Kategorie: Beratung & Sparring

Stellen Sie sich eine anstehende Werkzeugentscheidung vor: Drei Angebote liegen vor, der gewünschte Starttermin steht bereits im Kalender. Noch fehlt eine Zeile in der Vorlage. Sie beschreibt, was im Betrieb bis zu einem späteren Entscheidungszeitpunkt unverändert weiterläuft.

Das ist kein Plädoyer dafür, ein Vorhaben liegen zu lassen. Es macht eine Frage sichtbar, die zwischen Angeboten und Termin sonst offenbleiben kann: Woran wäre erkennbar, was der Betrieb mit dem Warten in Kauf nimmt?

Der Maßstab liegt nicht im Angebot

Für finanzwirksame Maßnahmen des Bundes verlangt § 7 Absatz 2 BHO angemessene Wirtschaftlichkeitsuntersuchungen. Die Arbeitsanleitung des Bundes beschreibt die Planungsphase als ergebnisoffenen Vergleich verschiedener Lösungsmöglichkeiten zur Zielerreichung. Sie nennt dabei relevante Lösungsmöglichkeiten, einen Zeitplan für die Umsetzung, Ergebnis und Entscheidungsvorschlag sowie Methoden für Erfolgskontrollen.

Das ist keine Vorgabe für private Betriebe. Die Arbeitsanleitung kann dennoch einen nützlichen Gedanken für die eigene Vorlage liefern: Eine Entscheidung wird klarer, wenn neben dem geplanten Weg auch seine Alternativen und Folgen sichtbar sind. Die AAWU nennt die Beibehaltung des Status quo als mögliche Zielerreichung, wenn dessen Erhalt selbst Handlungsbedarf auslöst. Daraus lässt sich für ein einzelnes Werkzeug keine Empfehlung zum Abwarten ableiten. Aber die Nulloption muss auch nicht unsichtbar bleiben.

Ruhe im Haus hat einen Grund

„Wir müssen jetzt nicht aus jedem neuen Tool gleich ein Großprojekt machen.“ Dieser Satz ist nachvollziehbar. Die Leitung will, dass Mitarbeitende arbeiten können und eine Einführung nicht mehr bindet, als sie trägt. Der Fachbereich sieht den Ablauf, der sich ändern soll. Admin oder IT-Dienstleister können beschreiben, was technisch möglich ist und welche Folgen eine Änderung nach sich zieht. Alle schauen auf einen wichtigen Teil der Lage.

Eine Entscheidung entsteht daraus noch nicht automatisch. Ein Angebot sagt, was geliefert werden kann. Es entscheidet nicht, ob der beschriebene Ablauf jetzt verändert werden soll, was ohne Veränderung weiterläuft und wann die Frage wieder vorgelegt wird. Wenn diese Punkte fehlen, wird weiter verglichen, terminiert und vorbereitet. Dann bleibt die Entscheidung über die Folgen des Wartens offen, obwohl für das Vorhaben bereits Arbeit geschieht.

Für die Beteiligten ist diese Trennung entlastend. Der Fachbereich muss nicht selbst über ein Angebot urteilen, das technische Details enthält. Der Dienstleister muss nicht entscheiden, welche Veränderung der Betrieb zu welchem Zeitpunkt tragen will. Die Geschäftsführung muss dafür auch kein technisches Projekt planen. Ihre Aufgabe ist enger: Sie sorgt dafür, dass die Vorlage eine Entscheidung ermöglicht, die alle Beteiligten nachvollziehen können.

Die Vorlage muss das Zögern tragen

Wie ich das sehe: Architektur beginnt vor der Toolwahl. Eine Entscheidungsvorlage hilft erst dann, wenn sie den geplanten Weg und den Verzicht auf sofortiges Handeln mit ihren jeweiligen Folgen beschreibt. So wird ein Starttermin nicht zum Ersatz für eine Richtung.

Aufschieben ist kein Wegducken, wenn eine verantwortliche Rolle, eine Frist und ein Prüfkriterium festhalten, wann die Frage zurückkehrt. Ohne diese drei Angaben kann der Betrieb nicht unterscheiden, ob er bewusst wartet oder ob die Entscheidung nur weitergeschoben wird. Das ist die Stelle, an der Tätigsein mit Lösen verwechselt werden kann: Angebote werden eingeholt und Termine reserviert, die Entscheidung über den Ablauf bleibt jedoch offen.

Wenn die Sicht von Geschäftsführung, Fachbereich und Technik an dieser Stelle noch nicht zusammenpasst, kann Strategisches Sparring helfen. Danach ist die anstehende Entscheidung so sortiert, dass Sie sie treffen und begründen können.

Eine Zeile, die wieder auf den Tisch kommt

Nehmen Sie für die nächste Werkzeug- oder Projektentscheidung die Vorlage selbst zur Hand. Die Geschäftsführung benennt eine Person, die sie verantwortet. Fachbereich und IT oder Dienstleister ergänzen neben den Angeboten eine Zeile: „vorerst nichts verändern“. Dort steht, welcher Ablauf bis zur erneuten Prüfung unverändert bleibt, welche erkennbare Folge damit verbunden ist, zu welchem Datum die Vorlage wieder vorliegt und welches beobachtbare Kriterium die erneute Entscheidung auslöst. Der Termin steht klar mit der Folgenbeschreibung und dem Prüfkriterium in derselben Vorlage für alle Beteiligten.

Für diese erste Arbeitsfassung genügen vier Fragen:

• Welchen Ablauf soll das Vorhaben verändern?
• Was bleibt bis zur erneuten Prüfung unverändert, und welche Folge ist daran erkennbar?
• Zu welchem Datum kommt die Vorlage wieder auf den Tisch?
• Welches beobachtbare Kriterium löst dann die erneute Entscheidung aus?

Der Schritt kostet ein kurzes Abstimmungsgespräch und die unbequeme Frage, welche Folge das Zögern hat. Er ersetzt keine Wirtschaftlichkeitsuntersuchung und keine vollständige Projektmethode. Danach liegt neben den Angeboten eine befristete, prüfbare Beschreibung des Abwartens. Die Beteiligten haben damit eine Vorlage, die sagt, was jetzt entschieden ist, was weiterläuft und wann die Frage zurückkehrt.

Wer vor einer KI-Entscheidung zunächst den betroffenen Ablauf klären will, findet in der KI-Inventur vor dem Pilotprojekt einen passenden weiteren Schritt. Für andere Werkzeug- und Projektentscheidungen bleibt die gleiche Betriebsfrage: Kann die verantwortliche Person an der Vorlage erkennen, was ein Start verändert und was ein Warten bis zum festgelegten Termin bedeutet?

Quellen

• Bundesministerium der Justiz und für Verbraucherschutz / Bundesamt für Justiz, „§ 7 BHO – Wirtschaftlichkeit und Sparsamkeit, Kosten- und Leistungsrechnung“, laufende Fassung, § 7 Abs. 2, abgerufen 19.10.2026 · https://www.gesetze-im-internet.de/bho/__7.html
• NULL-F02, NULL-F03, NULL-F04: Bundesministerium der Finanzen, „Arbeitsanleitung Einführung in Wirtschaftlichkeitsuntersuchungen (AAWU)“, Rundschreiben vom 13.01.2026, Fundstelle GMBl. 2026 Nr. 4/5 S. 58, Abschnitte A, B.IV.1 und Fußnote 1 zu Abschnitt A, abgerufen 19.10.2026 · https://www.verwaltungsvorschriften-im-internet.de/bsvwvbund_13012026_IIA3H100500150006005DOKCOO7005100213785493.htm
• gesetze-im-internet.de
• verwaltungsvorschriften-im-internet.de

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Die Police liegt auf dem Tisch. Damit scheint die nächste Aufgabe klar: Fragen beantworten, Unterlagen zusammensuchen, den Dienstleister einbeziehen.

„Die Versicherung fragt Dinge ab, die wir bisher nie sauber dokumentiert haben.“ Dieser Satz beschreibt den Druck gut. Sie wollen den Anlass ordentlich bearbeiten, ohne den Betrieb mit einer Grundsatzdebatte anzuhalten. Das ist nachvollziehbar. Nur bleibt dabei leicht offen, welche Frage bei Ihnen im Haus entschieden werden muss, bevor über eine Police gesprochen wird.

Der Gesamtverband der Deutschen Versicherungswirtschaft veröffentlichte am 18. September 2026 eine Mitteilung zur Cyberversicherung. Darin schreibt der GDV, Prävention und Versicherungsschutz erfüllten unterschiedliche, sich ergänzende Funktionen. Das ist eine Einordnung des Verbands, keine Aussage über einen konkreten Vertrag. Für den Betrieb macht sie dennoch einen Unterschied: Eine Police nimmt der Leitung die Frage nach Abläufen, Zuständigkeiten und Vorsorge nicht ab.

Das kann sich im ersten Moment nach zusätzlicher Arbeit anhören. Tatsächlich verhindert die Trennung, dass eine externe Frage alle anderen Entscheidungen verdeckt. Wer zuerst sichtbar macht, woran der Betrieb hängt, kann die Versicherungsfrage gezielter stellen. Zugleich bleibt klar, welche Punkte der Betrieb unabhängig davon sortieren muss.

Die sichtbare Aufgabe und die offene Entscheidung

Ein Fragebogen oder eine Versicherungsentscheidung bringt viele Einzelthemen gleichzeitig auf den Tisch. Der Admin oder IT-Dienstleister kennt die technische Ausgangslage und soll sagen, was vorhanden ist. Die Geschäftsführung möchte eine Entscheidung treffen, die Arbeit und Kundenbeziehungen nicht unnötig belastet. Beide Seiten verfolgen ein gutes Ziel: Der Betrieb soll verlässlich weiterarbeiten.

Schwierig wird es, wenn aus der technischen Beschreibung schon eine betriebliche Entscheidung werden soll. Der Dienstleister kann Systeme betreuen, Hinweise einordnen und technische Maßnahmen umsetzen. Er kann aber nicht allein festlegen, welcher Ablauf im Betrieb Vorrang hat, wer dafür intern entscheidet oder welche Vorsorgefrage offen bleibt. Das ist keine Kritik am Dienstleister. Es ist die Grenze zwischen technischer Zuständigkeit und Verantwortung im Unternehmen.

Auch für die Geschäftsführung ist diese Grenze hilfreich. Sie muss keine technischen Einzelheiten entscheiden, die der Dienstleister besser beurteilen kann. Ihre Aufgabe ist, die betriebliche Priorität zu benennen und eine Person zu bestimmen, die sie im Haus vertreten kann. Erst dann haben Technik und Führung denselben Auftrag vor sich.

Genau dort bleibt eine Aufgabe liegen, wenn niemand die Entscheidung trägt. Die Police kann diese Aufgabe nicht übernehmen. Sie beantwortet nicht, welcher Ablauf für Ihren Betrieb zuerst geklärt werden muss und wer seine Priorität festlegt.

Erst den Betrieb ansehen, dann die Fragen verteilen

Der ehrliche Einwand lautet: Unter Zeitdruck braucht es doch vor allem Antworten für die Versicherung. Das stimmt für den aktuellen Anlass. Antworten aus dem Betrieb lassen sich jedoch nur vertreten, wenn Zuständigkeiten und vorhandene Informationen zusammenpassen. Wer dafür nur den Fragebogen abarbeitet, kann am Ende zwar Felder gefüllt haben, aber die eigene Entscheidungslage bleibt unscharf.

Das gilt auch dann, wenn schon Schutzmaßnahmen vorhanden sind. Sie können wichtig sein. Für sich allein sagen sie noch nicht, welchem Ablauf sie dienen, wer seine Priorität festgelegt hat und welche Frage noch offen ist. Die Versicherungsentscheidung wird dadurch nicht kleiner. Sie bekommt nur eine belastbarere Grundlage aus dem eigenen Betrieb.

Wie ich das sehe: Technik kann Verantwortung unterstützen. Sie kann sie nicht übernehmen. Vor einer Versicherungsentscheidung würde ich deshalb nicht bei einzelnen technischen Maßnahmen beginnen. Ich würde einen Ablauf auswählen, dessen Unterbrechung den Betrieb zuerst trifft. Dann wird sichtbar, welche Information der Dienstleister liefern kann und was die Geschäftsführung selbst entscheiden muss.

Ein CyberRisikoCheck kann den Sicherheitsstatus sichtbar machen. Für die Reihenfolge reicht ein Befund allein aber nicht. Sie entsteht aus dem Betrieb: Was darf nicht ungeklärt bleiben, wer trägt die Entscheidung, und welche Information fehlt noch? Die grundsätzliche Seite dieser Führungsverantwortung habe ich in IT-Security ist Chefsache beschrieben.

Ein Termin mit vier klaren Spalten

Nehmen Sie für einen Termin den Ablauf, dessen Unterbrechung zuerst spürbar wäre. Die Geschäftsführung benennt dafür eine entscheidungsfähige Person. Admin oder IT-Dienstleister beschreibt die technische Ausgangslage. Halten Sie dann vier Dinge fest:

Prüfen Sie dabei vier Fragen:

• Welcher Ablauf trifft den Betrieb zuerst, wenn er unterbrochen ist?
• Wer entscheidet im Unternehmen über seine Priorität?
• Welche technische Information kann Admin oder Dienstleister dafür liefern?
• Welche Vorsorgefrage bleibt bestehen, auch wenn die Police noch nicht besprochen ist?

Das ist eine Arbeitsgrundlage, keine Versicherungs- oder Rechtsberatung und keine vollständige Risikomethode. Danach haben Sie eine Seite, auf der die betriebliche Entscheidung, die technische Zuständigkeit und die offene Frage getrennt stehen. Erst dann lässt sich sauber festlegen, welche Frage an Versicherer oder Dienstleister geht.

Sie müssen diesen Termin nicht mit fertigen Antworten beginnen. Es reicht, den einen Ablauf zu wählen und die Lücken offen auf den Tisch zu legen. So wird aus dem Druck, rasch eine Police zu besprechen, ein Gespräch, in dem Verantwortung nicht zwischen Leitung und Technik liegen bleibt.

Wenn diese Grenze bei Ihnen bisher verschwimmt, kann eine anstehende Entscheidung so sortiert werden, dass Sie sie treffen und begründen können. Dafür ist strategisches Sparring da: Ich helfe, die betriebliche Frage mit der technischen Sicht zusammenzubringen.

Quellen

• GDV-INS-F01, GDV-INS-F02: Gesamtverband der Deutschen Versicherungswirtschaft e. V., „Nur eins von 20 Unternehmen in Deutschland ist gegen Cyberangriffe versichert“, veröffentlicht 18.09.2026, abgerufen 18.10.2026.
• gdv.de

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Erreichbar bleiben, wenn Mail und Telefon ausfallen

Am 14. Oktober meldete die Stadt Eichstätt, dass die Server im Rathaus für die Spurensicherung abgeschaltet blieben. Für die Kernverwaltung war E-Mail nicht erreichbar, telefonisch ging nur wenig über eine Notfall-Hotline. Zugleich nannte die Stadt einen Info-Punkt im Rathaus.

Für einen Betrieb ist das kein Vergleichsfall. Es ist aber ein klarer Anlass für eine Frage, die leicht zu lange offen bleibt: Über welchen Weg erreichen Kunden und Lieferanten den Betrieb, wenn die normalen Kanäle nicht funktionieren, und wer gibt ihnen dann verlässliche Informationen?

Der Ablauf braucht einen Namen

Vielleicht liegt diese Frage gerade bei Ihrer IT oder beim Dienstleister. Das ist naheliegend. Dort sitzt das technische Wissen, dort wird im Ausfall geprüft, was wieder erreichbar ist. Der Betrieb soll weiterarbeiten, Kunden sollen eine Antwort bekommen und niemand möchte aus einer unklaren Lage vorschnell ein großes Projekt machen.

Genau darin liegt die Schwierigkeit. Ein Dienstleister kann die technischen Wege prüfen und umsetzen. Er kann aber nicht für das Unternehmen entscheiden, welche Kontaktgruppen zuerst eine Information brauchen, wer einen Text verbindlich freigibt oder welche Folgen ein Ausfall für den Ablauf haben darf. Bleibt das unbenannt, wartet die Erreichbarkeitsfrage zwischen Geschäftsführung, IT und Dienstleister.

Das ist keine Frage von Misstrauen. Der Dienstleister braucht eine klare betriebliche Vorgabe, um seine technische Aufgabe einzuordnen. Die Leitung braucht umgekehrt eine verständliche Rückmeldung dazu, ob der vorgesehene Weg tatsächlich erreichbar ist. Beide Seiten können erst dann gut handeln, wenn sie über denselben Ablauf sprechen.

Das Bundesamt für Sicherheit in der Informationstechnik nennt für die Notfallkommunikation die Planung interner Kommunikationswege sowie die Information von Geschäftspartnern und Kunden als Themen. Für die Vorsorge empfiehlt es ein Spektrum von Kommunikationsmöglichkeiten über Internet, Festnetz, Mobilfunk oder Satellit. Daraus folgt keine Pflicht, alles vorzuhalten. Es zeigt aber, dass der normale E-Mail-Weg nicht die ganze Entscheidung trägt.

Ein Anlass, keine Ferndiagnose

Eichstätt hat seine Lage am 14. Oktober sichtbar gemacht: abgeschaltete Rathaus-Server, eingeschränkte Erreichbarkeit der Kernverwaltung, eine Notfall-Hotline und ein Info-Punkt. Mehr lässt sich daraus für den einzelnen Betrieb nicht ableiten. Wie ein Ausfall entsteht oder welchen Weg ein anderes Unternehmen braucht, sagt der Fall nicht.

Gerade deshalb ist er als Anlass brauchbar. Er verschiebt den Blick weg von der Frage, welches System im Ernstfall zuerst wieder läuft. Zuerst muss klar sein, wer außerhalb des Betriebs Bescheid wissen muss, welcher Weg unabhängig von der üblichen E-Mail genutzt werden kann und wer dort sprechen darf.

Eine Hotline, ein Info-Punkt oder ein anderer Weg sind dabei keine Vorlage zum Kopieren. Die Stadt Eichstätt hat diese Anlaufstellen für ihre eigene Lage genannt. Im eigenen Betrieb geht es um einen Weg, den die betroffenen Menschen kennen können und den die verantwortliche Person im Ausfall nutzen kann. Diese Entscheidung lässt sich nicht an ein Werkzeug oder an einen Vertrag delegieren.

Wie ich das sehe: Technik unterstützt diese Vorbereitung, sie übernimmt die Entscheidung nicht. Geschäftsführung und Dienstleister haben unterschiedliche Aufgaben, die zusammengehören. Die Leitung muss den Ablauf und die Person benennen, die im Ausfall eine betriebliche Entscheidung trägt. IT oder Dienstleister kann dann prüfen, ob die vorgesehenen Wege technisch erreichbar sind. So entsteht ein gemeinsames Bild, bevor Zeitdruck die Abstimmung ersetzt.

Wer bereits einen wichtigen Ablauf mit einem externen Dienst abklärt, findet in Externe Dienste: wichtigen Ablauf sichtbar machen eine passende Vorarbeit. Hier geht es um die nächste, engere Frage: Was sagen Sie den Menschen, die Ihren Betrieb erreichen müssen, wenn die üblichen Kanäle still sind?

Eine Seite für die Erreichbarkeit

Nehmen Sie sich für diese Woche einen wichtigen Ablauf vor, bei dem Kunden oder Lieferanten auf eine Rückmeldung angewiesen sind. Thema ist die Erreichbarkeit und Information im Ausfall. Bereich sind genau diese Kontakte. Die Geschäftsführung benennt intern eine Person, die entscheiden darf. IT oder Dienstleister prüft die vorgesehenen Wege.

Halten Sie in einem Termin auf einer Seite fest, wer informiert wird, wer die Information verantwortet, über welchen von der normalen E-Mail unabhängigen Weg sie kommt und wer diesen Weg einmal prüft. Das ist kein vollständiger Notfallplan. Es ist eine Arbeitsgrundlage, mit der eine offene Zuständigkeit zu einer bearbeitbaren Entscheidung wird.

Prüffragen für diese Seite:

• Welche Gruppe muss bei diesem Ablauf zuerst erreicht werden?
• Welcher Weg steht bereit, wenn die normale E-Mail nicht funktioniert?
• Wer darf dort verbindlich informieren?
• Woran erkennen Betroffene eine echte Mitteilung?
• Wann prüft jemand diesen Weg einmal?

Danach fehlt noch keine Technik. Es fehlt nur weniger Klarheit. Wenn Leitung und Dienstleister diese fünf Fragen gemeinsam beantworten, kann der Dienstleister seine technische Aufgabe besser einordnen und der Betrieb weiß, wer nach außen spricht.

Wenn diese Grenze zwischen betrieblicher Entscheidung und technischer Prüfung bei Ihnen noch unscharf ist, kann ich als Übersetzer zwischen Geschäftsführung und Technik helfen, den Ablauf gemeinsam verständlich festzuhalten.

Quellen

• eichstaett.de
• bsi.bund.de

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Beitragsbild: KI-generiertes Bild.

So oder ähnlich höre ich die Sorge: „Unsere IT sagt, wir müssten genauer hinschauen. Aber was genau, kann mir gerade niemand verständlich erklären.“ Vor einer Entscheidung für Cloud, ERP oder Automatisierung ist das ein unangenehmer Satz. Externe Dienste sind längst Teil des Alltags, doch ihr Anteil an einem wichtigen Ablauf bleibt leicht unsichtbar. Die Arbeit soll weiterlaufen. Der Betrieb soll nicht wegen einer zusätzlichen Liste oder eines weiteren Termins schwerer werden.

Auch der Admin oder IT-Dienstleister hat gute Gründe. Er kennt die technischen Dienste, hält Systeme am Laufen und soll helfen, wenn etwas klemmt. Die Geschäftsführung will, dass Kunden, Aufträge und Mitarbeitende nicht warten. Beide Seiten wollen Entlastung. Gerade deshalb bleibt eine Frage leicht zwischen ihnen liegen: Welcher externe Dienst trägt welchen wichtigen Ablauf, und wer entscheidet, welche Folge der Betrieb bei einem Ausfall tragen kann?

Externe Dienste vor der nächsten Werkzeugentscheidung

ENISA veröffentlichte am 22. September 2026 die „ENISA Threat Landscape 2026“. Für diese Ausgabe analysierte die Agentur Ereignisse und Vorfälle, die im Jahr 2025 beobachtet wurden. In ihrer Pressemitteilung schreibt ENISA, dass Cyber-Abhängigkeiten die Angriffsfläche vergrößern. Sie nennt auch das Anvisieren solcher Abhängigkeiten, einschließlich Lieferketten- und Drittangriffen, als beobachtetes Muster.

Das ist kein Befund über Ihren Betrieb. Es sagt auch nichts darüber aus, ob ein bestimmter Cloud-Dienst oder Dienstleister unsicher ist. Der Anlass zeigt eine andere, betriebliche Frage: Abhängigkeiten gehören zum Bild, bevor über den nächsten Dienst entschieden wird. Wer nur auf Funktionen, Vertrag oder Preis schaut, sieht womöglich noch nicht, welche Arbeit im Haus an einem Dienst hängt.

Ein externer Dienst kann sinnvoll sein und Arbeit zuverlässig unterstützen. Seine technische Betreuung gehört in fachkundige Hände. Welche Arbeit ohne ihn stehen bleibt und welche Folge der Betrieb akzeptiert, kann jedoch kein Außenstehender für die Leitung entscheiden. Dafür braucht es die Sicht der Menschen, die den Ablauf verantworten und täglich damit arbeiten.

Der erste Blick gilt einem Ablauf, dessen Unterbrechung für Kunden oder die Zusammenarbeit sofort spürbar wäre. Vielleicht hängt daran ein Programm beim Dienstleister. Vielleicht ist es ein Cloud-Speicher oder eine Verbindung zwischen zwei Werkzeugen. Welche Dienste dort vorhanden sind, ist zunächst eine technische Frage. Welche Arbeit dadurch berührt wird, ist eine betriebliche Frage. Beides gehört zusammen, damit aus einer Entscheidung über Technik keine offene Verantwortung wird.

Sie müssen dafür keine vollständige Landkarte der IT erstellen. Wählen Sie den Ablauf aus, bei dem die Folgen am ehesten verständlich werden. Das kann der Weg vom Auftrag bis zur Rechnung sein oder die Bearbeitung einer Kundenanfrage. Wichtig ist, dass die fachliche Seite des Ablaufs und die technische Ergänzung im selben Gespräch sichtbar werden.

Wenn Verantwortung zwischen Beteiligten liegen bleibt

Der Satz „Dafür haben wir doch unseren IT-Dienstleister“ ist nachvollziehbar. Er drückt den Wunsch aus, Technik in guten Händen zu wissen und den Kopf für das eigene Geschäft frei zu haben. Ein guter Dienstleister betreut Systeme, macht Risiken sichtbar und setzt technische Maßnahmen um.

Schwierig wird es, wenn damit zugleich die betriebliche Entscheidung abgegeben scheint. Ein Dienstleister kann technisch erklären, welche Dienste vorhanden sind und was bei einem Ausfall betroffen sein könnte. Er kann nicht allein festlegen, welcher Teil Ihres Betriebs pausieren darf, welche Auswirkung Sie akzeptieren oder wer im Haus die Abwägung bestätigt. Bleibt das offen, wartet die Entscheidung zwischen Geschäftsführung, Fachbereich und Technik.

Wie ich das sehe: Technik kann Verantwortung unterstützen. Sie kann sie nicht übernehmen. Vor einem weiteren Werkzeug hilft deshalb zuerst ein gemeinsames Bild des Ablaufs. Welche Aufgabe ermöglicht er? Welche Personen und externen Dienste tragen ihn? Erst auf dieser Grundlage wird aus einer diffusen Sorge eine konkrete Entscheidung, die jemand im Betrieb vertreten kann.

Einen Ablauf sichtbar machen

Nehmen Sie diese Woche einen Geschäftsprozess, der bei einem Ausfall nicht lange stehen darf. Die Geschäftsführung benennt dafür eine fachlich verantwortliche Rolle. Admin oder IT-Dienstleister ergänzt die technischen Dienste. In einem gemeinsamen Termin halten Sie fest, welche externen Dienste den Ablauf tragen, welche Arbeit ohne sie zunächst stehen bliebe und wer die fachliche Bedeutung bestätigt.

Diese Fragen sind eine Arbeitsgrundlage, keine vollständige Methode und keine Risikoanalyse:

• Welche Arbeit soll dieser Ablauf ermöglichen?
• Welcher externe Dienst oder Dienstleister ist dafür nötig?
• Was kann ohne ihn zunächst nicht weiterlaufen?
• Wer bestätigt die fachliche Bedeutung?
• Wer ergänzt die technische Sicht?

Das Ergebnis muss keine lange Dokumentation sein. Es genügt, wenn ein Ablauf, die beteiligten Dienste und die verantwortlichen Rollen auf einer Seite zusammenkommen. Dann wird vor der nächsten Technologieentscheidung sichtbar, worüber Sie tatsächlich entscheiden.

Wenn diese Übersetzung zwischen Geschäftsführung und Technik bei Ihnen noch fehlt, kann ich in einem Erstgespräch helfen, die Frage zu sortieren. Der Ausgangspunkt bleibt ein Ablauf, der für Ihren Betrieb wichtig ist, nicht eine weitere Werkzeugliste.

Quellen

• ENISA-F01, ENISA-F02: European Union Agency for Cybersecurity (ENISA), „ENISA Threat Landscape 2026“, 22.09.2026, abgerufen 14.10.2026.
• ENISA-F03, ENISA-F04: European Union Agency for Cybersecurity (ENISA), „Exploring the evolution of the cyber threat landscape: How dependencies weaken our digital resilience“, 22.09.2026, abgerufen 14.10.2026.
• enisa.europa.eu
• enisa.europa.eu

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

So oder ähnlich höre ich den Gedanken: Wenn etwas kritisch wäre, hätte unser Dienstleister längst darauf hingewiesen.

Das ist verständlich. Wer einen externen IT-Dienstleister beauftragt, möchte, dass Systeme laufen und die eigene Aufmerksamkeit bei Kunden, Aufträgen und Mitarbeitenden bleibt. Eine Verlängerung von Wartung, Lizenz oder Vertrag soll diesen Betrieb absichern, nicht eine neue Führungsfrage aufmachen.

Auch der Dienstleister hat einen guten Grund, sich auf die technische Seite zu konzentrieren. Er kann Systeme betreuen, Hinweise des Herstellers einordnen und Maßnahmen umsetzen. Im Haus wiederum weiß jemand, welcher Ablauf an einem Gerät oder einer Fachsoftware hängt. Die Geschäftsführung muss entscheiden, ob dieser Ablauf weiterlaufen soll, wenn der Support endet. Diese drei Sichtweisen sind alle nötig.

Eine Information mit einer offenen Folge

Seit dem 11. September 2026 unterliegen Hersteller vernetzter Produkte nach Darstellung des BSI einer Meldepflicht für Schwachstellen und Vorfälle. Das BSI erläutert außerdem: Während des Supportzeitraums müssen Hersteller Security Updates für Endanwender bereitstellen und Schwachstellen bearbeiten. Das Ende dieses Zeitraums müssen sie klar angeben.

Damit liegt eine wichtige Information vor. Sie beantwortet aber noch nicht die betriebliche Folge. Ein kommuniziertes Supportende sagt nichts darüber, welcher Ablauf im eigenen Haus daran hängt, wer die Folgen einschätzt und wer eine Weiterbetriebs- oder Ablöseentscheidung trägt. Es kann ein Teil der Umgebung sein, der im Alltag wenig Aufmerksamkeit bekommt und trotzdem für einen konkreten Ablauf gebraucht wird. Deshalb gehört die Information nicht nur zum Hersteller oder in die Vertragsablage. Sie braucht einen Platz in der betrieblichen Entscheidung.

Genau hier wird aus einer Produktinformation eine Führungsfrage. Die Frage lautet: Wer entscheidet im Betrieb über die Folge des Supportendes? Der Dienstleister kann den technischen Stand erklären. Die Entscheidung, ob ein betrieblicher Ablauf mit diesem Produkt weiterlaufen darf oder ob eine Ablösung vorbereitet werden muss, braucht eine benannte Rolle im Unternehmen.

Wie ich das sehe: Technik kann Verantwortung unterstützen. Sie kann sie nicht übernehmen. Eine Supportzusage ist wertvoll, weil sie eine Frage sichtbar macht. Sie ersetzt nicht die Entscheidung darüber, was der Betrieb mit ihrem Ende macht.

Die Produktliste wird erst mit einer Entscheidung nützlich

Eine Liste von Geräten, Lizenzen und Verträgen kann umfangreich werden. Steuerbar wird sie erst, wenn an einer Stelle klar ist: Welcher Bereich hängt daran, wer trägt die Entscheidung und was ist als Nächstes zu klären? Ohne diese Zuordnung bleibt das Supportende eine Information im Vertrag oder im Ticket. Die offene Entscheidung wartet dann zwischen Geschäftsführung, Fachbereich und Dienstleister.

Nehmen Sie deshalb nicht alle Produkte auf einmal vor. Wählen Sie ein System oder Gerät, dessen Vertrag, Lizenz oder Wartung als Nächstes ansteht. Bitten Sie den Dienstleister, auf einer Seite Hersteller, kommuniziertes Supportende und die betroffene Betriebsfunktion zusammenzustellen. Die Geschäftsführung benennt anschließend die Rolle, die die Weiterbetriebs- oder Ablöseentscheidung trägt.

Das ist noch keine Entscheidung für ein neues Produkt. Es macht die nächste offene Entscheidung sichtbar, bevor sie unter Zeitdruck getroffen werden muss. Gerade bei einer Verlängerung lässt sich so besprechen, welche Information noch fehlt und wer sie einholt. Wenn diese Frage zwischen Geschäftsführung und Technik bei Ihnen noch unscharf ist, kann ich als Übersetzer helfen, die Aufgaben auf beiden Seiten verständlich festzuhalten.

Quellen

• Bundesamt für Sicherheit in der Informationstechnik, „Cyber Resilience Act“, Informationsseite, abgerufen 2026-10-04. https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html
• bsi.bund.de

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Beitragsbild: KI-generiertes Bild.

Wenn der Ist-Stand schon eine Richtung vorgibt

Der bestehende IT-Dienstleister beschreibt den Ist-Stand und empfiehlt zugleich eine Richtung. Das ist nachvollziehbar, weil er Systeme, Abläufe und Risiken kennt. Vor einer weitreichenden Veränderung braucht die Entscheidung trotzdem einen zweiten Blick auf die Fragen, die in dieser Beschreibung gar nicht gestellt wurden.

Eine Bestandsaufnahme wählt ihren Ausschnitt

Ein Stadtplan kann sauber gezeichnet sein und trotzdem nur die Straßen zeigen, die bisher genutzt wurden. So wirkt auch eine IT-Bestandsaufnahme: Sie sammelt Informationen über Anwendungen, Zuständigkeiten und Abhängigkeiten. Mit jeder Frage legt sie fest, was später als Problem sichtbar wird.

Das ist kein Vorwurf an den Dienstleister. Wer ein Unternehmen über Jahre betreut, kennt seine gewachsenen Strukturen. Dieses Wissen ist wertvoll. Es lenkt den Blick aber naturgemäß auf das, was bereits vorhanden ist. Wege außerhalb dieses Ausschnitts tauchen im Gespräch leichter gar nicht auf.

Vertrautheit prägt die Empfehlung

Vor einer Cloud-Migration kann die Bestandsaufnahme präzise zeigen, welche Server vorhanden sind, welche Anwendungen davon abhängen und welche Schnittstellen gepflegt werden müssen. Damit sind wichtige technische Fragen geklärt.

Die Geschäftsführung muss zusätzlich klären, welche Arbeitsweise nach der Veränderung möglich sein soll. Wird nur der heutige Aufbau vermessen, bleibt die neue Lösung leicht an alte Annahmen gebunden. Eine neue Plattform kann dann entstehen, ohne dass die eigentliche Arbeitsweise besser passt.

Das Muster gilt auch für ein Sicherheitsvorhaben oder den Einsatz von KI. Ein Dienstleister kann Risiken fachlich einordnen und eine Umsetzung vorschlagen. Vor einer weitreichenden Entscheidung braucht es außerdem eine Prüfung des Rahmens, in dem diese Empfehlung entstanden ist.

Der Dienstleister bleibt Teil der Lösung

Der bestehende IT-Dienstleister liefert die Nähe zum laufenden Betrieb. Er weiß, welche Abhängigkeiten tatsächlich bestehen und wo eine Änderung Folgen auslöst. Diese Perspektive gehört in die Entscheidung.

Eine unabhängige Zweitmeinung übernimmt eine andere Aufgabe. Sie prüft die Kriterien, nach denen Optionen verglichen werden, und macht Annahmen sichtbar. So lässt sich eine technische Empfehlung einordnen, ohne die Erfahrung des Dienstleisters abzuwerten.

Gerade das entlastet beide Seiten. Die Geschäftsführung muss keine Loyalität beweisen, indem sie jede vorgeschlagene Richtung übernimmt. Der Dienstleister muss seine Betriebserfahrung nicht gegen eine fremde Grundsatzdiskussion verteidigen.

Die Fragen hinter der Lösung

In der Praxis kläre ich zuerst, was nach der Veränderung besser möglich sein soll. Welche Grenzen gibt es? Welche Risiken darf die Organisation nicht übernehmen? Welche Anforderungen ergeben sich aus dem Alltag der Menschen, die damit arbeiten?

Diese Klärung braucht Raum für einen offenen Blick. Eine zweite technische Inventur mit anderem Absender reicht dafür nicht. Hilfreich ist ein strategisches Sparring, das die Sichtweisen sortiert und die Entscheidungskriterien prüft. Auch die Arbeitsweise von Michael Höner Solutions beschreibt diesen Schritt als gemeinsames Klären vor der Lösung.

Bestand und Entscheidung sauber trennen

Der Bestand ist die Beschreibung. Die Entscheidung ist die Bewertung. Der Ist-Stand liefert die Ausgangslage. Das Ziel beschreibt, woran die Veränderung gemessen wird. Die Annahmen dazwischen zeigen, warum eine Option als passend gilt.

Wenn diese Ebenen vermischt werden, wirkt Vertrautheit wie Eignung. Wenn sie getrennt bleiben, kann die Geschäftsführung den bestehenden Dienstleister sinnvoll einbinden und trotzdem eigenständig urteilen.

Eine gute Entscheidung bestätigt den bisherigen Weg nicht automatisch. Sie erklärt, warum dieser Weg unter den gesetzten Bedingungen trägt. Diese Gründe bleiben auch dann verständlich, wenn sich Rahmenbedingungen ändern. Eine tragfähige Architektur beginnt mit einer Beschreibung, die ihren eigenen Blickwinkel kennt.

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur — ohne Produktprovisionen, ohne Implementierungsmandat.