Nach dem Anbieterwechsel beginnt die heikle Prüfung von Daten und Zugängen

Ein Anbieterwechsel endet im Betrieb nicht mit dem neuen Vertrag und auch nicht mit dem ersten stabilen Arbeitstag. Entscheidend ist, ob der alte Dienstleister Daten, Zugänge, Kopien und offene Pflichten nachvollziehbar abgegeben hat.

Provider Management klingt oft nach Einkauf, Vertrag und Service Level. Für ITSM-Generalisten ist es aber vor allem eine Betriebsfrage. Ein Dienstleister verwaltet Daten, besitzt Zugänge, kennt Übergangslösungen und hält manchmal Wissen, das im Alltag kaum jemand vollständig dokumentiert hat. Genau deshalb wird das Vertragsende zu einem operativen Risiko, wenn nur der Wechseltermin, aber nicht der Abschlussnachweis geplant ist.

Der gefährliche Moment entsteht kurz nach dem Go-live des neuen Anbieters. Das neue Tool funktioniert, der Support läuft, die wichtigsten Tickets werden beantwortet. Gleichzeitig bleiben beim bisherigen Partner noch Exportdateien, Testzugänge, alte Administrationsrechte, offene Rückfragen oder vereinbarte Löschfristen liegen. Für Nutzer ist der Wechsel abgeschlossen. Für den Betrieb beginnt dann die Prüfung, ob wirklich nichts Kritisches im alten Pfad zurückbleibt.

Der letzte Datenabzug braucht einen fachlichen Zweck

Datenrückgabe wird leicht als technischer Export verstanden. Ein Archivordner, eine ZIP-Datei oder ein Datenbankdump reichen aber nicht automatisch aus. Entscheidend ist, ob die Daten für den künftigen Betrieb nutzbar, verständlich und vollständig genug sind. Dazu gehören Ticketverläufe, offene Vorgänge, Servicehistorie, Konfigurationsbezüge, Wissensartikel und Nachweise zu kritischen Änderungen.

ITSM sollte deshalb vor dem Wechsel festlegen, welche Daten nach dem Ende noch gebraucht werden. Diese Liste muss nicht maximal sein. Sie muss erklären, wofür ein Datensatz später benötigt wird. Braucht der Service Desk alte Störungshistorie für Wiederholungsfehler? Benötigt Governance Auditbelege? Muss der neue Anbieter offene Problem-Records nachvollziehen? Ohne diese Zweckprüfung entsteht entweder ein unnötiger Datenberg oder eine Lücke, die erst im nächsten Ausfall sichtbar wird.

Gelöschte Kopien sind kein Vertrauenssatz

Wenn personenbezogene Daten verarbeitet wurden, ist der alte Dienstleister häufig Auftragsverarbeiter. Die Datenschutz-Grundverordnung verlangt in Artikel 28, dass der Auftragsverarbeiter nach Abschluss der Leistung personenbezogene Daten nach Wahl des Verantwortlichen löscht oder zurückgibt, sofern keine rechtliche Aufbewahrungspflicht entgegensteht. Für ITSM heißt das praktisch: Die Löschung oder Rückgabe darf nicht nur im Vertrag stehen, sondern muss als nachvollziehbarer Schritt im Exit-Prozess erscheinen.

Ein brauchbarer Nachweis muss für den Betrieb verständlich sein. Welche Systeme waren betroffen? Welche Daten wurden zurückgegeben? Welche Kopien wurden gelöscht? Welche Backups bleiben noch für welche Dauer bestehen? Wer hat den Abschluss bestätigt? Diese Fragen sind nicht nur Datenschutzformalität. Sie schützen auch vor späteren Konflikten, wenn nach Monaten unklar ist, warum ein alter Anbieter noch Datenbestände oder Zugriffsmöglichkeiten erwähnt.

Zugänge schließen ist mehr als Passwortwechsel

Beim Anbieterwechsel denkt der Betrieb oft an die bekannten Benutzerkonten. Kritischer sind jedoch Randzugänge: API-Schlüssel, temporäre Admin-Rechte, VPN-Profile, Servicekonten, Monitoring-Integrationen, Notfallkontakte und gemeinsame Mailverteiler. Ein Passwortwechsel hilft wenig, wenn ein alter Token weiter gültig ist oder eine Eskalationsliste den früheren Partner noch in den Nachtalarm zieht.

Deshalb gehört zum Exit ein Rechteabgleich mit mehreren Blickwinkeln. Identity Management zeigt persönliche Konten. Die CMDB oder Serviceliste zeigt technische Schnittstellen. Das Incident- und Bereitschaftsmodell zeigt Kommunikationswege. Erst wenn diese Sichten zusammenkommen, wird sichtbar, ob der alte Anbieter wirklich aus dem produktiven Betrieb herausgelöst ist.

Der neue Anbieter braucht nicht jedes alte Detail

Ein sauberer Wechsel bedeutet nicht, dass alle Informationen ungefiltert weitergegeben werden. Alte Workarounds, historisch gewachsene Ausnahmen und nicht mehr gültige Notizen können den neuen Betrieb sogar belasten. Sinnvoller ist eine Übergabestruktur mit klaren Ebenen: aktive Vorgänge, bekannte Risiken, notwendige Historie, abgeschlossene Nachweise und bewusst nicht übernommene Altlasten.

Diese Trennung verhindert, dass das neue Team mit alten Daten überfüllt wird und trotzdem die falschen Lücken bleiben. Der Service Owner sollte mit dem neuen Anbieter klären, welche Informationen tatsächlich handlungsrelevant sind. Der alte Anbieter liefert nicht einfach ein Datenpaket ab. Er hilft, die betriebliche Anschlussfähigkeit herzustellen.

Ein Abschlussprotokoll macht den Wechsel belastbar

Der wichtigste Kontrollpunkt ist ein kurzes, verbindliches Abschlussprotokoll. Es hält fest, welche Daten zurückgegeben wurden, welche Daten gelöscht wurden, welche Restfristen gelten, welche Zugänge deaktiviert sind und welche offenen Punkte noch einen Besitzer haben. Dieses Protokoll gehört nicht in eine Ablage für Juristen allein. Es muss auch für Service Desk, Service Owner, Datenschutz und Security auffindbar sein.

So wird aus dem Anbieterwechsel kein unsichtbarer Vertrauenssprung. Der Betrieb kann im nächsten Audit, bei einer Störung oder bei einer Datenschutzfrage zeigen, was wann geprüft wurde. Ein Anbieterwechsel ist erst dann wirklich ruhig, wenn der alte Dienstleister nicht mehr als offene Hintertür, ungeklärter Datenort oder unklarer Wissensspeicher im Servicebetrieb auftaucht.

Quellen und Einordnung NCSC zur Sicherheit in Lieferketten, NIST SP 800-161 Rev. 1 zu Cybersecurity Supply Chain Risk Management, CISA zu ICT Supply Chain Security, DSGVO Artikel 28 zur Auftragsverarbeitung. Stand der Quellenprüfung: 09.07.2026. Bildquelle: Pexels, Foto-ID 48148.