Welcher externe Dienst trägt Ihren wichtigsten Ablauf?

So oder ähnlich höre ich die Sorge: „Unsere IT sagt, wir müssten genauer hinschauen. Aber was genau, kann mir gerade niemand verständlich erklären.“ Vor einer Entscheidung für Cloud, ERP oder Automatisierung ist das ein unangenehmer Satz. Externe Dienste sind längst Teil des Alltags, doch ihr Anteil an einem wichtigen Ablauf bleibt leicht unsichtbar. Die Arbeit soll weiterlaufen. Der Betrieb soll nicht wegen einer zusätzlichen Liste oder eines weiteren Termins schwerer werden.

Auch der Admin oder IT-Dienstleister hat gute Gründe. Er kennt die technischen Dienste, hält Systeme am Laufen und soll helfen, wenn etwas klemmt. Die Geschäftsführung will, dass Kunden, Aufträge und Mitarbeitende nicht warten. Beide Seiten wollen Entlastung. Gerade deshalb bleibt eine Frage leicht zwischen ihnen liegen: Welcher externe Dienst trägt welchen wichtigen Ablauf, und wer entscheidet, welche Folge der Betrieb bei einem Ausfall tragen kann?

Externe Dienste vor der nächsten Werkzeugentscheidung

ENISA veröffentlichte am 22. September 2026 die „ENISA Threat Landscape 2026“. Für diese Ausgabe analysierte die Agentur Ereignisse und Vorfälle, die im Jahr 2025 beobachtet wurden. In ihrer Pressemitteilung schreibt ENISA, dass Cyber-Abhängigkeiten die Angriffsfläche vergrößern. Sie nennt auch das Anvisieren solcher Abhängigkeiten, einschließlich Lieferketten- und Drittangriffen, als beobachtetes Muster.

Das ist kein Befund über Ihren Betrieb. Es sagt auch nichts darüber aus, ob ein bestimmter Cloud-Dienst oder Dienstleister unsicher ist. Der Anlass zeigt eine andere, betriebliche Frage: Abhängigkeiten gehören zum Bild, bevor über den nächsten Dienst entschieden wird. Wer nur auf Funktionen, Vertrag oder Preis schaut, sieht womöglich noch nicht, welche Arbeit im Haus an einem Dienst hängt.

Ein externer Dienst kann sinnvoll sein und Arbeit zuverlässig unterstützen. Seine technische Betreuung gehört in fachkundige Hände. Welche Arbeit ohne ihn stehen bleibt und welche Folge der Betrieb akzeptiert, kann jedoch kein Außenstehender für die Leitung entscheiden. Dafür braucht es die Sicht der Menschen, die den Ablauf verantworten und täglich damit arbeiten.

Der erste Blick gilt einem Ablauf, dessen Unterbrechung für Kunden oder die Zusammenarbeit sofort spürbar wäre. Vielleicht hängt daran ein Programm beim Dienstleister. Vielleicht ist es ein Cloud-Speicher oder eine Verbindung zwischen zwei Werkzeugen. Welche Dienste dort vorhanden sind, ist zunächst eine technische Frage. Welche Arbeit dadurch berührt wird, ist eine betriebliche Frage. Beides gehört zusammen, damit aus einer Entscheidung über Technik keine offene Verantwortung wird.

Sie müssen dafür keine vollständige Landkarte der IT erstellen. Wählen Sie den Ablauf aus, bei dem die Folgen am ehesten verständlich werden. Das kann der Weg vom Auftrag bis zur Rechnung sein oder die Bearbeitung einer Kundenanfrage. Wichtig ist, dass die fachliche Seite des Ablaufs und die technische Ergänzung im selben Gespräch sichtbar werden.

Wenn Verantwortung zwischen Beteiligten liegen bleibt

Der Satz „Dafür haben wir doch unseren IT-Dienstleister“ ist nachvollziehbar. Er drückt den Wunsch aus, Technik in guten Händen zu wissen und den Kopf für das eigene Geschäft frei zu haben. Ein guter Dienstleister betreut Systeme, macht Risiken sichtbar und setzt technische Maßnahmen um.

Schwierig wird es, wenn damit zugleich die betriebliche Entscheidung abgegeben scheint. Ein Dienstleister kann technisch erklären, welche Dienste vorhanden sind und was bei einem Ausfall betroffen sein könnte. Er kann nicht allein festlegen, welcher Teil Ihres Betriebs pausieren darf, welche Auswirkung Sie akzeptieren oder wer im Haus die Abwägung bestätigt. Bleibt das offen, wartet die Entscheidung zwischen Geschäftsführung, Fachbereich und Technik.

Wie ich das sehe: Technik kann Verantwortung unterstützen. Sie kann sie nicht übernehmen. Vor einem weiteren Werkzeug hilft deshalb zuerst ein gemeinsames Bild des Ablaufs. Welche Aufgabe ermöglicht er? Welche Personen und externen Dienste tragen ihn? Erst auf dieser Grundlage wird aus einer diffusen Sorge eine konkrete Entscheidung, die jemand im Betrieb vertreten kann.

Einen Ablauf sichtbar machen

Nehmen Sie diese Woche einen Geschäftsprozess, der bei einem Ausfall nicht lange stehen darf. Die Geschäftsführung benennt dafür eine fachlich verantwortliche Rolle. Admin oder IT-Dienstleister ergänzt die technischen Dienste. In einem gemeinsamen Termin halten Sie fest, welche externen Dienste den Ablauf tragen, welche Arbeit ohne sie zunächst stehen bliebe und wer die fachliche Bedeutung bestätigt.

Diese Fragen sind eine Arbeitsgrundlage, keine vollständige Methode und keine Risikoanalyse:

• Welche Arbeit soll dieser Ablauf ermöglichen?
• Welcher externe Dienst oder Dienstleister ist dafür nötig?
• Was kann ohne ihn zunächst nicht weiterlaufen?
• Wer bestätigt die fachliche Bedeutung?
• Wer ergänzt die technische Sicht?

Das Ergebnis muss keine lange Dokumentation sein. Es genügt, wenn ein Ablauf, die beteiligten Dienste und die verantwortlichen Rollen auf einer Seite zusammenkommen. Dann wird vor der nächsten Technologieentscheidung sichtbar, worüber Sie tatsächlich entscheiden.

Wenn diese Übersetzung zwischen Geschäftsführung und Technik bei Ihnen noch fehlt, kann ich in einem Erstgespräch helfen, die Frage zu sortieren. Der Ausgangspunkt bleibt ein Ablauf, der für Ihren Betrieb wichtig ist, nicht eine weitere Werkzeugliste.

Quellen

• ENISA-F01, ENISA-F02: European Union Agency for Cybersecurity (ENISA), „ENISA Threat Landscape 2026“, 22.09.2026, abgerufen 14.10.2026.
• ENISA-F03, ENISA-F04: European Union Agency for Cybersecurity (ENISA), „Exploring the evolution of the cyber threat landscape: How dependencies weaken our digital resilience“, 22.09.2026, abgerufen 14.10.2026.
• enisa.europa.eu
• enisa.europa.eu

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.