Interne IT vs. externe Betreuung

Die Ausgangslage kleiner Unternehmen

Viele Firmen starten mit „der Kollege, der sich auskennt“. Das funktioniert, bis dieser Kollege kündigt, krank wird oder keine Zeit mehr hat, Patches und Backups neben seinem eigentlichen Job zu erledigen.

Die Frage ist selten „intern oder extern“, sondern „wer trägt Verantwortung, wenn niemand mehr da ist“. Ein MSP ersetzt keine interne Führungsrolle, aber die technische Last.

Tim Friedrich Dekker sieht in Kanzleien und Agenturen häufig denselben Wendepunkt: beim zweiten größeren Incident innerhalb eines Jahres — dann wird externe Betreuung ernsthaft geprüft.

Digitalisierung hat die Schwelle gesenkt: Früher reichte ein PC und eine Dateiablage — heute sind Identität, Cloud, Mobile und Compliance verflochten. Ohne dedizierte Kapazität wird IT zum Nebenjob mit Hauptjob-Risiko.

Wer heute wächst, investiert oft in Vertrieb und Personal — IT bleibt auf dem Stand von vor drei Jahren. Der Gap zwischen Umsatz und Infrastruktur ist die eigentliche Entscheidungsgrundlage, nicht Ideologie.

Wachstum ohne IT-Struktur erzeugt informelle Helden — das skaliert nicht und wird zum Single Point of Failure.

Wann interne IT sinnvoll wird

Ab etwa vierzig bis fünfzig Mitarbeitenden kann ein IT-Generalist mit Spezialisten an der Seite sinnvoll sein. Darunter reicht eine Person selten für Netzwerk, Microsoft 365, Security, Beschaffung und Support gleichzeitig.

Interne IT gewinnt an Nähe zum Geschäft: Sie sitzt im Meeting, kennt Projekte vorab und versteht Branchensprache ohne Erklärung. Das ist wertvoll — muss aber gegen Ausfallrisiko und Kosten gewogen werden.

Teilzeit-IT „nebenbei“ ist kein Mittelweg, sondern oft das schlechteste aus beiden Welten: volle Verantwortung ohne geschützte Zeit.

Eigene Entwicklung oder proprietäre Line-of-Business-Systeme binden Wissen im Haus — externe Betreuung kann dann trotzdem Infrastruktur und Security übernehmen (Co-Managed).

24/7-Betrieb mit Nachtschicht ist für KMU selten — wenn doch, brauchen Sie Bereitschaft intern oder vertraglich beim Partner, nicht Hoffnung.

Interne IT bei 30 MA ohne Spezialisten-Netzwerk ist oft isoliert — Wissensaustausch fehlt.

Stärken externer Betreuung

Ein MSP hat Incident-Muster aus Dutzenden KMU gesehen — Ransomware, Phishing, Lizenzchaos. Interne Kräfte lernen jedes Problem einmal teuer.

Kein Recruiting, kein Wissensverlust bei Kündigung, wenn Dokumentation im Mandanten-Tresor liegt. Schwäche: weniger physische Präsenz — kompensierbar durch feste Vor-Ort-Tage und Remote-Support.

Wichtig ist ein benannter Ansprechpartner, keine anonyme Warteschleife. Qualität variiert — Anbieterauswahl ist entscheidend.

Skalierung: Fünf neue Mitarbeitende im Quartal? Extern skaliert über Vertrag und Onboarding-Prozess — intern über Überstunden oder Stau.

Tool-Zugang: Partner haben Lizenzen für RMM, Monitoring, Security-Portale — KMU müssten das sonst einzeln kaufen und bedienen lernen.

Externe Teams teilen Playbooks zwischen Mandanten — Lernkurve kürzer als bei erstem internen Incident.

Kostenvergleich realistisch betrachten

Eine Fachkraft in Deutschland kostet schnell das Drei- bis Vierfache einer Monatspauschale für fünfzehn Nutzer — ohne 24/7-Abdeckung. Details im Artikel Kosten.

Interne IT kann bei sehr hohem Ticketaufkommen und langfristig stabiler Umgebung günstiger werden — die meisten KMU unterschätzen aber den Stillstand während Krankheit und Urlaub.

Projektkosten (Migration, neue Firewall) fallen intern und extern an — vergleichen Sie Gesamtbudget über drei Jahre, nicht nur Monat eins.

Arbeitgeberrisiko: Krankheit, Kündigung, Elternzeit — externe Teams haben eingebaute Vertretung. Interne Abhängigkeit von einer Person ist ein versteckter Kostenfaktor.

Weiterbildung und Zertifizierungen für eine Person sind teuer; Managed Services verteilen Expertise auf viele Techniker.

Vertretung intern: Wer macht es bei Urlaub — oft niemand mit gleichen Rechten.

Hybrid: interner Owner plus externer Partner

Der interne Owner hat keine Global-Admin-Rechte, aber entscheidet über Budget, Prioritäten und Freigaben. So bleibt Kontrolle beim Unternehmen, ohne dass die Geschäftsführung nachts RDP-Probleme löst.

Co-Managed IT nennt sich dieses Modell in der Branche — beliebt bei wachsenden Firmen vor der ersten Vollzeit-Einstellung. Beschrieben auch in IT ohne Abteilung.

Gefahr: unklare Zuständigkeit. Schriftliche RACI-Matrix im Betreuungsvertrag vermeidet „das macht doch der andere“.

Der Owner wird zum Übersetzer zwischen Geschäft und Technik — eine wertvolle Rolle, die nicht durch externe Betreuung erlischt.

Hybrid funktioniert nur mit regelmäßigen Jour-fixe-Terminen — sonst entstehen zwei parallele IT-Welten.

Hybrid scheitert ohne wöchentliche Abstimmung — Kalendereintrag erzwingen.

Security und Compliance unter der Lupe

Externe Partner mit Security-Fokus bringen Playbooks für Phishing, Ransomware und Datenpanne. Interne Generalisten müssen das erst erlernen — unter Zeitdruck im Ernstfall.

DSGVO und Berufsordnungen verlangen Nachweise. Managed Services liefern Tickets, Logs und Review-Protokolle — wenn vertraglich vereinbart.

Interne IT plus externer Security-Audit jährlich ist eine starke Kombination für größere KMU — nicht jeder braucht dauerhaft beides.

Single Point of Failure: Ein interner Admin mit allen Keys ist Risiko und Compliance-Problem zugleich — Least Privilege extern umsetzen zu lassen entlastet.

Tim Dekker empfiehlt: Security nicht an „wer gerade Zeit hat“ hängen — egal ob intern oder extern, braucht es feste Zuständigkeit.

Compliance-Nachweise: extern liefert Tickets, intern muss jemand sie dem GF erklären.

Wechsel und Übergangsphasen

Beim Wechsel zu extern: Admin-Liste, Passwort-Tresor, Backup-Zugänge, Lizenzen — vor dem ersten Support-Tag. Der Onboarding-Ablauf strukturiert das.

Beim Aufbau interner IT: externer Partner kann Wissen transferieren und übergangsweise Level-two leisten — Exit-Klausel vorher klären.

Domain und Tenant-Inhaberschaft immer beim Unternehmen, nie beim Dienstleister. Das gilt für beide Richtungen.

Mitarbeitende informieren: Wechsel ist keine Kritik am bisherigen Helfer, sondern Professionalisierung — sonst Sabotage aus Loyalität.

Parallelbetrieb maximal wenige Wochen — sonst doppelte Kosten und widersprüchliche Änderungen.

Wechselkommunikation an Team nicht vergessen — sonst Sabotage aus Loyalität zum alten Helfer.

Entscheidung in fünf Schritten

Probeszenario: „Neuer Mitarbeiter Montag — was passiert bis Login?“ Die Antwort zeigt Reife von intern oder extern sofort.

Wer unsicher ist, startet mit drei Monaten externer Betreuung und internem Owner — messen Sie Ticket-Zeit, Ausfälle, GF-Belastung.

IT Security Expert berät KMU unverbindlich, welches Modell zur Größe und Branche passt — ohne Verkaufsdruck auf unnötige Projekte.

Dokumentieren Sie die Entscheidung für das Team — Transparenz verhindert Gerüchte über „Kürzung“ oder „Kontrollverlust“.

Nach zwölf Monaten Review: Modell noch passend? Wachstum, neue Standorte oder Compliance können die Antwort ändern.

Entscheidung dokumentieren und nach 12 Monaten messen — Modell ist nicht für immer.

Typische Fehlentscheidungen vermeiden

Zu früh Vollzeit: Einstellung bei acht Mitarbeitenden, dann fehlt Arbeit — die Person macht Marketing mit oder wird unzufrieden.

Zu spät extern: Erst nach Incident mit Datenverlust — dann ist Betreuung teurer und Vertrauen intern erschüttert.

Parallel ohne Regeln: Interner Helfer und MSP ändern gleichzeitig Firewall — Ausfall garantiert. Eine führende Instanz festlegen.

Emotionale Bindung an „unseren ITler“ ist menschlich — trotzdem jährlich prüfen, ob Kapazität und Expertise noch zum Risiko passen.

Parallelbetrieb intern+extern ohne RACI ist teurer als reine externe Lösung.

Langfristige Strategie: wann das Modell wechseln

Bei Verdopplung der Mitarbeitenden innerhalb von zwei Jahren ist ein erneuter Vergleich Pflicht — was bei zehn Personen passte, reicht bei fünfundzwanzig oft nicht.

Neue Compliance-Anforderungen (z. B. NIS-2) können externe Spezialisierung günstiger machen als interne Nachqualifizierung.

Dokumentieren Sie Wechselentscheidungen schriftlich für das Team — reduziert Gerüchte und Widerstand.

IT Security Expert unterstützt bei Übergängen zwischen Modellen — unverbindliche Einordnung, ob Sie gerade intern wachsen oder extern konsolidieren sollten.

Entscheidungsmatrix für die Geschäftsführung

Spalten: interne FTE, externe Betreuung, Hybrid. Zeilen: Kosten 3 Jahre, Ausfallsicherheit, Security-Tiefe, Nähe zum Geschäft, Skalierbarkeit, Compliance-Nachweise. Gewichtung vor dem Scoring festlegen.

Punkte 1–5 pro Zelle — mit Owner und GF gemeinsam, nicht allein im Keller. Ergebnis ist Orientierung, nicht Mathematik — aber Diskussion wird strukturiert.

Probeszenario nach Scoring: einen echten Fall durchspielen (Onboarding, Incident). Passt das Gewinner-Modell zum Alltag?

Nach zwölf Monaten Matrix wiederholen — Unternehmen ändern sich, die beste Wahl auch.

Wann interne IT trotzdem wächst

Typischer Pfad: Jahre extern stabilisieren, dann internen Koordinator einstellen, Partner bleibt für Ops. Sprung zu Vollzeit-IT ohne diese Phase ist selten nötig unter 30 MA.

Recruiting interner IT: Onboarding-Wissen vom Partner dokumentiert übernehmen — sonst startet der Neue bei null.

Kostenvergleich erneut nach Einstellung — Hybrid ist nicht automatisch günstiger, kann aber Nähe und Spezialtiefe erhöhen.

Für die meisten KMU unter 20 Mitarbeitenden bleibt externe Betreuung über Jahre die wirtschaftlichste Basis — Hybrid ist Evolution, nicht Pflicht.

Rechenbeispiel für die Geschäftsführung: Fachkraft mit Arbeitgeberkosten oft im mittleren bis oberen fünfstelligen Bereich pro Monat — bei fünfzehn Nutzern deckt eine externe Pauschale typischerweise Support, Patch, Backup-Monitoring und Vertretung im Team ab. Urlaub und Krankheit der internen Kraft erzeugen dagegen sofort Lücken ohne SLA.

Entscheidungs-Checkliste in fünf Punkten: (1) kritische Systeme listen, (2) Ausfallkosten pro Stunde schätzen, (3) interne IT-Stunden der GF vier Wochen mitloggen, (4) zwei Angebote mit identischem Leistungsblatt, (5) Probeszenario „Neueinstellung Montag“ durchspielen. Erst danach intern, extern oder hybrid festlegen.

Hybrid ab zwölf bis achtzehn Mitarbeitenden: interner Koordinator ohne Admin-Rechte plus MSP für Patch, Backup und Security — Nähe im Haus, Tiefe extern. Ohne wöchentliche Abstimmung entstehen zwei parallele IT-Welten.