Wenn es kaputtgeht, wer trägt es dann wirklich?

In Teil eins ging es darum, wie die Auswahlliste geschrieben wird. In Teil zwei darum, was daraufhin gebaut wurde. In diesem Teil geht es um den Morgen, an dem es aufhört zu funktionieren, und um alles, was daraus folgt.

Wer vertraglich haftet, und für wie viel. Was im Raum gesagt wird, wenn die Antwort niemand lautet. Was ein Dienstleister, den man behalten sollte, stattdessen tut. Und was es braucht, einen zu verlassen, der es nicht ist, was sich als der Teil herausstellt, den niemand plant, bis er ihn in dieser Woche braucht.

Was hat der Aufpreis eigentlich gekauft

Die Belege stehen in Teil zwei und ich führe dich da nicht noch einmal durch. Nimm als gegeben, dass die teure Option keine Kompetenz gekauft hat, die Grundlagen nicht fertiggestellt hat und dir keine Kiste verschafft hat, in die einzubrechen irgendwie schwerer wäre.

Woran hängt also das Geld?

Nicht am Silizium, das jedes Jahr billiger wird. Nicht an den Adressen. Nicht an den Ingenieursstunden, in einer Branche, die ihre Weiterbildungsausgaben in zwei Jahren um fast ein Drittel gekürzt hat. Der Aufpreis hängt am Channel — an einem Hersteller, der groß genug ist, Stufen, Rabatte, Deal Registration und ein Distributorennetz zu betreiben, was eine Schlange von Leuten heißt, die alle bezahlt werden, bevor irgendetwas gebaut wird, und jeder von ihnen auf deiner Rechnung.

Das ist die Hälfte des Verkäufers, und für sich erklärt sie nicht viel. Reichlich Käufer sind vollkommen fähig und unterschreiben trotzdem. Hier ist also die andere Hälfte, und sie ist die unbequemere.

Der Aufpreis kauft Deckung. Nicht für die Firma. Für die Person, die unterschreibt.

Das bekannte Logo einzusetzen ist auf eine Art vertretbar, wie das offene zu wählen es nie ist. Wenn die marktführende Firewall kompromittiert wird, wurden es alle anderen auch, und du hattest Pech. Wenn das Ding kompromittiert wird, das du selbst zusammengebaut hast, hast du es gewählt, und man wird dich fragen warum. Das Ergebnis für das Unternehmen ist dasselbe. Die Folge für die Einzelperson nicht, und jeder Einkäufer oberhalb einer bestimmten Ebene versteht das, ohne dass es jemand laut sagen müsste.

Als solches schließt sich der Ring. Der Verkäufer wird mehr dafür bezahlt, die teure Option zu empfehlen. Der Käufer ist persönlich sicherer, wenn er sie annimmt. Keiner von beiden handelt zu irgendeinem Zeitpunkt gegen seine eigenen Interessen — und die einzige Partei, die die Kosten dieses Arrangements trägt, ist das Unternehmen, für das beide arbeiten.

Das ist die Antwort auf die Frage, mit der diese Reihe anfing, und sie ist schlimmer als Lügen. Ein Lügner weiß, was die Wahrheit ist. Dieses Arrangement braucht niemanden, der es weiß. Es braucht nur, dass die Auswahlliste immer wieder gleich herauskommt, und das tut sie.

Die Berichte, die du nie bekommst

Jeder wiederkehrende Posten auf der Rechnung eines Managed Service sollte ein Dokument hervorbringen. Die meisten bringen nichts hervor, und fast niemand fragt.

Nimm das Patchen der Infrastruktur, den Posten über dem für die Arbeitsplätze. Der ehrliche Weg, eine Flotte zu aktualisieren, ist ein Playbook — Ansible oder was auch immer — an einem Ort, den du sehen kannst, nach Zeitplan ausgeführt, mit hinterlassener Ausgabe. Verlang also, das Playbook zu sehen, und verlang, das Ausführungsprotokoll zu sehen. Bei sehr vielen Verträgen gibt es weder noch. Die Updates sind manuell, wenn sie stattfinden, sie finden statt, wenn sich jemand erinnert, und der Posten wird so oder so jeden Monat berechnet. Was dir als Automatisierung verkauft wurde, ist eine Notiz im Kalender.

Dann die Backups. Das ist das Schlimmste davon, denn es ist der Posten, an den Leute am meisten glauben.

Du bekommst einen Backup-Bericht. Grüne Haken, abgeschlossene Jobs, geschriebene Bytes, alles wöchentlich eingehend und nichts davon gelesen. Dieser Bericht ist nicht der, auf den es ankommt. Ein Backup, das nie jemand zurückgespielt hat, ist kein Backup. Es ist eine Hypothese über ein Backup.

Das Dokument, das du willst, ist ein Rücksicherungstest. Was wurde zurückgespielt, auf welche Hardware, wie lange hat es von Anfang bis Ende gedauert, und wer hat die Daten danach geöffnet und bestätigt, dass es die Daten waren. Verlang den jüngsten.

Dann frag dasselbe noch einmal für die Offline-Kopie, denn das ist eine eigene Behauptung und sie braucht einen eigenen Beleg. Alle sagen, sie hätten eine. Verlang, sie zu sehen — das Medium, wo es liegt, das letzte Schreibdatum, wer die Zugangsdaten hat — und frag, wann zuletzt aus dieser Kopie zurückgespielt wurde statt aus dem laufenden Backup-System. Das sind verschiedene Medien in verschiedenen Formaten, und das eine zu testen beweist überhaupt nichts über das andere. Die Offline-Kopie ist die, die eine schlechte Woche überlebt, und sie ist die, aus der am wenigsten wahrscheinlich je zurückgelesen wurde. Frag, wie oft das gemacht wird, und gegen welche Systeme, und ob jemand von deiner Seite je das Ergebnis gesehen hat. Bei vielen Verträgen ist es nie gemacht worden, denn es kostet einen Tag von jemandes Zeit und niemand rechnet den ab.

Es gibt zu all dem eine vorgelagerte Frage, und sie entscheidet, ob irgendetwas vom Rest etwas bedeutet. Kommen diese Berichte zu dir, oder nur zu ihnen?

Meistens erzeugen die Werkzeuge sie, sie landen im Posteingang des Dienstleisters, jemand liest sie, wenn Zeit ist, und dir wird Bescheid gesagt, wenn es ein Problem gibt. Das ist keine Rechenschaft. Es ist Selbstbewertung mit einer Rechnung daran, und es verlangt, dass du ihnen genau bei dem glaubst, wofür du sie bezahlst.

Verlang also, dass die Berichte auch zu dir kommen. Direkt aus dem System, nach Zeitplan, in welcher Form das Werkzeug sie ausspuckt — keine Folie, zusammengestellt von der Person, die gemessen wird, und kein grünes Dashboard, für die Monatsbesprechung kuratiert. Backup-Erfolge und, wichtiger, -Fehlschläge. Der Patch-Lauf und was er ausgelassen hat. Alarmmengen und Reaktionszeiten gegen das Ziel. Der Rücksicherungstest, wenn er stattfindet, und die Ausnahmeliste, wie sie steht.

Du musst nicht jeden lesen. Du musst es können, und sie müssen wissen, dass du es kannst. Das ist der ganze Mechanismus, und es ist der Unterschied zwischen jemandem vertrauen und in der Lage sein, nachzuprüfen.

Und wenn sich das als schwierig herausstellt, frag warum. Jeder Bericht auf dieser Liste existiert schon und wird schon irgendwohin geschickt. Einen zweiten Empfänger hinzuzufügen ist eine Zeile in einer Verteilerliste, kein Projekt. Zögern ist hier kein technisches Problem, und es ist mehr wert als die Antwort es gewesen wäre.

Es gibt eine größere Fassung derselben Frage, und sie entscheidet, ob du je irgendetwas selbst nachprüfen kannst. Wo lebt die Dokumentation?

Frag, ob sie deinen Bestand in deinen Systemen erfassen — deinem IPAM, deiner Inventardatenbank, deinem Wiki — oder in ihren. Die meisten sagen ihren, und es wird als Effizienz dargestellt. Ihre Werkzeuge, ihre Vorlagen, ihr Prozess, nichts für dich zu betreiben.

Schau, was dieses Arrangement bewirkt. Der Adressierungsplan, das Netzdiagramm, das Inventar, die Runbooks und die Lizenzschlüssel sind alles Aufzeichnungen über dein Unternehmen, mit deinem Geld erstellt, über Geräte, die dir gehören. Gehalten an einem Ort, an dem du sie nicht sehen kannst. Du kannst nicht auditieren, was du nicht lesen kannst, du hast also keine Möglichkeit zu wissen, ob die Dokumentation zum Bestand passt — und Dokumentation driftet ständig von der Wirklichkeit weg, was normal und verzeihlich ist, aber unsichtbare Drift ist die Art, wie du es während eines Vorfalls erfährst statt während einer Überprüfung.

Dann ist da, was am Ende passiert, worauf der Abschnitt übers Gehen zurückkommt. Dokumentation in deinen eigenen Systemen ist schon deine, schon aktuell, schon in einem Format, das du benutzt. Dokumentation in ihren ist ein Export, nach ihrem Zeitplan, in welcher Form ihr Werkzeug ihn anbietet, üblicherweise ein PDF von etwas, das eine Datenbank war.

Stell die Frage also klar, und verlang Lesezugriff heute statt im Grundsatz. Ein Dienstleister, der in deinen Systemen arbeitet, hat eine Entscheidung getroffen, die ihn wenig kostet und dir viel gibt, und er wird es dir sagen. Einer, der darauf besteht, das Bild in seinen eigenen Werkzeugen zu behalten, hat die gegenteilige Entscheidung getroffen, und es lohnt sich zu fragen, welchen Teil davon er attraktiv fand.

Diese Lücke ist nicht akademisch. Jeder Vorfall in Teil zwei landet darauf. Die Kaseya-Kunden, die achtzig Immobilienkanzleien, die Pensionskassen hinter Capita — für jeden von ihnen war die einzige Frage, auf die es an dem Tag ankam, ob die Rücksicherung funktionierte. Das ist der Moment, in dem ein Bericht, nach dem niemand gefragt hat, zum einzigen Dokument im Gebäude wird, das etwas wert ist.

Wenn dein Dienstleister keinen Rücksicherungstest vorlegen kann, kaufst du kein Backup. Du kaufst Kopieren, und du findest an dem schlimmsten Morgen des Jahres heraus, was von beidem es war.

Niemand haftet

Sich einen Ort zu kaufen, an dem man die Schuld ablegt, verdient mehr als den Satz, den es in Teil eins bekommen hat, denn Rechenschaft ist das, worum dieses ganze Arrangement herumgebaut ist. Nicht moralisch. Vertraglich.

Fang mit dem Service Level Agreement an und lies, was es tatsächlich verspricht. Fast immer ist es eine Reaktionszeit. Vier Stunden bis zur Bestätigung, acht bis zum Erscheinen, so etwas in der Art. Zu reagieren liegt vollständig in ihrer Kontrolle, es kann also gefahrlos versprochen werden. Zu reparieren nicht, also wird es nicht versprochen. Such nach einer Zeile, die sie auf ein Ergebnis festlegt — der Dienst funktioniert, die Daten kommen zurück, der Standort verkauft — und bei den meisten Verträgen gibt es nirgends eine.

Dann finde die Haftungsobergrenze. Sie ist da, und sie liegt üblicherweise bei den Gebühren, die du in den vorangegangenen zwölf Monaten gezahlt hast, manchmal darunter. Das Schlimmste, was ihnen passieren kann, ist also, dir zurückzuzahlen, was du ihnen schon gegeben hast. Das Schlimmste, was dir passieren kann, ist das Unternehmen. Diese zwei Zahlen sind nicht im selben Universum, und die Lücke dazwischen ist die tatsächliche Risikolage, in der du bist.

Der Weiterverkauf schiebt den Rest stromaufwärts. Wenn der Hyperscaler ausfällt, ist es die Schuld des Hyperscalers. Wenn die Firewall eine Zehn ausliefert, ist es die Schuld des Herstellers. Wenn ein trojanisiertes Installationsprogramm signiert und als gewöhnliches Update ausgeliefert ankommt, ist das ebenfalls der Hersteller. Jedes davon ist wahr, und keines nützt dir etwas, denn du hattest nie eine Beziehung zu einer dieser Firmen. Du hattest eine mit dem Laden, der sie in deinem Namen ausgewählt und dafür einen Rabatt genommen hat.

Und unter alldem sitzt der leiseste Mechanismus von allen. Du kannst eine Anforderung nicht verfehlen, die nie aufgeschrieben wurde. Das Anforderungsdokument, das in Teil eins niemand geschrieben hat, ist nicht nur Schlamperei — es ist Schutz. Keine erfasste Anforderung, kein messbares Versprechen. Kein messbares Versprechen, kein Verstoß. Von einem Entwurf, den niemand abgezeichnet hat, kann nicht abgewichen werden.

Schau, was passierte, als Rechenschaft endlich irgendwo ankam. Capita bekam 14 Millionen Pfund Bußgeld, und es kam vom Information Commissioner nach Datenschutzrecht, wegen eines Alarms, den achtundfünfzig Stunden lang niemand bearbeitet hat. Nicht von einem Kunden, und nicht nach einem Dienstleistungsvertrag. Das Geld ging an den Staat. Die 6,6 Millionen Menschen, deren Daten aus der Tür gingen, und die 325 Pensionskassen, die die Folgen tragen, waren nicht die, die es angestrengt haben, und nicht die, die bezahlt wurden.

Das Arrangement also, von Anfang bis Ende. Der Hersteller verkauft ein Produkt unter einer Lizenz, die die Eignung für irgendetwas Bestimmtes ausschließt. Der Dienstleister verkauft Stunden gegen eine gedeckelte Haftung und ein Reaktionszeitversprechen. Der Versicherer bepreist, was übrig ist. Und der Schaden setzt sich bei dem Unternehmen ab, das nicht ausweichen kann, der einzigen Partei in der Kette, die nie irgendetwas ausschließen durfte.

In alldem steckt ein einfacherer Test, und er braucht keinen Anwalt.

Wenn ein Laden an das glaubt, was er empfohlen hat, sollte er bereit sein, dahinterzustehen. Das ist, was eine Empfehlung ist. Du hast nicht die Kiste gekauft — jeder mit einer Website kann dir eine Kiste verkaufen. Du hast jemandes Urteil gekauft, dass dies die richtige Kiste für dich ist, und dafür wurde er bezahlt, und noch einmal bezahlt von dem Hersteller, dessen Kiste es dann war.

Wenn es also versagt und die Antwort zurückkommt, der Hersteller habe alle im Stich gelassen, schau, was gerade passiert ist. Der Teil, den du tatsächlich gekauft hast, ist ausgeschlossen worden. Das Urteil verdampft in genau dem Moment, in dem es geprüft wird, und übrig bleibt ein Laden, der ein Produkt durchgereicht und unterwegs eine Marge genommen hat.

Niemand verlangt von einem MSP, für Microsoft zu haften. Aber zwischen für einen Hyperscaler haften und hinter dem eigenen Rat stehen liegt eine weite Lücke, und jedes andere Handwerk lebt irgendwo darin. Ein Elektriker, der einen Verteilerkasten einbaut, darf nicht den Hersteller dafür verantwortlich machen, dass er ihn ausgewählt hat. Ein Statiker, der einen Träger vorgibt, besitzt die Vorgabe. Sie tragen ihr Urteil, denn das Urteil war die Leistung.

Frag also, was dein Dienstleister zu tragen bereit ist. Nicht das Produkt des Herstellers — seine eigene Empfehlung. Die Antwort, oder die Länge der Pause davor, sagt dir, was er insgeheim davon hält.

Und dann ist es deine Schuld

Der Vertrag ist die leise Hälfte davon. Die laute Hälfte taucht an dem Tag auf, an dem tatsächlich etwas kaputtgeht, und sie ist vor der Lösung da.

Schau, in welche Richtung die Verantwortung wandert. Nach außen, in jede verfügbare Richtung, und ungefähr in dieser Reihenfolge. Der Hersteller hat einen schlechten Patch ausgeliefert. Die Leitung war die des Netzbetreibers. Es ist ein bekanntes Problem und alle sehen es. Niemand hätte es vorhersehen können, gesagt über eine Schwachstelle, die lange genug auf der Liste der ausgenutzten stand, um sich einen Bart wachsen zu lassen. Der vorherige Dienstleister hat es so hinterlassen, was sechs Monate lang eine faire Antwort ist und im dritten Jahr immer noch gegeben wird. Dann gehen die äußeren Richtungen aus, und eine bleibt. Du hast das Upgrade nie freigegeben. Das war außerhalb des Umfangs, deine Mitarbeiter haben auf den Link geklickt, und du hast nie ein Ticket aufgemacht.

Hier ist der unbequeme Teil. Manches davon stimmt. Ein Kunde, der drei Jahre in Folge denselben Austausch abgelehnt hat, besitzt diese Entscheidung, und ein Dienstleister, der das sagt, ist ehrlich zu dir. Die Frage ist also nicht, ob die Ausrede zutrifft. Sie ist, wann sie zum ersten Mal gesagt wurde. Ein Risiko, das dir vor dem Ausfall schriftlich vorgelegt wurde, mit dem, was es zu beheben kostet, und dem, was es kostet, es nicht zu tun, ist ein Dienstleister, der deinen Bestand verwaltet. Derselbe Satz, in der Woche danach geschickt, ist eine Verteidigung im Aufbau. Dieselben Worte, anderes Datum, entgegengesetzte Bedeutung.

„Du hast nie ein Ticket aufgemacht“ ist die, bei der es sich zu verweilen lohnt, denn es ist überhaupt keine Ausrede. Es ist das laut ausgesprochene Betriebsmodell. Nichts ist irgendjemandes Aufgabe, bis du es bemerkst, was dich zur Überwachung macht, und du zahlst eine Monatsgebühr an einen Laden, dessen Erkennungsschicht ein anrufender Kunde ist. Sobald du diese Antwort einmal gehört hast, weißt du, was die Leistung ist.

Es gibt davon eine aktivere Fassung, und sie funktioniert weit besser, als sie sollte. Du berufst eine Besprechung ein, um zu fragen, warum die letzten sechs Monate so gelaufen sind, wie sie gelaufen sind, und die Tagesordnung, die zurückkommt, handelt von etwas ganz anderem: einer dringenden Sicherheitssache, einer Lizenzfrist, die niemand erwähnt hatte, einer End-of-Life-Meldung zu einer Kiste, die seit zwei Jahren End of Life ist und plötzlich in diesen zwei Wochen dringend geworden ist. Es wird mit echter Sorge und einem beigefügten Angebot vorgetragen, und es frisst die Stunde. Du gehst hinaus, nachdem du zugestimmt hast, Geld auszugeben, und das, wofür du die Besprechung einberufen hast, wurde überhaupt nie ausgesprochen.

Beachte, was die hergestellte Krise immer gemeinsam hat. Sie braucht einen Kauf, sie braucht ihn in diesem Quartal, und sie verlangt von niemandem im Raum, irgendetwas zuzugeben. Echte Dringlichkeit sieht anders aus, denn sie kommt mit einer Kennung, einem Veröffentlichungsdatum, den konkreten Maschinen in deinem Bestand, die es betrifft, und dem, was sie bereits getan haben, während sie darauf warteten, es dir zu sagen. Die erfundene Sorte kommt als Herstellerfrist und gerundete Zahl an. Frag, wann sie zum ersten Mal auf ihrem Radar auftauchte. Wenn die Antwort dieselbe Woche ist, in der du angefangen hast, unangenehme Fragen zu stellen, ist das kein Zufall und war nie als einer gemeint.

Führ also deine eigene Akte, und fang damit an, bevor du sie brauchst. Jedes Mal, wenn dir gesagt wird, eine Sache sei in Ordnung, verlang das per E-Mail. Jedes Mal, wenn du etwas ablehnst, schreib auf, was dir gezeigt wurde und was es angeboten war. Es dauert eine Minute und es heißt, dass du an dem Tag, an dem es deine Schuld wird, nach dem Datum fragen kannst, und die Antwort existiert oder sie existiert nicht. Ein Laden, der diese Arbeit ordentlich macht, ist ohnehin zuerst da. Er beginnt mit: das haben wir übersehen, hier ist, was wir ändern, und sagt es, bevor du zu Ende gefragt hast. Es kostet ihn einen Satz, was genau der Grund ist, warum so wenige ihn ausgeben.

Und wenn du die erfundene Krise bekommst, oder die Schuld für etwas bei dir landet, was dir nie jemand vorgelegt hat, sag es im Raum. Nicht als Beschwerde hinterher und nicht als Notiz für die Akte. Frag sie, ob sie das für professionell halten, ob es die Antwort ist, die sie akzeptieren würden, wenn man sie ihnen gäbe, und wo darin die Integrität steckt. Jemandem wird unbehaglich, und das ist der ganze Zweck des Fragens. Ein Laden, der noch Selbstachtung hat, nimmt es hin, sagt: berechtigt, und kommt nächsten Monat anders zurück. Du weißt binnen einer Minute, welche Sorte dir gegenübersitzt.

Dann fang trotzdem an zu suchen. In dieser Woche. Eine schlechte Besprechung entscheidet es nicht, aber das Ablenken war nie ein schlechter Tag. Es war eine Entscheidung über dich: dass es billiger ist, zu verwalten, wie du dich fühlst, als zu reparieren, was du gekauft hast, und dass du es hinnehmen wirst. Läden machen diese Rechnung nicht rückgängig, weil ein Kunde ein Gesicht gezogen hat. Einen Dienstleister ordentlich zu ersetzen dauert Monate, die du noch gar nicht angefangen hast zu verbringen, und der Zeitpunkt dafür ist, solange du noch ruhig genug bist, gut zu wählen, statt in den zwei Wochen nach dem Ausfall, der dich endgültig entscheidet.

Stell diese in der nächsten Besprechung

Nichts davon kostet dich owt, und du musst kein Ingenieur sein, um irgendetwas davon zu fragen.

Ich habe die Fragen in eine Tabelle gepackt statt auf die Seite — 120 davon über fünfzehn Bereiche, jede mit dem, wie eine kompetente Antwort klingt, gegen das, wie eine Ausweichantwort klingt, und einer Spalte zum Festhalten, welche du bekommen hast.

Behandle es als Stichwortliste, nicht als Skript. Lies es durch, markier das Dutzend, das deinen Vertrag tatsächlich betrifft, und stell die. Niemand sitzt hundert Fragen in einer Stunde durch und du würdest weniger erfahren, wenn man es versuchte. Schick es vor der Besprechung hinüber, statt es in einer aus dem Hut zu ziehen — ein Dienstleister, der die Arbeit ordentlich macht, ist über die Vorwarnung froh, und wie er die Vorwarnung aufnimmt, ist selbst eine Antwort.

Eine Frage darin fragt, welche ihrer Empfehlungen ihnen einen Rabatt, eine Gutschrift, eine Marge oder ein Ziel beim Hersteller einbringen. Das ist die, die die Temperatur in einem Raum ändert, und das sollte sie nicht. Ein Dienstleister, der nichts zu verbergen hat, antwortet gerade heraus, denn er hätte dasselbe ohnehin empfohlen und hätte lieber, dass du es weißt. Beobachte, was passiert, wenn du fragst. Die Antwort zählt weniger als die Reaktion.

Ein Dienstleister, der die Arbeit ordentlich macht, hat all das parat. Schon, heute, ohne Vorbereitung. Die aufgeschriebenen Anforderungen, die bepreisten Optionen, die Open-Source-Zeile im Vergleich, der dual-gestackte Adressplan, das gepatchte Fernwartungswerkzeug und die Risiken im Register, wo sie hingehören. Frag, und du findest in einer einzigen Besprechung heraus, welche Sorte du bezahlst.

Und wenn es das Fragen selbst ist, was sie verärgert, hast du alles herausgefunden, was du brauchtest.

Jedes Konto wird still

All das setzt voraus, dass du gehen kannst, wenn du musst. Es lohnt sich, das zu prüfen, bevor du es musst, denn beim Gehen hört ein Managed-Service-Vertrag auf, von Technik zu handeln.

Nimm an, dass du es irgendwann brauchen wirst. Jede dieser Vereinbarungen driftet gleich, bei wem auch immer du unterschreibst. Die Aufmerksamkeit, die du bekamst, während sie den Auftrag gewannen, dünnt aus, sobald der Dauerauftrag läuft, und du sackst in ihren Büchern zu einer Monatszahl ab statt zu einem Bestand, über den jemand nachdenkt. Niemand setzt sich hin und beschließt aufzuhören, sich zu kümmern. Der beste Ingenieur geht dorthin, wo Lärm ist, die Überprüfungen finden still und leise nicht mehr statt, und deine Geräte sitzen auf dem, was in dem Jahr, in dem du unterschrieben hast, die richtige Antwort war, während der Rest des Gewerbes ohne dich weiterzieht.

Versteh, was ein stilles Konto tatsächlich ist, denn der Ausdruck klingt wie ein Kompliment und ist keines. Ein stilles Konto ist eines, das niemand geprüft hat. Die Backups laufen jede Nacht grün und niemand hat eines auf eine Ersatzmaschine zurückgespielt und zugesehen, wie es hochkommt. Das Failover-Paar ist nie umgeschaltet worden, denn das hieße, einen Ausfall zu buchen, und jemand müsste dabei sein. Die Firmware ist die, die mitgeliefert wurde, das Zertifikat ist von dem verlängert worden, der daran gedacht hat, und die Dokumentation beschreibt ein Netz, das vor zwei Umzügen stillgelegt wurde. Die Lizenzzahl ist seit dem Jahr, in dem du elf Mitarbeiter mehr hattest, nicht angeschaut worden. Nichts davon erzeugt ein Ticket, also erreicht nichts davon irgendjemandes Bildschirm, und das Konto segelt durch jede interne Überprüfung, weil das Einzige, was gemessen wird, ist, ob du angerufen hast.

Dann findest du es heraus. Nicht bei einer Überprüfung, denn es gab keine. Du findest es an dem Morgen heraus, an dem die Rücksicherung gebraucht wird, oder wenn der Prüfer nach dem Diagramm fragt, oder wenn ein Ding, das sechs Jahre unberührt lief, stehen bleibt und niemand mehr im Gebäude weiß, was es tat. Ein stilles Konto zahlt so viel wie ein geschäftiges und kostet weit weniger in der Betreuung. Das ist der ganze Anreiz, und er zeigt davon weg, dass je jemand den Deckel öffnet.

Der Rat, der sie Geld kostet

Stell den Test andersherum und frag, was du eigentlich kaufen sollst. Es ist nicht die Abwesenheit von Ärger. Abwesend sein kann jeder. Wofür du zahlst, ist jemand, der das Geschäft gut genug kennt, um mit Dingen anzukommen, nach denen du nicht gefragt hast: eine Art, den Monatsabschluss zu machen, die aufhört umzufallen, eine Lizenz, für die du zahlst und die seit vorletztem Jahr niemand geöffnet hat, eine billigere Art, die Daten zu halten, ein Plan für die Kiste, die alle stillschweigend nicht neu starten. Manches davon kostet sie Umsatz, es dir zu sagen, was genau der Grund ist, warum es das ehrliche Signal ist. Frag dich, wann dein Dienstleister dir zuletzt eine Empfehlung vorgelegt hat, die seine eigene Rechnung kleiner gemacht hat.

Die häufigste Form davon ist kein Rabatt. Es ist jemand, der durchgeht, was du schon betreibst. Den meisten Läden fehlt es nicht an Software, ihnen fehlt jemand, der sich je ordentlich mit der Software hingesetzt hat, die sie haben: die Lizenzstufe, die die Funktion, für die angeboten wird, schon enthält, das Modul, das im ursprünglichen Projekt bezahlt und nie ausgerollt wurde, der Ablauf im Finanzsystem, der das Neueintippen beenden würde, wenn ihm jemand zwei Tage gäbe, das zweite Abo, das gekauft wurde, weil niemand den ersten Lieferanten gefragt hat, ob sein Produkt das auch kann, die Auswertung, die nie jemand gebaut hat, sodass die ganze Firma in eine Tabelle exportiert und die Arbeit dort macht. Ein echter Dienstleister fängt in diesem Haufen an. Was du besitzt, wozu es sich bringen lässt, was es nie können wird, und wie viel vom Problem verschwindet, wenn das, wofür du ohnehin zahlst, so konfiguriert wird, wie es gemeint war — all das, bevor irgendwer eine Preisliste aufschlägt.

Was dir sagt, wie sie an dir verdienen wollen, denn diese Arbeit ist die unbequeme Sorte. Sie heißt, die Dokumentation von jemand anderem zu lesen, ein System zu lernen, das sie nicht weiterverkaufen und für dessen Kenntnis sie nichts bekommen, und sich mit den Leuten hinzusetzen, die es den ganzen Tag benutzen, um herauszufinden, was freitags um vier tatsächlich passiert. Kein Rabatt kommt daraufhin an. Es ist auch genau das, was du zu kaufen glaubtest. Und manchmal ist die Antwort am Ende wirklich ein neues System, in welchem Fall kauf das neue System. Ausgeben ist nicht das Problem. Die Reihenfolge lautet: was du betreibst, was es noch können wird, wo es wirklich zu kurz greift, und erst dann, was zu beschaffen ist. Eine Empfehlung, die die ersten drei überspringt, war nie eine Bewertung. Sie war ein Katalog mit deinem Namen oben drauf.

Und ein Dienstleister, der sich nie hingesetzt und gelernt hat, was das Unternehmen tut, kann nichts davon. Es ist ein Unterschied, ob man weiß, dass du neunzig Postfächer hast, oder ob man weiß, in welcher Stunde welchen Tages es wirklich weh täte, das System zu verlieren, das die Bestellungen annimmt. Das eine ist Inventar, das andere ist Verständnis, und nur das zweite bringt Rat hervor, der das Geld wert ist. Ein Laden, der in drei Jahren nichts vorgeschlagen hat, der nicht sagen kann, was du verkaufst oder wann deine Hochsaison ist, der das Licht anlässt und die Rechnung jeden Monat am selben Tag erhöht, ist kein Partner und tut nicht mehr so. Es ist ein Abo mit einer Telefonnummer daran. Keines zum Behalten.

Das entgegengesetzte Versagen taucht im besseren Anzug auf. Das ist der Dienstleister, der nie still ist, der jedes Quartal etwas für dich hat, und dessen Antwort auf jede Frage, die du je gestellt hast, mit einer Artikelnummer daran zurückkam. Es sieht aus wie Aufmerksamkeit. Was Rat von Verkauf trennt, ist nicht die Menge davon, und es sind auch nicht die guten Folien — es ist, ob die Empfehlung fähig ist, als „lass es in Ruhe, du brauchst dieses Jahr nichts, und das Geld ist besser für das Ding in der Ecke ausgegeben, für das niemand budgetiert hat“ zurückzukommen. Wenn in der ganzen Beziehung nicht eine Empfehlung sie je einen Verkauf gekostet hat, wirst du nicht beraten. Du wirst eine Liste entlanggeführt, und Teil eins handelt davon, woher diese Listen kommen. Ein Partner redet dir manchmal das Ausgeben aus. Für alle anderen bist du ein Konto, das kauft, was man ihm zeigt, was eine Melkkuh mit einem Service Desk daran ist, und niemand Beteiligter muss darüber unehrlich sein, damit genau das geschieht.

Einen schlechten loswerden

Arbeite durch, was tatsächlich passieren muss. Alles davon. Administratorzugangsdaten für jedes System übergeben. Dokumentation, die beschreibt, wie der Bestand gebaut ist, sofern sie existiert. Kontrolle über die Domainnamen und über das Konto, in dem das DNS liegt. Private Schlüssel der Zertifikate. Abos aus dem Partnervertrag des Dienstleisters heraus in eine Mandantschaft, die deine ist. Ihr Agent von jeder Maschine entfernt, von ihnen. Und der bisherige Anbieter, der wochenlang detailliert mit seinem Nachfolger zusammenarbeitet, ohne dafür bezahlt zu werden, und gerade erfahren hat, dass er raus ist.

Jetzt der Teil, der dich am meisten beunruhigen sollte. Je schlechter ein Dienstleister, desto schwerer wird dieser Ausstieg, denn die Versäumnisse sind dieselben Versäumnisse. Ein Laden, der deine Anforderungen nie aufgeschrieben hat, hat auch die Übergabemappe nicht geschrieben. Ein Laden, der die Zugangsdaten in einem gemeinsamen Tresor hielt, hat keinen sauberen Weg, sie jemand anderem zu geben. Ein Laden ohne Playbook und ohne Rücksicherungstest hat nichts zu übergeben außer Zugang und viel Glück. Das Durcheinander ist der Burggraben. Niemand hat sich hingesetzt und es so entworfen, und es funktioniert besser, als wenn er es getan hätte.

Nimm also an, dass die Dokumentationszeile nicht hält. Dokumentation ist das Erste, was ungeschrieben bleibt, und das Letzte, was jemand prüft, und was auf dem Weg hinaus ankommt, wird einen Bestand beschreiben, der ohne sie weitergezogen ist. Das ist der gute Fall. Der schlechte ist eine Mappe, die vollständig aussieht und falsch ist: ein Diagramm mit einem Switch darauf, der vor zwei Jahren auf den Schrott ging, ein Runbook für einen Server, der seither neu gebaut wurde, ein Zugangsdatenblatt voller Konten, mit denen sich niemand anmelden kann. Falsche Dokumentation ist schlimmer als keine, denn du handelst danach. Keine schickt dich wenigstens hin, um nachzusehen.

Bepreise den Ausstieg so, als überlebte ihn nichts. Jemand geht die Racks ab, liest die Konfiguration von den laufenden Geräten, exportiert die Firewall-Regeln und die DHCP-Bereiche und die Zonendateien, und schreibt auf, was tatsächlich läuft. Das sind Wochen Arbeit, und in einem Ausstieg sind es Wochen, die du unter Kündigungsfrist verbringst, während die Einzigen, die die Antworten kennen, schon erfahren haben, dass sie raus sind. Mach es stattdessen jetzt. Verlang die Mappe heute, dann nimm eine Seite davon und prüf sie gegen eine laufende Maschine. Wenn sie hält, hast du etwas Wissenswertes gelernt. Wenn sie die Bits nicht wert ist, mit denen sie gespeichert wird, hast du das auch gelernt, und du hast es mit einem Jahr Zeit gelernt, es in Ordnung zu bringen, statt mit zwei Wochen.

Diese Zusammenarbeitszeile ist die, die tatsächlich weh tun wird, und die, die niemand bepreist. Lies sie als Bitte zurück: ein Laden, der gerade das Konto verloren hat, wird gebeten, Wochen damit zu verbringen, es den Leuten zu erklären, die es ihm abgenommen haben. Niemand muss sich weigern. Das Konto wandert auf den Stapel der Abgänge, der Ingenieur, der deinen Bestand kannte, geht auf einen Auftrag, der noch zahlt, und deine Fragen landen bei dem, der übrig ist. Antworten kommen in Tagen statt Stunden zurück. Der Übergabetermin wird drei Wochen im Voraus gebucht. Die Hälfte dessen, was du verlangst, stellt sich als kostenpflichtig heraus, und der Eine, der das Ding gebaut hat, ist im März gegangen. Nichts davon ist Sabotage. Alles davon kostet dich genau das, was Sabotage kosten würde.

Dein Nachfolger trägt es, und dann trägst du es noch einmal. Sein erster Monat geht damit drauf herauszufinden, was er geerbt hat. Das ist Erkundung, für die er dir nichts vorzeigen kann, also bepreist er sie entweder ehrlich und sieht gegen die Verlängerung des Bisherigen teuer aus, oder er schluckt sie und fängt die Arbeit schon im Rückstand an. Du zahlst so oder so. Kauf die Zusammenarbeit also, bevor du sie brauchst. Schreib sie beim Eintritt in den Vertrag statt beim Austritt: eine definierte Übergabephase, eine benannte Person, die sie macht, ein Tagessatz, vereinbart solange sie deine Unterschrift noch wollen, und Zugang, der aktiv bleibt, bis der neue Laden sagt, er kann weg. Zahl für eine Überlappung und rechne es als billig. Und komm nie an den Umschalttag, während der ausscheidende Dienstleister den einzigen Schlüssel zu etwas hält, das dir gehört.

Der Papierkram tut sein Übriges. Kündigungsfristen in Monaten statt Wochen, automatische Verlängerungstermine, die verstreichen, während du noch entscheidest, und eine Übergabe, bepreist als professionelle Dienstleistung zu einem Tagessatz, den jemand festlegt, nachdem du schon gekündigt hast. Nichts davon ist ungewöhnlich, und nichts davon bricht eine Regel.

Prüf den Ausstieg also, während die Beziehung gut ist und niemand verärgert ist. Verlang die Übergabemappe jetzt, schriftlich, als Lieferergebnis statt als Versprechen. Frag, wer der Inhaber deiner Domains tatsächlich ist. Frag, ob deine Lizenzen in deiner eigenen Mandantschaft sitzen oder unter ihrem Partnervertrag, und was ein Umzug bedeutet. Ein Dienstleister, der die Arbeit ordentlich macht, beantwortet alle drei aus dem Stand, denn ein Laden, der seiner Arbeit vertraut, hat keinen Grund, das Gehen schwer zu machen.

Und wenn die Antworten vage sind, denk daran, was der nächste Abschnitt darüber sagt, bei wem du dich beschwerst.

Für den Verkauf gibt es keine Aufsicht

Etwas sollte inzwischen nagen. Jedes Versagen in dieser Reihe, an dem eine formale Feststellung hing, ist ein Sicherheitsversagen. Die ICO zu Advanced. Die ICO zu Capita. CISA zu den Werkzeugen. Zum Verkauf — der Auswahlliste, dem Rabatt, der einen Option, der Verlängerung — gibt es nichts. Nicht eine einzige Vollstreckungsmaßnahme gegen einen britischen MSP.

Das ist nicht so, weil der Verkauf sauber wäre. Es ist so, weil niemand die Aufgabe hat hinzuschauen.

Das Verbraucherrecht endet an deiner Haustür. Der Consumer Rights Act 2015 schützt Verbraucher, und eine GmbH, die einen Managed Service kauft, ist keiner. Der Digital Markets, Competition and Consumers Act 2024 gab der CMA im April 2025 direkte Vollstreckungsbefugnisse, gerichtet auf aggressive Verkaufspraktiken, irreführende Angaben und offensichtlich unausgewogene Vertragsbedingungen. Es sind Verbraucherbefugnisse. Die eigene Bilanz der CMA zum ersten Jahr lohnt sich wegen der Formulierung ebenso wie wegen der Zahlen: vierzehn Untersuchungen, zwei Vergleiche, 760.000 Pfund „refunded to consumers“, 4,7 Millionen Pfund Bußgelder, 157 Beratungs- und Warnschreiben. Verbraucher, jedes Mal. Nicht der Dreißig-Personen-Hersteller, der letzten Frühling fünf Jahre Managed Service unterschrieben hat.

Telekommunikation ist die eine Ecke, in der eine britische Aufsicht überhaupt in der Nähe war. Sie zeigt, wie Durchsetzung aussieht, wenn jemand die Zuständigkeit hat. Im Juli 2015 belegte Ofcom einen kleinen Telekommunikationsanbieter für Geschäftskunden mit 200.000 Pfund Bußgeld wegen Falschberatung beim Verkauf von Festnetzdiensten an eine Basis von „around 100,000 small businesses“, und ließ ihn die betroffenen Kunden entschädigen und seine Verkaufsunterlagen neu schreiben. Richtiges Verhalten, richtige Kundengröße, falsche Branche, und elf Jahre her.

Für IT-Dienstleistungen gibt es kein Äquivalent. Rechne es von deinem Platz aus zusammen. Kein Widerrufsrecht. Keine Schlichtungsstelle zum Eskalieren. Keine Aufsicht mit Zuständigkeit. Keine Pflicht für irgendwen, dir zu sagen, was der Hersteller ihm zahlt. Keine veröffentlichten Feststellungen zum Lernen, weil es keinen Ort gibt, aus dem eine Feststellung kommen könnte. Der Vertrag wurde vom Lieferanten aufgesetzt, und das einzige Mittel darin ist zu klagen — was Kosten heißt, Jahre, und ein Rechtsbudget, das ein kleines Unternehmen nicht hat, wie der Lieferant sehr wohl weiß.

Die Finanzberatung hatte genau dieses Problem und hat es gelöst. Die Lösung war nicht kompliziert — sag, wer den Berater bezahlt, und stell sicher, dass der Produktanbieter nicht die Antwort ist.

Für die IT wird es keine solche Reform geben. Niemand kommt, um deinen MSP dazu zu bringen offenzulegen, was der Hersteller ihm zahlt, und das Cyber Security and Resilience Bill, das derzeit durchs Parlament geht und Managed Service Provider in die NIS-Verordnungen holen würde, handelt von Erkennung und Meldung, nicht davon, wer für die Beratung zahlt.

Wenn dir also jemand sagt, es gebe keine Belege für ein Problem darin, wie in diesem Land Technik verkauft wird, hat er recht. Es bedeutet überhaupt nichts. Es gibt keine Belege, weil es keinen Prüfer gibt, keinen Beschwerdeweg, der in einem öffentlichen Dokument endet, und kein Verzeichnis dessen, was mit allen anderen passiert ist, die denselben Vertrag unterschrieben haben. In einem Markt, den niemand beaufsichtigt, ist das Fehlen von Belegen nur das Fehlen von jemandem, der hinschaut.

Was das über das Gewerbe sagt

Nimm die Rechnungen weg und schau, wer in diesem Arrangement tatsächlich steht.

An dem einen Ende Unternehmen, die Dinge herstellen und tun. Ein Betrieb, der Teile fräst. Eine Werkstatt. Eine Küche, die Menschen sattmacht. Anwälte, die jemanden an einem Freitag in ein Haus bringen. Jeder von ihnen bringt etwas hervor, auf das man zeigen kann, und jeder von ihnen trägt das Risiko in diesem Beitrag, denn sie sind die einzige Partei in der Kette, die nichts ausschließen kann.

An dem anderen Ende mehrere Schichten, die überhaupt nichts hervorbringen. Ein Hersteller, dessen Lizenz die Eignung für einen bestimmten Zweck ausschließt. Ein Distributor, der eine Kiste zwischen Lagern bewegt und einen Schnitt nimmt. Ein Partnerprogramm, das jemanden dafür bezahlt, ein Logo einem anderen vorzuziehen. Ein Dienstleister, der Stunden gegen eine gedeckelte Haftung verkauft. Jeder nimmt seine Marge und reicht die Folge nach unten weiter, und die Folge wandert weiter, bis sie den Einzigen erreicht, der am Montag die Türen aufmachen muss.

Ein Gewerbe ist eine Gruppe von Menschen, die etwas können, die dafür bezahlt werden, dass sie es können, und die hinter dem stehen, was sie sagen, weil ihr Name daran steht. Daran gemessen ist der größte Teil dieser Branche ein Vertriebskanal mit Zertifizierungen.

Schau, was dafür hergegeben wurde. Können zuerst, denn du kannst nicht ein Drittel aus dem herausschneiden, was du für Weiterbildung ausgibst, und dann mit ernstem Gesicht Fachwissen verkaufen. Dann Urteilsvermögen, vorne im Auftrag verkauft und in dem Moment ausgeschlossen, in dem es geprüft wird. Und zuletzt die schlichte Bereitschaft zu sagen „das ist nicht die richtige Antwort für dich“, wenn die richtige Antwort weniger zahlt — was das Einzige ist, was Rat von Verkauf trennt, und nichts kostet außer Nerven.

Der Ausweg daraus ist unglamourös und vollständig verfügbar. Besitz die Geräte, die du besitzen kannst. Halt deine eigenen Schlüssel. Halt die Dokumentation an einem Ort, den du erreichst, ohne irgendwen anzurufen. Lern genug über deine eigenen Systeme, um zu merken, wenn dir etwas Blödes erzählt wird — nicht, um sie selbst zu betreiben, nur um zu erkennen, wenn ein Adjektiv ankommt, wo nach einer Zahl gefragt wurde. Das ist keine Nostalgie danach, dass jeder einen Server im Schrank hatte. Es ist der einzige Hebel, den es gibt, und er ist billig.

Es gibt Leute in diesem Gewerbe, die nie aufgehört haben, die Arbeit ordentlich zu machen, und sie sind nicht schwer zu erkennen, wenn man weiß, worauf man achtet. Sie bieten die langweilige Option an. Sie sagen dir, was ein Ding kostet, statt was es gepreist ist. Sie legen das Risiko schriftlich vor, bevor du fragst, und sie sind erleichtert, wenn endlich jemand nachprüft.

Die anderen haben es so eingerichtet, dass es nie jemand tut. Du darfst fragen, was es kostet, wer wen bezahlt, und was passiert, wenn es kaputtgeht. Niemand in diesem Arrangement wird es von sich aus sagen, und das ist nicht dasselbe, wie dass es dir nicht zustünde.

Quellen

Abgerufen am 28. August 2026.

Recht und Politik.

• Cyber Security and Resilience (Network and Information Systems) Bill 2024-26 — Briefing der House of Commons Library dazu, Managed Service Provider in die NIS-Verordnungen zu holen.

Wer sich beschweren darf.

• Consumer Rights Act 2015 und der Digital Markets, Competition and Consumers Act 2024 — die Schutzrechte, und für wen sie gelten.
• CMA, direkte Verbraucherdurchsetzung nach einem Jahr — April 2025 bis April 2026: 14 Untersuchungen, 760.000 Pfund an Verbraucher zurückerstattet, 4,7 Millionen Pfund Bußgelder.
• Ofcom belegt Unicom mit Bußgeld, 31. Juli 2015 — 200.000 Pfund wegen Falschberatung gegenüber kleinen Unternehmen, das Nächstliegende an einem Durchsetzungspräzedenzfall, in der Telekommunikation statt in der IT.