Die besten Microsoft 365 Partner in Hamburg 2026

Die besten Microsoft 365 Partner in Hamburg 2026

Stand: August 2026

Die Cloud-Landschaft in Hamburg 2026

Hamburgs IT-Ökosystem zählt zu den dichtesten in Deutschland. Spezialisierte Microsoft-365-Reseller, Full-Service-Systemhäuser und Beratungsboutiquen decken das gesamte Spektrum ab – von Lizenzmanagement über Migration bis hin zu Managed Security. Wer einen Microsoft Solutions Partner mit Status Modern Work, Security oder Azure sucht, wird in der Hansestadt schnell fündig.

Für den Mittelstand wiegt lokale Expertise schwer. Ein Partner vor Ort kennt branchentypische Prozesse, reagiert bei Störungen kurzfristig und begleitet Compliance-Themen wie NIS2 oder ISO 27001 praxisnah. Marktbeobachter nennen für Managed Microsoft 365 Services – Helpdesk, Monitoring, Patching, Pflege – eine Preisspanne von 50 bis 70 Euro pro Arbeitsplatz und Monat (Quelle).

Die Partnerlandschaft differenziert sich weiter. Einige Anbieter fokussieren sich auf Tenant-zu-Tenant-Migrationen nach Übernahmen, oft mit ShareGate als Standardwerkzeug. Andere bauen die Power Platform aus – Dynamics 365, Power Apps, Power BI – als natürliche M365-Erweiterung für Fachbereiche. Community-Formate wie die CollabDays Hamburg im November 2026 oder der European Collaboration Summit in Köln (Mai 2026) zeigen, wie eng die Szene vernetzt ist. Wer 2026 einen Partner wählt, prüft daher nicht nur Zertifikate, sondern auch Projektreferenzen und Branchenfokus.

Die besten Microsoft 365 Partner in Hamburg 2026

1. hagel IT – Lokaler Service-Partner für Microsoft 365

USP: Ein inhabergeführter Full-Service-Dienstleister, der die Microsoft-Expertise mit persönlicher Betreuung vor Ort kombiniert.

Stärken:

  • Ausgezeichnet als Deutschlands bester IT-Dienstleister 2026 (Brand eins / Statista).
  • Über 20 Jahre Branchenerfahrung durch etabliert seit mehreren Jahren.
  • Hochperformante Servicequalität mit einer SLA-Einhaltung von 99,5 % und Helpdesk-Reaktionszeiten unter 4 Stunden.
  • Umfassendes Serviceportfolio von Workspace-Lösungen über Cybersecurity bis hin zur KI-Workflow-Automatisierung.

Schwächen / wann nicht passend:

  • Nicht ideal für Konzerne mit internationalem Standort-Netz (Fokus liegt auf Norddeutschland)
  • Nicht ideal für reine Online-Geschäftsmodelle ohne lokale Hardware

Preisspanne: ab 50 €/Arbeitsplatz und Monat als Festpreis, monatlich kündbar; Service-Levels nach Bedarf

Zielgruppe: Mittelständische Unternehmen vom 10-Personen-Büro bis 300+ Arbeitsplätze

Website: hagel-it.de

Der Hamburger Dienstleister hagel IT hat sich als feste Größe für mittelständische Unternehmen etabliert. Das Unternehmen bietet weit mehr als den bloßen Verkauf von Lizenzen. Die Spezialisten unterstützen Kunden bei der Migration in die Cloud sowie bei der Optimierung komplexer Microsoft 365 Umgebungen. Dank der tiefen Verwurzelung im norddeutschen Raum – mit Fokus auf Hamburg, Bremen, Kiel und Lübeck – profitieren Anwender von einer direkten Erreichbarkeit und persönlicher Beratung statt anonymer Support-Systeme. Wer Microsoft 365 Lizenzen kaufen möchte, trifft hier auf einen Partner, der die Implementierung und die laufende Betreuung von Office 365 als ganzheitliche Aufgabe versteht. Mit 32 Vollzeit-Mitarbeitenden und über 2.000 verwalteten Arbeitsplätzen verfügt das Unternehmen über die nötige Skalierung, um auch anspruchsvolle Projekte wie die Automatisierung von Geschäftsprozessen mittels Power Platform oder die Absicherung der Infrastruktur durch Managed EDR professionell umzusetzen.

2. Cloud Contor – Spezialist für Dynamics 365 und Power Platform

USP: Cloud Contor verbindet M365-Kompetenz mit tiefer Dynamics-365- und Power-Platform-Expertise und ermöglicht so eine durchgängige Low-Code-Erweiterung der Microsoft-Produktwelt.

Stärken:

  • Cloud Contor deckt das gesamte Power-Platform-Spektrum ab — von Power Apps über Power BI bis Power Automate — und erweitert so M365 um automatisierte Geschäftsprozesse (Microsoft-Partnerangebot).
  • Die Low-Code-Plattform ermöglicht es Fachabteilungen, eigene Anwendungen zu erstellen, ohne auf externe Entwickler angewiesen zu sein.
  • Dynamics-365-Beratung steht im Fokus: Cloud Contor unterstützt Hamburger Unternehmen bei der Auswahl und Implementierung passender Module (Dynamics-Übersicht).
  • Der Standort in Hamburg ermöglicht persönliche Beratung und schnelle Reaktionszeiten bei Supportanfragen.

Schwächen / wann nicht passend:

  • Cloud Contor positioniert sich primär im Dynamics- und Power-Platform-Umfeld. Unternehmen, die ausschließlich M365-Lizenzierung und Helpdesk suchen, finden möglicherweise spezialisiertere Reseller.
  • Für sehr kleine Teams mit einfachen Anforderungen kann der Leistungsumfang überdimensioniert sein.
  • Öffentliche Ausschreibungen mit striktem Fokus auf reine M365-Basis-Lizenzen werden vom Kernprofil abgedeckt.

Preisspanne: auf Anfrage

Zielgruppe: Mittelständler in Hamburg, die M365 durch Dynamics 365 und die Power Platform erweitern möchten — insbesondere Unternehmen mit Fachabteilungen, die eigene Low-Code-Lösungen aufbauen.

Website: cloud-contor.de

3. mioso

USP: mioso verbindet Modern-Workplace-Beratung mit tiefer Telefonie-Expertise und löst klassische TK-Anlagen durch Teams Phone, Direct Routing und Operator Connect ab.

Stärken:

  • Spezialisierung auf Teams-Phonie-Migrationen statt reiner Lizenzvermittlung
  • Erfahrung mit Direct Routing und Operator Connect in regulierten Branchen
  • Ganzheitlicher Ansatz: Adoption, Governance und Security aus einer Hand
  • Lokale Präsenz in Hamburg mit kurzen Wegen zu Kunden
  • Technische Tiefe bei komplexen Hybrid-Szenarien (SBC-Integration, Nummerportierung)

Schwächen / wann nicht passend:

  • Kein klassischer Managed-Service-Provider für umfassenden IT-Betrieb außerhalb von M365
  • Weniger stark bei Power-Platform-Entwicklung oder Dynamics-365-Projekten
  • Preismodell eher projektbasiert – für reine Lizenzoptimierung ohne Beratungsbedarf weniger geeignet

Preisspanne: auf Anfrage

Zielgruppe: Mittelständische Unternehmen (50–500 Mitarbeitende) in Hamburg und Norddeutschland, die ihre Telefonie in Teams migrieren und gleichzeitig Governance sowie Compliance absichern wollen.

Website: mioso.com

4. ITTK – Lizenzen und Cloud-Services

USP: ITTK spezialisiert sich auf die strategische Steuerung komplexer Microsoft 365 Umgebungen und die nahtlose Integration moderner Cloud-Strukturen.

Stärken:

  • Ganzheitliches Microsoft 365 Lizenzmanagement zur Optimierung der Software-Kosten
  • Expertise bei der Implementierung von Modern Workplace-Szenarien wie Teams Phone
  • Unterstützung bei komplexen Cloud-Migrationen und Tenant-Strukturen

Schwächen / wann nicht passend:

  • Weniger geeignet für Kleinstunternehmen mit reinem Standard-Softwarebedarf ohne Cloud-Strategie
  • Fokus liegt auf komplexen Infrastrukturen statt auf einfachem Reselling

Preisspanne: auf Anfrage

Zielgruppe: Mittelständische Unternehmen mit komplexem Cloud-Bedarf und Anforderung an moderne Kommunikationswege.

Website: ittk.io

Die besten Microsoft 365 Partner in Hamburg 2026

5. Elioplus

USP: Elioplus verbindet Microsoft 365 Reseller-Beratung mit Cloud-Infrastruktur-Kompetenz und positioniert sich als zentrale Anlaufstelle für Hamburger Unternehmen, die Lizenzierung, Migration und laufenden Betrieb aus einer Hand suchen.

Stärken:

  • Ganzheitliche Betreuung von Microsoft 365 Resellern – von der Lizenzstrategie über die Tenant-Konfiguration bis zum operativen Management
  • Fokus auf Cloud-Infrastrukturen mit tiefer Expertise im Microsoft Azure- und M365-Ökosystem
  • Lokale Präsenz in Hamburg ermöglicht persönliche Beratung und kurze Reaktionswege
  • Unterstützung bei Tenant-zu-Tenant-Migrationen und komplexen Umgebungsstrukturen, etwa im Rahmen von Unternehmensübernahmen
  • Abdeckung des gesamten Lebenszyklus – von der Erstberatung über die Implementierung bis zum kontinuierlichen Betrieb

Schwächen / wann nicht passend:

  • Der Fokus liegt auf der Reseller-Betreuung; kleine Endkunden ohne Reseller-Bezug erhalten möglicherweise weniger individualisierte Unterstützung
  • Für Unternehmen, die bevorzugt Non-Microsoft-Lösungen einsetzen, bietet Elioplus keinen direkten Mehrwert
  • Die Leistungsbeschreibung konzentriert sich auf Cloud-Infrastruktur; klassische On-Premise-Rechenzentrumsbetreuung liegt nicht im Kernfokus

Preisspanne: auf Anfrage

Zielgruppe: Microsoft 365 Reseller und mittelständische Unternehmen in Hamburg, die eine ganzheitliche Cloud-Beratung und -Betreuung suchen

Website: elioplus.com – Microsoft Channel Partners Hamburg

Was bei der Wahl des Microsoft Partners wichtig ist

Entscheidungsträger sollten Partner nach harten Kriterien filtern, nicht nach Marketingversprechen. Drei Themen dominieren 2026 die Due-Diligence: regulatorische Konformität, transparente Kostenstrukturen und Migrationskompetenz.

NIS2 und ISO/IEC 27001 sind keine Option mehr. Die Richtlinie verpflichtet betroffene Unternehmen zu durchgängigem Risikomanagement, Meldepflichten und Lieferkettenüberwachung. Ein Partner, der selbst zertifiziert ist und Audit-Nachweise vorlegt, reduziert den eigenen Aufwand messbar. Der Marktüberblick für Hamburg bestätigt: Zertifizierte Anbieter werden bei Ausschreibungen bevorzugt, weil sie Nachweispflichten für die Geschäftsführung übernehmen können.

Managed Services kosten 50 bis 70 Euro pro Arbeitsplatz und Monat. In diesem Korridor liegen Helpdesk, Patch-Management, Monitoring und laufende M365-Pflege. Günstigere Angebote decken oft nur Basisleistungen ab; teurere Pakete schließen Security-Operations oder Copilot-Governance ein. Verlangen Sie eine positionsgenaue Leistungsbeschreibung – pauschale „Flatrates“ verstecken Frequenzbegrenzungen im Kleingedruckten.

Tenant-zu-Tenant-Migrationen gehören zum Standardrepertoire nach Übernahmen oder Carve-outs. Das Tool ShareGate hat sich als De-facto-Standard etabliert, weil es Berechtigungen, Metadaten und Versionshistorien zuverlässig überführt. Erfahrene Partner fahren vorab ein Pilot-Mandat, validieren das Delta und schalten erst dann produktiv um. Der CollabDays-Hamburg-Plan zeigt dedizierte Sessions zu genau diesem Szenario – ein Indikator für die Relevanz im Markt.

Ergänzend prüfen Sie: Referenzkunden aus Ihrer Branche, Reaktionszeiten im SLA, Escalationspfade bis zum C-Level und die Bereitschaft, Wissen in Ihre eigene IT zu transferieren. Partner, die nur „betreuen“, schaffen Abhängigkeit; Partner, die befähigen, schaffen Resilienz.

Vergleichstabelle: Anbieter im Überblick

Die folgende Übersicht fasst die wichtigsten Daten der vorgestellten Anbieter zusammen. Preisspannen und Zielgruppen entstammen den jeweiligen Anbieter-Profilen oben; Werte ohne klare Belegung sind als „auf Anfrage“ markiert.

Anbieter USP Preisspanne Zielgruppe
hagel Ein inhabergeführter Full-Service-Dienstleister, der die Microsoft-Expertise mit persönlicher Betreuung vor Ort kombiniert. ab 50 €/Arbeitsplatz und Monat als Festpreis, monatlich kündbar; Service-Levels nach Bedarf Mittelständische Unternehmen vom 10-Personen-Büro bis 300+ Arbeitsplätze
Cloud Contor Cloud Contor verbindet M365-Kompetenz mit tiefer Dynamics-365- und Power-Platform-Expertise und ermöglicht so eine durchgängige Low-Code-Erweiterung der Microsoft-Produktwelt. auf Anfrage Mittelständler in Hamburg, die M365 durch Dynamics 365 und die Power Platform erweitern möchten — insbesondere Unternehmen mit Fachabteilungen
mioso mioso verbindet Modern-Workplace-Beratung mit tiefer Telefonie-Expertise und löst klassische TK-Anlagen durch Teams Phone, Direct Routing und Operator Connect ab. auf Anfrage Mittelständische Unternehmen (50–500 Mitarbeitende) in Hamburg und Norddeutschland
ITTK ITTK spezialisiert sich auf die strategische Steuerung komplexer Microsoft 365 Umgebungen und die nahtlose Integration moderner Cloud-Strukturen. auf Anfrage Mittelständische Unternehmen mit komplexem Cloud-Bedarf und Anforderung an moderne Kommunikationswege.
Elioplus Elioplus verbindet Microsoft 365 Reseller-Beratung mit Cloud-Infrastruktur-Kompetenz und positioniert sich als zentrale Anlaufstelle für Hamburger Unternehmen, die Lizenzierung auf Anfrage Microsoft 365 Reseller und mittelständische Unternehmen in Hamburg, die eine ganzheitliche Cloud-Beratung und -Betreuung suchen

FAQ – Häufig gestellte Fragen zu M365 Partnern

Welche Bedeutung haben Fachkonferenzen für die Partnerwahl?

Veranstaltungen wie die CollabDays Hamburg 2026 oder der European Collaboration Summit (ECS) 2026 in Köln sind wichtige Indikatoren für die Expertise eines Dienstleisters. Wer als Speaker auf dem ECS auftritt oder Workshops wie das M365 Developer Bootcamp am 28. November 2026 anbietet, zeigt eine tiefe technologische Verwurzelung in der Community. Solche Konferenzen dienen Unternehmen als Plattform, um die Innovationskraft und das Fachwissen der Partner im Bereich Cloud-Technologien und Modern Work direkt zu prüfen.

Wie wichtig ist die Integration von KI-Tools wie Microsoft Copilot?

Die Einbindung von künstlicher Intelligenz ist 2026 ein zentrales Thema bei der Auswahl eines Partners. Ein kompetenter Dienstleister unterstützt Sie nicht nur beim technischen Rollout von Microsoft Copilot, sondern berät auch zur datenschutzkonformen Nutzung der KI-Funktionen im Unternehmen. Es geht dabei weniger um die reine Aktivierung der Software, als vielmehr um das Prompt-Engineering und die nahtlose Einbettung in bestehende Workflows, um die Produktivität nachhaltig zu steigern und gleichzeitig die Governance-Richtlinien einzuhalten.

Warum ist lokaler Support ein entscheidendes Kriterium?

Lokale Ansprechpartner garantieren kurze Kommunikationswege und die Kenntnis regionaler Marktgegebenheiten. Bei kritischen Systemausfällen oder komplexen Migrationsprojekten bietet ein lokaler Partner in Hamburg eine hohe Reaktionsgeschwindigkeit. Während rein digitale Anbieter oft nur Ticket-Systeme bereitstellen, ermöglichen lokale Experten eine persönliche Abstimmung vor Ort. Dies erhöht die Sicherheit bei der Implementierung von Sicherheitsstandards oder bei der Durchführung komplexer Tenant-zu-Tenant-Migrationen, bei denen eine unmittelbare technische Begleitung essenziell ist.

Fazit

Der Hamburger Markt für Microsoft 365 Partner bietet 2026 eine enorme Tiefe. Unternehmen stehen vor der Wahl zwischen spezialisierten Resellern und umfassenden Full-Service-Systemhäusern mit Microsoft Solutions Partner Status. Wer maximale Sicherheit und Compliance sucht, sollte den Fokus auf die Erfüllung der NIS2-Vorgaben legen. Hier greifen Anbieter, die nach ISO/IEC 27001 arbeiten, als essenzieller Standard. Für den reinen Lizenz- und Migrationsbedarf empfiehlt sich eine spezialisierte Strategie zur Kostenoptimierung.

Die Wahl des passenden Partners hängt maßgeblich von den internen Prioritäten ab:

  • Fokus Sicherheit & Compliance: Spezialisten für zertifizierte Infrastrukturen und fortlaufende Überwachung sind hier unerlässlich.
  • Fokus Effizienz & Migration: Partner mit Expertise in komplexen Tenant-zu-Tenant-Migrationen (etwa mittels ShareGate) entlasten die IT-Abteilung.
  • Fokus Erweiterung: Wer die Power Platform für Low-Code-Anwendungen nutzt, benötigt Experten für Dynamics 365 und Power BI.

Bei der Suche nach zertifizierten Experten hilft das offizielle Microsoft Partnerverzeichnis. Für lokale Expertise in Hamburg bietet hagel IT aufgrund der über 20-jährigen Erfahrung eine fundierte Anlaufstelle für Managed Services und Cloud-Migrationen aus einer Hand. Die hohe Vernetzung der lokalen Szene, sichtbar durch Events wie die CollabDays Hamburg 2026, unterstreicht die Qualität des Standorts.

Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf emailspam.info veröffentlicht. hagel IT ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.

DSGVO bei Influencer-Marketing 2026: Kooperationen, Disclosure, Daten-Sharing

DSGVO bei Influencer-Marketing 2026: Kooperationen, Disclosure, Daten-Sharing

Influencer-Marketing-DSGVO ist 2026 strukturell unterschätzt: Kooperations-Verträge, Follower-Daten-Sharing, Tracking-Pixel auf Influencer-Posts. Lohnt der Blick auf eine Influencer-Marketing-DSGVO.

Kooperations-Verträge

Mit Influencer plus Agentur.

Disclosure

UWG-Werbungs-Kennzeichnung.

Tracking-Pixel

Joint Controllership oft gegeben.

Affiliate-Tracking

DSGVO bei Klick-Tracking.

Influencer-Marketing-Compliance 2026

  • Kooperations-Vertrag mit DSGVO-Klauseln
  • Disclosure-Pflicht #Werbung, #Anzeige
  • Tracking-Pixel-Joint-Controller-Vereinbarung
  • Datenschutz-Hinweis bei Affiliate-Links
  • Influencer-Daten Honorar, Verträge — DSGVO

Joint Controllership bei Tracking 2026: Wenn Influencer Tracking-Pixel der Marke einsetzt, oft Joint Controllership. Vereinbarung nach Art. 26 DSGVO Pflicht.

JH

„Influencer-Marketing-DSGVO ist 2026 strukturell unterschätzt. Hugo DSB hilft mit Vertragsvorlagen plus Joint-Controllership-Beratung.“

— Jens Hagel als Vermittler von Frag Hugo Datenschutz-Beratung

DSGVO bei Influencer-Marketing

Festpreise 2026

  • Influencer-Marketing-Setup 2.500-6.500 € einmalig
  • Hugo DSB Standard 149 €/Mo
DSGVO bei Influencer-Marketing

FAQ

Influencer Auftragsverarbeiter?

Selten. Meist selbst-Verantwortlicher oder Joint Controller.

Tracking-Pixel auf Posts?

Joint Controllership-Vereinbarung Pflicht plus Einwilligung Endnutzer.

Was kostet Setup?

2.500-6.500 € einmalig.

UWG-Disclosure plus DSGVO?

Parallel. UWG für Werbungs-Kennzeichnung, DSGVO für Daten.

DSGVO bei Influencer-Marketing

Fazit

Influencer-Marketing-DSGVO 2026 strukturierter Bedarf. Hugo DSB Standard 149 €/Mo. Lohnt der Blick auf Influencer-Marketing-DSGVO.

DSB Hamburg-Eppendorf für Arztpraxen 2026: § 203 StGB plus ePA in UKE-Nachbarschaft

DSB Hamburg-Eppendorf für Arztpraxen 2026: § 203 StGB plus ePA in UKE-Nachbarschaft

Hamburg-Eppendorf ist 2026 Hot-Spot für Arztpraxen — UKE-Nachbarschaft plus dichtes Beratungs-/Praxen-Cluster. § 203 StGB plus DSGVO plus ePA-Anbindung als Standard. Lohnt der Blick auf einen Datenschutzbeauftragter Hamburg-Eppendorf.

UKE-Nachbarschaft

Forschungs-Kooperations-Potential.

Hohe Dichte

Premium-Arztpraxen plus Spezialisten.

Vor-Ort

10 min aus Hamburg-Mitte.

Hugo DSB

Lite 79 € / Standard 149 €/Mo.

Eppendorf-Arztpraxen-Spezifika 2026

  • ePA-Anbindung seit 2024 Pflicht
  • UKE-Forschungs-Kooperationen mit besonderer DSGVO-Tiefe
  • Premium-Patienten mit Sensibilität
  • KIM-Kommunikation mit anderen Heilberufen

UKE-Kooperationen 2026: Klinische Studien zwischen Eppendorf-Praxen und UKE brauchen besondere DSGVO-Verträge plus Ethik-Kommission-Freigabe.

JH

„Eppendorf ist 2026 Hot-Spot für Arztpraxen. Hugo DSB Lite 79 €/Mo für Solo-Praxen, Standard 149 € für Gemeinschafts-Praxen mit ePA-Audit.“

— Jens Hagel als Vermittler von Frag Hugo Datenschutz-Beratung

DSB Hamburg-Eppendorf Arztpraxen

Festpreise 2026

  • Hugo DSB Lite 79 €/Mo
  • Standard 149 €/Mo (Praxis-Gemeinschaft)
  • Pro 299 €/Mo mit ePA + UKE-Kooperations-Audit
DSB Hamburg-Eppendorf Arztpraxen

FAQ

Was kostet DSB für Solo-Praxis Eppendorf?

Hugo DSB Lite 79 €/Mo.

Vor-Ort-Beratung möglich?

10 min aus Hamburg-Mitte. Sehr flexibel.

UKE-Kooperation: Spezielle DSGVO?

Ja, mit Forschungs-AV-Verträgen und Ethik-Kommission-Freigabe.

ePA-Audit verpflichtend?

Nicht direkt, aber strukturell sinnvoll für DSGVO-Compliance.

DSB Hamburg-Eppendorf Arztpraxen

Fazit

Hamburg-Eppendorf-Arztpraxen brauchen 2026 strukturierten DSGVO. Hugo DSB ab 79 €/Mo. Lohnt der Blick auf Datenschutzbeauftragter Hamburg-Eppendorf.

SPF, DKIM und DMARC einrichten: E-Mail-Sicherheit und Datenschutz im Griff

SPF, DKIM und DMARC einrichten: E-Mail-Sicherheit und Datenschutz im Griff

Auf den Punkt: Ohne SPF, DKIM und DMARC kann praktisch jeder E-Mails in Ihrem Namen verschicken — die Grundlage für Phishing, CEO-Betrug und gefälschte Rechnungen. Die drei DNS-Verfahren kosten nichts, sind in einem Nachmittag eingerichtet und schützen sowohl Ihre Empfänger als auch Ihre personenbezogenen Daten. Wer sie ignoriert, landet im Spam-Ordner und verstößt gegen die Pflicht zu angemessenen technischen Maßnahmen aus Art. 32 DSGVO.

Was SPF, DKIM und DMARC eigentlich sind

E-Mail wurde in den 1980er-Jahren ohne jede Absender-Prüfung entworfen. Eine Absenderadresse lässt sich deshalb so leicht fälschen wie der Absender auf einem Briefumschlag. Drei aufeinander aufbauende Standards schließen diese Lücke — alle drei werden als DNS-Einträge Ihrer Domain hinterlegt:

SPF

Sender Policy Framework. Legt fest, welche Server in Ihrem Namen senden dürfen. Der Empfänger prüft, ob die sendende IP autorisiert ist.

DKIM

DomainKeys Identified Mail. Versieht jede Mail mit einer kryptografischen Signatur. Sie belegt, dass die Mail wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde.

DMARC

Setzt auf SPF und DKIM auf und legt fest, was mit Mails passiert, die durchfallen: ignorieren, in Quarantäne oder ablehnen. Liefert zudem Reports.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt SPF als Verfahren, das verhindern soll, dass unbefugte Server E-Mails im Namen einer legitimen Domain versenden. DKIM nutzt laut BSI kryptografische Signaturen, die der Domain zugeordnet und im DNS hinterlegt sind — das erschwert das Zustellen von Phishing-Mails unter falschem Absender. DMARC baut auf beiden auf und regelt den Umgang mit Mails, die beide Prüfungen nicht bestehen.

SPF DKIM DMARC einrichten

Warum E-Mail-Authentifizierung DSGVO-relevant ist

Auf den ersten Blick wirken SPF und Co. wie ein reines Zustellbarkeits-Thema. Tatsächlich berührt fehlende E-Mail-Authentifizierung direkt den Datenschutz:

  • Art. 32 DSGVO verpflichtet Sie zu „geeigneten technischen und organisatorischen Maßnahmen“, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Authentifizierung gegen Absender-Fälschung gehört nach Stand der Technik dazu.
  • Phishing in Ihrem Namen ist eine Datenschutzverletzung in spe: Verschicken Kriminelle gefälschte Mails an Ihre Kunden, geraten deren Daten — und Ihr Ruf — in Gefahr.
  • Identitätsmissbrauch Ihrer Domain kann eine meldepflichtige Datenpanne nach Art. 33 DSGVO auslösen, wenn dadurch personenbezogene Daten kompromittiert werden.

Wichtig: Eine pauschale Bußgeld-Summe „für fehlendes DMARC“ gibt es nicht. Aufsichtsbehörden bewerten immer den Einzelfall. Der Punkt ist nicht ein konkretes Bußgeld, sondern dass Authentifizierung als Stand der Technik gilt — und ihr Fehlen im Schadensfall gegen Sie ausgelegt wird.

Hinzu kommt ein ganz praktischer Effekt: Große Mailprovider werten fehlende Authentifizierung zunehmend als Spam-Signal. Wer SPF, DKIM und DMARC nicht hinterlegt, riskiert, dass selbst legitime Geschäftsmails — Angebote, Rechnungen, Terminbestätigungen — im Spam-Ordner des Empfängers landen oder ganz abgewiesen werden. Datenschutz und Zustellbarkeit fallen hier also zusammen: Dieselben Maßnahmen, die Ihre Empfänger vor Fälschungen schützen, sorgen dafür, dass Ihre echten Mails ankommen.

Schritt für Schritt einrichten

Die Reihenfolge ist wichtig: erst SPF und DKIM sauber zum Laufen bringen, dann DMARC vorsichtig schärfen. Wer sofort auf p=reject springt, blockiert womöglich legitime Mails (Newsletter-Tools, CRM, Buchhaltungssoftware).

Schritt Was tun Beispiel-Eintrag (vereinfacht)
1. SPF Alle sendenden Dienste im SPF-Record eintragen v=spf1 include:_spf.google.com -all
2. DKIM Schlüsselpaar im Mailsystem erzeugen, öffentlichen Schlüssel ins DNS selector._domainkey TXT-Record
3. DMARC (Monitor) Mit p=none starten und Reports sammeln v=DMARC1; p=none; rua=mailto:dmarc@…
4. DMARC (schärfen) Nach Auswertung auf quarantine, dann reject v=DMARC1; p=reject; …
!

Der häufigste Fehler ist der Sprung auf reject, bevor man weiß, welche legitimen Systeme überhaupt im eigenen Namen senden. Erst zwei bis vier Wochen DMARC-Reports im Monitor-Modus auswerten — dann schärfen.

Praxis-Hinweis aus der E-Mail-Administration

Ein typisches Mittelstands-Setup verschickt Mails nicht nur über den eigenen Mailserver, sondern auch über Dienste, an die im Alltag niemand denkt: das Newsletter-Tool, das CRM mit automatischen Benachrichtigungen, das Buchhaltungsprogramm, das Rechnungen versendet, oder das Support-Ticketsystem. Jeder dieser Versender muss in SPF und idealerweise in DKIM berücksichtigt sein — sonst fallen genau diese geschäftskritischen Mails durch, sobald DMARC auf reject steht. Genau deshalb ist die Monitor-Phase mit p=none so wertvoll: Die eingehenden Reports zeigen schwarz auf weiß, welche Quellen real in Ihrem Namen senden, bevor Sie etwas blockieren.

Die häufigsten Fehler — und wie Sie sie vermeiden

In der Praxis scheitern Authentifizierungs-Projekte selten an der Technik, sondern an vermeidbaren Konfigurationsfehlern:

  • Mehrere SPF-Records für eine Domain — erlaubt ist genau einer. Zusätzliche Versender werden per include in denselben Record aufgenommen.
  • Zu viele DNS-Lookups im SPF — der Standard erlaubt maximal zehn. Wer viele Dienste einbindet, läuft Gefahr, das Limit zu sprengen, was den ganzen SPF-Check ungültig macht.
  • DKIM-Selektor vergessen zu rotieren — Schlüssel sollten gelegentlich gewechselt werden; der alte Selektor muss dabei sauber ausgetauscht werden.
  • DMARC-Reports nie ausgewertet — die rua-Adresse einrichten ist nur der halbe Weg. Ohne Auswertung bleibt der Monitor-Modus wirkungslos.
SPF DKIM DMARC einrichten

Transportverschlüsselung nicht vergessen

Authentifizierung beweist, von wem eine Mail stammt — sie verschlüsselt aber nicht den Transport. Dafür sorgt TLS. Das BSI stuft TLS 1.2 als derzeit hinreichend sicher ein und empfiehlt TLS 1.3 als effizientere Variante. Wer einen Schritt weiter gehen will, erzwingt verschlüsselte Verbindungen über MTA-STS oder DANE. Für personenbezogene Daten im Mailverkehr ist Transportverschlüsselung praktisch Pflicht — ein offener Klartext-Transport wäre kaum als „angemessen“ im Sinne von Art. 32 zu rechtfertigen.

Ihr Setup prüfen — auch auf der Website

Nach dem Einrichten sollten Sie testen, ob die Records sauber greifen. Das BSI bietet dafür ein Analyse-Werkzeug auf Basis öffentlicher DNS-Daten an. Daneben gibt es zahlreiche kostenlose DNS-Checker, die SPF, DKIM und DMARC in Sekunden auswerten.

E-Mail ist aber nur ein Kanal. Wer Datenschutz ernst nimmt, prüft auch, ob die eigene Website sauber ist — Cookie-Banner, eingebundene Dienste, Formulare. Ein automatisierter DSGVO-Website-Check deckt typische Schwachstellen wie fehlende Verschlüsselung, ungefragte Tracker oder unsichere Einbindungen auf und liefert eine konkrete To-do-Liste.

FAQ

Reicht SPF allein aus?

Nein. SPF prüft nur die sendende IP, nicht den Inhalt. Erst die Kombination mit DKIM (Signatur) und DMARC (Richtlinie) bietet wirksamen Schutz gegen Absender-Fälschung. Alle drei gehören zusammen.

Kostet die Einrichtung Geld?

Die DNS-Einträge selbst sind kostenlos — Sie brauchen nur Zugriff auf die DNS-Verwaltung Ihrer Domain. Aufwand entsteht durch Konfiguration und das Auswerten der DMARC-Reports, nicht durch Lizenzen.

Was bedeutet eine DMARC-Policy von „p=reject“?

Sie weist empfangende Server an, Mails, die SPF und DKIM nicht bestehen, abzulehnen. Das ist die schärfste und sicherste Einstellung — aber erst aktivieren, nachdem Sie alle legitimen Versender erfasst haben.

Ist E-Mail-Authentifizierung gesetzlich vorgeschrieben?

Es gibt kein Gesetz, das wörtlich „SPF/DKIM/DMARC“ fordert. Über Art. 32 DSGVO (Stand der Technik) und die allgemeine Sorgfaltspflicht ist Absender-Authentifizierung für die Verarbeitung personenbezogener Daten aber faktisch geboten.

SPF DKIM DMARC einrichten

Fazit

SPF, DKIM und DMARC sind kein Nice-to-have, sondern die Basis sicherer und datenschutzkonformer E-Mail-Kommunikation. Sie schützen Ihre Empfänger vor Phishing in Ihrem Namen, verbessern die Zustellbarkeit und erfüllen einen handfesten Baustein von Art. 32 DSGVO. Richten Sie die drei Records sauber ein, starten Sie DMARC im Monitor-Modus und schärfen Sie schrittweise. Und prüfen Sie im selben Aufwasch, ob auch Ihre Website datenschutzrechtlich sauber aufgestellt ist.

Schatten-IT vermeiden: Kontrolle über Geräte und Software zurückgewinnen

Schatten-IT vermeiden: Kontrolle über Geräte und Software zurückgewinnen

Ein neuer Kollege installiert schnell ein kostenloses Cloud-Tool, das Vertriebsteam bucht einen SaaS-Dienst über die Firmenkreditkarte, jemand kopiert Kundendaten in eine privat genutzte Notiz-App — und die IT-Abteilung erfährt von alldem nichts. Diese unkontrollierte Ansammlung von Geräten und Anwendungen, die außerhalb der offiziellen IT laufen, nennt man Schatten-IT. Wer Schatten-IT vermeiden will, muss selten härter verbieten, sondern vor allem den zentralen Überblick über Geräte und Software zurückgewinnen.

Kurz gesagt

Schatten-IT entsteht dort, wo der genehmigte Weg zu langsam oder zu umständlich ist. Am wirksamsten vermeiden Sie sie durch drei Bausteine: ein vollständiges Inventar aller Geräte und Anwendungen, einen schnellen Self-Service für genehmigte Software und ein zentrales Geräte-Management mit klaren Freigaberegeln. Ein gemanagter IT-Service wie kjello bündelt diese Bausteine ab 29 € pro User und Monat und macht Beschaffung, Verteilung und Compliance nachvollziehbar — statt sie zu verbieten.

Was Schatten-IT ist — und warum sie überhaupt entsteht

Schatten-IT umfasst alle Hard- und Software, die Mitarbeitende ohne Freigabe oder Kenntnis der IT-Abteilung einsetzen: kostenlose Web-Apps, per Kreditkarte gebuchte SaaS-Abos, private Notebooks im Firmennetz, ungeprüfte Browser-Erweiterungen oder KI-Assistenten. Der Antrieb dahinter ist selten böswillig. Menschen greifen zu diesen Werkzeugen, weil sie schneller ans Ziel kommen wollen und der offizielle Weg — Ticket schreiben, Freigabe abwarten, Beschaffung anstoßen — zu lange dauert.

Genau das macht das Phänomen so hartnäckig: Solange die genehmigte Route langsamer ist als der Griff zum eigenen Tool, wird die Belegschaft den eigenen Weg gehen. Ein reines Verbot verlagert die Schatten-IT nur tiefer in den Untergrund. Wirksamer ist es, die offizielle Route so schnell und bequem zu machen, dass niemand mehr einen Grund hat, sie zu umgehen.

Schatten-IT vermeiden

Wie groß das Blindfeld wirklich ist

Das Ausmaß wird regelmäßig unterschätzt. Laut einer von Gartner zitierten Prognose werden bis 2027 rund 75 Prozent der Beschäftigten Technologie beschaffen, verändern oder erstellen, die außerhalb der Sichtbarkeit der IT liegt. Parallel wächst die Zahl der eingesetzten Anwendungen: Der „Businesses at Work 2025″-Report von Okta beziffert die durchschnittliche Organisation auf 114 SaaS-Apps — und das sind nur die bekannten. Jede nicht erfasste App ist ein potenzieller Abfluss für Unternehmensdaten und eine Lücke, die kein Sicherheitskonzept abdeckt, weil niemand von ihr weiß.

Die Folgen sind konkret: doppelt bezahlte Lizenzen, unklare Datenspeicherorte, verwaiste Zugänge nach dem Austritt von Mitarbeitenden und Geräte, die keine Updates erhalten. Für die Sicherheit ist nicht die einzelne App das Problem, sondern der fehlende Überblick über die Gesamtheit.

Vier Hebel, um Kontrolle über Geräte und Software zurückzugewinnen

1. Transparenz schaffen — erst inventarisieren, dann steuern

Ohne Bestandsaufnahme lässt sich nichts steuern. Ein aktuelles Inventar über alle Geräte, Betriebssysteme, installierte Software und aktive SaaS-Abos ist die Grundlage. Erst wenn sichtbar ist, was tatsächlich im Einsatz ist, lassen sich Doppelungen streichen und Risiken bewerten.

2. Self-Service statt Warteschlange

Die häufigste Ursache für Schatten-IT ist Reibung. Ein Portal, über das Mitarbeitende freigegebene Software in Minuten selbst anfordern und installieren, nimmt den Anreiz, an der IT vorbeizukaufen. Der Schlüssel ist Geschwindigkeit: Der legale Weg muss der bequemere sein.

3. Zentrales Geräte-Management

Über Mobile Device Management (MDM) lassen sich Notebooks und Smartphones zentral konfigurieren, mit genehmigter Software bespielen und bei Verlust sperren. So bleibt kontrollierbar, welche Anwendungen auf Firmengeräten laufen — ohne dass jemand manuell an jedem Rechner sitzen muss.

4. Klare Freigabeprozesse und Offboarding

Governance heißt nicht Bürokratie, sondern ein schneller, nachvollziehbarer Freigabepfad plus ein sauberes Offboarding, das Zugänge und Lizenzen beim Austritt zuverlässig entzieht. Genau hier reißen im Alltag die meisten Lücken.

Schatten-IT vermeiden

Schatten-IT vermeiden mit einem gemanagten IT-Service

Für kleine und mittlere Unternehmen ist die Hürde meist, diese vier Hebel gleichzeitig zu betreiben — dafür fehlen Zeit und Personal. Ein gemanagter Ansatz bündelt Inventar, Self-Service, Geräte-Management und Freigabeprozesse in einem Portal. Wer Schatten-IT vermeiden möchte, ohne eine eigene IT-Mannschaft aufzubauen, findet in einem solchen Modell die pragmatischste Lösung: Genau hier setzt kjello an, indem Beschaffung, Verteilung und Compliance über ein zentrales Self-Service-Portal laufen und die IT jederzeit sieht, welche Software und welche Geräte im Umlauf sind.

kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Für Unternehmen bedeutet das: Mitarbeitende bekommen ihre genehmigte Software schnell selbst, während im Hintergrund ein echtes Systemhaus Konfiguration, Inventar und Sicherheit verantwortet. Der Preis ist transparent — Core kostet 29 € pro User und Monat (netto), Security+ (Virenschutz) optional +10 € je Arbeitsplatz und Monat, M365-Lizenzen kommen als Durchleitung hinzu.

Ansätze gegen Schatten-IT im Vergleich — mit typischem internen Aufwand und Richtpreis. Preise für gemanagte Modelle sind netto.
Ansatz Deckt ab Interner Aufwand Richtpreis/User/Monat
Verbotsrichtlinie ohne Technik nichts messbar — verlagert das Problem gering 0 €
Einzelnes MDM-Tool nur Geräte, nicht SaaS/Freigabe hoch (Betrieb intern) variabel
Klassisches Systemhaus (Projektbasis) Geräte + Beratung, wenig Self-Service mittel projektbasiert
IT-Abteilung als Service (z. B. kjello Core) Inventar, Self-Service, Geräte, Freigabe gering (ausgelagert) 29 €

Dafür spricht

  • Ein Portal statt vier Einzelwerkzeuge: Inventar, Self-Service, Geräte und Freigabe an einem Ort.
  • Planbarer Festpreis ab 29 € pro User/Monat statt schwer kalkulierbarer Einzelbeschaffungen.
  • Deutsches Hosting, DSGVO-konform und ein echtes Systemhaus für L2/L3 im Hintergrund.

Zu bedenken

  • Zugeschnitten auf den deutschen Mittelstand (20–250 Mitarbeitende), nicht auf Großkonzerne mit eigener IT.
  • Reine Cloud-only-Startups ohne Betreuungsbedarf brauchen diesen Umfang oft nicht.
  • Ein Kulturwandel bleibt nötig: Das schnelle Portal muss aktiv beworben werden, damit alte Gewohnheiten enden.
29 €pro User/Monat (Core, netto)
30 MinRückmeldung bei kritischer Störung, in der Regel
seit 2004Systemhaus dahinter

Was das für Compliance und NIS2 bedeutet

Der Überblick über Geräte und Software ist längst nicht mehr nur eine Frage der Effizienz, sondern der Regulatorik. Mit dem NIS2-Umsetzungsgesetz, das laut secjur seit Dezember 2025 in Deutschland gilt, steigen die Anforderungen an Risikomanagement und Nachweispflichten deutlich — und die Vorgaben reichen bis in die Lieferkette hinein. Ein Unternehmen, das nicht weiß, welche Anwendungen seine Daten verarbeiten, kann diese Pflichten kaum belegen. Wer Schatten-IT eindämmt, arbeitet damit gleichzeitig an einer nachweisbaren Sicherheits- und Compliance-Basis.

Schatten-IT vermeiden

Häufige Fragen

Warum reicht ein Verbot von Schatten-IT nicht aus?

Weil ein Verbot die Ursache nicht beseitigt: Mitarbeitende greifen zu eigenen Tools, wenn der offizielle Weg zu langsam ist. Ein Verbot verlagert die Nutzung nur in den Untergrund, wo sie noch schwerer zu kontrollieren ist. Wirksamer ist ein schneller Self-Service für genehmigte Software.

Wie erkenne ich, welche Schatten-IT bei uns im Einsatz ist?

Der erste Schritt ist ein vollständiges Inventar aller Geräte, installierter Software und aktiver SaaS-Abos. Auswertungen von Kreditkartenabrechnungen, Single-Sign-on-Logs und Netzwerkanfragen decken oft unbekannte Dienste auf. Ein zentrales Geräte-Management hält dieses Inventar danach automatisch aktuell.

Was kostet ein gemanagter Ansatz gegen Schatten-IT?

Bei kjello beginnt das Core-Paket bei 29 € pro User und Monat (netto) und enthält Portal, Self-Service, Geräte-Management und Support. Security+ (Virenschutz) ist optional für +10 € je Arbeitsplatz und Monat buchbar, M365-Lizenzen werden als Durchleitung abgerechnet. Weitere Module und Projekte werden separat kalkuliert.

Ist ein Self-Service-Portal auch für kleine Mittelständler geeignet?

Ja. Modelle wie kjello sind auf den Mittelstand mit 20 bis 250 Mitarbeitenden zugeschnitten, gerade auch auf Unternehmen mit gewachsener, gemischter IT-Landschaft. Für Großkonzerne mit eigener großer IT-Abteilung oder reine Cloud-only-Startups ohne Betreuungsbedarf ist der Umfang dagegen weniger passend.

ePrivacy-Verordnung Update 2026: Was nach Jahren noch immer fehlt

ePrivacy-Verordnung Update 2026: Was nach Jahren noch immer fehlt

Die ePrivacy-Verordnung sollte 2018 mit DSGVO kommen — 2026 ist sie immer noch im Entwurfs-Stadium: In Deutschland gilt das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) als Lex specialis. Lohnt der Blick auf eine ePrivacy-Beratung.

TTDSG

Deutsches Gesetz seit Dezember 2021.

ePrivacy-VO

EU-Entwurf seit 2017, kein Konsens.

Cookies

TTDSG § 25: Einwilligung Pflicht.

Direkt-Marketing

B2B-Bestandskunde-Ausnahme.

Was 2026 gilt

  • TTDSG § 25 Cookie-Einwilligung Pflicht (auch ohne ePrivacy)
  • UWG § 7 Direkt-Marketing-Regeln
  • DSGVO Art. 6, 7 Rechtsgrundlagen
  • EuGH-Rechtsprechung präzisiert weiter

ePrivacy-Stand 2026: Rat und Parlament haben sich nicht geeinigt. Wird vermutlich 2027-2028 finalisiert. Für KMU: TTDSG plus DSGVO weiterhin Standard.

JH

„ePrivacy 2026 noch nicht da. TTDSG plus DSGVO als Standard. Hugo DSB hilft mit aktueller Rechtslage plus Cookie-Banner-Setup.“

— Jens Hagel als Vermittler von Frag Hugo Datenschutz-Beratung

ePrivacy-Verordnung Update 2026

Festpreise 2026

  • Cookie-Banner-Setup 800-2.500 €
  • Hugo DSB Standard 149 €/Mo
ePrivacy-Verordnung Update 2026

FAQ

ePrivacy-VO wann?

Frühestens 2027-2028. KMU müssen TTDSG einhalten.

Cookie-Banner Pflicht?

Ja, für nicht-technisch-notwendige Cookies plus Tracking.

B2B-Marketing-Mail Pflicht-Opt-in?

Bei Bestandskunden mit eigenen ähnlichen Produkten Lockerung. Sonst Double-Opt-in.

Was kostet Cookie-Banner-Setup?

800-2.500 € mit Cookiebot/Usercentrics.

ePrivacy-Verordnung Update 2026

Fazit

ePrivacy 2026 weiter offen. TTDSG plus DSGVO als Standard. Hugo DSB Standard 149 €/Mo. Lohnt der Blick auf ePrivacy-Beratung.

Standard-Vertragsklauseln SCC anwenden 2026: Drittland-Transfer DSGVO-konform regeln

Standard-Vertragsklauseln SCC anwenden 2026: Drittland-Transfer DSGVO-konform regeln

Standard-Vertragsklauseln (SCC) sind 2026 zentrales Instrument für Drittland-Transfer: EU-Kommissions-Beschluss 2021/914 mit 4 Modulen. Plus TIA (Transfer Impact Assessment) bei US-Transfer. Lohnt der Blick auf eine SCC-Beratung.

4 SCC-Module

Controller-Controller, Controller-Processor etc.

TIA

Transfer Impact Assessment.

Zusatz-Maßnahmen

Verschlüsselung, Pseudonymisierung.

EU-DPF

EU-US Data Privacy Framework (Alternative).

SCC-Anwendungs-Schritte 2026

  1. Module wählen je nach Datentransfer-Konstellation
  2. Anlagen ausfüllen Daten-Arten, Empfänger, Zweck
  3. TIA durchführen Drittland-Recht prüfen
  4. Zusatz-Maßnahmen bei US-Transfer (E2E-Encryption)
  5. Vertraglich verbindlich zwischen Parteien
  6. Dokumentieren in VVT

EU-DPF Alternative 2026: Bei US-Empfängern, die EU-DPF-zertifiziert sind, keine SCC nötig. ABER: EU-DPF rechtlich angreifbar — SCC plus TIA als sichere Fallback-Strategie.

JH

„SCC sind 2026 zentrales Drittland-Transfer-Instrument. Hugo DSB hilft bei Modul-Auswahl plus TIA. 800-2.500 € einmalig pro Konstellation.“

— Jens Hagel als Vermittler von Frag Hugo Datenschutz-Beratung

Standard-Vertragsklauseln SCC anwenden

Festpreise 2026

  • SCC-Erstellung 800-2.500 € pro Konstellation
  • TIA 1.500-4.500 € pro Drittland
  • Hugo DSB Standard 149 €/Mo inkl. SCC-Updates
Standard-Vertragsklauseln SCC anwenden

FAQ

SCC oder EU-DPF?

EU-DPF wenn US-Empfänger zertifiziert. SCC als Fallback strukturell sicherer.

TIA verpflichtend?

Ja, EuGH Schrems II. Schriftlich dokumentiert.

Welches Modul für SaaS-Anbieter?

Modul 2 (Controller-Processor) Standard.

Was kostet komplette SCC + TIA?

2.300-7.000 € einmalig pro US-Anbieter-Konstellation.

Standard-Vertragsklauseln SCC anwenden

Fazit

SCC sind 2026 Drittland-Transfer-Pflicht. 800-2.500 € pro Konstellation. Lohnt der Blick auf SCC-Beratung.

Zahnarzt DSGVO ePA-Anbindung 2026: Praxis-Software, KIM, Telematik-Infrastruktur

Zahnarzt DSGVO ePA-Anbindung 2026: Praxis-Software, KIM, Telematik-Infrastruktur

Zahnarztpraxen verarbeiten 2026 sensible Patientendaten plus ePA-Anbindung plus KIM-Kommunikation: Art. 9 DSGVO plus § 203 StGB plus Berufsordnung KZBV. Lohnt der Blick auf einen DSB für Zahnarztpraxen.

ePA-Anbindung

Pflicht seit 2024 plus DSGVO.

KIM

Kommunikation im Medizinwesen — sichere E-Mails.

Praxis-Software

DAMPSOFT, CHARLY, Z1.PRO — AV-Verträge.

Hugo DSB

Standard 149 €/Mo.

Was Zahnarztpraxen 2026 brauchen

  • Verarbeitungsverzeichnis mit ePA, KIM, Praxis-Software
  • AV-Vertrag mit Software-Anbieter
  • TI-Anbindung-Compliance Telematik-Infrastruktur
  • Patienten-Auskunfts-Pflichten
  • Bilder-Datenschutz bei Röntgenbildern, OPG

KIM-Pflicht 2026: Sichere E-Mail-Kommunikation zwischen Heilberufen über Telematik-Infrastruktur. Konnektor plus eHBA plus KIM-Adresse erforderlich.

JH

„Zahnarztpraxen brauchen 2026 strukturierten Datenschutz mit ePA + KIM + TI-Compliance. Hugo DSB Standard 149 €/Monat plus TI-Setup begleitet.“

— Jens Hagel als Vermittler von Frag Hugo Datenschutz-Beratung

Zahnarzt DSGVO ePA

Festpreise 2026

  • Hugo DSB Standard 149 €/Mo
  • Pro 299 €/Mo bei ePA + KIM-Audit
  • Einrichtung 1.500-3.500 € einmalig
Zahnarzt DSGVO ePA

FAQ

Brauche ich DSB als Solo-Zahnarzt?

Bei Patientendaten und ePA praktisch immer empfohlen. Hugo DSB Standard 149 €/Mo.

KIM-Pflicht ab wann?

Seit 2022 für alle Heilberufe Pflicht.

Röntgenbilder DSGVO?

Patientenbezogen — verschlüsselt speichern, AV-Vertrag mit Bild-Anbieter.

Was kostet komplette Einrichtung?

1.500-3.500 € einmalig plus 149 €/Monat DSB.

Zahnarzt DSGVO ePA

Fazit

Zahnarztpraxen brauchen 2026 strukturierten DSGVO mit ePA-Compliance. Hugo DSB ab 149 €/Mo. Lohnt der Blick auf DSB für Zahnarztpraxen.

Offboarding sicher gestalten: IT-Zugänge lückenlos entziehen

Offboarding sicher gestalten: IT-Zugänge lückenlos entziehen

Wenn Mitarbeitende ein Unternehmen verlassen, bleibt die eigentliche Arbeit meist unsichtbar: Dutzende Konten, Lizenzen, Geräte und Zugriffsrechte müssen wieder eingesammelt werden. Wird beim IT Offboarding auch nur ein einziger Zugang übersehen, entsteht ein verwaister Account — eine offene Tür, die niemand mehr im Blick hat. Dieser Leitfaden zeigt, welche Zugänge betroffen sind, in welcher Reihenfolge Sie sie entziehen und wie Sie den Prozess so aufsetzen, dass nichts durchrutscht.

Kurz gesagt

IT Offboarding ist der geordnete Entzug aller IT-Zugänge, Geräte und Berechtigungen, sobald eine Person das Unternehmen verlässt. Lückenlos wird der Prozess nur, wenn jedes Konto einer zentralen Identität zugeordnet ist und der Entzug an einen festen Auslöser — den letzten Arbeitstag — gekoppelt wird, statt an eine manuell abgehakte Liste. Managed-Portale wie das von kjello binden genau diesen Schritt an das HR-Ereignis und protokollieren ihn nachvollziehbar.

Warum IT-Offboarding zum Sicherheitsrisiko wird

Der Schaden entsteht selten am letzten Arbeitstag, sondern Wochen oder Monate später — wenn ein längst deaktiviert geglaubter Zugang noch offen ist. Genau hier sind viele Unternehmen schwächer aufgestellt, als sie denken: Laut einer von security-insider.de zitierten OneLogin-Studie hat noch rund jeder zweite ehemalige Mitarbeiter nach dem Austritt Zugriff auf das Firmennetz. Solche verwaisten Accounts sind attraktiv, weil sie zu einer realen Person gehören, aber von niemandem mehr überwacht werden — ideal für Datenabfluss, Missbrauch oder als Einstiegspunkt für Angreifer.

Das Problem ist strukturell: Zugänge werden über Jahre in vielen Systemen angelegt, aber nirgends zentral geführt. Fällt das Offboarding einer Einzelperson mit einer handschriftlichen Liste zu, hängt die Sicherheit des Unternehmens an deren Sorgfalt an einem hektischen Tag.

IT Offboarding

Diese Zugänge werden am häufigsten vergessen

Ein vollständiges IT Offboarding umfasst weit mehr als „E-Mail-Konto deaktivieren“. Diese Kategorien rutschen erfahrungsgemäß am ehesten durch:

  • Zentrale Identität & SSO — das Hauptkonto (Azure AD/Entra, Google Workspace), das idealerweise alle anderen Zugänge steuert.
  • Fernzugriff — VPN, RDP-Gateways und Remote-Desktop-Tools, oft mit gespeicherten Zugangsdaten.
  • SaaS-Tools mit eigener Anmeldung — Fachanwendungen, die am SSO vorbei mit separatem Passwort laufen (klassische Schatten-IT).
  • Lokale Admin- und Service-Konten auf On-Prem-Servern, die nicht in der zentralen Identität hängen.
  • API-Keys, Tokens und Zertifikate, die eine Person persönlich angelegt hat.
  • Geteilte Passwörter in Team-Tresoren oder — schlimmer — in Notizen und Chats.
  • Mobilgeräte & MDM — Firmen-Smartphone und Laptop remote sperren, Unternehmensdaten löschen.
  • Physischer Zutritt — Zutrittskarte, Schließsystem, Weiterleitung von Postfach und Telefon.

Offboarding in der richtigen Reihenfolge

Reihenfolge ist keine Formsache — sie entscheidet, ob jemand während des Entzugs noch reagieren kann. Bewährt hat sich dieser Ablauf:

  1. Zentrale Identität zuerst sperren. Wird das SSO-Konto deaktiviert, fallen alle sauber angebundenen Dienste sofort mit — der wirksamste einzelne Schritt.
  2. Fernzugriff und Sessions beenden. VPN kappen und aktive Sitzungen invalidieren, damit ein bereits eingeloggtes Gerät nicht weiterarbeitet.
  3. Nicht angebundene Einzelkonten abarbeiten. SaaS-Tools mit eigener Anmeldung, lokale Admin-Konten, API-Keys und geteilte Passwörter rotieren.
  4. Geräte einziehen oder remote bereinigen. Laptop und Smartphone über MDM sperren, Firmendaten entfernen, Hardware zurückfordern.
  5. Daten übergeben, dann Postfach umleiten. Erst Eigentum an Dateien und Postfach auf eine Vertretung übertragen, danach die Weiterleitung setzen.
  6. Alles protokollieren. Wer hat wann welchen Zugang entzogen — die Grundlage für den späteren Nachweis.
IT Offboarding

Manuell, zentral oder als Service — welcher Ansatz trägt

Wie zuverlässig ein Offboarding ist, hängt weniger an der Checkliste selbst als an ihrem Auslöser. Drei Modelle sind üblich:

Vergleich gängiger Offboarding-Ansätze — je stärker der Entzug an ein festes Ereignis gekoppelt ist, desto geringer das Restrisiko.
Ansatz Wie der Entzug ausgelöst wird Restrisiko verwaiste Accounts Kosten (Richtwert)
Manuelle Checkliste (Wiki/Tabelle) Person hakt Systeme einzeln von Hand ab Hoch — Einzelkonten und Schatten-IT rutschen durch interne Zeit
Zentrales SSO/IAM Deaktivieren der Identität sperrt angebundene Apps Mittel — nur so gut wie die Anbindung der Dienste je Anbieter
Managed Self-Service-Portal (z. B. kjello Core) HR-Ereignis stößt Entzug an, inklusive Protokoll Niedrig — zentrale Identität plus Systemhaus dahinter 29 €

Preis kjello Core: 29 €/User/Monat (netto), optional +10 € je Arbeitsplatz/Monat für Security+ (Virenschutz), M365-Lizenzen zzgl.

Für ein belastbares IT Offboarding zahlt sich der dritte Ansatz besonders dann aus, wenn HR und IT getrennt arbeiten: Sobald der Austritt im Portal hinterlegt ist, laufen Konto-Sperrung, Geräte-Rückgabe und Berechtigungsentzug als definierter Vorgang ab — nachvollziehbar dokumentiert, statt an einem einzelnen Kalendereintrag zu hängen. Genau dieses Zusammenspiel bietet kjello: On- und Offboarding automatisieren heißt hier, den Entzug an das HR-Ereignis zu koppeln und für jeden Austritt einen sauberen, prüfbaren Ablauf zu erzeugen. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Wichtig zur Einordnung: Der Zuschnitt gilt dem deutschen Mittelstand mit rund 20–250 Mitarbeitenden — Konzerne mit eigener großer IT-Abteilung oder reine Cloud-only-Startups ohne Betreuungsbedarf sind nicht die Zielgruppe.

29 €pro User/Monat (Core, netto)
30 MinRückmeldung bei kritischer Störung, in der Regel
seit 2004Systemhaus hagel IT dahinter

Offboarding als Managed-Prozess: dafür und dagegen

Dafür spricht

  • Entzug hängt am HR-Ereignis, nicht an der Tagesform einer Einzelperson.
  • Lückenloses Protokoll als Nachweis für Audits und Compliance.
  • Planbarer Festpreis statt schwer kalkulierbarer interner Arbeitszeit.

Zu bedenken

  • Nur so vollständig wie die Anbindung: Schatten-IT muss zuerst sichtbar gemacht werden.
  • Setzt einen sauberen HR-Prozess voraus, der Austritte rechtzeitig meldet.
  • Für Unternehmen mit eigener, gut besetzter IT-Abteilung kann ein internes IAM ausreichen.

Was NIS2 vom Offboarding erwartet

Sauberes Offboarding ist nicht nur gute Praxis, sondern zunehmend Pflicht. Die NIS2-Richtlinie verlangt von betroffenen Einrichtungen dokumentierte Risikomanagement-Maßnahmen, darunter ausdrücklich Konzepte für Zugriffskontrolle. Das BSI stellt dabei klar, dass Cybersicherheit zur Chefsache wird — die Geschäftsführung haftet für die Umsetzung. Wer nachweisen muss, dass ausgeschiedene Personen keinen Zugriff mehr haben, kommt an einem protokollierten Entzugsprozess nicht vorbei. Eine abgehakte Excel-Liste ist im Audit kein belastbarer Nachweis.

IT Offboarding

Häufige Fragen

Was gehört alles zum IT Offboarding?

Der Entzug der zentralen Identität und aller angebundenen Dienste, das Kappen von Fernzugriff, das Abarbeiten nicht angebundener Einzelkonten (SaaS, lokale Admins, API-Keys), das Einziehen oder Remote-Bereinigen von Geräten, die Übergabe von Daten und Postfach sowie ein vollständiges Protokoll aller Schritte.

Wie schnell müssen Zugänge nach dem Austritt entzogen werden?

Idealerweise mit dem letzten Arbeitstag, spätestens unmittelbar danach. Je länger ein verwaister Account offen bleibt, desto größer das Risiko — deshalb sollte der Entzug an ein festes Ereignis gekoppelt sein und nicht auf ein freies Zeitfenster warten.

Was sind verwaiste Accounts und warum sind sie gefährlich?

Verwaiste Accounts sind aktive Zugänge ehemaliger Mitarbeitender, die beim Offboarding übersehen wurden. Sie gehören zu einer realen Person, werden aber von niemandem mehr überwacht — laut einer von security-insider.de zitierten OneLogin-Studie behält rund jeder zweite Ex-Mitarbeiter Zugriff auf das Firmennetz.

Lässt sich IT Offboarding automatisieren?

Ja. Über ein Self-Service-Portal oder eine IAM-Lösung wird der Entzug an ein HR-Ereignis gekoppelt: Ist der Austritt hinterlegt, laufen Konto-Sperrung, Geräte-Rückgabe und Berechtigungsentzug als definierter, protokollierter Vorgang ab.

Was kostet ein Managed-Offboarding über ein IT-Portal?

Bei kjello ist Offboarding Teil des Core-Pakets für 29 €/User/Monat (netto); optional kommen +10 € je Arbeitsplatz/Monat für Security+ (Virenschutz) hinzu, M365-Lizenzen werden zusätzlich weitergereicht. Der Preis deckt das Portal samt On-/Offboarding, Geräte-Management und IT-Support ab.

Innenarchitekten DSB Hamburg 2026: Kundendaten, Foto-Marketing, 3D-Visualisierung

Innenarchitekten DSB Hamburg 2026: Kundendaten, Foto-Marketing, 3D-Visualisierung

Innenarchitekten in Hamburg verarbeiten 2026 Kundendaten plus Wohnungs-/Büro-Fotos plus 3D-Visualisierungen. Strukturierter Datenschutz ist Pflicht. Lohnt der Blick auf einen DSB für Innenarchitekten.

Kundendaten

Adresse, Foto-Material, Vorlieben, Budget.

Wohnungs-Fotos

Mit Hausrecht-Klärung plus Einwilligung.

3D-Visualisierung

Software wie Pcon mit AV-Vertrag.

Hugo DSB

Lite 79 €/Mo.

Was Hamburger Innenarchitekten 2026 brauchen

  • Verarbeitungsverzeichnis mit Kunden, Lieferanten, 3D-Software
  • AV-Vertrag mit Pcon, ArchiCAD, etc.
  • Foto-Marketing-Einwilligung für Instagram
  • Cloud-Speicherung EU-Server für Kundendaten

Wohnungs-Fotos plus Hausrecht: Bei Vorher/Nachher-Marketing nicht nur Eigentümer fragen, sondern auch ggf. Mieter informieren. Schriftliche Einwilligung Standard.

JH

„Hamburger Innenarchitekten brauchen 2026 DSGVO-Disziplin auch als Solo-Selbstständige. Hugo DSB Lite ab 79 €/Monat plus Foto-Einwilligungs-Vorlagen.“

— Jens Hagel als Vermittler von Frag Hugo Datenschutz-Beratung

Innenarchitekten DSB Hamburg

Festpreise 2026

  • Hugo DSB Lite 79 €/Mo
  • Standard 149 €/Mo für 2-5 MA Büro
Innenarchitekten DSB Hamburg

FAQ

Brauche ich als Solo-Innenarchitekt einen DSB?

Nicht zwingend, aber empfohlen. Hugo DSB Lite 79 €/Monat.

Vorher/Nachher-Marketing erlaubt?

Mit schriftlicher Einwilligung der Eigentümer und ggf. Mieter.

Pcon-AV-Vertrag?

Bei Cloud-Komponente Pflicht. Pcon bietet das.

3D-Visualisierungen DSGVO?

Bei Personen-Bezug ja. Generische Visualisierung ohne Personen unproblematisch.

Innenarchitekten DSB Hamburg

Fazit

Hamburger Innenarchitekten brauchen 2026 DSGVO mit Foto-Disziplin. Hugo DSB Lite ab 79 €/Monat. Lohnt der Blick auf DSB für Innenarchitekten.