Wechsel des IT-Dienstleisters: Bestandsaufnahme der Zugangsdaten und Verträge

Ein IT-Dienstleister verfügt über Zugriffsrechte auf Ihre Systemumgebung: Das ist die Voraussetzung dafür, dass er seine Arbeit erledigen kann. Einige dieser Zugriffsrechte sind auf seinen Namen eingerichtet, andere auf Ihren, und die Verteilung hat sich im Laufe der Jahre Ordner für Ordner herausgebildet, ohne dass jemand sie auf einen Schlag festgelegt hätte.

Diese Aufteilung zwischen den Zugängen, die Ihnen gehören, und denen, die Ihrem Dienstleister gehören, wird wieder deutlich, sobald Sie den IT-Dienstleister wechseln, einen Teil des Betriebs wieder intern übernehmen oder eine Frage im Rahmen eines Audits beantworten möchten. Diese Zugriffsrechte bilden keinen zusammenhängenden Block: Lizenzen und Abonnements, der Domainname und dessen DNS, die Datensicherung, die vertraglichen Vereinbarungen sowie die technische Dokumentation werden separat verwaltet, und jedes dieser Elemente kann auf der einen oder der anderen Seite liegen. Keines davon hängt von der Qualität der Beziehung zu Ihrem derzeitigen Dienstleister ab.

Was weiterhin in Ihrer Verantwortung liegt – sowohl vor Ort als auch online

Microsoft veröffentlicht eine Tabelle zur geteilten Verantwortung, in der vier Szenarien verglichen werden – von der Installation vor Ort bis hin zum sofort einsatzbereiten Online-Dienst. Daten, Konfigurationen und Identitäten fallen in allen vier Fällen in den Zuständigkeitsbereich des Kunden. Microsoft schreibt, dass Sie unabhängig vom Modell Eigentümer Ihrer Daten und Identitäten sind, und nennt vier Verantwortlichkeiten, die in jedem Fall bei Ihnen verbleiben: Daten, Endgeräte, Verwaltung von Benutzerkonten und Zugriffsverwaltung.

Diese Eigentumsbeziehung sagt nichts darüber aus, wer die Kontrolle im Tagesgeschäft ausübt. Ein Dienstleister verwaltet, weil ihm Rollen zugewiesen wurden, und diese Rollen werden unabhängig von der Eigentumsbeziehung vergeben. Was Microsoft 365Die Einzelheiten – welche Rollen es gibt, welche Berechtigungen sie gewähren, wo die Partnerbeziehungen eingesehen werden können und wie sie entfernt werden – werden unter „Wer ist Eigentümer Ihres Tenants?“ Microsoft 365 behandelt. Die gleiche Frage stellt sich auch für Server, Endgeräte, das Netzwerk, die Telefonie, die Fachanwendungen und deren Abonnements.

Der Umfang der Zugriffsrechte eines Dienstleisters richtet sich nach dem Umfang seines Auftrags. Ein umfassendes Outsourcing-Vertrag sieht umfassendere Rechte vor als ein einmaliger Einsatz, und daraus lässt sich nichts ableiten: Entscheidend ist, welche Rechte er besitzt und wo diese festgehalten sind.

Lizenzen und Abonnements: Konto, Rechnung, Konsole

Ein Abonnement hängt von zwei Konten ab, die nicht immer identisch sind: dem Konto, über das es abgeschlossen und abgerechnet wird, und dem Konto, über das es verwaltet wird. Das erste kann bei Ihnen liegen, das zweite bei Ihrem Dienstleister.

Für jedes Abonnement – vom E-Mail-Programm über das Antivirenprogramm bis hin zur Telefonie und zur Branchenanwendung – stellen sich daher drei Fragen: Auf welchen Namen lautet der Vertrag, wer erhält die Rechnung und über welches Konto erfolgt die Abwicklung?

Der Kauf über einen Vermittler hat eine Auswirkung, die Microsoft dokumentiert: Nur Global-Administratoren können die über einen Partner erworbenen Abonnements einsehen und verwalten. Diese Administratoren verfügen über nahezu uneingeschränkten Zugriff auf die Einstellungen der Organisation und auf den Großteil ihrer Daten, weshalb Microsoft empfiehlt, ihre Anzahl so weit wie möglich zu begrenzen. Ein Benutzer Ihrer Organisation, der diese Rolle nicht innehat, kann diese Abonnements daher nicht einsehen.

Dass ein Abonnement übertragbar ist, lässt sich nicht pauschal auf alle Produkte übertragen. Ein direkt abgeschlossenes Abonnement, ein bei einem Händler abgeschlossenes Abonnement und eine auf einem Server installierte unbefristete Lizenz werden nicht gleich behandelt: Erkundigen Sie sich bitte beim jeweiligen Anbieter.

Sie können die Liste Ihrer IT-Abonnements selbst erstellen und dabei für jedes Abonnement die Rechnungsempfängerin sowie die Adresse der Verwaltungskonsole angeben. Ein Teil dieser Angaben geht bereits aus Ihren eigenen Rechnungen hervor.

Der Domainname und die Web DNS : das Konto beim Registrar

Ihre E-Mail-Adressen und die Adresse Ihrer Website basieren auf Ihrem Domainnamen. Diese Domain ist bei einem Registrar registriert, also der Stelle, bei der Ihr Unternehmen sie angemeldet hat, und es ist das bei diesem Registrar eröffnete Konto, das die Einträge unter DNS verwaltet oder den Hosting-Anbieter bestimmt, der diese veröffentlicht. Microsoft identifiziert eine Organisation übrigens meist anhand eines oder mehrerer öffentlicher Domainnamen DNS , und genau diese Organisation ist Inhaberin der entsprechenden Abonnements.

Dieses Konto dient auch dazu, nachzuweisen, dass die Domain Ihnen gehört. Microsoft überprüft, ob ein Domainname Ihnen gehört, anhand eines TXT-Eintrags vom Typ „ DNS “ – einer Textzeile, die in den Domain-Einstellungen beim Registrar veröffentlicht wird. Dies ist beispielsweise beim Hinzufügen einer benutzerdefinierten Domain der Fall, bei der Sie die TXT-Einträge eingeben müssen, um die Eigentümerschaft an dem Namen nachzuweisen. Dies gilt auch für das von Microsoft dokumentierte Übernahmeverfahren für ein nicht verwaltetes Verzeichnis: Der TXT-Eintrag wird beim Registrar hinzugefügt, und sobald diese Einträge überprüft wurden, können Sie die Organisation verwalten Microsoft Entra, also das Verzeichnis, das Ihre Konten enthält, verwalten. Die externe Übernahme erfordert denselben Validierungsprozess wie die interne Übernahme.

Dieses Verfahren hat einen begrenzten Anwendungsbereich: Es bezieht sich auf den Fall eines Verzeichnisses, das durch eine Selbstregistrierung entstanden ist, und nicht auf eine seit Jahren verwaltete Umgebung. Wenn der Tenant Ihres Unternehmens – der Bereich Microsoft 365 , der die Konten und Daten Ihres Unternehmens enthält – bereits verwaltet wird, kommen andere Maßnahmen zum Tragen.

Dass das Konto beim Registrar von Ihrem Dienstleister geführt wird, ist verständlich: Dort veröffentlicht er die Einträge, die Ihre Dienste benötigen. Die Frage ist, wer Zugriff auf dieses Konto hat, nicht nur, wer es nutzt. Drei Antworten reichen aus: Bei welchem Registrar ist die Domain registriert, wer verfügt über den Benutzernamen und das Passwort des Kontos und an welche Adresse werden die Verlängerungsmitteilungen gesendet? Eine Verlängerungsmitteilung, die an ein Postfach gesendet wird, das bei Ihnen niemand abruft, bringt Ihnen vor Ablauf der Laufzeit nichts.

Für eine Domain in .ch, die erste dieser drei Antworten lässt sich lesen, ohne jemanden um etwas bitten zu müssen. Switch verwaltet die Registry – das zentrale Namensregister in .ch — im Auftrag des Bundesamtes für Kommunikation, und seine öffentliche Abfrage von Domainnamen zeigt für eine registrierte Domain den Registrar und die technischen Details an. Personenbezogene Daten werden hingegen seit dem 1. Januar 2021 nicht mehr offengelegt, und Informationen über die Inhaber sind nur in Ausnahmefällen erhältlich: Um den Namen des eingetragenen Inhabers zu erfahren, muss man diesen beim Registrar erfragen. Switch verweist übrigens bei allen Fragen zu einer Domain an diesen. .ch, sowie für alle Änderungen an einer bereits registrierten Domain.

Die Datensicherung: Wo wird sie gespeichert, wer bezahlt sie, wer kann die Daten wiederherstellen?

Ein Backup besteht aus drei Komponenten, die sich nicht unbedingt alle in denselben Händen befinden: das Abonnement für das Produkt und dessen Abrechnung, die konfigurierte Aufbewahrungsdauer und die Konsole, über die eine Wiederherstellung ausgelöst wird.

Microsoft 365Backup liefert hierfür ein belegtes Beispiel. Microsoft schreibt, dass es sich um ein nutzungsabhängiges Angebot handelt, das nicht pro Benutzerlizenz abgerechnet wird, und dass dieses Produkt sowohl über das Verwaltungszentrum Microsoft 365 als auch über Partneranwendungen, die auf seiner Speicherplattform basieren, genutzt werden kann. Für eine Partneranwendung wird präzisiert, dass die Nutzung des Tools vollständig über die Anwendung des Partners verwaltet und abgerechnet wird. Je nach gewähltem Aufbau wird eine Wiederherstellung also nicht über dieselbe Konsole ausgelöst.

Die gleiche Aufteilung gilt auch für den Rest des Bestands. Bei Ihren Servern basiert die Datensicherung auf einem Datenträger, einer Software und einem Standort: bei Ihnen, beim Dienstleister oder bei einem externen Hosting-Anbieter. Bei Ihren Arbeitsplätzen stellt sich zunächst die Frage, welche davon gesichert werden. Bei Ihren Fachanwendungen können sich die Daten in einer Datenbank befinden, die Sie selbst hosten, oder beim Hersteller, wobei die dort geltenden Aufbewahrungsfristen gelten.

Zu wissen, dass ein Backup vorhanden ist, und zu wissen, dass eine Wiederherstellung funktioniert, sind zwei unterschiedliche Dinge. Letzteres lässt sich herausfinden, indem man den Bericht über den letzten Wiederherstellungstest anfordert oder darum bittet, einen solchen einzusehen.

Bei einer für Sie entwickelten Anwendung stellt sich dieselbe Frage hinsichtlich des Codes, der Daten und der Administratorzugriffe: Sie wird damit geklärt, wem die Anwendung nach ihrer Fertigstellung gehört.

Der Vertrag: Was ist am Ende der Amtszeit vorgesehen?

Die Rückgabe der Zugangsdaten und der Unterlagen am Ende eines Auftrags ist nicht automatisch gewährleistet: Sie hängt davon ab, was im Vertrag vorgesehen ist. Ein Vertrag, der hierzu keine Angaben enthält, verursacht während seiner Laufzeit keine Schwierigkeiten; er lässt die Frage offen, bis sie konkret wird.

In einem bestehenden Outsourcing-Vertrag sind vier Punkte zu finden:

1. die Kündigungsfrist und ab wann sie läuft;
2. was bei Vertragsende hinsichtlich der Verwaltungskonten und der technischen Unterlagen vorgesehen ist;
3. die Bereitstellung der Daten und das Format, in dem sie bereitgestellt werden;
4. der Zeitraum, in dem der bisherige Dienstleister für Fragen des Nachfolgers erreichbar bleibt.

Das sind übliche Fragen zum Zeitpunkt der Unterzeichnung, und die Verlängerung bietet eine gute Gelegenheit, sie noch einmal durchzulesen.

Das technische Inventar: Ausrüstung, Verwaltungsunterlagen, Schemata

Eine technische Bestandsaufnahme beantwortet drei Fragen: Was Sie haben, wie man darauf zugreift und wie alles miteinander verbunden ist.

Was Sie besitzen. Die Liste der Geräte mit der jeweiligen Seriennummer, dem Ablaufdatum der Garantie oder des Supports sowie dem entsprechenden Vertrag. Diese Liste ist unabhängig von einem eventuellen Anbieterwechsel gültig: Wenn ein Gerät ausfällt, gibt sie Aufschluss darüber, ob es noch unter den Vertrag fällt.

Wie man Zugriff erhält. Die Administratorkonten für Hardware und Software sowie der Ort, an dem deren Passwörter gespeichert sind. Das Passwort für ein gemeinsames Konto zu kennen, bedeutet nicht, dass man über dieses Konto verfügt: Dieses Passwort kann von jedem geändert werden, der es kennt.

Wie ist das vernetzt? Das Netzdiagramm, die Adressbereiche, die Betreiberverbindungen mit ihren Vertragsnummern sowie die Liste der Fachanwendungen mit ihren Anbietern und Support-Ansprechpartnern.

Die Form ist ebenso wichtig wie der Inhalt. Eine Dokumentation, die ausschließlich im Verwaltungstool Ihres Dienstleisters vorliegt, bleibt so lange einsehbar, wie Sie Zugriff auf dieses Tool haben – und sobald dieser Zugriff endet, können Sie sie nicht mehr einsehen. Eine Kopie, die Sie selbst in einem Format speichern, das auch ohne dieses Tool geöffnet werden kann, reicht aus, um dieses Problem zu lösen.

Unsere Lektüre

Wir legen die Reihenfolge fest: Beginnen Sie mit dem Domainnamen. Davon hängen Ihre E-Mail-Adressen ab, davon hängt die Überprüfung Ihrer Domains bei Microsoft ab, und davon hängt auch das von Microsoft dokumentierte Wiederherstellungsverfahren ab. Die Überprüfung erfolgt in einem Schritt und einer Anfrage: Für einen .ch, die Registrierungsstelle ist der öffentlichen Abfrage unter Switch zu entnehmen, und die Kontonummer wird bei dieser Registrierungsstelle angefordert.

Diese Antwort gilt nicht, wenn Sie in Ihrer Hauptumgebung keine Administratorrechte besitzen. In diesem Fall sollten Sie wie folgt vorgehen: Die Domäne leitet zwar ein Verfahren ein, aber es muss dennoch jemand auf Ihrer Seite vorhanden sein, der dieses Verfahren durchführt.

Wir veröffentlichen weder die durchschnittliche Dauer der Umstellung noch die durchschnittlichen Kosten eines Anbieterwechsels. Diese Werte hängen von der Anzahl der Dienste, dem Stand der Dokumentation und der Verfügbarkeit beider Anbieter ab. Ein von einem anderen Unternehmen übernommener Durchschnittswert wäre für die Budgetplanung Ihres Unternehmens nicht hilfreich.

Ein weit verbreitetes Missverständnis sollte hier richtiggestellt werden: Ein Vertrag, der die Übergabe von Zugangsrechten vorsieht, schafft diese Zugangsrechte nicht. Er beschreibt, was geschehen soll, während das Inventar angibt, was tatsächlich vorhanden ist. Beides hat seinen Nutzen, wobei das Inventar an erster Stelle steht, da es festlegt, was der Vertrag abdecken muss.

Schließlich steht diese Bestandsaufnahme nicht im Zusammenhang mit einem Veränderungsprojekt. Die gleichen Antworten sind auch dann nützlich, wenn die Person, die alles wusste, Ihr Unternehmen oder das Ihres Dienstleisters verlässt. Sind diese Antworten bereits bekannt und schriftlich festgehalten, gibt es nichts zu unternehmen: Der Sachverhalt rechtfertigt keinen Auftrag.

Was Sie ohne externe Hilfe erledigen können

1. Listen Sie Ihre IT-Abonnements auf und geben Sie für jedes Abonnement die Stelle an, an die die Rechnung gestellt wird, sowie die Adresse der Verwaltungskonsole.
2. Für eine Domain in .ch, lesen Sie den Namen des Registrars in der öffentlichen Abfrage unter Switch ab. Fragen Sie ihn anschließend nach dem Namen des eingetragenen Inhabers, der Konto-ID und der Adresse, an die die Verlängerungsmitteilungen gesendet werden.
3. Stellen Sie sicher, dass Sie auf Ihren Hauptsystemen über mindestens ein eigenes Administratorkonto verfügen und wissen, wie Sie dieses nutzen können.
4. Erkundigen Sie sich für jeden Sicherungsbereich, wo die Sicherungen gespeichert sind, über welches Abonnement sie abgerechnet werden, welche Aufbewahrungsdauer konfiguriert ist und wer eine Wiederherstellung auslösen kann.
5. Lesen Sie Ihren Outsourcing-Vertrag noch einmal durch: Kündigungsfrist, Verbleib der Administrationskonten und der Dokumentation nach Vertragsende, Rückgabe der Daten und deren Format sowie der Zeitraum, in dem der bisherige Dienstleister weiterhin erreichbar bleibt.
6. Fordern Sie eine Kopie der technischen Dokumentation in einem Format an, das sich ohne das Tool Ihres Dienstleisters öffnen lässt, und bewahren Sie diese bei sich auf.

Für keinen dieser sechs Punkte ist eine Vollmacht erforderlich: Es handelt sich um Fragen, die Sie Ihrem derzeitigen Dienstleister stellen sollten, und um Unterlagen, die Sie selbst aufbewahren sollten. Keiner dieser Punkte deutet zudem darauf hin, dass etwas nicht in Ordnung ist.

Die Quellen

• Antrag auf Domainnamen — Switch
• Rechtliche Hinweise zu .ch-Domainnamen — Switch
• Häufig gestellte Fragen zu .ch-Domainnamen — Switch
• Gemeinsame Verantwortung in der cloud
• Über Administratorrollen in der Microsoft 365 admin center
• Abonnements, Lizenzen, Konten und Mandanten für die cloud Angebote
• Übernahme der Administratorrechte für ein nicht verwaltetes Verzeichnis
• Überblick über Microsoft 365 Backup