Vierzig Arbeitsplätze, ein Vertrag — was der Festpreis wirklich trägt

/01Begriff und Abgrenzung: Was ein IT-Komplettpaket abdeckt — und was nicht

Ein IT-Komplettpaket ist ein Festpreisvertrag, der den laufenden Betrieb einer Unternehmens-IT an einen externen Dienstleister überträgt — Wartung, Support, Überwachung und ein definiertes Stück Managed Services statt Einzelrechnungen für jeden Einsatz. Der Begriff grenzt sich damit von zwei Nachbarn ab, mit denen er oft verwechselt wird. Ein Einzelauftrag — „kommen Sie vorbei, der Server streikt" — deckt einen Vorfall, keinen Betrieb; nach dem Einsatz ist wieder offen, wer beim nächsten Problem zuständig ist. Ein reiner Lizenz- oder Hosting-Vertrag deckt eine Infrastruktur, aber keine Menschen — niemand kümmert sich darum, ob der neue Mitarbeiter am Montag ein funktionierendes Notebook hat. Das Komplettpaket verbindet beides zu einer Zuständigkeit mit einem Ansprechpartner.

Was es nicht ist: ein Freibrief für jede Anfrage. Die Entscheidung über Fachanwendungen und der Zugang zu den eigenen Daten bleiben beim Kunden; Eigentum und Hoheit wechseln nicht. Und ein Komplettpaket ersetzt keine Fachanwendungsbetreuung, die eine tiefe Kenntnis der jeweiligen Branchensoftware braucht — das Warenwirtschaftssystem oder die Praxissoftware bleiben eigene Baustellen, auch wenn der Server darunter im Paket läuft. Für diesen Artikel wurde die aktuelle Leistungsbeschreibung des IT-Komplettpakets von HostSpezial im Volltext geprüft, ebenso die Leistungsseiten für Managed Firewall und Managed SOC — alle Zahlen stammen von dort und sind als Angaben des Anbieters gekennzeichnet, nicht als unabhängige Studie.

/02Die Bausteine im Überblick: sieben Felder, ein Vertrag

Ein Komplettpaket für rund 40 Arbeitsplätze deckt in der Praxis sieben Felder ab, die einzeln verkauft unterschiedliche Vertragspartner und unterschiedliche Rechnungen bedeuten würden: Clients und Arbeitsplätze, Server und Virtualisierung, Firewall und Netzwerk, Backup, Monitoring, Grundschutz und Erkennung, sowie Support und Helpdesk. Die folgenden Abschnitte gehen jedes Feld einzeln durch — nicht, weil es sieben gleich große Baustellen wären, sondern weil die Tiefe, in der jedes Feld abgedeckt ist, über die Paketstufe entscheidet, nicht über den Grundumfang selbst.

Für einen Betrieb mit rund 40 Arbeitsplätzen liegt die passende Stufe damit auf der Hand: Business, nicht Starter — allein wegen des siebentägigen Helpdesks und des inklusiven Vor-Ort-Supports, den die Einstiegsstufe nicht bietet. Das Audit am Anfang ist trotzdem nicht Formsache: Es stellt fest, ob tatsächlich eine oder mehrere Server-Instanzen laufen, wie viele Standorte es gibt und ob VLANs oder ein flaches Netz vorliegen — all das verschiebt den Aufwand innerhalb der Stufe, nicht nur zwischen den Stufen.

Wie ein solches Audit konkret abläuft, lässt sich an einem typischen Fall zeigen — ein Beispielbetrieb, keine reale Kundenumgebung: 42 Arbeitsplätze an zwei Standorten, ein Fileserver, ein Anwendungsserver für die Branchensoftware, eine Firewall ohne dokumentiertes Regelwerk, ein NAS als Backup-Ziel im selben Netz wie die Arbeitsstationen. Das Audit läuft in der Praxis über zwei Arbeitstage:

• Tag 1, Vormittag — Bestandsaufnahme vor Ort. Geräteliste, Serverrollen, Netzplan, bestehende Lizenzen, Verantwortlichkeiten. Hier zeigt sich meist zuerst, ob es überhaupt eine aktuelle Dokumentation gibt oder ob diese im Audit erst entsteht.
• Tag 1, Nachmittag — technische Prüfung. Portscan im internen Netz, Prüfung der Firewall-Regeln, Zustand der Backups, Patchstände der Server und Clients. Für den Beispielbetrieb typische Befunde: ein flaches Netz ohne Segmentierung zwischen Arbeitsplätzen und Servern, ein Backup-Ziel ohne Trennung vom Produktivnetz, zwei Server mit Patchrückstand von mehreren Monaten.
• Tag 2 — Auswertung und Paketzuschnitt. Die Befunde aus Tag 1 bestimmen, wie viel Einarbeitungs- und Bereinigungsaufwand in den ersten Wochen steckt — und damit, wo der tatsächliche Preis innerhalb der Business-Stufe landet.
• Ergebnis — schriftliches Angebot. Paketstufe, Festpreis und eine Liste der Punkte, die vor der vollständigen Übernahme bereinigt werden, etwa die Netzsegmentierung oder das Verschieben des Backups aus dem Produktivnetz.

Für diesen Beispielbetrieb wäre die Business-Stufe passend, aber der Preis läge über dem reinen Einstiegswert von 59 Euro je Arbeitsplatz — wegen der zwei Standorte, des undokumentierten Regelwerks und der fehlenden Netzsegmentierung, die vor der Übernahme nachgezogen werden muss. Das zeigt bereits hier, was Abschnitt 8 im Detail durchrechnet: Der Preis folgt dem Zustand der Umgebung, nicht umgekehrt.

/03Clients und Arbeitsplätze: Support für Menschen, nicht nur Geräte

Der sichtbarste Teil eines Komplettpakets ist der Arbeitsplatz-Support: Installation, Updates und Hilfe bei Problemen für alle PCs, Laptops und mobilen Geräte der Belegschaft. Für 40 Arbeitsplätze heißt das in der Praxis ein stetiger Strom kleiner Anfragen — ein Drucker, der nicht mehr druckt, ein neues Notebook für die neue Kollegin, ein vergessenes Passwort — und ein paar seltene, aber teure: ein kaputtes Mainboard am Montagmorgen vor einem Kundentermin. Das Komplettpaket bündelt beides in einem Helpdesk-Kanal statt in Einzelaufträgen, die jedes Mal neu verhandelt werden müssten.

Dazu gehört die laufende Verwaltung: Onboarding neuer Mitarbeiter, Deaktivierung ausscheidender Konten im Active Directory oder in Microsoft 365, Lizenzverwaltung, IT-Dokumentation. Das klingt nach Nebensache, ist aber der Unterschied zwischen einer IT, die mit dem Unternehmen mitwächst, und einer, bei der niemand mehr weiß, wer welchen Zugriff hat. Der Grundumfang schließt mobile Geräte ein, aber nicht jede Spezialhardware — ein Produktionsterminal mit eigenem Betriebssystem oder eine Sondermaschine mit herstellergebundener Software gehört ins Audit, nicht automatisch in den Standard-Support.

/04Server und Virtualisierung: Warum Proxmox der Standard ist

Bei 40 Arbeitsplätzen laufen in aller Regel mehrere Server-Rollen — Dateiablage, Anwendungsserver, Verzeichnisdienst — und die wirtschaftliche Frage ist fast immer, ob sie auf getrennter Hardware oder virtualisiert auf einem gemeinsamen Cluster laufen. HostSpezial setzt dafür im Regelfall Proxmox ein: Die Virtualisierungsplattform läuft ohne Lizenzgebühr pro Kern oder Server, was bei einer Multi-Server-Umgebung der Business-Stufe über die Jahre spürbar zu Buche schlägt, verglichen mit lizenzpflichtigen Alternativen. Für die meisten Standard-Workloads — Fileserver, Datenbank für die Branchensoftware, ein oder zwei Anwendungsserver — reicht ein Zwei-Knoten-Cluster mit lokalem oder geteiltem Speicher.

Im Komplettpaket bedeutet „Server & Infrastruktur" konkret: Wartung, Updates, Überwachung und Optimierung, unabhängig davon, ob die Server On-Premise im eigenen Serverraum oder im Rechenzentrum stehen. Das Audit klärt vorab, ob die bestehende Serverlandschaft übernommen werden kann oder ob eine Migration ansteht — und genau hier entscheidet sich ein Großteil des tatsächlichen Preises innerhalb der Paketstufe, weil eine gewachsene, dokumentationsarme Umgebung mehr Einarbeitungszeit kostet als ein sauber aufgesetzter Cluster.

Ein Teil der laufenden Betreuung ist reine Routine, die sich mit Bordmitteln dokumentieren lässt — Clusterstatus, Speicherbelegung und ausstehende Updates gehören zu den Werten, die ein Administrator bei jedem planmäßigen Wartungsfenster prüft:

# Clusterstatus und Knotenzustand
pvecm status
# Belegung der Storage-Pools je Knoten
pvesm status
# Ausstehende Paketupdates vor dem Wartungsfenster
pveversion --verbose | grep -v 'not correctly installed'
apt list --upgradable 2>/dev/null

Für den Beispielbetrieb aus Abschnitt 2 würde die Migration der beiden bestehenden Server auf einen Zwei-Knoten-Cluster den größten Teil der ersten Projektwoche beanspruchen — danach laufen Wartung und Updates im Rahmen des vereinbarten Patch-Fensters, ohne dass der laufende Betrieb das noch spürt.

/05Firewall: OPNsense, Erkennung und die Anbindung ans SIEM

Die Firewall ist im Komplettpaket mit drin, aber ihr Umfang schwankt stärker als der jeder anderen Komponente. Als Plattform setzt HostSpezial OPNsense ein — quelloffen, ohne Lizenzkosten für die Software selbst, womit nur der Betrieb bezahlt wird. OPNsense stuft eingehenden und ausgehenden Verkehr über die Erkennungs-Engine Suricata ein: Ein IDS beobachtet den Datenverkehr und meldet verdächtige Muster, ein IPS geht einen Schritt weiter und verwirft Pakete, die zu einer bekannten Signatur passen, bevor sie ihr Ziel erreichen — die offizielle OPNsense-Dokumentation beschreibt drei Betriebsmodi dafür, von reiner Beobachtung bis zum aktiven Verwerfen über Firewall-Regeln. Die kostenlose Regelbasis ET Open deckt dabei nach Angabe der Dokumentation „nicht die volle Bandbreite" möglicher Signaturen ab — für höhere Abdeckung gibt es eine kostenpflichtige Erweiterung, die im Komplettpaket nicht automatisch enthalten ist.

Im Grundumfang stehen Regelwerk-Pflege, Firmware-Updates und ein lesbares, dokumentiertes Regelwerk statt gewachsener Altlasten. Eine Hochverfügbarkeitslösung mit zwei Firewall-Knoten im Failover-Verbund — laut Anbieterseite mit einer Umschaltzeit von unter zwei Sekunden — ist möglich, aber für 40 Arbeitsplätze meist eine bewusste Zusatzentscheidung, keine Standardausstattung. Dasselbe gilt für die Anbindung der Firewall-Ereignisse an ein zentrales SIEM: Sie ist technisch vorgesehen und optional — wer sie bucht, verbindet die Firewall-Protokolle mit dem Abschnitt zu Monitoring und Grundschutz weiter unten.

Für den Beispielbetrieb aus Abschnitt 2 — ein flaches Netz ohne Trennung zwischen Arbeitsplätzen, Servern und dem Backup-Ziel — gehört die Segmentierung in VLANs zu den ersten Maßnahmen nach der Übernahme, nicht zu einer optionalen Ausbaustufe. In der Praxis reichen für 40 Arbeitsplätze meist drei bis vier Segmente: eines für Arbeitsplätze, eines für Server, eines für das Backup-Ziel und bei Bedarf eines für Gäste-WLAN oder IoT-Geräte wie Drucker und Zugangskontrollen. Ein kompromittierter Arbeitsplatz erreicht in einem solchen Zuschnitt nicht automatisch den Fileserver oder das Backup — er erreicht nur das Segment, in dem er selbst steht, und die Regeln zwischen den Segmenten entscheiden, was darüber hinaus erlaubt ist.

/06Backup: Was „enthalten" wirklich heißt

„Backup & Disaster Recovery" steht in jeder Übersicht des Komplettpakets, und genau diese Kürze ist das Risiko: Ein Backup-Job, der läuft, ist noch kein Beweis dafür, dass im Ernstfall etwas zurückkommt. Im Grundumfang bedeutet der Baustein die Einrichtung und Überwachung der Datensicherung nach dem 3-2-1-Prinzip — mehrere Kopien, mehrere Medien, eine Kopie extern — nicht automatisch eine zugesicherte Wiederanlaufzeit. Ob die Umgebung eine Wiederherstellungszeit (RTO) von vier Stunden oder von vierundzwanzig Stunden braucht, hängt davon ab, was bei Ausfall stillsteht — und das klärt das Audit, nicht der Grundumfang automatisch.

Zwei Fragen gehören deshalb explizit auf den Tisch, bevor ein Komplettpaket unterschrieben wird: Wie oft wird ein Restore tatsächlich getestet, nicht nur das Protokoll geprüft? Und wie weit reicht die Kopie, die den Standort verlässt — reicht eine Kopie im selben Rechenzentrum, oder braucht es einen echten Disaster-Recovery-Standort? Für die eigene Infrastruktur betreibt HostSpezial das primäre Rechenzentrum bei der SÜC in Coburg mit einem Ausweichstandort bei den Stadtwerken Neustadt — eine Trennung über wenige Kilometer, keine Georedundanz über größere Distanzen. Wer für die eigene Umgebung mehr braucht, sollte das im Audit ausdrücklich benennen, statt es stillschweigend vorauszusetzen.

Für den Beispielbetrieb aus Abschnitt 2 — ein NAS als einziges Backup-Ziel, im selben Netz wie die Arbeitsplätze — wäre die erste Maßnahme nach der Übernahme, eine zweite, getrennte Kopie außerhalb dieses Netzes einzurichten und einen ersten Restore testweise durchzuführen, bevor überhaupt über eine konkrete Wiederherstellungszeit gesprochen wird. Wie oft ein Restore danach wiederholt getestet werden sollte, hängt an der Kritikalität der gesicherten Systeme: für den Fileserver reicht in der Praxis oft ein jährlicher Stichprobentest, für den Anwendungsserver mit der Branchensoftware, von dem das Tagesgeschäft abhängt, ist ein kürzerer Rhythmus die nüchternere Wahl. Ein Protokoll, das zeigt „Job erfolgreich", beantwortet diese Frage nicht — nur ein tatsächlich durchgeführter Restore tut das.

/07Monitoring und Security: Wo der Grundschutz endet und Managed Detection anfängt

Hier liegt die Grenze, die in Verkaufsgesprächen am häufigsten verschwimmt. Der Grundumfang des Komplettpakets enthält 24/7-Monitoring der Systeme sowie Firewall, Virenschutz und Patch-Management — also die Basisabsicherung, die verhindert, dass bekannte Lücken offenbleiben und dass ein Ausfall unbemerkt über Nacht eskaliert. Das ist etwas anderes als ein Security Operations Center, das Alarme rund um die Uhr durch Analysten bewerten lässt. HostSpezial bietet das als eigenes Modul namens Managed SOC an: eigene Erkennungsplattform, eine Erstreaktion unter 15 Minuten laut Leistungsbeschreibung, und eine mittlere Erkennungszeit unter 5 Minuten — mit einem eigenen Preismodell ab 12.000 Euro im Jahr, nicht im Komplettpaket-Grundpreis enthalten.

Der Unterschied ist keine Marketing-Feinheit. Patch-Management und Virenschutz verhindern einen Teil der Angriffe; Managed Detection erkennt die, die trotzdem durchkommen, und das in einer Geschwindigkeit, die ein ein- bis zweiköpfiges Team ohne Schichtplan nicht leisten kann — ein eigenes Team für echten 24/7-Betrieb braucht nach Anbieterangabe mindestens fünf Vollzeitstellen. Für einen Betrieb mit 40 Arbeitsplätzen, der nicht unter NIS2 oder vergleichbare Pflichten fällt, ist der Basisschutz oft ausreichend; wer regulatorisch oder wegen des Schadenspotenzials eine echte Incident-Response-Fähigkeit braucht, bucht das Modul separat dazu.

/08Die Preislogik: Was die 59 Euro treiben — und wer mehr zahlt

„Ab 59 Euro je Arbeitsplatz und Monat" ist ein Startpunkt, kein Festpreis für jeden Betrieb mit 40 Arbeitsplätzen. Die reine Rechnung mit dem Einstiegswert ergibt für 40 Arbeitsplätze 2.360 Euro im Monat — eine einfache Multiplikation des veröffentlichten Startpreises, keine eigene Schätzung. Kein Betrieb mit den Befunden aus dem Beispiel in Abschnitt 2 — zwei Standorte, undokumentiertes Firewall-Regelwerk, fehlende Netzsegmentierung — landet tatsächlich bei diesem Einstiegswert; er markiert die Untergrenze für eine bereits aufgeräumte, einfache Umgebung. Was den tatsächlichen Preis innerhalb der Business-Stufe nach oben treibt, lässt sich auf fünf Kostentreiber zurückführen, die das Audit abfragt, bevor ein Angebot steht:

• Serverkomplexität. Ein sauberer Zwei-Knoten-Cluster kostet weniger laufende Betreuung als fünf historisch gewachsene Einzelserver mit unterschiedlichen Betriebssystemständen.
• Vor-Ort-Bedarf. Die Business-Stufe hat Vor-Ort-Support inklusive — aber ein Betrieb mit mehreren Standorten verursacht mehr Anfahrten als einer mit einem Gebäude.
• Helpdesk-Zeiten. Siebentägige Erreichbarkeit kostet mehr Personal-Vorhaltung als eine reine Werktagsabdeckung, unabhängig von der Mitarbeiterzahl.
• Compliance-Anforderungen. Zusätzliche Nachweispflichten, Audits oder ein zugebuchtes Managed-SOC-Modul kommen on top, nicht im Grundpreis.
• Zustand der Altumgebung. Ein Audit, das undokumentierte Altlasten vorfindet, treibt die Einführungsphase in die Länge — und damit indirekt den Preis, bevor der laufende Betrieb überhaupt beginnt.

Die ehrliche Kurzfassung: 59 Euro ist der Boden, nicht der Durchschnitt. Ein Angebot ohne vorheriges Audit, das direkt einen Festpreis nennt, hat diese fünf Treiber entweder geraten oder ignoriert — beides ist für den Kunden am Ende teurer als ein Audit, das zwei Tage dauert.

/09Wo es hakt — und wann ein Komplettpaket die falsche Wahl ist

Ein Komplettpaket ist kein Allheilmittel, und drei Konstellationen sprechen dagegen, bevor überhaupt ein Audit nötig wird.

Der Betrieb ist zu klein oder zu speziell

Unter rund zehn Mitarbeitern trägt sich die Vorhaltung eines festen Ansprechpartner-Teams selten — hier sind Einzelleistungen oder ein kleineres Servicepaket wirtschaftlicher. Am anderen Ende: Betriebe, deren IT fast ausschließlich aus einer hochspezialisierten Fachanwendung besteht, die eigene, tiefe Herstellerkenntnis braucht, kaufen mit einem Komplettpaket Leistung, die sie für ihr Kernproblem gar nicht nutzen.

Die eigene IT-Abteilung funktioniert bereits gut

Wer ein eingespieltes internes Team hat, das nur punktuelle Entlastung braucht — etwa bei Spitzenlast oder für ein Projekt —, kauft mit einem Vollübernahme-Vertrag mehr, als nötig ist. Hier passt eine Ergänzung besser als eine Übernahme.

Vor-Ort-Präsenz rund um die Uhr wird vorausgesetzt

„Vor-Ort-Support inklusive" in der Business-Stufe bedeutet regelmäßige, vereinbarte Einsätze vor Ort — keine permanente Präsenz einer Fachkraft im Gebäude. Ein Schichtbetrieb, der eine durchgehend anwesende IT-Kraft braucht, bekommt das nicht automatisch über ein Standard-Komplettpaket, sondern muss es als Zusatzvereinbarung explizit festlegen.

In der Praxis lohnt sich ein Komplettpaket für die meisten Betriebe zwischen 25 und 100 Arbeitsplätzen, die IT betreiben müssen, aber nicht als Kerngeschäft betrachten — und die bereit sind, die Preislogik aus Abschnitt 8 vor der Unterschrift zu verstehen, statt sich auf eine einzelne Zahl zu verlassen.

/10Häufige Fragen