Heute ist SysAdmin Day 2026 Gute IT fällt weder auf noch aus

Wenn IT „einfach läuft“, fällt sie nicht auf. Dann gibt es keine Tickets, keine Anrufe, keine Ausfälle. Diese Ruhe ist aber kein Zufall, sondern das Resultat von Arbeit, die im Hintergrund konsequent passiert. Und von Routinen, Zuständigkeiten und durchgängiger Kontrolle bzw. Überwachung.

Montag, 8:47 Uhr. Der Geschäftsführer öffnet seinen Laptop, ruft die Unternehmenswebsite auf – sie lädt. Er schließt den Tab wieder. So weit, so gut. Aber was wäre, wenn sie nicht laden würde? Wer wäre die erste Ansprechperson? Wer hätte die Zugangsdaten, um das Problem zu lösen?

In vielen kleinen Unternehmen ist die Antwort darauf überraschend unklar, und das nicht aus Nachlässigkeit, sondern weil IT-Verantwortung oft nebenbei mitläuft. Dass es meist gut geht, liegt daran, dass irgendjemand im Hintergrund dafür sorgt. Der SysAdmin Day am 31. Juli ist ein passender Anlass, den Blick auf das zu richten, was hinter dem „es läuft einfach“ steckt – und darauf, was heute nötig ist, damit das so bleibt.

Was „es läuft“ wirklich bedeutet

„Ereignislose IT“ heißt nicht, dass nichts passiert, sondern dass das Relevante rechtzeitig passiert, bevor es zum Problem wird. Dazu gehören Dinge, die im Alltag kaum Sichtbarkeit haben, aber sofort wehtun, wenn sie fehlen: der Status-absichernde Patch-Stand von Betriebssystem und Paketen, gültige TLS-Zertifikate, die Integrität der letzten Backups, performante Speicher-Auslastung oder aktuelle CMS-Installationen samt Plugins. Solche Punkte fallen meistens genau dann auf, wenn es am ungünstigsten ist: wenn irgendetwas plötzlich nicht mehr so funktioniert, wie es soll, am Wochenende oder kurz vor einer Kampagne.

Stabilität wiederum entsteht nicht durch einzelne Großprojekte, sondern durch wiederkehrende Arbeit und durch jemanden, der sie regelmäßig überprüft. In Unternehmen ohne dediziertes IT-Team landet damit schnell die entscheidende Frage auf dem Tisch: Wer hat diese Aufgaben tatsächlich im Blick?

Shared Responsibility: Wer kümmert sich um was?

Mit eigener IT-Abteilung sind Zuständigkeiten meist klar. In KMU und bei Selbstständigen sieht es hingegen oft anders aus: Verantwortung liegt beim Geschäftsführer oder rutscht zur Office-Managerin oder der Person weiter, die „sich am besten auskennt“ – ohne formale Rolle, ohne klare Abgrenzung.

Externe Dienstleister und Managed Hosting können an dieser Stelle entlasten. Das Prinzip der geteilten Verantwortung (Shared Responsibility) gilt aber auch dort. Je nach Angebot übernimmt der Hosting-Anbieter Infrastruktur-Betrieb, Netzwerksicherheit, Plattformverfügbarkeit und Updates auf Serverebene. Beim Kunden bleiben typischerweise die Verwaltung der Zugangsdaten und Applikationen, die Datensicherung auf Applikationsebene und die Rechteverwaltung. Je sauberer beide Seiten die Schnittstellen definieren, desto weniger Lücken entstehen und desto besser funktioniert das Modell im Alltag.

Die häufigsten Schwachstellen

Im Tagesgeschäft hakt es oft an auffallend ähnlichen Stellen, unabhängig von der Unternehmensgröße oder Branche. Die Ursachen sind selten anspruchsvolle „High Tech“, sondern oftmals fehlende Zeit und fehlende Routinen.

Ganz vorn stehen die Zugangsdaten: schwache Passwörter, fehlende Zwei-Faktor-Authentifizierung, geteilte Admin-Accounts. Credential-Stuffing und Brute-Force-Angriffe laufen wiederum automatisiert, rund um die Uhr – hier gilt es, schnell und präzise zu reagieren. Ebenfalls verbreitet ist veraltete Software. WordPress-Installationen mit ungepatchten Plugins etwa sind ein klassisches Einfallstor für Angriffe. Das Muster also solches betrifft jedes CMS und jede Webanwendung, die nicht gepflegt wird.

Backups sind die nächste Sollbruchstelle, weil selten geprüft wird, ob sie sich im Ernstfall auch tatsächlich zurückspielen lassen. Ein Backup, das seit Wochen still fehlschlägt, wird im Krisenfall nicht plötzlich anspringen. Ähnlich tückisch sind abgelaufene TLS-Zertifikate, die eine Website ohne Vorwarnung unzugänglich machen, oder nicht verlängerte Domains, die leicht von Dritten registriert werden können. Wer keinen Überblick über seine Systeme und ein eigenes Alerting hat, riskiert, dass das Bemerken eines Fehlprozesses dann nur noch über den Weg von Kundenbeschwerden erfolgt, wenn es also zu spät ist.

Angriffe werden schneller

Lücken wie diese waren schon immer riskant. Neu ist das Tempo, mit dem sie ausgenutzt werden. Angriffe folgen heute einer einfachen Logik: Bots scannen kontinuierlich den gesamten IPv4-Adressraum nach bekannten Schwachstellen. Wer nicht gepatcht hat, ist auffindbar. Gleichzeitig sind die Erwartungen an Verfügbarkeit gestiegen. Ein Handwerksbetrieb mit Online-Terminbuchung, ein Steuerberater mit Mandantenportal, ein Onlineshop mit ein paar hundert Bestellungen am Tag – ein mehrstündiger Ausfall ist dort kein rein technisches Thema mehr, sondern ein geschäftliches und in den meisten Fällen ein umsatzrelevantes. Permanente Verfügbarkeit und fehlerfreie Prozess sind heutzutage für Kunden oft Grundvoraussetzung für Interaktion und Kaufinteresse.

Hinzu kommt, dass KI-gestützte Angriffsmethoden die Lage verschärfen. Phishing-Mails wirken glaubwürdiger, weil sie individualisiert und sprachlich unauffällig formuliert sind. Dieses so genannte Social Engineering skaliert, weil es sich immer mehr automatisieren lässt. Für kleine Unternehmen heißt das: Anforderungen, die früher vor allem größere Organisationen betroffen haben, stehen heute auch ohne eigenes IT-Team im Raum und sollten ernsthaft adressiert werden.

Sechs Routinen, die den Unterschied machen

Gute IT-Sicherheit braucht kein großes Team. Sie braucht Abläufe, die klar definiert sind und eine Person oder einen Dienstleister, der sie wirklich verantwortet.

• 1. Patch-Rhythmus festlegen: Betriebssystem, CMS, Plugins, Abhängigkeiten – alles braucht einen Update-Zyklus. Auf Debian- und Ubuntu-Servern können automatische Sicherheitsupdates sicherheitsrelevante Pakete automatisch einspielen. In Windows-Umgebungen erfüllt WSUS dieselbe Aufgabe zentral. Wo automatische Updates nicht möglich sind, hilft ein fester wöchentlicher Review- oder Wartungstermin.

• 2. Backups testen, nicht nur anlegen: Mindestens einmal pro Quartal sollte ein Restore-Test stattfinden, bei dem einzelne Dateien oder Datenbanken in eine Testumgebung zurückgespielt und anschließend auf Integrität geprüft werden.

• 3. MFA für alle Admin-Zugänge: Multi-Faktor-Authentifizierung (MFA) gehört auf jeden Admin-Zugang. TOTP-Apps (Time-based One-Time Password) wie Google Authenticator oder Aegis sind in kurzer Zeit eingerichtet.

• 4. Monitoring und Alerting einrichten: Für Verfügbarkeit, Zertifikatslaufzeiten und Festplattenauslastung reichen schlanke Lösungen, die sich auch ohne eigenes IT-Team betreiben lassen. Ob selbst gehostet oder als SaaS: Wichtig ist, dass die Alerts jemanden erreichen, der reagieren kann. Dafür braucht es hinterlegte Kontakte, die aktuell sind.

• 5. Zugriffsrechte nach Least Privilege vergeben: Nutzer und Dienste sollten nur die Rechte haben, die sie auch brauchen. Geteilte Admin-Accounts etwa zerstören Audit-Trails und erschweren die Reaktion auf Vorfälle. Rechte gehören als solche mindestens halbjährlich überprüft, besonders nach Personalwechseln.

• 6. Managed Services gezielt einsetzen: Wo intern Kapazitäten fehlen, können Managed Services Routineaufgaben übernehmen. Welche Leistungen abgedeckt sind, hängt vom Anbieter und Paket ab und sollte vor Vertragsschluss konkret abgeklärt werden.

Das Lob der Stille

Wann hat sich die IT-Infrastruktur zuletzt bemerkbar gemacht? Wenn die Antwort lautet: „schon länger nicht mehr“, ist das meist ein gutes Zeichen. Die Arbeit dahinter wird trotzdem nicht weniger: Zuständigkeiten landen oft bei Menschen, die das nebenbei tragen, Kundenerwartungen steigen, Angriffe werden schneller. Der Tag des Systemadministrators erinnert daran, dass Stabilität nicht einfach aus sich selbst heraus entsteht, sondern, dass es jemanden braucht, der sie gewissenhaft organisiert. Wenn das der Fall ist, dann fällt gute IT weder auf noch aus.

Über den Autor

Vladimir Simović setzt seit 2000 mit HTML & CSS und seit 2004 mit WordPress Website-Projekte um. Seit jeher teilt er sein Wissen mit der Community und hat als einer der ersten Blogger im deutschsprachigen Raum zu den WordPress Anfängen Tipps und Tricks veröffentlicht. Seit April 2022 ist er als Senior Online-Redakteur für Strato tätig und verfasst Informationsartikel, insbesondere zu WordPress und Hosting-Themen.

(ID:50888111)