Welche Abhängigkeit wirklich gefährlich ist

Kurz gesagt

Gefährlich ist nicht der wichtigste Dienst auf Ihrer Liste, sondern der, der Ihnen im Ernstfall eine Entscheidung nimmt. Das geschieht auf zwei Wegen: Ein Ausfall dauert länger, als Ihr Betrieb ohne den Dienst durchhält, oder eine Folge trifft Sie ganz ohne Ausfall, als Preis, als Datenabfluss, als Auskunft, die Sie nicht mehr geben können. Beides lässt sich ohne erfundene Zahlen prüfen, und heraus kommen drei Gruppen statt einer Punkterangliste. Für Ihr Unternehmen heißt das: Die kurze Liste folgt einem Maßstab, den Sie vorher festgelegt haben.

Warum Wichtigkeit der falsche Maßstab ist

Wer eine Liste digitaler Dienste zum ersten Mal vor sich hat, sortiert sie fast von selbst nach Bedeutung: oben die großen Systeme, die teuren Verträge, die Werkzeuge, die jeder im Haus benutzt. Diese Sortierung fühlt sich richtig an und beantwortet eine andere Frage als die, um die es geht.

Bedeutung sagt, wie sehr ein Dienst genutzt wird. Gefahr entsteht, wenn er ausfällt, sich verändert oder unbezahlbar wird und Sie keine Wahl mehr haben. Ein zentrales System, für das es einen erprobten Notbetrieb und einen Wechselweg gibt, ist in diesem Sinne weniger gefährlich als ein unscheinbarer Dienst, an dem eine Lieferung hängt und den niemand außer einer Person versteht.

Der Maßstab setzt deshalb nicht beim Dienst an, sondern bei dem, was geschieht, wenn er ausfällt oder sich ändert. Er übersetzt den Test aus dem Leitfaden, welche Entscheidung eine Abhängigkeit Ihnen nimmt, in Fragen, die sich für jeden Eintrag beantworten lassen. Was eine digitale Abhängigkeit grundsätzlich ist und warum sie nicht dasselbe ist wie Risiko, steht im Leitfaden Digitale Abhängigkeiten erkennen und gestalten. Hier geht es um die praktische Frage, wie Sie aus einer langen Liste die wenigen Einträge herausfinden, die Ihre Aufmerksamkeit verdienen.

Erster Weg: der Ausfall

Vier Fragen bestimmen, was ein Ausfall bedeutet. Jede hat einen eigenen Adressaten und eine eigene Antwortform. Beides ist Absicht: Ohne Zuständigkeit wird geraten, ohne feste Form diskutiert.

Was bricht weg?

Die Antwort ist ein Geschäftsvorgang, nicht ein System. „Wir können keine Angebote mehr verschicken" ist eine Antwort. „Das Mailsystem steht" ist keine, weil sie offen lässt, was daraus für das Geschäft folgt.

Beantworten sollte diese Frage der Fachbereich, der den Vorgang verantwortet. Die IT weiß, welches System an welchem anderen hängt, aber sie weiß nicht zuverlässig, welche Aufträge in der Woche des Ausfalls verloren gehen.

Halten Sie zu jeder Antwort zusätzlich fest, ob der Vorgang nach außen wirkt, also Kunden, Lieferanten, Behörden oder Banken erreicht, oder ob er nur intern stockt. Ein interner Vorgang, der einige Tage liegen bleibt, lässt sich unter Umständen nachholen. Ein Vorgang, der nach außen wirkt, erzeugt in derselben Zeit Folgen, die Sie nicht mehr zurückholen.

Ein Sonderfall verdient eine eigene Markierung: Dienste, von denen viele andere Einträge abhängen. Das Postfach, über das Kennwörter zurückgesetzt werden, der zentrale Anmeldedienst, die Domain mit ihren DNS-Einträgen. Für sich genommen hält keiner davon einen Geschäftsvorgang an, aber sie halten den Zugang zu allen anderen. Wer bei „Was bricht weg?" nur den direkten Vorgang notiert, bewertet solche Knotendienste zu niedrig.

Wie schnell merken wir es?

Drei Antworten genügen: sofort, innerhalb von Tagen, erst an den Folgen.

Ein Dienst, dessen Ausfall binnen Minuten jemandem auffällt, ist unangenehm, aber gut handhabbar, weil die Reaktion sofort beginnt. Gefährlich sind die Fälle, in denen der Dienst weiterläuft und trotzdem nicht mehr tut, was er soll: eine Schnittstelle, die seit Wochen nur einen Teil der Datensätze überträgt; eine Sicherung, die sich erfolgreich meldet und leer ist; ein KI-Dienst, dessen Ergebnisse nach einem Modellwechsel schlechter geworden sind, ohne dass jemand gegenprüft.

Diese Frage beantworten Fachbereich und IT gemeinsam. Fällt beiden keine Stelle ein, an der eine stille Fehlfunktion auffiele, lautet die Antwort „erst an den Folgen", auch wenn der Dienst bisher nie Probleme gemacht hat.

Wie lange halten wir ohne durch?

Gemeint ist, wie lange der Betrieb mit dem auskommt, was heute im Haus ist: ausgedruckte Listen, ein Zweitsystem, eine Kollegin, die den Vorgang noch von Hand kennt, eine Tabelle, die jemand für genau diesen Fall angelegt hat.

Die Antwortform ist eine Stufe auf derselben Skala, die auch für den Ersatz gilt: Tage, Wochen, Monate, länger als ein Jahr. Nur mit einer gemeinsamen Skala lassen sich Durchhalten und Ersetzen im nächsten Schritt vergleichen. Wer mehrere Monate durchhält, hat an dieser Stelle keine kritische Ausfallabhängigkeit.

Prüfen Sie jeden genannten Notbehelf mit zwei Nachfragen. Wer kann ihn, außer der Person, die ihn gerade beschreibt? Und steht irgendwo, wie er geht? Ein Notbehelf, der nur in einem Kopf existiert, zählt nur so lange, wie diese Person erreichbar ist. Im Raster gehört er deshalb in die Stufe darunter.

Was kostet der Ersatz, und wie lange dauert er?

Diese Frage beantwortet die IT, bei Fachanwendungen zusammen mit dem Fachbereich, der die Einführung eines Ersatzes tragen müsste. Die Antwort hat zwei Teile. Die Dauer, auf derselben Skala wie das Durchhalten: Tage, Wochen, Monate, länger als ein Jahr. Und die Kosten als grobe Stufe: aus dem laufenden Budget, mit eigener Freigabe, als Investitionsentscheidung.

Gemeint ist die Zeit bis zum arbeitsfähigen Ersatz, nicht bis zur Vertragsunterschrift beim nächsten Anbieter. Dazu gehören das Übertragen der Daten, das Einrichten von Berechtigungen und Schnittstellen und die Einarbeitung der Menschen, die damit arbeiten.

Genauer muss es an dieser Stelle nicht werden. Die Kostenstufe entscheidet nicht über die Gruppe, zeigt aber später, welche Maßnahme in Frage kommt. Ob ein Wechsel überhaupt möglich wäre, ist eine eigene Prüfung für die Einträge der ersten Gruppe; sie steht in Wechselmöglichkeit prüfen: Export, Weiterverwendung, Betrieb.

Zweiter Weg: Folgen ohne Ausfall

Manche Abhängigkeit wird gefährlich, ohne dass der Dienst je ausfällt. Er läuft weiter, und trotzdem haben Sie eine Entscheidung verloren. Drei Fragen decken diese Fälle ab, und jede lässt sich mit „tragbar" oder „nicht tragbar" beantworten.

Könnten wir eine Änderung von Preis oder Bedingungen tragen? Gemeint ist nicht, ob eine Preiserhöhung ärgerlich wäre, sondern ob Sie ihr ausweichen könnten. Die Antwort ergibt sich aus Angaben, die Sie schon haben: der Ersatzdauer aus dem ersten Weg und aus dem Vertrag der Zeit bis zum frühesten Ausstieg, den Vertragsende und Kündigungsfrist zusammen zulassen. Reicht diese Zeit nicht für den Ersatz, zahlen Sie jeden Preis, den der Anbieter festlegt, bis der Ersatz steht. Das beantwortet die Geschäftsführung, weil nur sie sagen kann, welcher Preis für das Unternehmen noch tragbar ist.

Was wäre, wenn die Daten in diesem Dienst abflössen? Gemeint sind Geschäftsgeheimnisse, Kalkulationen, Konstruktionsdaten, vertrauliche Kundenunterlagen und personenbezogene Daten. Ein selten genutzter Dienst, in dem die Unterlagen einer Unternehmensübernahme liegen, fällt im ersten Weg nicht auf, weil ohne ihn kein Vorgang stillsteht. Ein Abfluss seines Inhalts kann trotzdem mehr Schaden anrichten als ein Ausfall des Mailsystems. Diese Frage beantwortet der Fachbereich, der die Daten kennt; wer auf sie zugreifen kann, klärt anschließend die Prüfung der Anbieterangaben.

Können wir Auskunft geben, ohne den Anbieter zu fragen? Wenn Kunden, Prüfer oder Versicherer wissen wollen, wo bestimmte Daten liegen und wer darauf zugreifen kann, und Sie diese Auskunft nur mit Hilfe des Anbieters geben können, hängt eine Zusage gegenüber Dritten an seiner Bereitschaft zu antworten. Diese Frage beantwortet, wer im Haus solche Auskünfte gibt.

Dass ein Anbieter eine Funktion einstellt, gehört nicht hierher, sondern in den ersten Weg: Es wirkt wie ein Ausfall mit Ankündigung.

Aus den Antworten drei Gruppen

Die Antworten werden nicht verrechnet, sondern verglichen. Im ersten Weg ist der Kern ein einziger Vergleich: Hält der Betrieb länger durch, als der Ersatz dauert?

Ist die Antwort ja, gibt es für diesen Eintrag einen Weg durch den Ernstfall, auch wenn er mühsam wäre. Ist sie nein, entsteht eine Lücke, in der ein Vorgang steht und Sie nichts daran ändern können. Diese Lücke ist die Gefahr, und ihre Größe entscheidet über die Gruppe.

Erste Gruppe: Hier kann das Geschäft Schaden nehmen, den Sie nicht mehr abwenden können. Entweder bricht ein nach außen wirkender Vorgang weg, und der Ersatz dauert länger, als Sie durchhalten. Oder eine der drei Fragen des zweiten Wegs ist mit „nicht tragbar" beantwortet. Hierher gehören auch die Knotendienste, an denen der Zugang zu anderen Einträgen der ersten Gruppe hängt.

Zweite Gruppe: Es tut weh, ist aber überbrückbar. Die Durchhaltezeit reicht bis zum Ersatz, oder der Vorgang, der wegbricht, wirkt nur nach innen, und im zweiten Weg ist alles tragbar.

Dritte Gruppe: Es ist ärgerlich. Kein Geschäftsvorgang steht still oder der Betrieb kommt Monate ohne den Dienst aus, und keine Folge des zweiten Wegs ist nennenswert.

Die zweite Frage wirkt als Verschärfung. Ein Eintrag, dessen Ausfall oder Fehlfunktion Sie erst an den Folgen bemerken, rückt eine Gruppe nach oben. Der Grund ist einfach: Die Durchhaltezeit beginnt mit dem Ausfall, die Reaktion erst mit dem Bemerken. Was Sie spät merken, hat die Zeit, in der Sie hätten reagieren können, bereits aufgebraucht.

Die erste Gruppe sollte klein sein. Als Prüfschwelle hilft ein grober Anteil: Landet mehr als etwa ein Fünftel der Liste dort, prüfen Sie zuerst den Maßstab, bevor Sie dem Ergebnis glauben. Die naheliegenden Stellen sind die Durchhaltezeit und die Frage, was im zweiten Weg als „nicht tragbar" gilt. Gehen Sie die Einträge der ersten Gruppe noch einmal mit der Frage durch, was heute tatsächlich an Notbehelf im Haus ist.

Warum keine Punkte und keine Wahrscheinlichkeiten

Manche Bewertungsverfahren arbeiten mit Punktwerten: Bedeutung von eins bis fünf, Ausfallfolge von eins bis fünf, das Produkt ergibt eine Rangfolge. Das sieht genauer aus als drei Gruppen und ist es nicht. Warum ein Dienst eine Vier und keine Drei verdient, lässt sich kaum begründen, und aus Zahlen ohne Begründung entsteht durch Multiplizieren keine Genauigkeit. Schlimmer ist der zweite Effekt: Ein Durchschnitt über mehrere Kriterien glättet genau die eine Antwort weg, auf die es ankommt. Ein Dienst mit harmlosen Werten in drei Kriterien und einer untragbaren Lücke im vierten landet im Mittelfeld.

Aus demselben Grund fehlt die Eintrittswahrscheinlichkeit, die in klassischen Risikobewertungen neben dem Schaden steht. Für einen technischen Ausfall lässt sie sich manchmal aus Erfahrung schätzen. Für die Ereignisse, die bei digitalen Abhängigkeiten tatsächlich zählen, lässt sie sich nicht schätzen: dass ein Anbieter übernommen wird, sein Preismodell umstellt, eine Funktion einstellt oder sich aus einem Markt zurückzieht. Eine Zahl dafür wäre erfunden. Die Folgen dagegen können Sie beurteilen, und sie lassen sich zwei Sorten zuordnen: Entweder fällt etwas weg, weil der Anbieter übernommen wird, eine Funktion einstellt oder sich zurückzieht; das prüft der erste Weg. Oder Sie müssen etwas tragen, das Sie nicht gewählt haben, weil sich Preis oder Bedingungen ändern; das prüft der zweite. Deshalb fragt der Maßstab nach den Folgen und nicht nach der Wahrscheinlichkeit.

Das Bewertungsraster

Das Raster setzt die Liste aus der Bestandsaufnahme fort. Die sieben Spalten, mit denen die Erfassung arbeitet, stehen in Die eigenen digitalen Abhängigkeiten erfassen; hinzu kommen neun Spalten für die Bewertung.

Die Spalte „Woher wir es wissen" aus der Erfassung bleibt stehen und gilt jetzt auch für die Bewertung. Eine Durchhaltezeit, die jemand geschätzt hat, sieht im Raster genauso aus wie eine, die schon einmal erprobt wurde. Nur die Herkunftsangabe unterscheidet sie.

Wie der Bewertungstermin abläuft

Der Maßstab wird festgelegt, bevor der erste Eintrag bewertet wird, und er wird von der Geschäftsführung festgelegt. Das betrifft vor allem zwei Punkte, die im Termin sonst unbemerkt verhandelt werden: welche Vorgänge als nach außen wirkend gelten und ab welcher Durchhaltezeit ein Eintrag als unkritisch zählt. Beides hängt von Ihrem Geschäft ab, und beides sollte einmal aufgeschrieben werden.

Bewerten Sie dann spaltenweise, nicht zeilenweise. Gehen Sie zuerst für alle Einträge die Frage durch, was wegbricht, dann für alle die Frage, wann Sie es merken, und so weiter. Der Vorteil: Wer zeilenweise bewertet, bleibt beim ersten strittigen Eintrag hängen und verhandelt dort, ohne es zu merken, den Maßstab für alle folgenden. Spaltenweise vergleichen die Beteiligten bei jeder Frage alle Einträge miteinander, und Ausreißer fallen auf, bevor sie diskutiert werden. Strittige Einträge werden markiert und am Ende besprochen.

Zwei Muster, auf die Sie achten sollten

Der Dienst, der nie ausfällt und alles weiß. Ein Datenraum, ein Ablagedienst für Verträge, ein Werkzeug für die Budgetplanung: Sie werden selten benutzt, ihr Ausfall stört kaum, und im ersten Weg landen sie in der dritten Gruppe. Im zweiten Weg können sie nach oben gehören. Wer nur nach Ausfällen fragt, übersieht sie.

Der Notbehelf, der eine Person ist. Wenn bei mehreren Einträgen dieselbe Person als Notbehelf genannt wird, haben Sie keine mehrfache Absicherung, sondern eine einzige Abhängigkeit, die in keiner Spalte steht. Notieren Sie sie als eigenen Befund.

Was aus der Bewertung folgt und was nicht

Ein Eintrag in der ersten Gruppe ist kein Urteil über den Anbieter und kein Auftrag zum Wechsel. Er sagt nur, dass hier eine Lücke oder eine untragbare Folge besteht, die Sie kennen sollten, bevor sie Sie im Ernstfall trifft.

Für die Einträge der ersten Gruppe folgen zwei Prüfungen, und welche zuerst dran ist, hängt vom Weg ab, auf dem der Eintrag dorthin kam. Bei einem möglichen Datenabfluss und bei der Auskunftsfähigkeit ist es die Prüfung der Anbieterangaben: Was ist belegt, was nur behauptet? Welche vier Angaben Sie dafür brauchen und warum der Hinweis auf ein Rechenzentrum in Deutschland nur eine davon abdeckt, steht in Warum der Serverstandort die Frage nicht beantwortet. Bei einer Ausfalllücke und bei einem untragbaren Preis ist es die Frage, ob Sie den Anbieter verlassen könnten, wenn Sie wollten; wie ein Probeexport das zeigt, steht in Wechselmöglichkeit prüfen: Export, Weiterverwendung, Betrieb.

Mitunter verkleinert sich die Lücke schon, bevor über einen Wechsel nachgedacht wird: durch einen dokumentierten Notbehelf, eine zweite Person im Zugang, einen regelmäßigen Export. Solche Maßnahmen ändern nichts an der Abhängigkeit, aber sie verlängern die Durchhaltezeit, und damit verschiebt sich die Gruppe.

Häufige Fragen

Wie oft sollten wir neu bewerten?

Zweimal im Jahr mit demselben Maßstab, und zusätzlich, wenn sich an einem Eintrag der ersten oder zweiten Gruppe etwas ändert: eine Preisumstellung, eine Übernahme des Anbieters, ein neuer Geschäftsvorgang auf einem bestehenden Dienst oder der Weggang der Person, die als Notbehelf eingetragen ist.

Was tun wir, wenn Fachbereich und IT unterschiedlich antworten?

Tragen Sie die ungünstigere Antwort ein und vermerken Sie in der Herkunftsspalte, dass die Einschätzungen auseinandergehen. Die Abweichung ist selbst eine Information: Die IT kennt den Notbetrieb, der Fachbereich weiß, wie mühsam er im Tagesgeschäft wäre.

Gehört die Herkunft des Anbieters nicht in die Bewertung?

Nicht in diesen Maßstab. Ob ein Anbieter aus Deutschland, Europa oder den USA kommt, verändert weder die Ausfallfolgen noch die Frage, ob ein Datenabfluss tragbar wäre: Der Vorgang bricht gleich weg, die Daten sind gleich vertraulich. Die Herkunft gehört in die anschließende Prüfung der Anbieterangaben, als Teil der Frage, wem der Anbieter gehört und welchem Recht er unterliegt. Dort entscheidet sie mit darüber, wer auf Daten zugreifen kann, die Sie im zweiten Weg als heikel markiert haben.