ITIL Framework: IT-Service-Management strukturiert umsetzen

ITIL (IT Infrastructure Library) ist eine Sammlung von Best Practices für das IT-Service-Management (ITSM). Das Framework definiert, wie IT-Organisationen ihre Dienstleistungen planen, erbringen, überwachen und kontinuierlich verbessern sollen - mit dem Ziel, einen nachweisbaren Mehrwert für das Unternehmen und seine Kunden zu schaffen. ITIL wird von AXELOS herausgegeben und gilt als weltweiter De-facto-Standard im ITSM-Bereich.

Geschichte: Von ITIL v1 bis ITIL 4

Die Entstehungsgeschichte von ITIL ist eng mit der britischen Regierung verbunden. Ende der 1980er-Jahre litt die öffentliche IT-Infrastruktur Großbritanniens unter schlechter Dienstleistungsqualität bei gleichzeitig steigenden Kosten. Die Central Computing and Telecommunications Agency (CCTA) erhielt den Auftrag, ein standardisiertes Vorgehensmodell für den IT-Betrieb zu entwickeln.

ITIL v1 (1989-1995): Die erste Version umfasste mehr als 30 Bücher, die verschiedene Aspekte des IT-Betriebs abdeckten. Das Material war umfangreich, aber wenig strukturiert und schwer zugänglich.

ITIL v2 (2000-2006): Die zweite Version konsolidierte die Inhalte auf neun Bücher und führte die bis heute bekannten Kernbereiche Service Support und Service Delivery ein. Prozesse wie Incident Management, Problem Management und Change Management wurden erstmals klar definiert. ITIL v2 etablierte das Framework international.

ITIL v3 / ITIL 2011 (2007-2019): Version drei führte den Service-Lifecycle-Ansatz ein. Fünf Phasen strukturierten den vollständigen Lebenszyklus eines IT-Services: Service Strategy, Service Design, Service Transition, Service Operation und Continual Service Improvement. ITIL v3 wurde 2011 aktualisiert und war bis zur Ablösung durch ITIL 4 der dominierende Standard.

ITIL 4 (seit 2019): Die aktuelle Version wählt einen ganzheitlichen Ansatz und bricht mit dem rein phasenorientierten Modell. Im Mittelpunkt steht das Service Value System (SVS), das alle Komponenten und Aktivitäten beschreibt, die eine Organisation für die Wertschöpfung benötigt. ITIL 4 integriert agile Methoden, DevOps und Lean-Prinzipien und reagiert damit auf moderne Entwicklungs- und Betriebsrealitäten.

ITIL 4: Die Kernkonzepte

Service Value System (SVS)

Das Service Value System ist das Herzstück von ITIL 4. Es beschreibt, wie alle Komponenten und Aktivitäten einer Organisation zusammenwirken, um Wert zu erzeugen. Das SVS besteht aus fünf Elementen:

Guiding Principles - die sieben Leitprinzipien als Orientierungsrahmen
Governance - Führung und Steuerung der Organisation
Service Value Chain - die operative Aktivitätskette zur Wertschöpfung
Practices - die 34 Management-Practices
Continual Improvement - der kontinuierliche Verbesserungskreislauf

Die sieben Leitprinzipien

Die Guiding Principles bilden einen Werterahmen, der unabhängig von einzelnen Methoden oder Situationen gilt. Sie sollen Entscheidungsträger und Teams bei ihrer täglichen Arbeit leiten:

Focus on value - jede Aktivität muss direkt oder indirekt zur Wertschöpfung beitragen
Start where you are - bestehende Ressourcen und Prozesse nutzen statt von Null anfangen
Progress iteratively with feedback - schrittweise vorgehen, Feedback einbeziehen
Collaborate and promote visibility - Zusammenarbeit fördern, Transparenz herstellen
Think and work holistically - das Gesamtsystem im Blick behalten
Keep it simple and practical - unnötige Komplexität vermeiden
Optimize and automate - manuelle Tätigkeiten automatisieren, Prozesse optimieren

Service Value Chain

Die Service Value Chain ist ein Betriebsmodell mit sechs ineinandergreifenden Aktivitäten, die je nach Bedarf kombiniert werden, um Wert zu erzeugen:

Aktivität	Ziel
Plan	Richtung und Strategie für das gesamte SVS vorgeben
Improve	Kontinuierliche Verbesserung aller Bereiche
Engage	Bedürfnisse von Stakeholdern und Kunden verstehen
Design & Transition	Services und Änderungen entwickeln und einführen
Obtain/Build	Komponenten und Services beschaffen oder entwickeln
Deliver & Support	Services bereitstellen und unterstützen

34 Management-Practices

ITIL 4 definiert 34 Practices, die in drei Kategorien eingeteilt sind:

General Management Practices (14 Practices): Practices wie Continual Improvement, Information Security Management, Risk Management und Workforce & Talent Management - übertragbar aus dem allgemeinen Managementbereich.

Service Management Practices (17 Practices): Der Kern des ITSM - von Availability Management über Incident Management und Problem Management bis hin zu Service Desk und Service Level Management.

Technical Management Practices (3 Practices): Deployment Management, Infrastructure & Platform Management und Software Development & Management.

Die wichtigsten Practices im Detail

Incident Management

Das Incident Management zielt darauf ab, den normalen Servicebetrieb nach einem unerwarteten Ausfall oder einer Beeinträchtigung so schnell wie möglich wiederherzustellen. Ein Incident ist jedes Ereignis, das den normalen Betrieb unterbricht oder unterbrechen könnte.

Der typische Prozessablauf umfasst: Erkennung und Protokollierung, Klassifizierung und Priorisierung, Diagnose, Eskalation (funktional oder hierarchisch), Lösung und Wiederherstellung sowie Abschluss mit Dokumentation.

ITIL unterscheidet zwischen dem Service Desk als First-Level-Support und spezialisierten Teams für komplexere Vorfälle. Major Incidents - also schwerwiegende Ausfälle mit hoher Geschäftsauswirkung - erfordern einen separaten, beschleunigten Prozess.

Problem Management

Problem Management befasst sich mit den Ursachen von Incidents. Ein Problem ist die noch unbekannte Ursache eines oder mehrerer Incidents. Das Ziel ist die dauerhafte Beseitigung von Störungsursachen, nicht nur die kurzfristige Symptombehandlung.

ITIL unterscheidet drei Aktivitäten innerhalb des Problem Managements:

Reaktives Problem Management: Analyse nach aufgetretenen Incidents
Proaktives Problem Management: Erkennung potenzieller Probleme bevor Incidents entstehen
Problem-Kontrolle und Fehler-Kontrolle: Verwaltung bekannter Fehler (Known Errors) und temporärer Workarounds

Change Enablement

Change Enablement (früher: Change Management) steuert den Lebenszyklus aller Änderungen an IT-Services und -Infrastruktur. Ziel ist die maximale Anzahl erfolgreicher Änderungen bei minimalem Risiko für den laufenden Betrieb.

ITIL 4 unterscheidet drei Änderungstypen:

Typ	Beschreibung	Genehmigung
Standard Change	Vorab genehmigt, geringes Risiko, bekannter Ablauf	Keine individuelle Genehmigung nötig
Normal Change	Regulärer Änderungsprozess mit Risikobewertung	Change Authority (CAB oder delegiert)
Emergency Change	Dringend, hohes Risiko, abgekürzter Prozess	Emergency Change Authority

Das Change Advisory Board (CAB) berät die Change Authority und bewertet komplexe oder risikobehaftete Änderungen. Im agilen Kontext wird das CAB zunehmend durch leichtgewichtigere Genehmigungsverfahren ersetzt.

Service Desk

Der Service Desk ist der zentrale Kommunikationspunkt zwischen IT-Organisation und Nutzern. Er nimmt Incidents, Service Requests und andere Anfragen entgegen, bearbeitet sie direkt oder leitet sie weiter.

Moderne Service Desks arbeiten omni-channel: Telefon, E-Mail, Chat, Self-Service-Portal. ITIL 4 betont die Rolle des Service Desks als strategischen Touchpoint - nicht nur als technische Hotline, sondern als Ort, an dem Nutzerzufriedenheit und Serviceleistung direkt erfahrbar werden.

ITIL und IT-Sicherheit: Information Security Management Practice

ITIL 4 enthält mit der Information Security Management Practice eine eigene Practice für Informationssicherheit. Ihr Ziel ist der Schutz der Informationen einer Organisation sowie der von ihr genutzten Informationen Dritter - hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit (CIA-Triade).

Die Practice umfasst:

Entwicklung und Pflege einer Informationssicherheitspolitik
Bewertung und Behandlung von Informationssicherheitsrisiken
Sicherheits-Monitoring und Incident-Response für sicherheitsrelevante Ereignisse
Schulung und Awareness für alle Beteiligten

Zusammenspiel mit ISO 27001: Die ITIL Information Security Management Practice und ISO 27001 ergänzen sich. ISO 27001 definiert Anforderungen an ein ISMS und ist zertifizierbar; ITIL beschreibt, wie Sicherheitsmanagement als IT-Service-Prozess operativ gelebt wird. In der Praxis nutzen viele Organisationen ISO 27001 als strategischen Rahmen und ITIL-Practices für die operative Umsetzung.

Incident Management und Sicherheitsvorfälle: Das ITIL Incident Management deckt prinzipiell auch Sicherheitsvorfälle ab. In größeren Organisationen existiert jedoch ein separater Security Incident Response-Prozess, der eng mit dem ITIL-Incident-Prozess verzahnt ist, aber spezifische Eskalationswege, Forensik-Anforderungen und Meldepflichten (etwa nach NIS2) berücksichtigt.

ITIL vs. COBIT vs. ISO 20000

ITIL, COBIT und ISO 20000 werden im ITSM-Kontext häufig gemeinsam genannt. Sie verfolgen unterschiedliche Ziele und ergänzen sich in der Praxis:

Merkmal	ITIL 4	COBIT 2019	ISO/IEC 20000-1
Herausgeber	AXELOS (UK)	ISACA (USA)	ISO/IEC (international)
Fokus	IT-Service-Management Best Practices	IT Governance & Management	IT-SM-Standard, zertifizierbar
Ansatz	Prescriptive Best Practices	Governance-Framework	Normative Anforderungen
Zertifizierbar	Personenzertifizierungen	Personenzertifizierungen	Organisationszertifizierung
Verhältnis zu ISO 27001	Ergänzend (operative Ebene)	Überlappend (Governance-Ebene)	Komplementär (SM-Ebene)
Geeignet für	IT-Abteilungen, ITSM-Teams	CIOs, IT-Governance-Verantwortliche	Managed Service Provider

COBIT (Control Objectives for Information and Related Technologies) adressiert primär die IT-Governance-Ebene. Während ITIL beschreibt, wie IT-Services erbracht werden sollen, beantwortet COBIT die Frage, ob die richtige IT-Governance vorhanden ist. COBIT und ITIL werden häufig kombiniert.

ISO/IEC 20000-1 ist die normative Entsprechung zu ITIL: ein zertifizierbarer Standard für IT-Service-Management-Systeme. Ähnlich wie ISO 27001 zum BSI IT-Grundschutz verhält sich ISO 20000 zu ITIL - der Standard beschreibt Was, ITIL beschreibt Wie. Organisationen, die eine ISO-20000-Zertifizierung anstreben, bauen üblicherweise auf ITIL-Prozessen auf.

Zertifizierung: ITIL-Qualifikationsschema

Das ITIL-Qualifikationsschema ist modular aufgebaut und richtet sich an IT-Professionals mit unterschiedlichen Erfahrungsstufen.

ITIL 4 Foundation Der Einstieg in die ITIL-Zertifizierung. Foundation vermittelt die grundlegenden Konzepte von ITIL 4: SVS, Guiding Principles, Service Value Chain und einen Überblick über die 34 Practices. Die Prüfung umfasst 40 Multiple-Choice-Fragen; Bestehensgrenze liegt bei 65 Prozent (26 von 40 Punkten). Foundation ist Voraussetzung für alle weiterführenden Zertifizierungen.

ITIL 4 Managing Professional (MP) Der Managing Professional-Pfad richtet sich an Praktiker, die IT-Services operativ verantworten. Er umfasst vier Module:

Create, Deliver & Support (CDS) - Kernprozesse der Serviceerbringung
Drive Stakeholder Value (DSV) - Kundenbeziehungen und Servicebeziehungen
High Velocity IT (HVIT) - Agile, DevOps und moderne Arbeitsweisen
Direct, Plan & Improve (DPI) - Steuerung und Verbesserung (auch Voraussetzung für Strategic Leader)

ITIL 4 Strategic Leader (SL) Der Strategic-Leader-Pfad richtet sich an IT-Führungskräfte mit strategischer Verantwortung. Er umfasst zwei Module:

Direct, Plan & Improve (DPI) - geteilt mit dem MP-Pfad
Digital & IT Strategy (DITS) - strategische Ausrichtung und digitale Transformation

ITIL Master Die höchste ITIL-Zertifizierungsstufe. Kandidaten müssen nachweisen, dass sie ITIL-Wissen, -Prinzipien und -Practices in realen Situationen angewendet haben. Das ITIL-Master-Zertifikat erfordert den Abschluss beider Pfade (MP + SL) sowie den Nachweis praktischer Anwendungskompetenz durch eine schriftliche Arbeit.

Praktische Relevanz im DACH-Raum: ITIL Foundation ist in vielen IT-Stellenanzeigen in Deutschland, Österreich und der Schweiz als Qualifikationsmerkmal für Service-Manager, IT-Koordinatoren und ITSM-Verantwortliche gelistet. Die Zertifizierung signalisiert ein gemeinsames Prozessverständnis und erleichtert die Zusammenarbeit mit externen Dienstleistern, die ebenfalls nach ITIL arbeiten.

Weiterführende Informationen: AWARE7 ISO-27001-Beratung | Penetrationstest