IT-Dienstleister wechseln: Admin-Zugänge übernehmen und danach ändern

Der Wechsel in Kurzform

Bevor Sie den IT-Dienstleister wechseln, sorgen Sie dafür, dass Ihre Firma die obersten Zugänge selbst hat: das Kundenkonto beim Domain-Anbieter, ein eigenes Administratorkonto in Microsoft 365 oder Google Workspace, den Zugang zu Router oder Firewall, zu Server und NAS, zur Datensicherung mit ihrem Kennwort und zu den Herstellerportalen der Lizenzen. Erst wenn Sie mit diesen Zugängen selbst angemeldet waren, endet die Zusammenarbeit.

Danach kommt der zweite Teil, der im Alltag leicht liegen bleibt. Das BSI verlangt im IT-Grundschutz für das Ende einer Administrationstätigkeit, dass die persönlichen Administratorkonten der Person gesperrt und die Passwörter aller Administratorkonten geändert werden, die sie kannte (Anforderung OPS.1.1.2.A4 im IT-Grundschutz-Kompendium, Edition 2023, abgerufen am 14.10.2026). Für einen externen Dienstleister gilt das genauso wie für einen eigenen Mitarbeiter, der die IT betreut hat.

Diese Zugänge gehören der Firma, nicht dem Dienstleister

Ein Dienstleister braucht für seine Arbeit Rechte, oft sehr weitgehende. Inhaber der Konten und Verträge sollte trotzdem die Firma sein. Prüfen lässt sich das an jeder Stelle daran, ob die Firma ohne ihn hineinkommt.

Wie Sie Domain und Website auf die Firma bringen, steht unter Domain und Website in eigene Hand. Wie eine kleine Firma ihre Administratoren in Microsoft 365 aufstellt, beschreibt Microsoft 365: Admin-Notfallkonto.

Die Übergabeliste

Am einfachsten wird die Übergabe, wenn es eine aktuelle Dokumentation gibt. Wie die aufgebaut ist, steht unter IT-Dokumentation und Zugangsdaten. Für den Wechsel klären Sie darin zu jedem System sechs Punkte:

1. Inhaber: Auf wen läuft der Vertrag oder das Konto, auf die Firma oder auf den Dienstleister?
2. Konten des Dienstleisters: Welche persönlichen Konten haben seine Techniker, und welche gemeinsamen Konten kennen sie?
3. Zweiter Faktor: An welchem Handy oder in welcher App hängt die Bestätigung der Administratorkonten? Liegt sie beim Techniker, zieht sie vor dem Ende um.
4. Fernwartung: Welche Fernwartungsprogramme und VPN-Zugänge gibt es, und auf welchen Rechnern sind sie eingerichtet? Das BSI verlangt, dass Fernwartungssoftware nur auf den Systemen installiert ist, auf denen sie gebraucht wird, und dass dokumentiert ist, welche Fernwartungszugänge existieren und ob sie aktiv sind.
5. Laufzeiten: Welche Lizenzen, Garantien und Wartungsverträge laufen wann aus, und wer hat sie bisher verlängert?
6. Geheimnisse ohne Konto: Kennwort der Datensicherung, Wiederherstellungsschlüssel der verschlüsselten Laufwerke, WLAN-Schlüssel, Zugangsdaten des Internetanbieters.

Hat die Firma einen Passwort-Tresor, trägt der alte Dienstleister die Passwörter direkt in eine Sammlung ein, die die Geschäftsführung dafür angelegt hat. Eine Liste per Mail bliebe dagegen in beiden Postfächern liegen. Wie Zugänge ohne Mail und Chat weitergegeben werden, beschreibt Passwörter im Team teilen. Einen Punkt hakt die Firma erst ab, wenn sich jemand von ihr damit angemeldet hat.

Nach der Übergabe: entfernen und ändern

Ist der neue Dienstleister eingearbeitet, nimmt die Firma dem alten die Rechte und ändert, was er kannte. Das BSI zählt in OPS.1.1.2.A4 drei Schritte auf: persönliche Administratorkonten sperren, die Passwörter aller ihm bekannten Administratorkonten ändern und alle Beteiligten informieren, dass er keine Rechte mehr hat. Bei einer Trennung, die nicht im Einvernehmen geschieht, soll die Firma zusätzlich prüfen, ob er sich Rechte verschafft hat, die nirgends dokumentiert sind.

• Microsoft 365: Unter Einstellungen, Partnerbeziehungen wählt ein Administrator den Partner aus und klickt auf „Rollen entfernen“. Laut Microsoft (Stand 30.03.2026) beendet das nicht die Partnerbeziehung selbst. Hat er Ihnen Lizenzen verkauft, klären Sie mit ihm und dem neuen Partner, wie die Abonnements übergehen. Daneben sehen Sie in der Benutzerliste nach normalen Konten, die für den Dienstleister angelegt wurden.
• Router: Bei einer FRITZ!Box stehen die Benutzer unter System, FRITZ!Box-Benutzer, die eingerichteten Zugänge aus dem Internet zeigt laut Hersteller Diagnose, Sicherheit. Konten und VPN-Verbindungen des alten Dienstleisters löschen, das Kennwort für die Verwaltung neu setzen.
• Rechner: Fernwartungsprogramme entfernen, die der neue Dienstleister nicht nutzt, lokale Administratorkennwörter neu setzen, siehe lokale Administratorkennwörter.
• Herstellerkonten: Anmeldeadresse auf eine Firmenadresse umstellen und das Kennwort ändern.
• Gemeinsame Zugänge: Alles, was mehrere kannten, etwa das WLAN oder das Konto beim Internetanbieter, bekommt ein neues Kennwort.

Welche Passwörter beim Weggang einer Person mit Wissen ganz allgemein zu wechseln sind, listet die Checkliste Mitarbeiter verlässt die Firma. Für den Dienstleister gilt sie sinngemäß, mit dem Unterschied, dass er meist mehr Verwaltungszugänge kannte als jeder Mitarbeiter.

Was im Vertrag mit dem Dienstleister stehen sollte

Ob und was ein Dienstleister am Ende herausgeben muss, richtet sich nach dem Vertrag und dem Gesetz. Dieser Text ist keine Rechtsberatung. Leichter wird es, wenn das Ende schon beim Anfang geregelt ist. Das BSI verlangt im Baustein zum Outsourcing (OPS.2.3.A7), dass für eine geplante und eine ungeplante Beendigung festgelegt ist, wie alle Informationen, Daten und Hardware zurückgegeben werden, und dass danach geprüft wird, ob die Zugangsrechte des Anbieters aufgehoben sind.

Hat Ihre Firma mit dem Dienstleister einen Vertrag zur Auftragsverarbeitung geschlossen, steht dort nach Art. 28 Abs. 3 Buchstabe g DSGVO, dass er nach dem Ende der Leistung alle personenbezogenen Daten nach Wahl Ihrer Firma löscht oder zurückgibt. Für die Zugänge selbst sollten Sie zusätzlich festhalten:

• Konten, Verträge und Lizenzen werden auf die Firma angelegt, nicht auf den Dienstleister.
• Die Firma hat immer ein eigenes Administratorkonto für jedes zentrale System.
• Die Dokumentation gehört der Firma und wird in einem Format übergeben, das sich ohne die Software des Dienstleisters öffnen lässt.
• Am Ende hilft der Dienstleister bei der Übergabe, und es steht fest, wie diese Hilfe abgerechnet wird.

Fehler, die einen Wechsel teuer machen

• Erst kündigen, dann fragen. Nach dem Vertragsende ist niemand mehr beauftragt, Fragen zu beantworten. Die Übergabe gehört in die Zeit, in der der Vertrag noch läuft.
• Der zweite Faktor wandert nicht mit. Das Administratorkonto ist übergeben, die Bestätigung kommt aber weiter auf das Diensthandy des Technikers. Was dann hilft, steht unter Handy mit Authenticator-App verloren.
• Das Kennwort der Sicherung fehlt. Die Sicherung läuft jede Nacht, zurückspielen kann sie ohne das Kennwort niemand.
• Alte VPN-Zugänge bleiben aktiv. Sie fallen niemandem auf, weil sie im Alltag nicht stören.

Beispiel: Der Dienstleister geht in Rente

Ein erfundener Fall: Eine Spedition mit 14 Leuten wird seit zwölf Jahren von einem Einzelunternehmer betreut, der seinen Betrieb aufgibt und den Wechsel selbst anregt. Beide nehmen sich drei Wochen Zeit. Die Geschäftsführerin legt eine Sammlung „IT“ im Tresor an, der Techniker trägt dort Router, Server, NAS und Sicherung ein, und der neue Dienstleister meldet sich mit jedem Zugang einmal an.

Zwei Dinge fallen erst dabei auf: Das Administratorkonto in Microsoft 365 bestätigt die Anmeldung über eine App auf dem Handy des Technikers, und die Lizenz für die Disposition hängt an seiner Mailadresse. Beides stellt der Techniker vor seinem letzten Arbeitstag um. Danach sperrt die Geschäftsführerin sein Konto im Tresor, der neue Dienstleister ändert die Verwaltungskennwörter, die in der Sammlung „IT“ stehen, und entfernt das alte Fernwartungsprogramm von allen Rechnern. Welche Zugänge eine Spedition sonst hat, zeigt die Seite für Logistik.

Wenn Sie von uns wechseln

Schönfelder EDV ist selbst IT-Dienstleister, und für einen Wechsel weg von Passwortheld gilt dieselbe Liste. Den Server mieten Sie bei netcup auf den Namen Ihrer Firma und zahlen ihn direkt an netcup. Nach einer Kündigung bleibt er mit allen Daten bei Ihnen. Ihr neuer Dienstleister kann den Tresor dort weiter betreiben, oder Sie exportieren ihn verschlüsselt, wie wir es bei der Einrichtung zeigen. Unseren Zugang zum Server entfernen wir nach der Kündigung selbst. Prüfen Sie das trotzdem nach, wie bei jedem anderen Dienstleister.

Hat Ihr IT-Dienstleister ein eigenes Konto im Tresor, sperrt der Verantwortliche in Ihrer Firma es selbst, und der Tresor zeigt, welche Sammlungen er sehen konnte. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer und nur für Unternehmer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Ohne das Backup-Paket für 7,99 € im Monat inkl. MwSt. sichern wir den Tresor nicht. Hilfe bei der Übergabe rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Mehr dazu im kostenlosen Erstgespräch (15 Minuten).