Den IT-Dienstleister wechseln, ohne den Betrieb zu gefährden

Ein Wechsel des IT-Dienstleisters ist kein technisches Projekt, sondern ein Übergabeprojekt. Die Technik läuft nach dem Wechsel meist unverändert weiter; was fehlt, sind Zugänge, Kenntnis und Nachweise. Entsprechend entstehen die Probleme selten am Umschalttag, sondern in den Wochen danach – wenn ein Zertifikat abläuft, für das niemand das Konto hat, oder wenn ein Lizenzschlüssel gebraucht wird, der beim alten Partner liegt.

Der Ausgangspunkt ist unbequem: Vor der Kündigung muss klar sein, was übergeben werden soll. Danach wird die Bereitschaft zur Mitwirkung in der Regel nicht größer. Eine typische Situation im Mittelstand ist, dass ein Vertrag rechtzeitig gekündigt wird, die Liste des Übergabebedarfs aber erst entsteht, als die Frist schon läuft.

Der Anspruch besteht, die Liste fehlt

Rechtlich stehen Unternehmen nicht mit leeren Händen da. Für Auftrags- und Geschäftsbesorgungsverhältnisse bestimmt § 667 des Bürgerlichen Gesetzbuchs, dass der Beauftragte dem Auftraggeber alles herauszugeben hat, was er zur Ausführung des Auftrags erhält und was er aus der Geschäftsbesorgung erlangt. Was dieser Anspruch im Einzelfall umfasst, hängt vom Vertrag ab; unstreitig ist er aber nur dann schnell durchsetzbar, wenn benannt werden kann, was konkret herauszugeben ist. Genau dafür braucht es eine Liste, und zwar vor dem ersten Gespräch.

Zugänge sind eine Eigentumsfrage

Der neuralgische Punkt sind Konten, die auf den Dienstleister ausgestellt sind. Wird ein Cloud-Mandant, eine Domain oder ein Lizenzvertrag im Namen des Dienstleisters geführt, endet mit dem Vertrag nicht nur die Betreuung, sondern möglicherweise die Verfügungsgewalt. Klären Sie deshalb für jeden Zugang, auf welche juristische Person er lautet, wer als Rechnungsempfänger und wer als technischer Kontakt eingetragen ist.

Für die Übergabe selbst gilt: Passwörter werden nicht übergeben, sondern ersetzt. Jedes Kennwort, das der ausscheidende Partner kannte, ist nach dem Wechsel zu ändern; das betrifft auch Dienstkonten, hinterlegte Zugangsdaten in Skripten und Wiederherstellungscodes für die Mehrfaktor-Authentifizierung. Ebenso gehören Fernwartungszugänge, dauerhafte Freischaltungen in der Firewall und hinterlegte Schlüssel entfernt – nachweislich und mit Datum.

Die stillen Stolpersteine: Domains, DNS und Zertifikate

Ausfälle nach einem Wechsel gehen selten auf die Server zurück, sondern auf die kleinen Dinge mit Ablaufdatum. Dazu zählen die Domainverwaltung samt der Frage, wer den Verlängerungsauftrag hat; die DNS-Einträge, an denen E-Mail-Versand und Erreichbarkeit hängen; und Zertifikate, deren Erneuerung bisher automatisch auf einem System lief, das jemand anderes betreut hat.

Nehmen Sie diese Posten mit ihrem jeweiligen Ablaufdatum in den Übergabeplan auf und prüfen Sie, ob nach dem Wechsel noch jemand benachrichtigt wird. Ein abgelaufenes Zertifikat oder eine nicht verlängerte Domain fällt nicht am Wechseltag auf, sondern Wochen später – und dann ohne Ansprechpartner, der die Vorgeschichte kennt.

Lizenzen: Wem gehört das Abonnement

Bei Abonnements, die über einen Partner bezogen werden, liegt die Vertragsbeziehung häufig zwischen Hersteller, Partner und Kunde. Ein Wechsel des Partners ist dann ein eigener Vorgang mit eigenen Fristen, der nicht automatisch mit der Kündigung des Wartungsvertrags mitläuft. Planen Sie diesen Schritt getrennt ein und klären Sie vorab, ob eine Übertragung zum laufenden Termin möglich ist oder erst zur nächsten Verlängerung.

Bei dauerhaften Lizenzen für Serverbetriebssysteme und Datenbanken geht es weniger um die Übertragung als um den Nachweis. Fehlen Bestellbelege und die Zuordnung zu Systemen, ist die Lizenzierung nach dem Wechsel nicht mehr belegbar – ein Zustand, der erst bei einer Prüfung auffällt und dann teuer wird. Sammeln Sie die Nachweise deshalb als eigenen Übergabepunkt und nicht als Anhang der Dokumentation.

Wissen übergeben, nicht nur Zugänge

Der Teil, der sich am schwersten einfordern lässt, ist das Wissen über Eigenheiten: warum ein bestimmter Dienst auf einem ungewöhnlichen Port läuft, welches Skript nachts eine Datei abholt, welche Fachanwendung nach einem Neustart in einer bestimmten Reihenfolge gestartet werden muss. Dieses Wissen steht selten in der Dokumentation, weil es im Alltag entstanden ist.

Planen Sie deshalb mindestens einen begleiteten Übergabetermin ein, an dem alter und neuer Partner gemeinsam durch die Systeme gehen, und lassen Sie das Ergebnis protokollieren. Hilfreich ist eine vorbereitete Fragenliste: Welche Systeme sind besonders empfindlich? Welche Fehlermeldungen treten regelmäßig auf und sind unkritisch? Welche Änderungen standen zuletzt an und wurden verschoben? Was ist in den letzten zwölf Monaten schiefgegangen, und welche Ursache hatte es?

Datenrückgabe und Löschung – beides zugleich

Wurden im Auftrag personenbezogene Daten verarbeitet, verlangt Artikel 28 Absatz 3 der Datenschutz-Grundverordnung eine Vereinbarung, nach der der Auftragsverarbeiter die Daten nach Abschluss der Verarbeitungsleistung löscht oder zurückgibt – sofern nicht nach Unions- oder mitgliedstaatlichem Recht eine Pflicht zur Speicherung besteht. Die praktische Aufgabe besteht darin, diesen Vorbehalt aufzulösen, statt ihn zu ignorieren.

Denn Aufbewahrungspflichten gibt es reichlich. § 257 des Handelsgesetzbuchs verpflichtet Kaufleute, Handelsbücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse zehn Jahre aufzubewahren, Buchungsbelege acht Jahre und empfangene sowie abgesandte Handelsbriefe sechs Jahre; die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Zulässig ist die Aufbewahrung auf Datenträgern, wenn die Wiedergabe bildlich und inhaltlich übereinstimmt und die Unterlagen jederzeit innerhalb angemessener Frist lesbar gemacht werden können.

Daraus folgt eine Reihenfolge: erst die aufbewahrungspflichtigen Bestände identifizieren und in die eigene Umgebung übernehmen, dann prüfen, ob sie dort tatsächlich lesbar sind, und erst danach die Löschung beim alten Dienstleister beauftragen. Verlangen Sie eine schriftliche Löschbestätigung mit Datum, Umfang und Verfahren – auch für Sicherungssätze, die in einem Aufbewahrungszyklus noch Wochen oder Monate vorhanden bleiben.

Die Reihenfolge der Abschaltung

Zwei Fehler wiederholen sich dabei besonders häufig. Der erste ist ein zu kurzer Überlappungszeitraum: Wer am Monatsende kündigt und am Monatsersten umstellt, hat keinen Tag Reserve für Rückfragen. Vier bis sechs Wochen Parallelbetrieb kosten Geld, aber sie kaufen die Möglichkeit, einen Schritt zu wiederholen. Der zweite ist der Verzicht auf ein Übergabeprotokoll – ein Dokument, das Punkt für Punkt festhält, was übergeben wurde, von wem, an wen und mit welchem Datum.

Unsere Einordnung: Der beste Zeitpunkt, einen Dienstleisterwechsel vorzubereiten, ist der Tag des Vertragsabschlusses. Wer schon beim ersten Vertrag festhält, welche Zugänge, Nachweise und Daten im Trennungsfall in welcher Frist und in welchem Format herausgegeben werden, muss diese Punkte später nicht verhandeln. Ein Wechsel wird dann zu dem, was er eigentlich ist: ein geplanter Vorgang mit einer Liste, nicht eine Verhandlung unter Zeitdruck.

Verwandte Themen: Wer hier weiterdenkt, liest bei IT-Wartungsvertrag, Serverraum und Lizenzmanagement weiter.