IT-Dokumentation im Mittelstand: aktuell halten
Warum IT-Dokumentation im Mittelstand meist veraltet – und wie sie als Nebenprodukt des laufenden Betriebs automatisch aktuell bleibt. Was hineingehört und was sie schützt.
- IT-Dokumentation hält fest, welche Geräte, Konten, Lizenzen, Zugänge und Verträge ein Unternehmen hat und wie die Systeme zusammenhängen.
- Der größte Nutzen ist der Schutz vor Wissensverlust: Fällt die IT-Person aus oder kündigt sie, bleibt das Wissen im Unternehmen statt in ihrem Kopf.
- Das eigentliche Problem ist nicht das Erstellen, sondern das Aktuellhalten – klassische Dokumentation veraltet schneller, als jemand sie pflegen kann.
- Die Lösung: Dokumentation entsteht als Nebenprodukt des laufenden Betriebs, direkt aus Inventar, Konten- und Geräteverwaltung – nicht als separate Fleißaufgabe.
- Rechtlich ist das kein Kürprogramm: Art. 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten, und nach dem NIS-2-Umsetzungsgesetz müssen betroffene Unternehmen ihre Sicherheitsmaßnahmen nachvollziehbar dokumentieren.
In vielen mittelständischen Unternehmen gibt es sie noch: die IT-Dokumentation als Word-Datei, sorgfältig angelegt – im Jahr 2019. Seitdem hat sie niemand mehr angefasst. Sie beschreibt Server, die längst abgeschaltet sind, und schweigt über die Hälfte der heute genutzten Cloud-Dienste. Solche Dokumentation ist nicht nur nutzlos, sie ist gefährlich: Sie wiegt in falscher Sicherheit. Dieser Artikel zeigt, was gute IT-Dokumentation im Mittelstand ausmacht, warum sie fast immer scheitert – und wie sie sich selbst aktuell hält.
Was IT-Dokumentation im Mittelstand umfasst – und was hineingehört
IT-Dokumentation bedeutet: die vollständige, strukturierte und aktuelle Übersicht darüber, welche IT ein Unternehmen betreibt und wie sie zusammenhängt. Sie schafft Transparenz über die gesamte IT-Landschaft und bündelt die Informationen über alle IT-Systeme an einem Ort – einen klaren Überblick über Hard- und Software, Anwendungen und Cloud-Dienste. Sie ist die Landkarte Ihrer IT – und ohne Landkarte navigiert im Ernstfall niemand. Hinein gehören:
- Inventarisierung aller Geräte: Laptops, Server, Drucker, mobile Geräte – die vollständige Erfassung von Hard- und Software mit Zustand und Zuordnung. Wie Sie diese Geräteerfassung praktisch aufsetzen, zeigt unser Überblick zur Geräteverwaltung für KMU.
- Konten und Berechtigungen: wer hat Zugriff worauf, welche Admin-Konten und welche Berechtigungen existieren.
- Software und Lizenzmanagement: was ist installiert, was ist lizenziert, welche Lizenzmodelle gelten und wann etwas ausläuft.
- Netzwerk- und Systemdokumentation: wie die einzelnen Infrastrukturkomponenten und Server zusammenhängen.
- Verträge: mit Providern, externen Dienstleistern und Lizenzgebern – inklusive Laufzeiten und Ansprechpartnern.
- Sicherheit und Backup: Konfiguration, Sicherheitsrichtlinien und Wiederherstellungswege.
- Notfallplan: wer ist wann wie erreichbar, wenn nichts mehr geht.
Wer diese sieben Punkte sauber führt, hat gleichzeitig die Grundlage für ein belastbares IT-Asset-Management – Dokumentation und Asset-Verwaltung sind dieselbe Datenbasis, nur unterschiedlich betrachtet.
Warum fehlende Dokumentation teuer wird
Der Moment, in dem sich fehlende Dokumentation rächt, kommt selten angekündigt. Am häufigsten trifft es Unternehmen, wenn die zentrale IT-Person geht – gekündigt, längere Zeit krank oder im Ruhestand. Was dann fehlt, sind selten die großen Dinge, sondern Kleinigkeiten: das Passwort für ein Fachsystem, die Begründung für eine ungewöhnliche Firewall-Regel, der Name des Providers, bei dem die Domain liegt. Wir übernehmen regelmäßig Umgebungen, in denen genau diese Details erst über Wochen zusammengesucht werden müssen, bevor überhaupt jemand arbeitsfähig ist.
Dazu kommen Kosten, die selten jemand der fehlenden Dokumentation zurechnet: langsamere Fehlerbehebung, weil niemand die Struktur kennt; ein wachsendes Sicherheitsrisiko, weil vergessene Zugänge offen bleiben; und bei Audits die fehlende Grundlage, Compliance-Anforderungen überhaupt zu belegen. Besonders sichtbar wird die Lücke beim Austritt von Mitarbeitenden – welche Konten dabei nachweislich geschlossen werden müssen, steht in unserer Offboarding-Checkliste nach DSGVO. Wie eng das Thema mit einer überlasteten Ein-Personen-IT zusammenhängt, beschreibt unser Ratgeber „IT-Verantwortlicher überlastet”.
Was Gesetz und Norm konkret verlangen
Direkt vorgeschrieben ist selten „die IT-Dokumentation” als solche – wohl aber eine Reihe von Nachweisen, die sich ohne sie nicht erbringen lassen. Drei Pflichten treffen mittelständische Unternehmen regelmäßig:
Erstens die DSGVO. Art. 30 DSGVO verlangt ein schriftlich – auch elektronisch – geführtes Verzeichnis aller Verarbeitungstätigkeiten, inklusive Empfängerkategorien, Löschfristen und einer Beschreibung der technischen und organisatorischen Maßnahmen. Die viel zitierte Ausnahme für Unternehmen mit weniger als 250 Beschäftigten hilft in der Praxis kaum: Sie entfällt bereits, wenn die Verarbeitung „nicht nur gelegentlich” erfolgt – was auf jede laufende Lohnbuchhaltung und jedes CRM zutrifft.
Zweitens NIS-2. Das Bundesamt für Sicherheit in der Informationstechnik schreibt in seinen allgemeinen FAQ zu NIS-2, Unternehmen seien nach dem NIS-2-Umsetzungsgesetz verpflichtet, „die Umsetzung ihrer Risikomanagementmaßnahmen nachvollziehbar zu dokumentieren” – Prozesse, Zuständigkeiten und getroffene Sicherheitsmaßnahmen also schriftlich festzuhalten und regelmäßig zu überprüfen. Ob Ihr Unternehmen überhaupt betroffen ist, klärt unser NIS2-Check für den Mittelstand.
Drittens das Steuerrecht. § 147 Abs. 1 AO verlangt, dass neben Büchern und Belegen auch „die zu ihrem Verständnis erforderlichen Arbeitsanweisungen und sonstigen Organisationsunterlagen” aufbewahrt werden. Genau daraus leitet die Finanzverwaltung in den GoBD die Verfahrensdokumentation für steuerrelevante IT-Systeme ab: nachvollziehbar festgehalten, wie Daten entstehen, verarbeitet und aufbewahrt werden.
| Pflicht | Was dokumentiert sein muss | Woher die Daten kommen |
|---|---|---|
| Art. 30 DSGVO | Verarbeitungstätigkeiten, Empfänger, Löschfristen, TOM | Konten- und Rechteübersicht, Systemliste |
| NIS-2-Umsetzungsgesetz | Prozesse, Zuständigkeiten, Sicherheitsmaßnahmen | Sicherheitskonfiguration, Rollen, Reviews |
| § 147 AO / GoBD | Verfahrensdokumentation steuerrelevanter Systeme | Anwendungs- und Schnittstellenübersicht |
Das Muster ist in allen drei Zeilen dasselbe: Verlangt wird ein Nachweis über den aktuellen Zustand. Ein Dokument von 2019 erfüllt keine dieser Anforderungen – auch dann nicht, wenn es sehr gründlich geschrieben war.
Das eigentliche Problem: Aktuellhalten, nicht Erstellen
Fast jedes Unternehmen hat schon einmal versucht, seine IT zu dokumentieren. Das Erstellen ist auch nicht das Problem – ein motivierter Nachmittag bringt eine passable erste Version. Das Problem beginnt am Tag danach.
Denn eine IT verändert sich täglich: Ein neues Notebook wird eingerichtet, jemand bekommt zusätzliche Rechte, eine Software wird abgelöst, ein Vertrag verlängert. Jede dieser Änderungen müsste jemand von Hand in die Dokumentation übertragen. Im Tagesgeschäft passiert das nicht – nicht aus Nachlässigkeit, sondern weil die manuelle Pflege in kleinen IT-Teams immer die Aufgabe ist, die warten kann. Nach einem halben Jahr bildet das Dokument einen Zustand ab, den es nicht mehr gibt.
Eine veraltete Dokumentation ist schlimmer als gar keine: Sie führt im Ernstfall in die Irre. Wer sich auf falsche Angaben verlässt, verliert im Notfall wertvolle Zeit.
Dasselbe Muster sehen wir an anderer Stelle im Betrieb: Was nur passiert, wenn jemand daran denkt, passiert irgendwann nicht mehr.
Wir sehen es jede Woche: Backups, die seit Monaten niemand geprüft hat. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist.
Jens HagelGründer & Geschäftsführer
Werkzeuge, Vorlagen und Standards für die IT-Dokumentation
Um Ordnung hineinzubringen, greifen viele Unternehmen zu Werkzeugen. Die Bandbreite reicht von der Word- oder Excel-Vorlage über Wikis bis zu spezialisierten Lösungen. Wer es strukturierter angeht, setzt auf eine Configuration Management Database (CMDB) – Werkzeuge wie i-doit erfassen Infrastrukturkomponenten und ihre Abhängigkeiten, für Netzwerkdiagramme kommt oft draw.io zum Einsatz.
Eine gute Vorlage gibt Struktur vor und sorgt für einheitliche Dokumentationsstandards – so finden sich auch neue Kollegen zurecht. Wichtig ist dabei eine zentrale Ablage: alle relevanten Informationen an einem Ort, statt verteilt in privaten Notizen.
Doch hier lauert ein Denkfehler. Ein Werkzeug, eine Vorlage oder ein Dokumentationsstandard beantwortet die Frage, wie dokumentiert wird – nicht die Frage, ob es kontinuierlich geschieht. Auch die beste CMDB veraltet, wenn niemand sie pflegt.
Der Ausweg: Dokumentation als Nebenprodukt des Betriebs
Der Denkfehler steckt in der Trennung: Betrieb hier, Dokumentation dort. Solange beides getrennt ist, wird die Dokumentation immer hinterherhinken. Die Lösung besteht darin, beides zusammenzuführen – die Dokumentation entsteht direkt aus dem laufenden IT-Betrieb.
Technisch ist das kein Neuland. Geräteverwaltungen melden Hardware- und Softwarestände von sich aus zurück; Microsoft beschreibt das für Intune in der Dokumentation zum Anzeigen von Gerätedetails: Modell, Seriennummer, Betriebssystemstand und Speicherbelegung stehen je verwaltetem Gerät ohne manuelle Pflege bereit. Was fehlt, ist meist nicht die Technik, sondern die Entscheidung, den Betrieb zur einzigen Quelle der Wahrheit zu machen.
Genau so arbeitet kjello. Wenn Geräte, Konten und Software ohnehin über ein zentrales Portal verwaltet werden, ist der aktuelle Stand jederzeit sichtbar: Jedes eingerichtete Gerät steht automatisch im Geräte-Inventar, jedes On- und Offboarding aktualisiert die Konten- und Rechteübersicht, jede Lizenz ist erfasst. Die Dokumentation ist dann kein Dokument mehr, das jemand pflegt, sondern ein lebendes Abbild der Realität. Sie kann gar nicht veralten, weil sie nichts anderes ist als der aktuelle Zustand des Systems.
So entsteht eine belastbare, jederzeit aktuelle Dokumentation ohne zusätzlichen Pflegeaufwand – das schont knappe IT-Ressourcen. Wie dieses Zusammenspiel im Ganzen funktioniert, zeigt die Produktseite von kjello.
In fünf Schritten zu einer Dokumentation, die sich pflegt
Der Weg dorthin ist unspektakulär. Er dauert in einem Unternehmen mit 20 bis 250 Mitarbeitenden erfahrungsgemäß wenige Wochen, nicht Monate:
- Bestand aufnehmen. Alle Geräte, Konten, Anwendungen und Verträge einmal vollständig erfassen – lieber grob und vollständig als fein und lückenhaft.
- Eine Quelle bestimmen. Festlegen, welches System für welchen Bereich die Wahrheit sagt: Geräte aus der Geräteverwaltung, Konten aus dem Verzeichnisdienst, Lizenzen aus dem Portal. Doppelte Listen werden abgeschafft, nicht abgeglichen.
- Prozesse anbinden. On- und Offboarding, Gerätetausch und Softwarefreigabe laufen künftig über dieses System – dann aktualisiert sich der Bestand als Nebenprodukt.
- Den Rest bewusst schreiben. Alles, was keine Maschine erfasst: Warum-Entscheidungen, Besonderheiten von Fachsystemen, Notfallabläufe.
- Review terminieren. Einmal jährlich und nach jeder größeren Änderung: Stimmen Zuständigkeiten, Kontakte und Notfallwege noch?
Was das kostet – und was das Nichtstun kostet
Der häufigste Einwand lautet: zu teuer. Die Rechnung sieht anders aus, wenn man beide Seiten aufmacht. Ein Dienstleister, der nach Aufwand abrechnet, braucht für jede Recherche in einer undokumentierten Umgebung Stunden – und stellt sie in Rechnung. Bei kjello ist die Dokumentation im Betrieb enthalten, weil sie aus ihm entsteht:
Was Core enthält und was als Modul dazukommt, steht offen auf der Preisseite. Antivirus und EDR kosten 10 € je Nutzer und Monat zusätzlich, Microsoft-365-Lizenzen werden durchgereicht. Ehrlich dazu gehört: Für Konzerne mit eigener IT-Abteilung ist dieser Zuschnitt nicht gemacht – dort existieren die Werkzeuge längst.
Was mich beim alten Dienstleister wahnsinnig gemacht hat: jeden Monat andere Kosten. Mal 200 Euro, mal 2.000.
Ein guter Teil dieser schwankenden Rechnungen entsteht genau dort, wo niemand mehr weiß, wie ein System aufgesetzt wurde. Dokumentation ist insofern keine Fleißaufgabe, sondern eine Kostenbremse.
30 Minuten, kostenlos, ohne Vertriebsdruck: Wir gehen Ihren Bestand durch und sagen Ihnen, wo die Lücken sitzen.
Gespräch vereinbarenWas Sie trotzdem bewusst dokumentieren sollten
Automatik erfasst den Ist-Zustand der Technik – nicht aber das Wie und Warum. Drei Dinge bleiben eine bewusste Aufgabe:
- IT-Prozesse und Besonderheiten: warum eine Konfiguration so gewählt wurde, welche technischen Details und Eigenheiten ein Fachsystem hat, wie bestehende Prozesse ablaufen und wer wofür zuständig ist. Klare Verantwortlichkeiten gehören genauso dokumentiert wie die Technik selbst.
- Wissen und Einarbeitung: eine kurze Benutzerdokumentation und die Schulung neuer Mitarbeiter sind aktive Wissenssicherung – IT-Wissen, das kein System automatisch erfasst.
- Der Notfallplan: Abläufe und Kontakte für den Fall, dass Systeme ausfallen – idealerweise auch offline verfügbar. Wie ein solcher Plan aufgebaut ist, zeigt unser Leitfaden zum IT-Notfallplan.
Sinnvoll ist außerdem, diesen bewusst gepflegten Teil in regelmäßigen Reviews zu überprüfen – etwa im Rahmen ohnehin anstehender IT-Projekte. Diese Elemente sind Teil eines soliden Sicherheitsfundaments, das wir in der IT-Sicherheits-Checkliste für KMU ausführen.
Eine IT-Dokumentation, die sich selbst aktuell hält, ist kein Luxus für Konzerne. Für ein Unternehmen mit 20 bis 250 Mitarbeitenden ist sie die Voraussetzung dafür, dass der Betrieb an dem Tag weiterläuft, an dem die IT-Person nicht erreichbar ist.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Was gehört in eine IT-Dokumentation?
Warum ist IT-Dokumentation für den Mittelstand so wichtig?
Warum veraltet IT-Dokumentation so schnell?
Wie bleibt IT-Dokumentation automatisch aktuell?
Ist IT-Dokumentation gesetzlich vorgeschrieben?
Welche Tools eignen sich für die IT-Dokumentation im Mittelstand?
Wie oft sollte man die IT-Dokumentation überprüfen?
kjello ansehen
Bei kjello entsteht Ihre IT-Dokumentation automatisch aus dem laufenden Betrieb – Inventar, Konten und Software immer auf aktuellem Stand.
