Die eigenen digitalen Abhängigkeiten erfassen

Kurz gesagt

Eine Bestandsaufnahme stockt, sobald in derselben Sitzung erfasst und bewertet wird. Wer beides trennt, kann für eine brauchbare erste Liste einen halben Tag ansetzen und für eine belastbare zwei bis drei Wochen. Beginnen Sie nicht bei den Systemen, sondern bei den sechs bis zehn Geschäftsvorgängen, die Ihren Umsatz tragen. Für Ihr Unternehmen heißt das: Rechnen Sie mit wenigen Personentagen, und das Ergebnis ist die Grundlage für jede weitere Entscheidung in diesem Themenfeld.

Der Fehler, der diese Aufgabe groß macht

Eine Bestandsaufnahme zieht sich in die Länge, wenn in derselben Runde über jeden Eintrag diskutiert wird. Sobald beim dritten Posten die Frage aufkommt, ob der Dienst wirklich kritisch ist, ist die Sitzung keine Erhebung mehr, sondern eine Bewertung, und aus jeder Zeile wird eine Diskussion.

Deshalb gilt für die erste Runde eine einzige Regel: nur sammeln. Kein Urteil, keine Priorisierung, keine Diskussion über Sinn oder Unsinn eines Werkzeugs. Wer bewerten will, schreibt sich eine Notiz und hebt sie für den nächsten Schritt auf.

Der zweite Fehler ist der Einstieg über die Systemliste. Eine Liste, die aus der IT kommt, beschreibt Systeme. Die Frage, die später zu beantworten ist, lautet aber, welcher Geschäftsvorgang stillsteht. Vorgänge liegen quer zu Systemen: Ein Angebot braucht Kalkulation, Dokumentvorlage, Mailversand und Ablage, und diese vier stehen in keiner gemeinsamen Zeile.

Der Einstieg über Vorgänge

Beginnen Sie mit den sechs bis zehn Geschäftsvorgängen, von denen Umsatz und Lieferfähigkeit abhängen. Kandidaten dafür sind: Anfragen annehmen, kalkulieren, Angebote erstellen, Aufträge einplanen, leisten oder produzieren, liefern, fakturieren, Kundendienst leisten. Dazu die internen Vorgänge, deren Ausfall nach außen wirkt, etwa Lohnabrechnung und Zahlungsverkehr.

Für jeden dieser Vorgänge fragen Sie: Womit wird er heute gemacht? Nicht, womit er gemacht werden sollte, und nicht, was im Handbuch steht.

Dieser Einstieg hat drei Vorteile. Er ist für alle Beteiligten beantwortbar, weil jeder seinen eigenen Vorgang kennt. Er findet die Werkzeuge, die niemand für ein System hält. Und er liefert nebenbei die Information, die im nächsten Schritt gebraucht wird, nämlich welcher Vorgang an welchem Eintrag hängt.

Was in die Liste gehört

Der Zuschnitt ist weiter, als man zunächst erwartet. Neben den offensichtlichen Systemen gehören dazu:

• Bürosoftware und Zusammenarbeit, einschließlich der Ablage von Dateien und der Werkzeuge für gemeinsame Dokumente
• Kommunikation: Mail, Telefonie, Messenger, Videokonferenz
• Wissensablage: Wikis, Projekträume, Notizwerkzeuge, geteilte Laufwerke
• Infrastruktur nach außen: Website, Domains, Zertifikate, Mailversand, Erreichbarkeit
• KI-Dienste, und zwar die benutzten, nicht nur die eingekauften; was dabei an Wissen in diesen Diensten liegt, behandelt Den Kontext behalten: Wissen, Zugriff und Weiternutzung; welche Unterlagen eine rechtliche Klärung nach der KI-Verordnung braucht, beschreibt Die KI-Bestandsaufnahme: Unterlagen für die rechtliche Klärung
• Fachspezifische Werkzeuge, darunter womöglich die ältesten und am schwersten ersetzbaren

Fünf Kategorien fallen leicht durchs Raster, und gerade sie sind die interessanten.

Dienste, die in anderen Diensten stecken. Der Versanddienstleister für Systemmails, der Kartendienst auf der Website, der Zahlungsdienstleister im Shop, das Terminbuchungswerkzeug in der Signatur. Sie haben keinen eigenen Zugang und keine eigene Rechnung, und sie fallen trotzdem aus.

Dienste, die eine einzelne Person am Laufen hält. Zugang auf ihren Namen, Rechnung über ihre Kreditkarte, Einrichtung in ihrem Kopf. Das ist zugleich eine Abhängigkeit vom Dienst und eine von der Person.

Domains, Zertifikate und DNS. Sie kosten wenig, fallen jahrelang nicht auf und legen im Ernstfall die gesamte Außenwirkung still. Wer sie verwaltet und wo die Zugänge liegen, weiß in manchem Unternehmen niemand mehr genau.

Alles, was an einer Telefonnummer oder einer Mailadresse hängt. Zurücksetzen von Kennwörtern, Zwei-Faktor-Verfahren, Benachrichtigungen von Banken und Behörden. Wenn diese Adresse ein persönliches Postfach ist, ist das ein Eintrag.

Werkzeuge, die vor Jahren eingeführt und nie abgeschaltet wurden. Sie halten manchmal einen einzigen Vorgang, den niemand mehr erwähnt, und niemand weiß das, bis sie weg sind.

Welche Spalten die Liste braucht

Sieben Angaben je Eintrag genügen für den ersten Durchgang. Alles Weitere gehört in den Bewertungsschritt und macht die Erhebung nur langsamer.

Die letzte Spalte wirkt verzichtbar und ist die wertvollste. Eine Liste, in der Gewusstes und Angenommenes gleich aussehen, wird im nächsten Schritt falsch bewertet.

Was bewusst nicht in diese Tabelle gehört: Kritikalität, Risiko, Ersetzbarkeit, Wechselaufwand. Das ist der nächste Schritt, und die Vermischung ist genau der Fehler vom Anfang dieses Artikels.

Welche Unterlagen Ihnen Arbeit abnehmen

Vier Quellen im Haus liefern jeweils einen Teil der Liste, und keine liefert sie ganz.

Die Kreditorenliste und die Kreditkartenabrechnungen der letzten zwölf Monate. Das ist eine besonders ergiebige Einzelquelle, weil jeder bezahlte Dienst eine Rechnung erzeugt. Sie findet nicht die kostenlosen Dienste und nicht die, die in einem anderen Produkt enthalten sind.

Die Liste der Anmeldungen aus Ihrem zentralen Zugangsdienst, sofern es einen gibt. Sie findet genau die Dienste, die daran angeschlossen sind, und übersieht damit die selbst beschafften.

Das Verzeichnis von Verarbeitungstätigkeiten, sofern Sie eines führen. Es enthält unter anderem die Kategorien von Empfängern einschließlich solcher in Drittländern sowie gegebenenfalls die Übermittlungen an ein Drittland unter Angabe des betreffenden Landes. Damit deckt es einen Teil ab, den sonst niemand systematisch führt.

Zwei Einschränkungen dazu. Erstens bildet dieses Verzeichnis nur Verarbeitungen personenbezogener Daten ab. Ihre Konstruktionsdaten, Kalkulationen und Projektunterlagen kommen darin nicht vor, und das können die Bestände sein, deren Verlust wehtäte. Zweitens gibt es eine Ausnahme von der Verzeichnispflicht für Unternehmen mit weniger als 250 Mitarbeitern; sie ist an mehrere Bedingungen geknüpft und greift nur, wenn keine davon verfehlt wird. Ob sie auf Ihr Unternehmen zutrifft, sagt dieser Artikel nicht, siehe den rechtlichen Hinweis oben.

Die Menschen. Die vierte Quelle ist die einzige, die die selbst beschafften Werkzeuge findet, und sie ist deshalb nicht ersetzbar.

Wie Sie fragen, ohne eine Kontrolle auszulösen

Wer gefragt wird, welche Werkzeuge er benutzt, kann darin die Frage hören, ob er etwas benutzt, das er nicht dürfte. Das ist keine Empfindlichkeit, sondern eine naheliegende Deutung, und sie entscheidet über die Qualität Ihrer Liste: Eine Erhebung, die als Kontrolle gelesen wird, liefert gerade die Einträge nicht, auf die es ankommt, weil die selbst beschafften Dienste die interessanten sind. Das gilt besonders für KI-Dienste, die einzelne Mitarbeitende in ihre Arbeit eingebaut haben.

Drei Dinge helfen dagegen, und sie kosten nichts.

Sagen Sie den Zweck, und sagen Sie ihn zuerst. Der Zweck ist, zu wissen, worauf das Unternehmen angewiesen ist, damit ein Ausfall oder eine Preisänderung niemanden unvorbereitet trifft. Wer damit beginnt, macht es leichter, Hinweise zu geben statt sich zu rechtfertigen.

Sagen Sie ausdrücklich, was in dieser Runde nicht passiert. Wenn in diesem Schritt nichts abgeschaltet und niemandem etwas weggenommen wird, gehört dieser Satz an den Anfang. Wenn Sie das nicht zusagen können, sagen Sie auch das, aber sagen Sie es klar. Eine Zusage, die Sie später zurücknehmen, kann Sie die Mitarbeit beim nächsten Durchgang kosten.

Fragen Sie nach dem Nutzen, nicht nur nach dem Werkzeug. Die Frage „Was benutzen Sie?" liefert Namen. Die Frage „Was würde Ihnen fehlen, wenn es morgen weg wäre, und was täten Sie dann?" liefert zusätzlich die halbe Bewertung und nebenbei eine Liste der Notbehelfe, die im Haus schon existieren.

Ein Nebeneffekt dieser Gesprächsform kann in der Führungsarbeit mehr wert sein als die Liste selbst: Sie erfahren, wo Ihre Leute sich selbst geholfen haben, weil ein offizielles Werkzeug ihre Aufgabe nicht löste. Jeder selbst beschaffte Dienst ist auch eine Aussage über eine Lücke, die vorher niemand gemeldet hat.

Wann die Liste fertig genug ist

Nicht, wenn sie vollständig ist. Vollständig wird sie nie, weil ständig etwas dazukommt.

Fertig genug ist sie, wenn drei Bedingungen erfüllt sind. Jeder der sechs bis zehn Geschäftsvorgänge hat mindestens einen Eintrag. Zwei unabhängige Quellen, etwa Rechnungen und Befragung, liefern keine nennenswerten neuen Einträge mehr. Und jeder Eintrag hat eine ausgefüllte Spalte „Woher wir es wissen".

Zwei Auffälligkeiten sind ein Prüfsignal. Hat jeder Geschäftsvorgang nur einen einzigen Eintrag, fehlt vermutlich eine der Kategorien oben. Stehen für einen Dienst mehrere Zeilen, eine je Funktion, ist zu fein erfasst worden.

Legen Sie zum Abschluss fest, wann die Liste wieder angesehen wird, und wer einen neuen Eintrag meldet. Ohne diese beiden Angaben ist die Erhebung in einem Jahr wertlos, und der Aufwand fällt erneut an.

Was als Nächstes kommt

Aus der Liste wird im nächsten Schritt eine kurze Liste. Der Maßstab dafür, welcher Eintrag das Geschäft wirklich anhält, steht in Welche Abhängigkeit wirklich gefährlich ist.

Für die Einträge, die dabei oben landen, brauchen Sie mehr als den Namen des Anbieters. Welche vier Angaben das sind und warum die Auskunft „Rechenzentrum in Deutschland" davon nur einen Teil abdeckt, steht in Warum der Serverstandort die Frage nicht beantwortet.

Wie sich beides in den Gesamtablauf einfügt, steht im Leitfaden Digitale Abhängigkeiten erkennen und gestalten.

Häufige Fragen

Wer sollte bei der ersten Runde dabei sein?

Drei bis fünf Personen sind eine gute Größe, und sie sollten aus verschiedenen Ecken kommen: die IT-Leitung, jemand aus dem Vertrieb, jemand aus der Auftragsabwicklung oder Produktion, und die Geschäftsführung. Eine größere Runde wird langsamer, ohne dass die Liste dadurch vollständiger werden muss. Wichtiger als die Zahl ist, dass niemand dabei ist, dessen Anwesenheit die anderen daran hindert, ein selbst beschafftes Werkzeug zu nennen.

Brauchen wir dafür ein Werkzeug?

Nein, und ein Werkzeug schadet am Anfang eher. Eine Tabelle mit sieben Spalten reicht für die erste Runde und so lange, bis die Pflege der Liste zur Routine geworden ist. Eine Software für Anwendungsverwaltung lohnt erst, wenn die Liste gepflegt wird, und das ist eine Frage der Zuständigkeit, nicht des Werkzeugs. Wer mit der Softwareauswahl beginnt, riskiert, am Ende ein Werkzeug und keine Liste zu haben.

Was, wenn die IT sagt, sie habe die Liste schon?

Dann sehen Sie sie sich an und prüfen zwei Dinge: Steht dort neben jedem Eintrag ein Geschäftsvorgang, und stehen dort auch die Dienste, die ohne die IT beschafft wurden? Eine vorhandene Systemliste ist ein guter Ausgangspunkt, aber sie deckt nur ab, was die IT kennt. Was darin fehlt, macht später die Überraschungen.

Sollen wir die Liste den Mitarbeitenden zeigen?

Die Kategorien und den Zweck ja, die vollständige Liste mit Spalten wie Verantwortlichkeit und Vertrag eher nicht. Was die Mitarbeit fördern kann, ist die Rückmeldung: Wer ein Werkzeug genannt hat, sollte erfahren, was daraus geworden ist, auch wenn die Antwort lautet, dass zunächst nichts passiert. Wer ohne Rückmeldung bleibt, hat beim zweiten Mal weniger Grund mitzuwirken, und der zweite Durchgang ist der, bei dem sich der Aufwand auszahlt.