IT-Jahresabschluss für KMU: die Checkliste vor dem Jahreswechsel

Die kurze Antwort: Ein KMU sollte vor dem Jahreswechsel sieben Dinge prüfen: Backup, Lizenzen, Konten, Geräte, Passwörter, Ablaufdaten und das Budget. Dafür reicht ein Nachmittag im Dezember, wenn die Liste vorher steht. Wir gehen sie im November und Dezember mit Betrieben in Hallau, Neuhausen und der übrigen Region Schaffhausen durch. Kein Punkt braucht Fachwissen, aber jeder Punkt braucht eine ehrliche Antwort.

Backup: einmal wirklich zurückspielen

Das Backup läuft bei den meisten Betrieben. Ob es zurückgespielt werden kann, wissen die wenigsten. Der Unterschied zeigt sich erst im Ernstfall, und das ist der falsche Moment. Wählen Sie eine Datei aus dem Frühling, eine aus dem letzten Monat und einen ganzen Ordner, und lassen Sie alles an einen anderen Ort zurückspielen. Stoppen Sie die Zeit. Wenn die drei Wiederherstellungen länger als eine Stunde dauern oder eine davon scheitert, wissen Sie, wo 2027 angesetzt werden muss.

Prüfen Sie dabei auch, ob eine Kopie der Daten ausserhalb des Hauses liegt und ob sie vom Netzwerk getrennt ist. Das Bundesamt für Cybersicherheit weist immer wieder darauf hin, dass bei Ransomware-Angriffen auf KMU oft auch die Backups verschlüsselt wurden, weil sie dauerhaft erreichbar waren. Wie eine saubere Struktur aussieht, steht im Artikel zur 3-2-1-Regel. Wer Microsoft 365 nutzt, braucht für die Cloud-Daten ein eigenes Backup, Microsoft sichert nur die Infrastruktur.

Lizenzen, Abos und vergessene Konten

Zählen Sie Ihre Mitarbeitenden. Dann zählen Sie Ihre Lizenzen. Die Zahlen stimmen selten überein. Typisch sind zwei bis drei Microsoft-365-Lizenzen, die noch auf Personen laufen, die im Sommer ausgetreten sind. Bei Listenpreisen von CHF 14 bis 22 pro Lizenz und Monat (Standard oder Premium) sind das schnell CHF 300 bis 800 im Jahr für nichts. Dasselbe gilt für Virenschutz, Zeiterfassung und Fachsoftware mit Benutzerlizenzen.

Wichtiger als das Geld sind die Konten selbst. Ein Konto, das nach dem Austritt noch aktiv ist, ist ein offener Zugang. Microsoft beschreibt den Ablauf für Austritte in mehreren Schritten: Zugriff sperren, Postfach sichern, Mails umleiten, dann erst die Lizenz entfernen und das Konto löschen. Gehen Sie im Dezember die Liste aller Konten durch, auch die geteilten Postfächer, die Zugänge zum Online-Banking, zum Webshop und zum Lohnprogramm. Streichen Sie, was niemandem mehr gehört. Fragen Sie zudem nach, ob Lizenzen Ende Jahr automatisch verlängert werden und zu welchem Preis. Bei drei Monaten Kündigungsfrist ist der Dezember für 2027 zu spät, aber richtig für 2028.

Geräte, Windows 10 und die Ersatzliste für 2027

Machen Sie eine Liste aller Geräte mit Kaufjahr. Bei Arbeitsplatz-PCs und Notebooks rechnen wir mit vier bis fünf Jahren, bei Servern mit fünf bis sieben Jahren. Alles, was 2027 über diese Grenze fällt, gehört auf die Ersatzliste. Die Garantie ist meist schon weg, Akkus halten keinen Arbeitstag mehr, und der Defekt kommt an einem Montagmorgen im Februar, wenn die Lieferzeit drei Wochen beträgt.

Dazu kommt Windows 10. Der Support ist am 14. Oktober 2025 ausgelaufen. Geräte, die noch damit laufen, bekommen seither nur über kostenpflichtige erweiterte Sicherheitsupdates Patches, und dieses Programm verdoppelt für Firmen jedes Jahr seinen Preis. Wer im Dezember 2026 noch Windows-10-Rechner im Betrieb hat, sollte sie 2027 ersetzen. Aufrüsten lohnt sich selten, weil viele dieser Geräte die Anforderungen von Windows 11 ohnehin nicht erfüllen. Mehr dazu im Artikel Windows 10 ist abgelaufen. Beim Server ist die Frage grösser: ersetzen oder in die Cloud? Dafür gibt es die Entscheidungshilfe Server oder Cloud.

Passwörter, MFA, Domain und Hosting

Drei Fragen, die in fünf Minuten beantwortet sind: Hat jedes Konto mit Zugang zu Firmendaten eine Zwei-Faktor-Authentifizierung? Benutzt jemand im Betrieb ein Passwort an mehreren Orten? Wer kennt die Admin-Passwörter von Server, Firewall und Microsoft 365, und sind sie an einem Ort hinterlegt, der nach einem Unfall gefunden wird? Das Bundesamt für Cybersicherheit empfiehlt für alle Fernzugänge wie VPN oder Remote Desktop eine Zwei-Faktor-Authentifizierung, und für Microsoft 365 gilt dasselbe. Wenn die Antwort auf die zweite Frage «vermutlich ja» lautet, lesen Sie Ein Passwort für alles.

Dann die Ablaufdaten. Domain und Hosting laufen oft über verschiedene Anbieter, und beide verschicken Erinnerungsmails an eine Adresse, die vielleicht niemand mehr liest. Es kommt vor, dass eine Website am 3. Januar dunkel ist, weil die Kreditkarte beim Hoster abgelaufen ist. Notieren Sie Anbieter, Ablaufdatum, Zahlungsweg und die hinterlegte Mailadresse. Mehr braucht es nicht.

IT-Budget 2027: Richtwerte für KMU

Mit diesen Listen steht das Budget fast von selbst. Richtwerte für einen Betrieb mit zehn bis zwanzig Arbeitsplätzen in der Region:

• Laufende Kosten: Microsoft 365 je nach Plan CHF 7 bis 22 pro Person und Monat, Virenschutz CHF 3 bis 6 pro Gerät und Monat, dazu Backup, Firewall-Abo, Domain und Hosting. Zusammen meist CHF 40 bis 70 pro Arbeitsplatz und Monat.
• Ersatz: Ein Business-Notebook mit Docking, Einrichtung und Datenübernahme CHF 1'500 bis 2'200. Ein kleiner Server mit Garantie, Lizenzen und Backup CHF 10'000 bis 18'000. Rechnen Sie mit einem Fünftel der PCs pro Jahr.
• Support: Mit Stundenabrechnung zu CHF 140 pro Stunde oder mit einem Support-Paket mit fester Reaktionszeit von 2 Stunden, 1 Stunde oder 30 Minuten während der Geschäftszeiten, Preis auf Anfrage. Welches Modell passt, steht in Managed Services oder Stundenabrechnung.

Als Faustregel landen die meisten KMU bei CHF 1'500 bis 3'000 pro Arbeitsplatz und Jahr, alles inklusive. Wer deutlich darunter liegt, hat meist einen Rückstau, der später teurer wird. Für Ihre eigenen Zahlen gibt es den Kostenrechner.

Ein Nachmittag im Dezember: so läuft es ab

So sah das bei einem Betrieb mit zwölf Arbeitsplätzen in Neuhausen aus, anonymisiert:

13:00 bis 14:00, Backup. Drei Wiederherstellungen aus dem Veeam-Backup, eine davon aus der externen Kopie. Alle drei laufen, die älteste dauert 25 Minuten. Notiert, erledigt.

14:00 bis 14:45, Konten und Lizenzen. Vierzehn Microsoft-365-Lizenzen für zwölf Personen. Zwei gehören zu Austritten vom August. Konten gesperrt, Postfächer in geteilte Postfächer umgewandelt, Lizenzen entfernt: gut CHF 500 weniger im Jahr 2027. Ein Virenschutz-Abo läuft auf 15 Geräte, es gibt 13. Angepasst.

14:45 bis 15:30, Geräte. Zwei Notebooks von 2021 und ein PC von 2020 mit Windows 10 kommen auf die Ersatzliste für das erste Quartal. Der Server von 2022 bleibt, bekommt aber eine Garantieverlängerung.

15:30 bis 16:00, Zugänge und Ablaufdaten. MFA ist bei zwei Konten nicht aktiv, beides Teilzeitstellen. Eingeschaltet. Die Domain läuft im März ab, die Erinnerungsmail geht an den früheren Geschäftsführer. Adresse geändert.

16:00 bis 16:30, Dokumentation und Notfallkontakte. Ein Blatt im Ordner und als PDF: Wer ist der IT-Partner, wie erreicht man ihn, wo liegt das Backup, wo sind die Admin-Zugänge hinterlegt, wer entscheidet, wenn die Inhaberin in den Ferien ist. Wenn dieses Blatt fehlt, kostet der erste Tag nach einem Vorfall doppelt. Was dann zu tun ist, steht im Notfallplan für die ersten 24 Stunden.

Budget 2027 für diesen Betrieb: rund CHF 6'500 für drei Geräte, CHF 1'200 für die Garantieverlängerung, laufende Kosten unverändert. Dreieinhalb Stunden Arbeit, mit uns zu CHF 140 pro Stunde rund CHF 500, vor Ort zuzüglich Anfahrt. Die zwei überzähligen Lizenzen haben das allein bezahlt.

Wenn Sie die Liste zum ersten Mal durchgehen: Der kostenlose IT-Check ist der einfachste Einstieg. Wir schauen die Punkte mit Ihnen an, vor Ort in Hallau und Umgebung oder per Fernwartung über AnyDesk, und Sie entscheiden danach, was Sie selbst erledigen und was wir übernehmen.

Quellen

• Microsoft Lifecycle: Windows 10 Home and Pro
• Bundesamt für Cybersicherheit: Informationen für Unternehmen
• Microsoft Learn: Ehemaligen Mitarbeiter entfernen und Daten sichern