Was ist ein Managed Service Provider (MSP)? So arbeiten MSPs

Ein Managed Service Provider (MSP) ist ein externes Unternehmen, das im Rahmen eines laufenden Vertrags einen Teil Ihrer IT für Sie betreibt. Es überwacht, patcht, sichert, schützt und repariert die Systeme im vereinbarten Umfang, in der Regel rund um die Uhr und nach festgelegten Service Levels. Sie zahlen eine wiederkehrende Gebühr; der MSP übernimmt die operative Tagesarbeit.

Das Wichtigste in Kürze

• Ein MSP wird dafür bezahlt, Systeme am Laufen zu halten und weiterzuentwickeln, nicht erst nach einem Ausfall zu reparieren.
• Das EU-Recht definiert MSPs inzwischen: Die NIS2-Richtlinie erfasst „Installation, Verwaltung, Betrieb oder Wartung“ von IKT, vor Ort oder aus der Ferne.
• Ein Cloud-Anbieter wie AWS oder Azure besitzt die Plattform; ein MSP betreibt Ihre Workloads darauf. Die meisten Cloud-Kunden brauchen beides.
• Die Preise richten sich nach Gerät, Nutzer, Paketstufe, Anteil an den Cloud-Ausgaben oder Festpreis. Jedes Modell setzt andere Anreize.
• Sie können einem MSP Aufgaben übertragen, aber nicht Ihre regulatorische Verantwortung. Halten Sie die Aufgabenteilung im Vertrag fest.
• Azure Expert MSP läuft bis Ende 2027 aus. Prüfen Sie daher, welche aktuelle Microsoft- oder AWS-Validierung ein Anbieter tatsächlich besitzt.

Was macht ein MSP?

Ein MSP übernimmt die operative Verantwortung für einen vereinbarten Ausschnitt Ihrer Umgebung. Das können Ihre AWS-Konten sein, Ihr Microsoft-365-Tenant, Ihr Netzwerk, Ihre Laptops oder Ihr Security-Monitoring.

Typische wiederkehrende Aufgaben:

• 24/7-Monitoring und Alerting für Server, Datenbanken, Netzwerke und Cloud-Dienste
• Incident Response und Fehlerbehebung innerhalb vereinbarter Reaktions- und Lösungszeiten
• Patching von Betriebssystemen und konsistente Konfigurationen
• Backups sowie regelmäßige Tests, ob Wiederherstellungen tatsächlich funktionieren
• Security-Monitoring, Schwachstellenmanagement und Zugriffsreviews
• Cloud-Kostenreviews: Rightsizing, Zeitplanung und Rabatte für Zusagen
• Monatliche Berichte zu Verfügbarkeit, Incidents und Ausgaben sowie geplante Verbesserungsarbeiten

Die EU kennt inzwischen eine rechtliche Definition. Die NIS2-Richtlinie, Artikel 6 Nr. 39, definiert einen MSP als Einrichtung, die „services related to the installation, management, operation or maintenance of ICT products, networks, infrastructure, applications or any other network and information systems, via assistance or active administration carried out either on customers' premises or remotely“ erbringt, also Dienste rund um Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen und anderen Netz- und Informationssystemen, durch Unterstützung oder aktive Administration vor Ort beim Kunden oder aus der Ferne. Anhang I derselben Richtlinie führt MSPs und Anbieter verwalteter Sicherheitsdienste als erfassten Sektor auf.

Wie ein MSP in der Praxis arbeitet

Ein funktionierender MSP-Service ruht auf drei Ebenen. Fehlt eine, kaufen Sie ein Dashboard mit einer Telefonnummer.

Werkzeuge

Der MSP installiert Monitoring-Agenten und Log-Erfassung und verwaltet die Infrastruktur als Code (Terraform oder CloudFormation). Er nutzt Observability-Werkzeuge (CloudWatch, Azure Monitor, Datadog) und ein Ticketsystem. Gute Anbieter legen diesen Code in Ihren Repositories ab, nicht in ihren eigenen.

Prozesse

Runbooks beschreiben, wie jede Art von Alarm behandelt wird, vom volllaufenden Datenträger bis zum Verdacht auf eine Sicherheitsverletzung. Darüber liegen Change-Management, Kapazitätsreviews und Nachbesprechungen nach Incidents. Lassen Sie sich echte, geschwärzte Beispiele zeigen.

Menschen

Ingenieure in einem Network Operations Center (NOC) und einem Security Operations Center (SOC) setzen die Runbooks um. Ihr eigentlicher Wert ist Mustererkennung. Ein Team, das denselben Fehler in vielen Umgebungen gesehen hat, behebt ihn schneller als eines, das ihn zum ersten Mal sieht.

Arten von Managed Service Providern

MSPs unterscheiden sich darin, was sie betreiben und welche Plattformen sie kennen. Ordnen Sie den Typ Ihrer Landschaft zu, bevor Sie Namen vergleichen.

Die Grenze zwischen Cloud-MSP und MSSP verschwimmt. Eine Cloud-Landschaft lässt sich ohne eingebautes Security-Monitoring nicht verantwortungsvoll betreiben, daher verkaufen viele Anbieter beides in einem Vertrag. Unser Vergleich MSP vs. MSSP vs. MDR geht tiefer.

MSP, Cloud-Anbieter und IT-Dienstleister im Vergleich

Diese drei Rollen verwechseln Käufer am häufigsten. Der Unterschied liegt in Eigentum und Verantwortung.

Die Verantwortung für Sicherheit ist in Schichten aufgeteilt. AWS beschreibt sein Modell der geteilten Verantwortung als Sicherheit „of“ the cloud (AWS) im Unterschied zu Sicherheit „in“ the cloud (Kunde), also Sicherheit der Cloud gegenüber Sicherheit in der Cloud. Mit einem MSP gibt es drei Schichten:

• Cloud-Anbieter: physische Rechenzentren, Hardware, Hypervisor und Verfügbarkeit der verwalteten Dienste.
• MSP: was der Vertrag festlegt, etwa Betriebssystem-Patching, Monitoring, Incident Response, Backup-Tests und Kosten-Governance.
• Sie: Anwendungscode, Datenklassifizierung, Zugriffsentscheidungen und regulatorische Verantwortung.

An den Rändern entstehen Lücken. Wer patcht Basis-Images für Container? Wer genehmigt IAM-Änderungen? Halten Sie die Antworten in einer RACI-Matrix fest, die dem Vertrag beiliegt.

Was ist ein Azure- oder AWS-Managed-Service-Provider?

Das ist ein MSP, der sich auf eine Cloud spezialisiert hat und die Validierung des jeweiligen Cloud-Herstellers bestanden hat. Beide Programme setzen externe Prüfer ein, daher haben die Auszeichnungen mehr Gewicht als ein Reseller-Eintrag.

• AWS. Das AWS MSP Partner Program verlangt von Partnern, „complete a rigorous third-party audit that assesses your technical skills and business health“, also ein strenges Audit durch Dritte zu durchlaufen, das technische Fähigkeiten und wirtschaftliche Gesundheit bewertet. Einen Partner können Sie im AWS Partner Solutions Finder prüfen.
• Azure. Microsofts Azure Expert MSP umfasst eine Vorab-Bewertung und ein zweitägiges Audit durch einen Dritten. Microsoft hat angekündigt, dass Azure Expert MSP „will retire by the end of 2027“, also bis Ende 2027 ausläuft, und verweist Partner auf die Frontier-Partner-Spezialisierung. Wirbt ein Anbieter vor allem mit der Expert-MSP-Auszeichnung, fragen Sie, worauf er umsteigt.

Spezialisten für eine Cloud gehen tiefer; Multi-Cloud-MSPs decken mehr ab. Wenn Sie zu 95 % auf AWS laufen und ein übrig gebliebenes Azure-Abonnement haben, brauchen Sie einen AWS-Spezialisten, der den Azure-Teil mit im Blick hat. Wenn Ihnen eine Übernahme zwei echte Plattformen hinterlassen hat, prüfen Sie, ob der MSP auf beiden zertifizierte Ingenieure hat. Eine Präsentation genügt nicht. Was jeweils abgedeckt ist, sehen Sie auf unseren Seiten zu AWS Managed Services und Azure Managed Services.

Wie viele Unternehmen nutzen einen MSP?

Die meisten Organisationen, die die Public Cloud nutzen, holen sich dafür externe Hilfe. Der State of the Cloud Report 2025 von Flexera ergab, dass 60 % der Organisationen MSPs in irgendeiner Form für die Verwaltung der Public Cloud einsetzten. Der Bericht 2026 zeigte, dass die MSP-Nutzung in Konzernen um 3 Prozentpunkte stieg, während sie im KMU-Segment von 48 % auf 39 % fiel, was Flexera mit Budgetdruck verbindet.

Vorteile eines MSP

• Kompetenzen, die Sie nicht einzeln einstellen könnten. Cloud-Netzwerke, Kubernetes, FinOps und Sicherheitsanalyse sind getrennte Fachgebiete. Ein MSP verteilt diese Fachleute auf viele Kunden.
• Echte 24/7-Abdeckung. Einen Rund-um-die-Uhr-Dienstplan selbst zu besetzen, bedeutet mehrere Personen je Rolle, sobald Urlaub, Krankheit und Fluktuation eingerechnet sind.
• Schnellere Incident-Bearbeitung. Erfahrung aus vielen Kunden verkürzt die Diagnose.
• Kostendisziplin. Jemand ist jeden Monat für die Cloud-Rechnung zuständig: Rightsizing, Abschalten ungenutzter Ressourcen sowie Dimensionierung und Verlängerung von Rabatten für Zusagen wie Savings Plans.
• Unterstützung bei der Compliance. Nach Artikel 21 der NIS2-Richtlinie müssen erfasste Organisationen die Sicherheit der Lieferkette steuern, einschließlich der Beziehungen zu ihren Dienstleistern. Ein MSP mit ISO-27001-Zertifizierung und einem klaren DSGVO-Auftragsverarbeitungsvertrag erleichtert diesen Nachweis.

Risiken und Zielkonflikte

Ein ehrlicher Leitfaden muss auch behandeln, was schiefgehen kann. Das sind die üblichen Schwachstellen und wie Sie sie begrenzen.

• Verlust von internem Wissen. Nach einigen Jahren schwinden die praktischen Fähigkeiten Ihres Teams. Gegenmittel: Dokumentation, IaC und Runbooks in Ihren eigenen Systemen halten und Wissenstransfer-Sitzungen einplanen.
• SLA-Tricksereien. Ein Alarm, der in 30 Sekunden bestätigt und 45 Minuten später bewertet wird, „erfüllt“ trotzdem ein Reaktions-SLA. Gegenmittel: Zeit bis zur Lösung und Zeit bis zu einer brauchbaren Statusmeldung messen und MTTR-Verteilungen statt Durchschnittswerte verlangen.
• Abhängigkeit vom MSP. Proprietäre Werkzeuge und harte Ausstiegsklauseln erschweren den Wechsel. Gegenmittel: offene oder Cloud-native Werkzeuge bevorzugen und Unterstützung beim Übergang vorab vereinbaren.
• Falsch ausgerichtete Kostenanreize. Eine Gebühr als Anteil an den Cloud-Ausgaben belohnt eine höhere Rechnung. Ein Festpreis belohnt weniger Aufwand. Gegenmittel: Regeln zur Einsparungsbeteiligung oder vierteljährliche Kostenreviews ergänzen.
• Regeln für grenzüberschreitende Daten. Sitzt das SOC außerhalb der EU und liegen Ihre Daten in EU-Regionen, gelten die DSGVO-Regeln zur Drittlandübermittlung. Gegenmittel: Garantien (etwa Standardvertragsklauseln) im Vertrag prüfen und anschließend auditieren.

MSP-Preismodelle im Vergleich

Die Preise schwanken je nach Umfang zu stark, um einen fairen Durchschnitt zu nennen. Vergleichen Sie zuerst das Modell, dann die Zahl.

Vergleichen Sie stets die MSP-Gebühr plus Cloud-Rechnung mit den vollen Kosten, die dieselbe Arbeit im eigenen Haus verursachen würde.

So wählen Sie einen MSP aus

1. Legen Sie zuerst den Umfang fest. Listen Sie auf, welche Workloads und Umgebungen betroffen sind, welche Aufgaben übergehen und welche Compliance-Rahmenwerke gelten.
2. Prüfen Sie Validierungen und schauen Sie darüber hinaus. AWS MSP, Microsoft-Auszeichnungen und ISO 27001 sind die Eintrittskarte. Bitten Sie um eine geschwärzte Nachbetrachtung eines Incidents; sie verrät mehr als jedes Abzeichen.
3. Führen Sie einen Tabletop-Test durch. Geben Sie ein Szenario vor, etwa „Freitag 23:00 Uhr MEZ, CloudTrail zeigt eine Root-Konsolenanmeldung von einer unbekannten IP-Adresse“, und lassen Sie sich jeden Schritt von der Erkennung bis zur Behebung schildern.
4. Lesen Sie die SLA-Uhr. Prüfen Sie 24/7 gegenüber Bürozeiten, Schweregraddefinitionen, Service Credits und Ausschlüsse.
5. Vereinbaren Sie den Ausstieg. Regeln Sie Export von Daten und Konfiguration, eine Übergangsphase, Zugang für einen Nachfolger und das Eigentum an der für Sie gebauten Automatisierung.

Unser ausführlicherer Leitfaden So wählen Sie ein MSP-Unternehmen aus enthält eine RFP-Struktur.

Wann ein MSP die falsche Wahl ist

• Die Infrastruktur ist Ihr Produkt. Wenn Latenz oder Spezialhardware Ihr Vorteil sind, brauchen Sie eigene Ingenieure.
• Sie haben die nötige Größe. Bei sehr hohen Cloud-Ausgaben kann ein internes Plattformteam günstiger sein als die MSP-Gebühr und hält das Wissen im Haus.
• Vorschriften verbieten den Zugriff Dritter. Manche Verteidigungs- und Geheimschutz-Workloads dürfen nicht von einem externen Betreiber geführt werden.
• Niemand kennt Ihren Stack. Für Nischen-HPC oder Spezialhardware kann der Talentpool der MSPs zu klein sein.

Beispiel: 24/7-Managed-Betrieb auf AWS

Opus Bilprovning ist eines der größten Fahrzeugprüfunternehmen Schwedens, mit knapp 100 Stationen und rund zwei Millionen Prüfungen pro Jahr. Es wollte einen verantwortlichen Partner für die gesamte AWS-Landschaft über CloudOps, DevOps und SecOps hinweg. Opsio betreibt diese Landschaft heute mit 24/7-Betriebssupport, proaktivem Monitoring, Change-Management und kontinuierlicher Sicherheitshärtung. Das interne Team konzentriert sich auf die Prüfungen. Lesen Sie die Fallstudie Opus Bilprovning.

Häufig gestellte Fragen

Was ist ein Beispiel für einen MSP?

Ein typisches Beispiel ist ein Cloud-MSP, der gegen eine Monatsgebühr das 24/7-Monitoring, Patching, die Incident Response und die Kostenkontrolle für die AWS- und Azure-Konten eines Unternehmens übernimmt. Opsio, der Herausgeber dieses Artikels, ist einer; siehe unsere Übersicht zu Managed Services. Auch große IT-Dienstleister und viele regionale IT-Supportfirmen verkaufen Managed Services.

Was ist der Unterschied zwischen einem MSP und einem Cloud-Anbieter?

Ein Cloud-Anbieter wie AWS, Azure oder Google Cloud besitzt und betreibt die Plattform. Ein MSP betreibt Ihre Workloads auf dieser Plattform: Monitoring, Patching, Sicherheit und Kosten. Die Plattformrechnung geht an den Cloud-Anbieter, die Betriebsgebühr an den MSP.

Ist ein MSP dasselbe wie ein IT-Dienstleister?

Ein MSP ist eine Art von IT-Dienstleister. IT-Dienstleister verkaufen unter Umständen Projekte, Beratung oder Break-Fix-Support. Ein MSP übernimmt gezielt die laufende Verantwortung für den Betrieb von Systemen unter einem SLA.

Was kostet ein MSP?

Das hängt von Umfang, Größe der Landschaft und SLA-Stufe ab, daher sind veröffentlichte Durchschnittswerte ein schlechter Maßstab. Gängige Modelle sind pro Gerät, pro Nutzer, gestaffelte Pakete, Anteil an den Cloud-Ausgaben sowie Festpreise mit Einsparungsbeteiligung. Fordern Sie ein Angebot auf Basis Ihres Inventars an und vergleichen Sie es mit den vollen Kosten eigener Mitarbeitender.

Fallen MSPs unter NIS2?

Ja. NIS2 führt Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste in Anhang I auf, daher haben erfasste MSPs eigene Sicherheitspflichten. Ihre Kunden müssen nach Artikel 21 zudem die Sicherheit der Lieferkette steuern.

Zur praktischen Umsetzung siehe Opsios Multi-Cloud-MSP-Qualifikationen.

Weiterführende Artikel

• Der Zweck eines Managed Service Providers (MSP)
• Warum jedes Unternehmen SOC Managed Services in Betracht ziehen sollte
• Was ist ein SOC-Analyst und warum ist die Rolle so wichtig?