IT-Dienstleister anhand von Leistungsprofilen prüfen

Leistungsprofil statt Bauchgefühl: Warum sich der strukturierte Vergleich lohnt

Der Markt für IT-Dienstleister ist unübersichtlich: Die einen sind größer, die anderen kleiner; manche breiter aufgestellt, andere auf einzelne Themen spezialisiert. Praktisch jeder hält sich für den besten. Ein Vergleich allein nach Preis oder Bauchgefühl greift daher zu kurz.

Ein IT-Dienstleister kann verschiedene Rollen übernehmen: Unterstützung bei der Verwaltung der Informationstechnologie, Netzwerk- und Datenmanagement, IT-Support, Betrieb und Sicherheitsdienste. Je nach Zuschnitt trägt der externe Partner die Verantwortung für die gesamte IT-Infrastruktur oder nur für einzelne Bausteine.

Deshalb ist der umgekehrte Weg sinnvoll: zuerst den eigenen Bedarf im Anforderungskatalog festhalten, danach die Leistungsprofile der Anbieter damit abgleichen. So wird sichtbar, wo ein Profil nur breit klingt, aber keine konkrete Leistung nennt – und wo eine Kernanforderung des eigenen Betriebs gar nicht abgedeckt ist.

Eigenen Anforderungskatalog vor dem Anbietervergleich festlegen

Bevor Sie konkrete Leistungsprofile lesen, sollte intern klar sein, was der Dienstleister übernehmen soll und wie Sie die Qualität messen. Zwei Blöcke haben sich als Ordnungsraster bewährt: fachliches Know-how und verfügbare Kapazitäten. Beide werden oft getrennt betrachtet, hängen aber zusammen – das beste Fachprofil nützt wenig, wenn im Ernstfall niemand verfügbar ist.

Darin sammeln Sie Ihre Anforderungen: Standardbetrieb (etwa Server-Betreuung oder User Help Desk), Spezialthemen, Sicherheit, Support und Betreuungsmodell, Digitalisierungsvorhaben sowie erwartete Verfügbarkeit und Reaktionsfähigkeit. Sinnvoll ist eine Trennung in Muss- und Kann-Kriterien samt grober Gewichtung.

Wichtig: Fixieren Sie den Katalog vor dem ersten Anbietergespräch. Wer ihn erst während der Präsentationen zusammenstellt, übernimmt unbewusst die Struktur des jeweiligen Anbieters – und vergleicht am Ende unterschiedlich aufgebaute Profile statt den eigenen Bedarf.

Leistungsprofile in überprüfbare Bausteine zerlegen

Typische Leistungsprofile enthalten wiederkehrende Bausteine. Häufig genannt: Managed IT Services, also die laufende Betreuung von Netzwerk, Daten, Support und Sicherheit; Cloud-Dienste als Software-as-a-Service, Platform-as-a-Service und Infrastructure-as-a-Service sowie Cybersecurity-Dienste. Verbreitet sind auch Sammelbegriffe wie Managed Services, Cloud-Lösungen, IT-Security, Digitalisierung und Support – oft als Paket „aus einer Hand“ beworben.

Für den Vergleich muss jeder Baustein konkret werden: Welche Systeme sind umfasst, welche nicht? Gilt der Betrieb rund um die Uhr oder nur zu Geschäftszeiten? Gehören Änderungen, Updates und Dokumentation zum Paket? Pauschale Schlagworte lassen sich selten mit dem eigenen Anforderungskatalog abgleichen.

Ein breites Angebot hilft, wenn Sie flexibel bleiben und möglichst viele Leistungen bei einem Partner beziehen wollen. Bei speziellen Anforderungen ist ein spezialisierter Partner oft die bessere Wahl. Diese Abwägung sollte bewusst erfolgen, nicht zufällig.

Fachliches Know-how und Technologiebreite bewerten

Beim fachlichen Know-how prüfen Sie zuerst, ob der Anbieter gängige Standardleistungen wirklich beherrscht – etwa Server-Betreuung oder einen User Help Desk. Danach folgt die Frage nach Spezialbereichen, die zu Ihrem Umfeld passen, etwa spezielle Security- oder Storage-Lösungen.

Ein aussagekräftiges Profil zeigt außerdem, dass der Anbieter aktuelle technologische und branchenrelevante Entwicklungen verfolgt – derzeit werden in der Branche etwa Robotic Process Automation (RPA) und Internet of Things (IoT) genannt. Ebenso relevant: Kann der Anbieter Stärken und Schwächen einzelner Lösungen offen darlegen, damit Sie abwägen können, ob eine gute Gesamtlösung oder eine Best-of-Breed-Strategie besser zu Ihren Unternehmensprozessen passt?

Zum Fachprofil gehört auch der Umgang mit Extremsituationen, etwa einem Komplettausfall durch Ransomware. Wer nur von Prävention spricht und keine Abläufe für die Wiederherstellung nennt, hat das Thema im Leistungsprofil nicht zu Ende gedacht.

Zertifizierungen und formale Nachweise einordnen

Anerkannte Zertifizierungen und Herstellerpartnerschaften gelten als Hinweis auf strukturierte Prozesse und hohe Sicherheitsstandards. In der österreichischen Anbieterlandschaft fallen dabei regelmäßig eine Zertifizierung nach ISO 27001 für Informationssicherheit sowie der Status als Microsoft Gold Partner für Expertise in Microsoft-Technologien; daneben gibt es branchenspezifische Zertifikate.

Zertifikate sind jedoch nur die halbe Prüfung. Wenn Sie sie als Auswahlkriterium nutzen, lassen Sie sich die Nachweise zeigen und fragen Sie zusätzlich nach Referenzprojekten in Ihrer Branche. So unterscheidet sich eine Urkunde an der Bürowand von einer tatsächlich erbrachten Leistung.

Ob ein Zertifikat überhaupt relevant ist, hängt vom Kontext ab: Im österreichischen Schulbereich werden etwa der Europäische Computerführerschein (ECDL) und Microsoft-Zertifikate als IT-Zertifizierungen geführt. Für die Auswahl eines Betriebspartners sagt das wenig; für eine Bildungsorganisation mit passender Zielgruppe aber durchaus etwas über die Vertrautheit mit der Umgebung.

Kapazitäten, Reaktionszeiten und Spezialistenzugriff prüfen

Neben Überwachung und Instandhaltung der Systeme muss ein externer Anbieter auch dann handlungsfähig sein, wenn es brennt. Mindestanforderung: Rund um die Uhr steht ein erfahrener IT-Techniker bereit, der im Bedarfsfall rasch eingreift oder entstandene Schäden behebt.

Ebenso wichtig ist der Zugriff auf die richtigen Spezialisten für die einzelnen Systeme im eigenen Haus – vom Netzwerk über Storage bis zu Fachanwendungen. Ein Profil, das nur Dienstleistungen auflistet, aber nichts über Teamgröße, Erreichbarkeit und Eskalationswege sagt, lässt genau jene Frage offen, die im Störfall entscheidend ist.

Praktisch heißt das: Reaktionszeiten, Erreichbarkeitsfenster, Vertretungsregelungen und Zuständigkeiten im Eskalationsfall schriftlich verlangen – und mit den eigenen Anforderungen abgleichen, statt sich auf die Zusage zu verlassen, man reagiere „in allen Situationen schnell“.

Security- und Notfallkompetenz im Profil erkennen

Sicherheitsleistungen sollten im Profil konkret ausgewiesen sein. Zu den üblichen Bausteinen zählen Risikobewertungen, Sicherheitsaudits, Firewall-Management, Viren- und Malware-Schutz sowie Datenverschlüsselung. Fehlt einer dieser Bereiche, klären Sie, ob er bewusst nicht angeboten oder nur nicht erwähnt wird.

Zur Notfallkompetenz gehört mehr als Technik: Auch die Bewältigung von Vorfällen – etwa eines Komplettausfalls durch Ransomware – muss im Leistungsprofil vorkommen. Dazu gehört die Frage, wer im Ernstfall Entscheidungen trifft und wie Wiederanläufe organisiert sind.

Der Faktor Mensch wird oft übersehen. Sinnvoll ist, dass der Dienstleister Mitarbeiterschulungen für seine Kunden anbietet, etwa Security-Awareness-Schulungen für die eigenen Beschäftigten. Das senkt die Wahrscheinlichkeit, dass eine Sicherheitsmaßnahme an einem unbedachten Klick scheitert.

Service- und Betreuungsmodell sowie Referenzen hinterfragen

Kundenservice ist kein Zusatz, sondern Teil des Leistungsprofils. Persönliche Betreuung und direkte Ansprechpartner bringen schnelle Hilfe und individuelle Lösungen. Prüfen Sie daher, ob der Anbieter mit Hotline, Vor-Ort-Service oder festen Ansprechpartnern arbeitet – und ob das zu Ihren Anforderungen an die Erreichbarkeit passt.

Zur Betreuung gehört auch die Frage nach Referenzen und Kundenbewertungen. Sie geben Anhaltspunkte, ob die zugesagte Betreuung im Alltag tatsächlich gelebt wird, und sind besonders aussagekräftig, wenn sie aus der eigenen Branche oder aus vergleichbaren Größenordnungen stammen.

In der Praxis empfiehlt es sich, den Service-Teil gleichwertig neben Technik und Sicherheit zu behandeln: Ein Anbieter mit hervorragender Technik, aber ohne klare Ansprechpartner und ohne nachvollziehbare Projektreferenzen bleibt ein Risiko für den laufenden Betrieb.

KI- und Automatisierungsleistungen nicht nur als Schlagwort prüfen

KI und Automatisierung finden sich mittlerweile in vielen Leistungsprofilen. Entscheidend ist, ob hinter den Begriffen eine überprüfbare Leistung steht. Eine nachvollziehbare Vorgehensweise beginnt mit einem Systemaudit, das Systeme, Daten, Workflows und Risiken erfasst, und priorisiert danach, wo sich der Einsatz zuerst rechnet.

Darauf aufbauend sollten Workshops für Führungsebene und Technik, die Implementierung von Automatisierungen und Konnektoren sowie eine Übergabe an das eigene Team vorgesehen sein – damit die Systeme nicht an eine einzelne Person oder an den Anbieter gebunden bleiben. Werden in einem Profil überwiegend moderne Tool-Namen genannt, ohne Ablauf, Verantwortlichkeiten und Übergabe zu beschreiben, ist Vorsicht angebracht.

Auch ältere Automatisierungsthemen gehören in diese Prüfung: Aktuelle technologische und branchenrelevante Entwicklungen wie RPA oder IoT zeigen, ob ein Anbieter über den Tellerrand des reinen Betriebs hinausdenkt – oder ob er nur dem jeweils neuesten Schlagwort folgt.

Fragenkatalog und Entscheidungsmatrix für den Anbietervergleich

Sobald mehrere Profile vorliegen, hilft eine einfache Matrix: In den Zeilen stehen Ihre Kriterien – fachliches Know-how bei Standarddiensten, Spezialbereiche, Technologiebreite, Zertifikate und Nachweise, Kapazität und Reaktionszeiten, Sicherheitsleistungen, Service- und Betreuungsmodell, Referenzen sowie gegebenenfalls KI- und Automatisierungsleistungen. In den Spalten stehen die Anbieter, in den Zellen die Fundstelle im jeweiligen Profil. So wird sichtbar, welche Aussage belegt ist und welche nur allgemein klingt.

Aus jedem Kriterium lassen sich Fragen ableiten: Welche Systeme sind im Betrieb tatsächlich enthalten? Wer ist im Störfall in welchem Zeitraum erreichbar? Welche Zertifikate liegen vor, und können Sie sie einsehen? Wie werden Risikobewertung, Audits und Vorfälle abgewickelt? Gibt es feste Ansprechpartner oder eine Hotline, und wie ist der Vor-Ort-Service geregelt? Welche Referenzprojekte aus Ihrer Branche kann der Anbieter nennen?

Die Matrix ersetzt keine Entscheidung, macht sie aber begründbar. Sie zeigt auch Lücken, die im Gespräch noch geklärt werden müssen – und dokumentiert später, worauf die Auswahl beruht hat.

Österreichische Bezugsquellen und Empfehlungen nutzen

Für öffentliche Stellen und besonders für den Schulbereich gibt es in Österreich bereits aufbereitete Vergleichsmaßstäbe. Das Bildungsministerium führt unter „IT-Angebote und Empfehlungen“ unter anderem Rahmenvereinbarungen mit Nessus GmbH, A1 Telekom Austria AG, T-Mobile Austria GmbH (Magenta) und Video-Broadcast sowie Hard- und Softwareprodukte, Lizenzen von Adobe, Microsoft und Novell, Virenschutz-Software und Telekommunikations- und Internetlösungen. Hinzu kommt die Empfehlung für die Basis-IT-Infrastrukturausstattung an österreichischen Schulen.

Solche Rahmenvereinbarungen und Empfehlungen ersetzen den eigenen Anforderungskatalog nicht, geben aber Orientierung, welche Leistungen und Vertragskonstrukte im öffentlichen Umfeld üblich und geprüft sind. Wer als Gemeinde, Schule oder öffentliche Einrichtung beschafft, sollte zuerst prüfen, ob eine bestehende Vereinbarung nutzbar ist.

Bei der Bewertung von Projektreferenzen lohnt zusätzlich ein Blick in veröffentlichte Prüfberichte. Der Rechnungshof überprüfte etwa im Zusammenhang mit dem IT-Programm E-Finanz die Umsetzung seiner Empfehlungen anhand von sechs Einzelprojekten, die das Ministerium ab 2016 begonnen hatte. Solche Berichte zeigen, wo IT-Vorhaben in der Praxis hängen bleiben – ein nützlicher Hintergrund, wenn ein Anbieter mit ähnlich gelagerten Referenzprojekten wirbt.

Österreichische Rahmenvereinbarungen für öffentliche Einrichtungen