Was ist ein Managed Service Provider (MSP)?

Von Brian Tr · Aktualisiert am 5. Oktober 2026

Ein Managed Service Provider ist ein Unternehmen, das dauerhaft die Verantwortung für einen Teil der Abläufe eines anderen Unternehmens übernimmt, meist der IT, und dafür eine wiederkehrende Gebühr erhält, damit alles läuft. Der Kunde kauft kein einmaliges Projekt und keine Softwarebox. Er kauft ein Ergebnis, etwa "unsere Laptops sind gepatcht, unsere E-Mail funktioniert und nachts um 2 Uhr geht jemand ans Telefon", und der Anbieter trägt die Pflicht, dieses Ergebnis zu liefern.

Damit ist der MSP ein eigener Partnertyp. Softwareanbieter umwerben MSPs, weil eine einzige MSP-Beziehung gleich Dutzende kleiner Kunden bringen kann. Käufer beauftragen sie, weil sie die Funktion nicht selbst besetzen wollen. Und weil MSPs tiefen Zugriff auf Kundensysteme haben, veröffentlichen Regierungen inzwischen eigene Sicherheitshinweise zu ihnen.

Dieser Artikel definiert den MSP, zeigt, was MSPs typischerweise verwalten, erklärt das Modell der wiederkehrenden Umsätze und grenzt MSPs von MSSPs, Resellern und Beratungspartnern ab. Anschließend geht es darum, warum Anbieter MSP-Programme aufbauen, wie Sie einen MSP bewerten und welches Sicherheitsrisiko das Modell mit sich bringt.

Was ein Managed Service Provider ist

Ein MSP erbringt für Kunden einen definierten Service, meist aus der Ferne, auf Basis eines Vertrags, der festlegt, was abgedeckt ist, wie schnell der Anbieter reagiert und was der Kunde monatlich zahlt. Drei Merkmale unterscheiden ihn von anderen Dienstleistern.

• Dauerhafte Verantwortung. Der Anbieter verantwortet den Service Tag für Tag, nicht nur ein Projekt, das irgendwann endet.
• Ein wiederkehrender Vertrag. Die Preisgestaltung ist eine monatliche oder jährliche Gebühr, meist gekoppelt an Nutzer, Geräte oder ein Servicepaket.
• Ein Service Level Agreement (SLA). Der Vertrag nennt Reaktions- und Lösungsziele, sodass der Kunde erkennen kann, ob der Anbieter seine Arbeit erledigt.

Der gemeinsame Sicherheitshinweis zu MSPs der Cyberbehörden der USA, Großbritanniens, Kanadas, Australiens und Neuseelands beschreibt das Modell in schlichten Worten. Demnach verwalten MSPs typischerweise Services und Funktionen in der Netzwerkumgebung des Kunden, entweder in den Räumen des Kunden oder im Rechenzentrum des MSP (CISA advisory AA22-131A). Der Begriff "MSP" wird auch locker verwendet. Manche Firmen betreiben HR und Lohnabrechnung, Druckerflotten oder Marketingabläufe als Managed Service, doch die IT ist der Ursprung des Begriffs und der Bereich, in dem die meisten Partnerprogramme ihn verwenden.

Was MSPs typischerweise verwalten

Der Umfang variiert je nach Anbieter. Dies sind die Servicelinien, die am häufigsten gebündelt werden, gestützt auf allgemeine Branchenpraxis und nicht auf einen einzelnen Datensatz.

Die meisten MSPs verkaufen ein Basispaket und ergänzen im Lauf der Zeit weitere Services. Dieser Ausbau macht einen großen Teil des Werts der Beziehung für beide Seiten aus.

Das Modell der wiederkehrenden Umsätze

Der entscheidende kommerzielle Unterschied liegt darin, wie das Geld eintrifft. Drei Modelle sollten Sie auseinanderhalten.

Break-Fix bringt den Anbieter auf die Seite der Probleme. Managed Services drehen das um: Die Gebühr ist fix, also kostet jeder Ausfall den Anbieter Geld, und genau das ist der Sinn des SLA. Planbare monatliche Einnahmen erlauben es einem kleinen MSP außerdem, Personal einzustellen und in Tools zu investieren. Der Nachteil: Der Anbieter muss den Leistungsumfang sorgfältig kalkulieren, denn eine Pauschale kann unrentabel werden, wenn der Bedarf des Kunden schneller wächst als der Vertrag.

Zur Margenmechanik dahinter siehe Bruttomarge, und zur Struktur wiederkehrender Service-Engagements in Beratungsunternehmen siehe Beratungsmodelle für Engagements.

Wichtige Fakten: Managed Service Provider

• Staatliche Sicherheitsbehörden beschreiben MSPs als Anbieter, die typischerweise Services und Funktionen innerhalb des Kundennetzwerks verwalten, in den Räumen des Kunden oder im Rechenzentrum des MSP (CISA, AA22-131A).
• Den gemeinsamen Hinweis vom Mai 2022 gaben Behörden der USA (CISA, NSA, FBI), Großbritanniens (NCSC-UK), Australiens (ACSC), Kanadas (CCCS) und Neuseelands (NCSC-NZ) heraus (CISA, AA22-131A).
• Der Hinweis warnt, dass Angreifer einen verwundbaren MSP als ersten Zugangsweg zu mehreren Opfernetzwerken nutzen können, mit weltweit kaskadierenden Folgen (CISA, AA22-131A).
• Er empfiehlt Kunden, ihre wichtigsten Logs mindestens sechs Monate aufzubewahren und in Verträgen klar festzuhalten, wer welche Rollen und Verantwortlichkeiten der IKT-Sicherheit trägt (CISA, AA22-131A).
• Laut Microsofts Cloud-Solution-Provider-Programm sind CSP-Partner gut aufgestellt, um die Kundennachfrage nach Managed Services zu bedienen (Microsoft Learn).

MSP vs. MSSP vs. Reseller vs. Beratungspartner

Diese Partnertypen überschneiden sich in der Praxis, und ein Unternehmen übernimmt oft mehrere Rollen. Am saubersten trennen Sie sie danach, wofür der Partner nach dem Verkauf verantwortlich ist.

Ein MSSP ist im Kern ein auf Sicherheit spezialisierter MSP. Viele MSPs ergänzen Sicherheitsservices, wodurch die Grenze verschwimmt. Fragen Sie daher jeden Anbieter, welche Sicherheitsfunktionen er selbst erbringt und welche er an Subunternehmer vergibt.

Die Unterscheidung zum Reseller verwechseln Anbieter am häufigsten. Ein Reseller kann ein Produkt sehr gut verkaufen und danach dennoch nichts betreiben. Ein MSP bündelt das Produkt in einen Service, den er betreibt. Viele Partner machen beides: Sie verkaufen Lizenzen weiter und verwalten sie. Zur Mechanik des Wiederverkaufs auf Anbieterseite siehe Distributor vs. Reseller, und zu projektbasierten Partnern siehe Beratungspartner und Implementierungsberatung.

Warum Softwareanbieter MSP-Partnerprogramme aufbauen

Ein MSP ist ein Multiplikator. Ein einziger gewonnener MSP kann das Produkt eines Anbieters jedem Kunden des MSP vorstellen, wobei der MSP Onboarding und First-Level-Support übernimmt. Für Anbieter, die kleine und mittlere Unternehmen bedienen und einen Direktvertrieb nicht rechtfertigen könnten, ist das ein Vertriebskanal, den sie allein kaum aufbauen können. Das passt zur übergeordneten Logik von Channel-Sales-Modell und Partner-Led Growth.

Um MSPs zu bedienen, müssen Anbieter meist Dinge entwickeln, die ein Direktkunde nie braucht:

• Mandantenfähige Verwaltung (Multi-Tenant). Eine Konsole, in der der MSP viele Kundenkonten verwaltet, ohne sich ständig ein- und auszuloggen.
• Delegierter Zugriff mit Grenzen. Der Kunde erteilt dem MSP bestimmte Berechtigungen statt pauschaler Admin-Rechte.
• Konsolidierte oder gebündelte Abrechnung. Der MSP erhält eine Rechnung und stellt seinen eigenen Kunden zu eigenen Bedingungen Rechnung.
• Für Serviceanbieter konzipierte Lizenzierung. Flexible Konditionen, die zu monatlichem Wiederverkauf und kundenspezifischen Änderungen passen.

Microsofts Cloud-Solution-Provider-Programm ist ein aktuelles, dokumentiertes Beispiel. Die Partner-Center-Dokumentation beschreibt zwei Vertriebsmodelle: ein indirektes Modell, bei dem ein Reseller über einen autorisierten Distributor einkauft, der bei Marketing, Kundensupport und Abrechnung mitwirken kann, und ein Direct-Bill-Modell, bei dem Partner direkt bei Microsoft einkaufen und ihre Kunden eigenständig beliefern, abrechnen, verwalten und betreuen müssen (Microsoft Learn). Beide setzen eine aktive Mitgliedschaft im Microsoft AI Cloud Partner Program voraus. Direct-Bill-Partner müssen zudem mindestens einen Managed Service, einen IP-Service oder eine Kundenlösungsanwendung nachweisen und in den vorangegangenen 12 Monaten als indirekter Reseller Umsätze abgewickelt haben (Microsoft Learn).

Microsoft hat außerdem eine Sicherheitskontrolle für die MSP-Beziehung geschaffen. Mit Granular Delegated Admin Privileges (GDAP) können Partner fein abgestufte, zeitlich begrenzte Zugriffe auf die Workloads eines Kunden einrichten, und Kunden müssen diesen Zugriff mit minimalen Rechten ausdrücklich erteilen (Microsoft Learn). Die Funktion zeigt die Anbieterseite des unten behandelten Risikos: Die Werkzeuge existieren, weil der Zugriff eines MSP so mächtig ist.

Programmnamen und Anforderungen ändern sich häufig. Prüfen Sie die aktuellen Bedingungen daher auf der Partnerseite des jeweiligen Anbieters, bevor Sie darauf aufbauen. Wie Deals zwischen einem Anbieter und seinen Partnern zugeordnet werden, behandelt Deal Registration, das übergeordnete Programmdesign finden Sie unter Channel-Partnerprogramm.

So bewerten Sie einen MSP-Partner

Ob Sie als Kunde einen MSP auswählen oder als Anbieter entscheiden, welche MSPs Sie gewinnen, die Fragen sind dieselben.

1. Klarheit des Leistungsumfangs. Was ist enthalten, was wird extra berechnet und was passiert an den Rändern? Ein unklarer Umfang ist die häufigste Ursache für Streit.
2. Realismus des SLA. Prüfen Sie Reaktions- und Lösungsziele, wie sie gemessen werden und welche Folgen es gibt, wenn sie verfehlt werden.
3. Sicherheitspraxis. Fragen Sie, wie der MSP seine eigenen Konten schützt, besonders die, mit denen er auf Kundenumgebungen zugreift. Auf der Liste des Hinweises stehen die Durchsetzung von Multi-Faktor-Authentifizierung für MSP-Konten mit Zugriff auf die Kundenumgebung und die Deaktivierung nicht mehr genutzter Konten (CISA, AA22-131A).
4. Vertragliche Verantwortung. Derselbe Hinweis sagt, dass Kunden prüfen sollten, ob ihre Verträge Cybersicherheitsmaßnahmen enthalten, die ihren Anforderungen entsprechen, und ob Sicherheitsrollen klar zugewiesen sind (CISA, AA22-131A).
5. Lieferantenabsicherung. Das britische NCSC weist darauf hin, dass eine Cyber-Essentials-Zertifizierung Organisationen eine Möglichkeit gibt, sich zu vergewissern, dass Lieferanten grundlegende technische Kontrollen umgesetzt haben (NCSC). Eine Zertifizierung ist eine Untergrenze, keine Garantie.
6. Ausstiegsbedingungen. Fragen Sie, wie Sie Ihre Daten, Dokumentation und Zugangsdaten zurückerhalten, wenn Sie wechseln.
7. Für Anbieter: Fähigkeit, Ihr Produkt zu verkaufen und zu betreuen. Prüfen Sie geschultes Personal, bestehende Kunden auf Ihrer Plattform und ob der MSP eine Servicelinie auf Basis Ihres Produkts aufbauen will, nicht nur eine Marge.

Sicherheits- und Lieferkettenrisiko

Der Zugriff, der einen MSP nützlich macht, macht ihn auch zum Ziel. Der gemeinsame Hinweis von 2022 sagt, dass die Behörden mit anhaltenden böswilligen Aktivitäten gegen MSPs rechneten und dass Angreifer einen verwundbaren MSP als ersten Zugangsweg zu mehreren Opfernetzwerken nutzen können (CISA, AA22-131A). Das ist das Lieferkettenproblem in einem Satz: Ihre Sicherheit hängt zum Teil von der Ihres Anbieters ab.

Die Empfehlungen des Hinweises für Anbieter und Kunden umfassen:

• Multi-Faktor-Authentifizierung für MSP-Konten durchsetzen, die auf Kundenumgebungen zugreifen.
• Netzwerke segmentieren und Zugriff nach dem Prinzip der minimalen Rechte vergeben.
• Monitoring und Logging aufrechterhalten und die wichtigsten Logs mindestens sechs Monate speichern, damit auch spät entdeckte Einbrüche noch untersucht werden können.
• Offline-Backups mit Verschlüsselung und getestete Incident-Response-Pläne vorhalten.
• Die Verantwortung für Sicherheitsaufgaben schriftlich festhalten.

Nichts davon bedeutet, MSPs zu meiden. Ein kleines Unternehmen ohne eigenes Sicherheitspersonal ist mit einem disziplinierten Anbieter möglicherweise sicherer als allein. Es bedeutet, den MSP als privilegierten Lieferanten zu behandeln: Begrenzen Sie, worauf er zugreifen kann, fragen Sie, wie er diesen Zugriff schützt, und halten Sie die geteilten Verantwortlichkeiten im Vertrag fest.

Häufige Fehler

• Einen MSP wie einen Reseller behandeln. Wer allein nach dem Preis kauft, ignoriert das, wofür er zahlt: Servicequalität.
• Die SLA-Details überspringen. Ein Ziel ohne Messmethode oder Folge bei Verfehlung ist ein Versprechen, keine Verpflichtung.
• Dauerhaft weitreichende Admin-Rechte vergeben. Bevorzugen Sie begrenzten, zeitlich befristeten Zugriff, sofern die Plattform ihn unterstützt.
• Annehmen, der MSP verantworte die Sicherheit. Ohne schriftliche Aufteilung der Verantwortung geht jede Seite davon aus, dass die andere es abdeckt.
• MSPs ohne Programm rekrutieren. Anbieter, die MSPs unter Vertrag nehmen, aber keine mandantenfähigen Tools oder Abrechnungsunterstützung bieten, bekommen Logos statt Volumen.

Weiterführende Lektüre

• Beratungspartner
• Distributor vs. Reseller
• Independent Software Vendor
• Channel-Sales-Modell
• Partner-Led Growth
• Channel-Partnerprogramm
• Deal Registration