Beim Anbieterwechsel darf kein Admin-Zugang übrig bleiben

Ein Anbieterwechsel wirkt oft erledigt, sobald Vertrag, Übergabetermin und neuer Ansprechpartner feststehen. Für den IT-Betrieb beginnt der riskante Teil aber danach: Alte Konten, geteilte Admin-Zugänge, API-Schlüssel und Supportrechte müssen nachweisbar aus dem produktiven Alltag verschwinden.

Provider Management meint hier nicht nur Einkauf und Vertragsverwaltung. Es geht um die Frage, welche fremden Personen, Werkzeuge und Prozesse noch technisch in den Betrieb hineinreichen. Für ITSM-Generalisten ist das entscheidend, weil ein formaler Dienstleisterwechsel wenig schützt, wenn der alte Anbieter weiterhin Rechte besitzt, Logdaten sieht oder Änderungen auslösen kann.

Der Vertrag beendet keinen Zugang

Ein Vertrag kann enden, ohne dass ein einziges Konto automatisch verschwindet. Besonders kritisch sind gemeinsam genutzte Admin-Konten, alte VPN-Zugänge, persönliche Konten früherer Supportmitarbeiter, API-Tokens, Monitoring-Zugriffe und Servicekonten in Cloud-Plattformen. Sie liegen oft nicht an einer zentralen Stelle, sondern verteilt über Portale, Ticketsysteme, Passwortsafe, Dokumentation und technische Konfiguration.

Darum reicht eine Abschlussmail des bisherigen Providers nicht aus. Der Betrieb braucht eine Liste der berührten Systeme und einen sichtbaren Rechtecheck. Diese Liste muss nicht perfekt aus einem Tool kommen. Sie muss aber so konkret sein, dass jemand sagen kann: Dieser Zugang bleibt, dieser Zugang wird übertragen, dieser Zugang wird deaktiviert und dieser Schlüssel wurde ersetzt.

Übergabe heißt auch Beweisfähigkeit

Ein sauberer Anbieterwechsel braucht mehr als neue Kontaktdaten. Der neue Dienstleister muss wissen, welche Rechte er wirklich braucht. Der alte Dienstleister muss Rechte verlieren, die er nicht mehr benötigt. Und das interne Team muss belegen können, dass beides passiert ist. Ohne diesen Nachweis entsteht im nächsten Audit oder Sicherheitsvorfall eine unangenehme Lücke.

Hilfreich ist ein Übergabeprotokoll mit vier Spalten: System oder Dienst, bisheriger Zugriff, künftiger Besitzer, Nachweis der Änderung. In die letzte Spalte gehören keine vagen Sätze wie erledigt oder geprüft. Besser sind konkrete Nachweise: Konto deaktiviert am Datum, Rolle entzogen, Schlüssel rotiert, Passwort geändert, Ticketnummer dokumentiert, Protokollauszug abgelegt.

Geteilte Konten sind die gefährlichste Abkürzung

Viele Providerbeziehungen starten pragmatisch. Ein gemeinsames Konto wird eingerichtet, damit die Arbeit schnell beginnt. Jahre später ist unklar, wer das Passwort kennt, welche Automationen davon abhängen und ob der Zugriff noch protokolliert wird. Beim Anbieterwechsel wird diese Abkürzung zum Risiko, weil Verantwortlichkeit und Nachvollziehbarkeit verschwimmen.

Der Rechtecheck sollte deshalb geteilte Konten zuerst behandeln. Wo immer möglich, werden persönliche oder rollenbasierte Konten mit klarer Zuordnung genutzt. Wenn ein technisches Servicekonto bleiben muss, braucht es einen neuen Besitzer, neue Zugangsdaten, dokumentierte Nutzung und eine Prüfung, ob sein Berechtigungsumfang noch passt. Ein bloßer Passwortwechsel ist besser als nichts, aber oft nicht ausreichend, wenn Token, Zertifikate oder hinterlegte Schlüssel weiterleben.

Auch Monitoring und Wissenstransfer zählen

Providerwechsel scheitern nicht nur an Adminrechten. Häufig bleiben alte Monitoring-Benachrichtigungen, externe Dashboards, Wartungsfenster, Statusverteiler oder Notfallkontakte aktiv. Dann meldet ein altes System weiter an den falschen Ansprechpartner oder der neue Anbieter erfährt im Ausfall zu spät, welche Abhängigkeit betroffen ist.

Zur technischen Rechteprüfung gehört deshalb ein Kommunikationscheck. Welche Verteiler informieren über Störungen? Wer bekommt Alarme? Wer besitzt Runbooks, Wiederanlaufnotizen und Zugang zum Wissenssystem? Welche Telefonnummer ist auf Statusseiten, im Bereitschaftsplan oder im Eskalationsschema hinterlegt? Erst wenn diese Punkte aktualisiert sind, ist der Betrieb wirklich beim neuen Verantwortlichen angekommen.

Der Service Owner muss den Schlussstrich ziehen

Ein Providerwechsel darf nicht allein beim Einkauf enden. Der Service Owner sollte den operativen Abschluss bestätigen. Dazu gehört eine kurze Prüfung mit IT-Betrieb, Security, Service Desk und dem neuen Anbieter. Die Leitfrage lautet: Gibt es noch einen Weg, über den der alte Anbieter produktiv handeln, mitlesen oder den Betrieb beeinflussen könnte?

Diese Frage klingt streng, ist aber praktisch. Sie verhindert, dass niemand für Restzugänge zuständig ist. Sie schützt den neuen Anbieter vor Altlasten, entlastet den Service Desk bei späteren Störungen und macht Audits einfacher. Außerdem zwingt sie dazu, Provider Management als Betriebsaufgabe zu behandeln und nicht nur als Vertragswechsel.

Eine kurze Checkliste reicht für den Anfang

Für den nächsten Anbieterwechsel genügt oft eine einfache Startliste. Erstens: alle Systeme und Portale erfassen, in denen der alte Anbieter Rechte hatte. Zweitens: persönliche Konten, Sammelkonten, Servicekonten, Tokens und Zertifikate getrennt prüfen. Drittens: Notfallkontakte, Monitoring, Statusverteiler und Dokumentationszugriffe aktualisieren. Viertens: Änderungen mit Ticketnummer, Datum und Verantwortlichem belegen.

Der wichtigste Punkt ist nicht die Form der Liste, sondern ihr verbindlicher Abschluss. Ein Anbieterwechsel ist erst beendet, wenn keine offenen Restrechte mehr ungeprüft bleiben. Wer diesen Rechtecheck sichtbar macht, reduziert Sicherheitsrisiken, klärt Zuständigkeiten und verhindert, dass der alte Dienstleister im Betrieb länger präsent bleibt als im Vertrag.

Quellen und Einordnung: NCSC zur Bewertung von Supply-Chain-Cyberrisiken, CIS Controls zu Account Management, Axelos zu Supplier Management in ITIL 4. Stand der Quellenprüfung: 14.07.2026. Bildquelle: Pexels, Foto-ID 955390.