- 48% der im Jahr 2025 in Frankreich betreuten Opfer von Ransomware waren Kleinstunternehmen, KMU oder mittelständische Unternehmen, gegenüber 37% im Jahr 2024. Das Ziel hat sich auf diejenigen Unternehmen verlagert, die am wenigsten dafür gerüstet sind, allein darauf zu reagieren.
- Ein KMU verfügt fast nie über das nötige Personal, um seine Cloud-Infrastruktur rund um die Uhr zu überwachen. Beim Outsourcing werden diese Überwachungs- und Eingriffsaufgaben einem Fachdienstleister anvertraut, der sich darauf spezialisiert hat.
- IT-Outsourcing ist kein Pauschalangebot: Der Umfang (was der Dienstleister überwacht, was Sie selbst übernehmen) wird von Vertrag zu Vertrag festgelegt, und genau dieser Umfang macht den entscheidenden Unterschied aus.
- Die Auslagerung des Betriebs ist mit einem echten Preis in Form von Abhängigkeit verbunden, und ein KMU, das ehrlich zu sich selbst ist, muss wissen, was es an Eigenständigkeit einbüßt, bevor es weiß, was es an Entlastung gewinnt.
- Das souveräne Cloud-Angebot von Ohmycad basiert auf dem Cloud-Managed-Service von Outscale Dassault Systèmes, wobei der Leistungsumfang bereits im Angebot schriftlich festgelegt wird und nicht erst nach dem ersten Vorfall.
Warum braucht ein KMU konkret IT-Outsourcing?
Ein KMU, das seine Infrastruktur in der Cloud hostet, verfügt selten über ein technisches Team, das diese kontinuierlich überwacht. Ein Server, der an einem Freitagabend nur langsam reagiert, ein Backup, das zwei Wochen lang unbemerkt fehlschlägt, ein Sicherheitsupdate, das nie durchgeführt wird: Das sind ganz alltägliche Vorfälle, keine Extremszenarien, und sie treten auf, während alle anderen gerade mit anderen Dingen beschäftigt sind. Das Innenministerium berichtet, dass 48% der in Frankreich im Jahr 2025 betreuten Opfer von Ransomware Kleinstunternehmen, KMU oder mittelständische Unternehmen waren, gegenüber 37% im Jahr 2024: Der Anteil steigt von Jahr zu Jahr, insbesondere in dem Segment der Unternehmen, die über kein eigenes Sicherheitsteam verfügen. IT-Outsourcing ist die Antwort auf ein strukturelles Problem, nicht auf ein hypothetisches Risiko: Jemand muss die Infrastruktur überwachen und eingreifen, wenn sie aus dem Ruder läuft, und in einem KMU gibt es diese Person intern oft nicht.
Was umfasst das Outsourcing eigentlich, und was nicht?
Unter IT-Outsourcing versteht man die Überwachung und Wartung einer Infrastruktur, die einem Dienstleister im Rahmen eines vertraglich festgelegten Umfangs anvertraut wird. Was viele KMU erst zu spät erkennen, ist, dass dieser Umfang von Angebot zu Angebot sehr stark variiert. Ein gängiges Grundpaket umfasst die Infrastruktur: Rechenleistung, Netzwerk, Speicher, Verfügbarkeit der virtuellen Maschinen sowie die Installation von Sicherheitspatches auf diesen Ebenen. Darüber hinaus hängt alles vom Vertrag ab: Anwendungssicherung mit Wiederherstellungstest, Überwachung des Betriebssystems, Datenbankverwaltung und Bereitschaftsdienst außerhalb der Geschäftszeiten sind Optionen, die je nach Vertrag enthalten sind oder nicht. Ein KMU, das zwei Outsourcing-Angebote vergleicht, ohne diesen Leistungsumfang Zeile für Zeile zu lesen, vergleicht zwei unterschiedliche Dinge, die denselben Namen tragen.
- Standard-Sockel: Rechenleistung, Netzwerk, Speicher, Verfügbarkeit virtueller Maschinen, Sicherheitspatches auf diesen Ebenen.
- Gemäß dem Vertrag: Geprüfte Anwendungssicherung, Systemüberwachung, Datenbanken, Bereitschaftsdienst außerhalb der Geschäftszeiten.
- Auf der Kundenseite: Anwendungsdaten, Einhaltung gesetzlicher Vorschriften, Anwendungscode und dessen spezifische Schwachstellen.
Was bleibt selbst bei einem Outsourcing-Vertrag noch zu Lasten des KMU?
Selbst bei einem guten Vertrag liegen bestimmte Verantwortlichkeiten strukturell weiterhin beim Kunden, und es wäre niemandem dienlich, diese zu verschweigen. Die Anwendungsdaten und deren Einhaltung gesetzlicher Vorschriften (DSGVO, Branche) liegen weiterhin in der Verantwortung des Kunden, unabhängig vom Hosting-Anbieter oder IT-Dienstleister. Der Anwendungscode, seine Updates und seine spezifischen Sicherheitslücken sind nur dann abgedeckt, wenn dies im Vertrag ausdrücklich vorgesehen ist, was bei Angeboten zum Infrastruktur-Outsourcing selten der Fall ist. Ein KMU, das native verwaltete Datenbanken (PostgreSQL, Redis im Managed-Service-Modus) benötigt, muss wissen, dass dies nicht bei allen souveränen Cloud-Angeboten der Fall ist: Bei Outscale gibt es diese Bausteine nicht im nativ verwalteten Modus, sondern sie werden als selbst gehostete Instanzen mit dem darauf aufbauenden Ohmycad-Managed-Service aufgebaut. Dies ist eine Frage, die man vor der Vertragsunterzeichnung stellen sollte, und keine versteckte Einschränkung, die man erst später entdeckt.
Interne IT-Outsourcing-Lösung, Allround-Dienstleister oder spezialisierter Anbieter für souveräne Cloud-Lösungen: Wie soll man sich entscheiden?
Es gibt drei Optionen, von denen keine an sich schlecht ist: Die Frage ist, welche der Größe und den tatsächlichen Rahmenbedingungen des Unternehmens entspricht. Die interne Besetzung ist ab einer bestimmten Größe des technischen Teams sinnvoll, die einen rotierenden Bereitschaftsdienst rechtfertigt; darunter ist eine Stelle, die speziell für die Überwachung der Infrastruktur vorgesehen ist, oft teurer als ein Outsourcing-Vertrag und stellt einen Single Point of Failure dar, wenn die betreffende Person abwesend ist. Ein Allround-Dienstleister eignet sich für eine Standardinfrastruktur ohne strenge regulatorische Auflagen. Ein spezialisierter Anbieter für souveräne Cloud-Lösungen kommt ins Spiel, sobald eine vertragliche oder gesetzliche Anforderung vorschreibt, dass die Daten in Frankreich unter französischem Recht verbleiben müssen, oder wenn der Endkunde dies ausdrücklich verlangt: Dies gilt beispielsweise für KMU, die mit öffentlichen Auftraggebern, im Gesundheitswesen, im Verteidigungsbereich oder in Branchen mit verschärften Sicherheitsanforderungen zusammenarbeiten.
Wie viel kostet das Outsourcing für ein KMU?
In diesem Artikel werden keine Zahlen genannt, und das ist keine Ausflucht: Die Kosten hängen vom abgedeckten Gebiet, dem Umfang der Infrastruktur und dem Servicelevel (Bereitschaftsdienst, garantierte Reaktionszeit) ab, und eine Angabe ohne diese Faktoren wäre irreführend. Was jedoch ganz klar gesagt wird, ist die Vorgehensweise: Eine seriöse Kostenkalkulation beginnt immer mit einer Bestandsaufnahme der vorhandenen Infrastruktur, niemals mit einem Preisversprechen, bevor die tatsächliche Infrastruktur begutachtet wurde. Ein KMU, das einen Preis erhält, bevor es seine Infrastruktur beschrieben hat, erhält einen Lockpreis, keine Kostenkalkulation.
Fazit
Das Outsourcing der IT-Infrastruktur bietet eine Lösung für ein Problem, mit dem alle Cloud-nutzenden KMU zu kämpfen haben: Es gibt niemanden im Unternehmen, der die Infrastruktur in Vollzeit überwacht, während sich das Angriffsziel zunehmend auf Unternehmen verlagert, die am wenigsten dafür gerüstet sind, allein darauf zu reagieren. Dies ist kein Privileg, das nur großen Unternehmen vorbehalten ist.
Das souveräne Cloud-Angebot von Ohmycad stützt sich bei seinem Outsourcing-Service auf die Outscale-Cloud von Dassault Systèmes, wobei der Leistungsumfang bereits im Angebot genau festgelegt ist: Was abgedeckt ist und was in Ihrer Verantwortung bleibt – ohne Grauzonen, die erst beim ersten Vorfall zutage treten.
Der richtige Schritt: Den Umfang des IT-Outsourcings vor der Unterzeichnung festhalten lassen – und nicht erst nach dem ersten Vorfall.
Entdecken Sie das souveräne Cloud-Angebot von Ohmycad →
Weiterführende Informationen: IT-Outsourcing und Betrieb · Das Gütesiegel „Vertrauenswürdige Cloud“
Quellen
- masecurite.interieur.gouv.fr, Überblick über Cyberangriffe in Frankreich bis 2025 (ANSSI)
- CERT-FR (ANSSI), Überblick über Cyberbedrohungen 2025 (PDF)
FAQ
Häufig gestellte Fragen
Braucht ein KMU wirklich ein Outsourcing-Angebot, wenn seine Infrastruktur klein ist?
Die Größe der Infrastruktur ändert nichts an der Notwendigkeit einer kontinuierlichen Überwachung. Auch eine kleine, schlecht überwachte Infrastruktur fällt aus – und das oft mit weniger Spielraum zur Bewältigung des Vorfalls als eine große.
Was ist der Unterschied zwischen IT-Outsourcing und einfachem Cloud-Hosting?
Beim Hosting wird die Infrastruktur zur Verfügung gestellt. Beim Managed Service kommen die aktive Überwachung und der menschliche Eingriff in diese Infrastruktur hinzu: Das ist der Unterschied zwischen der Anmietung eines Servers und der Tatsache, dass jemand diesen überwacht.
Umfasst das Outsourcing auch die Anwendungssicherheit meiner Fachsoftware?
Selten standardmäßig. Das Outsourcing-Paket umfasst die Infrastruktur (Rechenleistung, Netzwerk, Speicher, System). Der Anwendungscode unterliegt weiterhin der Verantwortung des Kunden, sofern im Vertrag nicht ausdrücklich etwas anderes vereinbart wurde.
Ist ein Outsourcing-Service mit verwalteten Datenbanken wie PostgreSQL oder Redis möglich?
Nicht im nativen Managed-Modus in der Outscale-Cloud. Die bewährte Vorgehensweise ist eine selbst gehostete Instanz mit dem Ohmycad-Managed-Service darüber; dies sollte vor der Unterzeichnung geklärt werden, falls ein entsprechender Bedarf besteht.
Benötigen Sie ein souveränes Hosting, das in Ihrem Umfeld betrieben und kalkuliert wird? Ein Ohmycad-Techniker meldet sich bei Ihnen mit einem individuellen Kostenvoranschlag – nicht mit einer allgemeinen Preisliste: sich zurückrufen lassen. Das gesamte Angebot finden Sie auf der Seite souveräne Cloud.
