IT-Dienstleister wechseln: Checkliste für KMU

Wer seinen IT-Dienstleister wechseln will, sollte vor der Kündigung drei Dinge sichern: die Kontrolle über alle Zugänge und Domains, eine vollständige Bestandsaufnahme der Systeme und vertragliche Klarheit über Mitwirkung und Datenherausgabe des bisherigen Anbieters. Erst danach folgen Kündigung, Übergabe mit Parallelphase und das konsequente Entfernen aller Altzugänge. Die Technik ist dabei selten das Problem, riskant wird ein Wechsel fast immer durch fehlendes Wissen und Zugänge, die beim alten Anbieter liegen.

Dieser Ratgeber richtet sich an Geschäftsführer und IT-Verantwortliche in KMU, die einen Wechsel planen oder prüfen. Er ergänzt die technische Seite eines Umzugs um die organisatorischen Fragen, an denen Wechsel in der Praxis scheitern.

Wann lohnt es sich, den IT-Dienstleister zu wechseln?

Ein Wechsel kostet Zeit und Aufmerksamkeit. Er lohnt sich, wenn die Probleme strukturell sind und sich nicht durch ein klärendes Gespräch beheben lassen. Typische Warnsignale:

Niemand außer dem Dienstleister weiß, welche Systeme es gibt und wie sie zusammenhängen.
Updates werden seit Monaten verschoben, ohne dass jemand einen Plan vorlegt.
Ob Backups zurückgespielt werden können, hat nie jemand nachgewiesen.
Störungen werden erst bemerkt, wenn Mitarbeitende oder Kunden anrufen.
Ihr Ansprechpartner wechselt ständig oder ist nur über ein Ticketsystem ohne Rückmeldung erreichbar.
Domains, Cloud-Konten oder Lizenzen laufen auf den Namen des Dienstleisters.

Gerade der letzte Punkt ist ein Grund, unabhängig von einem Wechsel zu handeln. Wer die eigenen Konten nicht kontrolliert, ist im Ernstfall vom guten Willen eines Dritten abhängig.

Was vor der Kündigung geklärt sein muss

Der häufigste Fehler ist eine Kündigung, bevor die eigene Position gesichert ist. Ab dem Moment der Kündigung sinkt bei manchen Anbietern die Motivation, Wissen weiterzugeben. Prüfen Sie deshalb zuerst den bestehenden Vertrag.

Vertragliche Punkte

Kündigungsfristen und Laufzeiten, getrennt nach Leistungen. Hosting, Wartung, Lizenzen und Domains haben oft unterschiedliche Fristen.
Exit-Regelungen: Ist der Anbieter zur Mitwirkung bei der Übergabe verpflichtet? Gegen Vergütung oder im Leistungsumfang enthalten?
Herausgabe von Daten, Konfigurationen und Dokumentation, in welchem Format und in welcher Frist.
Eigentum an individuell entwickeltem Code, Skripten und Dokumentation.
Rückgabe oder Löschung personenbezogener Daten nach Vertragsende. Das schreibt Art. 28 Abs. 3 lit. g DSGVO für jeden Auftragsverarbeitungsvertrag vor.

Fehlen Exit-Regelungen, verhandeln Sie die Übergabe am besten, bevor die Kündigung ausgesprochen ist. Welche Klauseln ein guter Vertrag mit dem neuen Anbieter enthalten sollte, beschreibt unser Beitrag zum Auftragsverarbeitungsvertrag beim Hosting.

Bestandsaufnahme: Was der neue Dienstleister wissen muss

Ein neuer Dienstleister kann nur betreiben, was er kennt. Verlassen Sie sich nicht allein auf die Dokumentation des bisherigen Anbieters, sondern gleichen Sie sie mit dem tatsächlichen Zustand ab. Eine brauchbare Inventarliste umfasst mindestens:

Server und Dienste mit Zweck, Betriebssystem, Version und Standort
Domains, Registrar, Nameserver und alle DNS-Einträge
E-Mail-Dienste, Postfächer, Weiterleitungen, SPF-, DKIM- und DMARC-Einträge
Backups: was, wie oft, wohin, wie lange aufbewahrt, letzter erfolgreicher Rücksicherungstest
Lizenzen, Verträge mit Drittanbietern und deren Laufzeiten
Zertifikate mit Ablaufdatum und Erneuerungsweg
Geplante Aufgaben, Schnittstellen und externe Abhängigkeiten

Auf Linux-Servern lässt sich ein Teil dieser Informationen schnell selbst erheben. Die folgenden Befehle zeigen, welche Benutzer sich anmelden können, welche SSH-Schlüssel hinterlegt sind und welche Cronjobs laufen:

# Benutzer mit Login-Shell
getent passwd | awk -F: '$7 !~ /(nologin|false)$/ {print $1}'

# Hinterlegte SSH-Schlüssel
for d in /root /home/*; do echo "== $d"; cat "$d/.ssh/authorized_keys" 2>/dev/null; done

# Cronjobs aller Benutzer
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done

# Aktive Dienste
systemctl list-units --type=service --state=running

Für die Domain lohnt ein kurzer Blick auf Nameserver und Mailserver, um zu sehen, wo DNS und E-Mail tatsächlich liegen:

dig NS ihre-firma.de +short
dig MX ihre-firma.de +short
dig TXT ihre-firma.de +short

Abweichungen zwischen Dokumentation und Befund sind kein Grund zur Panik, aber ein wichtiger Hinweis darauf, wo im Übergabegespräch nachgefragt werden muss.

Zugänge und Eigentum zurückholen

Bevor Sie den IT-Dienstleister wechseln, müssen alle Konten nachweislich Ihrem Unternehmen gehören. Wer Domains, Admin-Konten und Passwörter kontrolliert, entscheidet über den Wechsel, alle anderen Punkte lassen sich nachholen.

Domains: Domaininhaber muss Ihr Unternehmen sein, nicht der Dienstleister. Prüfen Sie das beim Registrar und lassen Sie sich den Zugang zum Registrar-Konto oder den AuthInfo-Code für einen Transfer geben.
Cloud-, Lizenz- und Herstellerkonten auf eine Funktionsadresse Ihres Unternehmens umstellen, etwa it@ihre-firma.de statt der Adresse eines Technikers.
Zwei-Faktor-Authentifizierung prüfen: An welches Telefon oder welchen Token ist sie gebunden? Ein MFA-Gerät beim Altanbieter blockiert später jeden Zugriff.
Root- und Administratorzugänge für alle Server in einem eigenen Passwort-Tresor hinterlegen und testen.
Zugänge zu Firewall, Router, Backup-Ziel und Monitoring ebenso sichern.

Testen Sie jeden Zugang selbst. Ein Passwort, das niemand ausprobiert hat, ist im Zweifel kein Zugang.

IT-Dienstleister wechseln in sieben Schritten

Vertrag prüfen: Fristen, Exit-Regelungen und Datenherausgabe klären, bevor jemand kündigt.
Zugänge sichern: Domains, Admin-Konten und MFA auf Ihr Unternehmen umstellen und testen.
Bestandsaufnahme erstellen: Inventar aufnehmen und mit dem tatsächlichen Zustand abgleichen.
Neuen Anbieter auswählen: Anforderungen schriftlich festhalten, Angebote vergleichen, Verantwortlichkeiten klar abgrenzen.
Kündigen und Übergabe vereinbaren: Termine für Übergabegespräche, Datenexport und Ende der Zuständigkeit festlegen.
Parallelphase durchführen: Der neue Anbieter übernimmt schrittweise, der alte bleibt bis zum Abschluss erreichbar.
Altzugänge entfernen: Konten löschen, Schlüssel und Passwörter rotieren, Löschbestätigung einholen.

Bei Schritt 4 hilft es, die eigenen Anforderungen nicht am Angebot des neuen Anbieters auszurichten, sondern umgekehrt. Wer unsicher ist, kann sich eine Zweitmeinung holen, etwa über eine unabhängige IT-Beratung zu Architektur, Anbieterauswahl und Migrationsplanung.

Übergangsphase: Parallelbetrieb und Rückfallebene

Die Übergabe sollte nicht an einem einzigen Stichtag stattfinden. Bewährt hat sich eine Phase, in der der neue Dienstleister zuerst nur lesend Zugriff erhält, das Monitoring übernimmt und die Dokumentation prüft. Erst wenn er die Umgebung versteht, übernimmt er Änderungen und Bereitschaft.

Wichtig ist eine eindeutige Zuständigkeit zu jedem Zeitpunkt. Legen Sie schriftlich fest, wer ab welchem Datum Störungen bearbeitet. Doppelte Zuständigkeit führt erfahrungsgemäß dazu, dass sich bei einem Ausfall keiner verantwortlich fühlt.

Muss im Zuge des Wechsels auch Infrastruktur umziehen, planen Sie das als eigenes Projekt mit Test und Rückfallebene. Wie sich Systeme ohne Unterbrechung verlagern lassen, beschreibt unser Beitrag zum Serverumzug ohne Ausfall. Domains und DNS ziehen Sie dabei am besten zuletzt um und senken vorher die TTL der relevanten Einträge, damit sich Änderungen schnell verbreiten.

Nach dem Wechsel: Den Altanbieter sauber entfernen

Ein Wechsel ist erst abgeschlossen, wenn der bisherige Dienstleister keinen technischen Zugriff mehr hat. Diesen Schritt vergessen viele Unternehmen, weil der Alltag bereits wieder läuft.

Benutzerkonten und SSH-Schlüssel des Altanbieters auf allen Servern entfernen
Alle Passwörter rotieren, die der Altanbieter kannte, auch Datenbank- und Dienstkonten
API-Schlüssel und Tokens neu ausstellen
VPN-Zugänge, Firewall-Freigaben für dessen IP-Adressen und Fernwartungssoftware entfernen
Schriftliche Bestätigung über Rückgabe oder Löschung der Daten einholen und ablegen

Wiederholen Sie die Befehle aus der Bestandsaufnahme nach der Bereinigung. Wenn die Liste der Benutzer und Schlüssel dann nur noch bekannte Einträge enthält, ist der Schritt erledigt.

Typische Fehler beim Dienstleisterwechsel

Kündigung vor Sicherung der Zugänge, wodurch Sie in der Verhandlung keine Position mehr haben.
Übernahme der alten Dokumentation ohne Abgleich mit dem tatsächlichen Zustand.
Backups werden übernommen, aber nie testweise zurückgespielt.
Domain-Transfer mitten in der Übergabe, ohne vorher die DNS-Einträge vollständig gesichert zu haben.
Kein festes Ende der Zuständigkeit des Altanbieters.
Altzugänge bleiben bestehen, weil niemand für das Aufräumen verantwortlich ist.

Fast alle diese Fehler lassen sich mit einer Checkliste und einem verantwortlichen Mitarbeitenden auf Ihrer Seite vermeiden. Den Wechsel vollständig an den neuen Dienstleister zu delegieren, ist bequem, nimmt Ihnen aber die Kontrolle über den Ablauf.

Unterstützung beim Wechsel

Ob Sie den Wechsel mit eigenem Personal steuern oder begleiten lassen, hängt von Ihren internen Kapazitäten ab. NETARO ist eine Möglichkeit unter mehreren: Im Rahmen von Managed Hosting mit Einrichtung, Migration und festem Ansprechpartner übernehmen wir Server und Dienste in Frankfurt, einschließlich Härtung, Updates, Monitoring und Backups mit geprüfter Rücksicherung. Domains lassen sich mit einem begleiteten Domain-Transfer ohne Ausfall übernehmen. Unabhängig vom Anbieter gilt: Die Schritte dieser Checkliste bleiben dieselben.

FAQ

Wie lange dauert es, den IT-Dienstleister zu wechseln?

Das hängt vor allem von Kündigungsfristen, Umfang der Umgebung und Qualität der vorhandenen Dokumentation ab. Planen Sie neben der eigentlichen Übergabe Zeit für Bestandsaufnahme und Parallelphase ein, denn diese beiden Schritte entscheiden über einen reibungslosen Ablauf.

Ist der alte Dienstleister zur Übergabe verpflichtet?

Das regelt in erster Linie Ihr Vertrag. Bei personenbezogenen Daten muss der Auftragsverarbeiter diese nach Vertragsende nach Wahl des Auftraggebers zurückgeben oder löschen. Weitergehende Mitwirkungspflichten bestehen meist nur, wenn sie vereinbart sind, deshalb lohnt der Blick in den Vertrag vor der Kündigung.

Was passiert mit meinen Domains beim Wechsel?

Ist Ihr Unternehmen Domaininhaber, können Sie die Domain mit dem AuthInfo-Code zu einem anderen Registrar übertragen. Sichern Sie vorher alle DNS-Einträge, damit Website und E-Mail nach dem Transfer unverändert erreichbar bleiben.

Muss ich nach dem Wechsel alle Passwörter ändern?

Ja, zumindest alle, die der bisherige Dienstleister kannte. Dazu gehören Administrator- und Root-Zugänge, Datenbank- und Dienstkonten, API-Schlüssel sowie VPN-Zugänge. Das ist keine Misstrauenserklärung, sondern normaler Bestandteil eines sauberen Offboardings.

IT-Dienstleister wechseln: Checkliste für Verträge, Zugänge und Übergabe ohne Betriebsrisiko