Standard Operating Procedure (SOP): Definition, Aufbau und Einsatz im IT Service Management

Eine Standard Operating Procedure (SOP), deutsch Standardarbeitsanweisung, ist eine schriftlich festgelegte und freigegebene Anleitung, die beschreibt, wie eine wiederkehrende Tätigkeit Schritt für Schritt auszuführen ist. Sie bestimmt, wer was in welcher Reihenfolge tut, welche Voraussetzungen gelten und woran sich erkennen lässt, dass die Aufgabe korrekt erledigt ist. Das Ergebnis soll nicht davon abhängen, wer die Aufgabe gerade übernimmt.

Fest etabliert sind SOPs seit Langem in regulierten Bereichen wie Arzneimittelherstellung und Labor. Der EU-Leitfaden der Guten Herstellungspraxis (GMP) bezeichnet Verfahrensanweisungen ausdrücklich als „Standard Operating Procedures“, die Anweisungen für bestimmte Tätigkeiten geben. In der Unternehmens-IT sind SOPs das Werkzeug, mit dem sich Routinearbeit vereinheitlichen lässt: das Anlegen eines Benutzerkontos, ein Restore-Test oder die Umsetzung eines Standard-Changes. Wer Serviceprozesse über Teams und Standorte hinweg skalieren will, kommt ohne diese Beschreibungsebene nicht aus.

Das Wichtigste in Kürze

• Definition: Eine SOP beschreibt einen konkreten, wiederkehrenden Ablauf so genau, dass eine eingearbeitete Person ihn ohne Rückfrage korrekt ausführen kann.
• Abgrenzung: Ein Prozess beschreibt, was über Rollen hinweg geschieht. Die SOP beschreibt, wie ein bestimmter Ablauf darin ausgeführt wird.
• Pflichtangaben: Kennung, Version, Gültigkeitsdatum, verantwortliche Person, Freigabe, Geltungsbereich, Schritte und Prüfpunkte.
• Im ITSM: Grundlage für Standard-Changes nach ITIL 4, für Service Requests, Incident-Runbooks sowie Eintritt und Austritt von Beschäftigten.
• Lebenszyklus: SOPs werden geprüft, freigegeben, regelmäßig überprüft und bei Bedarf zurückgezogen. Eine veraltete SOP kann mehr Schaden anrichten als eine fehlende, weil sie falsche Sicherheit gibt.

Stand: November 2026 · Fachlich abgeglichen mit dem EU-GMP-Leitfaden (Kapitel 4), der EPA-Leitlinie QA/G-6, ITIL 4 und dem IT-Grundschutz-Kompendium des BSI (Quellen am Ende des Artikels)

Aufbau einer SOP: Kopfdaten, Ablauf, Nachweis

Eine verbindliche Gliederung für SOPs gibt es nicht. Die US-Umweltbehörde EPA hält in ihrer Leitlinie QA/G-6 sogar fest, dass kein einzelnes Format das richtige ist. In der Praxis haben sich trotzdem drei Blöcke bewährt.

1. Kopfdaten für die Dokumentenlenkung

Sie machen das Dokument eindeutig. Der EU-GMP-Leitfaden verlangt für Dokumente mit Anweisungen, dass befugte Personen sie freigeben, unterschreiben und datieren, dass sie eindeutig identifizierbar sind und ein festgelegtes Inkrafttreten haben. Für IT-SOPs heißt das:

• Titel und Kennung, zum Beispiel „SOP-IT-014 Austritt Beschäftigte“
• Version und Änderungshistorie
• Gültig ab und Termin der nächsten Überprüfung
• Verantwortliche Person (Owner) und freigebende Stelle
• Geltungsbereich: Systeme, Standorte, Rollen

2. Der eigentliche Ablauf

• Zweck: welches Ergebnis die SOP sichert
• Rollen: wer ausführt, wer prüft, wer informiert wird
• Voraussetzungen: Berechtigungen, Werkzeuge, benötigte Angaben
• Schritte: nummeriert, eine Handlung pro Schritt, jeweils mit erwartetem Ergebnis
• Abweichungen: Abbruchkriterien, Eskalation, Ansprechpersonen
• Mitgeltende Dokumente: andere SOPs, Richtlinien, Wissensartikel

3. Nachweis der Ausführung

Zum Schluss legt die SOP fest, was festgehalten wird: Zeitpunkt, ausführende Person, Ergebnis und Abweichungen. Das BSI fordert im Baustein OPS.1.1.2 für IT-Administrationstätigkeiten, dass mindestens erkennbar ist, welche Änderungen wann und durch wen erfolgten, auf welcher Grundlage und warum gegebenenfalls von Standards abgewichen wurde. Diese Dokumentation soll laut BSI bereits in den Standard-Arbeitsabläufen enthalten sein.

Format: Schrittliste, Gliederung oder Ablaufdiagramm

Für lineare Tätigkeiten genügt eine nummerierte Liste. Haben einzelne Schritte Unterschritte, hilft eine hierarchische Nummerierung (1, 1.1, 1.2). Enthält der Ablauf Entscheidungen, etwa „Gerät verschlüsselt: ja oder nein?“, macht ein Ablaufdiagramm die Verzweigungen sichtbar. Die EPA-Leitlinie empfiehlt Flussdiagramme ausdrücklich.

Sprachlich gilt: knapp, aktiv, im Präsens. „Konto im Verzeichnis deaktivieren“ ist besser als „Es ist darauf zu achten, dass das Konto deaktiviert wird“. Der Detailgrad richtet sich nach der Zielgruppe: Laut EPA soll eine Person mit Grundkenntnissen, aber wenig Erfahrung den Ablauf ohne Aufsicht korrekt ausführen können.

SOP, Prozess, Arbeitsanweisung, Checkliste und Runbook

Im Qualitätsmanagement und in der IT werden diese Begriffe oft vermischt. Ordnen lassen sie sich nach dem Detailgrad: Je konkreter ein Dokument eine einzelne Tätigkeit beschreibt, desto weiter unten steht es in der Hierarchie. ISO 9000 definiert ein Verfahren (englisch procedure) als festgelegte Art und Weise, eine Tätigkeit oder einen Prozess auszuführen. Die SOP ist die schriftliche, gelenkte Form eines solchen Verfahrens.

Die Grenze zwischen SOP und Arbeitsanweisung ist fließend. Viele Unternehmen nennen beides SOP. Wichtiger als der Name ist, dass jedes Dokument eine klare Ebene hat und auf die anderen verweist, statt deren Inhalt zu wiederholen.

Runbook und Playbook

Beide Begriffe stammen aus dem IT-Betrieb und werden nicht einheitlich verwendet. Meist beschreibt ein Runbook die Bedienschritte für ein bestimmtes System, ein Playbook dagegen die Reaktion auf eine Lage, etwa einen Sicherheitsvorfall, und verweist dafür auf mehrere Runbooks. Google beschreibt im Buch „Site Reliability Engineering“, dass im Voraus durchdachte und aufgeschriebene Vorgehensweisen in einem Playbook die mittlere Reparaturzeit (MTTR) nach eigener Erfahrung ungefähr um den Faktor drei verbessern, verglichen mit Improvisation.

SOP und Wissensartikel

Ein Wissensartikel hält Lösungswissen fest, oft auch für Anwender. Er ist in der Regel weniger streng gelenkt als eine SOP. Viele ITSM-Teams führen SOPs deshalb als eigene Artikelart in der Knowledge Base: mit Freigabe, Version und Prüfdatum, aber am selben Ort wie das übrige Wissen.

SOPs im IT Service Management

ITIL 4 führt die SOP nicht als eigene Practice. Standardisierte Verfahren stecken aber in mehreren Practices, und dort entscheiden sie darüber, ob Abläufe skalierbar sind.

Standard-Changes

ITIL 4 beschreibt Standard-Changes als risikoarme, vorab autorisierte Changes, die gut verstanden und vollständig dokumentiert sind und ohne weitere Genehmigung umgesetzt werden können. Wird das Verfahren für einen Standard-Change erstellt oder geändert, braucht es eine vollständige Risikobewertung und Autorisierung wie jeder andere Change. Genehmigt wird also die SOP, nicht jede einzelne Ausführung. Mehr dazu unter Change Management und Change Advisory Board (CAB).

Service Requests

Anfragen wie ein neuer Monitor, der Zugriff auf ein Gruppenlaufwerk oder ein Gastzugang folgen festen Abläufen. Für jede Anfrageart legt eine SOP fest, wer genehmigt, wer liefert und wann die Anfrage als erfüllt gilt. Im Anforderungsmanagement ist das die Grundlage für einen belastbaren Servicekatalog.

Incident-Runbooks

Für wiederkehrende Störungsbilder, etwa eine hängende Druckwarteschlange oder ein abgelaufenes Zertifikat, verkürzen Runbooks die Wiederherstellung. Sie helfen vor allem in Bereitschaftszeiten, wenn die Fachperson für das System nicht erreichbar ist. Hintergrund dazu bietet der Artikel ITIL Incident Management.

Eintritt, Wechsel und Austritt

Kaum ein Ablauf hat so viele Beteiligte wie das On- und Offboarding: Personalabteilung, IT, Facility Management und Führungskraft. Fehlt die SOP, bleiben Konten nach dem Austritt aktiv oder Rechte wachsen bei jedem Abteilungswechsel weiter an. Wie das mit dem Verzeichnisdienst zusammenhängt, beschreibt der Glossarartikel Active Directory.

Beispiel: Aus der SOP wird ein Workflow

Angenommen, ein Dienstleistungsunternehmen mit 800 Beschäftigten an vier Standorten führt die SOP „Austritt Beschäftigte“ mit zwölf Schritten als PDF. Im Alltag werden Schritte übersprungen, weil niemand die aktuelle Fassung zur Hand hat. Überführt das IT-Team die SOP in einen Workflow, erzeugt die Austrittsmeldung der Personalabteilung automatisch Aufgaben für die IT (Konto sperren, Lizenzen entziehen), das Facility Management (Zutrittskarte) und die Führungskraft (Geräterückgabe). Jede Aufgabe hat eine zuständige Rolle und ein Fälligkeitsdatum. Abgeschlossen ist der Vorgang erst, wenn alle Aufgaben erledigt sind. Die SOP bleibt als Referenz bestehen und beschreibt nun vor allem Ausnahmen und Prüfschritte.

Was ky2help^® dafür bereitstellt

Laut Funktionsumfang bildet der BPMN-2.0-Prozessdesigner von ky2help^® beliebige Workflows ab. Anpassungen erfolgen per Drag-and-Drop, ohne Programmierung. Hinzu kommen Vorlagen für wiederkehrende Anfragen, die Automatisierung von Routineaufgaben, prozessgeführte Ticketbearbeitung und eine automatische Historisierung. Für die SOP-Dokumente selbst steht eine zentrale Wissensdatenbank mit Aktualitäts-Prüfungen und einem Workflow zur Qualitätssicherung bereit.

Automatisierung ansehen

SOPs erstellen und aktuell halten

In sieben Schritten zur ersten SOP

1. Kandidaten auswählen: Häufige, fehleranfällige oder sicherheitsrelevante Abläufe zuerst. Die Tickethistorie zeigt, welche Anfragearten am häufigsten vorkommen.
2. Mit den Ausführenden schreiben: Die EPA empfiehlt, SOPs von Fachleuten verfassen zu lassen, die die Arbeit selbst erledigen. Das erhöht auch die Akzeptanz.
3. Den tatsächlichen Ablauf erfassen: Einmal mitlaufen und mitschreiben, statt den Soll-Ablauf am Schreibtisch zu entwerfen.
4. Schritte formulieren: Eine Handlung pro Schritt, erwartetes Ergebnis, Prüfpunkt. Hintergrundwissen gehört in einen verlinkten Wissensartikel.
5. Testen lassen: Eine andere Person als der Autor führt den Entwurf aus. Unklare Stellen fallen dabei sofort auf.
6. Freigeben und veröffentlichen: Version und Gültigkeitsdatum setzen, an genau einem Ort ablegen, ältere Fassungen zurückziehen.
7. Schulen und Überprüfung planen: Das BSI verlangt in OPS.1.1.1, Betriebshandbücher regelmäßig und anlassbezogen zu prüfen. Die EPA nennt als Beispiel einen Rhythmus von ein bis zwei Jahren.

Typische Fehler

• Handbuch statt Anleitung: Die SOP wächst auf 20 Seiten und wird nicht mehr gelesen. Abhilfe: Hintergrund auslagern, Schritte kurz halten.
• Parallele Fassungen: Kopien auf Laufwerken, in E-Mails und ausgedruckt am Arbeitsplatz. Der GMP-Leitfaden fordert, dass beim Vervielfältigen von Arbeitsdokumenten keine Fehler entstehen. Am sichersten sind Links auf eine einzige Quelle.
• Keine Ausnahmen beschrieben: Das BSI fordert im Baustein OPS.1.1.1 einen Prozess für Situationen außerhalb der regulären Abläufe, mindestens mit Fallback-Prozessen.
• Kein Owner: Ohne verantwortliche Person bleibt das Prüfdatum folgenlos.
• Keine Spur der Ausführung: Wenn nicht festgehalten wird, dass und wie die SOP befolgt wurde, lässt sich ihre Wirkung weder belegen noch verbessern.

Woran sich gute SOPs messen lassen

Geeignet sind zum Beispiel drei Messgrößen: der Anteil der SOPs mit überschrittenem Prüfdatum, die Zahl der Abweichungen je Ausführung und die Wiederöffnungsquote bei Tickets, die nach einer SOP bearbeitet wurden. Wie sich solche Werte zu belastbaren KPIs entwickeln lassen und wie sie in die kontinuierliche Verbesserung einfließen, zeigen die verlinkten Glossarartikel.

Häufige Fragen zu SOPs

Was ist eine SOP?

Eine Standard Operating Procedure (SOP) ist eine freigegebene, schriftliche Anleitung für einen wiederkehrenden Ablauf. Sie legt Schritte, Zuständigkeiten, Voraussetzungen und Prüfpunkte fest, damit die Aufgabe unabhängig von der ausführenden Person einheitlich und korrekt erledigt wird.

Was ist der Unterschied zwischen SOP und Arbeitsanweisung?

Eine SOP regelt einen Ablauf mit mehreren Schritten und oft mehreren Rollen. Eine Arbeitsanweisung beschreibt eine einzelne Tätigkeit an einem System oder Arbeitsplatz im Detail. In vielen Unternehmen ist die Grenze fließend, und beide Dokumentarten heißen SOP.

Was gehört in eine SOP-Vorlage?

Kennung, Titel, Version, Gültigkeitsdatum, verantwortliche Person und Freigabe, dazu Zweck, Geltungsbereich, Rollen, Voraussetzungen, nummerierte Schritte mit erwartetem Ergebnis, Regeln für Abweichungen, mitgeltende Dokumente und die Angabe, was als Nachweis festgehalten wird.

Wie oft sollte eine SOP überprüft werden?

Bei jeder Änderung des Ablaufs, der Werkzeuge oder der Zuständigkeiten sofort, zusätzlich in einem festen Rhythmus. Die EPA nennt als Beispiel ein bis zwei Jahre. In regulierten Umgebungen legt das Qualitätsmanagement den Rhythmus verbindlich fest.

Was hat eine SOP mit einem Standard-Change zu tun?

Ein Standard-Change nach ITIL 4 ist vorab autorisiert und vollständig dokumentiert. Die SOP ist dieses dokumentierte Verfahren: Sie wird einmal bewertet und freigegeben, danach kann der Change ohne erneute Genehmigung nach der SOP umgesetzt werden.

Wie unterstützt ky2help® die Arbeit mit SOPs?

Mit dem BPMN-2.0-Prozessdesigner lassen sich Abläufe als Workflow abbilden und per Drag-and-Drop anpassen. Vorlagen für wiederkehrende Anfragen, prozessgeführte Ticketbearbeitung, automatische Historisierung und eine zentrale Wissensdatenbank kommen hinzu. In einer Live-Demo zeigen wir das an einem Beispiel.

Quellen und weiterführende Artikel

Quellen

• Europäische Kommission: EudraLex Band 4, EU-GMP-Leitfaden Teil I, Kapitel 4 Documentation (PDF)
• US Environmental Protection Agency: Guidance for Preparing Standard Operating Procedures (EPA QA/G-6)
• BSI: IT-Grundschutz-Kompendium, Bausteine OPS.1.1.1 Allgemeiner IT-Betrieb und OPS.1.1.2 Ordnungsgemäße IT-Administration (Edition 2023, PDF)
• PeopleCert: ITIL 4 Foundation
• Google: Site Reliability Engineering, Kapitel Introduction

Weiterlesen im Glossar und in der Wissenswelt

• Workflow und Automatisierung von Routineaufgaben
• Change Management und Change Advisory Board (CAB)
• Knowledge Base im ITSM und ITIL Anforderungsmanagement
• KPI und CSI (Continual Service Improvement)