Statt erst beim Ausfall zu reagieren, kümmert sich der MSP vorausschauend um den reibungslosen Betrieb.
Wie funktioniert das MSP-Modell?
Ein Managed Service Provider übernimmt den laufenden Betrieb definierter IT-Bereiche gegen eine meist monatliche, planbare Gebühr, statt nach Aufwand für einzelne Einsätze abzurechnen. Kern ist die vertragliche Zusicherung von Leistung: definierte Reaktions- und Lösungszeiten (SLA), ein fester Ansprechpartner oder Service Desk, und Monitoring, das Probleme im Idealfall erkennt, bevor sie zum Ausfall werden.
Der Gegenentwurf ist der klassische IT-Dienstleister, der erst bei einer Störung gerufen wird und danach nach Aufwand abrechnet.
Für wen ist ein MSP relevant (KMU DE/CH)?
Für KMU ohne grosse eigene IT-Abteilung ist ein MSP oft der einzige Weg zu professionellem Betrieb, ohne selbst Spezialisten für jeden Bereich einzustellen: Netzwerk, Identität, Endgeräte, Security, Backup sind fachlich zu unterschiedlich, um sie mit einer oder zwei Personen abzudecken.
Für Unternehmen mit bestehender interner IT ist Co-Managed IT eine Option: Der MSP übernimmt Tagesgeschäft oder spezifische Bereiche wie Security, während die interne IT sich auf Projekte und Strategie konzentriert. Für regulierte Branchen kommt ein weiterer Grund dazu: Ein MSP mit nachweisbaren Prozessen erleichtert den eigenen Nachweis gegenüber Kunden oder Aufsicht, etwa im Rahmen von NIS2.
Worauf bei der Auswahl achten?
Seit Februar 2025 gibt es über eine Änderung des EU-Cybersicherheitsrechtsakts erstmals eine EU-weite Definition von „Managed Security Services“ und ein geplantes Zertifizierungsschema dafür. Das ist ein Signal, dass sich der Markt zunehmend standardisiert, statt beliebig zu bleiben, und ein zusätzlicher Massstab für die Auswahl eines Anbieters.
- SLA konkret verhandeln, nicht nur als Marketingversprechen akzeptieren
- Eskalationswege bis zur Geschäftsleitung vertraglich festhalten
- Transparentes Ticketing und Reporting einfordern
- Klären, ob Co-Managed oder Vollbetrieb zum eigenen Team passt
Typische Fehler
- Das SLA wird mündlich zugesagt statt vertraglich fixiert
- Kein Reporting, dadurch keine Nachvollziehbarkeit der Leistung
- Ein MSP wird erst gesucht, wenn es schon brennt, statt vorausschauend
- Der Anbieter wird ohne Blick auf Security- und Compliance-Anforderungen wie NIS2 gewählt
Aufwand und Kostentreiber
Der Preis eines MSP richtet sich meist nach der Anzahl der betreuten Arbeitsplätze oder Nutzer, dem vereinbarten SLA-Niveau, dem Umfang co-managed versus Vollbetrieb, und zusätzlichen Anforderungen wie Datenhoheit oder regulatorischen Nachweispflichten. Ein realistischer Vergleich zwischen Anbietern setzt voraus, dass Sie diese Punkte vorher selbst klären, statt zwei Angebote mit unterschiedlichem Leistungsumfang nur über den Endpreis zu vergleichen.
Häufige Fragen
Was ist der Unterschied zwischen MSP und klassischem IT-Dienstleister?
Der MSP betreibt laufend und proaktiv gegen eine planbare Gebühr, der klassische Dienstleister reagiert meist erst auf eine Störung und rechnet danach nach Aufwand ab.
Ersetzt ein MSP die interne IT?
Nicht zwingend, Co-Managed IT ist verbreitet: Der MSP übernimmt Tagesgeschäft oder Teilbereiche, die interne IT konzentriert sich auf Projekte und Strategie.
Was ist ein SLA?
Eine vertraglich zugesicherte Reaktions- und Lösungszeit je Störungskategorie, Grundlage dafür, dass „schnell“ messbar statt beliebig ist.
Gibt es eine offizielle Definition für Managed Security Services?
Ja, seit Februar 2025 über eine Änderung des EU-Cybersicherheitsrechtsakts, verbunden mit einem geplanten EU-Zertifizierungsschema für solche Anbieter.
Woran erkennt man einen guten MSP?
An einem konkret verhandelten SLA, transparentem Ticketing mit Reporting, klaren Eskalationswegen und überprüfbaren Referenzen.
Lohnt sich ein MSP für ein kleines Unternehmen?
Oft gerade dann, weil ein kleines Team sonst jede Spezialistenrolle selbst abdecken müsste, vom Netzwerk bis zur Security.
Quellen
- EU Managed Security Services Certification to drive the cybersecurity market, ENISA, European Union Agency for Cybersecurity, 2025
- Incident Response, BSI, Bundesamt für Sicherheit in der Informationstechnik, 2026