Sicher betreiben. Ab Tag eins.
Arbeitsplatz, Identitäten, Geräte und Betrieb — sauber aufgesetzt, zentral verwaltet, abgesichert. Das Fundament, auf dem kleine regulierte Teams überhaupt erst sicher arbeiten und später KI-fähig werden.
Ein Arbeitsplatz, der den Menschen besser macht.
Ein produktiver Arbeitsplatz entsteht aus drei Bausteinen — Identität, Geräte und ITOps. Unser Massstab: Technik, die Menschen schneller und sicherer macht, statt ihnen Steine in den Weg zu legen.
01 
02 
03 Die Bausteine im Detail.
Identität, Geräte und ITOps ergeben den Arbeitsplatz — hier die vier Wege, ihn richtig aufzubauen.
01 Was ist ein guter Arbeitsplatz?
Vom Monitor-Setup bis zur Ergonomie — wie viele Bildschirme, welche Grösse, welcher Stuhl. Das passende Setup je Anwendungsfall.
Mehr erfahren →
02 Welches Gerät für welchen Fall?
Laptop, Tablet, 2-in-1, Workstation oder Rugged — welche Klasse zu welcher Rolle passt. Mac oder Windows ist für Standard-Arbeit längst kein Unterschied mehr.
Mehr erfahren →
03 Deine eigene KI im Haus
Souveräne KI auf eurer Infrastruktur statt Daten in fremde Clouds — Apple Silicon oder NVIDIA, Cloud oder on-prem. KI, die dir gehört.
Mehr erfahren →
04 Prozesse, die tragen
Onboarding, Freigaben, wiederkehrende Abläufe — sauber definiert, bevor Automatisierung und KI darauf aufsetzen.
Mehr erfahren →ITM Starter ist ein betreuter Arbeitsplatz (Managed Workplace) für kleine, regulierte Unternehmen ab etwa fünf Mitarbeitenden — Finanz, MedTech und kritische Dienstleister, die hohe Auflagen erfüllen müssen, aber kein eigenes IT-Team haben. ITM richtet Microsoft 365, Identitäten, Geräte und Netzwerk sauber ein, betreibt sie zentral und übernimmt die wiederkehrenden Abläufe (Onboarding, Offboarding, Support, Backup mit Restore-Test). Mitarbeitende dürfen zwischen Mac und Windows wählen (User Choice), beide werden nach demselben Sicherheitsstandard verwaltet (Cross-Plattform). Starter ist die erste von drei Stufen: Es legt das sichere Fundament, auf dem Core (KI & Automatisierung) und Professional (Compliance & Zertifizierung) aufbauen.
Starter ist für kleine Teams mit grossen Anforderungen: Unternehmen, die reguliert arbeiten, aber kein eigenes IT-Team und kein üppiges Budget haben. Ab etwa fünf Mitarbeitenden lohnt sich ein betreuter, zentral verwalteter Arbeitsplatz — vorausgesetzt, jemand übernimmt ihn wirklich. Und anders als die meisten Anbieter bauen wir von Anfang an für beide Welten: Mac und Windows, gleichberechtigt und gleich sicher. Genau das ist Starter: das sichere Fundament, bevor Automatisierung und KI (Core) und Zertifizierung (Professional) sinnvoll obendrauf passen. Unser Versprechen dahinter: Alles, was mit Technik zu tun hat, nehmen wir euch ab — damit ihr euch voll auf euer Geschäft konzentrieren könnt.
Für wen Starter gedacht ist
Kleine, hochregulierte Unternehmen stecken in einer Zwickmühle: Die Auflagen sind dieselben wie beim Konzern, die Mittel sind es nicht. Starter löst das, indem es zuerst das Wesentliche richtig macht — sicherer Betrieb, klare Identitäten, verwaltete Geräte — statt teurer Einzelprojekte ohne Fundament.
- Ab etwa fünf Mitarbeitenden, wo verwaltete IT planbarer und sicherer ist als Selbstbau
- Reguliert — Finanz, MedTech, kritische Dienstleister — aber ohne eigene IT-Abteilung
- Schmales IT-Budget, dafür hoher Bedarf an Verlässlichkeit und Nachweisbarkeit
- Wachstum geplant: Die Basis soll mitwachsen, nicht jedes Jahr neu gebaut werden
Mehr dazu
Kleine, regulierte Unternehmen tragen eine doppelte Last: Eine Vermögensverwaltung mit acht Leuten muss dieselben Anforderungen an Informationssicherheit, Nachvollziehbarkeit und Datenschutz erfüllen wie eine Bank mit tausend — nur ohne deren IT-Abteilung. Genau in diese Lücke zielt Starter. Statt teurer Einzelprojekte, die ohne Fundament verpuffen, sorgt ITM zuerst für das, was jede Prüfung und jeder Arbeitstag voraussetzt: einen sicheren, dokumentierten Betrieb.
Die Faustregel ‚ab etwa fünf Mitarbeitenden' ist kein Zufall. Unter fünf Personen lässt sich IT oft noch nebenher stemmen. Ab fünf wachsen Geräte, Konten, Zugänge und Datenmengen schneller, als eine nicht-spezialisierte Person sie sauber halten kann — und genau dann entstehen die Lücken, die später im Audit oder bei einem Sicherheitsvorfall auffallen. Ein betreuter Arbeitsplatz ist ab dieser Grösse nicht nur sicherer, sondern auch günstiger als die verdeckten Kosten von Selbstbau: verlorene Arbeitszeit, Doppellizenzen, Ausfälle und Nacharbeit.
Typische Starter-Kandidaten sind Vermögensverwalter und Finanzdienstleister (BaFin, MaRisk, DORA), MedTech- und Praxisbetriebe (Patientendaten, ISO 13485), Kanzleien und Beratungen mit Mandatsgeheimnis sowie kritische Dienstleister, deren Ausfall andere trifft. Allen gemeinsam: hoher Nachweisbedarf, schmales Budget, kein eigenes IT-Team.
Was wir euch abnehmen — die Abläufe hinter dem Arbeitsplatz
Hinter einem Arbeitsplatz, der einfach läuft, stecken Abläufe, die immer wiederkehren. Genau die übernehmen wir — vollständig, dokumentiert, verlässlich. Ihr kümmert euch ums Geschäft, das Technische liegt bei uns.
- Eintritt, Wechsel, Austritt: Konten, Gerät, Lizenzen und Zugänge sauber an- und wieder abschalten — kein Ex-Kollege behält Zugriff.
- Geräte von A bis Z: beschaffen, einrichten, verwalten, zurücknehmen — Mac wie Windows.
- Support, der antwortet: ein fester Ansprechpartner für 'geht nicht', mit klaren Reaktionszeiten.
- Backup mit Restore-Test: Daten sind nicht nur gesichert, sondern nachweislich wiederherstellbar.
- Sicherheits-Basis: MFA, Verschlüsselung, Updates und Phishing-Schutz als Grundausstattung, nicht als Extra.
Mehr dazu
Der wichtigste und meistübersehene Ablauf ist der Mitarbeiter-Lebenszyklus, in der Fachsprache ‚Joiner-Mover-Leaver' (JML). Beim Eintritt (Joiner) bekommt eine neue Person automatisch Gerät, Konten, Lizenzen und genau die Zugriffe, die ihre Rolle braucht — nicht mehr. Beim Rollenwechsel (Mover) werden Rechte angepasst, damit niemand über Jahre Zugriffe ansammelt. Beim Austritt (Leaver) werden alle Zugänge sofort und vollständig gesperrt, das Gerät zurückgenommen, Daten gesichert oder übergeben. Genau hier scheitern die meisten kleinen Firmen: Ein ehemaliger Mitarbeiter, der noch Zugriff auf Postfach oder Dateien hat, ist der häufigste Befund in Sicherheitsaudits — und ein offenes Einfallstor.
Backup ohne getesteten Restore ist kein Backup, sondern ein Versprechen. Deshalb gehört bei ITM der regelmässige Wiederherstellungstest fest zum Ablauf: Wir prüfen nachweisbar, dass sich Daten im Ernstfall tatsächlich zurückholen lassen. Genauso ist der Support kein anonymes Ticket-Loch, sondern ein fester Ansprechpartner mit vereinbarten Reaktionszeiten — bei einem Sicherheitsvorfall (Phishing, Datenabfluss) greift ein eigener, schnellerer Prozess als bei der alltäglichen ‚mein Drucker geht nicht'-Anfrage.
Die Sicherheits-Basis ist bei Starter nicht buchbares Extra, sondern Grundausstattung: Mehr-Faktor-Anmeldung (MFA) gegen gestohlene Passwörter, Festplattenverschlüsselung auf jedem Gerät, automatische Updates gegen bekannte Lücken und Schutz vor Phishing und gefälschten Absendern. Das ist exakt das Set an Abläufen, das ITM unter dem Begriff ‚Workspace Essentials' zusammenfasst — das Wesentliche, das jeder Arbeitsplatz braucht, bevor irgendetwas darauf aufbaut.
In vier Stufen zum betreuten Arbeitsplatz
Wir überspringen nichts. Ohne klares Ziel keine sauberen Prozesse, ohne Prozesse keine sinnvolle Automatisierung oder KI. Deshalb gehen wir Stufe für Stufe vor — und am Ende übernehmen wir den Betrieb ganz.
- Stufe 1 — Verstehen: Wir klären euer Ziel und nehmen den Ist-Zustand auf. Was braucht das Geschäft, was ist schon da, wo sind die Risiken?
- Stufe 2 — Ordnen & absichern: Microsoft 365, Identitäten, Geräte und Netzwerk in einen sauberen, sicheren Ausgangszustand bringen.
- Stufe 3 — Prozesse verankern: Ein-/Austritt, Geräte, Support und Backup laufen als feste, dokumentierte Abläufe — nicht als Zufall.
- Stufe 4 — Übernehmen: Wir betreiben das Ganze. Monitoring, Service Desk, Updates und Nachweise laufen bei uns, ihr konzentriert euch aufs Geschäft.
Mehr dazu
Diese vier Stufen sind kein Marketing-Schema, sondern eine Abhängigkeitskette. Stufe 1 (Verstehen) steht zuerst, weil sich ohne klares Bild von Zielen, Bestand und Risiken keine sinnvollen Prozesse definieren lassen — man würde nur das Chaos zementieren. In dieser Phase macht ITM eine Bestandsaufnahme: Welche Geräte, Konten, Lizenzen und Datenflüsse gibt es, welche regulatorischen Anforderungen gelten, wo sind die grössten Risiken?
Stufe 2 (Ordnen & absichern) schafft den sauberen Ausgangszustand: Microsoft 365 wird aufgeräumt statt historisch weitergewuchert, Identitäten kommen zentral unter ein Dach, Geräte werden verwaltet und verschlüsselt, das Netzwerk wird segmentiert. Stufe 3 (Prozesse verankern) macht aus einmaligen Aktionen wiederkehrende, dokumentierte Abläufe — Ein- und Austritt, Geräte-Lebenszyklus, Support und Backup laufen nach festem Muster statt nach Zuruf. Stufe 4 (Übernehmen) ist der Dauerbetrieb: ITM überwacht, aktualisiert, unterstützt und dokumentiert, sodass nebenbei die Nachweise entstehen, die später jede Prüfung verlangt.
Dieselbe Treppe wiederholt sich in jeder Leistungsstufe, nur mit anderem Inhalt: Bei Core (KI & Automatisierung) heisst Verstehen ‚wo hilft KI wirklich', Verankern ‚Prozesse automatisieren'. Bei Professional (Compliance) heisst Verstehen ‚welche Auflage greift', Verankern ‚Nachweis je Prozess einbauen'. Das ist der rote Faden: erst verstehen, dann ordnen, dann verankern, dann übernehmen — und erst die nächste Stufe, wenn die darunter trägt.
Wo liegen eure Daten? Das entscheidet ihr — von Cloud bis air-gapped
Beim Arbeitsplatz geht es um Bequemlichkeit, bei den Daten um Hoheit — und das ist der wichtigere Teil. Die entscheidende Frage ist nicht, welche Tools laufen, sondern wo eure Daten liegen. Diese Antwort gebt ihr, nicht wir. Wir bauen jede Stufe: von der einfachen Cloud bis zur vollständig lokalen, vom Internet getrennten (air-gapped) Lösung.
- Bequem: etablierte Cloud (Microsoft 365 / Azure) — schnell, wartungsarm, für die meisten Daten völlig ausreichend.
- Souverän: kritische Daten auf einer eigenen Synology-NAS — ITM richtet sie ein und betreut sie pro Kunde, die Daten bleiben aber eure.
- Maximal abgeschottet: lokales Self-Hosting bis hin zur air-gapped Lösung — physisch vom Netz getrennt, für die sensibelsten Daten.
- Backup nach Schutzbedarf: auf der eigenen NAS oder in einem deutschen Rechenzentrum (z. B. Hetzner) — passend zur Kritikalität der Daten.
- Eure Daten gehören euch: ITM wird bewusst nicht zum zentralen Daten-Pool. Eure Hoheit ist Teil der Sicherheit, kein Nachgedanke.
Mehr dazu
Für ein reguliertes Unternehmen ist die Frage ‚wo liegen unsere Daten' wichtiger als jede Tool-Entscheidung — an ihr hängen Datenschutz, Mandats- oder Berufsgeheimnis und die Nachweisbarkeit gegenüber Aufsicht und Kunden. ITM denkt Daten deshalb in zwei Achsen: erstens, wo die Daten im Alltag liegen (in der etablierten Cloud oder lokal bei euch im Haus), und zweitens, wo das Backup liegt (auf einer eigenen NAS, in einem deutschen Rechenzentrum oder vom Netz getrennt). Aus diesen Achsen ergibt sich eine Leiter von der bequemen Cloud bis zur vollständig abgeschotteten Lösung — und ihr wählt die Stufe je nach Datenart, nicht pauschal für alles.
‚Air-gapped' bedeutet wörtlich eine Luftlücke: Ein System ist physisch oder logisch vollständig vom Internet getrennt, sodass es von aussen schlicht nicht erreichbar ist. Das ist der stärkste denkbare Schutz für die sensibelsten Daten — erkauft mit weniger Komfort, weil sich solche Daten nicht mal eben aus dem Homeoffice abrufen lassen. Für die allermeisten Teams ist das Overkill; für einzelne, besonders schützenswerte Datenbestände kann es genau richtig sein. Wichtig ist: ITM kann beide Enden der Leiter bauen und alles dazwischen.
Unser empfohlenes Modell hält die Daten bewusst bei euch: Für relevante und kritische Daten hostet und betreut ITM eine eigene Synology-NAS pro Kunde — souveräner Speicher, der euch gehört, ohne dass ITM zum grossen Daten-Lager fremder Unternehmen wird. Das ist eine bewusste Vertrauens- und Risiko-Entscheidung: Eure Daten bei euch bedeuten für euch geringeres Drittrisiko und klares Eigentum, und für uns einen sauberen, skalierbaren Betrieb. Das Backup folgt derselben Logik — von der eigenen NAS bis zu einem Rechenzentrum nach deutschem und EU-Datenschutzrecht.
Für einzelne Sonderfälle betreibt ITM auf Anfrage auch einen eigenen Managed Server für eure Daten — das ist bewusst nicht der Standard, sondern die Ausnahme. Unsere Regel bleibt: lieber kein Daten-Lager fremder Unternehmen, sondern eure Daten bei euch.
Was „betreut“ konkret heisst
Betreut heisst nicht „wir melden uns, wenn wir Zeit haben“. Es heisst: ein fester Ansprechpartner, klar definierte Dringlichkeitsstufen mit vereinbarten Reaktionszeiten — und ein monatlicher Bericht, der zeigt, was lief und was ansteht.
- Fester Ansprechpartner statt anonymem Ticket-Loch — mit einem eigenen, schnelleren Weg für Sicherheitsvorfälle.
- Klare Dringlichkeitsstufen: von „Kerngeschäft steht still“ bis „Routine-Anfrage“, jede mit vereinbarter Reaktionszeit.
- Support-Fenster nach Bedarf: Geschäftszeiten (8×5) als Standard, 24×7 als Option für zeitkritischen Betrieb.
- Monatlicher Service-Report: Tickets, Patch-Stand, Backup-Health und Sicherheits-Basis auf einen Blick.
Mehr dazu
Hinter „betreut“ steht ein definiertes Service-Level. Tickets werden nach geschäftlicher Auswirkung in Dringlichkeitsstufen eingeordnet — von einem Komplettausfall, der das Kerngeschäft stoppt, bis zur einfachen Routine-Anfrage. Jede Stufe hat eine vereinbarte Reaktionszeit (Zeit bis zur qualifizierten Rückmeldung) und ein Wiederherstellungsziel. Die konkreten Zeiten und das Support-Fenster werden im Service-Vertrag festgehalten, damit beide Seiten wissen, woran sie sind — kein vages Versprechen, sondern eine nachprüfbare Zusage.
Für die Daten gilt dasselbe in Zahlen: Gemeinsam legen wir je Datenart fest, wie viel Datenverlust im Ernstfall maximal tolerierbar ist (Recovery Point) und wie schnell wiederhergestellt sein muss (Recovery Time). Backups werden nicht nur eingerichtet, sondern regelmässig — in der Regel quartalsweise — durch einen dokumentierten Restore-Test geprüft. So ist Wiederherstellbarkeit bewiesen, nicht angenommen.
Einmal im Monat fasst ein Service-Report alles zusammen: bearbeitete Tickets nach Dringlichkeit, Patch- und Update-Stand der Geräte, Erfolg der Sicherungen und das Ergebnis des letzten Restore-Tests, Status der Sicherheits-Basis sowie Empfehlungen für den nächsten Schritt. Genau diese Transparenz ist es, die regulierte Kunden für ihre eigenen Nachweise brauchen.
Sicherheit, die man nachweisen kann
Für regulierte Firmen reicht „ist sicher“ nicht — es muss belegbar sein. Jeder Starter-Baustein ist an anerkannten Standards ausgerichtet und erzeugt im laufenden Betrieb automatisch die Belege, die ein Auditor sehen will.
- Ausgerichtet an ISO/IEC 27001:2022, der internationalen Norm für Informationssicherheit.
- Saubere Identitäten, Offboarding und Zugriffs-Rezertifizierung erzeugen genau die Nachweise, die NIS2 und DORA adressieren.
- Belege entstehen nebenbei: Konfigurationen, Protokolle, Rezertifizierungs- und Restore-Test-Nachweise — kein Aktenordner-Theater kurz vor dem Audit.
- Ehrlich abgegrenzt: Starter liefert die Bausteine und Belege. Das Zertifikat und die Audit-Begleitung selbst kommen in Professional.
Mehr dazu
Wichtig vorab, ehrlich gesagt: Starter macht euch nicht „per Knopfdruck NIS2- oder ISO-konform“. Konformität ist immer eine Gesamtbewertung auf Unternehmensebene (Governance, Prozesse, Nachweise, ggf. Audit). Was Starter leistet, ist die technisch-operative Basis — und es leistet sie so, dass die Belege von selbst entstehen. Beispiele: Mehr-Faktor-Anmeldung zahlt auf starke Authentisierung ein (ISO/IEC 27001:2022 A.8.5; in NIS2 ausdrücklich genannt). Sauberes Offboarding und Rezertifizierung belegen Zugriffskontrolle (A.5.16/5.18). Backup mit Restore-Test ist der Nachweis für Wiederherstellbarkeit (A.8.13; DORA Art. 12). Verschlüsselung schützt ruhende Daten (A.8.24).
Ob NIS2 oder DORA für euch überhaupt gelten, hängt von Sektor und Grösse ab — viele kleine Firmen fallen nicht direkt darunter, werden aber als Teil einer Lieferkette mittelbar in die Pflicht genommen (von grösseren, regulierten Kunden). Auch unabhängig von einer gesetzlichen Pflicht ist die Starter-Basis schlicht solide Cyber-Hygiene, die im Schadensfall und in jeder Prüfung trägt.
Dass ITM diese Bausteine beherrscht, ist keine Theorie: ITM ist selbst nach ISO/IEC 27001 und ISO 9001 zertifiziert (seit Januar 2025) und empfiehlt nur, was es selbst betreibt. Den Faktor Mensch — die häufigste Schwachstelle — schliesst optional das Add-on Security Awareness (Schulung und Phishing-Simulationen, ausgerichtet an ISO/IEC 27001 A.6.3). Den Schritt zum tatsächlichen Zertifikat und durchs Audit geht dann Professional.
Wir bauen gemeinsam auf — und dann weiter zu Core
Starter ist kein Paket, das wir abladen und dann verschwinden. Wir übernehmen den Betrieb, räumen die bestehende Umgebung Schritt für Schritt auf und dokumentieren, was wir tun — damit ihr jederzeit wisst, wo ihr steht. Und genau hier liegt die Reihenfolge: Erst wenn diese Prozesse sauber laufen, lohnt sich KI. Core automatisiert dann genau diese Abläufe und macht euer Wissen nutzbar, Professional macht sie auditfest. Ohne Prozesse keine sinnvolle KI — deshalb zuerst das Fundament.
Mehr dazu
Diese Reihenfolge ist die wichtigste Aussage der ganzen Seite, deshalb noch einmal in Klartext: Künstliche Intelligenz im operativen Betrieb setzt voraus, dass saubere, kontrollierte Prozesse existieren. Ein KI-Assistent, der auf eure Dokumente zugreift, ist nur dann sicher, wenn vorher klar ist, wer auf welche Daten zugreifen darf — das regeln Identitäten und Berechtigungen aus Starter. Eine Automatisierung, die Onboarding per Klick erledigt, kann es nur geben, wenn der Onboarding-Prozess vorher überhaupt definiert ist. Wer KI ohne dieses Fundament einführt, automatisiert Chaos und schafft neue Compliance-Risiken statt Wert.
Deshalb baut ITM in drei aufeinander aufbauenden Stufen: Starter legt das sichere, betriebene Fundament. Core (Stufe 2) setzt darauf KI und Automatisierung — Prozesse werden automatisiert, eigenes Wissen wird über RAG nutzbar gemacht, und das alles bleibt souverän und datenschutzkonform. Professional (Stufe 3) macht das Ganze auditfest: Managementsysteme nach ISO 27001, Pflichten aus NIS2 und DORA, Nachweise, die im Audit standhalten. Man muss nicht jede Stufe sofort gehen — aber man kann keine überspringen, ohne dass es später teuer wird.
Weil ITM alle drei Stufen aus einer Hand liefert, gibt es keinen Bruch zwischen ‚der IT-Dienstleister', ‚die KI-Agentur' und ‚der Compliance-Berater'. Ein Partner, ein Standard, eine durchgehende Dokumentation — vom ersten betreuten Arbeitsplatz bis zum zertifizierten, KI-gestützten Betrieb.
| Stufe | Worum es geht | Wann sinnvoll | Typisches Ergebnis |
|---|---|---|---|
| Starter | Sicher betreiben: Arbeitsplatz, Identitäten, Geräte, Support | Ab ~5 Mitarbeitenden, noch kein sauberer IT-Betrieb | Betreuter, dokumentierter Arbeitsplatz, der einfach läuft |
| Core | Automatisieren & KI: Prozesse automatisieren, Wissen nutzbar machen | Wenn die Prozesse aus Starter sauber laufen | KI im Betrieb, weniger Routine, souverän & datenschutzkonform |
| Professional | Compliance & Audit: Managementsysteme, ISO 27001, NIS2, DORA | Wenn Nachweisbarkeit Pflicht wird (Auditor, Kunde, Regulator) | Zertifizierter, auditfester Betrieb |
| Aspekt | Selbst verwaltet | ITM Starter (betreut) |
|---|---|---|
| Verantwortung | Eine Person nebenher, oft die Geschäftsführung | Fester Ansprechpartner mit vereinbarten Reaktionszeiten |
| Ein-/Austritt | Manuell, fehleranfällig, oft unvollständig | Definierter Prozess — Zugänge sofort an und wieder aus |
| Sicherheit | Lückenhaft, abhängig vom Tagesgeschäft | MFA, Verschlüsselung, Updates, Phishing-Schutz als Standard |
| Backup | Vorhanden, aber selten getestet | Backup mit nachweisbarem Restore-Test |
| Mac & Windows | Mac oft Sonderfall ohne Verwaltung | Beide gleichwertig verwaltet (User Choice, Cross-Plattform) |
| Audit-Nachweise | Werden in Panik vor dem Termin gesucht | Entstehen nebenbei aus dem dokumentierten Betrieb |
| Kosten | Versteckt: Arbeitszeit, Ausfälle, Doppellizenzen | Planbare monatliche Pauschale |
| Thema | Was es regelt | Werkzeug |
|---|---|---|
| Identitäten & Zugriff | Wer darf was, Anmeldung, MFA | Microsoft Entra / Azure |
| Compliance & Richtlinien | Vorgaben, Policies, Nachweise | Microsoft Azure / Intune |
| Windows-Geräte | Einrichtung, Sicherheit, Fernverwaltung | Microsoft Intune |
| Apple-Geräte (Mac, iPhone, iPad) | Einrichtung, Sicherheit, Fernverwaltung | Jamf |
| Stufe | Wo die Daten liegen | Backup | Typisch für |
|---|---|---|---|
| Cloud + NAS | Microsoft 365 / Azure | Eigene Synology-NAS für relevante Daten | Die meisten kleinen Teams |
| Cloud + RZ-Backup | Microsoft 365 / Azure | Deutsches Rechenzentrum (z. B. Hetzner) | Erhöhter Schutz- und Ausfallbedarf |
| Lokal + NAS | Self-Hosting vor Ort | Eigene Synology-NAS | Hohe Souveränität, keine Cloud gewünscht |
| Lokal + RZ-Backup | Self-Hosting vor Ort | Deutsches Rechenzentrum (z. B. Hetzner) | Hohe Anforderung plus Ausfallsicherheit |
| Lokal, air-gapped | Self-Hosting, vom Internet getrennt | Lokal, getrennt gehalten | Höchste Sensibilität einzelner Datenbestände |
| Starter-Baustein | Trägt bei zu |
|---|---|
| Mehr-Faktor-Anmeldung (MFA) | ISO/IEC 27001 A.8.5 (starke Authentisierung) · in NIS2 ausdrücklich genannt |
| Identitäten, Offboarding, Rezertifizierung | ISO/IEC 27001 A.5.16 / A.5.18 (Zugriffskontrolle) · NIS2 (Zugangskontroll-Konzepte) |
| Backup mit Restore-Test | ISO/IEC 27001 A.8.13 · DORA Art. 12 (Backup & Wiederherstellung) |
| Geräteverschlüsselung | ISO/IEC 27001 A.8.24 (Kryptografie) |
| Monitoring & Protokollierung | ISO/IEC 27001 A.8.16 · Vorfallerkennung (NIS2 / DORA Art. 10) |
| Dokumentation & Nachweise | Grundlage jeder Prüfbarkeit / Auditfähigkeit |
Konkret im Paket.
- Microsoft 365: Exchange, Teams und SharePoint sauber eingerichtet und betreut
- Azure & Cloud: Grundlagen sicher und kostenbewusst aufgesetzt
- Identity: zentrale Identitäten, MFA, Rollen- und Rechtekonzept
- Endpoint Management: Mac und Windows verwaltet, verschlüsselt und aktuell gehalten
- User Choice & Cross-Plattform: Apple und Windows gleichberechtigt betrieben (Apple Business Manager, MDM)
- E-Mail-Security: Schutz vor Phishing, Spoofing und Datenabfluss
- Managed IT & Service Desk: fester Ansprechpartner, planbare Pauschale
- Monitoring & Backup: Ausfälle früh erkennen, Daten zuverlässig wiederherstellen
- Netzwerk & Infrastruktur: stabile, segmentierte Basis vor Ort und im Homeoffice
- Dokumentations-Set: IST-Doku, Netzdiagramm, Asset-Inventar, Zugriffsmatrix und Runbook
- Nachweise: Secure-Baseline-Report und dokumentierter, regelmässiger Restore-Test
Begriffe in Klartext.
- Managed Workplace (betreuter Arbeitsplatz)
- Ein Arbeitsplatz, dessen Geräte, Konten, Software und Sicherheit nicht das Unternehmen selbst, sondern ein Dienstleister zentral einrichtet, betreibt und absichert.
- Managed Service Provider (MSP)
- Ein IT-Dienstleister, der IT-Betrieb dauerhaft als Service übernimmt — Überwachung, Updates, Support — statt nur projektweise zu helfen. ITM ist ein MSP für den DACH-Mittelstand.
- User Choice (Nutzerwahl)
- Das Prinzip, dass Mitarbeitende selbst zwischen Mac und Windows wählen — je nachdem, womit sie am produktivsten sind — statt ein von der IT verordnetes Einheitsgerät zu bekommen.
- Cross-Plattform
- Der gleichwertige Betrieb mehrerer Betriebssysteme (hier Mac und Windows) nach denselben Sicherheits- und Verwaltungsregeln, sodass keines ein Sonderfall ist.
- Apple Business Manager
- Ein kostenloser Apple-Dienst, mit dem Unternehmen ihre Mac-, iPhone- und iPad-Geräte zentral verwalten. Neue Geräte werden ab Werk dem Unternehmen zugeordnet und richten sich beim ersten Einschalten automatisch ein.
- MDM (Mobile Device Management)
- Eine Software, mit der Geräte aus der Ferne eingerichtet, mit Updates versorgt, verschlüsselt und im Verlustfall gesperrt oder gelöscht werden — für Mac und Windows gleichermassen.
- JML (Joiner-Mover-Leaver)
- Der Lebenszyklus eines Mitarbeitenden in der IT: Eintritt (Joiner), Rollenwechsel (Mover) und Austritt (Leaver). Sauberes JML stellt sicher, dass jede Person genau die Zugriffe hat, die sie braucht — und Ex-Mitarbeitende keine mehr.
- MFA (Mehr-Faktor-Authentifizierung)
- Anmeldung mit mehr als nur einem Passwort — zusätzlich z. B. eine Bestätigung per App. Schützt Konten auch dann, wenn ein Passwort gestohlen wird.
- Restore-Test
- Die regelmässige, nachweisbare Probe, ob sich gesicherte Daten tatsächlich wiederherstellen lassen. Ein Backup ohne Restore-Test ist nur ein Versprechen.
- Endpoint Management
- Die zentrale Verwaltung aller Endgeräte (Laptops, Smartphones) — Einrichtung, Updates, Verschlüsselung und Sicherheitsregeln aus einer Hand.
- Best-of-Breed
- Der Ansatz, für jede Aufgabe das jeweils beste spezialisierte Werkzeug einzusetzen, statt eine Alleskönner-Lösung, die vieles nur halb beherrscht.
- Baukasten-Prinzip
- Eine modulare Infrastruktur aus standardisierten, aber kombinierbaren Werkzeugen. Standardisiert genug für wirtschaftlichen Betrieb, modular genug, um sich an das Geschäft und neue Anforderungen anzupassen.
- Microsoft Azure
- Die Cloud-Plattform von Microsoft. Bei ITM das Rückgrat für Identitäten, Compliance und Richtlinien (Policies) — also dafür, wer auf was zugreifen darf und welche Sicherheitsregeln gelten.
- Jamf
- Eine spezialisierte Management-Lösung für Apple-Geräte (Mac, iPhone, iPad). Sie ist die technische Ebene hinter User Choice: Erst damit werden Apple-Geräte genauso sicher und zentral verwaltet wie Windows-Geräte.
- Datenhoheit (Datensouveränität)
- Die Kontrolle darüber, wo eure Daten liegen und wer darauf zugreifen kann. Für regulierte Firmen oft wichtiger als jede Tool-Frage — daran hängen Datenschutz, Berufsgeheimnis und Nachweisbarkeit.
- Air-Gapped (Luftlücke)
- Ein System, das physisch oder logisch vollständig vom Internet getrennt ist und von aussen nicht erreicht werden kann. Der stärkste Schutz für die sensibelsten Daten — auf Kosten von Komfort.
- NAS (Synology)
- Ein Netzwerkspeicher (Network Attached Storage) im eigenen Haus. Bei ITM die bevorzugte souveräne Ablage für kritische Daten: pro Kunde betrieben, die Daten gehören dem Kunden.
- Rechenzentrum (RZ)
- Ein professioneller Standort für Server und Speicher mit hoher Ausfallsicherheit. Für Backups nutzt ITM auf Wunsch ein deutsches Rechenzentrum (z. B. Hetzner) nach deutschem und EU-Datenschutzrecht.
- Self-Hosting
- Der Betrieb von Daten und Anwendungen auf eigener Infrastruktur vor Ort statt in der Cloud — für Unternehmen mit hohen Souveränitätsanforderungen, die keine Cloud wünschen.
- Microsoft Intune
- Microsofts Lösung zur zentralen Verwaltung von Geräten und Richtlinien. Bei ITM das Werkzeug für die Windows-Geräte (Einrichtung per Autopilot, Verschlüsselung, Updates, Sicherheitsregeln).
- SLA (Service-Level-Agreement)
- Die vertragliche Zusage, in welcher Zeit ITM auf Anfragen und Störungen reagiert — gestaffelt nach Dringlichkeit. Macht „betreut“ messbar statt vage.
- ISMS (Informationssicherheits-Managementsystem)
- Der vollständige Regelkreis aus Leitlinie, Risikomanagement, Massnahmen und Audits nach ISO/IEC 27001. Starter liefert die operativen Bausteine dafür; das ISMS selbst und die Zertifizierung sind Teil von Professional.
Häufige Fragen.
Ab welcher Grösse lohnt sich Starter?
Als Faustregel ab etwa fünf Mitarbeitenden. Dann wird selbstverwaltete IT schnell zur Zeitfalle und zum Risiko, und ein betreuter, zentral verwalteter Arbeitsplatz ist planbarer — fachlich wie finanziell.
Übernehmt ihr auch eine bestehende, chaotische Umgebung?
Ja. Wir starten mit einem Assessment, räumen auf und überführen die Umgebung Schritt für Schritt in einen sauberen, dokumentierten Zustand — ohne den Betrieb zu stoppen.
Können bei uns wirklich Mac und Windows nebeneinander laufen?
Ja, und genau das ist unsere Stärke. Wir betreiben beide Systeme nach denselben Sicherheits- und Verwaltungsregeln. Eure Mitarbeitenden wählen das Gerät, mit dem sie am produktivsten sind (User Choice), und ihr habt trotzdem nur einen Standard und einen Ansprechpartner. Apple ist dabei kein Sonderfall, sondern von Anfang an mitgedacht.
Brauchen wir Starter, wenn wir eigentlich KI wollen?
Meistens ja. KI im operativen Betrieb braucht saubere Identitäten, verwaltete Geräte und kontrollierte Daten. Fehlt das Fundament, wird KI zum Compliance-Risiko. Starter legt es, Core setzt darauf auf.
Was kostet Starter?
Der Betrieb läuft meist als planbare monatliche Pauschale, abhängig von Nutzerzahl und Umfang. Den belastbaren Preis nennen wir nach einem kurzen Audit — kein Paketpreis ins Blaue.
Was ist der Unterschied zwischen Starter, Core und Professional?
Es sind drei aufeinander aufbauende Stufen. Starter sorgt für sicheren, betreuten Betrieb (Arbeitsplatz, Identitäten, Geräte, Support). Core setzt darauf KI und Automatisierung. Professional macht das Ganze auditfest und führt zur Zertifizierung (ISO 27001, NIS2, DORA). Man kann keine Stufe überspringen, ohne dass es später teuer wird.
Was bedeutet User Choice konkret?
User Choice heisst, dass eure Mitarbeitenden selbst entscheiden, ob sie mit einem Mac oder einem Windows-Gerät arbeiten — je nachdem, womit sie am produktivsten sind. ITM richtet beide Welten ein und betreut sie nach demselben Sicherheitsstandard, sodass die Wahl keine zusätzliche Komplexität bedeutet.
Was ist Cross-Plattform-Management?
Cross-Plattform-Management bedeutet, dass Mac und Windows gleichwertig und nach denselben Regeln betrieben werden — gleiche Identitäten, gleiche Sicherheit, gleiche Nachweise. Kein Betriebssystem ist Sonderfall oder Stiefkind. Technisch sorgt dafür ein zentrales Geräte-Management (MDM).
Was ist Apple Business Manager und braucht meine Firma das?
Apple Business Manager ist ein kostenloser Apple-Dienst, mit dem ein Unternehmen seine Macs, iPhones und iPads zentral verwaltet. Neue Geräte werden ab Werk der Firma zugeordnet und richten sich beim ersten Einschalten automatisch sicher ein. Sobald ihr Apple-Geräte im Unternehmen einsetzt, ist das der saubere Weg — ITM richtet ihn für euch ein.
Was passiert beim Offboarding, wenn ein Mitarbeiter geht?
Beim Austritt werden alle Zugänge sofort und vollständig gesperrt, das Gerät zurückgenommen und die Daten gesichert oder an die Nachfolge übergeben. Genau das ist in kleinen Firmen die häufigste Lücke — ein Ex-Mitarbeiter mit aktivem Zugriff ist der typische Audit-Befund. Bei ITM ist Offboarding ein fester, dokumentierter Prozess.
Wie schnell reagiert der Support?
Der Support ist kein anonymes Ticket-Loch, sondern ein fester Ansprechpartner mit vereinbarten Reaktionszeiten. Sicherheitsvorfälle wie Phishing oder Datenabfluss laufen über einen eigenen, schnelleren Prozess als alltägliche Anfragen. Die konkreten Zeiten halten wir im Service-Vertrag fest.
Wie oft werden die Backups getestet?
Regelmässig und nachweisbar — in der Regel quartalsweise. Bei ITM gehört der Wiederherstellungstest (Restore-Test) fest zum Backup-Prozess: Wir prüfen mit dokumentiertem Nachweis, dass sich Daten im Ernstfall tatsächlich zurückholen lassen. Ein Backup ohne getesteten Restore ist nur ein Versprechen, kein Schutz.
Ist Starter für regulierte Branchen wie Finance oder MedTech geeignet?
Ja, genau dafür ist es gemacht. Starter richtet sich an kleine, hochregulierte Unternehmen — Vermögensverwalter, Finanzdienstleister, MedTech, Kanzleien, kritische Dienstleister — die hohe Auflagen erfüllen müssen, aber kein eigenes IT-Team haben. ITM ist selbst nach ISO 27001 und ISO 9001 zertifiziert.
Was ist ein Managed Service Provider (MSP)?
Ein Managed Service Provider übernimmt den IT-Betrieb dauerhaft als Service — Überwachung, Updates, Support und Sicherheit — statt nur projektweise zu helfen. Ihr zahlt eine planbare Pauschale und müsst euch nicht selbst um die Technik kümmern. ITM ist ein MSP für den DACH-Mittelstand.
Brauchen wir eigene IT-Leute, wenn wir Starter nutzen?
Nein. Der Sinn von Starter ist gerade, dass ITM die Technik vollständig übernimmt, damit ihr euch aufs Geschäft konzentrieren könnt. Falls ihr eine interne IT-Person habt, arbeiten wir ihr zu und entlasten sie von Routine und Betrieb.
Wie lange dauert die Einführung von Starter?
Das hängt von der Ausgangslage ab. Wir beginnen mit einem Assessment (Stufe 1), bringen dann Umgebung und Geräte in einen sauberen Zustand (Stufe 2) und verankern die Prozesse (Stufe 3) — alles ohne den laufenden Betrieb zu stoppen. Eine grobe Zeitschätzung geben wir nach dem Erstgespräch, den belastbaren Plan nach dem Audit.
Was unterscheidet ITM von einem klassischen IT-Dienstleister?
Drei Dinge: ITM liefert alle drei Stufen aus einer Hand (Betrieb, KI, Compliance), betreibt Mac und Windows gleichwertig statt Apple als Sonderfall zu behandeln, und ist selbst ISO-27001- und ISO-9001-zertifiziert. So gibt es keinen Bruch zwischen IT-Dienstleister, KI-Agentur und Compliance-Berater — ein Partner, ein Standard, durchgehende Dokumentation.
Welche Tools setzt ITM für den Arbeitsplatz ein?
ITM arbeitet mit einem erprobten Baukasten aus spezialisierten Best-of-Breed-Werkzeugen — für jedes Thema das passende. Microsoft Azure / Entra bildet das Rückgrat für Identitäten, Compliance und Richtlinien, Microsoft Intune verwaltet die Windows-Geräte, Jamf die Apple-Geräte. Der Stack ist standardisiert genug für wirtschaftlichen Betrieb und modular genug, um sich an euer Geschäft und neue Anforderungen anzupassen.
Bindet ITM uns an bestimmte Software fest?
Nein. Der Baukasten ist bewusst modular: Wir setzen das jeweils beste Werkzeug ein und können es austauschen oder ergänzen, wenn sich euer Bedarf oder eine Vorschrift ändert. Ihr bleibt ab Tag eins flexibel — die Tool-Auswahl passt sich euch an, nicht umgekehrt.
Wie bekommt ITM bessere Preise für die Tools?
Weil viele unserer Kunden auf demselben erprobten Stack laufen, bündeln wir die Nachfrage und verhandeln bessere Konditionen, als eine kleine Firma im Alleingang erreichen könnte. Diesen Synergie-Vorteil geben wir weiter — ihr bekommt ein Werkzeug-Set auf Konzern-Niveau zu fairem Preis.
Wo werden unsere Daten gespeichert?
Das entscheidet ihr. ITM baut jede Stufe — von der etablierten Cloud (Microsoft 365 / Azure) über eine eigene Synology-NAS im Haus bis zum vollständig lokalen, vom Internet getrennten (air-gapped) Betrieb. Ihr wählt die passende Stufe je Datenart, abhängig von Sensibilität und Auflagen.
Was bedeutet air-gapped?
Air-gapped heisst, ein System ist physisch oder logisch komplett vom Internet getrennt und von aussen nicht erreichbar. Das ist der stärkste Schutz für besonders sensible Daten — dafür weniger bequem, weil sich solche Daten nicht einfach aus der Ferne abrufen lassen. ITM setzt das gezielt für einzelne, besonders schützenswerte Datenbestände ein.
Hält ITM unsere Daten oder ein Backup davon?
Bewusst nein als Standard. Unser empfohlenes Modell hält die Daten bei euch: ITM richtet eine eigene Synology-NAS pro Kunde ein und betreut sie, aber die Daten gehören euch. So wird ITM nicht zum zentralen Daten-Pool — das senkt euer Drittrisiko und hält das Eigentum klar bei eurem Unternehmen.
Können wir komplett ohne Cloud arbeiten?
Ja. Für hohe Souveränitätsanforderungen baut ITM einen rein lokalen Betrieb (Self-Hosting vor Ort) mit Backup auf eurer eigenen NAS oder in einem deutschen Rechenzentrum (z. B. Hetzner) — bis hin zur air-gapped Lösung für die sensibelsten Daten.
Macht ITM uns ISO-27001- oder NIS2-konform?
Nicht per Knopfdruck — das wäre unehrlich. Konformität ist immer eine Gesamtbewertung auf Unternehmensebene (Governance, Prozesse, Nachweise, ggf. Audit). Was Starter leistet: die technisch-operative Basis so betreiben, dass die Belege (MFA, Verschlüsselung, Zugriffskontrolle, Backup mit Restore-Test) an ISO/IEC 27001:2022 ausgerichtet sind und im Betrieb von selbst entstehen. Den Schritt zum Zertifikat und durchs Audit geht die Stufe Professional.
Welche Reaktionszeiten bietet ITM?
Tickets werden nach geschäftlicher Auswirkung in Dringlichkeitsstufen eingeordnet — von „Kerngeschäft steht still“ bis „Routine-Anfrage“. Jede Stufe hat eine vereinbarte Reaktionszeit; Sicherheitsvorfälle laufen über einen eigenen, schnelleren Weg. Die konkreten Zeiten und das Support-Fenster (8×5 Standard, 24×7 als Option) werden im Service-Vertrag festgehalten.
Was bekommen wir am Ende dokumentiert?
Ein vollständiges Set: IST-Dokumentation, Netzdiagramm, Asset-Inventar, Zugriffsmatrix und Runbook für den Betrieb, dazu ein Secure-Baseline-Report und der dokumentierte Restore-Test-Nachweis. Genau die Unterlagen, die ihr für eure eigenen Audits und Nachweise braucht.
Bietet ITM auch Schulungen gegen Phishing?
Ja, als optionales Add-on „Security Awareness“: Onboarding-Schulung, wiederkehrende Kurz-Trainings und Phishing-Simulationen mit Auswertung — ausgerichtet an ISO/IEC 27001 A.6.3. Der Faktor Mensch ist die häufigste Schwachstelle; Awareness ist die kosteneffizienteste Massnahme, sie zu senken.
Steht euer Fundament?
In einem kurzen Erstgespräch schauen wir auf eure Umgebung und sagen ehrlich, was Starter bei euch braucht — und was nicht.
Erstgespräch buchen