IT-Servicekatalog für IT-Dienstleister: Was regeln Vertrag und Betriebsführungshandbuch?

Der Kunde ruft an: „Können Sie bitte die Buchhaltungsdaten von gestern wiederherstellen?“

Klingt nach einem gewöhnlichen Restore. Bis die ersten Rückfragen kommen. Sichern wir dieses System überhaupt? Nur die virtuelle Maschine oder auch die Datenbank? Kann der Kunde die Wiederherstellung in unserem Kunden-Tool selbst anstoßen? Dürfen wir den heutigen Datenbestand überschreiben? Wer beim Kunden darf das freigeben? Und ist der Restore in der Monatspauschale enthalten oder wird er nach Aufwand abgerechnet?

Fünf Minuten später diskutieren Service Desk, Technik und Chef darüber, was man „normalerweise“ macht. Der Kunde wartet derweil auf seine Buchhaltung.

Das Problem ist nicht, dass Ihre Mitarbeiter nicht wissen, wie eine Wiederherstellung technisch funktioniert. Das Problem ist, dass drei unterschiedliche Fragen in einem einzigen Ticket landen: Was bieten wir grundsätzlich an? Was hat dieser Kunde beauftragt? Und wie wird die Leistung in seiner Umgebung konkret erbracht?

Die kurze Antwort

Ein IT-Servicekatalog für IT-Dienstleister beschreibt die wiederholbaren Leistungen, die Sie grundsätzlich anbieten. Der Kundenvertrag beziehungsweise seine Leistungsbeschreibung legt fest, welche dieser Leistungen ein bestimmter Kunde beauftragt hat. Das Betriebsführungshandbuch beschreibt anschließend, wie Sie die vereinbarte Leistung in genau dieser Kundenumgebung erbringen.

Das sind drei Ebenen, keine drei Namen für dasselbe Dokument:

Diese Trennung schafft keine Bürokratie um ihrer selbst willen. Sie verhindert, dass Ihre Mitarbeiter bei jeder Kundenanfrage Leistungsumfang, Preis, Zuständigkeit und Sicherheitsregeln neu erfinden.

Ein Servicekatalog ist kein Vertrag

Der Servicekatalog beschreibt Ihr grundsätzliches Angebot. Er beantwortet beispielsweise, ob Sie überhaupt einzelne Datei-Restores durchführen, oder ob Sie immer nur vollständige Systeme wiederherstellen oder nur eine Self-Service-Plattform bereitstellen. Er kann Standardvarianten, Voraussetzungen, Ausschlüsse und ein übliches Abrechnungsmodell enthalten.

Damit versprechen Sie aber noch nicht jedem Kunden jede aufgeführte Leistung. Ein Restaurant bietet auf seiner Karte schließlich auch mehrere Gerichte an, ohne sie ungefragt alle an jeden Tisch zu bringen.

Der Vertrag oder eine zugehörige Leistungsbeschreibung trifft die Auswahl für den konkreten Kunden. Dort steht etwa, dass Sie die virtuelle Infrastruktur und das Backup des Buchhaltungssystems betreiben, welche Aufbewahrung vereinbart ist und welche Wiederherstellungsleistungen enthalten sind. Ein anderer Kunde bucht vielleicht nur Monitoring und Patchmanagement. Der kann aus Ihrem Restore-Angebot nicht allein deshalb Ansprüche ableiten, weil es im allgemeinen Katalog steht.

Umgekehrt sollte der Vertrag nicht jedes technische Detail der Durchführung enthalten. Ändert sich der Name eines Sicherungsjobs oder wird das Backup auf ein anderes Repository verschoben, wollen Sie normalerweise nicht erst einen neuen Vertrag verhandeln.

Das Betriebsführungshandbuch ist keine Hochglanzbroschüre

Das Betriebsführungshandbuch setzt dort an, wo der Vertrag bewusst aufhört. Es übersetzt die vereinbarte Leistung in die konkrete Kundenumgebung.

Für eine Backup-Wiederherstellung kann dort beispielsweise stehen:

• welche Systeme und Daten tatsächlich gesichert werden;
• welche Sicherungsjobs und Speicherorte dazugehören;
• wie lange Sicherungen verfügbar sind;
• welche Ansprechpartner einen Restore verlangen und freigeben dürfen;
• ob in das Produktivsystem oder zunächst in eine getrennte Umgebung wiederhergestellt wird;
• wer vor dem Überschreiben vorhandener Daten zustimmen muss;
• wie das Ergebnis technisch und durch den Kunden geprüft wird;
• welche Eskalation gilt, wenn die Sicherung unbrauchbar ist.

Das Dokument kann anders heißen. Kundenbetriebshandbuch, Betriebshandbuch, Servicehandbuch oder technische Kundendokumentation sind ebenfalls gebräuchlich. Entscheidend ist nicht das Etikett, sondern dass Ihre Mitarbeiter die kundenspezifische Umsetzung zuverlässig finden.

Das BSI beschreibt in seinem Baustein zum allgemeinen IT-Betrieb Betriebshandbücher ebenfalls als lebende Dokumente mit System- und Kontaktinformationen, Rollen, Monitoring, Datensicherung, Incident Management sowie regelmäßigen und außerplanmäßigen Tätigkeiten. Das ist keine automatische ISO-Pflicht und nicht exakt dasselbe wie Ihr kundenspezifisches Betriebsführungshandbuch. Es zeigt aber: Die Idee, konkreten Betrieb konkret zu beschreiben, ist keineswegs eine verschrobene Erfindung für den Auditordner: Es ist eine klare Umsetzung der ISO 27001 Anforderung 8.1.

Was gehört in einen praxistauglichen Servicekatalog?

Sie brauchen keinen Online-Shop mit 400 Kacheln und animiertem Warenkorb. Für den Anfang kann ein Servicekatalog eine gepflegte Tabelle sein. Jeder Serviceeintrag sollte jedoch so klar sein, dass Vertrieb, Service Desk und Technik dieselbe Leistung darunter verstehen.

Name und Zweck

„Backup“ ist als Servicebezeichnung zu grob. „Dateien aus verwalteter Sicherung wiederherstellen“ oder „Virtuelle Maschine vollständig wiederherstellen“ sagt deutlich mehr. Beschreiben Sie kurz, welches Kundenproblem der Service löst.

Enthaltene und ausgeschlossene Leistungen

Ist nur die technische Wiederherstellung enthalten oder auch eine fachliche Prüfung der Anwendung? Stellen Sie Daten an ihrem ursprünglichen Ort wieder her oder zusätzlich in einer isolierten Umgebung? Unterstützen Sie Self-Service oder führen Sie den Restore selbst aus?

Gerade Ausschlüsse verhindern spätere Überraschungen. Wer eine komplette VM sichert, hat nicht automatisch garantiert, dass jede Anwendung darin konsistent und ohne weitere Schritte startet.

Voraussetzungen

Ein Restore setzt eine vorhandene, erfolgreiche Sicherung voraus. Außerdem können Speicherplatz, administrative Zugänge, Wartungsfenster, Mitwirkung des Kunden oder eine gesonderte Freigabe erforderlich sein.

Anforderung und Berechtigung

Über welchen Weg darf der Service bestellt werden? Welche Angaben braucht das Ticket? Wer ist grundsätzlich berechtigt, eine Wiederherstellung anzufordern? Die kundenspezifischen Namen gehören später ins Betriebsführungshandbuch, das allgemeine Berechtigungsmodell schon in den Service.

Standardvarianten und Leistungsgrenzen

Sie können beispielsweise Datei-, VM- und Datenbank-Restore unterscheiden. Auch Standard-Servicezeiten, Prioritätsvarianten oder ein grundsätzliches Abrechnungsmodell können hier beschrieben werden. Die konkrete Auswahl trifft anschließend der Kundenvertrag.

Verantwortung

Der Servicekatalog braucht intern einen Besitzer, der ihn wartet, nicht mehr angebotene Leistungen rausstreicht, vorhandene ändert und neue hinzufügt. Sonst bleibt der Katalog nach seiner feierlichen Erstellung unangetastet liegen, während Technik und Verträge fröhlich weiterwandern.

Das Restore-Beispiel durch alle drei Ebenen

Nehmen wir an, Ihr Katalog enthält den Service „Wiederherstellung von Dateien aus verwalteter Sicherung“.

Der Katalog beschreibt grundsätzlich, dass Dateien aus Systemen wiederhergestellt werden können, deren Backup durch Sie betrieben wird. Er nennt benötigte Angaben wie System, Pfad und gewünschter Sicherungszeitpunkt. Er grenzt aus, dass eine Wiederherstellung keine fachliche Reparatur beschädigter Buchhaltungsdaten umfasst. Außerdem legt er fest, dass produktive Daten nur nach ausdrücklicher Freigabe überschrieben werden.

In der Leistungsbeschreibung des Kunden steht, dass Sie den Fileserver und die Buchhaltungsanwendung sichern. Datei-Restores sind während der vereinbarten Servicezeit möglich und werden nach Aufwand abgerechnet. Für die Buchhaltungsdaten gilt eine Aufbewahrung von 30 Tagen. Der Kunde ist für die fachliche Prüfung nach dem Restore verantwortlich.

Im Betriebsführungshandbuch stehen schließlich die Namen der Systeme, die Sicherungsjobs, das Repository, die Ansprechpartner und der konkrete Wiederherstellungsweg. Dort ist auch festgehalten, dass Daten zunächst in ein getrenntes Verzeichnis wiederhergestellt und vom Leiter Rechnungswesen geprüft werden. Erst danach wird entschieden, ob produktive Dateien ersetzt werden.

Jetzt muss der Techniker nicht mehr gleichzeitig Vertragsauslegung, Risikobewertung und Arbeitsvorbereitung betreiben. Er sieht im Ticket, welcher Service angefragt wurde, prüft die kundenspezifische Berechtigung und arbeitet nach dem vorgesehenen Weg.

Zweiter Stresstest: Der Kunde möchte einen Server-Admin

Der Kunde schreibt: „Legen Sie unserem neuen Kollegen bitte einen Admin-Account auf dem Server an.“

Auch hier helfen dieselben Ebenen:

• Servicekatalog: Bieten Sie die Vergabe eigener administrativer Kundenzugänge grundsätzlich an? Unter welchen Voraussetzungen und mit welchen Sicherheitsgrenzen?
• Vertrag: Ist das für diesen Kunden und diese Systeme vereinbart? Wer trägt welche Verantwortung, wenn der Kunde selbst Konfigurationen falsch verändert?
• Betriebsführungshandbuch: Welcher Server ist gemeint, wer darf den Zugang freigeben, welche Gruppe wird vergeben, ist MFA erforderlich, wie wird die Nutzung protokolliert und wann wird der Zugang entzogen?

Die Frage ist eben nicht nur, ob Ihr Techniker technisch einen Account anlegen kann. Ein zusätzlicher Administrator verändert Zugriffsrisiken, Verantwortlichkeiten, Änderungswege und möglicherweise die Aussagekraft Ihrer Betriebsnachweise. Unser Artikel über Adminrechte nach ISO 27001 erläutert, warum privilegierte Zugriffe nicht wie Bonbons verteilt werden sollten.

Was hat das mit ISO 27001 zu tun?

ISO 27001 verlangt keinen Servicekatalog und kein Betriebsführungshandbuch mit genau diesen Namen. Die Norm interessiert sich aber sehr wohl dafür, ob Sie notwendige Prozesse planen, umsetzen und steuern können.

Abschnitt 8.1 zur Planung und Steuerung von Prozessen wird besonders relevant, wenn Ihre Risikobehandlung auf geregelte Backups, Wiederherstellungen, privilegierte Zugriffe, Freigaben und dokumentierte Änderungen setzt. Dann müssen diese Dinge im Kundenbetrieb tatsächlich funktionieren.

Ein klarer Servicekatalog macht wiederkehrende Leistungen und ihre Grenzen sichtbar. Der Vertrag ordnet Anforderungen und Verantwortlichkeiten einem Kunden zu. Das Betriebsführungshandbuch bringt Sicherheitsmaßnahmen in die konkrete Durchführung. Zusammen helfen die drei Ebenen bei:

• der Abgrenzung des ISMS und der relevanten Kundenleistungen;
• einer skalierbaren Bewertung von Informationssicherheitsrisiken;
• klaren Rollen, Freigaben und Zugriffsrechten;
• einheitlichen Betriebsabläufen;
• nachvollziehbaren Tickets und Nachweisen;
• der Steuerung kundenspezifischer Abweichungen.

Welche Formen solche Nachweise annehmen können, zeigt unser Beitrag über praxistaugliche ISO 27001-Dokumentation. Das Ticket, die Freigabe und das Restore-Protokoll können dabei wertvoller sein als eine weitere Richtlinie, die niemand im Betrieb öffnet.

Das ist etablierter Servicebetrieb, kein neues Beratermärchen

Servicekataloge und Service-Management haben wir uns nicht für diese Artikelserie ausgedacht. ITIL behandelt Service-Management-Strukturen seit Jahrzehnten. ISO/IEC 20000-1 ist die internationale Norm für Service-Managementsysteme und umfasst Planung, Gestaltung, Übergang, Erbringung und Verbesserung von Services.

Sie müssen weder ITIL vollständig einführen noch eine ISO 20000-Zertifizierung anstreben. Die etablierten Begriffe sorgen aber dafür, dass neue Mitarbeiter, erfahrene Service-Manager und viele Kunden Ihre Struktur wiedererkennen. Das ist meist angenehmer, als ein eigenes Vokabular mit 17 Abkürzungen zu erfinden.

Was passiert mit Sonderwünschen?

Ein Servicekatalog bedeutet nicht, dass Sie nur noch vorgefertigte Leistungen erbringen dürfen. Er schafft einen Normalfall und macht Abweichungen erkennbar.

Ist ein Kundenwunsch nicht enthalten, gibt es drei ehrliche Möglichkeiten:

1. Sie lehnen ihn ab oder verweisen auf eine vorhandene Alternative.
2. Sie behandeln ihn als gesonderten Auftrag oder Change und prüfen Aufwand, Risiken, Verantwortung und Preis.
3. Sie erkennen eine wiederkehrende Nachfrage und entwickeln daraus einen neuen standardisierten Service.

Ein Time-and-Material-Vertrag ersetzt diese Entscheidung nicht. „Wir dürfen Stunden abrechnen“ beantwortet weder, ob Sie die Leistung übernehmen wollen, noch ob Ihre Mitarbeiter dafür berechtigt, vorbereitet und abgesichert sind.

So starten Sie ohne Servicekatalog-Großprojekt

Nehmen Sie die letzten 50 bis 100 Tickets. Gruppieren Sie wiederkehrende Leistungen und markieren Sie diejenigen, die Daten, privilegierte Zugriffe, Verfügbarkeit oder produktive Änderungen betreffen.

Beginnen Sie mit fünf bis zehn häufigen oder sicherheitsrelevanten Services. Backup-Wiederherstellung, Benutzer- und Rechteverwaltung, Firewalländerungen, Patchmanagement und Einrichtung neuer Geräte sind oft ergiebige Kandidaten.

Für jeden Service beantworten Sie zunächst nur:

1. Was leisten wir genau – und was nicht?
2. Welche Voraussetzungen und Freigaben gelten?
3. Welche Standardvarianten bieten wir an?
4. Wie wird die Leistung beauftragt und abgerechnet?
5. Wer ist intern verantwortlich?
6. Welche kundenspezifischen Angaben müssen Vertrag und Betriebsführungshandbuch ergänzen?

Danach legen Sie Ihre Bestandsverträge daneben. Wo passt die Leistungsbeschreibung zum Katalog? Wo versprechen Sie Dinge, die operativ nicht definiert sind? Und wo erbringen Ihre Mitarbeiter längst Leistungen, die nirgendwo vereinbart wurden?

Der Einstiegsartikel dieser Serie für IT-Dienstleister, Systemhäuser und MSPs beschreibt das größere Bild: Warum ein undefinierter Kundenbetrieb die ISO 27001 unnötig aufbläht. Der Servicekatalog ist ein erster Hebel, um aus spontanen Einzelfallentscheidungen wiederholbare Leistungen zu machen.

Im nächsten Artikel schauen wir uns an, wie Kundenwunsch, Service Request und Incident voneinander getrennt werden – ohne dass der Kunde zunächst ein ITIL-Zertifikat vorzeigen muss.

Interesse geweckt?

Sie möchten Ihre Kundenleistungen so strukturieren, dass Vertrieb, Technik, Informationssicherheit und Kunde dasselbe darunter verstehen? Sprechen Sie mit uns

Dieser Artikel beschreibt eine betriebliche Struktur und ersetzt keine rechtliche Prüfung Ihrer konkreten Kundenverträge.