IT-Monitoring für Unternehmen: Was überwacht wird, was es kostet und welche Lösung passt

Montag, 7:40 Uhr: der Server, den niemand beobachtet hat

Die Kaffeemaschine läuft, die ersten Kolleginnen sind da, und die Warenwirtschaft öffnet sich nicht. Der Server im Nebenraum brummt wie immer. Erst nach einer halben Stunde Telefonieren stellt sich heraus: Die Systempartition ist seit Samstagabend voll, weil ein Update-Ordner nicht aufgeräumt wurde. Das Backup vom Wochenende ist deshalb ebenfalls nicht durchgelaufen. Niemand hat es gemerkt, weil niemand hingesehen hat.

Solche Montage kennen die meisten Betriebe mit 10 bis 80 Arbeitsplätzen. Nicht, weil die Technik schlecht wäre. Sondern weil Server, Switches und NAS-Systeme im Alltag unsichtbar sind, solange sie funktionieren. Ein volles Laufwerk kündigt sich Tage vorher an. Eine sterbende Festplatte meldet ihre Fehler über SMART-Werte, das ist die Selbstdiagnose, die in jeder Festplatte eingebaut ist, oft Wochen im Voraus. Nur liest das niemand.

Genau diese Lücke schließt IT-Monitoring. Für die Tiefe verlinkt dieser Beitrag an jeder Stelle auf die passenden Einzelbeiträge.

Was ist IT-Monitoring?

IT-Monitoring ist die systematische Überwachung von IT-Infrastruktur anhand messbarer Werte, mit dem Ziel, Störungen und Verschleiß zu erkennen, bevor sie den Betrieb treffen. Ein Monitoring-System fragt dafür in festen Intervallen, meist alle 1 bis 5 Minuten, den Zustand von Servern, Netzwerkgeräten, Speichersystemen und Diensten ab und vergleicht das Ergebnis mit Schwellenwerten. Wird ein Wert über- oder unterschritten, geht eine Meldung an die zuständige Person.

Drei Begriffe meinen dabei fast dasselbe: IT-Überwachung ist die deutsche Entsprechung, Infrastruktur-Monitoring betont, dass Hardware und Netzwerk gemeint sind, nicht einzelne Anwendungen, und Monitoring-Systeme sind die Werkzeuge dafür, ob als Software, Appliance oder Dienstleistung.

Was Monitoring nicht ist: kein Virenschutz, kein Backup und keine Firewall. Es ersetzt keine dieser Schutzschichten. Es prüft, ob sie arbeiten. Ein Backup, dessen Ergebnis niemand kontrolliert, ist eine Hoffnung, kein Backup. Das BSI führt die Erkennung von Störungen und sicherheitsrelevanten Ereignissen im IT-Grundschutz als eigenen Baustein (Quelle: BSI IT-Grundschutz-Kompendium, Baustein DER.1). Für Unternehmen, die unter die NIS2-Umsetzung fallen, gehört die Aufrechterhaltung des Betriebs inklusive Backup-Management ausdrücklich zu den geforderten Risikomanagementmaßnahmen (Quelle: NIS2-Richtlinie, Art. 21). Ob Ihr Betrieb betroffen ist, klärt im Zweifel ein Fachanwalt, nicht dieser Beitrag.

Eine technische Unterscheidung sollten Sie kennen: Agentenbasiertes Monitoring installiert ein kleines Programm auf jedem Gerät, agentenloses fragt die Geräte über Standardprotokolle wie SNMP ab, ohne etwas zu installieren. Beides funktioniert. Dazu gleich mehr.

Die wichtigsten Fragen im Überblick

Neun Fragen kommen in fast jedem Erstgespräch zum Thema IT-Monitoring vor, von der Geschäftsführung genauso wie von der Office-Leitung, die den Server nebenbei mitbetreut. Hier steht jeweils die kurze Antwort. Die ausführliche Fassung mit Schwellenwerten, Beispielen und Ablauf finden Sie im jeweils verlinkten Beitrag.

Überblick: Was gehört zum Netzwerk-Monitoring?

Netzwerk-Monitoring überwacht Switches, Router, Firewalls und WLAN-Zugangspunkte auf Erreichbarkeit, Auslastung und Fehler. Das Netzwerk ist der Teil der Infrastruktur, der am seltensten ausfällt und am schwersten zu diagnostizieren ist, wenn es doch passiert. Ein Switch mit sterbendem Netzteil, ein Uplink, der mit 100 statt 1.000 Megabit läuft, ein Access Point, der jede Nacht neu startet: All das fällt im Büro nur als 'das Internet ist heute langsam' auf.

Gemessen werden vor allem Latenz, Paketverlust, Port-Auslastung und die Erreichbarkeit der Geräte selbst, meist über SNMP, das Standardprotokoll, über das Netzwerkgeräte ihren Zustand mitteilen. In Umgebungen mit einem Standort und einem Serverschrank reicht dafür oft ein Dutzend Prüfpunkte. Bei mehreren Standorten kommen Standleitung und VPN-Tunnel dazu, und das ändert die Anforderung deutlich.

Ausführlich: Netzwerk-Monitoring: So behalten Unternehmen Switches, Router und WLAN im Blick

Überblick: Welche Monitoring-Tools gibt es, und wie unterscheiden sie sich?

Monitoring-Tools lassen sich grob in drei Gruppen sortieren: quelloffene Software wie Zabbix, Nagios Core oder die freie Edition von Checkmk, kommerzielle Software wie PRTG oder die kostenpflichtigen Checkmk-Editionen, und fertige Appliances, die einen festen Prüfumfang mitbringen. Alle vier genannten Programme sind ausgereift und werden seit Jahren in Unternehmen jeder Größe eingesetzt. Der Unterschied liegt weniger im Können als im Aufwand.

Zabbix und Nagios verlangen Einarbeitung und einen eigenen Server, bieten dafür nahezu unbegrenzte Anpassbarkeit. PRTG ist über die Oberfläche schneller aufgesetzt und wird nach der Zahl der Sensoren lizenziert. Checkmk liegt dazwischen. Welches Werkzeug passt, hängt daran, wer es nach der Einführung pflegt. Ein mächtiges Tool ohne Pfleger liefert nach sechs Monaten mehr Fehlalarme als ein einfaches, das jemand im Griff hat.

Ausführlich: Monitoring-Tools im Vergleich: Welche Software passt zu welchem Unternehmen?

Überblick: Was ist ein RMM-Tool, und brauchen Sie eines?

RMM steht für Remote Monitoring and Management und bezeichnet Software, mit der Systemhäuser die Geräte vieler Kunden aus der Ferne überwachen, patchen und warten. Monitoring ist darin nur ein Baustein; der Schwerpunkt liegt auf dem Management, also auf Updates, Skripten, Fernzugriff und Inventar. Für ein einzelnes Unternehmen ist ein RMM-Tool in der Regel überdimensioniert und über die Lizenzstruktur auch nicht vorgesehen. Es ist das Werkzeug des Dienstleisters, nicht des Kunden.

Wenn Sie bereits ein Systemhaus mit Betreuungsvertrag haben, läuft dort mit hoher Wahrscheinlichkeit ein RMM-Agent auf Ihren Rechnern. Die Frage ist dann nicht, ob Sie eines brauchen, sondern was es tatsächlich prüft. Nach unserer Erfahrung liegt der Fokus vieler RMM-Setups auf Windows-Clients und Patches; Switches, NAS-Systeme und Backup-Ziele bleiben nicht selten außen vor. Fragen Sie nach.

Ausführlich: RMM-Software: Was ein RMM-Tool für Systemhäuser leistet und wo die Grenzen liegen

Überblick: Gibt es eine PRTG-Alternative für kleine Unternehmen?

PRTG von Paessler ist in Deutschland das wohl bekannteste kommerzielle Monitoring-Werkzeug und für viele Betriebe der erste Kontakt mit dem Thema. Wer nach einer Alternative sucht, tut das meist aus einem von drei Gründen: Die Sensor-Lizenz wächst mit der Umgebung mit, das Tool braucht einen eigenen Windows-Server, oder es fehlt schlicht die Person, die es pflegt. Keiner dieser Gründe spricht gegen PRTG als Software. Sie sprechen gegen ein Modell, das Eigenbetrieb voraussetzt.

Als Alternativen kommen Zabbix und Checkmk in Frage, wenn Linux-Know-how vorhanden ist, Nagios, wenn es klassisch und skriptbar sein darf, und Monitoring-Appliances, wenn niemand ein Werkzeug pflegen will. Die Entscheidung ist ehrlicherweise weniger eine Tool-Frage als eine Personalfrage.

Ausführlich: PRTG-Alternative gesucht? Zabbix, Checkmk, Nagios und Monitoring-Appliances im Vergleich

Überblick: Welche Werte gehören ins Server-Monitoring?

Server-Monitoring überwacht die Werte eines Servers, die einem Ausfall vorausgehen: Speicherbelegung, Festplattenzustand (SMART), RAID-Status, Temperatur, Auslastung von Prozessor und Arbeitsspeicher sowie den Zustand der wichtigsten Dienste. Der Klassiker unter den vermeidbaren Ausfällen ist das volle Systemlaufwerk. Direkt danach kommt das RAID, in dem seit Monaten eine Platte defekt ist und die zweite gerade anfängt zu sterben. Ein RAID mit einer ausgefallenen Platte läuft weiter. Es meldet sich nur, wenn jemand fragt.

Für einen typischen Server in einem kleinen Unternehmen reichen 8 bis 15 Prüfpunkte, um die häufigsten Ausfallursachen abzudecken. Schwellenwerte wie 85 Prozent Speicherbelegung als Warnung und 95 Prozent als Alarm haben sich als Startpunkt bewährt; die endgültigen Werte zeigt erst der Betrieb.

Ausführlich: Server-Monitoring: Welche Werte Sie überwachen sollten, bevor der Server steht

Überblick: Was bedeutet Managed Monitoring?

Managed Monitoring ist die Überwachung der IT als Dienstleistung: Ein Anbieter stellt das Monitoring-System, betreibt es, bewertet die Meldungen und informiert Sie in verständlicher Form. Sie erhalten kein Sensor-Dashboard, sondern eine Nachricht wie 'Festplatte 2 im Server meldet Fehler, Austausch innerhalb von 14 Tagen empfohlen'. Das ist der Unterschied zum Eigenbetrieb: Nicht die Messung wird eingekauft, sondern die Einordnung.

Das Modell passt für Unternehmen ohne eigene IT-Abteilung und für Betriebe, deren einziger IT-Kollege im Urlaub nicht erreichbar sein soll. Es passt nicht, wenn Sie ohnehin ein Team haben, das Zabbix beherrscht. Und es bleibt ein Hinweisgeber: Wer auf die Meldung reagiert, muss vertraglich geklärt sein.

Ausführlich: Managed Monitoring: Monitoring as a Service für Unternehmen ohne eigene IT-Abteilung

Überblick: Festplatte voll oder SMART-Warnung, was ist jetzt zu tun?

Eine SMART-Warnung ist die Selbstmeldung einer Festplatte, dass ihre internen Fehlerzähler kritische Werte erreicht haben; ein volles Laufwerk ist der Zustand, in dem Betriebssystem und Datenbank keine Schreibvorgänge mehr ausführen können. Beides gehört zu den häufigsten Ursachen für Serverausfälle in kleinen Umgebungen, und beides ist mit Vorlauf erkennbar. Wenn die Warnung bereits da ist, gilt: nichts löschen, was Sie nicht sicher kennen, kein Neustart auf Verdacht, und zuerst prüfen, ob das letzte Backup vollständig war.

Der Beitrag zum akuten Fall erklärt, welche Schritte in welcher Reihenfolge sinnvoll sind und wann Sie besser den Dienstleister rufen, bevor Sie selbst Hand anlegen.

Ausführlich: Festplatte voll oder SMART-Warnung auf dem Server: Was jetzt zu tun ist

Überblick: Woran erkennen Sie, ob das Backup wirklich läuft?

Backup-Monitoring prüft nicht, ob ein Backup-Job gestartet wurde, sondern ob er vollständig, aktuell und wiederherstellbar abgeschlossen ist. Der Unterschied ist erheblich. Die Backup-Software meldet Erfolg, obwohl das Ziel-NAS seit drei Wochen nur noch Teildaten annimmt. Oder der Job läuft, aber die Sicherung ist zwölf Tage alt, weil das Zeitfenster zu kurz geworden ist.

Ein brauchbares Backup-Monitoring prüft deshalb mindestens drei Dinge: das Alter der letzten erfolgreichen Sicherung, den freien Platz auf dem Backup-Ziel und die Erreichbarkeit des Ziels selbst. Die Regel 3-2-1, drei Kopien auf zwei Medientypen, eine davon außer Haus, empfiehlt das BSI (Quelle: BSI); Monitoring stellt sicher, dass die Kopien tatsächlich entstehen. Wie ein Backup-Konzept aufgebaut sein sollte, steht in Die 3 Stufen des Backup-Zen.

Ausführlich: Backup-Monitoring: Woran Sie erkennen, ob Ihre Datensicherung wirklich läuft

Überblick: Wie weisen Sie Ihre IT-Sorgfaltspflicht nach?

Die IT-Sorgfaltspflicht der Geschäftsführung ist die Pflicht, angemessene Maßnahmen gegen erkennbare Risiken für den Betrieb zu treffen und diese im Zweifel belegen zu können. Sie ergibt sich aus dem allgemeinen Gesellschaftsrecht, für betroffene Unternehmen zusätzlich aus NIS2, und in der Praxis aus den Bedingungen der Cyberversicherung. Monitoring liefert dafür etwas, das sonst fehlt: Protokolle. Ein Monatsbericht, der zeigt, dass Backups geprüft, Festplatten überwacht und Störungen dokumentiert wurden, ist ein belastbarer Nachweis. Ein guter Vorsatz ist keiner.

Ob und wie weit Ihr Unternehmen konkret nachweispflichtig ist, kann dieser Beitrag nicht beantworten; das klären Datenschutzbeauftragte und Fachanwälte. Was Monitoring dazu beiträgt, schon.

Ausführlich: IT-Sorgfaltspflicht nachweisen: Was Geschäftsführung, Cyberversicherung und NIS2 verlangen

Welche Monitoring-Modelle gibt es, und welches passt zu welchem Unternehmen?

Die Entscheidung über IT-Monitoring ist in kleinen und mittleren Unternehmen weniger eine Frage des Werkzeugs als eine Frage des Betriebs: Wer richtet es ein, wer pflegt Schwellenwerte, wer liest die Meldung um 3 Uhr nachts, und wer entscheidet, ob sie wichtig ist? Entlang dieser Frage sortieren sich fünf Modelle. Das fünfte ist der Verzicht, und der ist häufiger, als man denkt.

Zwei Dinge fallen beim Blick auf die Tabelle auf. Die Modelle schließen sich nicht aus: Nicht wenige Systemhäuser setzen bei ihren Kunden eine Appliance ein und betreiben daneben ihr RMM für die Clients. Und die Spalte 'Aufwand Betrieb' entscheidet über den Erfolg, nicht die Spalte 'Aufwand Einführung'. Ein Monitoring, das niemand anfasst, wird nach 6-12 Monaten stumm oder schreit ständig. Beides ist gleich nutzlos.

Wo wir uns nicht sicher sind: ob die Grenze bei etwa 10 Geräten je Standort für jede Branche gleich sinnvoll ist. Eine Arztpraxis mit einem Server und drei Netzwerkgeräten liegt klar darunter, ein Produktionsbetrieb mit Maschinensteuerungen im Netz klar darüber. Das zeigt erst die Bestandsaufnahme.

Wie läuft die Einführung von IT-Monitoring ab, und wie lange dauert sie?

Die Einführung von IT-Monitoring dauert von der Bestandsaufnahme bis zum verlässlichen Regelbetrieb bei einer Appliance etwa 2-4 Wochen, bei selbst betriebener Software 6-12 Wochen. Der Unterschied liegt nicht in der Installation, sondern in der Einlaufphase, in der Schwellenwerte an die reale Umgebung angepasst werden. Aus Kundensicht sieht der Ablauf so aus:

1. Bestandsaufnahme (1-2 Wochen): Welche Geräte gibt es überhaupt? Server, NAS, Switches, Firewall, Access Points, USV. In den meisten Betrieben taucht hier mindestens ein Gerät auf, von dem niemand mehr wusste.
2. Prüfumfang und Zuständigkeit festlegen (1 Woche): Welche Werte werden überwacht, mit welchen Schwellen, und wer bekommt welche Meldung, nachts oder erst am nächsten Morgen? Ohne Empfänger ist jede Meldung wertlos.
3. Modell wählen und einrichten (1 Tag bis 3 Wochen): Appliance anschließen und Geräte eintragen, oder Server aufsetzen, Software installieren, Geräte per SNMP und Agenten anbinden. Bei Open-Source-Werkzeugen ist das der aufwendigste Schritt.
4. Einlaufphase (4-6 Wochen): Die ersten Wochen liefern zu viele Meldungen. Eine Sicherung, die jede Nacht um 2:15 Uhr die Latenz nach oben treibt, ist kein Fehler. Schwellenwerte werden justiert, bis nur noch Meldungen kommen, auf die jemand reagieren muss.
5. Regelbetrieb mit Berichten: Ein monatlicher Bericht im Klartext, welche Geräte geprüft wurden und was aufgefallen ist, dient als Nachweis und als Grundlage für die Ersatzplanung.
6. Jährlicher Review (ein halber Tag): Neue Geräte aufnehmen, ausgemusterte entfernen, Schwellen prüfen. Sonst überwacht das System nach zwei Jahren eine Umgebung, die es nicht mehr gibt.

Für wen lohnt sich IT-Monitoring, und wann eher nicht?

IT-Monitoring lohnt sich für jedes Unternehmen, bei dem ein Serverausfall von einem Arbeitstag mehr kostet als die Überwachung in einem Jahr. Das trifft auf fast jeden Betrieb ab etwa 5 Arbeitsplätzen mit eigenem Server oder NAS zu. Die konkreten Warnzeichen: Der letzte Ausfall wurde von einer Mitarbeiterin entdeckt, nicht von der IT. Niemand kann sagen, wann das letzte Backup erfolgreich war. Oder die Cyberversicherung fragt im Antrag nach Überwachung und Protokollierung, und die Antwort ist ein Schulterzucken.

Wann lohnt es sich nicht, oder noch nicht? Wenn die gesamte IT aus Microsoft 365 und Notebooks besteht und weder Server noch NAS noch Netzwerkgeräte jenseits des Provider-Routers im Haus stehen, gibt es schlicht wenig zu überwachen; dann sind Netzwerksicherheit und Kontoschutz die dringenderen Themen. Wenn ein Systemhaus bereits per Vertrag überwacht, ist ein zweites System meist Doppelarbeit; die richtige Maßnahme ist dann, den Umfang schriftlich zu bekommen. Und wenn niemand auf Meldungen reagieren wird, weder intern noch extern, dann erzeugt Monitoring nur ein schlechtes Gewissen mit Zeitstempel.

Eine ehrliche Grenze gilt für alle Modelle: Monitoring erkennt, was messbar ist. Einen Ransomware-Angriff, der sich wie normale Nutzung verhält, sieht ein Infrastruktur-Monitoring nicht zwingend; dafür sind EDR-Lösungen zuständig, siehe den Beitrag zum Cyber-Angriff. Einen Schutz vor jedem Ausfall gibt es mit keinem Monitoring. Was es leistet: Aus Überraschungen werden Termine.

Was kostet IT-Monitoring für ein kleines Unternehmen?

Die Kosten für IT-Monitoring setzen sich aus Lizenz, Einführung und laufender Pflege zusammen, und bei kleinen Unternehmen ist die Pflege fast immer der größte Posten. Lizenzfrei bedeutet nicht kostenlos. Ein Open-Source-System kostet keine Lizenz, aber 3-10 Personentage bei der Einführung und 2-4 Stunden im Monat danach; zu einem internen Stundensatz von 50-80 Euro sind das grob 1.200-3.800 Euro im ersten Jahr. Kommerzielle Software im Eigenbetrieb liegt je nach Sensorzahl im niedrigen bis mittleren vierstelligen Bereich pro Jahr, plus derselbe Pflegeaufwand. Betreute Modelle, ob Appliance oder Systemhaus, werden üblicherweise als Pauschale je Gerät oder je Standort abgerechnet; am Markt üblich sind etwa 5-20 Euro je Gerät und Monat oder Standortpauschalen im niedrigen dreistelligen Bereich.

Was den Preis nach oben treibt: mehrere Standorte, individuelle Prüfungen für Branchensoftware, Bereitschaft außerhalb der Geschäftszeiten und die Frage, ob der Anbieter nur meldet oder auch behebt. Was ihn senkt: ein übersichtlicher Gerätepark und ein fester Prüfumfang statt Sonderwünschen.

Die andere Seite der Rechnung: Ein Arbeitstag Stillstand kostet einen Betrieb mit 20 Arbeitsplätzen allein an Personalkosten schnell einen vierstelligen Betrag. Verbindlich wird jede Kostenangabe erst nach einer Bestandsaufnahme. Ein Angebot ohne Geräteliste ist eine Schätzung.

Wie Sie jetzt weitergehen

Wenn Sie nach der Lektüre nur eine Sache tun: Lassen Sie sich die Geräteliste geben, oder erstellen Sie sie selbst. Daneben in einer Spalte: Wer würde merken, wenn dieses Gerät heute Nacht ausfällt, und wann? Diese Liste zeigt in 20 Minuten, ob Sie eine Appliance, einen Betreuungsvertrag oder erst einmal ein Gespräch über Ihre Netzwerkinfrastruktur brauchen.

Die Modellwahl danach ist keine Glaubensfrage. Eigenbetrieb, wenn jemand da ist, der es pflegt. Appliance, wenn der feste Prüfumfang reicht und niemand pflegen will. Systemhaus, wenn ohnehin ein Vertrag besteht, dann mit schriftlichem Umfang. Eine IT-Beratung kann diese Entscheidung begleiten, muss es aber nicht.

Wenn Sie klären möchten, wie das in Ihrer Umgebung aussieht, können Sie ein unverbindliches Erstgespräch mit Datadiorama vereinbaren.