Ein IT-Dienstleister braucht Administratorzugang zu Servern, Netzwerkgeräten, Firewall und dem Verwaltungsbereich Ihrer Microsoft-365-Umgebung — also zu der Technik, die er betreiben soll. Er braucht nicht: Ihr persönliches E-Mail-Passwort, Zugang zum Online-Banking, Zugriff auf Personalakten oder das Passwort der Geschäftsführung. Der Unterschied ist einfach zu merken: Technik ja, Inhalte nein. Alles, was er bekommt, sollte auf eine benannte Person ausgestellt, mit Zwei-Faktor-Anmeldung geschützt und protokolliert sein.
Was er braucht — und wofür
Administratorkonten auf Servern und Arbeitsplätzen, um Updates einzuspielen und Störungen zu beheben. Zugang zu Switch, Firewall und Zugangspunkten, um das Netz zu betreuen. Den Verwaltungsbereich von Microsoft 365, um Konten anzulegen, Rechte zu setzen und Postfächer wiederherzustellen. Zugang zum Sicherungssystem, um die Wiederherstellung zu testen. Und den Zugang zum Domain- und Hosting-Konto — allerdings als Mitbenutzer, nicht als Inhaber.
Was er nie braucht
Ihr persönliches Passwort. Zugänge zum Online-Banking oder zu Zahlungsdienstleistern. Den Inhalt von Personalakten, Mandanten- oder Patientendaten. Und die Inhaberschaft an Domain, Hosting oder Lizenzen — die gehören dem Betrieb. Wenn ein Dienstleister eines dieser Dinge verlangt, ist die Frage nicht, ob er vertrauenswürdig ist, sondern warum die Aufgabe anders nicht lösbar sein soll. Meist ist sie es.
Die Grauzone: Zugriff auf Fachanwendungen
Manchmal braucht es einen Blick in die Fachanwendung, um ein Problem zu finden — in eine Kanzleisoftware, ein Praxisprogramm, eine Warenwirtschaft. Sauber gelöst wird das mit einem eigenen Konto, das nur die technischen Bereiche sieht, oder mit einem Zugang, der bei Bedarf freigeschaltet und danach wieder entzogen wird. Was nicht sauber ist: das Konto einer Mitarbeiterin mitzubenutzen. Danach ist keine Protokollierung mehr etwas wert, und im Zweifel steht ihr Name unter einem Zugriff, den sie nicht getätigt hat.
Wie die Vergabe aussehen sollte
Vier Regeln, die zusammen ausreichen: benannte Konten statt Sammelzugänge, Zwei-Faktor-Anmeldung für alles von außen, ein Protokoll der Anmeldungen, und eine Liste, wer welchen Zugang hat — beim Dienstleister und bei Ihnen. Diese Liste ist derselbe Zettel, den Sie beim Anbieterwechsel brauchen; wer sie führt, hat den Wechsel halb erledigt, bevor er ansteht.
Was am Vertragsende passieren muss
Alle Zugänge des bisherigen Dienstleisters werden deaktiviert — nicht gelöscht, sondern zuerst deaktiviert, damit im Zweifel nachvollziehbar bleibt, was existierte. Zugänge, die auf Ihren Betrieb laufen, werden übergeben. Gemeinsam genutzte Passwörter werden geändert. Und der Dienstleister bestätigt schriftlich, dass er keine Kopien Ihrer Daten mehr hält. Das gehört in den Vertrag, bevor er anfängt — nicht in eine Diskussion, wenn er aufhört.
In Österreich: Zugänge und Verantwortung nach DSGVO und DSG
Wer einem Dienstleister Zugänge gibt, bleibt für die Daten verantwortlich, auch wenn jemand anderes die Technik betreibt. Das folgt aus der DSGVO und gilt in Österreich genauso wie in Deutschland, ergänzt durch das Datenschutzgesetz. Praktisch heißt das: Mit jedem Dienstleister, der auf Systeme mit personenbezogenen Daten zugreift, gehört eine Auftragsverarbeitungsvereinbarung abgeschlossen, und Sie sollten wissen, welche Personen auf Seiten des Dienstleisters Zugriff haben. In Betrieben im Raum Wels kommt es vor, dass derselbe Techniker für drei verschiedene Anbieter arbeitet und dieselben Zugangsdaten überall liegen. Verlangen Sie je Person einen eigenen Zugang und Zwei-Faktor-Anmeldung. Das Prinzip erklärt auch die Seite IT-Beratung; die Ortsseite für Betriebe der Region ist Wels. Florin Feier aus Lenzing arbeitet mit einem eigenen, benannten Zugang pro System, per Fernwartung oder vor Ort, und legt Ihnen auf Wunsch die Liste der vergebenen Zugänge offen. Wie eine laufende IT-Betreuung mit sauber vergebenen Zugängen aussieht, beschreibt die Leistungsseite. Wer die Zugänge einem EDV-Betreuer übergibt, findet im Leitbeitrag zur EDV-Betreuung in Oberösterreich den Überblick, was dazugehört.
Häufige Folgefragen
- Was ist ein Notfallzugang und wer verwahrt ihn?
- Ein Konto mit vollen Rechten, das im Alltag nicht benutzt wird und dessen Passwort Sie selbst verwahren — schriftlich, an einem Ort, den zwei Personen im Betrieb kennen. Es ist der Zugang, mit dem Sie weiterarbeiten, wenn Ihr Dienstleister nicht erreichbar ist. Wer keinen hat, hat sich abhängig gemacht, ohne es zu merken.
- Sollte man Zugänge nach einem Wechsel löschen?
- Ja, und zwar alle, nicht nur den offensichtlichen. Die Liste umfasst mehr, als die meisten denken: Fernwartungswerkzeug, Server, Firewall, Domain, Hosting, Microsoft 365, Sicherungssystem und die Zugänge zu Lieferantenportalen. Gehen Sie sie einzeln durch, statt sich auf eine Zusage zu verlassen.
- Braucht der Dienstleister Zugriff auf E-Mail-Inhalte?
- Zum Betrieb nein, zur Fehlersuche gelegentlich ja — und dann punktuell und mit Ihrem Wissen. Ein dauerhafter Vollzugriff auf alle Postfächer ist kein technisches Erfordernis, sondern eine Bequemlichkeit. Er gehört ausdrücklich vereinbart oder ausdrücklich ausgeschlossen.
- Wie oft sollte man Zugänge überprüfen?
- Einmal jährlich vollständig, und sofort bei jedem Personalwechsel auf beiden Seiten. Der Anlass, der am häufigsten übersehen wird, ist der Wechsel beim Dienstleister: Wenn dort jemand aufhört, bleiben dessen Zugänge zu Ihren Systemen oft bestehen. Fragen Sie danach — es ist eine berechtigte Frage und ein guter Prüfstein für die Sorgfalt Ihres Partners.
Kurz gesagt: Technik ja, Inhalte nein. Benannte Zugänge, Zwei-Faktor-Anmeldung, ein Protokoll und eine Liste — mehr braucht es nicht, und weniger reicht nicht.
Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu IT-Sicherheit besprechen oder ein Angebot für IT-Sicherheit zusammenstellen.
Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.
Von Florin Feier · · Aktualisiert:
Wir melden uns an Werktagen innerhalb von 24 Stunden.
So geht es weiter
- Wir lesen und ordnen ein
- Wir melden uns mit einer Einschätzung
- Erst danach entscheiden Sie
Wenn es eilt, rufen Sie an: +43 676 3808501
In Ihrer Nähe: IT-Sicherheit in Seewalchen am Attersee · IT-Sicherheit in Kirchdorf an der Krems