Eine Tischlerei im Mühlviertel hat seit Jahren denselben IT-Dienstleister. Vertrag: Stundenkontingent, 40 Stunden pro Jahr, Rest nach Aufwand. Dann fällt an einem Dienstag der Server aus. Drei Tage Ausfall, zwölf Mitarbeitende können nicht arbeiten, die Rechnung am Monatsende: 6.800 Euro. Rückblickend stellt sich heraus: Der Server war seit Monaten überlastet, es gab Warnmeldungen, aber niemand hat sie gelesen. Niemand war vertraglich verpflichtet, sie zu lesen. Das Geschäftsmodell des Dienstleisters hat davon profitiert, dass der Server ausfällt.
Genau das ist der Kern dieses Artikels. Eine externe IT-Betreuung ist nur so gut wie der Vertrag, der sie regelt. Viele österreichische KMU unterschreiben einen IT-Servicevertrag, ohne das Modell dahinter verstanden zu haben. Die vier gängigen Modelle am Markt belohnen den Dienstleister unterschiedlich: manche für Fleiß, manche für Stabilität und manche schlicht dafür, dass bei Ihnen etwas kaputt geht. Dieser Artikel zeigt, welches Vertragsmodell für eine externe IT-Betreuung im KMU tatsächlich funktioniert, welches strukturell gegen Sie arbeitet und worauf Sie vor der Unterschrift achten sollten.
Warum das Vertragsmodell über Erfolg oder Frust entscheidet
IT-Dienstleistung verkauft sich oft über Nähe und Sympathie. Der Inhaber kennt den Techniker seit Jahren, man duzt sich, man vertraut sich. Das ist schön, aber es ist kein Vertrag. Der Vertrag definiert, wofür der Dienstleister Geld bekommt. Und Menschen tun tendenziell das, wofür sie bezahlt werden.
Die ökonomische Logik dahinter ist einfach. Verträge, in denen der Dienstleister pro Stunde abrechnet, belohnen Vorfälle. Verträge, die eine Pauschale für einen stabilen Betrieb vorsehen, belohnen Prävention. Zwischen diesen beiden Logiken liegt der Unterschied zwischen einem Partner und einem Problemverwalter.
Gleichzeitig ist der Bedarf an professioneller IT-Betreuung in österreichischen KMU enorm gestiegen. Laut der KPMG-Cybersecurity-Studie 2025, die 1.391 heimische Unternehmen befragt hat, ist jeder siebte Cyberangriff in Österreich erfolgreich. Die EY Cybersecurity-Studie 2025 zeigt ergänzend, dass 47% der österreichischen Unternehmen das Risiko für Cyberangriffe inzwischen als hoch einstufen, deutlich mehr als im Vorjahr. Wer hier reaktiv arbeitet, arbeitet zu spät.
Sehen wir uns die vier Modelle an, die in der Praxis dominieren.
Modell 1: Stundenkontingent, warum es gegen euch arbeitet
Das Stundenkontingent-Modell (in der Branche oft „Break-Fix“ genannt) ist das älteste und in kleineren Firmen immer noch das verbreitetste. Sie kaufen ein Paket Stunden, zum Beispiel 40 oder 80 pro Jahr, die der Dienstleister nach Bedarf abruft. Alles darüber läuft auf Stundensatz, typischerweise zwischen 120 und 180 Euro netto pro Stunde.
Auf dem Papier klingt das fair. Sie zahlen nur, wenn Sie Leistung beziehen. In der Praxis hat das Modell drei strukturelle Probleme.
Erstens: der fehlende Anreiz zur Prävention. Der Dienstleister verdient dann, wenn etwas zu reparieren ist. Eine Wartung, die Ausfälle verhindert hätte, frisst sein Stundenbudget, ohne dass er zusätzlich verrechnen kann. Das führt, nicht aus böser Absicht, sondern aus Budget-Realität, zu einem Service, der sich auf Akutfälle konzentriert.
Zweitens: die Kostenunsicherheit. Ein größerer Vorfall verbrennt das Jahreskontingent in wenigen Tagen. Danach tickt die Uhr zum vollen Stundensatz. Für eine Steuerkanzlei in Linz, die nach einem Phishing-Angriff drei Tage lang Systeme wiederherstellen lassen muss, werden aus einem „überschaubaren“ 40-Stunden-Vertrag schnell 15.000 Euro Rechnung.
Drittens: der Fokus auf „Tickets“. Der Dienstleister arbeitet pro Anliegen. Strategische Themen wie eine Backup-Strategie, eine saubere Microsoft-365-Lizenzierung oder die Vorbereitung auf NIS2 fallen zwischen die Stühle, weil niemand ein „Ticket“ dafür aufmacht. Der Vertrag kennt nur Stunden, nicht Verantwortung.
Stundenkontingent ist nur dann sinnvoll, wenn Sie intern IT-kompetent sind und den Dienstleister bewusst als Verstärkung halten, nicht als Betreuung. Für ein klassisches KMU ohne eigenes IT-Know-how ist das Modell struktureller Nachteil, verkleidet als Flexibilität.
Modell 2: Pauschale pro User oder pro Gerät, das fairste Modell
In einem Pauschalmodell zahlen Sie einen fixen monatlichen Betrag pro Arbeitsplatz oder pro verwaltetem Gerät. Dafür erhalten Sie ein definiertes Leistungspaket: Monitoring, Patch-Management, Standard-Support, Backup-Überwachung, Mailkonto-Verwaltung, meist auch einen festen Anteil an Strategie- und Beratungszeit.
Dieses Modell stellt die Anreize auf den Kopf. Der Dienstleister verdient am meisten, wenn bei Ihnen wenig brennt. Jeder Vorfall, den er verhindert, ist Marge.
Was pro-User oder pro-Device besser passt
Beide Varianten haben ihre Berechtigung. Die Abrechnung pro Benutzer eignet sich vor allem für Umgebungen, in denen jede Person einen Laptop, Cloud-Apps und ein relativ einheitliches Nutzungsprofil hat. Typisch für eine Werbeagentur in Wien oder ein Architekturbüro in Innsbruck.
Pro Gerät rechnet sich eher in Umgebungen mit vielen Maschinen, die von wenigen Personen genutzt werden. Ein Autohaus in Wels mit gemeinsam genutzten Werkstatt-Rechnern, ein Hotel im Salzburger Land mit vielen Frontoffice-Terminals oder eine Tischlerei mit CNC-Maschinen fällt in diese Kategorie.
Typische Preisspannen in Österreich
Die Höhe der Pauschale hängt stark vom Leistungsumfang ab, insbesondere von der SLA-Tiefe, der Anzahl der verwalteten Server und davon, ob Microsoft-365-Lizenzen und Security-Produkte im Paket enthalten sind. Marktüblich sind in Österreich zweistellige bis niedrige dreistellige Eurobeträge pro Arbeitsplatz und Monat. Die genauen Zahlen sollten Sie von jedem Anbieter schriftlich und aufgeschlüsselt erhalten, damit Sie vergleichen können.
Der Vorteil liegt nicht nur in der Höhe, sondern in der Kalkulierbarkeit. Ein Sanitärfachhandel in Graz weiß im Jahresbudget genau, was die IT kostet, egal ob ein ruhiger Monat kommt oder einer mit drei Vorfällen.
Jetzt kostenloses Erstgespräch vereinbaren
Sie prüfen gerade Ihren bestehenden IT-Vertrag oder überlegen, den Dienstleister zu wechseln? In einem 30-minütigen Erstgespräch sehen wir uns gemeinsam an, welches Vertragsmodell zu Ihrer Firmengröße und Branche passt, und worauf Sie bei Ihrem aktuellen Vertrag achten sollten. Unverbindlich und ohne Verkaufsdruck.
Modell 3: SLA-basiert mit klar definierten Reaktionszeiten
Ein SLA-basiertes Modell (Service Level Agreement) baut in der Regel auf einer Pauschale auf, ergänzt sie aber um messbare Zusagen. Im Zentrum stehen Reaktionszeiten und Lösungszeiten, gestaffelt nach Priorität.
Ein typisches Staffelmuster sieht so aus: Bei einem kritischen Ausfall (das gesamte Unternehmen steht) reagiert der Dienstleister innerhalb von 30 bis 60 Minuten. Bei einer hohen Priorität (ein wesentliches System betroffen, aber nicht alles) innerhalb von vier Stunden. Bei Standardanfragen innerhalb eines Arbeitstages. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt in seinen Mindestanforderungen, SLAs so zu gestalten, dass alle vereinbarten Kriterien messbar, nachprüfbar und eindeutig formuliert sind, damit kein Interpretationsspielraum bleibt.
Warum SLAs für KMU oft unterbewertet werden
SLAs gelten als „Großkundenthema“. Das ist ein Missverständnis. Für eine Arztpraxis in Wien-Favoriten ist es existenziell, ob die Praxisverwaltungssoftware am Montagmorgen in 30 Minuten oder erst nachmittags wieder läuft. Dazwischen liegen abgesagte Termine, verärgerte Patientinnen, verlorener Umsatz.
Die Preisaufschläge für höhere SLA-Stufen sind spürbar, aber überschaubar. Standard-SLAs mit vier bis acht Stunden Reaktionszeit sind in vielen Pauschalverträgen enthalten. Premium-SLAs mit Reaktionszeiten unter einer Stunde und 24/7-Abdeckung kosten deutlich mehr und lohnen sich nur für Branchen mit kritischen Zeitfenstern (Handel mit Ladengeschäft und Registrierkasse, Hotellerie, Gesundheitswesen).
Worauf Sie in der SLA-Formulierung achten müssen
Ein SLA lebt von Präzision. „Schnellstmögliche Reaktion“ ist kein SLA, das ist Prosa. Relevant sind harte Zeiten in Minuten oder Stunden, eine klare Definition der Servicezeit (zum Beispiel Montag bis Freitag 8 bis 18 Uhr) und eine Definition, was „Reaktion“ überhaupt heißt. Ist es der automatisierte Ticket-Eingang? Ein Anruf? Ein Techniker, der wirklich zu arbeiten beginnt? Nur Letzteres ist für Sie als Kunde wertvoll.
Modell 4: Hybrid-Modelle und wann sie Sinn machen
Hybride Verträge kombinieren eine Pauschale für den laufenden Betrieb mit einem Kontingent oder Stundensatz für Projekte. Sie sind besonders dann sinnvoll, wenn ein KMU einen stabilen Grundbetrieb will, aber regelmäßig größere Vorhaben plant: eine Cloud-Migration, eine Rollout-Welle neuer Notebooks, ein Umzug, die Einführung von Microsoft Intune oder Conditional Access.
Die Stärke liegt in der Trennung von Run und Change. Der Run-Teil (laufender Betrieb) wird planbar über die Pauschale abgebildet. Der Change-Teil (Projekte) wird separat kalkuliert, damit Sie Kosten und Nutzen einzelner Vorhaben sauber abgleichen können.
Für ein Architekturbüro in Innsbruck, das jedes Jahr zwei bis drei neue CAD-Arbeitsplätze einrichtet und gelegentlich Großprojekte wie SharePoint-Migrationen fährt, ist das Hybrid-Modell oft die beste Lösung. Für eine kleine Steuerkanzlei in Linz, die nur laufenden Betrieb braucht, kann die reine Pauschale ausreichen.
Typische Ausgestaltung in der Praxis: Pauschale pro User mit einem festen Anteil an „Consulting-Stunden“ pro Monat (zum Beispiel zwei Stunden), alles darüber wird über einen reduzierten Projektsatz abgerechnet.
Was muss in einem guten IT-Betreuungsvertrag stehen (Checkliste)
Unabhängig vom gewählten Modell gibt es Elemente, die in jedem seriösen Vertrag zur externen IT-Betreuung auftauchen sollten. Die folgende Checkliste fasst sie zusammen. Nutzen Sie sie beim nächsten Angebot als Prüfraster.
- Klarer Leistungskatalog. Was ist inkludiert, was nicht? Inkludiert sollten mindestens sein: Monitoring, Patch-Management, Support (Telefon, E-Mail, Remote), Backup-Überwachung, Benutzerverwaltung, Microsoft-365-Administration und ein definierter Anteil Beratung.
- Servicezeiten und Erreichbarkeit. Von wann bis wann ist der Dienstleister erreichbar? Gibt es eine Notrufnummer außerhalb dieser Zeiten, und was kostet der Abruf?
- SLAs mit harten Zeiten. Reaktionszeit, Lösungszeit, Definition, was „Reaktion“ heißt. Gestaffelt nach Priorität.
- Auftragsverarbeitungsvertrag (AVV). Nach Artikel 28 DSGVO ist er Pflicht, sobald der Dienstleister auf Systeme zugreift, in denen personenbezogene Daten liegen. Die WKO stellt einen kostenlosen Mustervertrag zur Verfügung, den viele seriöse Anbieter als Grundlage verwenden.
- Eskalationswege. Wer ist Ihr fester Ansprechpartner, wer vertritt ihn, an wen eskaliert man, wenn die normale Bearbeitung nicht reicht?
- Dokumentation und Transparenz. Monatlicher oder quartalsweiser Bericht über Tickets, offene Punkte, Systemstatus, durchgeführte Wartungen. Ohne diese Sichtbarkeit wissen Sie nie, wofür Sie zahlen.
- NIS2-/NISG-2026-Kompatibilität. Auch wenn Sie selbst nicht direkt betroffen sind: Der Vertrag sollte vorsehen, dass der Dienstleister Sicherheitsmaßnahmen dokumentieren und auf Anfrage nachweisen kann. Die WKO weist ausdrücklich darauf hin, dass Lieferanten betroffener Unternehmen vertraglich zu Risikomanagementmaßnahmen verpflichtet werden.
- Exit- und Übergabe-Klauseln. Was passiert bei Vertragsende? Welche Daten, Passwörter, Dokumentationen werden in welchem Format herausgegeben, in welcher Frist, und zu welchem Preis?
- Preisanpassungs-Regelung. Wie oft und in welcher Höhe darf der Preis steigen? Üblich ist Indexbindung an den VPI oder eine Deckelung (zum Beispiel maximal 3% pro Jahr).
- Laufzeit und Kündigungsfrist. Zwölf bis 24 Monate sind Standard, drei Monate Kündigungsfrist sind üblich. Alles darüber wird für Sie riskanter.
Worauf Anbieter achten, das nicht in eurem Interesse ist (rote Flaggen)
Nicht jede Vertragsklausel ist böse Absicht. Einige sind einfach Standard aus Zeiten, in denen Dienstleister mehr Marktmacht hatten. Aber als KMU sollten Sie wissen, wo es sich lohnt, nachzuverhandeln.
Lange Laufzeiten ohne ordentliches Kündigungsrecht. 36- oder 60-Monats-Verträge ohne Sonderkündigungsrecht binden Sie über Jahre an einen Anbieter, dessen Qualität Sie erst im Betrieb beurteilen können. Seriös sind 12 oder 24 Monate mit dreimonatiger Kündigung.
Schwammige SLAs oder gar keine. Formulierungen wie „angemessene Bearbeitungszeit“ oder „schnellstmöglich“ sind nicht durchsetzbar. Wenn es keine harten Zeiten gibt, gibt es keinen Service Level.
Fehlender AVV. Wenn der Anbieter auf die Frage nach dem AVV ausweicht oder behauptet, er „sehe keine personenbezogenen Daten“, ist Vorsicht angebracht. Er sieht sie. Jeder IT-Dienstleister mit Administrator-Zugriff auf Ihr Microsoft-365-Tenant sieht mindestens Mail-Postfächer, Kalender und Kontakte.
Exit-Fallen. Ein klassischer Stolperstein, den das CIO Magazin in einer Analyse zu Outsourcing-Verträgen beschreibt: Allgemeine Zusicherungen wie „Unterstützung in einem angemessenen Umfang“ sind keine Exit-Klausel. Fehlen konkrete Vereinbarungen zu Datenrückgabe, Übergabedokumentation und Migrationsunterstützung, ist der Dienstleisterwechsel in der Praxis kaum machbar.
Hardware und Lizenzen im Vertrag gebündelt. Wenn Ihre Notebooks, Server oder Microsoft-365-Lizenzen über den IT-Dienstleister laufen und vertraglich an ihn gebunden sind, entsteht ein Vendor-Lock-in, der Sie beim Wechsel doppelt schmerzt.
Keine transparente Preisliste für Zusatzleistungen. „Projekte nach Aufwand“ ohne Stundensatz-Nennung ist ein Blankoscheck. Stundensätze, Projektpauschalen und Sonderleistungen gehören in den Vertrag oder einen nummerierten Anhang.
Keine Berichtspflicht. Ein Dienstleister, der nicht monatlich oder quartalsweise über den Zustand Ihrer IT berichtet, arbeitet im Dunkeln. Sie werden nie erfahren, was er tatsächlich tut, und ob seine Rechnungen nachvollziehbar sind.
Unser Modell transparent erklärt
Damit Sie ein Beispiel haben, wie die Punkte aus diesem Artikel in einem echten Vertrag aussehen: Ich arbeite mit einer fixen Monatspauschale pro aktivem Anwender und pro betreutem Server. Richtwert 150 € netto pro Person und 150 € netto pro Server. Mehr Kollegen, mehr Kosten. Weniger Kollegen, weniger Kosten. Kein Stückpreis für jeden Klick.
In dieser Pauschale steckt die laufende Betreuung Ihrer IT, von Microsoft 365 und E-Mail-Schutz über Backups und Sicherheits-Überwachung rund um die Uhr bis zu Updates, Netzwerkpflege und regelmäßigen Mitarbeiter-Schulungen. Wie tief wir gehen, hängt vom Paket ab.
Im Vertrag stehen klare Reaktionszeiten in Stunden, nicht in Marketingsprache. Ein Auftragsverarbeitungsvertrag nach DSGVO ist automatisch dabei, nicht als kostenpflichtiges Extra. Größere Projekte und Arbeiten außerhalb der Pauschale werden zu transparenten Stundensätzen abgerechnet.
Mindestlaufzeit 12 Monate, danach jederzeit zum Monatsende kündbar. Bei Vertragsende gibt es bis zu 60 Tage Übergangsunterstützung. Zugänge, Dokumentation und Backups wandern sauber zum neuen Dienstleister oder zu Ihnen.
Das Entscheidende an einer sauberen Pauschale: Ich verdiene Geld, wenn bei Ihnen wenig passiert. Je stabiler Ihre IT läuft, desto besser für beide Seiten. Kein Anreiz, Probleme zu strecken. Mein Interesse ist deckungsgleich mit Ihrem: Ihre IT soll leise im Hintergrund laufen, damit Sie sich auf Ihr Geschäft konzentrieren können.
Wenn Sie bei Ihrem aktuellen Anbieter nicht mehr verstehen, wofür Sie eigentlich zahlen, sprechen wir. Eine Stunde Bestandsaufnahme, danach wissen Sie, wo Sie stehen.
Häufige Fragen
Was kostet externe IT-Betreuung für ein KMU in Österreich?
Die Höhe einer Pauschale hängt stark vom Leistungsumfang, der SLA-Tiefe und der Anzahl verwalteter Server ab. In der Praxis sind zweistellige bis niedrige dreistellige Eurobeträge pro Arbeitsplatz und Monat marktüblich. Stundensätze einzelner Dienstleister liegen im niedrigen bis mittleren dreistelligen Bereich. Lassen Sie sich von jedem Anbieter ein schriftliches, aufgeschlüsseltes Angebot geben, damit Sie vergleichen können.
Brauche ich einen Auftragsverarbeitungsvertrag mit meinem IT-Dienstleister?
Ja. Sobald der IT-Dienstleister auf Systeme zugreift, in denen personenbezogene Daten verarbeitet werden, ist nach Artikel 28 DSGVO ein Auftragsverarbeitungsvertrag Pflicht. Das betrifft faktisch jede externe IT-Betreuung. Die WKO stellt einen kostenlosen Mustervertrag zur Verfügung.
Welches Vertragsmodell eignet sich für kleine Firmen unter zehn Mitarbeitenden?
Für sehr kleine Firmen ist eine schlanke Pauschale pro Arbeitsplatz meistens die beste Wahl. Sie liefert Kostensicherheit, deckt Standardwartung ab und vermeidet das Ausfallrisiko reiner Stundenkontingent-Modelle. Reine Stundensatz-Verträge sind nur dann sinnvoll, wenn die Firma intern selbst sehr IT-kompetent ist und den Dienstleister nur in Ausnahmefällen braucht.
Wie lange sollte die Mindestvertragslaufzeit sein?
Übliche Laufzeiten sind zwölf oder 24 Monate mit automatischer Verlängerung und drei Monaten Kündigungsfrist. Alles über 24 Monate ist kritisch zu prüfen, besonders wenn gleichzeitig Hardware oder Softwarelizenzen an den Vertrag gekoppelt sind. Eine monatliche Kündbarkeit nach einer kurzen Initialphase ist inzwischen am Markt verfügbar und aus Kundensicht fairer.
Wie erkenne ich einen unseriösen IT-Betreuungsvertrag?
Typische Warnsignale sind lange Laufzeiten über 24 Monate ohne Kündigungsrecht, fehlende oder schwammige SLAs, kein Auftragsverarbeitungsvertrag, eine versteckte Preisstaffel bei Zusatzleistungen sowie Exit-Klauseln, die den Wechsel zu einem anderen Anbieter erschweren, zum Beispiel durch hohe Gebühren für die Datenrückgabe oder Zugangsdaten.
Muss mein IT-Dienstleister NIS2- beziehungsweise NISG-2026-Vorgaben erfüllen?
Auch wenn Ihr eigenes Unternehmen nicht direkt unter das NISG 2026 fällt, geben betroffene Kunden die Anforderungen über die Lieferkette an IT-Dienstleister weiter. Ab Inkrafttreten am 1. Oktober 2026 erwarten viele mittlere und große Unternehmen vertraglich dokumentierte Sicherheitsmaßnahmen von ihren IT-Partnern.
Außerdem sind IT-Dienstleister selbst ab einer mittleren Unternehmensgröße von den NIS2 Vorgaben betroffen.
Fazit
Der Vertrag für Ihre externe IT-Betreuung entscheidet darüber, ob Sie einen Partner haben oder einen Problemverwalter. Stundenkontingent-Modelle arbeiten strukturell gegen Sie, weil sie den Dienstleister für Vorfälle belohnen, statt für deren Vermeidung. Eine Pauschale pro User oder Gerät, idealerweise ergänzt um ein klares SLA und transparente Berichtspflichten, ist für die meisten österreichischen KMU das fairste und kalkulierbarste Modell. Hybride Verträge lohnen sich, wenn regelmäßig Projekte anfallen.
Wichtiger als das Modell ist, dass Sie den Vertrag verstehen, bevor Sie ihn unterschreiben. Prüfen Sie Leistungskatalog, SLA, AVV, Exit-Klauseln und Laufzeit. Wenn einer dieser Punkte fehlt oder schwammig ist, fragen Sie nach. Ein seriöser Anbieter freut sich über diese Fragen, ein unseriöser beginnt auszuweichen. Genau das ist die Information, die Sie brauchen.
Quellenverzeichnis
- KPMG Cybersecurity-Studie Österreich 2025 – KPMG Austria gemeinsam mit dem Kompetenzzentrum Sicheres Österreich (KSÖ), Mai 2025. Zehnte Ausgabe der Studie, Basis 1.391 befragte österreichische Unternehmen. Quelle für die Zahl „jeder siebte Cyberangriff erfolgreich“.
- EY Cybersecurity-Studie 2025 – Ernst & Young Österreich, September 2025. Erhebung zur Risikowahrnehmung und zum Cybersecurity-Reifegrad österreichischer Unternehmen.
- Studie: Cyber Security in Österreich 2025 – Bundeskanzleramt Österreich, Portal Onlinesicherheit.gv.at, 2025. Offizielle Bereitstellung der Cybersecurity-Studie mit Einordnung durch den Bund.
- NISG 2026 – neue Pflichten zur Cybersicherheit für Unternehmen – Wirtschaftskammer Österreich (WKO), aktualisiert 2025/2026. Überblick über Geltungsbereich, Pflichten und Lieferkettenauswirkungen der österreichischen NIS2-Umsetzung.
- EU-Datenschutz-Grundverordnung (DSGVO): Mustervertrag für die Auftragsverarbeitung – Wirtschaftskammer Österreich. Kostenfreier Mustervertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO, von vielen österreichischen IT-Dienstleistern als Vertragsgrundlage verwendet.
- Cybersecurity-Studie (Magazin Öffentliche Sicherheit) – Bundesministerium für Inneres (BMI), Ausgabe Juli/August 2025. Berichterstattung des Innenministeriums zur aktuellen Cybersecurity-Lage in Österreich.
- Outsourcing-Vertrag: 10 Stolperfallen bei Exit-Vereinbarungen – CIO Magazin (IDG Communications Media). Analyse häufiger Fehler in Exit-Klauseln von IT-Outsourcing-Verträgen.
- Kompetenzzentrum Sicheres Österreich zur KPMG Cybersecurity-Studie 2025 – KSÖ (behördennaher Verein in Kooperation mit BMI und KPMG), Juni 2025. Einordnung der Studienergebnisse und Ableitungen für die österreichische Sicherheitslandschaft.
