IT-Dienstleister für kleine Unternehmen: worauf achten?
IT-Dienstleister für kleine Unternehmen auswählen: fünf Anbietertypen im Vergleich, elf Prüfkriterien, der kostenlose BSI-Check und was der Betrieb kostet.
- Kleine Unternehmen wählen ihren IT-Dienstleister überwiegend nach Nähe, Preis und persönlicher Empfehlung aus – Qualitätskriterien und Vertrauenswürdigkeit spielen laut der BMWi-Studie zu IT-Dienstleistern und KMU eine deutlich kleinere Rolle, weil Angebote kaum vergleichbar sind.
- 89 Prozent der befragten IT-Dienstleister gaben in derselben Studie an, dass Empfehlungen sehr häufig oder eher häufig über die Gewinnung neuer KMU-Kunden entscheiden – der mit Abstand höchste Wert aller Akquisewege.
- Der CyberRisikoCheck nach DIN SPEC 27076 ist ein standardisiertes Interview von ein bis zwei Stunden, in dem ein geschulter IT-Dienstleister 27 Anforderungen aus sechs Themenbereichen abfragt und dem Unternehmen einen Bericht mit priorisierten Handlungsempfehlungen übergibt.
- Artikel 28 Absatz 1 DSGVO verpflichtet Unternehmen, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten – die Anbieterauswahl ist damit eine Rechtspflicht, keine reine Beschaffungsfrage.
- Eine IT-Flatrate liegt bei kjello bei 29 € je Arbeitsplatz und Monat netto, Security+ (verwalteter Virenschutz) optional bei 10 € je Arbeitsplatz und Monat, Microsoft-365-Lizenzen kommen als Durchleitung hinzu (Stand Oktober 2026).
Inhalt12 Abschnitte
Für kleine Unternehmen ist die Wahl des IT-Dienstleisters eine der folgenreichsten Entscheidungen überhaupt – und meistens die am schlechtesten vorbereitete. Es gibt keine Ausschreibung, kein Einkaufsteam und selten jemanden im Haus, der die Angebote fachlich prüfen könnte. Was bleibt, ist ein Bauchgefühl und die Empfehlung aus dem Unternehmerfrühstück.
Dieser Beitrag legt offen, welche Anbietertypen es gibt, woran man die Spreu vom Weizen erkennt und welche Unterlagen Sie einfordern sollten, bevor unterschrieben wird.
Was ein IT-Dienstleister für kleine Unternehmen tatsächlich übernimmt
Ein IT-Dienstleister für kleine Unternehmen übernimmt den Betrieb der Arbeitsplatz-IT: Support für die Mitarbeitenden, Einrichtung und Verwaltung der Geräte, Benutzerkonten, Datensicherung und Sicherheitsupdates – entweder als Projekt- und Stundengeschäft oder dauerhaft gegen eine feste monatliche Rate. Wo genau die Grenze zwischen Systemhaus und dauerhaftem Betreiber verläuft, erklärt der Grundlagenbeitrag Was ist ein Managed Service Provider.
Der Markt dafür ist groß und unübersichtlich. Die im Auftrag des Bundeswirtschaftsministeriums erstellte Studie „IT-Dienstleister als Akteure zur Stärkung der IT-Sicherheit bei KMU in Deutschland” (Abschlussbericht vom 19. Februar 2021) ordnet allein dem Segment Informationstechnologie rund 94.700 Unternehmen zu. Die Bezeichnungen – Systemhaus, IT-Betreuung, Managed Service, IT-Beratung – sind dabei nicht geschützt und sagen über die tatsächliche Leistung wenig aus.
Wie kleine Unternehmen heute auswählen – und warum das schiefgeht
Dieselbe Studie beschreibt das Auswahlverhalten sehr direkt: Bei der Wahl des IT-Dienstleisters seien „Nähe, wirtschaftliche Aspekte und Bekanntheit durch persönliche Netzwerke häufig entscheidende Faktoren”, Qualitätskriterien und Vertrauenswürdigkeit kämen „weniger ausgeprägt zum Tragen”. Der Grund dafür liegt nicht bei den Unternehmen, sondern im Markt: Angebote lassen sich kaum miteinander vergleichen, weil einheitliche Qualitätsstandards fehlen.
Die 89 Prozent stammen aus der quantitativen Befragung derselben Studie: 56 Prozent der IT-Dienstleister nannten Empfehlungen „sehr häufig”, 33 Prozent „eher häufig” entscheidend für die Neukundengewinnung – der mit Abstand höchste Wert aller abgefragten Akquisewege. Eine Empfehlung ist ein guter Startpunkt, aber keine Prüfung: Sie sagt nur, dass jemand anderes zufrieden war – nicht, dass derselbe Anbieter zu Ihrer Größe, Ihrer Branche und Ihren Reaktionszeiterwartungen passt.
Fünf Wege, die IT eines kleinen Betriebs betreuen zu lassen
Die folgende Einordnung beschreibt echte Stärken, keine Rangliste. Alle Angaben zu den genannten Anbietern stammen von deren eigenen Websites, geprüft im August 2026.
| Weg | Beispiele aus dem Markt | Stark bei | Grenze bei kleinen Betrieben |
|---|---|---|---|
| Einzel-ITler / Freelancer | regional, meist ohne Marke | niedriger Einstieg, kurze Wege, Kenntnis gewachsener Spezialsysteme | Vertretung bei Urlaub und Krankheit, Dokumentation, Wachstum |
| Regionales Systemhaus | inhabergeführte Häuser, meist 10–80 Mitarbeitende | Vor-Ort-Termine, Server- und Netzwerkprojekte, persönliche Bindung | Listenpreise und standardisierte Abläufe sind selten |
| Fachhandel mit Servicearm | IT-HAUS, das eine eigene KMU-Sparte und ein „Anything as a Service”-Portfolio inklusive Device as a Service führt | Beschaffung und Betrieb aus einer Hand, Druck- und Geräteflotten | Der Schwerpunkt liegt auf Produkten, nicht auf Prozessen |
| Konzern-Systemhaus / Outsourcer | Bechtle mit breitem Hardware- und Lösungskatalog, DATAGROUP mit dem Servicebaukasten CORBOX | Beschaffungsvolumen, bundesweite Rollouts, Übernahme kompletter IT-Landschaften | Ausgelegt auf Stückzahlen und Vertragsvolumen weit oberhalb kleiner Betriebe |
| Portalbasierter Managed Service | kjello | Self-Service für Führung und Personalabteilung, On- und Offboarding, veröffentlichte Preise | Nicht sinnvoll unter etwa 20 Arbeitsplätzen und nicht bei eigener IT-Abteilung |
Jede Zeile hat ihre Berechtigung. Ein Konzern-Systemhaus beschafft 300 Notebooks zu Konditionen, an die ein kleiner Anbieter nicht herankommt. Ein regionales Systemhaus steht bei einem Serverausfall zwei Stunden später im Serverraum. Ein Einzel-ITler kennt Ihre Branchensoftware oft besser als jede Dokumentation. Wer diese Stärken gegen den eigenen Alltag hält, zahlt nicht für die, die er nie braucht.
Elf Kriterien, die bei kleinen Unternehmen wirklich zählen
Leistungslisten sind bei Betreuungsangeboten fast deckungsgleich. Unterschiede zeigen sich erst in den Unterlagen. Die IHK Region Stuttgart hat dafür einen Kriterienkatalog für Unternehmen ohne eigene Sicherheitsexpertise veröffentlicht, der die Prüfung in vier Blöcke gliedert: Organisation, Prävention, Reaktion und den Dienstleister selbst als Lieferant. Die folgende Liste greift diese Logik für den Alltag kleiner Betriebe auf.
- Leistungsgrenze schriftlich. Was steckt im Monatspreis, was wird zusätzlich berechnet – und ab welcher Aufwandsgrenze?
- Bezifferte Reaktionszeiten. Ein Service Level Agreement mit Zahlen, getrennt nach Störungsklassen, nicht mit „zeitnah".
- Vertretung geregelt. Wer übernimmt, wenn Ihr Ansprechpartner zwei Wochen im Urlaub ist? Diese Frage entscheidet über die halbe Anbieterliste.
- Erreichbarkeit mit Uhrzeit. Wer nimmt ab, wenn um 7:30 Uhr niemand ins Netz kommt?
- Auftragsverarbeitungsvertrag. Vorgelegt, ohne dass Sie danach fragen müssen, inklusive Liste der Unterauftragsverarbeiter.
- Administratorkonten gehören Ihnen. Der Dienstleister arbeitet mit eigenen, benannten Konten – der globale Zugang bleibt beim Unternehmen.
- Dokumentation im Zugriff. Bekommen Sie die Dokumentation Ihrer Umgebung jederzeit, auch ohne zu kündigen?
- Ausstiegsregelung. Was passiert bei Vertragsende mit Daten, Zugängen, Lizenzen und Wissen?
- Preistransparenz vor dem Gespräch. Wer Preise erst im Termin nennt, verkauft über den Termin.
- Eigene Sicherheit des Anbieters. Mehr-Faktor-Authentifizierung auf allen Fernwartungszugängen, protokollierter Zugriff, benannte Personen.
- Proaktive Leistungen benannt. Updates, Backup-Prüfung und Inventarpflege gehören in den Vertrag – sonst passiert nur, was Sie melden.
Der vorletzte Punkt wird regelmäßig unterschätzt. Ein IT-Dienstleister hat privilegierten Zugriff auf Ihre gesamte Umgebung und ist damit selbst Teil Ihres Risikos. Wer auf die Frage nach der Absicherung seiner Fernwartung ausweichend antwortet, hat sie sich selbst noch nicht gestellt. Was davon unabhängig im eigenen Haus stehen muss, fasst die IT-Sicherheits-Checkliste für KMU zusammen.
Viele IT-Dienstleister verdienen mehr, wenn bei Ihnen mehr kaputtgeht. Bei uns ist es andersherum: Wir verdienen dann gut, wenn Ihre IT stabil läuft.
Jens HagelGründer
Dahinter steckt das Kriterium, das keine Leistungsliste abbildet: Wie ist der Anbieter bezahlt? Wer nach Aufwand abrechnet, verdient an jeder Störung. Wer eine Pauschale bekommt, verdient an Stabilität. Beides ist legitim – aber Sie sollten wissen, welches Interesse Sie einkaufen. Ein Angebot, das eine Geschäftsführung ohne IT-Hintergrund nicht lesen kann, ist als Entscheidungsgrundlage ohnehin wertlos, unabhängig davon, wie gut der Anbieter arbeitet. Was eine Geschäftsführung von ihrer IT überhaupt an Zahlen und Nachweisen sehen sollte, ist aus Entscheidersicht zusammengestellt — das ist zugleich die Liste, die ein guter Anbieter von sich aus liefert.
Der kostenlose Einstieg: CyberRisikoCheck nach DIN SPEC 27076
Wer keinen Maßstab hat, kann Angebote nicht bewerten. Genau dafür gibt es seit 2023 einen staatlich getragenen Standard. Das BSI hat gemeinsam mit dem Bundesverband mittelständische Wirtschaft und knapp 20 weiteren Partnern die DIN SPEC 27076 erarbeitet – „IT-Sicherheitsberatung für kleine und Kleinstunternehmen”. Darauf baut der CyberRisikoCheck des BSI auf: Ein dafür geschulter IT-Dienstleister befragt Ihr Unternehmen ein bis zwei Stunden lang zu 27 Anforderungen aus sechs Themenbereichen und übergibt anschließend einen Bericht mit Punktzahl, nach Dringlichkeit sortierten Handlungsempfehlungen und Hinweisen auf Fördermittel von Bund, Ländern und Kommunen.
Nutzen Sie den CyberRisikoCheck als Vergleichsinstrument. Wenn zwei Anbieter denselben standardisierten Check durchführen, bekommen Sie zwei Berichte nach identischer Systematik – und sehen zum ersten Mal, wie unterschiedlich beide Ihre Lage einschätzen und begründen. Das BSI führt auf derselben Seite ein Verzeichnis der geschulten Dienstleister.
Wichtig zur Einordnung: Der CyberRisikoCheck ist ausdrücklich keine IT-Sicherheitszertifizierung, sondern eine Standortbestimmung mit einer Liste dessen, was Sie selbst umsetzen oder beim Dienstleister beauftragen sollten. Für Betriebe unter 50 Beschäftigten ist er der realistischere Einstieg als das IT-Grundschutz-Kompendium oder eine ISO-27001-Zertifizierung, die beide für diese Größe nicht gedacht sind.
Was die DSGVO von Ihrer Auswahl verlangt
Die Anbieterauswahl ist keine reine Beschaffungsentscheidung. Nach Artikel 28 Absatz 1 DSGVO darf ein Verantwortlicher nur mit Auftragsverarbeitern arbeiten, die „hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt”. Sie müssen die Eignung Ihres IT-Dienstleisters also vor der Beauftragung prüfen und diese Prüfung belegen können. Ein unterschriebener Auftragsverarbeitungsvertrag allein erfüllt die Pflicht nicht – er dokumentiert nur das Ergebnis.
In fünf Schritten zur Entscheidung
- Bestand aufnehmen. Wie viele Arbeitsplätze, welche Geräte, welche Server, welche Branchensoftware, welche Verträge laufen schon?
- Erwartung festlegen. Reaktionszeit, Servicezeiten, Vor-Ort-Bedarf und Budgetrahmen schriftlich fixieren, bevor Sie mit Anbietern sprechen.
- Drei Anbieter aus verschiedenen Typen anfragen. Nicht drei regionale Systemhäuser – sondern drei Wege aus der Tabelle oben, damit die Unterschiede sichtbar werden.
- Unterlagen vergleichen, nicht Präsentationen. Leistungsbeschreibung, SLA, AV-Vertrag, Preisliste, Ausstiegsregelung – fünf Dokumente, alle vor der Unterschrift.
- Startphase vereinbaren. Drei Monate mit definierten Zielen und einem gemeinsamen Termin am Ende, bevor eine lange Laufzeit greift.
Schritt drei ist der, der am häufigsten übersprungen wird. Wer drei Angebote desselben Anbietertyps einholt, vergleicht Preise – nicht Modelle. Wie ein Wechsel technisch und vertraglich abläuft, wenn bereits ein Dienstleister im Haus ist, beschreibt der Beitrag zum IT-Dienstleister wechseln.
Transparenz prüfen: Was sehen Sie selbst?
Ein Kriterium lässt sich in jedem Auswahlgespräch in fünf Minuten testen: Lassen Sie sich zeigen, was Sie als Kunde selbst sehen können – offene Tickets, Bearbeitungsstand, eingesetzte Geräte, vergebene Zugänge. Wer darauf nur eine Telefonnummer anbieten kann, macht Sie bei jeder Statusfrage von einem Rückruf abhängig.
kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Der Anspruch dahinter ist genau dieser: selbst sehen und selbst auslösen, statt eine Anfrage zu formulieren. Welche Wege ein Anliegen nimmt, steht auf der Seite zum IT-Support.
Was das kostet – und warum „zu teuer” oft die falsche Frage ist
Bei Abrechnung nach Aufwand liegen die Stundensätze im deutschen Mittelstand meist zwischen 90 und 150 € netto; die Spannbreite und ihre Ursachen behandelt der Beitrag zum Stundensatz eines IT-Dienstleisters. Der eigentliche Nachteil dieses Modells ist nicht die Höhe, sondern die Unplanbarkeit: In einem ruhigen Monat zahlen Sie fast nichts, im Monat mit zwei Onboardings und einem Firewall-Problem ein Vielfaches.
Was mich beim alten Dienstleister wahnsinnig gemacht hat: jeden Monat andere Kosten. Mal 200 Euro, mal 2.000.
Die Alternative ist eine Rate je Arbeitsplatz und Monat. Bei kjello sind das 29 € netto für Portal, On- und Offboarding, Geräte- und Inventar-Management, Konten und Support, optional 10 € je Arbeitsplatz und Monat für das Paket Security+ (verwalteter Virenschutz); Microsoft-365-Lizenzen laufen als Durchleitung, weitere Pakete wie Firewall oder Datensicherung stehen im Angebot (Stand Oktober 2026). Alle Positionen stehen offen auf der Seite mit den Preisen. Wie sich beide Modelle für Ihre Größe rechnen, zeigt der IT-Kosten-Rechner in zwei Minuten; die Einzelposten dahinter erklärt der Beitrag zu den Kosten der IT-Betreuung.
30 Minuten, kostenlos, ohne Vertriebsdruck – wir gehen Ihre vorliegenden Angebote gemeinsam durch.
Gespräch vereinbarenWo kjello passt – und wo nicht
Der Zuschnitt ist bewusst eng: Unternehmen mit 20 bis 250 Mitarbeitenden, auch mit gewachsener und gemischter IT-Landschaft. Groß genug, dass regelmäßig Onboardings, Gerätewechsel und Supportfälle anfallen. Klein genug, dass ein fester Ansprechpartner realistisch bleibt. Für Konzerne mit eigener IT-Abteilung ist kjello nicht gebaut, und für reine Cloud-only-Startups mit zwölf Personen lohnt der Aufwand nicht – da genügt in der Regel ein guter Freelancer. Wer prüfen möchte, ob das Modell überhaupt zur eigenen Lage passt, findet die Leistungsgrenzen auf der Seite zur externen IT-Abteilung.
Fazit: prüfen statt vertrauen
Kleine Unternehmen wählen ihren IT-Dienstleister nach Nähe und Empfehlung, weil der Markt ihnen keinen besseren Maßstab anbietet. Es gibt aber zwei: den CyberRisikoCheck des BSI als standardisierte Standortbestimmung und die fünf Dokumente, die jeder seriöse Anbieter vor der Unterschrift herausgibt. Wer beides nutzt, entscheidet nicht mehr aus dem Bauch – sondern anhand von Unterlagen, die sich nebeneinanderlegen lassen.
Geschrieben von
Jens Hagel
Gründer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Worauf sollten kleine Unternehmen bei der Auswahl eines IT-Dienstleisters achten?
Was kostet ein IT-Dienstleister für ein kleines Unternehmen?
Ab wie vielen Mitarbeitenden lohnt sich ein externer IT-Dienstleister?
Was ist der Unterschied zwischen einem IT-Systemhaus und einem Managed Service Provider?
Welche Unterlagen sollte ein IT-Dienstleister vor Vertragsschluss vorlegen?
Was ist der CyberRisikoCheck nach DIN SPEC 27076?
Kostenlos zum Mitnehmen · PDF · Katalog & Bewertungsbogen
Anforderungskatalog: externe IT-Abteilung
32 Punkte, die abgedeckt sein müssen – plus Bewertungsbogen für den Vergleich.
IT-Betreuung mit festem Preis
Wenn Sie gerade Angebote vergleichen: Wir legen Leistungsumfang, Reaktionszeiten und Preis offen, bevor ein Gespräch stattfindet. Damit Sie überhaupt vergleichen können.
