Häufige Fragen zu IT, Cloud, Security & KI.

Die Cloud bedeutet, dass IT-Leistungen wie Speicher, Programme oder Rechenleistung ueber das Internet aus einem Rechenzentrum bezogen werden, statt auf eigenen Geraeten im Buero zu laufen.

Du mietest die Leistung nach Bedarf und zahlst meist pro Monat und Nutzer. Beispiele sind Microsoft 365, Google Workspace oder Dropbox.

Ein Server ist ein zentraler Computer, der Dienste fuer andere Geraete bereitstellt, etwa Dateien, E-Mail, eine Datenbank oder eine Webseite.

Server koennen im eigenen Haus stehen (on-premises) oder in der Cloud gemietet sein.

Das Betriebssystem ist die Grundsoftware eines Geraets, die Hardware und Programme verbindet, zum Beispiel Windows, macOS, iOS, Android oder Linux.

Ohne Betriebssystem laeuft kein Programm.

SaaS ist Software, die du als Online-Abo nutzt, ohne sie zu installieren oder zu warten; der Anbieter betreibt alles in der Cloud.

Du brauchst nur einen Browser und ein Login. Beispiele: Microsoft 365, Salesforce, Slack.

Eine API ist eine definierte Schnittstelle, ueber die zwei Programme automatisch Daten austauschen, ohne dass ein Mensch etwas abtippt.

So kann etwa euer Shop Bestellungen direkt an die Buchhaltung uebergeben.

Eine Datenbank ist ein strukturierter Speicher fuer grosse Mengen Daten, der schnelles Suchen, Filtern und Auswerten ermoeglicht.

Fast jede Geschaeftssoftware (CRM, ERP, Shop) hat im Kern eine Datenbank.

On-Premises (oder on-prem) heisst, dass Software und Server im eigenen Unternehmen betrieben werden, nicht in der Cloud.

Das gibt mehr Kontrolle, bedeutet aber auch eigene Wartung und Verantwortung.

Hardware ist alles Anfassbare wie Laptop, Server, Drucker oder Netzwerkkabel; Software sind die Programme, die darauf laufen.

Beides zusammen ergibt eine funktionierende IT.

Verschluesselung macht Daten unlesbar fuer Unbefugte; nur mit dem richtigen Schluessel werden sie wieder lesbar.

Sie schuetzt Daten auf Geraeten, in der Cloud und bei der Uebertragung.

Virtualisierung teilt einen physischen Computer in mehrere unabhaengige virtuelle Maschinen auf.

So laeuft auf einem Server mehr, was Kosten spart und flexibler macht.

Open-Source-Software hat offen einsehbaren Quellcode, den jeder pruefen, nutzen und anpassen darf.

Sie ist oft kostenlos, braucht aber meist eigenes Know-how oder bezahlten Support.

Schatten-IT sind Tools und Dienste, die Mitarbeiter ohne Wissen der IT nutzen.

Das ist ein Sicherheits- und Datenschutzrisiko, weil niemand den Ueberblick behaelt.

Legacy-Software ist veraltete, aber noch genutzte Software, die schwer zu warten oder abzuloesen ist.

Sie bremst Modernisierung und ist oft ein Sicherheitsrisiko.

Ein Client ist das Geraet oder Programm, mit dem ein Nutzer auf einen Dienst zugreift, etwa der Laptop oder die App.

Das Gegenstueck ist der Server, der den Dienst bereitstellt.

Eine Domain ist eure Internetadresse, Webhosting der Speicherort, auf dem eure Webseite liegt.

Beides zusammen macht eine Webseite erreichbar.

Ein CRM (Customer Relationship Management) ist eine Software, in der ein Unternehmen alle Kontakte, Kunden, Gespraeche und Verkaufschancen zentral verwaltet.

Statt verstreuter Excel-Listen sieht das ganze Team an einem Ort, wer welcher Kunde ist und was zuletzt besprochen wurde. Bekannte Beispiele: HubSpot, Salesforce, Pipedrive.

Ein ERP (Enterprise Resource Planning) buendelt die zentralen Geschaeftsprozesse eines Unternehmens in einem System, etwa Einkauf, Lager, Produktion, Buchhaltung und Personal.

Es sorgt dafuer, dass alle Abteilungen mit denselben Daten arbeiten. Beispiele: SAP, Microsoft Dynamics, Abacus.

Ein CRM dreht sich um Kunden und Vertrieb, ein ERP um die internen Ablaeufe wie Finanzen, Lager und Produktion.

Viele Firmen nutzen beides; manche Systeme verbinden die Funktionen.

Jira ist eine Software von Atlassian, mit der Teams Aufgaben, Projekte und Software-Entwicklung planen und verfolgen.

Arbeit wird in Tickets erfasst und ueber Boards sichtbar gemacht. Ursprung in der Entwicklung, heute auch fuer IT-Service und Projekte verbreitet.

Confluence ist ein Wiki von Atlassian, in dem Teams Wissen, Dokumentationen und Notizen gemeinsam an einem Ort sammeln.

Es wird oft zusammen mit Jira genutzt: Jira fuer Aufgaben, Confluence fuer das Wissen dahinter.

Notion ist ein flexibles Tool, das Notizen, Wissensdatenbank, Aufgaben und einfache Datenbanken in einem kombiniert.

Beliebt bei Startups, weil sich damit fast jeder interne Prozess abbilden laesst.

Slack ist ein Chat-Tool fuer Teams, das Kommunikation in thematische Kanaele ordnet statt in E-Mail-Ketten.

Es laesst sich mit vielen anderen Tools verbinden. Microsofts Gegenstueck ist Teams.

Microsoft Teams ist die Kommunikations- und Zusammenarbeits-Plattform von Microsoft 365, mit Chat, Videoanrufen und gemeinsamen Dateien.

Es ist in vielen Unternehmen Standard, weil es Teil des Microsoft-365-Pakets ist.

SharePoint ist die Plattform von Microsoft 365 fuer gemeinsame Dateien, Dokumentenablage und interne Webseiten (Intranet).

Teams speichert seine Dateien im Hintergrund in SharePoint.

OneDrive ist der persoenliche Cloud-Speicher in Microsoft 365, in dem ein Mitarbeiter seine eigenen Dateien ablegt und von ueberall abruft.

Fuer geteilte Team-Dateien nutzt man eher SharePoint.

Microsoft 365 ist ein Abo, das Office-Programme (Word, Excel, PowerPoint, Outlook) mit Cloud-Diensten wie Teams, SharePoint, OneDrive und Exchange buendelt.

Es ist die meistgenutzte Bueroumgebung in regulierten Branchen.

Google Workspace ist Googles Cloud-Paket fuer Unternehmen mit Gmail, Google Docs, Sheets, Drive, Meet und Kalender.

Es ist die Hauptalternative zu Microsoft 365 und besonders bei jungen, web-affinen Firmen verbreitet.

Eine Wissensdatenbank ist eine geordnete Sammlung von Anleitungen, Antworten und Dokumentationen, damit Wissen nicht in Koepfen oder Chats verloren geht.

Sie spart Zeit, weil wiederkehrende Fragen einmal sauber beantwortet werden.

Ein Ticketsystem erfasst Anfragen und Probleme als nachverfolgbare Vorgaenge, damit nichts verloren geht.

Es ist die Grundlage fuer geordneten IT-Support.

Ein DMS speichert, ordnet und versioniert Dokumente zentral und revisionssicher.

Es ersetzt das Chaos verstreuter Dateiordner und hilft bei Aufbewahrungspflichten.

Eine elektronische Signatur unterschreibt Dokumente rechtsgueltig digital, ohne Drucken und Scannen.

Je nach Anwendungsfall gibt es einfache, fortgeschrittene und qualifizierte Signaturen.

Business Intelligence wertet Unternehmensdaten aus und macht sie in Dashboards verstaendlich.

So werden aus Rohdaten Entscheidungen statt Bauchgefuehl.

Damit werden wiederkehrende Ablaeufe zwischen Programmen automatisiert, ohne zu programmieren.

Beispiel: eine eingehende Rechnung automatisch ablegen und zur Freigabe weiterleiten.

Das sind Programme, um Aufgaben, Verantwortliche und Fristen sichtbar zu planen und zu verfolgen.

Sie schaffen Ueberblick, gerade wenn mehrere Leute zusammenarbeiten.

DATEV ist eine im DACH-Raum verbreitete Plattform fuer Buchhaltung, Lohn und die Zusammenarbeit mit dem Steuerberater.

Viele Steuerberater setzen sie voraus.

Diese Tools erledigen Rechnungen, Belege und Buchhaltung fuer kleine Unternehmen, oft mit Schnittstelle zum Steuerberater.

bexio ist in der Schweiz verbreitet, lexoffice und sevDesk in Deutschland.

HR-Software verwaltet Mitarbeiterdaten, Abwesenheiten, Bewerbungen und Lohn an einem Ort.

Sie ersetzt verstreute Listen und manuelle Prozesse.

No-Code und Low-Code erlauben es, Anwendungen weitgehend ohne Programmieren per Baukasten zu erstellen.

Damit koennen auch Fachabteilungen einfache Tools selbst bauen.

Versionsverwaltung speichert jede Aenderung an Dateien oder Code nachvollziehbar; GitHub ist die bekannteste Plattform dafuer.

Sie ist Standard in der Software-Entwicklung.

Microsoft 365 passt meist zu Firmen mit klassischen Office-Anforderungen und regulatorischen Auflagen, Google Workspace zu web-affinen Teams, die viel gemeinsam in Echtzeit arbeiten.

Beide sind ausgereift. Entscheidend sind eure Arbeitsweise, Branche und bestehende Tools. Wichtig ist, sich fuer eine Welt zu entscheiden und sie sauber zu betreiben, statt beide halb.

Technisch ja, sinnvoll meist nein, weil Mischbetrieb doppelte Kosten, Sicherheitsluecken und Verwirrung schafft.

Besser ist eine klare Welt mit gezielten Ausnahmen.

Exchange Online ist der E-Mail- und Kalenderdienst in Microsoft 365, der geschaeftliche Postfaecher in der Cloud betreibt.

Das Gegenstueck bei Google ist Gmail mit Google Kalender.

Basic ist Cloud-only, Standard enthaelt die installierten Office-Apps, Premium ergaenzt Sicherheit und Geraeteverwaltung.

Fuer regulierte KMU ist Premium meist die richtige Wahl, weil Sicherheit eingebaut ist.

Beide kosten ueblicherweise einen niedrigen bis mittleren zweistelligen Betrag pro Nutzer und Monat, je nach Paket.

Die Sicherheitspakete kosten mehr, sparen aber oft separate Zusatztools.

Ja, E-Mails, Kalender, Kontakte und Dateien lassen sich mit den richtigen Werkzeugen migrieren.

Wichtig sind gute Planung und ein sauberer Stichtag, damit nichts verloren geht.

Fuer die meisten KMU ist die Cloud guenstiger, sicherer und flexibler, weil Wartung, Updates und Ausfallsicherheit beim Anbieter liegen.

Ein eigener Server kann sinnvoll sein bei besonderen Anforderungen an Datenhoheit, Latenz oder Spezialsoftware. Oft ist eine Mischung (hybrid) der Mittelweg.

Azure ist die Cloud-Plattform von Microsoft, auf der Unternehmen Server, Speicher, Datenbanken und Dienste mieten statt selbst zu betreiben.

Die grossen Alternativen sind AWS (Amazon) und Google Cloud.

AWS (Amazon Web Services) ist der groesste Cloud-Anbieter der Welt und stellt Rechenleistung, Speicher und hunderte Dienste auf Abruf bereit.

Es wird vor allem fuer Software-Entwicklung und skalierbare Anwendungen genutzt.

Hybride Cloud heisst, dass ein Unternehmen Teile seiner IT in der Cloud und Teile im eigenen Haus betreibt und beides verbindet.

So bleiben sensible Daten lokal, waehrend man die Flexibilitaet der Cloud fuer den Rest nutzt.

Ein Rechenzentrum ist ein gesichertes Gebaeude voller Server, in dem Cloud-Dienste und Unternehmensdaten betrieben werden.

Standort und Sicherheit des Rechenzentrums sind fuer Datenschutz und Compliance wichtig.

Datensouveraenitaet bedeutet, dass ein Unternehmen die volle Kontrolle darueber behaelt, wo seine Daten liegen und wer darauf zugreifen kann.

Fuer regulierte Branchen ist das zentral, etwa wenn Daten die EU oder die Schweiz nicht verlassen duerfen.

IaaS liefert nackte Infrastruktur, PaaS eine Plattform zum Entwickeln, SaaS fertige Software zum Nutzen.

Je weiter oben, desto weniger muss man selbst betreiben.

Eine VM ist ein vollstaendiger Computer, der als Software auf einem anderen Rechner laeuft.

So lassen sich mehrere Systeme auf einer physischen Maschine betreiben.

Die grossen Cloud-Anbieter sind meist sicherer als ein eigener Serverraum, aber die richtige Konfiguration liegt beim Unternehmen.

Die meisten Cloud-Vorfaelle entstehen durch Fehlkonfiguration, nicht durch den Anbieter.

Das haengt vom Anbieter und der gewaehlten Region ab; viele erlauben es, Daten gezielt in der EU oder der Schweiz zu speichern.

Fuer Datenschutz und Compliance ist die Region oft entscheidend.

Google Cloud ist Googles Plattform fuer Server, Speicher, Daten und KI-Dienste auf Abruf.

Sie ist neben AWS und Azure einer der drei grossen Anbieter.

Endpoint- oder Geraete-Management (MDM, Mobile Device Management) ist die zentrale Verwaltung aller Firmengeraete, also Laptops, Smartphones und Tablets, von einer Stelle aus.

Damit lassen sich Geraete einrichten, absichern, mit Apps versorgen und im Verlustfall sperren oder loeschen.

Intune ist Microsofts Cloud-Dienst zum Verwalten und Absichern von Geraeten und Apps, vor allem in der Windows- und Microsoft-365-Welt.

Es richtet neue Geraete automatisch ein und setzt Sicherheitsregeln durch.

Jamf ist die fuehrende Loesung, um Apple-Geraete (Mac, iPhone, iPad) im Unternehmen zentral zu verwalten und abzusichern.

Wer viele Apple-Geraete einsetzt, kommt an Jamf kaum vorbei.

Beides ist professionell einsetzbar; Windows dominiert in klassischen und regulierten Umgebungen, Mac ist in Kreativ-, Tech- und Startup-Teams stark.

Wichtiger als die Marke ist, dass die Geraete zentral verwaltet und abgesichert sind. Gut aufgestellte Dienstleister koennen beide Welten betreiben.

App-Paketierung bedeutet, eine Software so vorzubereiten, dass sie automatisch und einheitlich auf viele Geraete verteilt werden kann, ohne dass jemand sie von Hand installiert.

Das ist wichtig fuer sauberes Ausrollen, auch von aelterer oder spezieller Software.

Damit richtet sich ein neues Geraet beim ersten Einschalten von selbst ein, inklusive Apps und Sicherheitsregeln, ohne dass die IT es vorher anfassen muss.

Das beschleunigt das Onboarding neuer Mitarbeiter erheblich.

BYOD heisst, dass Mitarbeiter eigene private Geraete fuer die Arbeit nutzen.

Das spart Hardware, braucht aber klare Regeln und Trennung von privaten und Firmendaten.

Remote Wipe loescht Firmendaten aus der Ferne von einem verlorenen oder gestohlenen Geraet.

Das schuetzt sensible Daten, wenn ein Geraet abhandenkommt.

Ueblich sind drei bis vier Jahre, danach steigen Ausfaelle, Kosten und Sicherheitsrisiken.

Ein geplanter Lebenszyklus ist guenstiger als Erneuern erst beim Defekt.

Leasing oder Geraete-Abo macht Kosten planbar und haelt die Hardware aktuell, Kauf bindet Kapital.

Viele KMU bevorzugen heute das Mieten samt Verwaltung.

Single Sign-On bedeutet, dass sich ein Mitarbeiter einmal anmeldet und damit Zugriff auf alle freigegebenen Programme hat, ohne sich ueberall neu einzuloggen.

Das ist bequemer und sicherer, weil es weniger Passwoerter gibt.

MFA ist ein zweiter Nachweis zusaetzlich zum Passwort, etwa ein Code auf dem Handy, damit ein gestohlenes Passwort allein nicht ausreicht.

MFA ist eine der wirksamsten und guenstigsten Schutzmassnahmen ueberhaupt und sollte ueberall aktiv sein.

Entra ID ist Microsofts Cloud-Verzeichnis fuer Identitaeten, das verwaltet, wer sich anmelden darf und auf welche Apps und Daten jemand Zugriff hat.

Es ist die Basis fuer SSO, MFA und Zugriffsregeln in der Microsoft-Welt.

Ein Passwortmanager ist ein verschluesselter Tresor, der starke, einzigartige Passwoerter erzeugt und speichert, sodass man sie sich nicht merken muss.

Beispiele: 1Password, Bitwarden. Er reduziert das groesste Sicherheitsrisiko, naemlich schwache und wiederverwendete Passwoerter.

Conditional Access sind Regeln, die einen Login nur unter bestimmten Bedingungen erlauben, etwa nur von verwalteten Geraeten oder bestimmten Laendern.

So wird Zugriff nicht nur am Passwort festgemacht, sondern am Kontext.

Zero Trust ist ein Sicherheitsprinzip, das niemandem automatisch vertraut, sondern jeden Zugriff einzeln prueft, auch innerhalb des eigenen Netzwerks.

Statt einer Burgmauer mit offenem Inneren wird jede Tuer einzeln kontrolliert.

Passkeys ersetzen das Passwort durch einen sicheren Schluessel auf dem Geraet, oft per Fingerabdruck oder Gesicht.

Sie sind sicherer und bequemer als Passwoerter und gelten als Zukunft des Logins.

RBAC vergibt Rechte nach Rolle, Least Privilege gibt jedem nur so viel Zugriff wie noetig.

Das begrenzt den Schaden, falls ein Konto missbraucht wird.

Active Directory ist das klassische Verzeichnis im eigenen Haus, Entra ID die Cloud-Variante von Microsoft.

Viele Firmen betreiben beides verbunden oder wechseln in die Cloud.

Ein Identity Provider verwaltet Identitaeten zentral und ermoeglicht damit Single Sign-On ueber viele Apps.

Beispiele sind Entra ID, Google und Okta.

Phishing sind gefaelschte E-Mails oder Nachrichten, die dich dazu bringen wollen, Passwoerter preiszugeben oder auf schaedliche Links zu klicken.

Es ist der haeufigste Einstiegspunkt fuer Angriffe. Schulung der Mitarbeiter und MFA sind die besten Gegenmittel.

Ransomware ist Schadsoftware, die Daten verschluesselt und fuer die Freigabe Loesegeld fordert.

Bester Schutz ist eine Kombination aus aktuellen Backups, MFA, Schulung und schneller Erkennung. Niemals ungeprueft zahlen.

Die wirksamsten Basismassnahmen sind MFA ueberall, regelmaessige Backups, aktuelle Updates, ein Passwortmanager, Mitarbeiterschulung und ein moderner Virenschutz.

Diese Grundlagen verhindern den Grossteil der Angriffe und kosten wenig. Darauf bauen dann Themen wie Monitoring und Zero Trust auf.

Eine Firewall ist ein Schutzwall zwischen eurem Netzwerk und dem Internet, der unerwuenschten Datenverkehr blockiert.

Es gibt sie als Geraet im Netzwerk und als Software auf einzelnen Computern.

Ein VPN (Virtual Private Network) baut eine verschluesselte Verbindung auf, ueber die Mitarbeiter sicher auf das Firmennetz zugreifen, auch von unterwegs.

Moderne Alternativen wie Zero-Trust-Zugriff loesen das VPN zunehmend ab.

Klassischer Virenschutz erkennt bekannte Schadsoftware; EDR (Endpoint Detection and Response) erkennt zusaetzlich verdaechtiges Verhalten und reagiert automatisch darauf.

EDR ist der modernere Standard, weil neue Angriffe oft unbekannt sind. Beispiele: Microsoft Defender, CrowdStrike, SentinelOne.

Ein SIEM (Security Information and Event Management) sammelt Sicherheits-Ereignisse aus der ganzen IT an einem Ort und schlaegt bei Auffaelligkeiten Alarm.

Es ist die Grundlage, um Angriffe frueh zu erkennen.

Security Operations ist das laufende Ueberwachen, Erkennen und Abwehren von Bedrohungen, oft in einem SOC (Security Operations Center).

Fuer KMU wird das meist als Dienstleistung eingekauft, statt ein eigenes Team aufzubauen.

Ein Penetrationstest ist ein kontrollierter Angriff durch Sicherheitsexperten, um Schwachstellen zu finden, bevor echte Angreifer es tun.

Das Ergebnis ist ein Bericht mit konkreten Massnahmen.

Social Engineering manipuliert Menschen, um an Informationen oder Zugaenge zu kommen, statt Technik anzugreifen.

Phishing ist die haeufigste Form; Schulung ist der beste Schutz.

Beim CEO-Fraud geben sich Angreifer als Chef oder Partner aus, um Mitarbeiter zu eiligen Zahlungen zu draengen.

Klare Freigabeprozesse und Rueckfragen verhindern den Schaden.

Vorfall eingrenzen, Beweise sichern, intern eskalieren und pruefen, ob eine Meldung an die Datenschutzbehoerde noetig ist, bei der DSGVO meist binnen 72 Stunden.

Ein vorbereiteter Notfallplan macht den Unterschied; bei Unsicherheit fachliche Hilfe holen.

Ein Zero-Day ist eine Sicherheitsluecke, die ausgenutzt wird, bevor ein Update dagegen existiert.

Schutz bieten schnelle Updates, Verhaltenserkennung (EDR) und Schadensbegrenzung.

Bei einem DDoS-Angriff wird ein Dienst mit kuenstlicher Last ueberflutet, bis er nicht mehr erreichbar ist.

Spezialisierte Schutzdienste filtern den Angriffsverkehr heraus.

Geraeteverschluesselung macht die Festplatte unlesbar, falls ein Laptop verloren geht oder gestohlen wird.

BitLocker (Windows) und FileVault (Mac) sollten ueberall aktiv sein.

Das ist eine Schulung, die Mitarbeiter lernen laesst, Phishing und Betrug zu erkennen.

Da der Mensch das haeufigste Einfallstor ist, ist es eine der wirksamsten Massnahmen.

Incident Response ist der geplante Ablauf, wie man auf einen Sicherheitsvorfall reagiert, von Erkennen ueber Eindaemmen bis Wiederherstellen.

Wer das vorher uebt, verliert im Ernstfall weniger Zeit und Daten.

Ein Backup ist eine Sicherungskopie eurer Daten, mit der ihr nach Verlust, Defekt oder Angriff wiederherstellen koennt.

Ein Backup ist nur dann gut, wenn die Wiederherstellung regelmaessig getestet wird.

Drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine ausser Haus.

Das schuetzt gleichzeitig vor Defekt, Diebstahl, Brand und Ransomware.

Ein Backup dient der schnellen Wiederherstellung im Notfall, ein Archiv der langfristigen, oft gesetzlich vorgeschriebenen Aufbewahrung.

Beides hat unterschiedliche Zwecke und sollte getrennt gedacht werden.

Disaster Recovery ist der geplante Ablauf, wie die IT nach einem schweren Ausfall moeglichst schnell wieder laeuft.

Wichtig sind klare Ziele, wie viel Datenverlust und wie lange Ausfall maximal tragbar sind (RPO und RTO).

Business Continuity Management sorgt dafuer, dass das Unternehmen auch bei Stoerungen handlungsfaehig bleibt, nicht nur die IT, sondern der ganze Betrieb.

Ein Notfallplan gehoert dazu, getestet und aktuell gehalten.

Nein, nicht im Sinne eines echten Backups; die Anbieter schuetzen ihre Infrastruktur, aber geloeschte oder verschluesselte Daten sind oft nur begrenzt wiederherstellbar.

Ein eigenes Backup von Microsoft 365 oder Google ist daher dringend zu empfehlen.

RPO sagt, wie viel Datenverlust maximal tragbar ist, RTO, wie lange ein Ausfall maximal dauern darf.

Diese zwei Zahlen bestimmen, wie eure Backup- und Notfallstrategie aussehen muss.

Ein unveraenderliches Backup kann nach dem Schreiben nicht mehr geaendert oder geloescht werden, auch nicht von Ransomware.

Es ist einer der besten Schutzmechanismen gegen Erpressungsangriffe.

Das haengt von Art und Land ab; Geschaeftsunterlagen muessen oft sechs bis zehn Jahre aufbewahrt werden.

Backup und gesetzliche Archivierung sind dabei getrennt zu betrachten.

Die DSGVO ist die EU-Datenschutz-Grundverordnung; sie betrifft fast jedes Unternehmen, das personenbezogene Daten von Personen in der EU verarbeitet, unabhaengig von der Firmengroesse.

Pflichten sind unter anderem ein Verzeichnis der Verarbeitungen, technische Schutzmassnahmen und das Wahren von Betroffenenrechten.

Das revidierte nDSG ist das Schweizer Datenschutzgesetz, das seit September 2023 gilt und in vielen Punkten an die DSGVO angelehnt ist.

Schweizer Firmen und solche, die Schweizer Daten bearbeiten, muessen es einhalten.

ISO 27001 ist der internationale Standard fuer ein Informationssicherheits-Managementsystem (ISMS), also einen strukturierten Rahmen, um Informationen systematisch zu schuetzen.

Eine Zertifizierung weist Kunden und Partnern nach, dass Sicherheit gelebt wird, nicht nur behauptet.

Ein ISMS (Informationssicherheits-Managementsystem) ist das Gesamtsystem aus Richtlinien, Prozessen und Kontrollen, mit dem ein Unternehmen seine Informationssicherheit steuert.

ISO 27001 ist der bekannteste Standard dafuer.

NIS2 ist eine EU-Richtlinie, die Cybersicherheits-Pflichten fuer viele Branchen verschaerft und auf deutlich mehr Unternehmen ausweitet als zuvor.

Betroffen sind oft auch mittelgrosse Firmen in wichtigen Sektoren und ihre Zulieferer. Wer unsicher ist, sollte die Betroffenheit pruefen lassen.

DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die von Finanzunternehmen verlangt, ihre IT gegen Stoerungen und Angriffe widerstandsfaehig zu machen.

Sie betrifft Banken, Versicherungen und auch deren IT-Dienstleister.

ISO 13485 ist der Qualitaetsmanagement-Standard speziell fuer Hersteller von Medizinprodukten.

Er ist faktisch Voraussetzung, um Medizinprodukte in vielen Maerkten verkaufen zu duerfen.

ISO 9001 ist der weltweit verbreitetste Standard fuer Qualitaetsmanagement und gilt branchenuebergreifend.

Er zeigt, dass ein Unternehmen seine Prozesse strukturiert steuert und verbessert.

Der EU AI Act ist das erste umfassende KI-Gesetz der EU; es teilt KI-Anwendungen nach Risiko ein und knuepft daran Pflichten.

Unternehmen, die KI einsetzen oder anbieten, muessen je nach Risikoklasse Transparenz, Dokumentation und Kontrollen sicherstellen.

Ein Audit ist eine unabhaengige Pruefung, ob ein Unternehmen festgelegte Vorgaben oder Standards tatsaechlich einhaelt.

Bei Zertifizierungen wie ISO 27001 entscheidet das Audit ueber das Zertifikat.

Auditfest heisst, dass Prozesse und Nachweise so dokumentiert sind, dass sie eine Pruefung sicher bestehen.

Es geht nicht nur darum, etwas richtig zu tun, sondern es auch belegen zu koennen.

Ein AVV regelt, wie ein Dienstleister personenbezogene Daten im Auftrag verarbeitet und schuetzt.

Die DSGVO verlangt ihn, sobald ein externer Anbieter solche Daten bearbeitet, etwa eine Cloud.

Oft ja, abhaengig von Groesse, Land und Art der Datenverarbeitung; er kann intern benannt oder extern eingekauft werden.

Im Zweifel sollte man die Pflicht pruefen lassen, statt sie zu uebersehen.

TOM sind die konkreten Schutzmassnahmen fuer Daten, etwa Verschluesselung, Zugriffsrechte und Backups.

Die DSGVO verlangt sie und ihren Nachweis.

Eine DSFA prueft vorab die Risiken einer geplanten Datenverarbeitung fuer die Betroffenen.

Sie ist bei besonders risikoreichen Vorhaben Pflicht.

Je nach Reifegrad meist einige Monate Vorbereitung; die Kosten haengen stark von Groesse und Ausgangslage ab.

Ein Vor-Assessment zeigt schnell, wie weit der Weg und welcher Aufwand realistisch ist.

Security ist der tatsaechliche Schutz, Compliance der Nachweis, dass man Vorgaben einhaelt.

Man kann sicher sein, ohne compliant zu sein, und umgekehrt; gut ist beides zusammen.

Part-IS sind die Informationssicherheits-Anforderungen der europaeischen Luftfahrtbehoerde fuer betroffene Luftfahrtorganisationen.

Sie verlangen ein Managementsystem fuer Informationssicherheit mit Risiken und Massnahmen.

Ein Netzwerk verbindet Geraete miteinander, damit sie Daten austauschen koennen; LAN ist das kabelgebundene, WLAN das drahtlose Firmennetz.

Ein stabiles, sicheres Netzwerk ist die Grundlage fuer alles andere.

Ein VLAN teilt ein physisches Netzwerk in mehrere getrennte, logische Netze, etwa um Gaeste, Buero und sensible Systeme voneinander abzuschotten.

Das erhoeht Sicherheit und Ordnung.

DNS ist das Adressbuch des Internets; es uebersetzt Namen wie eine Webadresse in die technische IP-Adresse dahinter.

Faellt DNS aus, ist gefuehlt das halbe Internet weg, obwohl die Server laufen.

Eine IP-Adresse ist die eindeutige Nummer, ueber die ein Geraet im Netzwerk oder Internet erreichbar ist.

Sie ist vergleichbar mit einer Telefonnummer fuer Computer.

Bandbreite ist die Datenmenge, die pro Zeit durch eure Internetverbindung passt, also wie breit die Datenautobahn ist.

Zu wenig Bandbreite bremst Videocalls, Cloud und Uploads aus.

Ein Router verbindet euer Netzwerk mit dem Internet, ein Switch verbindet Geraete innerhalb des Netzwerks.

Beide werden im Buero meist kombiniert eingesetzt.

Ein Access Point stellt das WLAN bereit; ein getrenntes Gaeste-WLAN haelt Besucher vom internen Netz fern.

Das schuetzt Firmensysteme vor fremden Geraeten.

Eine statische IP bleibt fest, eine dynamische wird automatisch zugeteilt und kann sich aendern.

Server brauchen oft eine feste Adresse, normale Geraete nicht.

Kuenstliche Intelligenz sind Computersysteme, die Aufgaben uebernehmen, die sonst menschliche Intelligenz erfordern, etwa Sprache verstehen, Texte schreiben oder Muster erkennen.

Im Buero hilft KI heute vor allem beim Schreiben, Zusammenfassen, Suchen und Automatisieren.

Ein LLM ist ein KI-Modell, das auf riesigen Textmengen trainiert wurde und daraus menschenaehnliche Sprache versteht und erzeugt.

Bekannte Beispiele sind die Modelle hinter ChatGPT oder Claude.

RAG ist eine Methode, bei der eine KI ihre Antworten aus euren eigenen Dokumenten zieht, statt nur aus ihrem allgemeinen Training.

So gibt die KI praezise, belegbare Antworten auf Basis eures Firmenwissens, etwa Handbuecher oder Richtlinien.

Wichtig sind klare Regeln, welche Daten in welche KI duerfen, eine Loesung, die Datenschutz und EU AI Act beachtet, und idealerweise eine Umgebung, in der sensible Daten das Haus nicht verlassen.

Ein Wildwuchs aus privaten KI-Konten ist das groesste Risiko. Besser ist ein freigegebener, dokumentierter Weg mit Schulung.

Eine lokale oder souveraene KI laeuft auf eigener Hardware im Unternehmen, sodass sensible Daten nicht an externe Cloud-Anbieter gehen.

Das ist besonders fuer regulierte Branchen und vertrauliche Daten interessant.

KI-Governance sind die Regeln, Rollen und Kontrollen, mit denen ein Unternehmen den Einsatz von KI steuert und nachweisbar verantwortbar macht.

Sie wird durch Vorgaben wie den EU AI Act und ISO 42001 zunehmend zur Pflicht.

ISO 42001 ist der erste internationale Standard fuer ein KI-Managementsystem, also einen Rahmen, um KI sicher, fair und nachvollziehbar einzusetzen.

Er hilft, die Anforderungen aus dem EU AI Act strukturiert zu erfuellen.

In der Regel ersetzt KI keine Mitarbeiter, sondern nimmt ihnen wiederkehrende Arbeit ab, sodass mehr Zeit fuer Wertvolles bleibt.

Der groesste Nutzen entsteht, wenn KI in bestehende Prozesse eingebettet wird, nicht als Spielerei nebenher.

Vertrauliche oder personenbezogene Daten gehoeren nicht ungeprueft in oeffentliche KI-Dienste, weil unklar sein kann, was damit geschieht.

Sicherer sind Geschaefts-Tarife mit Datenschutzgarantien oder eine eigene, kontrollierte KI-Umgebung.

Halluzinationen sind plausibel klingende, aber falsche Antworten einer KI.

Deshalb braucht es Quellen, Pruefung und bei Fakten den Bezug auf echte Dokumente (RAG).

Copilot ist Microsofts KI-Assistent in Word, Excel, Outlook und Teams, der auf Basis eurer Microsoft-365-Daten arbeitet.

Er hilft beim Schreiben, Zusammenfassen und Auswerten, im Rahmen eurer Berechtigungen.

Ein KI-Agent erledigt mehrschrittige Aufgaben weitgehend selbststaendig, statt nur einzelne Fragen zu beantworten.

Er kann Werkzeuge nutzen und Ablaeufe ausfuehren, braucht aber klare Grenzen und Kontrolle.

Mit einem klaren, kleinen Anwendungsfall mit echtem Nutzen, klaren Datenregeln und einer freigegebenen Loesung statt privatem Wildwuchs.

Erst Mehrwert zeigen, dann ausweiten.

ChatGPT antwortet aus allgemeinem Wissen, eine Firmen-KI antwortet aus euren eigenen Dokumenten und unter euren Regeln.

Letztere ist praeziser, vertraulicher und nachvollziehbarer.

Ein MSP ist ein Dienstleister, der die IT eines Unternehmens laufend betreibt, ueberwacht und absichert, gegen eine planbare monatliche Gebuehr.

Statt erst beim Ausfall zu reagieren, kuemmert sich der MSP vorausschauend um den reibungslosen Betrieb.

Managed IT bedeutet, dass ein externer Partner den Betrieb der IT uebernimmt, von Geraeten und Updates ueber Sicherheit bis zum Support.

Das gibt kleinen Firmen professionelle IT, ohne eine grosse eigene Abteilung aufzubauen.

Ein SLA ist eine vertragliche Zusage, welche Leistung und welche Reaktionszeiten ein Dienstleister garantiert, etwa wie schnell auf eine Stoerung reagiert wird.

Es macht Servicequalitaet messbar und verbindlich.

Der Service Desk ist die zentrale Anlaufstelle, an die sich Mitarbeiter mit IT-Problemen wenden und von der ihre Anfragen bearbeitet werden.

Tickets sorgen dafuer, dass nichts untergeht.

Monitoring ist die laufende Ueberwachung von Systemen, damit Probleme erkannt und behoben werden, bevor sie zum Ausfall fuehren.

Gutes Monitoring verhindert Stoerungen, statt nur darauf zu reagieren.

Patch-Management ist das regelmaessige und kontrollierte Einspielen von Updates, um Sicherheitsluecken zu schliessen und Software aktuell zu halten.

Veraltete Software ist eines der haeufigsten Einfallstore fuer Angriffe.

Meist nicht; fuer viele KMU ist ein externer IT-Partner guenstiger und leistungsfaehiger als eigenes Personal, vor allem bei Sicherheit und Compliance.

Eine Mischung ist moeglich: interne Ansprechperson plus externer Partner fuer Betrieb und Spezialthemen.

Onboarding ist das saubere Einrichten von Zugaengen und Geraeten fuer neue Mitarbeiter, Offboarding das vollstaendige Entziehen beim Austritt.

Schlechtes Offboarding ist ein unterschaetztes Sicherheitsrisiko, weil alte Zugaenge offen bleiben.

Bei Co-Managed IT teilen sich eine interne IT und ein externer Partner die Aufgaben.

Das entlastet das interne Team und holt Spezialwissen dazu.

Ein vCIO ist ein externer IT-Stratege, der Technologie-Entscheidungen und Planung begleitet, ohne fest angestellt zu sein.

Gerade KMU bekommen so Strategie auf hohem Niveau bezahlbar.

MDR ist ein Dienst, der eure IT rund um die Uhr ueberwacht, Angriffe erkennt und darauf reagiert.

Er bringt SOC-Faehigkeiten, ohne ein eigenes Team aufzubauen.

IT-Asset-Management ist die Inventarisierung aller Geraete, Lizenzen und Systeme.

Ohne Ueberblick gibt es weder Sicherheit noch Kostenkontrolle.

Mit sauberer Uebergabe der Zugaenge, Dokumentation und einem geplanten Stichtag; ein guter neuer Partner steuert das.

Wichtig ist, dass ihr Eigentuemer eurer Konten und Daten bleibt.

IT-Kosten haengen stark von Groesse, Branche und Anforderungen ab; ueblich sind planbare monatliche Kosten pro Mitarbeiter fuer Software, Geraete, Sicherheit und Betreuung.

Statt grosser Einmalinvestitionen setzen viele Firmen auf monatliche Abos, was die Kosten kalkulierbar macht. Ein guter Partner macht die Kosten transparent statt unvorhersehbar.

CapEx sind einmalige Investitionen wie der Kauf von Servern, OpEx sind laufende Betriebskosten wie Cloud-Abos.

Der Trend geht klar zu OpEx, weil es flexibler und planbarer ist.

Eine Lizenz ist das Nutzungsrecht an einer Software, oft pro Nutzer und Monat oder Jahr.

Falsche oder fehlende Lizenzen koennen rechtlich und finanziell teuer werden.

Vendor Lock-in heisst, dass man so stark von einem Anbieter abhaengig ist, dass ein Wechsel schwierig und teuer wird.

Man reduziert das Risiko durch offene Standards und saubere Datenexport-Moeglichkeiten.

TCO sind die gesamten Kosten ueber die ganze Nutzungsdauer, nicht nur der Kaufpreis.

Betrieb, Wartung, Schulung und Ausfaelle gehoeren dazu.

Mieten samt Verwaltung macht Kosten planbar und haelt Geraete aktuell, Kauf bindet Kapital.

Fuer wachsende oder kostenbewusste KMU ist Mieten oft attraktiver.

Durch regelmaessige Pruefung, welche Lizenzen wirklich genutzt werden, und passende Pakete statt teurer Einzelloesungen.

Lizenz-Optimierung spart oft spuerbar Geld.

Versteckte Kosten sind Ausfaelle, Sicherheitsvorfaelle, doppelte Tools und verlorene Zeit durch schlechte IT.

Sie sind oft groesser als die sichtbaren Rechnungen.

Mit einer klaren Bueroumgebung (Microsoft 365 oder Google Workspace), zentral verwalteten Geraeten, MFA und Backups sowie sauberen Zugriffsrechten von Anfang an.

Wer die Basis sofort richtig aufsetzt, spart sich spaeter teure Aufraeumarbeiten.

Sobald die IT mehr Zeit kostet, als ihr habt, oder sobald Sicherheit und Compliance ueber das eigene Wissen hinausgehen, lohnt sich ein externer Partner.

Das ist meist frueher der Fall, als man denkt, gerade in regulierten Branchen.

An planbaren Preisen, klaren SLAs, nachweisbarer Sicherheits- und Compliance-Kompetenz, schneller Reaktion und daran, dass er vorausschauend arbeitet statt nur Stoerungen abzuarbeiten.

Ein guter Partner erklaert verstaendlich und macht euch nicht abhaengig.

MFA ueberall aktivieren, ein aktuelles Backup sicherstellen und die Mitarbeiter fuer Phishing sensibilisieren.

Diese drei Schritte verhindern einen Grossteil der haeufigsten Vorfaelle und kosten fast nichts.

Mit einer Standortbestimmung (wo steht ihr heute), dem Schliessen der Luecken und dem Aufbau der noetigen Nachweise, idealerweise begleitet von jemandem, der Audits kennt.

Ein vorbereitendes Assessment zeigt in wenigen Wochen, wie weit der Weg ist.

Ja, auch ein kleines Unternehmen profitiert von einer einfachen Linie, wohin sich Tools, Sicherheit und Budget entwickeln sollen.

Strategie verhindert teure Einzelentscheidungen ohne roten Faden.

Schritt fuer Schritt entlang echter Schmerzpunkte, mit sauberer Basis (Geraete, Cloud, Sicherheit) zuerst und Automatisierung danach.

Technik folgt dem Nutzen, nicht dem Trend.

Zuerst die Betroffenheit klaeren, dann den Ist-Stand erheben, Luecken schliessen und Nachweise aufbauen.

Ein Readiness-Assessment zeigt in wenigen Tagen, wo ihr steht.

Mit Verschluesselung, klaren Zugriffsrechten, MFA, Backups und einem AVV mit euren Dienstleistern.

Datenschutz ist Pflicht und zugleich ein Vertrauensargument bei Kunden.