Inhaltsverzeichnis
Der deutsche Mittelstand steht unter Druck: Laut Bitkom fehlten Ende 2024 rund 149.000 IT-Fachkräfte auf dem deutschen Arbeitsmarkt, die durchschnittliche Vakanzzeit für offene IT-Stellen lag bei über sieben Monaten. Gleichzeitig steigen die Anforderungen an Sicherheit, Compliance und Cloud-Betrieb schneller als jede interne IT-Abteilung mitwachsen kann. IT Outsourcing ist damit kein Kostenthema mehr, sondern eine strategische Antwort auf strukturelle Engpässe. In diesem Beitrag zeigen wir, welche Leistungen typischerweise ausgelagert werden, wie sich das Preismodell zusammensetzt, wie ein sauberer Transition-Prozess aussieht – und warum ein deutscher Datenstandort für Mittelständler heute mehr Gewicht hat als je zuvor.
Was ist IT Outsourcing?
IT Outsourcing bedeutet, definierte IT-Aufgaben oder ganze Betriebsbereiche vertraglich an einen externen Dienstleister zu übertragen. Das reicht vom klassischen Anwendersupport über den Betrieb von Servern und Netzwerken bis hin zum vollständigen Modern-Workplace-Betrieb auf Basis von Microsoft 365. Der Dienstleister übernimmt Verantwortung, Ressourcen und – bei klar formulierten Service Level Agreements – auch messbare Ergebnisverpflichtungen.
In der Praxis wird der Begriff oft mit Managed IT Services gleichgesetzt, was nur teilweise zutrifft. Managed IT Services beschreiben ein Betriebsmodell, in dem der Dienstleister vordefinierte Leistungspakete zu Pauschalen pro Nutzer oder Gerät liefert. IT Outsourcing ist der Oberbegriff und kann darüber hinaus auch Projekte, Personalgestellung oder komplette Betriebsverlagerungen umfassen. Von reiner Cloud-Beratung unterscheidet sich Outsourcing dadurch, dass der Dienstleister dauerhaft in den operativen Betrieb eingebunden ist und nicht nur beratend agiert.
Für den Mittelstand mit 20 bis 200 Arbeitsplätzen ist die Frage selten „Outsourcing ja oder nein“, sondern „welchen Anteil und mit welchem Modell“. Die typischen Formen: vollständiges Outsourcing (der Dienstleister betreibt alles), selektives Outsourcing (klar abgegrenzte Bausteine wie Servicedesk oder Security) und Co-Managed IT (interne IT plus externer Partner arbeiten gemeinsam).
Leistungsspektrum: Welche IT-Bereiche werden ausgelagert?
Nicht jede IT-Aufgabe eignet sich gleich gut für die Auslagerung. Standardisierbare, wiederkehrende und stark regulierte Aufgaben lassen sich in der Regel effizient extern betreiben. Fünf Bausteine bilden das Rückgrat der meisten Outsourcing-Verträge im Mittelstand:
Modern Workplace (Microsoft 365 als Basis)
Der digitale Arbeitsplatz auf Basis von Microsoft 365 ist heute der häufigste Einstieg in ein Outsourcing-Modell. Der Dienstleister übernimmt Lizenzmanagement, Tenant-Konfiguration, Exchange Online, Teams, SharePoint und OneDrive-Betrieb, Identity- und Conditional-Access-Policies sowie Backup und Retention. Für den Kunden bedeutet das: eine planbare monatliche Rate pro Nutzer, kein Aufbau von Spezialwissen für jede M365-Rolle, kontinuierliche Anpassung an Microsofts Roadmap. Ein sauber betriebener Modern Workplace ist außerdem die Basis für alle weiteren Sicherheits- und Automatisierungsbausteine – deshalb ist er in der Praxis oft der sinnvollste Einstiegspunkt in ein Outsourcing-Modell.
Endpoint- und Client-Management
Notebooks, Desktops, mobile Endgeräte: Endpoint Management über Microsoft Intune deckt Provisionierung (Autopilot), Softwareverteilung, Patch- und Update-Management, Compliance-Policies und Verschlüsselung ab. Der ausgelagerte Betrieb sorgt dafür, dass ein neues Gerät innerhalb weniger Minuten produktiv einsetzbar ist – ohne dass ein Techniker es je in der Hand hatte. Ergänzend automatisieren wir das Application Packaging über Softwarepaketierung as a Service, was insbesondere bei größeren Rollouts den Aufwand deutlich reduziert.
Server-, Netzwerk- und Cloud-Betrieb
Ob klassisches Rechenzentrum, hybride Landschaft oder vollständige Cloud: der Betrieb der Infrastruktur ist das kapitalintensivste Feld. Zu den Leistungen zählen Monitoring, Patching, Backup, Disaster Recovery, Firewall- und WLAN-Betrieb sowie der Betrieb von Azure-Infrastruktur. Für Kunden mit hybriden Landschaften begleiten wir zusätzlich die Cloud-Transformation, damit der Outsourcing-Vertrag von Anfang an auf einer zukunftssicheren Zielarchitektur aufsetzt.
IT-Security & Compliance
Der Bereich Information Security ist heute Pflichtbestandteil jedes Outsourcing-Vertrags. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verzeichnete im Lagebericht 2024 rund 309.000 neue Schadprogramm-Varianten pro Tag – ein Volumen, das keine mittelständische IT-Abteilung allein bewältigen kann. Typische ausgelagerte Leistungen: Endpoint Detection & Response, Managed SIEM, Schwachstellenscans, Awareness-Trainings, Incident Response Retainer, sowie die Vorbereitung auf regulatorische Anforderungen wie NIS2, DSGVO und ISO 27001.
Anwendersupport / Service Desk
Der Service Desk ist der sichtbarste Teil jedes Outsourcing-Vertrags – für Mitarbeitende ist er die IT. Deutschsprachiger 1st- und 2nd-Level-Support mit klaren Reaktions- und Lösungszeiten, ergänzt durch Self-Service-Portale und Wissensdatenbanken, entlastet interne Ressourcen spürbar. Kennzahlen wie First-Contact-Resolution-Rate und CSAT gehören in jedes SLA.
Preismodell: Was bestimmt die Kosten für IT Outsourcing im Mittelstand?
Die häufigste Frage in jedem Erstgespräch. Statt einer pauschalen Zahl geben wir Ihnen die ehrliche Antwort: Der Rahmen hängt davon ab, welche Bausteine im Vertrag enthalten sind, und wird deshalb bei uns immer individuell nach einer kurzen Ist-Analyse angeboten – nicht als „ab-Preis“-Kommunikation ohne Substanz.
Zur Einordnung eine transparente Aufschlüsselung nach Servicetiefe:
| Servicetier | Leistungsumfang |
|---|---|
| Basic | M365-Grundbetrieb, Patchmanagement, Basis-Servicedesk zu Bürozeiten, Antivirus, Backup |
| Standard | zusätzlich: Intune-basiertes Endpoint Management, EDR, Conditional Access, definierte SLAs, monatliches Reporting |
| Premium | zusätzlich: 24/7-Support, Managed SIEM/SOC-Anbindung, Compliance-Reporting (ISO 27001/NIS2), dedizierter Service Delivery Manager |
Zu den variablen Preistreibern zählen darüber hinaus: Anzahl und Komplexität der Serverlandschaft, Umfang der Cloud-Ressourcen in Azure, Anzahl der Standorte, Anforderungen an Verfügbarkeit außerhalb der Bürozeiten sowie Sonderthemen wie Fachanwendungen, ERP-Betrieb oder regulierte Branchen. Microsoft-365-Lizenzen werden in der Regel separat abgerechnet – entweder direkt von Microsoft oder über den Dienstleister als CSP-Partner.
Nicht in dieser Struktur enthalten sind einmalige Aufwände für Transition, Onboarding, Hardware-Refresh und projekthafte Migrationen – auch diese kalkulieren wir individuell auf Basis Ihrer Ausgangslage.
Transition-Prozess: In 5 Schritten zum ausgelagerten IT-Betrieb
Die Transition entscheidet über den späteren Betriebserfolg. Ein sauberer Übergang folgt fünf Phasen:
1. Assess – Bestandsaufnahme (Wochen 1–3) Inventarisierung von Assets, Verträgen, Lizenzen und laufenden Vorfällen. Interviews mit Fachbereichen und interner IT. Ergebnis: dokumentierter Ist-Zustand und Risikoregister. Für die Bewertung der Cloud-Reife empfehlen wir vorab eine Cloud-Readiness-Analyse.
2. Design – Zielbild und Servicekatalog (Wochen 3–6) Definition der Zielarchitektur, des Servicekatalogs, der SLAs und der Rollenverteilung (RACI). Festlegung der Escalation Paths und der Reporting-Kadenz. Ergebnis: unterschriebener Transitionsplan.
3. Transition – Übernahme (Wochen 6–14) Technische Übernahme: Zugriffe, Tenant-Delegation, Monitoring-Einbindung, Backup-Anschluss. Parallelbetrieb, Runbooks, Wissenstransfer aus der Altorganisation. Bei M365-lastigen Umgebungen begleiten wir dies eng mit unserer Cloud-Migrationsberatung und, wo nötig, einer strukturierten Microsoft 365 Migration.
4. Steady State – Regelbetrieb (ab Woche 14) Der Dienstleister übernimmt vollständig. Monatliches Service Review, klar getaktetes Reporting, definierte Change-Prozesse. Der Kunde sieht: gleiche Servicequalität wie zuvor, jetzt aber messbar.
5. Optimize – kontinuierliche Verbesserung Quartalsweise Reviews mit klaren Verbesserungszielen: Automatisierungsgrad erhöhen, Ticketvolumen reduzieren, Kosten pro Arbeitsplatz optimieren, Sicherheitsniveau anheben. Outsourcing ist kein Endzustand, sondern eine kontinuierliche Beziehung.
SLAs und Service-Qualität
Ein Outsourcing-Vertrag ist nur so gut wie seine SLAs. Für den Mittelstand haben sich folgende Werte als praxistauglicher Rahmen etabliert:
| Kennzahl | Standard | Premium |
|---|---|---|
| Verfügbarkeit Kernsysteme | 99,5 % (Bürozeit) | 99,9 % (24/7) |
| Reaktionszeit Prio 1 (kritisch) | 1 Stunde | 15 Minuten |
| Reaktionszeit Prio 2 (hoch) | 4 Stunden | 1 Stunde |
| Reaktionszeit Prio 3 (mittel) | 1 Arbeitstag | 4 Stunden |
| First-Contact-Resolution | ? 60 % | ? 70 % |
| Servicezeiten | Mo–Fr 8–18 Uhr | 24/7/365 |
Wichtiger als hohe Zahlen auf dem Papier sind zwei Punkte: Erstens muss jeder SLA-Wert messbar sein und in einem regelmäßigen Reporting sichtbar werden. Zweitens gehören Eskalationswege, Pönalen bei Nichterreichung und klare Definitionen von Ausnahmen (z. B. Wartungsfenster) in den Vertrag. Ein SLA, das niemand misst, ist kein SLA.
DSGVO und deutscher Datenstandort
Für deutsche Mittelständler ist der Datenstandort selten Verhandlungssache. Drei Gründe machen den Betrieb aus Deutschland zum Standard:
DSGVO ohne Umwege. Betrieb in Deutschland bedeutet, dass Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO ohne die Komplexität von Drittlandtransfers geschlossen werden können. Kein Standardvertragsklauseln-Overhead, keine Transfer Impact Assessments – das reduziert internen Aufwand und rechtliches Restrisiko.
Kein CLOUD-Act-Zugriff auf Kerndaten. US-Anbieter unterliegen dem US CLOUD Act auch dann, wenn Daten in europäischen Rechenzentren gespeichert sind. Für sensible Bereiche – Geschäftsdaten, HR-Daten, Kundenprojekte – setzen viele Mittelständler daher auf Anbieter mit deutschem Firmensitz und deutschen Rechenzentren. Microsoft 365 selbst lässt sich dabei bewusst in der EU Data Boundary betreiben; sensible Speicher- und Backup-Ziele können darüber hinaus zusätzlich rein deutsch abgebildet werden.
ISO 27001 und BSI-Konformität. Ein deutscher Outsourcing-Partner sollte nach ISO 27001 zertifiziert sein und die relevanten Bausteine des BSI IT-Grundschutzes kennen. Mit dem NIS2-Umsetzungsgesetz betrifft das ab 2024/2025 auch viele Mittelständler direkt – Auftraggeber bleiben verantwortlich, auch wenn sie den Betrieb auslagern.
Konkret heißt das für die Partnerauswahl: fragen Sie nach Zertifikaten, nach dem Standort der Rechenzentren, nach dem Firmensitz, und nach dem Umgang mit Subunternehmern. Diese vier Fragen filtern die meisten unpassenden Anbieter innerhalb weniger Minuten.
Praxisbeispiele für IT Outsourcing im Mittelstand
Damit die abstrakte Diskussion greifbarer wird, hier vier typische Konstellationen, wie sie im Mittelstand häufig vorkommen:
1. Vollständiges Outsourcing des Modern Workplace. Ein Maschinenbauer mit 90 Arbeitsplätzen ohne eigene IT-Abteilung überträgt Betrieb, Support und Sicherheit komplett an einen externen Partner. Monatliche Rate im Standard-Tier, ein interner IT-Koordinator bleibt Ansprechpartner. Ergebnis: planbare Kosten, keine Vakanzrisiken bei Krankheit oder Kündigung.
2. Teil-Outsourcing des Servicedesk. Ein Handelsunternehmen mit 150 Mitarbeitenden behält Server- und Netzwerkbetrieb intern, lagert aber den 1st- und 2nd-Level-Support aus – inklusive Servicezeiten am Wochenende. Die interne IT gewinnt Kapazität für Projekte, die Anwenderzufriedenheit steigt messbar.
3. Ausgelagerter M365-Betrieb. Der klassische Einstieg: Microsoft 365 wird an einen spezialisierten Dienstleister übergeben, während der Rest der IT-Landschaft unangetastet bleibt. Wie sich das rechnet und welche Fallstricke es gibt, haben wir im Beitrag Kosteneffizienz durch Outsourcing des M365-Betriebs im Detail beschrieben.
4. Managed Security als Baustein. Ein Zulieferbetrieb mit 60 Arbeitsplätzen kombiniert seine interne IT mit einem Managed-Security-Vertrag: EDR, 24/7-SOC-Anbindung und quartalsweise Schwachstellenscans. Reaktion auf konkrete Auditforderungen des Auftraggebers – und deutlich günstiger als der Aufbau eines eigenen SOC.
Was diese Beispiele eint: keiner der Kunden hat „die IT abgegeben“. Alle behalten Steuerung, Priorisierung und strategische Entscheidungen. Ausgelagert wurde die operative Umsetzung – dort, wo Skaleneffekte und Spezialwissen den Unterschied machen.
Häufig gestellte Fragen
Wie hoch sind die Kosten für IT-Outsourcing?
Die Kosten für IT Outsourcing im Mittelstand hängen stark davon ab, welche Bausteine im Vertrag enthalten sind – von einem Basic-Paket mit M365-Grundbetrieb und Servicedesk zu Bürozeiten bis zu einem Premium-Vertrag mit 24/7-Support, Managed SIEM und Compliance-Reporting. Statt einer pauschalen Preisangabe erstellen wir nach einer kurzen Ist-Analyse ein individuelles, transparentes Angebot. Microsoft-365-Lizenzen sowie einmalige Transition- und Projektkosten kommen separat hinzu.
Welche Beispiele gibt es für IT-Outsourcing?
Typische Ausprägungen im Mittelstand sind (1) vollständiges Outsourcing des Modern Workplace inklusive Support und Sicherheit, (2) selektives Outsourcing des Servicedesk mit erweiterten Servicezeiten, (3) ausgelagerter Microsoft-365-Betrieb bei interner Restinfrastruktur, (4) Managed Security als eigenständiger Baustein mit EDR und SOC-Anbindung, und (5) Co-Managed IT, bei dem eine interne IT-Abteilung durch externen Partner gezielt verstärkt wird.
Wann lohnt sich IT-Outsourcing für den Mittelstand?
Immer dann, wenn eine der folgenden Situationen zutrifft: Sie können offene IT-Stellen dauerhaft nicht besetzen; Ihre interne IT ist im Tagesgeschäft gebunden und schafft keine Projekte mehr; Sie stehen vor einer Cloud-Transformation ohne passendes internes Skillset; Ihre regulatorischen Anforderungen (NIS2, ISO 27001, Kundenaudits) übersteigen Ihre interne Kapazität; oder Ihre IT-Kosten sind volatil und schwer planbar. Ab ca. 20 Arbeitsplätzen rechnet sich ein professionelles Outsourcing-Modell in aller Regel gegenüber dem Aufbau einer vollständigen internen IT.
Wie unterscheidet sich IT-Outsourcing von Managed IT Services?
Managed IT Services sind eine spezifische Form des IT Outsourcings mit standardisierten Leistungspaketen und Pauschalpreisen pro Nutzer oder Gerät. IT Outsourcing ist der Oberbegriff und kann darüber hinaus auch individuelle Betriebsverlagerungen, Personalgestellung, Projektauslagerung oder Co-Managed-Modelle umfassen. Vereinfacht: jeder Managed-Services-Vertrag ist Outsourcing, aber nicht jedes Outsourcing ist Managed Services.
Bleiben unsere Daten in Deutschland?
Der Datenstandort lässt sich in aller Regel so gestalten, dass er Ihren Anforderungen entspricht. Für Microsoft-365-Workloads greift die EU Data Boundary; sensible Speicher-, Backup- und Archivierungsziele lassen sich bei entsprechendem Bedarf zusätzlich rein national abbilden. Die passende Data-Residency-Strategie legen wir gemeinsam im Assessment fest.
IT Outsourcing mit Centercon: Ihr nächster Schritt
Ob vollständiges Outsourcing, ausgelagerter Modern Workplace oder gezielte Verstärkung Ihrer internen IT – der richtige Zuschnitt hängt von Ihrer Ausgangslage ab, nicht von einem Standardpaket. Wenn Sie prüfen möchten, welches Modell zu Ihrem Unternehmen passt und in welchem Kostenrahmen sich das bewegen wird, sprechen Sie unverbindlich mit uns.
Kostenloses Erstgespräch (30 Minuten). Wir hören zu, klären die wesentlichen Rahmenbedingungen und geben Ihnen eine belastbare erste Einschätzung – ohne Verkaufsdruck und ohne Verpflichtung. Anschließend entscheiden Sie in Ruhe, ob und wie es weitergeht.
Erstgespräch vereinbaren oder direkt einen Blick auf unser Managed-IT-Services-Portfolio werfen.
