sie im Posteingang landen. Eine revisionssichere Mailarchivierung erfüllt parallel gesetzliche Anforderungen aus Steuerrecht und Handelsrecht.
Strukturierte Backup-Strategie mit Tests. Ein Backup, das nie wiederhergestellt wurde, ist kein Backup. Wir bauen Backups in mehreren Stufen auf, mit mindestens einer Offline- oder versionierten Kopie, die gegen Ransomware geschützt ist. Regelmäßige Wiederherstellungstests sind Teil der Betreuung.
Sicherheitskonzept und Risikoanalyse. Technische Maßnahmen wirken nur, wenn sie zur Gesamtlage des Betriebs passen. Wir analysieren bestehende Infrastruktur, bewerten Risiken priorisiert und erstellen ein abgestimmtes Sicherheitskonzept, das die wichtigsten Lücken zuerst schließt.
Awareness und menschliche Firewall. Mitarbeitende sind kein Risiko, sondern ein Schutzwall, wenn sie wissen, worauf sie achten müssen. Eine kurze, regelmäßige Schulung sensibilisiert für die typischen Muster, ohne das Team zu überfordern. In unserer Praxis bezeichnen wir dieses Element als die menschliche Firewall.

Warum lokale Sicherheits-Betreuung im Nordwesten zählt

IT-Sicherheit ist kein Produkt, das man einmal kauft. Sie ist ein laufender Prozess aus Monitoring, Updates, Tests, Anpassungen und im Ernstfall schneller Reaktion. Gerade beim letzten Punkt wird regionale Nähe konkret.

Wenn nachts um zwei eine kritische Lücke ausgenutzt wird und ein Server kompromittiert ist, hilft Ihnen keine Hotline im Ausland. Sie brauchen einen Ansprechpartner, der Ihren Betrieb kennt, der morgens vor Ort sein kann, der die Strukturen und die Verantwortlichkeiten in Ihrem Haus auswendig weiß.

Aus Bremen heraus betreuen wir Mittelständler im Radius von rund 70 Kilometern direkt vor Ort, in Niedersachsen ebenso wie in den umliegenden Landkreisen. Remote-Betreuung läuft überregional, technische Vor-Ort-Einsätze gehören in den Stunden- und nicht in den Tagesbereich. 180 Minuten Reaktionszeit und eine 365-Tage-Erreichbarkeit sind dabei kein Werbeversprechen, sondern Servicestandard.

NIS-2 und regulatorische Pflichten

Mit der NIS-2-Richtlinie hat die EU die regulatorischen Anforderungen an IT-Sicherheit deutlich erhöht. Sie gilt unmittelbar für „wesentliche“ und „wichtige“ Einrichtungen aus bestimmten Sektoren ab definierten Größenklassen.

Für viele Mittelständler in Bremen und Niedersachsen heißt das in der Praxis: entweder direkt betroffen oder über die Lieferkette indirekt verpflichtet, weil größere Kunden Sicherheitsanforderungen weitergeben. In Bremens Hafenlogistik, im Lebensmittelmittelstand und in der niedersächsischen Industrie ist das längst Realität.

Auf rechtlicher Ebene gehört die Detailbewertung in die Hände spezialisierter Juristen. Auf technischer Ebene unterstützen wir bei der Bewertung des aktuellen Sicherheitsniveaus, der Identifikation kritischer Systeme, der Umsetzung technischer Schutzmaßnahmen und einer strukturierten Dokumentation.

In drei Schritten zu einer belastbaren Sicherheitsstrategie

Sicherheit im Mittelstand muss nicht groß gedacht werden. Sie muss richtig geordnet werden. Wir arbeiten in drei Phasen.

Sicherheits-Check. Wir nehmen den aktuellen Stand auf: Mail-Sicherheit, Endgeräte, Remote-Zugänge, Backup-Konzept, Berechtigungen, Patch-Status. Sie erhalten ein ehrliches Lückenpapier, das zwischen kritisch, mittel und strategisch unterscheidet.
Priorisierung nach Risiko. Aus dem Check entsteht eine klare Reihenfolge: Welche Maßnahmen schließen sofort die größten Lücken? Welche stabilisieren mittelfristig? Welche sind strategisch sinnvoll, aber nicht akut?
Schrittweise Umsetzung und laufende Betreuung. Maßnahmen werden so umgesetzt, dass der Betrieb nicht beeinträchtigt wird. Anschließend übernehmen wir Monitoring, Updates und regelmäßige Sicherheitsprüfungen im Rahmen der laufenden IT-Betreuung. Sicherheit bleibt damit auf einem definierten Niveau, statt langsam zu verfallen.

Häufige Fragen

Was bedeutet IT-Sicherheit konkret für einen mittelständischen Betrieb?

IT-Dienstleister wechseln: So gelingt der Wechsel ohne Chaos

Fb-zanoni-consulting.de — Thu, 04 Jun 2026 08:59:46 +0000

Viele Unternehmen halten zu lange an einem IT-Dienstleister fest, der schon länger nicht mehr passt. Wartezeiten, fehlende Transparenz und das Gefühl, dass niemand wirklich Verantwortung übernimmt, sind typische Anzeichen.

Im Gespräch erklärt Romano Zanoni, wie ein Wechsel strukturiert abläuft, welche Sorgen Unternehmen davor haben und woran sich erkennen lässt, dass ein Wechsel überfällig ist.

„Wechsel ist kein Risiko, wenn er strukturiert geplant wird" — Romano Zanoni im Interview

Romano Zanoni führt die ZANONI Consulting GmbH in Bremen und bringt über 20 Jahre Erfahrung in der IT mit. Mit seinem Team hat er mehr als 100 Betriebsübernahmen begleitet. Im Interview spricht er über die häufigsten Wechselgründe, typische Sorgen und den Ablauf einer sauberen Übergabe.

Was ist der häufigste Grund, warum Unternehmen zu euch wechseln?

In den meisten Fällen ist es nicht ein einziger Auslöser, sondern eine Mischung aus mehreren Dingen, die sich über Monate aufstauen. Lange Wartezeiten, schlechte Erreichbarkeit, ständig wechselnde Techniker, jeder dieser Punkte für sich allein ist auszuhalten. Wenn aber im Hintergrund noch dazukommt, dass niemand mehr richtig weiß, wie die eigene IT eigentlich aufgebaut ist, und dass immer nur reagiert wird, wenn etwas brennt, dann wird es eng.
Was wir besonders häufig hören: Die Rechnungen überraschen, die Angebote sind unklar formuliert, und es gibt keinen festen Ansprechpartner, der den Betrieb wirklich kennt. Das addiert sich, und irgendwann reißt der Geduldsfaden. An dem Punkt rufen die Kunden bei uns an.

Was ist die größte Sorge der Unternehmen vor einem Wechsel und wie nehmt ihr sie?

Die größte Sorge ist fast immer dieselbe: Was passiert, wenn während der Übergabe etwas verloren geht oder ausfällt? Die zweite Sorge ist offener, viele sagen uns ehrlich, dass sie selbst gar nicht mehr genau wissen, wie ihre IT aufgebaut ist. Und sie fragen, ob man so etwas überhaupt sauber übernehmen kann.

Wir nehmen beide Sorgen ernst, weil sie berechtigt sind. Es gibt bei uns keinen großen Knall, sondern einen Übergabeplan mit klaren Schritten, einer sauberen Bestandsaufnahme und abgestimmten Zeitfenstern. Wir dokumentieren, was wir vorfinden, bevor wir etwas verändern. Das schafft Ruhe.

Wir haben inzwischen über 100 Betriebsübernahmen begleitet, daraus ist ein Standardablauf entstanden, den wir an die Situation jedes einzelnen Kunden anpassen. Das ist der eigentliche Unterschied. Niemand muss bei uns das Gefühl haben, in einem Experiment zu sitzen.

Wie sieht euer Übernahme-Ablauf konkret aus?

Im Kern besteht er aus drei Phasen.

Die erste ist die Analyse der bestehenden IT. Verträge, Zugänge, Systeme, Sicherheitsstand, Dokumentation. Was steht heute, wo sind die Risiken, was wissen wir noch nicht. Daraus entsteht ein ehrliches Bild der Ausgangslage.

Die zweite Phase ist der Übergabeplan. Klare Schritte, Zeitfenster, eine offene Risikobewertung. Wir sagen vorher, was wann passiert und wo Stolperfallen liegen.

Die dritte Phase ist die Übernahme im laufenden Betrieb. Abgestimmt auf die Arbeitszeiten, dokumentiert und so, dass nichts hängen bleibt. Anschließend läuft die Betreuung weiter, und genau dort entscheidet sich, ob ein Wechsel den Unterschied gemacht hat oder nicht.

Woran erkennt ein Unternehmen, dass der Wechsel überfällig ist?

Es gibt fünf Anzeichen, die wir in Erstgesprächen immer wieder hören. Dieselben Probleme tauchen wiederholt auf, ohne dass etwas grundsätzlich gelöst wird.

Niemand kann sagen, wann das Backup zuletzt wirklich getestet wurde.
Die IT-Dokumentation ist alt oder gar nicht vorhanden.
Sicherheits-Updates werden garnicht oder nicht nachvollziehbar eingespielt.
Jede Rechnung überrascht.
Und schließlich: Reaktionszeiten verschlechtern sich oder Themen versanden einfach.

Wenn drei oder mehr dieser Punkte zutreffen, lohnt sich aus unserer Sicht der ehrliche Blick. Dann ist das kein Zufall mehr, sondern ein Muster.

Aus der Praxis: zwei Beispiele

Beispiel 1: Handwerksbetrieb mit unsichtbaren Lücken

Erst kürzlich haben wir einen Handwerksbetrieb übernommen. Bei der Bestandsaufnahme zeigte sich, dass der WLAN-Controller seit über einem Jahr offline war und überhaupt nicht mehr genutzt wurde. Es waren zwei Firewalls für Home-Office-Zugänge angeschafft worden, obwohl eine einfache VPN-Verbindung dieselbe Aufgabe übernommen hätte. Das Backup lief noch über ein altes Tape-System mit externer Festplatte. Wir mussten das WLAN-Netz komplett neu aufbauen, weil der Controller nicht mehr lief und keine Zugänge mehr vorhanden waren. Der WLAN-Sender lag schlicht auf einem Schreibtisch und hatte für eine ganze Büroetage nicht ausreichend Reichweite. Der Kunde wusste von all dem nichts, weil nie jemand mit ihm darüber gesprochen hatte. Das ist häufig der Punkt: fehlendes Interesse oder Intransparenz beim Dienstleister.

Beispiel 2: Backup-Lücke ohne Vertragsgrundlage

Bei einem anderen Kunden haben wir festgestellt, dass die Backups nur 14 Tage aufbewahrt wurden und die Firewall überhaupt nicht regelmäßig gewartet wurde. Der Kunde war stets davon ausgegangen, dass der Dienstleister sich darum kümmert. Tatsächlich war beides nicht im Vertrag enthalten. Genau deshalb empfehlen wir, das Kleingedruckte vor jeder Vertragsverlängerung wirklich zu lesen.

Wann ein Wechsel des IT-Dienstleisters wirklich sinnvoll ist

Im zweiten Teil dieses Beitrags vertiefen wir die Punkte aus dem Interview und ordnen sie für Geschäftsführer und IT-Verantwortliche im Mittelstand ein. Ein externer IT-Dienstleistungs-Wechsel ist nie ein Selbstzweck. Wer aber an einem unpassenden Dienstleister festhält, zahlt nicht weniger, sondern andere Kosten: Zeit, Frust und Risiko.

Sechs Anzeichen, dass der aktuelle Dienstleister nicht mehr passt

Die folgenden Punkte tauchen in der Praxis fast immer in Kombination auf. Treffen mehrere zu, ist es Zeit für eine ehrliche Bestandsaufnahme.

Wiederkehrende Probleme ohne nachhaltige Lösung. Dieselbe Störung kommt im Quartalsrhythmus, der Workaround wird zur Routine. Niemand sucht nach der Ursache, jeder kennt die Umgehung.
Reaktive statt proaktive Betreuung. Es passiert immer erst dann etwas, wenn schon etwas brennt. Monitoring, Sicherheits-Updates und Backup-Tests laufen entweder gar nicht oder ohne Rückmeldung.
Lange Wartezeiten und wechselnde Ansprechpartner. Jedes neue Anliegen landet bei einer anderen Person, niemand kennt die Anlage. Beim dritten Mal das Wesentliche erklären zu müssen, kostet Zeit und Vertrauen.
Fehlende oder veraltete IT-Dokumentation. Niemand kann sagen, welche Systeme im Haus stehen, wie sie verbunden sind und wer wann was geändert hat. Im Störungsfall geht es um Stunden statt Minuten.
Unklare Kostenstruktur. Jede Rechnung überrascht. Pauschalen und Einzelleistungen vermischen sich, Angebote sind interpretationsfähig. Was im Vertrag enthalten ist, weiß keiner mehr genau.
Kein klarer Sicherheits- und Backup-Status. Wann wurde das letzte Backup wirklich wiederhergestellt? Wann liefen die letzten Updates der Firewall? Auf diese Fragen sollte ein guter IT-Partner sofort antworten können.

Die typischen Sorgen vor einem Wechsel und warum sie oft unbegründet sind

Den passenden IT-Dienstleister in Bremen zu finden ist nicht immer leicht. Diese drei Sorgen kommen in Erstgesprächen immer wieder. Alle drei sind nachvollziehbar, und alle drei lassen sich mit einem strukturierten Vorgehen entkräften.

„Was, wenn während der Übergabe etwas verloren geht?"

Die Antwort liegt in der Reihenfolge. Eine saubere Übernahme arbeitet parallel, nicht mit einem Tag-X-Schnitt. Der bestehende Stand wird dokumentiert, bevor irgendetwas verändert wird. Migrationen werden in Etappen umgesetzt, jeder Schritt wird getestet, bevor der nächste startet. Verlorene Daten oder unbemerkte Ausfälle sind in einer strukturierten Übernahme die Ausnahme, nicht die Regel.

„Niemand kennt unsere IT mehr richtig"

Genau das ist der Grund, warum sich der Wechsel lohnt. Die Bestandsaufnahme ist Teil der Übernahme, nicht Voraussetzung. Ein erfahrener neuer Dienstleister rechnet damit, eine gewachsene Umgebung vorzufinden. Dokumentationslücken werden geschlossen, fehlende Zugänge neu angelegt, undurchsichtige Sonderlösungen geprüft. Was vorher Wissensinsel war, wird wieder Teil einer geordneten Struktur.

„Wir haben dafür jetzt keine Zeit"

Diese Sorge ist die hartnäckigste. Tatsächlich ist sie aber meistens das Symptom, nicht der Grund zum Bleiben. Wenn keine Zeit für einen geplanten Wechsel da ist, ist erfahrungsgemäß auch keine Zeit für die nächste größere IT-Störung, die unangekündigt kommt. Ein geplanter Wechsel kostet einmalig Aufmerksamkeit. Ein nicht passender Dienstleister kostet sie fortlaufend.

So läuft eine strukturierte IT-Übernahme bei ZANONI ab

Unser Standardablauf ist aus über 100 Betriebsübernahmen entstanden und folgt drei Phasen.

1. Analyse der bestehenden IT

Wir prüfen Verträge und Kündigungsfristen, sammeln Zugänge, dokumentieren das vorhandene System-Inventar und bewerten den Sicherheits- und Backup-Status. Risiken werden offen benannt. Sie erhalten zum Abschluss dieser Phase eine ehrliche Einschätzung, welche Themen sofort, welche im nächsten Quartal und welche strategisch angegangen werden sollten.

2. Übergabeplan und Zielbild

Aus der Analyse entsteht ein Plan mit klar definierten Schritten und Zeitfenstern. Kritische Systeme werden zuerst stabilisiert. Mitarbeitende werden informiert, Eskalationswege sind klar. Aufwand und Kosten werden transparent dargestellt, ohne dass eine Unterschrift erforderlich wäre, bevor Sie ein vollständiges Bild haben.

3. Übernahme im laufenden Betrieb

Die Übernahme läuft schrittweise, nie als „großer Knall“. Vor jedem Wechselschritt wird getestet, jeder Schritt wird dokumentiert. Anschließend übernehmen wir die laufende Betreuung mit festen Reaktionszeiten und einem festen Ansprechpartner. Mehr zum Modell unserer IT-Betreuung finden Sie auf der Service-Seite, mehr zum Team und zu unserem Verständnis von Change Management auf der Seite Über uns.

Was eine gute Übergabe ausmacht

Über die rein technische Mechanik hinaus entscheiden ein paar weiche Faktoren darüber, ob ein Wechsel als Erleichterung oder als Belastung erlebt wird.

Ein fester Ansprechpartner ab Tag eins, der Ihren Betrieb kennt und nicht bei jeder Anfrage erst Akten lesen muss. Eine realistische, nachvollziehbare Zeitplanung, die zu Ihren Arbeitsrhythmen passt. Keine Drohkulisse, sondern eine sachliche Darstellung der Lage. Und vor allem: eine ehrliche Analyse vor jedem unterschriebenen Wartungsvertrag, damit Sie wissen, worauf Sie sich einlassen.

Häufige Fragen zum IT-Dienstleister-Wechsel

Wie lange dauert ein IT-Dienstleister-Wechsel?

Cloud-Telefonie für Handwerksbetriebe: Lohnt sich der Umstieg?

Fb-zanoni-consulting.de — Mon, 18 May 2026 18:02:20 +0000

Die Frage taucht in unseren Gesprächen mit Handwerks- und Industriebetrieben immer häufiger auf. Die alte Telefonanlage steht im Serverraum, ist Jahre alt und langsam am Ende ihrer Lebensdauer. Gleichzeitig sind Mitarbeiter und Geschäftsführer mehr unterwegs als im Büro, Anrufe gehen verloren, und die Telekom hat erneut eine Vertragsumstellung angekündigt. Spätestens dann steht die Frage im Raum: Lohnt sich ein Umstieg auf Cloud-Telefonie?

Die kurze Antwort: in den meisten Handwerksbetrieben ja. Die längere Antwort liefert dieser Beitrag.

Was Cloud-Telefonie überhaupt bedeutet

Cloud-Telefonie verlagert die Telefonanlage aus dem eigenen Serverraum in ein Rechenzentrum. Der Anschluss läuft nicht mehr über eine physische Box im Haus, sondern über eine virtuelle Anlage, auf die alle Endgeräte über das Internet zugreifen. Das Endgerät kann ein klassisches Tischtelefon sein, eine App auf dem Smartphone, eine Software auf dem Bürorechner oder eine Kombination aus allem.

Für den Anrufer ändert sich nichts. Er wählt die gewohnte Bürorufnummer und landet bei dem Mitarbeiter, der gerade verfügbar ist. Egal ob dieser im Büro sitzt, auf der Baustelle steht oder im Auto unterwegs ist.

Wichtig zur Einordnung: Cloud-Telefonie hat nichts mehr mit dem ISDN-Thema von vor einigen Jahren zu tun. Auch wer heute eine moderne IP-Anlage im Haus stehen hat, kann den nächsten Schritt in die Cloud sinnvoll prüfen.

Warum gerade Handwerksbetriebe von Cloud-Telefonie profitieren

Handwerksbetriebe sind in der Regel mobile Betriebe. Geschäftsführer, Vorarbeiter und Monteure sind mehr außerhalb als innerhalb des Büros unterwegs. Das stellt klassische Telefonanlagen vor ein strukturelles Problem: Sie sind auf einen festen Ort optimiert.

Mit Cloud-Telefonie kommt die Telefonanlage dorthin, wo gearbeitet wird. Vier Punkte machen den Unterschied im Handwerk besonders spürbar.

Erreichbarkeit auf der Baustelle. Anrufe an die Bürorufnummer landen automatisch auf dem Mobiltelefon des zuständigen Mitarbeiters. Er nimmt ab, der Anrufer sieht keinen Unterschied zur Bürozentrale. Kein Klingelton, der ins Leere geht.

Saubere Trennung zwischen privater und beruflicher Kommunikation. Mitarbeiter telefonieren über ihre Bürorufnummer, auch wenn sie das eigene Smartphone nutzen. Beim Anrufer erscheint die Firmennummer, die private Nummer bleibt geschützt.

Mehrere Standorte ohne extra Anlage. Wer einen zweiten Standort eröffnet, einen Lagerplatz dazumietet oder ein neues Werkstattbüro einrichtet, muss keine zweite Anlage anschaffen. Die neuen Geräte werden in dieselbe Cloud-Telefonie eingebunden.

Skalierung ohne Hardware-Investition. Wenn das Team wächst, kommen einfach neue Lizenzen dazu. Wenn es kleiner wird, fallen sie wieder weg. Die feste, gewachsene Anlage im Serverraum ist Geschichte.

Klassische Anlage und Cloud-Telefonie im direkten Vergleich

Die wirtschaftliche Frage „Lohnt sich der Umstieg?“ lässt sich in fünf Punkten gut auflösen.

Investition. Eine klassische IP-Telefonanlage im Haus bedeutet einmalige Investitionskosten für Hardware, Lizenzen und Einrichtung, oft im fünfstelligen Bereich. Cloud-Telefonie wird im Festpreis pro Nutzer und Monat abgerechnet. Es gibt keine Hardware-Investition für die Anlage selbst.

Wartung. Eine lokale Anlage muss gewartet werden. Updates, Sicherheits-Patches, Reparaturen bei Hardware-Defekten, Tausch von Komponenten am Ende der Lebensdauer. Die Cloud-Anlage wird zentral betrieben und ist Teil des Servicevertrags.

Skalierung. Mehr Mitarbeiter bedeuten bei einer klassischen Anlage neue Lizenzen, gegebenenfalls neue Hardware. In der Cloud sind neue Lizenzen eine Sache von Minuten.

Mobilität. Die klassische Anlage ist an einen Standort gebunden. Mobile Apps lassen sich nachrüsten, sind aber selten so sauber integriert wie bei einer von Grund auf für Mobilität gebauten Cloud-Lösung.

Ausfallsicherheit. Eine Anlage im eigenen Serverraum fällt zusammen mit dem Strom oder dem Internet aus. Eine Cloud-Anlage läuft im Rechenzentrum weiter, Anrufe werden bei Bedarf direkt aufs Handy umgeleitet.

In Summe ist die Cloud in den allermeisten Handwerksbetrieben heute die wirtschaftlichere Lösung, sobald die bestehende Anlage am Ende ihrer Lebensdauer angekommen ist oder Mobilität ein echtes Thema wird.

Microsoft-365-Integration: Was möglich ist und was nicht

Die meisten Handwerksbetriebe arbeiten heute ohnehin mit Microsoft 365. Outlook für Mails und Kontakte, Teams für interne Kommunikation, SharePoint für Dokumente. Wenn die Telefonie in dieselbe Welt einzieht, entstehen praktische Vereinfachungen, die im Alltag spürbar sind.

Aus dem Outlook-Kontakt einen Anruf starten, ohne die Nummer abzutippen. Eine eingehende Nummer wird automatisch dem passenden Kunden zugeordnet, samt Kontaktbild und letzten E-Mails. Anrufprotokolle landen im Outlook und sind durchsuchbar. Im Teams-Client wird der Anruf entgegengenommen, weitergeleitet oder in eine Konferenz übergeben.

Es gibt zwei verbreitete technische Wege. Entweder läuft die Telefonie direkt über Microsoft Teams als Telefonsystem, oder sie wird mit einer eigenständigen Cloud-Telefonanlage realisiert, die sauber mit Microsoft 365 verbunden ist. Welcher Weg passt, hängt von Größe, Anforderungen und der vorhandenen Lizenzstruktur ab. In Handwerksbetrieben ist die zweite Variante oft die bessere, weil sie mehr Funktionen für Telefonzentralen, Warteschleifen und Anrufgruppen bietet.

Was Microsoft 365 nicht ersetzt, sind Spezialfunktionen wie Türsprechanlagen, klassische Faxgeräte oder Notrufanbindungen. Diese müssen separat geplant werden und sind ein typischer Punkt in der Bestandsaufnahme.

Wann sich der Umstieg wirklich lohnt – und wann nicht

Cloud-Telefonie ist kein Selbstzweck. In der Praxis gibt es klare Situationen, in denen der Umstieg sinnvoll ist, und einige, in denen wir dazu raten, noch zu warten.

Sinnvoll ist der Umstieg in der Regel, wenn:

die bestehende Anlage am Ende ihrer Lebensdauer ist und ohnehin investiert werden müsste,
mobile Erreichbarkeit für Mitarbeiter und Geschäftsführung ein wiederkehrendes Thema ist,
mehrere Standorte oder Außendienstler eingebunden werden sollen,
das Wachstum des Betriebs in den nächsten Jahren absehbar ist,
die bestehende Microsoft-365-Umgebung sauber genutzt werden soll.

Weniger sinnvoll ist der Umstieg, wenn:

erst kürzlich in eine moderne IP-Anlage investiert wurde, die noch viele Jahre läuft,
die Internetanbindung am Standort instabil ist und zuerst stabilisiert werden muss,
sehr spezielle Sonderhardware (Notrufsysteme, Türsprechanlagen, Werkstatt-Lautsprecher) den Großteil der Anforderungen ausmacht und sich nicht sinnvoll integrieren lässt.

In den meisten dieser Fälle ist die richtige Antwort nicht „nicht umsteigen“, sondern „erst die Voraussetzungen schaffen“. Das machen wir in einer Bestandsaufnahme transparent.

Wie wir den Umstieg bei Handwerksbetrieben begleiten

Cloud-Telefonie ist technisch nicht kompliziert. Was den Unterschied zwischen einem reibungslosen Umstieg und drei Wochen Frust ausmacht, ist die Vorbereitung. Wir gehen in vier Schritten vor.

Bestandsaufnahme. Welche Anlage ist heute im Einsatz? Welche Rufnummern, welche Anschlüsse, welche Sonderfunktionen? Wie ist die Internetanbindung an den relevanten Standorten?
Konzept. Welche Cloud-Telefonie-Lösung passt zur Größe und Struktur des Betriebs? Welche Endgeräte werden benötigt? Wie wird die Microsoft-365-Integration gestaltet? Wir erstellen eine klare Empfehlung mit Festpreis und Zeitplan.
Umstellung in einem definierten Zeitfenster. Rufnummern werden portiert, neue Endgeräte ausgerollt, Mitarbeiter eingewiesen. Die Umstellung läuft so, dass keine Anrufe verloren gehen.
Laufende Betreuung. Updates, Anpassungen, neue Mitarbeiter, neue Standorte: All das ist Teil der laufenden IT-Betreuung für Handwerks- und Industriebetriebe.

Unsere Cloud-Telefonie läuft in unserem eigenen Rechenzentrum in Bremen. Daten und Gespräche bleiben in Deutschland, die Abrechnung ist ein fester Monatspreis ohne nutzungsbasierte Komponenten.