Wenn der einzige Kollege, der die Firewall-Regeln und das Backup-Konzept im Kopf hat, im Urlaub oder plötzlich weg ist, zeigt sich der wahre Wert einer IT-Dokumentation. In vielen Betrieben existiert sie nur in Fragmenten: verstreute Excel-Listen, ein veraltetes Wiki, Zugangsdaten in einzelnen Köpfen. Dieser Leitfaden zeigt, welche Standards für die IT-Dokumentation im Unternehmen gelten, welche Tools sich eignen und wie Sie Schritt für Schritt zu einer belastbaren Dokumentation kommen.
Eine belastbare IT-Dokumentation im Unternehmen erfasst Assets, Netzwerk, Zugänge, Prozesse und Notfallpläne strukturiert, versioniert und nachvollziehbar. Als Orientierung dienen ISO 27001, der BSI IT-Grundschutz und – für buchungsrelevante Systeme – die GoBD. Sinnvoll ist ein zentrales Werkzeug statt verstreuter Dateien; wer intern keine Kapazität für Pflege und Support hat, lagert diese an ein Systemhaus mit dokumentierten Prozessen aus.
Warum IT-Dokumentation vom Nice-to-have zur Pflicht wird
Regulatorik zwingt gerade viele mittelständische Unternehmen, ihre IT sauber zu dokumentieren. Mit der NIS-2-Richtlinie kommt Bewegung ins Thema: Laut IHK Schleswig-Holstein werden in Deutschland schätzungsweise rund 30.000 Unternehmen betroffen sein, den Rechtsrahmen liefert das NIS-2-Umsetzungsgesetz. Erfasst werden nach Einschätzung von secjur mittlere und große Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in 18 Sektoren – diese müssen sich beim BSI registrieren, ein Risikomanagement betreiben und Sicherheitsvorfälle melden. Ohne aktuelle Asset- und Prozessdokumentation ist beides kaum nachweisbar.
Hinzu kommen die klassischen Vorgaben: Der BSI IT-Grundschutz sieht eine dokumentierte Sicherheitskonzeption vor, ISO 27001 verlangt „dokumentierte Informationen”, und für steuerlich relevante Systeme greifen die GoBD. Nach HGB gelten hier je nach Dokumententyp Aufbewahrungsfristen von sechs bis zehn Jahren – Buchungsbelege und Handelsbücher lassen sich nur mit einer nachvollziehbaren Verfahrensdokumentation prüfungssicher vorhalten.
Welche Standards die IT-Dokumentation im Unternehmen prägen
Sie müssen nicht jeden Standard vollständig umsetzen, aber die Anforderungen kennen und die für Sie relevanten Teile abdecken. Die folgende Übersicht ordnet die wichtigsten Rahmenwerke ein.
| Standard / Vorgabe | Fokus für die Dokumentation | Aufbewahrung |
|---|---|---|
| ISO 27001 | Dokumentierte Informationen zum Informationssicherheits-Managementsystem, Risikobehandlung, Richtlinien | — |
| BSI IT-Grundschutz | Sicherheitskonzeption, Strukturanalyse, Schutzbedarf, Maßnahmen je Baustein | — |
| NIS-2 / Umsetzungsgesetz | Asset- und Risikomanagement, Notfall- und Meldeprozesse, Nachweispflicht | — |
| GoBD / HGB | Verfahrensdokumentation buchungsrelevanter IT-Systeme, Belege | 6–10 J. |
In sechs Schritten zur belastbaren IT-Dokumentation
Der Aufbau gelingt am besten in einer festen Reihenfolge. So vermeiden Sie das häufigste Problem – eine Dokumentation, die einmal erstellt und nie wieder gepflegt wird.
1. Bestandsaufnahme und Inventar
Erfassen Sie zuerst alle Assets: Server, Clients, Netzwerkkomponenten, Cloud-Dienste, Software-Lizenzen und ihre Zuordnung zu Personen und Standorten. Ein automatisiertes Inventar spart Pflegeaufwand und hält die Liste aktuell.
2. Struktur und Standard festlegen
Definieren Sie eine einheitliche Gliederung – etwa nach Netzwerk, Systeme, Anwendungen, Zugänge, Prozesse und Notfall. Orientieren Sie sich am relevanten Standard, statt eine eigene Systematik neu zu erfinden.
3. Ein zentrales Werkzeug wählen
Verstreute Dateien sind der Hauptgrund für veraltete Dokumentation. Ein zentrales Tool mit Versionierung, Suche und Rechteverwaltung sorgt dafür, dass alle mit derselben, aktuellen Quelle arbeiten. Achten Sie darauf, dass sich Inventar und Zugänge möglichst automatisch aktualisieren – jede manuelle Pflegeaufgabe, die keiner übernimmt, wird über kurz oder lang zur Fehlerquelle.
4. Zugänge und Notfall dokumentieren
Passwörter gehören in einen Tresor, nicht in ein Wiki. Dokumentieren Sie zusätzlich ein Notfallhandbuch: Wer ist im Ernstfall zu erreichen, wie werden Systeme wiederhergestellt, wo liegen die Backups?
5. Pflegeprozess verankern
Dokumentation ist kein Projekt, sondern ein Prozess. Verknüpfen Sie sie mit dem Change-Management: Jede Änderung – neuer Mitarbeiter, neues Gerät, neue Firewall-Regel – aktualisiert die Dokumentation im selben Arbeitsschritt.
6. Zugriff, Rollen und Aufbewahrung regeln
Legen Sie fest, wer lesen und wer ändern darf, und richten Sie die Aufbewahrung an den GoBD-Fristen aus. So bleibt die Dokumentation auch bei einer Prüfung oder einem NIS-2-Nachweis belastbar.
Tool oder Dienstleister: Womit dokumentieren Sie?
Für die Umsetzung gibt es drei gängige Wege. Kleine Teams starten oft mit einem Wiki-System, das flexibel, aber pflegeintensiv ist und ohne Disziplin schnell veraltet. Spezialisierte IT-Dokumentations-Tools und CMDB-Lösungen bringen Struktur und Automatik mit, erfordern aber Einarbeitung und jemanden, der sie dauerhaft betreut. Der dritte Weg ist, Betrieb und Pflege gleich mit an ein Systemhaus zu geben – gerade dann sinnvoll, wenn das interne IT-Team ohnehin ausgelastet ist und Dokumentation regelmäßig hinten runterfällt.
Für Unternehmen, die IT-Dokumentation nicht nur als Software, sondern als gelebten Betriebsprozess brauchen, ist ein Modell mit Systemhaus im Rücken interessant. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Über das Portal laufen Inventar, Geräte-Management und Accounts an einer Stelle zusammen, sodass ein Teil der IT-Dokumentation – installierte Software, Gerätezuordnung, Onboarding-Status – automatisch mitentsteht statt manuell gepflegt zu werden. Der zugehörige IT-Support mit dokumentierten Runbooks arbeitet mit versionierten Skripten und einer Wissensdatenbank, sodass wiederkehrende Vorgänge nachvollziehbar hinterlegt sind.
| Weg | Pflegeaufwand intern | Kosten/User/Monat |
|---|---|---|
| Wiki / Eigenregie | hoch – manuelle Pflege, schnell veraltet | gering |
| Dokumentations-Tool / CMDB | mittel – Tool muss betreut werden | variabel |
| Systemhaus als Service (z. B. kjello Core) | niedrig – Betrieb und Support inklusive | 29 € |
Optional lässt sich der Core-Umfang um Security+ (Virenschutz) für 10 € je Arbeitsplatz/Monat erweitern, M365-Lizenzen kommen als Pass-through hinzu.
Dafür spricht
- Dokumentation entsteht als Nebenprodukt des laufenden Betriebs, nicht als Zusatzaufgabe.
- Planbarer Festpreis und deutsches, DSGVO-konformes Hosting.
- Wissen liegt im Portal und beim Systemhaus, nicht nur in einzelnen Köpfen.
Zu bedenken
- Zugeschnitten auf den Mittelstand mit 20–250 Mitarbeitenden.
- Weniger passend für Konzerne mit eigener großer IT oder reine Cloud-only-Startups ohne Betreuungsbedarf.
- Wer volle Kontrolle über jedes Detail behalten will, braucht klare Schnittstellen zum eigenen Team.
Häufige Fragen
Ist IT-Dokumentation gesetzlich Pflicht?
Direkt vorgeschrieben ist sie in mehreren Kontexten: Die GoBD verlangen eine Verfahrensdokumentation für buchungsrelevante Systeme, ISO 27001 und der BSI IT-Grundschutz fordern dokumentierte Sicherheitsmaßnahmen, und mit NIS-2 kommen für betroffene Unternehmen Nachweis- und Meldepflichten hinzu, die ohne aktuelle Dokumentation kaum erfüllbar sind.
Was gehört in eine IT-Dokumentation?
Mindestens ein aktuelles Asset- und Netzwerkinventar, Zugänge und Berechtigungen, die wichtigsten Prozesse und Konfigurationen sowie ein Notfallhandbuch mit Wiederherstellungs- und Kontaktinformationen. Zugangsdaten gehören in einen Passwort-Tresor, nicht ins Wiki.
Wie oft muss die IT-Dokumentation aktualisiert werden?
Am besten laufend: Jede Änderung an Systemen, Geräten oder Zugängen sollte im selben Arbeitsschritt dokumentiert werden. Zusätzlich empfiehlt sich eine regelmäßige Vollständigkeitsprüfung, etwa quartalsweise oder vor Audits.
Welche Tools eignen sich für die IT-Dokumentation im Unternehmen?
Für kleine Teams reicht oft ein zentrales Wiki, größere Landschaften profitieren von spezialisierten Dokumentations-Tools oder einer CMDB mit automatischem Inventar. Wer Pflege und Support nicht selbst stemmen will, kann den Betrieb an ein Systemhaus mit dokumentierten Prozessen auslagern.
Was kostet ausgelagerte IT mit dokumentierten Prozessen?
Als transparenter Anhaltspunkt: Das Core-Paket von kjello liegt bei 29 €/User/Monat netto, optional plus 10 € je Arbeitsplatz/Monat für Security+ (Virenschutz), M365-Lizenzen kommen als Pass-through hinzu. Betrieb, Portal und Support sind darin enthalten.