Antworten zu Schatten-IT, Notfallplänen, Backups, Dokumentation, Ausfall-Sicherheit und Mittelstand-IT.
Schatten-IT sind selbstgebaute Workarounds wie Excel-Tabellen mit dreißig Spalten, eigene Notion-Boards oder Access-Datenbanken, die parallel zur offiziellen Software laufen. Sie entsteht nicht aus Böswilligkeit, sondern weil offizielle Systeme die echten Bedürfnisse nicht abbilden. Problem: Wissen lebt in Tools, die niemand offiziell kennt, Compliance ist nicht nachvollziehbar, neue Mitarbeiter brauchen Wochen.
Eine wichtige Frage, die viele Mittelständler nie stellen. Wer hat den Quellcode? Wer kann ihn ändern? Sind alle Lizenzen sauber? Wer ist haftbar bei Datenverlust? Im Zweifel sind die Antworten unklar, und das wird teuer, sobald ein Dienstleister-Wechsel oder eine Übernahme ansteht. Die Klärung gehört in den Stamm-Akten, nicht in Mündlichkeit.
Was passiert, wenn der Server morgen früh nicht mehr startet? Wer wird wann alarmiert? Wie lange ist die Wiederherstellungszeit akzeptabel? Welche Backups gibt es und wann wurden sie zuletzt getestet? Welche externen Dienstleister kennen das System? Ein Notfallplan ist kein Word-Dokument auf einem unauffindbaren Laufwerk, sondern aktuell, getestet und bekannt.
Ein Backup, das niemand wiederhergestellt hat, ist im Ernstfall oft unbrauchbar. Defekte Backup-Dateien, vergessene Datenbanken, falsche Zugriffsrechte oder ein nicht mehr verfügbarer Wiederherstellungs-Prozess fallen erst auf, wenn es zu spät ist. Ein quartalsweiser Restore-Test auf einem Test-System ist der einzige Weg, sicher zu sein, dass das Backup funktioniert.
Keine Dokumentation ist keine Zeitersparnis, sondern ein aufgeschobenes Problem. Wenn ein Schlüsselmitarbeiter geht, beim nächsten Audit, beim Dienstleister-Wechsel oder bei einem Notfall fehlt das Wissen. Sinnvolle Doku muss nicht 200 Seiten haben. Eine knappe, aktuelle Architektur-Skizze und eine Liste der kritischen Systeme reicht oft, wenn sie tatsächlich gepflegt wird.
Sofort prüfen, welche Passwörter, Zertifikate, API-Schlüssel und Cloud-Zugänge er noch kennt oder besitzt. Welche Systeme nur er bedienen kann. Welche Verträge, Domains und Lizenzen auf seinen Namen laufen. Eine geplante Übergabe ist Pflicht, eine ungeplante macht aus einer Personalie ein Sicherheits-Risiko. Ein Passwort-Manager mit klaren Eigentumsverhältnissen reduziert das Risiko deutlich.
Selten wegen einzelner Probleme. Häufig wegen Strukturversagen: keine Ansprechpartner, keine Doku, intransparente Abrechnung, kein Engagement bei Verbesserungen. Wer wechselt, ohne den eigenen Anteil am Stillstand zu prüfen, hat oft nach zwei Jahren dieselben Probleme mit anderem Logo. Manchmal lohnt sich ein offenes Gespräch mehr als ein Wechsel.
Das Firmennetzwerk endet nicht an der Bürotür. Homeoffice-Geräte brauchen denselben Patch-Stand wie Bürogeräte, sicheren VPN-Zugang, Multi-Faktor-Authentifizierung und klare Regeln, was auf privaten Geräten passieren darf. Wer Homeoffice ohne dieses Setup zulässt, verschiebt Sicherheits-Risiken in unklare Räume. Mit zwei bis drei Maßnahmen ist die Lage meist deutlich besser.
Genau dieser Satz ist in fast jedem Mittelstandsunternehmen zu hören, das später Opfer wird. Automatisierte Angriffe schauen nicht auf Größe, sondern auf Schwachstellen. Ein nicht aktualisiertes Plugin, ein offenes Remote-Desktop-Port, ein veralteter Server reicht. Erfolgreiche Angriffe auf kleine Unternehmen kosten regelmäßig fünfstellig bis sechsstellig.
Erst klären, welche Systeme welche Daten halten und wer sie braucht. Dann gezielt Schnittstellen bauen, statt jedes System mit jedem anderen zu verbinden. Eine zentrale Datenquelle pro Datenart, klare Verträge zwischen Systemen, idealerweise über REST oder Webhooks. Wer das in einer Architektur-Skizze vorbereitet, spart später viele Migrations-Schmerzen.
Die Frage ist meistens falsch. Standard-Software passt selten zu 100 Prozent, eigene Software ist teurer als gedacht. Die richtige Frage: welche Anteile lassen sich kaufen, welche müssen wirklich individuell sein. Buchhaltung kauft man, Kerngeschäft baut man selbst, je nach Branche. Eine ehrliche Bestandsaufnahme zeigt schnell, wo Geld klüger investiert wäre.
In jedem Mittelstandsunternehmen gibt es eine Excel-Datei oder eine SharePoint-Liste, die geschäftskritisch ist und niemand offiziell verantwortet. Ein einziger Tippfehler, ein versehentliches Löschen oder der Ausfall der Person, die sie pflegt, kann Tagesgeschäft lahmlegen. Erkennung erfolgt meist erst nach dem Vorfall.
