Managed Services
Managed Services bezeichnen die dauerhafte Übernahme klar abgegrenzter IT-Betriebsleistungen durch einen externen Dienstleister — auf Basis eines Vertrags mit messbaren Service Levels statt Abrechnung nach Aufwand pro Störung. Typischer Umfang: Monitoring, Patch- und Backup-Betrieb, Incident- und Change-Bearbeitung, Reporting. Abgrenzung: Projektgeschäft ist zeitlich befristet und liefert ein Ergebnis, Break-Fix reagiert erst nach dem Ausfall, Managed Services verantworten den laufenden Zustand. Werden dabei personenbezogene Daten verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend.
Managed Services in der Praxis
Ein Managed-Service-Vertrag beschreibt drei Ebenen: den Leistungsumfang (welche Systeme, welche Tätigkeiten), die Servicequalität (Verfügbarkeit, Reaktions- und Wiederherstellzeiten, Servicezeit) und die Verantwortungsteilung. Letztere wird üblicherweise als RACI-Matrix dokumentiert, weil in Cloud-Umgebungen ohnehin ein Modell geteilter Verantwortung gilt: Der Plattformbetreiber verantwortet die Infrastruktur, der Kunde seine Daten, Identitäten und Konfiguration — der Dienstleister übernimmt davon einen vertraglich benannten Ausschnitt.
Betriebsseitig stützen sich Managed Services auf die Praktiken des ITIL-Rahmenwerks; ITIL 4 beschreibt 34 Practices, von denen Incident Management, Service Desk, Change Enablement, Monitoring and Event Management sowie Service Level Management den Kern bilden. Gesteuert wird über wenige harte Kennzahlen: Einhaltung der zugesagten Reaktionszeiten, Patch-Compliance-Quote je Systemgruppe, Zahl geprüfter Wiederherstellungen pro Jahr, Anzahl wiederkehrender Störungen.
Rechtlich ist der Dienstleister kein neutraler Dritter. Verarbeitet er personenbezogene Daten, greift Art. 28 DSGVO mit Weisungsbindung, Unterauftragnehmer-Regelung und Löschpflicht bei Vertragsende. Unterliegt der Kunde NIS2 — in Deutschland umgesetzt durch das seit dem 6. Dezember 2025 geltende NIS2-Umsetzungsgesetz —, muss er die Sicherheit seiner Lieferkette nachweisen; die Nachweise des Dienstleisters werden damit Teil der eigenen Compliance-Dokumentation. Deshalb gehören Zugriffskonzept für privilegierte Konten, Protokollierung, Exit-Klausel und Dokumentationsübergabe in den Vertrag, nicht erst in die Kündigungsphase.