WVM-IT
Ein IT-Dienstleister braucht Administratorzugang zu Servern, Netzwerkgeräten, Firewall und dem Verwaltungsbereich Ihrer Microsoft-365-Umgebung — also zu der Technik, die er betreiben soll. Er braucht nicht: Ihr persönliches E-Mail-Passwort, Zugang zum Online-Banking, Zugriff auf Personalakten oder das Passwort der Geschäftsführung. Der Unterschied ist einfach zu merken: Technik ja, Inhalte nein. Alles, was er bekommt, sollte auf eine benannte Person ausgestellt, mit Zwei-Faktor-Anmeldung geschützt und protokolliert sein.
Was er braucht — und wofür
Administratorkonten auf Servern und Arbeitsplätzen, um Updates einzuspielen und Störungen zu beheben. Zugang zu Switch, Firewall und Zugangspunkten, um das Netz zu betreuen. Den Verwaltungsbereich von Microsoft 365, um Konten anzulegen, Rechte zu setzen und Postfächer wiederherzustellen. Zugang zum Sicherungssystem, um die Wiederherstellung zu testen. Und den Zugang zum Domain- und Hosting-Konto — allerdings als Mitbenutzer, nicht als Inhaber.
Was er nie braucht
Ihr persönliches Passwort. Zugänge zum Online-Banking oder zu Zahlungsdienstleistern. Den Inhalt von Personalakten, Mandanten- oder Patientendaten. Und die Inhaberschaft an Domain, Hosting oder Lizenzen — die gehören dem Betrieb. Wenn ein Dienstleister eines dieser Dinge verlangt, ist die Frage nicht, ob er vertrauenswürdig ist, sondern warum die Aufgabe anders nicht lösbar sein soll. Meist ist sie es.
Die Grauzone: Zugriff auf Fachanwendungen
Manchmal braucht es einen Blick in die Fachanwendung, um ein Problem zu finden — in eine Kanzleisoftware, ein Praxisprogramm, eine Warenwirtschaft. Sauber gelöst wird das mit einem eigenen Konto, das nur die technischen Bereiche sieht, oder mit einem Zugang, der bei Bedarf freigeschaltet und danach wieder entzogen wird. Was nicht sauber ist: das Konto einer Mitarbeiterin mitzubenutzen. Danach ist keine Protokollierung mehr etwas wert, und im Zweifel steht ihr Name unter einem Zugriff, den sie nicht getätigt hat.
Wie die Vergabe aussehen sollte
Vier Regeln, die zusammen ausreichen: benannte Konten statt Sammelzugänge, Zwei-Faktor-Anmeldung für alles von außen, ein Protokoll der Anmeldungen, und eine Liste, wer welchen Zugang hat — beim Dienstleister und bei Ihnen. Diese Liste ist derselbe Zettel, den Sie beim Anbieterwechsel brauchen; wer sie führt, hat den Wechsel halb erledigt, bevor er ansteht.
Was am Vertragsende passieren muss
Alle Zugänge des bisherigen Dienstleisters werden deaktiviert — nicht gelöscht, sondern zuerst deaktiviert, damit im Zweifel nachvollziehbar bleibt, was existierte. Zugänge, die auf Ihren Betrieb laufen, werden übergeben. Gemeinsam genutzte Passwörter werden geändert. Und der Dienstleister bestätigt schriftlich, dass er keine Kopien Ihrer Daten mehr hält. Das gehört in den Vertrag, bevor er anfängt — nicht in eine Diskussion, wenn er aufhört.
Kurz gesagt: Technik ja, Inhalte nein. Benannte Zugänge, Zwei-Faktor-Anmeldung, ein Protokoll und eine Liste — mehr braucht es nicht, und weniger reicht nicht.
Wir melden uns innerhalb von 24 Stunden.