Das Wort „Wartung“ in Serverangeboten bedeutet sehr Unterschiedliches. Für den einen Anbieter heißt es, dass der physische Server eingeschaltet ist und das Netzwerk funktioniert. Für den anderen heißt es, dass Backups jede Nacht geprüft werden, Sicherheitsupdates jeden Monat eingespielt werden und ein Techniker innerhalb einer halben Stunde reagiert, wenn ein Dienst nachlässt, ohne auf Ihren Anruf zu warten. Beide Angebote heißen „Managed Server“, und die Preise unterscheiden sich vielleicht nur wenig.
Der Unterschied zeigt sich erst, wenn etwas passiert: Dateien werden verschlüsselt, ein Update zerstört das System, eine volle Festplatte legt Ihre Buchhaltung lahm. Dann stellt sich heraus, dass „Wartung“ nur ein laufender Server war und alles andere in Ihrer Verantwortung lag, was Ihnen niemand gesagt hat.
In diesem Artikel schlüsseln wir auf, woraus echte Server-Wartung besteht, wie Sie sie im Vertrag festhalten und welche Fragen Sie stellen sollten, damit es später keine Überraschungen gibt.
Ressourcenmiete und Managed Server sind zwei verschiedene Produkte
Bei der Ressourcenmiete (oft „Unmanaged“ oder „Self-managed“ Server genannt) erhalten Sie eine virtuelle Maschine mit installiertem Betriebssystem und Administratorzugang. Der Anbieter ist für die physische Hardware, den Strom, das Netzwerk und die Virtualisierungsplattform verantwortlich. Alles, was im Betriebssystem geschieht, also Updates, Schutz, Backups und die Konfiguration der Anwendungen, ist Ihre Aufgabe.
Das ist das richtige Modell, wenn Sie einen eigenen Server-Administrator haben, der dafür Zeit hat. Für die meisten kleinen und mittleren Unternehmen, in denen sich eine Person um die IT kümmert oder niemand, bedeutet es, dass der Server nach dem ersten Monat ohne Updates und ohne geprüfte Backups dasteht.
Ein Managed Server ist dieselbe Ressource, aber mit einem Team, das dafür verantwortlich ist, dass das Betriebssystem und die Basisdienste ordnungsgemäß laufen. Sie nutzen die Anwendungen, und der Anbieter sorgt dafür, dass die Plattform darunter aktuell, geschützt, überwacht und wiederherstellbar ist.
Woraus echte Wartung besteht
Wenn Sie ein Angebot anfordern, bestehen Sie darauf, dass jeder der folgenden Punkte klar als enthalten, nicht enthalten oder gegen Aufpreis verfügbar gekennzeichnet ist.
Updates
Sicherheitsupdates für das Betriebssystem und die Basissoftware müssen regelmäßig zu einem vereinbarten Zeitpunkt eingespielt werden, mit der Möglichkeit eines Rollbacks. Fragen: wie oft, ob außerhalb der Arbeitszeit, was passiert, wenn ein Update das System beschädigt, und ob vor der Installation ein Snapshot erstellt wird.
Monitoring
Monitoring bedeutet, dass der Anbieter von einem Problem früher erfährt als Sie. Überwacht werden müssen nicht nur die Verfügbarkeit des Servers, sondern auch Speicherplatz, CPU- und Arbeitsspeicher-Auslastung, Dienststatus, Ablauf von Zertifikaten und Erfolg der Backups. Eine wichtige Frage: Wer erhält nachts die Warnung, und was tut er damit?
Backups
Ein Backup, dessen Wiederherstellung niemand ausprobiert hat, ist kein Backup. Bestehen Sie auf einer festgelegten Häufigkeit, Aufbewahrungsdauer und einem Speicherort (liegt die Kopie an einem anderen physischen Standort), darauf, ob die Kopie vor Löschung von einem infizierten Server aus geschützt ist, und darauf, wie oft Wiederherstellungen getestet werden. In unserer Praxis liegen Backups in unserem Rechenzentrum in Litauen (EU) und bei Bedarf zusätzlich in einem Amazon-Rechenzentrum in Deutschland, sodass eine Katastrophe an einem Standort nicht zum Datenverlust führt. Über die Möglichkeiten der Server-Datensicherung schreiben wir gesondert.
Schutz vor Schadsoftware
Ein Server ohne modernen Schutz ist eine offene Tür. Der Standardschutz eines Betriebssystems reicht gegen Ransomware-Angriffe nicht aus. Auf unseren Managed Servern ist Bitdefender GravityZone installiert, zentral über unsere Konsole verwaltet: Es blockiert schädliche Prozesse, achtet auf Anzeichen der Dateiverschlüsselung und alarmiert unser Team, statt nur in ein Protokoll zu schreiben. Fragen Sie den Anbieter, welcher Schutz installiert ist, wer ihn verwaltet und ob jemand die Warnungen liest.
Zugriffs- und Passwortverwaltung
Wer hat Administratorzugang zum Server, wie wird er vergeben und entzogen, wird Zwei-Faktor-Authentifizierung eingesetzt, und werden Anmeldungen protokolliert? Diese Fragen stellen auch Auditoren nach ISO 27001 oder den Anforderungen von DORA.
SLA: Was es wirklich verspricht und was nicht
Im Service Level Agreement (SLA) wird aus „wir betreuen ihn“ eine Zahl. Die häufigsten Quellen für Missverständnisse:
- Der Verfügbarkeitswert bezieht sich oft nur auf die physische Plattform, nicht auf Ihren Server oder Ihre Anwendung. Eine Plattformverfügbarkeit von 99,9 % sagt nichts darüber, wie lange Ihre Buchhaltung nach einer Katastrophe ausfällt.
- Reaktionszeit ist nicht Lösungszeit. Eine Reaktion innerhalb von 30 Minuten bedeutet, dass ein Techniker mit der Arbeit begonnen hat, nicht dass das Problem gelöst ist. Beide Kennzahlen gehören in den Vertrag, und sie sollten sich nach der Priorität des Vorfalls unterscheiden.
- Supportzeiten. Gilt der SLA auch am Wochenende? Wenn Ihre Buchhaltung nur an Werktagen gebraucht wird, kann Support zu Geschäftszeiten genügen, aber das muss eine bewusste Entscheidung sein.
- Wiederherstellungsziele (RTO und RPO). Wie schnell der Server aus einem Backup wiederhergestellt wird und wie viele Daten verloren gehen dürfen. Stehen diese beiden Zahlen nicht im Vertrag, ist das Backup-Versprechen nur ein Versprechen.
Wir veröffentlichen unsere Beschreibung der Servicequalität, damit Sie diese Zahlen schon vor einem Gespräch vergleichen können.
Eine Verantwortungsmatrix: eine Seite, die Streit beendet
Das beste Instrument, das Sie von einem Anbieter verlangen können, ist eine Verantwortungsmatrix: eine Tabelle, in der jede Tätigkeit einer Seite zugeordnet ist. Ein Beispiel, wie sie für einen Managed Server aussieht:
| Tätigkeit | Anbieter | Kunde |
|---|---|---|
| Physische Hardware, Strom, Netzwerk, Virtualisierung | Verantwortlich | – |
| Updates des Betriebssystems | Verantwortlich | Stimmt den Zeitpunkt ab |
| Monitoring und Reaktion auf Warnungen | Verantwortlich | – |
| Backups und Wiederherstellungstests | Verantwortlich | Legt fest, was geschützt wird |
| Schutz vor Schadsoftware | Verantwortlich | – |
| Updates der Fachanwendung (Buchhaltung, CRM) | Nach Vereinbarung | Häufig verantwortlich |
| Benutzerkonten in der Anwendung | – | Verantwortlich |
| Dateninhalt und seine Rechtmäßigkeit | – | Verantwortlich |
Ist eine solche Matrix unterschrieben, verschwindet die Frage „Wer hätte das tun sollen?“. Kann oder will ein Anbieter keine vorlegen, ist das bereits eine Antwort darauf, wie Vorfälle behandelt werden.
Fragen an den Anbieter
Vor der Vertragsunterzeichnung empfehlen wir, diese Fragen zu stellen und die Antworten festzuhalten:
- Was genau ist in „Wartung“ enthalten? Verlangen Sie eine Liste.
- Wie oft werden Updates eingespielt, und was passiert, wenn sie das System beschädigen?
- Wo werden Backups physisch gespeichert, sind sie vom Server selbst aus nicht erreichbar, und wann wurde zuletzt eine Wiederherstellung getestet?
- Welcher Schutz vor Schadsoftware ist installiert, und wer liest seine Warnungen?
- Wie lauten Reaktions- und Lösungszeiten nach Priorität, und gelten sie auch außerhalb der Geschäftszeiten?
- Welche Zusagen gibt es zu RTO und RPO?
- Wer hat Administratorzugang zu meinem Server, und wie wird er protokolliert?
- Arbeiten Sie nach den Anforderungen von ISO 27001, und können Sie Dokumente für ein Audit bereitstellen?
- Wie funktioniert der Ausstieg: Kann ich ein Server-Image und meine Daten mitnehmen, und wie schnell?
Ein Anbieter, der alle neun Fragen ohne Ausweichen beantwortet, betreut Server wahrscheinlich tatsächlich. Ein Anbieter, der sagt „Keine Sorge, wir kümmern uns um alles“, aber kein Dokument vorlegt, wahrscheinlich nicht.
Wo Sie anfangen
- Listen Sie die Systeme auf, die auf dem Server laufen, und wie viele Stunden Ausfall jedes verkraftet. Das sind Ihre SLA-Anforderungen.
- Fordern Sie von Ihrem aktuellen Dienstleister eine Verantwortungsmatrix. Gibt es keine, erstellen Sie selbst eine und schlagen Sie vor, sie zu unterschreiben.
- Prüfen Sie, wann zuletzt eine Datei aus einem Backup wiederhergestellt wurde. Erinnert sich niemand, ist das die erste Aufgabe.
- Vergleichen Sie Angebote danach, was enthalten ist, nicht nach dem Monatspreis.
- Wenn Sie sehen möchten, wie das in der Praxis aussieht, lesen Sie die Beschreibung unserer Managed CLOUD-Server: Updates, Monitoring, Backups und der Schutz durch Bitdefender GravityZone sind enthalten, und wenn Sie einen Server lieber in Ihrem eigenen Büro betreiben, bieten wir die Server-Betreuung nach derselben Matrix an.
