171 Antworten auf die häufigsten IT-Fragen von Unternehmen.

Ein IT-Systemhaus plant, liefert, installiert und betreut die IT-Infrastruktur von Unternehmen aus einer Hand – von Netzwerk, WLAN und Firewall über Server und Backup bis zu Microsoft 365 und laufendem Support. Anders als ein reiner Händler übernimmt es Verantwortung für Planung, Umsetzung und Betrieb.

Typische Leistungen eines Systemhauses:

• Beratung und Konzept (z. B. Netzwerk- oder Security-Architektur)
• Lieferung von Hardware und Lizenzen
• Installation, Migration und Dokumentation
• Betrieb als Managed Service mit Monitoring und Support

Ein IT-Dienstleister übernimmt IT-Aufgaben, die ein Unternehmen nicht selbst erledigen kann oder will – etwa Support für Mitarbeitende, Wartung von Servern und Netzwerk, IT-Sicherheit, Backup oder Projekte wie eine Microsoft-365-Migration. Der Umfang reicht von einzelnen Einsätzen bis zur kompletten Betreuung.

Für die meisten kleinen und mittleren Unternehmen ist eine Kombination am wirtschaftlichsten: Eine interne Ansprechperson kennt die Abläufe, ein externer Dienstleister liefert Spezialwissen für Netzwerk, Security und Backup, übernimmt Monitoring und sorgt für Vertretung bei Urlaub oder Krankheit.

Ein externer Partner lohnt sich besonders, wenn Spezialthemen wie Firewall, WLAN-Planung oder NIS2 anstehen, die intern nur selten vorkommen.

IT-Outsourcing bringt planbare Kosten, Zugriff auf Spezialisten, feste Reaktionszeiten und Entlastung interner Mitarbeitender. Unternehmen müssen nicht für jedes Fachgebiet eigenes Personal aufbauen und profitieren von erprobten Prozessen für Monitoring, Updates und Sicherheit.

Mögliche Nachteile sind Abhängigkeit vom Dienstleister und Wissensverlust im eigenen Haus. Beides lässt sich mit sauberer Dokumentation, klaren Verträgen und festen Ansprechpartnern vermeiden.

ITSystemhaus München ist die Infrastruktur-Marke der Unite2Link UG (haftungsbeschränkt) mit Sitz in Bergkirchen bei München, eingetragen beim Amtsgericht München unter HRB 294320. Hinter den Projekten stehen herstellerzertifizierte Ingenieure für Netzwerk, WLAN und Security.

Vor Ort in München und der Region – unter anderem in Dachau, Fürstenfeldbruck, Freising, Erding, Starnberg und Augsburg. Kunden mit mehreren Standorten betreuen wir deutschlandweit; Betrieb und Support laufen remote.

Nein. Wir arbeiten mit mehreren führenden Herstellern für Netzwerk, Security und Rechenzentrum und empfehlen die Lösung, die technisch und wirtschaftlich zu Ihren Anforderungen passt.

Unser Team verfügt über zahlreiche Herstellerzertifizierungen für WLAN, Netzwerk und Security – für genau die Technologien, die wir planen, implementieren und betreiben. Für Ihr Projekt nennen wir Ihnen gerne die konkret relevanten Qualifikationen.

Nach einem kostenlosen Erstgespräch analysieren wir die Ausgangslage, erstellen ein Konzept mit Aufwand und Zeitplan, setzen es um und übernehmen auf Wunsch den laufenden Betrieb. Sie haben dabei feste Ansprechpartner statt wechselnder Hotline-Mitarbeiter.

Ja. Wir beginnen mit einer Bestandsaufnahme und Dokumentation, beheben kritische Punkte und übernehmen anschließend den Betrieb – auch wenn die Umgebung von einem anderen Dienstleister aufgebaut wurde.

Für IT-Systemhäuser in Deutschland liegen die Stundensätze typischerweise zwischen etwa 80 und 150 € netto, für Spezialisten in Security oder Netzwerkdesign auch darüber. Hinzu kommen je nach Vertrag Anfahrtspauschalen. Mit einem Managed-Services-Vertrag werden viele Leistungen pauschal statt nach Stunden abgerechnet.

Die Angaben sind marktübliche Richtwerte (Stand 2026). Verbindlich ist immer das individuelle Angebot.

Laufende IT-Betreuung wird meist pro Arbeitsplatz und Monat abgerechnet. Je nach Umfang – nur Monitoring und Updates oder inklusive Helpdesk, Backup-Kontrolle und Security – liegen marktübliche Pauschalen grob zwischen 30 und 120 € pro Arbeitsplatz und Monat, zuzüglich Server und Netzwerkkomponenten.

Entscheidend für den Preis sind Anzahl der Nutzer, Server und Standorte, vereinbarte Reaktionszeiten und ob Vor-Ort-Einsätze enthalten sind.

Eine feste Zahl gibt es nicht. Im Mittelstand werden häufig IT-Ausgaben von etwa 2 bis 5 % des Umsatzes genannt, in IT-intensiven Branchen deutlich mehr. Aussagekräftiger als der Durchschnitt ist, ob Ihre Ausgaben Ausfälle verhindern und Prozesse beschleunigen.

Wichtige Kostenblöcke: Arbeitsplätze und Lizenzen, Netzwerk und Security, Server oder Cloud, Backup sowie Betreuung und Support.

Ein solider Server für ein kleines Unternehmen kostet als Hardware typischerweise zwischen 3.000 und 10.000 €, abhängig von Leistung, Speicher und Redundanz. Hinzu kommen Lizenzen, Backup, Einrichtung und Betreuung. Oft ist eine Kombination aus kleinem lokalem Server und Microsoft 365 die wirtschaftlichste Lösung.

Die Kosten hängen von Fläche, Gebäudetyp und Umfang ab. Eine reine Planung am digitalen Grundriss (Predictive Design) ist für kleinere Flächen meist im unteren vierstelligen Bereich möglich, Messungen vor Ort mit Validierung werden in der Regel nach Tagessätzen kalkuliert.

Eine Ausleuchtung verhindert Fehlinvestitionen: Zu viele, zu wenige oder falsch platzierte Access Points kosten im Betrieb meist mehr als die Planung.

Professionelle Access Points für Unternehmen kosten je nach Standard (WiFi 6, 6E oder 7) und Hersteller etwa 300 bis 1.500 € pro Gerät, bei Cloud-verwalteten Systemen zuzüglich einer jährlichen Lizenz. Dazu kommen Montage, Verkabelung und PoE-fähige Switches.

Eine Business-Firewall für kleine und mittlere Unternehmen kostet als Hardware meist zwischen einigen hundert und mehreren tausend Euro. Entscheidend sind die Sicherheitslizenzen (IPS, Webfilter, Sandboxing), die jährlich erneuert werden müssen – ohne sie schützt eine Next-Generation-Firewall nur eingeschränkt.

Für den laufenden Betrieb kommen Updates, Regelpflege und Monitoring hinzu, häufig als monatliche Managed-Security-Pauschale.

Die Kosten für NIS2 hängen stark vom Ausgangsniveau ab. Wer bereits Backup, MFA, Segmentierung und Dokumentation hat, muss vor allem Prozesse und Nachweise ergänzen. Ohne diese Basis entstehen Kosten für Technik, Beratung und Schulungen – typischerweise im fünfstelligen Bereich für mittelständische Unternehmen.

Ja. Das Erstgespräch von ca. 30 Minuten ist kostenlos und unverbindlich – online oder vor Ort in München und Umgebung.

Ein guter IT-Wartungsvertrag regelt Leistungsumfang, betreute Systeme, Reaktionszeiten, Servicezeiten, Monitoring, Patch-Management, Backup-Kontrolle, Dokumentation, Preise und Kündigungsfristen. Wichtig ist, dass klar beschrieben ist, was pauschal enthalten ist und was gesondert abgerechnet wird.

Ein Access Point (AP) ist ein Gerät, das ein kabelgebundenes Netzwerk per Funk als WLAN bereitstellt. Er wird per Netzwerkkabel an einen Switch angeschlossen und meist auch darüber mit Strom versorgt (PoE). In Unternehmen arbeiten mehrere Access Points zusammen, damit Geräte nahtlos zwischen ihnen wechseln können.

Ein Access Point ist per Kabel mit dem Netzwerk verbunden und liefert die volle Bandbreite. Ein Repeater empfängt das WLAN per Funk und sendet es erneut aus – dabei halbiert sich oft die nutzbare Geschwindigkeit und die Latenz steigt. Für Unternehmen sind kabelgebundene Access Points die stabilere Lösung.

Für Unternehmen sind kabelgebundene Access Points mit zentraler Verwaltung fast immer besser als Mesh. Mesh verbindet Zugangspunkte per Funk untereinander und eignet sich für Bereiche, in denen keine Kabel verlegt werden können. Dort, wo Kabel möglich sind, liefern Access Points mehr Leistung und Stabilität.

Ein Router verbindet Netzwerke miteinander, etwa das Firmennetz mit dem Internet, und vergibt IP-Adressen. Ein Access Point stellt nur den WLAN-Zugang bereit. In Unternehmen sind diese Aufgaben getrennt: Firewall bzw. Router am Internetzugang, Switches im Netzwerk und Access Points für das WLAN.

Technisch können moderne Access Points mehrere hundert Verbindungen verwalten, in der Praxis plant man für gute Leistung meist mit 30 bis 60 aktiven Geräten pro Access Point. Entscheidend ist nicht die Anzahl, sondern was die Geräte tun – Videokonferenzen brauchen deutlich mehr Kapazität als Scanner.

Deshalb wird ein Firmen-WLAN nach Kapazität und nicht nur nach Reichweite geplant.

Als grobe Orientierung rechnet man in Büros mit einem Access Point pro 150 bis 250 m² oder pro 25 bis 40 Arbeitsplätzen. Wände, Glas, Decken und die Anzahl der Nutzer verändern diese Werte stark. Verlässlich wird die Zahl erst durch eine WLAN-Planung am Grundriss oder eine Messung vor Ort.

Ja. Zu viele Access Points auf zu engem Raum stören sich gegenseitig auf denselben Kanälen (Co-Channel-Interference). Das WLAN wird dadurch langsamer statt schneller. Richtig geplant werden Anzahl, Position, Kanäle und Sendeleistung aufeinander abgestimmt.

In Büros werden Access Points meist an der Decke montiert, weil ihre Antennen nach unten abstrahlen und so eine gleichmäßige Abdeckung entsteht. Wandmontage eignet sich für Flure, Hotelzimmer oder spezielle Wand-Modelle. Entscheidend ist, dass der Montageort zur Antennencharakteristik des Geräts passt.

Häufige Ursachen sind zu wenige oder falsch platzierte Access Points, überlappende Kanäle, veraltete Hardware, schlechtes Roaming oder Engpässe im kabelgebundenen Netz dahinter. Auch Störquellen wie Mikrowellen, Metallregale oder Glaswände spielen eine Rolle. Eine Messung zeigt, woran es konkret liegt.

Bei einer WLAN-Ausleuchtung (Site Survey) wird gemessen oder simuliert, wie gut das Funksignal in jedem Bereich eines Gebäudes ankommt. Geprüft werden Signalstärke, Störungen, Kanalbelegung und Kapazität. Ergebnis sind Heatmaps und ein Plan, wie viele Access Points wo benötigt werden.

Man unterscheidet die Planung am Grundriss (Predictive Design), die Messung vor Ort (Pre- oder Post-Deployment-Survey) und die Validierung nach dem Rollout.

Zuerst wird der Grundriss mit Wandmaterialien digital erfasst und das WLAN simuliert. Vor Ort misst ein Techniker mit spezieller Hardware wie dem Ekahau Sidekick Signalstärke und Störungen. Nach der Installation bestätigt eine Validierungsmessung, dass Abdeckung und Kapazität wie geplant erreicht werden.

Ekahau ist eine professionelle Software- und Hardware-Lösung für die Planung, Messung und Optimierung von WLAN-Netzen. Mit Ekahau AI Pro und dem Messgerät Sidekick erstellen Fachleute Heatmaps, simulieren Access-Point-Positionen und weisen nach, dass ein WLAN die Anforderungen erfüllt.

WLAN-Roaming bedeutet, dass ein Gerät beim Bewegen durch das Gebäude automatisch zum nächstbesten Access Point wechselt, ohne dass die Verbindung abreißt. Damit das auch bei Telefonaten oder Scannern funktioniert, müssen Access Points, Kanäle und Standards wie 802.11k/v/r richtig abgestimmt sein.

Ein WLAN-Controller verwaltet viele Access Points zentral: Konfiguration, Kanäle, Sendeleistung, Sicherheit und Roaming. Früher war das meist eine Hardware-Appliance, heute übernehmen das häufig Cloud-Plattformen wie Juniper Mist oder Aruba Central, die zusätzlich Analysen und KI-Funktionen bieten.

Ja. Ein Gäste-WLAN trennt Besucher und private Geräte vom Firmennetz und schützt so Server, Drucker und interne Daten. Es sollte in einem eigenen VLAN laufen, nur Internetzugang erlauben und idealerweise eine Bandbreitenbegrenzung sowie eine einfache Anmeldung haben.

Ein sicheres Gäste-WLAN läuft in einem eigenen Netzsegment (VLAN), hat keinen Zugriff auf interne Systeme, isoliert die Geräte untereinander (Client Isolation) und begrenzt die Bandbreite. Für Hotels oder Praxen bietet sich ein Captive Portal mit Nutzungsbedingungen an.

WiFi 7 (IEEE 802.11be) ist der neueste WLAN-Standard. Er bringt breitere Kanäle bis 320 MHz, eine effizientere Datenübertragung (4096-QAM) und Multi-Link Operation (MLO), bei der ein Gerät gleichzeitig mehrere Frequenzbänder nutzt. Ergebnis sind höhere Geschwindigkeiten und vor allem stabilere, latenzärmere Verbindungen.

WiFi 7 nutzt zusätzlich das 6-GHz-Band mit bis zu 320 MHz breiten Kanälen, überträgt mehr Daten pro Funksignal und kann mehrere Bänder gleichzeitig verwenden (MLO). WiFi 6 arbeitet nur im 2,4- und 5-GHz-Band. In der Praxis bedeutet WiFi 7 mehr Kapazität und geringere Latenz, besonders in dichten Umgebungen.

Bei Neuinstallationen oder dem Austausch alter Access Points lohnt sich WiFi 7 meist, weil die Geräte über viele Jahre genutzt werden. Voraussetzung ist ein passendes Netzwerk dahinter: Multi-Gigabit-Switches und ausreichend PoE-Leistung. Ein funktionierendes WiFi-6-Netz muss dagegen nicht sofort ersetzt werden.

Ja. WiFi-7-Access-Points unterstützen auch ältere Geräte mit WiFi 6, WiFi 5 und älteren Standards. Diese Geräte profitieren allerdings nicht von den neuen Funktionen wie 320-MHz-Kanälen oder Multi-Link Operation.

Für WiFi 7 im Unternehmen braucht man WiFi-7-Access-Points, Switches mit Multi-Gigabit-Ports (2,5 oder 5 Gbit/s) und ausreichend PoE-Leistung (meist PoE+ oder PoE++), eine passende Verwaltungsplattform sowie Endgeräte, die WiFi 7 unterstützen. Ohne starkes LAN dahinter bleibt der Vorteil begrenzt.

WiFi 6E ist WiFi 6 mit zusätzlichem Zugang zum 6-GHz-Band. Dieses Band ist weniger überlastet als 2,4 und 5 GHz und bietet mehr freie Kanäle. In Europa steht nur der untere Teil des 6-GHz-Bands zur Verfügung, die Reichweite ist zudem etwas geringer als bei 5 GHz.

Wer heute neu investiert, sollte in der Regel WiFi 7 wählen, da der Preisunterschied gering ist und die Geräte länger aktuell bleiben. WiFi 6E ist eine gute Wahl, wenn ein bestehendes System damit erweitert wird oder Budget eine Rolle spielt.

Ein Unmanaged Switch verbindet Geräte ohne jede Konfiguration. Ein Managed Switch lässt sich verwalten: VLANs, Priorisierung (QoS), Port-Sicherheit, Link-Aggregation und Monitoring. In Unternehmensnetzen sind Managed Switches Standard, weil nur sie Segmentierung und Fehlersuche ermöglichen.

Ein PoE-Switch (Power over Ethernet) liefert über das Netzwerkkabel nicht nur Daten, sondern auch Strom. So werden Access Points, IP-Telefone und Kameras ohne eigene Steckdose betrieben. Wichtig ist das PoE-Budget des Switches, also wie viel Leistung insgesamt zur Verfügung steht.

Ein VLAN (Virtual Local Area Network) teilt ein physisches Netzwerk logisch in getrennte Netze auf. So laufen zum Beispiel Mitarbeitende, Gäste, Telefone, Drucker und Produktionsanlagen in eigenen Bereichen, obwohl sie dieselben Switches nutzen. Das erhöht Sicherheit und Übersicht.

VLANs begrenzen, wer mit wem im Netzwerk kommunizieren kann. Wird ein Gerät kompromittiert, kann sich der Angriff nicht ungehindert ausbreiten. Außerdem reduzieren VLANs unnötigen Datenverkehr und erleichtern die Fehlersuche. Für NIS2 und Cyberversicherungen ist Netzwerksegmentierung eine zentrale Maßnahme.

Ein VLAN trennt Netzwerke auf Ebene 2 (Switching), ein Subnetz auf Ebene 3 (IP-Adressen). In der Praxis gehören beide zusammen: Jedes VLAN bekommt ein eigenes Subnetz, und der Verkehr zwischen ihnen läuft über eine Firewall oder einen Layer-3-Switch mit Regeln.

Ein VLAN allein ist keine vollständige Sicherheitsmaßnahme, aber eine wichtige Grundlage. Sicher wird die Trennung erst, wenn der Verkehr zwischen VLANs über eine Firewall mit klaren Regeln läuft und Switches gegen Angriffe wie VLAN-Hopping gehärtet sind.

Netzwerksegmentierung bedeutet, ein Netzwerk in getrennte Zonen aufzuteilen – etwa Verwaltung, Produktion, Server, Gäste und IoT. Zwischen den Zonen ist nur der Verkehr erlaubt, der wirklich nötig ist. So bleibt ein Angriff auf einen Bereich begrenzt und kritische Systeme sind geschützt.

SD-WAN (Software-Defined Wide Area Network) verbindet mehrere Standorte über beliebige Internetleitungen und steuert den Verkehr zentral per Software. Anwendungen werden automatisch über die beste verfügbare Leitung geleitet, Ausfälle einer Leitung werden überbrückt und alle Standorte zentral verwaltet.

MPLS ist eine feste, vom Provider betriebene Standortvernetzung mit garantierter Qualität, aber hohen Kosten und langen Bereitstellungszeiten. SD-WAN nutzt günstigere Internetleitungen, kombiniert mehrere davon und steuert den Verkehr intelligent. Viele Unternehmen ersetzen MPLS heute durch SD-WAN oder kombinieren beides.

Ein klassisches VPN baut einen verschlüsselten Tunnel zwischen zwei Punkten auf. SD-WAN nutzt ebenfalls verschlüsselte Tunnel, ergänzt sie aber um zentrale Verwaltung, Leitungsbündelung, automatische Umschaltung und anwendungsbasierte Priorisierung. Für viele Standorte ist SD-WAN deutlich einfacher zu betreiben.

Eine Netzwerkanalyse untersucht Aufbau, Leistung und Sicherheit eines Unternehmensnetzes: verwendete Komponenten, Auslastung, Engpässe, Fehlkonfigurationen, veraltete Firmware und Sicherheitslücken. Ergebnis ist eine Dokumentation mit konkreten Handlungsempfehlungen.

Netzwerk-Monitoring überwacht Switches, Access Points, Firewalls und Leitungen rund um die Uhr. Auffälligkeiten wie hohe Auslastung, Fehler oder Ausfälle werden automatisch gemeldet – oft bevor Anwender etwas bemerken. Moderne Plattformen nutzen dafür auch KI zur Ursachenanalyse.

Juniper Mist ist eine Cloud-Plattform für WLAN, LAN und WAN, die künstliche Intelligenz zur Überwachung und Fehleranalyse nutzt. Sie erkennt Probleme beim Nutzererlebnis, ermittelt die Ursache – etwa DHCP, DNS, Kabel oder Access Point – und schlägt Lösungen vor. Juniper gehört seit 2025 zu HPE.

Marvis ist der KI-Assistent von Juniper Mist. Administratoren können Fragen in natürlicher Sprache stellen, etwa warum ein bestimmter Nutzer schlechtes WLAN hatte. Mit Marvis Actions schlägt das System proaktiv konkrete Maßnahmen vor, zum Beispiel bei fehlerhaften Kabeln oder falsch konfigurierten VLANs.

KI im Netzwerk erkennt Störungen, bevor Nutzer sie melden, benennt die Ursache und verkürzt die Fehlersuche deutlich. Statt Logdateien manuell zu durchsuchen, sieht der Administrator direkt, welches Gerät oder welche Konfiguration ein Problem verursacht.

Aruba Central ist die Cloud-Management-Plattform von HPE Aruba Networking. Damit werden Access Points, Switches und Gateways zentral konfiguriert, überwacht und analysiert – auch über viele Standorte hinweg.

Beide gehören heute zu HPE und zählen zu den führenden Plattformen für Unternehmensnetze. Juniper Mist ist besonders stark bei KI-gestützter Fehleranalyse, Aruba bei großen Campus-Umgebungen und Netzwerkzugangskontrolle. Welche Lösung passt, hängt von Bestand, Größe und Anforderungen ab.

Ja. HPE hat die Übernahme von Juniper Networks im Juli 2025 abgeschlossen. Juniper Mist und HPE Aruba Networking gehören seitdem zum selben Konzern und werden als Netzwerkportfolio von HPE weiterentwickelt.

NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit. Sie verpflichtet deutlich mehr Unternehmen als bisher, Risiken zu managen, Sicherheitsmaßnahmen umzusetzen, Vorfälle zu melden und die Geschäftsleitung in die Verantwortung zu nehmen. In Deutschland wird sie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt.

Ja. Das NIS2-Umsetzungsgesetz wurde am 13. November 2025 vom Bundestag beschlossen, am 5. Dezember 2025 verkündet und ist am 6. Dezember 2025 in Kraft getreten. Seitdem gelten die Pflichten für betroffene Unternehmen ohne weitere Übergangsfrist.

Betroffen sind Unternehmen in rund 18 Sektoren – etwa Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Produktion bestimmter Güter, Lebensmittel, Abfall, Chemie und Post – wenn sie mindestens 50 Beschäftigte haben oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme erreichen. Einige Einrichtungen sind unabhängig von der Größe erfasst.

• Besonders wichtige Einrichtungen: in der Regel ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme
• Wichtige Einrichtungen: in der Regel ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme

Das BSI bietet eine Betroffenheitsprüfung online an. Auch nicht direkt betroffene Zulieferer müssen oft Nachweise gegenüber ihren Kunden erbringen.

Prüfen Sie drei Punkte: Gehört Ihre Tätigkeit zu einem der NIS2-Sektoren? Erreichen Sie die Größenschwellen (50 Beschäftigte oder 10 Mio. € Umsatz und Bilanzsumme)? Gibt es Sonderregeln für Ihre Einrichtung? Das BSI stellt dafür eine Betroffenheitsprüfung bereit. Bei Grenzfällen lohnt eine fachliche Bewertung.

NIS2 verlangt ein Risikomanagement mit konkreten Maßnahmen, unter anderem: Sicherheitskonzepte, Umgang mit Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit in der Lieferkette, sichere Beschaffung und Entwicklung, MFA, Verschlüsselung, Zugriffskontrolle, Schulungen sowie die Wirksamkeitsprüfung der Maßnahmen.

Hinzu kommen die Registrierung beim BSI, Meldepflichten bei erheblichen Sicherheitsvorfällen und die Pflicht der Geschäftsleitung, die Maßnahmen zu billigen, zu überwachen und sich schulen zu lassen.

Betroffene Unternehmen mussten sich innerhalb von drei Monaten nach Inkrafttreten registrieren, also bis 6. März 2026. Wer die Frist verpasst hat, sollte die Registrierung über das BSI-Portal umgehend nachholen.

Erhebliche Sicherheitsvorfälle müssen gestuft an das BSI gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Dafür braucht es vorab definierte Prozesse und Zuständigkeiten.

Ja. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten, kann sie gegenüber dem Unternehmen haften. Zusätzlich müssen Geschäftsleiter regelmäßig an Schulungen zur Cybersicherheit teilnehmen.

Bei besonders wichtigen Einrichtungen sind Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes möglich, bei wichtigen Einrichtungen bis 7 Mio. € oder 1,4 % – je nachdem, welcher Betrag höher ist.

KRITIS betrifft Betreiber kritischer Anlagen ab bestimmten Schwellenwerten, etwa große Energieversorger. NIS2 erweitert den Kreis deutlich auf tausende mittelständische Unternehmen. KRITIS-Betreiber unterliegen weiterhin zusätzlichen, strengeren Anforderungen.

NIS2 ist eine gesetzliche Pflicht, ISO 27001 ein freiwilliger internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Ein ISO-27001-ISMS deckt einen großen Teil der NIS2-Anforderungen ab und erleichtert den Nachweis, ersetzt aber nicht die NIS2-spezifischen Pflichten wie Registrierung und Meldefristen.

DORA ist eine EU-Verordnung speziell für den Finanzsektor – Banken, Versicherungen, Zahlungsdienstleister und ihre IT-Dienstleister. Für diese Unternehmen hat DORA Vorrang vor NIS2. NIS2 gilt sektorübergreifend für viele andere Branchen.

Der IT-Grundschutz des BSI ist eine Methode mit konkreten Bausteinen und Anforderungen, um Informationssicherheit systematisch umzusetzen. Er ist vor allem im öffentlichen Sektor verbreitet und kann – ähnlich wie ISO 27001 – als Grundlage für NIS2-Maßnahmen dienen.

Für Bundesbehörden ist der IT-Grundschutz verbindlich, für viele Landes- und Kommunalverwaltungen über eigene Vorgaben weitgehend ebenfalls. Für Unternehmen ist er freiwillig, wird aber oft als Orientierung genutzt.

NIS2 schreibt regelmäßige Schulungen vor, nennt aber kein festes Intervall. In der Praxis haben sich jährliche Schulungen für alle Mitarbeitenden und zusätzliche Phishing-Simulationen bewährt. Für die Geschäftsleitung sind regelmäßige Schulungen ausdrücklich vorgeschrieben.

Eine Firewall kontrolliert den Datenverkehr zwischen Internet und Firmennetz sowie zwischen internen Netzbereichen. Sie lässt nur erlaubte Verbindungen zu, blockiert Angriffe und – als Next-Generation-Firewall – erkennt sie Schadsoftware, filtert Webseiten und kontrolliert Anwendungen.

Eine Next-Generation-Firewall (NGFW) prüft nicht nur Ports und IP-Adressen, sondern erkennt Anwendungen und Nutzer, untersucht verschlüsselten Verkehr, blockiert Angriffe per Intrusion Prevention (IPS) und analysiert verdächtige Dateien. Damit schützt sie deutlich besser als eine klassische Port-Firewall.

Eine klassische Firewall entscheidet anhand von IP-Adressen, Ports und Protokollen. Eine Next-Generation-Firewall versteht zusätzlich Anwendungen, Nutzer und Inhalte, erkennt Angriffsmuster und Malware und kann verschlüsselten Verkehr prüfen. Für Unternehmen ist eine NGFW heute Standard.

UTM (Unified Threat Management) bündelt Firewall, Virenschutz, Webfilter und VPN in einem Gerät, meist für kleinere Unternehmen. Eine Next-Generation-Firewall setzt den Schwerpunkt auf Anwendungs- und Nutzererkennung bei hoher Leistung. Moderne Geräte vereinen heute beide Ansätze.

Unternehmen brauchen beides: Eine Hardware-Firewall schützt das gesamte Netzwerk am Übergang zum Internet und zwischen Netzbereichen. Die Software-Firewall auf Laptops und Servern schützt das einzelne Gerät – besonders wichtig, wenn Mitarbeitende unterwegs oder im Homeoffice arbeiten.

Ein Internet-Router hat meist eine einfache Firewall-Funktion, die eingehende Verbindungen blockiert. Für Unternehmen reicht das nicht: Es fehlen Angriffserkennung, Webfilter, Segmentierung interner Netze, sichere VPN-Zugänge, Protokollierung und zentrale Verwaltung.

Ein Gesetz mit dem Wortlaut „Firewall-Pflicht“ gibt es nicht. Die DSGVO verlangt aber angemessene technische Schutzmaßnahmen, NIS2 fordert Netzwerksicherheit, und Cyberversicherungen setzen eine aktuelle Firewall meist voraus. Ohne Firewall sind diese Anforderungen praktisch nicht erfüllbar.

Ja. Die IT-Sicherheitsrichtlinie der KBV verlangt von Praxen Schutzmaßnahmen für Netzwerk und Internetzugang, und Patientendaten unterliegen besonders strengen Datenschutzanforderungen. Eine professionelle Firewall mit Segmentierung von Praxis-, Medizingeräte- und Gästenetz gehört dazu.

Für kleine Unternehmen eignen sich Business-Firewalls etablierter Hersteller wie Fortinet, WatchGuard oder Check Point mit aktiven Sicherheitslizenzen, Cloud-Verwaltung und VPN. Wichtiger als die Marke sind richtige Dimensionierung, saubere Regeln, regelmäßige Updates und Monitoring.

Die Firewall gehört direkt hinter den Internetanschluss – idealerweise ersetzt sie den Router oder der Provider-Router arbeitet nur noch als Modem (Bridge-Modus). So kontrolliert die Firewall den gesamten Verkehr, ohne dass ein zweites Gerät dazwischen eigene Regeln anwendet.

Die Firewall kontrolliert, welche Verbindungen ins und aus dem Netzwerk erlaubt sind. Der Virenschutz bzw. Endpoint-Schutz erkennt Schadsoftware auf dem einzelnen Gerät. Beide ergänzen sich und ersetzen sich nicht gegenseitig.

Eine Firewall sollte ersetzt werden, wenn der Hersteller keine Sicherheitsupdates mehr liefert (End of Support), die Leistung bei aktivierten Schutzfunktionen nicht mehr reicht oder neue Anforderungen wie Zero Trust, SASE oder höhere Bandbreiten anstehen. Typisch ist ein Lebenszyklus von 5 bis 7 Jahren.

Beide sind etablierte Hersteller von Business-Firewalls. Fortinet bietet ein sehr breites Portfolio mit eigener Security-Fabric und hoher Leistung, WatchGuard punktet mit einfacher Verwaltung und starken Angeboten für kleinere Unternehmen. Die richtige Wahl hängt von Größe, Bestand und Anforderungen ab.

Zero Trust ist ein Sicherheitsprinzip nach dem Motto „Vertraue niemandem, prüfe jeden Zugriff“. Kein Nutzer und kein Gerät gilt automatisch als vertrauenswürdig, auch nicht im eigenen Netzwerk. Jeder Zugriff wird anhand von Identität, Gerätezustand und Kontext geprüft und auf das Nötigste beschränkt.

Zero Trust erfordert eine saubere Bestandsaufnahme von Nutzern, Geräten und Anwendungen sowie eine schrittweise Einführung. Anfangs steigen Planungs- und Verwaltungsaufwand. Richtig umgesetzt reduziert Zero Trust aber das Risiko erheblich und vereinfacht später den sicheren Fernzugriff.

SASE (Secure Access Service Edge) verbindet Netzwerk und Sicherheit in einem Cloud-Dienst. Nutzer und Standorte verbinden sich nicht mehr über die zentrale Firewall, sondern über den nächstgelegenen Cloud-Knoten, der Zugriffe prüft, Webverkehr filtert und Anwendungen absichert – egal, wo gearbeitet wird.

SSE (Security Service Edge) umfasst die Sicherheitsfunktionen von SASE: sicherer Webzugang, Cloud-App-Kontrolle und Zero Trust Network Access. SASE ergänzt diese um die Netzwerkkomponente SD-WAN. Viele Unternehmen starten mit SSE und erweitern später zu SASE.

ZTNA (Zero Trust Network Access) gewährt Nutzern Zugriff nur auf einzelne freigegebene Anwendungen statt auf das ganze Netzwerk wie bei einem klassischen VPN. Damit sinkt das Risiko, dass sich Angreifer nach einem gestohlenen Zugang ausbreiten. ZTNA ersetzt VPN zunehmend für den Fernzugriff.

Ein aktuelles, gepatchtes VPN mit MFA ist weiterhin eine solide Lösung. Risiken entstehen vor allem durch veraltete VPN-Gateways ohne Updates und fehlende Mehrfaktor-Anmeldung. Für mehr Sicherheit wird VPN zunehmend durch ZTNA ergänzt oder ersetzt.

Ransomware ist Schadsoftware, die Daten und Systeme verschlüsselt und für die Freigabe ein Lösegeld fordert. Moderne Angriffe stehlen vorher zusätzlich Daten und drohen mit Veröffentlichung. Für Unternehmen bedeutet ein Angriff oft tagelangen Stillstand.

Die häufigsten Einfallstore sind Phishing-E-Mails mit schädlichen Anhängen oder Links, gestohlene Zugangsdaten ohne MFA, ungepatchte VPN-Gateways und Firewalls sowie offen erreichbare Fernwartungszugänge. Angreifer bleiben oft wochenlang unbemerkt, bevor sie verschlüsseln.

Die wirksamsten Maßnahmen sind: MFA für alle Zugänge, konsequente Updates, Netzwerksegmentierung, moderner Endpoint-Schutz (EDR), eingeschränkte Administratorrechte, sensibilisierte Mitarbeitende und vor allem ein unveränderbares, ausgelagertes Backup mit getesteter Wiederherstellung.

Betroffene Systeme sofort vom Netzwerk trennen, aber nicht ausschalten, Geschäftsleitung und IT-Dienstleister informieren, Beweise sichern, Meldepflichten prüfen (Datenschutz 72 Stunden, NIS2 24 Stunden) und kein Lösegeld vorschnell zahlen. Die Wiederherstellung erfolgt aus geprüften, sauberen Backups.

In den meisten Fällen ja. Werden personenbezogene Daten verschlüsselt oder abgeflossen, liegt eine Datenschutzverletzung vor, die nach Art. 33 DSGVO innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden muss – sofern kein geringes Risiko für die Betroffenen besteht.

Typische Merkmale sind unerwartete Absender oder leicht abgewandelte Domains, Zeitdruck oder Drohungen, Aufforderungen zur Eingabe von Passwörtern, ungewöhnliche Anhänge und Links, deren Ziel nicht zum angezeigten Text passt. Im Zweifel den Absender über einen bekannten Kanal kontaktieren.

Phishing richtet sich breit an viele Empfänger mit allgemeinen Nachrichten. Spear-Phishing zielt auf bestimmte Personen oder Unternehmen und nutzt echte Namen, Projekte oder Rechnungen. Dadurch ist es deutlich schwerer zu erkennen – etwa als gefälschte Zahlungsanweisung der Geschäftsführung.

Bei einer Phishing-Simulation erhalten Mitarbeitende realistische, aber harmlose Test-Mails. So wird messbar, wie viele auf Links klicken, und gezielte Schulungen setzen dort an. Regelmäßige Simulationen senken die Klickrate nachweislich und helfen bei NIS2-Schulungsnachweisen.

MFA (Multi-Faktor-Authentifizierung) bedeutet, dass bei der Anmeldung neben dem Passwort ein zweiter Nachweis nötig ist – etwa eine App-Bestätigung, ein Hardware-Schlüssel oder ein Code. Selbst wenn ein Passwort gestohlen wird, kann sich ein Angreifer damit allein nicht anmelden.

Phishing-resistente MFA nutzt Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys, die an die echte Webseite gebunden sind. Anders als bei SMS-Codes oder einfachen App-Bestätigungen kann ein Angreifer den Login nicht über eine gefälschte Seite abfangen.

Microsoft erzwingt MFA inzwischen schrittweise für den Zugriff auf Admin-Portale wie das Microsoft 365 Admin Center, Entra und Azure. Für normale Nutzerkonten ist MFA technisch nicht überall erzwungen, wird aber dringend empfohlen und ist für NIS2 und Cyberversicherungen praktisch Voraussetzung.

Eine Cyberversicherung übernimmt Kosten nach einem Cyberangriff – etwa für IT-Forensik, Wiederherstellung, Betriebsunterbrechung, Krisenkommunikation und Ansprüche Dritter. Viele Policen bieten zusätzlich eine 24/7-Notfallhotline mit Experten.

Für die meisten Unternehmen ja, weil ein Angriff schnell sechsstellige Kosten verursachen kann. Eine Versicherung ersetzt aber keine Schutzmaßnahmen: Versicherer prüfen vor Abschluss den Sicherheitsstand und können bei fehlenden Maßnahmen Leistungen kürzen.

Typische Voraussetzungen sind MFA für E-Mail und Fernzugriff, regelmäßige Updates, aktueller Virenschutz bzw. EDR, eine Firewall, eingeschränkte Administratorrechte und ein vom Netzwerk getrenntes oder unveränderbares Backup. Die genauen Anforderungen unterscheiden sich je nach Versicherer.

Ein Schwachstellenscan sucht automatisiert nach bekannten Lücken wie fehlenden Updates. Ein Penetrationstest geht weiter: Fachleute versuchen gezielt und manuell, in Systeme einzudringen, und zeigen, wie weit ein echter Angreifer käme. Beides ergänzt sich.

Die 3-2-1-Regel besagt: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des Standorts. Die erweiterte 3-2-1-1-0-Regel ergänzt eine unveränderbare oder offline gelagerte Kopie und null Fehler bei regelmäßigen Wiederherstellungstests.

Ein Immutable Backup ist eine unveränderbare Datensicherung: Für einen festgelegten Zeitraum kann sie weder geändert noch gelöscht werden – auch nicht mit Administratorrechten. Damit bleibt das Backup selbst dann nutzbar, wenn Ransomware das Netzwerk vollständig übernommen hat.

Ein Air Gap trennt das Backup physisch vom Netzwerk, etwa durch ausgelagerte Bänder oder Festplatten. Immutable Storage bleibt online, ist aber technisch gegen Veränderung gesperrt. Air Gap bietet maximale Trennung, Immutable Storage schnellere Wiederherstellung – ideal ist eine Kombination.

Ein Snapshot ist ein Momentzustand eines Systems auf demselben Speicher und eignet sich für schnelle Rücksprünge, etwa vor Updates. Er ist kein Backup: Fällt der Speicher aus oder wird er verschlüsselt, ist auch der Snapshot verloren. Ein Backup liegt getrennt auf einem anderen System.

Nein. RAID schützt vor dem Ausfall einzelner Festplatten, indem Daten auf mehrere Platten verteilt werden. Gelöschte, verschlüsselte oder beschädigte Daten werden aber sofort auf alle Platten übernommen. RAID erhöht die Verfügbarkeit, ersetzt aber kein Backup.

Ein Backup dient der Wiederherstellung nach Datenverlust und wird regelmäßig überschrieben. Eine Archivierung bewahrt Daten langfristig, unveränderbar und revisionssicher auf – etwa E-Mails und Belege nach den Vorgaben der GoBD. Unternehmen brauchen in der Regel beides.

Ein inkrementelles Backup sichert nur die Änderungen seit der letzten Sicherung – schnell und platzsparend. Ein differenzielles Backup sichert alle Änderungen seit der letzten Vollsicherung – größer, aber schneller wiederherzustellen. Moderne Backup-Software kombiniert die Verfahren automatisch.

Ein NAS ist ein gutes Backup-Ziel, allein aber nicht ausreichend. Steht es im selben Netzwerk und ist mit denselben Zugangsdaten erreichbar, kann Ransomware es mitverschlüsseln. Es braucht zusätzlich eine unveränderbare und eine ausgelagerte Kopie.

Die DSGVO nennt kein Backup ausdrücklich, verlangt in Art. 32 aber die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Zwischenfall rasch wiederherzustellen. Ohne funktionierende Datensicherung ist das praktisch nicht erfüllbar. Auch GoBD und NIS2 setzen Backups voraus.

Ein Backup stellt einzelne Daten oder Systeme wieder her. Disaster Recovery ist der Plan und die Technik, um nach einem Großschaden – etwa Brand oder Ransomware – den gesamten IT-Betrieb in festgelegter Zeit wieder aufzunehmen, inklusive Prioritäten, Ersatzsystemen und Verantwortlichkeiten.

Disaster Recovery konzentriert sich auf die Wiederherstellung der IT. Business Continuity betrachtet das gesamte Unternehmen: Wie arbeiten Produktion, Vertrieb und Verwaltung weiter, während die IT ausfällt? Disaster Recovery ist ein Teil des Business-Continuity-Managements.

Ein IT-Notfallplan enthält Ansprechpartner und Erreichbarkeiten, eine Liste kritischer Systeme mit Wiederanlauf-Reihenfolge, Anleitungen für Wiederherstellung und Notbetrieb, Meldewege für Behörden und Versicherung sowie Vorlagen für die Kommunikation. Er muss auch offline verfügbar sein und regelmäßig geübt werden.

Kritische Systeme sollten mindestens vierteljährlich testweise wiederhergestellt werden, zusätzlich empfiehlt sich eine vollständige Notfallübung pro Jahr. Ein Backup, dessen Wiederherstellung nie getestet wurde, ist nur eine Annahme.

Veeam ist einer der führenden Hersteller von Backup- und Wiederherstellungssoftware für Unternehmen. Veeam Backup & Replication sichert virtuelle Maschinen, physische Server, Cloud-Workloads und mit einem eigenen Produkt auch Microsoft 365.

Veeam bietet eine kostenlose Community Edition für bis zu 10 Workloads an, die sich für kleine Umgebungen und Tests eignet. Für Unternehmen mit mehr Systemen, Support und erweiterten Funktionen ist eine kostenpflichtige Lizenz erforderlich, die meist pro Workload abgerechnet wird.

Ja. Veeam Backup & Replication unterstützt Proxmox VE seit Version 12.2 nativ. Damit lassen sich auch Umgebungen nach einem Wechsel von VMware zu Proxmox mit der gewohnten Backup-Lösung sichern.

Ja. Microsoft garantiert die Verfügbarkeit der Plattform, nicht die langfristige Wiederherstellbarkeit Ihrer Daten. Gelöschte oder verschlüsselte Inhalte sind nur für begrenzte Zeit wiederherstellbar. Ein separates Backup für Exchange Online, OneDrive, SharePoint und Teams schließt diese Lücke.

Microsoft 365 Business ist das Lizenzpaket von Microsoft für Unternehmen bis 300 Nutzer. Es umfasst je nach Plan E-Mail mit Exchange Online, OneDrive, SharePoint, Office-Apps und Sicherheitsfunktionen. Es gibt die Varianten Business Basic, Business Standard und Business Premium.

Business Basic enthält E-Mail, OneDrive, SharePoint und die Office-Web-Apps. Business Standard ergänzt die installierbaren Desktop-Apps wie Word, Excel und Outlook. Business Premium enthält zusätzlich Sicherheits- und Verwaltungsfunktionen wie Intune, Entra ID P1 und Defender for Business.

Für Unternehmen mit sensiblen Daten oder NIS2-Anforderungen ist Business Premium meist die sinnvollste Wahl, weil Geräteverwaltung, bedingter Zugriff und erweiterter Schutz bereits enthalten sind. In der EU werden die Pläne teils mit und ohne Teams angeboten.

Die Business-Pläne sind auf maximal 300 Nutzer begrenzt und für kleine und mittlere Unternehmen gedacht. Enterprise-Pläne wie E3 und E5 haben keine Nutzergrenze und bieten erweiterte Funktionen für Compliance, Sicherheit und Analyse.

Microsoft 365 ist im deutschen Mittelstand verbreiteter, bietet die vollständigen Office-Desktop-Apps und eine tiefe Integration mit Windows, Intune und Sicherheitsfunktionen. Google Workspace ist stark bei browserbasierter Zusammenarbeit. Entscheidend sind vorhandene Anwendungen, Arbeitsweise und Verwaltungsanforderungen.

Microsoft 365 lässt sich in vielen Unternehmen datenschutzkonform nutzen, wenn der aktuelle Auftragsverarbeitungsvertrag gilt, die EU Data Boundary genutzt wird und Telemetrie, Freigaben und Zugriffe sauber konfiguriert sind. Datenschutzbehörden haben die Nutzung in der Vergangenheit kritisch bewertet; die rechtliche Einschätzung trifft Ihr Datenschutzbeauftragter.

Für die meisten kleinen und mittleren Unternehmen ist Exchange Online die bessere Wahl: keine eigene Server-Hardware, automatische Updates und integrierte Sicherheitsfunktionen. Exchange Server 2016 und 2019 haben im Oktober 2025 das Supportende erreicht; ein lokaler Betrieb erfordert heute die Subscription Edition und laufende Pflege.

OneDrive ist der persönliche Cloud-Speicher eines Nutzers. SharePoint ist die Ablage für Teams und Abteilungen mit gemeinsamen Dokumenten und Berechtigungen. Teams ist die Oberfläche für Chat, Besprechungen und Zusammenarbeit – die Dateien eines Teams liegen technisch in SharePoint.

In vielen Unternehmen ja. SharePoint bietet Versionierung, Zugriff von überall, Freigaben und Integration in Teams. Voraussetzung ist eine durchdachte Struktur und Berechtigungsplanung. Für sehr große Dateien, spezielle Fachanwendungen oder CAD-Daten bleibt ein lokaler Speicher oft sinnvoll.

Teams kann datenschutzkonform eingesetzt werden, wenn Microsoft 365 mit aktuellem Auftragsverarbeitungsvertrag und EU-Datenspeicherung genutzt wird und Funktionen wie Aufzeichnung, Transkription und externe Zugriffe bewusst konfiguriert sind. Mitarbeitende sollten über Aufzeichnungen informiert werden.

Microsoft Intune ist die Cloud-Lösung von Microsoft zur Verwaltung von Laptops, Smartphones und Tablets. Damit werden Geräte automatisch eingerichtet, Updates und Sicherheitsrichtlinien verteilt, Apps installiert und verlorene Geräte gesperrt oder gelöscht.

Intune ist in Microsoft 365 Business Premium sowie in den Enterprise-Plänen E3 und E5 bereits enthalten. Einzeln wird es pro Nutzer und Monat lizenziert. Für die meisten kleinen und mittleren Unternehmen ist Business Premium daher wirtschaftlicher als eine Einzellizenz.

Ja, für geschäftliche E-Mails mit handels- oder steuerrechtlicher Bedeutung, etwa Angebote, Aufträge und Rechnungen. Nach HGB, AO und GoBD müssen sie vollständig, unveränderbar und auffindbar aufbewahrt werden – Handels- und Geschäftsbriefe in der Regel 6 Jahre, Buchungsbelege 8 Jahre.

Ein normales Postfach oder Backup erfüllt diese Anforderungen meist nicht. Dafür braucht es eine revisionssichere Archivierungslösung.

Microsoft 365 Copilot ist ein KI-Assistent, der in Word, Excel, PowerPoint, Outlook und Teams integriert ist. Er greift mit den Berechtigungen des Nutzers auf Unternehmensdaten wie E-Mails, Dokumente und Besprechungen zu, fasst zusammen, erstellt Entwürfe und beantwortet Fragen zu Ihren Inhalten.

ChatGPT ist ein allgemeiner KI-Chatbot. Microsoft 365 Copilot arbeitet innerhalb Ihrer Microsoft-365-Umgebung, kennt Ihre Dokumente, Mails und Termine im Rahmen der Berechtigungen und unterliegt den Datenschutz- und Compliance-Regeln Ihres Tenants. Für Unternehmensdaten ist diese Integration der entscheidende Unterschied.

Microsoft 365 Copilot verarbeitet Daten innerhalb der Microsoft-365-Dienstgrenzen und der EU Data Boundary und nutzt Unternehmensdaten nicht zum Training der Modelle. Datenschutzkonform wird der Einsatz durch saubere Berechtigungen, Richtlinien, Information der Mitarbeitenden und eine Bewertung durch den Datenschutzbeauftragten.

Copilot lohnt sich vor allem für Mitarbeitende mit viel E-Mail-, Besprechungs- und Dokumentenarbeit. Voraussetzung ist eine aufgeräumte Microsoft-365-Umgebung mit passenden Berechtigungen, sonst findet Copilot Inhalte, die nicht jeder sehen sollte. Ein Pilot mit wenigen Nutzern zeigt den konkreten Nutzen.

Vor der Einführung sollten Berechtigungen und Freigaben in SharePoint, OneDrive und Teams geprüft werden, damit Copilot keine vertraulichen Inhalte an Unbefugte ausgibt. Dazu kommen Richtlinien zur Nutzung, Vertraulichkeitsbezeichnungen, Schulungen und die Abstimmung mit Datenschutz und Betriebsrat.

Bewährt hat sich ein schrittweises Vorgehen: konkrete Anwendungsfälle mit messbarem Nutzen auswählen, Datenschutz und Datensicherheit klären, Richtlinien festlegen, Mitarbeitende schulen, mit einem Pilotprojekt starten und erst danach ausrollen.

Ja. Nach Art. 4 der EU-KI-Verordnung (AI Act) müssen Unternehmen, die KI-Systeme einsetzen, seit dem 2. Februar 2025 sicherstellen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Eine konkrete Form ist nicht vorgeschrieben, Schulungen und Richtlinien sollten aber dokumentiert werden.

Ja, aber mit Regeln. Personenbezogene und vertrauliche Daten sollten nicht in private KI-Konten eingegeben werden. Für den geschäftlichen Einsatz eignen sich Business-Varianten mit Auftragsverarbeitungsvertrag und ohne Training auf Ihren Daten. Eine interne KI-Richtlinie legt fest, was erlaubt ist.

Bei der Servervirtualisierung laufen mehrere virtuelle Server (VMs) gleichzeitig auf einer physischen Hardware. Eine Software, der Hypervisor, teilt Prozessor, Arbeitsspeicher und Speicher auf. So wird Hardware besser ausgelastet, Server lassen sich schneller bereitstellen und einfacher sichern.

Vorteile sind bessere Auslastung der Hardware, weniger Stromverbrauch, schnelle Bereitstellung, einfache Backups und Hochverfügbarkeit durch Live-Migration. Nachteile: Fällt ein Host ohne Redundanz aus, sind mehrere Server betroffen, und Planung sowie Lizenzierung erfordern Know-how.

Seit der Übernahme durch Broadcom Ende 2023 gibt es keine unbefristeten VMware-Lizenzen mehr. Lizenziert wird im Abonnement pro CPU-Kern, das Portfolio wurde zu wenigen Paketen zusammengefasst. Für viele kleine und mittlere Unternehmen sind die Kosten deutlich gestiegen, weshalb Alternativen wie Proxmox geprüft werden.

VMware ist ausgereift, weit verbreitet und bietet ein großes Ökosystem, ist aber seit der Broadcom-Übernahme deutlich teurer. Proxmox VE ist Open Source, ohne Lizenzkosten nutzbar und bietet Cluster, Hochverfügbarkeit und integrierte Backups. Für viele mittelständische Umgebungen ist Proxmox heute eine wirtschaftliche Alternative.

Proxmox VE ist Open-Source-Software und kann kostenlos genutzt werden. Für Unternehmen empfiehlt sich eine kostenpflichtige Subscription pro CPU-Sockel. Sie bietet Zugriff auf das stabile Enterprise-Repository und je nach Stufe Hersteller-Support.

Ja. Proxmox VE bietet Cluster, Hochverfügbarkeit, Live-Migration, Software-defined Storage mit Ceph und mit dem Proxmox Backup Server eine eigene Backup-Lösung. Es wird von Unternehmen, Behörden und Rechenzentren produktiv eingesetzt. Wichtig sind eine saubere Planung und Betreuung.

Hyper-V ist der Hypervisor von Microsoft und in Windows Server enthalten; mit der Datacenter-Edition dürfen beliebig viele Windows-VMs betrieben werden. VMware vSphere ist ein eigenständiges Produkt mit größerem Funktionsumfang, aber eigener, seit 2024 deutlich teurerer Lizenzierung.

Der erweiterte Support für Windows Server 2016 endet am 12. Januar 2027. Danach liefert Microsoft keine Sicherheitsupdates mehr. Server mit diesem Betriebssystem sollten rechtzeitig auf eine aktuelle Version migriert werden.

Server werden in der Regel nach 5 bis 7 Jahren ersetzt – spätestens, wenn die Herstellergarantie endet, Betriebssystem oder Firmware keine Updates mehr erhalten oder die Leistung nicht mehr ausreicht. Ein geplanter Austausch ist deutlich günstiger als eine Notfallmigration nach einem Ausfall.

Das hängt von Anwendungen, Datenmengen und Anforderungen ab. Microsoft 365 und viele Fachanwendungen laufen heute sinnvoll in der Cloud. Lokale Server bleiben vorteilhaft für große Datenmengen, latenzkritische Anwendungen oder Produktionssysteme. Häufig ist eine hybride Lösung am wirtschaftlichsten.

Ein NAS ist ein Netzwerkspeicher, vor allem für Dateiablage und Backups. Ein Server führt zusätzlich Anwendungen, Datenbanken und Dienste wie Benutzerverwaltung aus. Moderne NAS-Systeme können einfache Serveraufgaben übernehmen, ersetzen aber keinen vollwertigen Server mit Redundanz.

Managed IT Services bedeutet, dass ein Dienstleister den laufenden Betrieb Ihrer IT dauerhaft übernimmt: Monitoring, Updates, Backup-Kontrolle, Sicherheitsmaßnahmen und Support – zu einer planbaren monatlichen Pauschale statt nach Aufwand.

IT-Outsourcing ist der Oberbegriff für die Auslagerung von IT-Aufgaben. Managed Services sind eine Form davon, bei der definierte Leistungen proaktiv und dauerhaft erbracht werden – mit festen Service-Levels, Monitoring und monatlicher Abrechnung statt reiner Hilfe bei Störungen.

Der Helpdesk ist die erste Anlaufstelle für Anfragen und Störungen von Mitarbeitenden. IT-Support ist umfassender und umfasst auch die Lösung komplexer Probleme, Wartung, Updates und Betreuung der Infrastruktur.

Das regelt das Service Level Agreement (SLA). Üblich sind gestaffelte Reaktionszeiten nach Priorität, etwa wenige Stunden bei kritischen Ausfällen und ein Werktag bei normalen Anfragen. Wichtig ist der Unterschied zwischen Reaktionszeit und Lösungszeit.

Als Faustregel wird häufig eine Vollzeit-IT-Fachkraft pro 50 bis 100 Arbeitsplätze genannt, je nach Komplexität und Automatisierung. Viele mittelständische Unternehmen kombinieren eine kleine interne IT mit einem externen Partner für Spezialthemen, Vertretung und Monitoring.

Ja. Viele Kunden haben eine eigene IT-Abteilung und nutzen uns für Spezialthemen wie WLAN-Planung, Firewall oder Backup, für Projekte, als Vertretung oder als zweite Ebene für Netzwerk und Security.

Patch-Management ist das geplante, kontrollierte Einspielen von Sicherheitsupdates für Betriebssysteme, Anwendungen, Firewalls, Switches und Access Points. Updates werden getestet, zeitlich gesteuert und dokumentiert. Ungepatchte Systeme sind eine der häufigsten Ursachen erfolgreicher Angriffe.

Arztpraxen müssen die IT-Sicherheitsrichtlinie der KBV umsetzen. Dazu gehören unter anderem aktuelle Systeme, Firewall und Virenschutz, sichere Konfiguration, verschlüsselte Verbindungen, getrennte Netze für Medizingeräte und Gäste, regelmäßige Backups und geschulte Mitarbeitende.

Gäste bewerten Hotels zunehmend nach der WLAN-Qualität, und auch Kassen, Türschlösser, Telefonie und Mitarbeitergeräte hängen am Netz. Ein professionelles Hotel-WLAN trennt Gäste- und Betriebsnetz, ist gleichmäßig in allen Zimmern verfügbar und lässt sich zentral überwachen.

Lagerhallen brauchen ein WLAN, das auf Metallregale, hohe Decken und wechselnde Bestände ausgelegt ist. Wichtig sind Access Points mit passenden Antennen, eine Planung auf Höhe der Scanner und Stapler sowie schnelles Roaming, damit Verbindungen beim Fahren nicht abbrechen.

Produktionsanlagen (OT) sollten in eigenen, streng getrennten Netzsegmenten laufen. Eine Firewall erlaubt nur notwendige Verbindungen zur Büro-IT, Fernwartungszugänge laufen über abgesicherte, protokollierte Wege, und veraltete Steuerungen werden besonders abgeschirmt.

Filialen werden heute meist per SD-WAN oder SASE über normale Internetleitungen vernetzt und zentral verwaltet. Jede Filiale erhält eine einheitliche Firewall- und WLAN-Konfiguration, Kassensysteme laufen in eigenen Netzsegmenten und Ausfälle einer Leitung werden automatisch überbrückt.

Schulen brauchen ein WLAN mit hoher Kapazität für viele gleichzeitige Geräte, getrennte Netze für Lehrkräfte, Schüler und Verwaltung, Jugendschutzfilter, zentral verwaltete Endgeräte und eine Betreuung, die Lehrkräfte von Technikaufgaben entlastet.