Azure Managed Services: Leistungsumfang und Aufgabenverteilung

Azure Managed Services umfasst zwei Dinge: Services, die Microsoft für Sie betreibt, etwa Azure SQL Managed Instance, Managed Disks und serverlose Functions, und den Tagesbetrieb, den ein Managed Service Provider (MSP) obendrauf übernimmt: Monitoring, Patching, Security, Backup-Tests und Kostenkontrolle. Die meisten Produktivumgebungen brauchen beides, denn Microsoft verwaltet nie Ihre Daten, Identitäten oder Konfiguration.

Das Wichtigste in Kürze

• „Managed“ bedeutet in Azure drei Ebenen: von Microsoft betriebene Plattformservices, Microsoft-Supportverträge und ein Partner, der die Umgebung unter einem SLA betreibt.
• Plattformservices nehmen Ihnen Host- und Betriebssystemarbeit ab, doch nach Microsofts Modell der geteilten Verantwortung bleiben Daten, Endpunkte, Konten und Zugriffsverwaltung immer bei Ihnen.
• Zu den Kernfunktionen eines Managed Azure Service gehören 24/7-Monitoring, Incident Response, Patching, getestete Backups, Sicherheitslage, Identity Governance, FinOps und Compliance-Nachweise.
• Für EU-Unternehmen im Anwendungsbereich von NIS2 ist Ihr MSP Teil der Lieferkette und muss die Frühwarnung binnen 24 Stunden und die Vorfallmeldung binnen 72 Stunden unterstützen.
• Kleine, vollständig serverlose Umgebungen mit eigener Rufbereitschaft brauchen womöglich keinen externen MSP; hybride, regulierte oder schnell wachsende Umgebungen meist schon.

Was sind Azure Managed Services?

Der Begriff wird für zwei verschiedene Dinge verwendet, und wer sie vermischt, legt den Grundstein für Ausfälle, Compliance-Lücken und unerwartete Rechnungen. In der Praxis gilt er auf drei Ebenen.

Ebene 1: Plattformservices, die Microsoft verwaltet

Hier verantwortet Microsoft das Host-Patching, die Verfügbarkeit und die darunterliegende Infrastruktur. Sie konfigurieren und nutzen den Service, melden sich aber nicht an einem Server an, um ihn zu reparieren. Typische Beispiele:

• Azure SQL Managed Instance: eine PaaS-Datenbank mit nahezu vollständiger SQL-Server-Kompatibilität. Microsoft übernimmt Betriebssystem-Patching, automatisierte Backups und Hochverfügbarkeit. Der Preis dafür ist weniger Kontrolle auf niedriger Ebene als bei SQL Server auf einer eigenen VM.
• Managed Disks: Blockspeicher für VMs, ohne dass Sie Storage Accounts selbst verwalten. Verschlüsselung ruhender Daten und Snapshots sind integriert.
• Azure Managed Applications: Ein Herausgeber stellt eine verpackte Anwendung in Ihrer Subscription bereit und behält die operative Kontrolle über deren verwaltete Ressourcengruppe. Nützlich für interne Plattformen, aber RBAC sorgfältig eingrenzen.
• Azure Functions: serverloses Compute. Code, Trigger und Bindings gehören Ihnen; im Premium-Plan verantworten Sie außerdem die VNet-Integration und vorgewärmte Instanzen.

Ebene 2: Microsoft-Support und Beratung

Microsoft verkauft Supportverträge und Onboarding-Hilfe wie FastTrack für berechtigte Workloads. Sie sind reaktiv und beratend. Sie helfen bei Störungsbehebung und Migrationsplanung, überwachen Ihre Umgebung aber nicht rund um die Uhr, reagieren nicht um 03:00 Uhr auf einen Sicherheitsalarm und optimieren Ihre Ausgaben nicht.

Ebene 3: ein Managed Service Provider

Ein Azure-MSP übernimmt die operative Verantwortung für Ihre Umgebung unter einem definierten SLA: Monitoring, Alarmweiterleitung, Incident Response, Patching, Backup-Validierung, Sicherheitslage, Kostenoptimierung und Compliance-Dokumentation. Er schließt die Lücke zwischen dem, was Microsoft betreibt, und dem, was Ihr internes Team leisten kann.

Der häufigste Fehler, den wir in Onboarding-Assessments sehen, ist die Annahme, Ebene 1 mache Ebene 3 überflüssig. PaaS nimmt Infrastrukturarbeit ab. Anwendungsmonitoring, Sicherheitskonfiguration, Kostensteuerung und Audit-Nachweise nimmt es nicht ab.

Was verwaltet Microsoft, und was bleibt bei Ihnen?

Microsoft verwaltet in jedem Modell das physische Rechenzentrum, das Netzwerk und die Hosts; der Rest verschiebt sich je nach IaaS, PaaS oder SaaS. Microsofts Leitfaden zur geteilten Verantwortung stellt klar, dass der Kunde unabhängig vom Bereitstellungstyp immer für Daten, Endpunkte, Konten und Zugriffsverwaltung verantwortlich bleibt. Das ist die Arbeit, die ein MSP übernimmt.

Kernfunktionen eines Managed Azure Service

Ein Anbieter, der nur Tickets beantwortet, ist ein Help Desk und kein Managed Service. Diese Funktionen sollten Sie in einem echten Azure-Betriebsvertrag erwarten.

Verwaltete Infrastrukturservices

Die laufende Pflege von VMs, virtuellen Netzwerken, Storage, App-Service-Plänen und AKS-Clustern: Patching des Gast-Betriebssystems, Image-Updates, AKS-Versionsupgrades, Skalierungsregeln, Reviews von Network Security Groups sowie ExpressRoute- und VPN-Zustand. Das meinen die meisten, wenn sie von „Azure Managed Infrastructure Services“ sprechen.

24/7-Monitoring und Incident Response

Azure Monitor und Log Analytics erfassen die Plattform-Telemetrie; Alarme gehen an einen Engineer in Rufbereitschaft, mit dokumentierten Runbooks und Reaktionszielen von P1 bis P4. So gehen wir bei Cloud-Monitoring und Support vor.

Security und Identität

Microsoft Defender for Cloud für Sicherheitslage und Bedrohungserkennung, Microsoft Sentinel als SIEM, Conditional Access und Reviews privilegierter Zugriffe in Entra ID sowie ein vereinbarter Weg zu Managed Detection and Response für Sicherheitsereignisse.

Backup und Disaster Recovery

Richtlinien für Azure Backup und Site Recovery, ausgelegt auf Ihre Wiederherstellungsziele, mit planmäßigen Restore-Tests. Ein Backup, das nie wiederhergestellt wurde, ist eine Annahme und keine Kontrolle. Auf der Seite zu unserem Azure-Backup-Service beschreiben wir den Testrhythmus, den wir einsetzen.

Governance und Landing Zones

Azure Policy, Management Groups, Tagging und RBAC nach dem Muster der Landing Zone des Cloud Adoption Framework, damit neue Subscriptions von Anfang an konform sind, statt später aufgeräumt zu werden.

Delegierter, nachvollziehbarer Zugriff

Anbieter sollten über Azure Lighthouse arbeiten. Damit verwaltet ein Dienstleister Ressourcen über Kunden-Tenants hinweg, während der Kunde kontrolliert, wer Zugriff hat, und ihn entziehen kann. Gemeinsame Admin-Passwörter sind ein Warnsignal.

FinOps

Wöchentliche Anomalie-Reviews, Rightsizing, Azure Hybrid Benefit und ein verwaltetes Reservation-Portfolio. Microsoft gibt an, dass Reserved VM Instances bis zu 72 % weniger kosten können als Pay-as-you-go, aber nur, wenn jemand die Commitments am tatsächlichen Verbrauch ausrichtet.

Vorteile, die sich im Betrieb zeigen

• Weniger operative Routinearbeit. Advisor-Meldungen, Defender-Empfehlungen, AKS-Upgrades und NSG-Audits erzeugen einen steten Strom an Aufgaben, der nicht in die Sprintplanung passt. Ein MSP fängt ihn im festen Leistungsumfang ab.
• Schnellere Erkennung. Ohne 24/7-Monitoring fallen Vorfälle oft erst auf, wenn sich ein Kunde beschwert. Mit weitergeleiteten Alarmen und einem Engineer in Rufbereitschaft sinkt die Erkennungszeit von Stunden auf Minuten.
• Compliance als laufender Prozess. Nachweise werden kontinuierlich erhoben, statt vor jedem Audit neu zusammengebaut zu werden.
• Kostenkontrolle. Im State-of-the-Cloud-Report 2025 von Flexera nannten 84 % der Befragten die Steuerung der Cloud-Ausgaben als eine der größten Herausforderungen, und die Befragten schätzten, dass 27 % der Cloud-Ausgaben verschwendet werden. Wie wir daran arbeiten, zeigt unser Service zur Cloud-Kostenoptimierung.

Wie unterstützen Azure Managed Services NIS2 und DSGVO?

Sie unterstützen die Compliance, indem sie die Kontrollen betreiben und die Nachweise erzeugen, die Verantwortung bleibt aber bei Ihnen. NIS2 gilt für 18 kritische Sektoren in der EU. Laut den NIS2-FAQ der Europäischen Kommission muss eine betroffene Einrichtung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls eine Frühwarnung abgeben, innerhalb von 72 Stunden eine Vorfallmeldung und innerhalb eines Monats einen Abschlussbericht.

Ihr MSP braucht einen 24/7-Prozess, der diese Fristen bedient, und er ist selbst Teil Ihrer Lieferkette. Nach der DSGVO handelt er als Auftragsverarbeiter, der Vertrag braucht also eine Auftragsverarbeitungsvereinbarung (Artikel 28), eine Liste der Unterauftragsverarbeiter, Fristen für die Meldung von Datenschutzverletzungen und Prüfrechte. Kann ein Anbieter diese auf Nachfrage nicht vorlegen, lassen Sie die Finger davon. Indiens DPDP Act 2023 legt Organisationen, die personenbezogene Daten aus Indien verarbeiten, ähnliche Pflichten auf. Mehr zum Anwendungsbereich finden Sie in unserem NIS2-Leitfaden.

Typische Szenarien

Dies sind gängige Muster aus Onboarding-Assessments, keine namentlich genannten Kunden.

• EU-SaaS-Unternehmen in einem NIS2-Sektor. Produktion ausschließlich in EU-Regionen, durchgesetzt mit einer allowedLocations-Richtlinie; SQL Managed Instance mit kundenverwalteten Schlüsseln in Key Vault; ein 24/7-Incident-Prozess, der auf die Meldeschritte an das CSIRT abgestimmt ist.
• Indisches Fintech. Produktion in Central India mit DR in South India; AKS mit verwalteten Upgrades; Compliance-Dashboards in Defender for Cloud, abgebildet auf DPDP Act und RBI-Anforderungen; wöchentliche Restore-Tests, für Audits protokolliert.
• Multi-Cloud-Unternehmen. Azure für Entra ID, Microsoft 365 und .NET-Workloads, AWS für Container oder Datenplattformen. Der MSP betreibt einen gemeinsamen Monitoring- und Incident-Prozess für beide und berichtet die gesamten Cloud-Ausgaben statt zweier getrennter Rechnungen. Unser Vergleich von AWS, Azure und GCP zeigt, wo was passt.

ASM vs. ARM: warum das Thema noch aufkommt

Azure Service Management (ASM) ist das alte „klassische“ Bereitstellungsmodell, Azure Resource Manager (ARM) das aktuelle. Klassische Ressourcen kennen keine Ressourcengruppen, kein RBAC, keine Tags und keine Azure Policy. Microsoft hat klassische Services stufenweise abgekündigt, und Cloud Services (classic) wurde für alle Kunden zum 1. September 2024 eingestellt. Findet ein Assessment noch klassische Ressourcen, ist ihre Migration eine Aufgabe für Sicherheit und Supportfähigkeit und kein Nice-to-have.

Tools, die ein Managed Azure Service typischerweise nutzt

Häufige Stolperfallen

• Dimensionierung wie beim Lift-and-Shift. VMs behalten die Größen aus dem eigenen Rechenzentrum. Liegt die durchschnittliche CPU-Last im niedrigen zweistelligen Bereich, ist eine Größe kleiner eine einfache Ersparnis.
• Defender for Cloud im kostenlosen Tarif. Der kostenlose Tarif liefert nur eine grundlegende Sicherheitslage; die bezahlten Pläne ergänzen Bedrohungserkennung und Schwachstellenbewertung für Server, SQL, Container und Storage.
• Flache Netzwerke. Ein VNet, ein Subnetz, großzügige NSGs. Nutzen Sie ein Hub-and-Spoke-Design, Flow Logs und Azure Firewall oder eine NVA für den Ost-West-Verkehr.
• Ungetestete Backups. Azure Backup läuft zuverlässig; entscheidend ist die Wiederherstellung.

Wann Sie keinen MSP brauchen

Sie brauchen womöglich keinen, wenn Ihre Umgebung klein ist und von einem fähigen Platform Engineer betreut wird, wenn die Workloads vollständig serverlos sind und keine Compliance-Pflichten bestehen oder wenn Sie bereits eine 24/7-Rufbereitschaft besetzen. Wahrscheinlich brauchen Sie einen, wenn die Umgebung über das Monitoring in Geschäftszeiten hinausgewachsen ist, wenn NIS2, DSGVO, SOC 2 oder DPDP-Pflichten kontinuierliche Kontrollen verlangen, wenn Sie hybrid oder Multi-Cloud arbeiten oder wenn die Azure-Rechnung schneller wächst als der Umsatz und niemand sagen kann, warum.

Wie Opsio Ihnen hilft

Opsio betreibt Azure-Umgebungen für nordische, europäische und indische Organisationen von Karlstad und Bangalore aus: 24/7-Monitoring, Patching, Security Operations, Backup-Tests und FinOps unter einem SLA. Auf unserer Seite zum Azure Managed Service Provider finden Sie Leistungsumfang und veröffentlichte Preisstufen; was ein Azure-MSP tut und kostet erklärt, wie Sie Anbieter vergleichen.

Dieselbe Aufteilung zwischen plattformverwalteten Services und partnerbetriebenem Betrieb zeigt sich in unserem Fall Branäsgruppen, der auf AWS statt Azure läuft: Die Server und Datenbanken der Skigebietsgruppe zogen auf verwaltete Entsprechungen um, mit täglichen inkrementellen und wöchentlichen vollständigen Backups, die im Rahmen von Opsios Managed Service 60 Tage aufbewahrt werden. Die Fallstudie nennt eine um 40 % bessere durchschnittliche Seitenreaktionszeit, 40 % niedrigere Gesamtbetriebskosten und eine Anwendungsverfügbarkeit von 99,9 %+.

Häufig gestellte Fragen

Worin unterscheiden sich ein Azure Managed Service und ein Azure-MSP?

Ein Managed Service ist ein Produkt, das Microsoft betreibt, etwa eine PaaS-Datenbank. Ein MSP ist ein Unternehmen, das Ihre gesamte Umgebung betreibt, auch die Teile, die Microsoft Ihnen überlässt: Konfiguration, Identitäten, Datenschutz, Kosten und Incident Response.

Welche fünf Arten von Managed Services gibt es?

Üblich ist diese Gruppierung: verwaltete Infrastruktur (Compute, Netzwerk, Storage), verwaltete Sicherheit (SOC, SIEM, Erkennung und Reaktion), verwaltete Datenbanken, verwaltete Anwendungen (Bereitstellung, Skalierung, Patching) und verwaltete Cloud-Finanzsteuerung (FinOps).

Worin unterscheiden sich ASM und ARM?

ASM war Azures ursprüngliches klassisches Bereitstellungsmodell, ohne Ressourcengruppen, RBAC oder Policy. ARM hat es abgelöst und ist heute das unterstützte Modell, mit Vorlagen (JSON oder Bicep), fein granuliertem RBAC, Tags und Azure Policy. Verbliebene klassische Ressourcen sollten migriert werden.

Was ist ein verwaltetes Gerät in Azure?

Ein verwaltetes Gerät ist ein Laptop, Smartphone oder Tablet, das in Microsoft Intune registriert ist. Mit der Registrierung können Sie Compliance-Regeln wie Verschlüsselung und Betriebssystemversion durchsetzen, Conditional Access anwenden und das Gerät aus der Ferne löschen.

Wie helfen Azure Managed Services bei der NIS2-Compliance?

Ein Anbieter mit 24/7-Sicherheitsüberwachung, dokumentierten Incident-Runbooks und auditfähigem Reporting unterstützt die Pflichten von NIS2 zu Risikomanagement und Meldewesen, sofern er vertraglich als Teil Ihrer Lieferkette gebunden ist und seine eigenen Zertifizierungen belegen kann.