Wie viel Kontrolle haben Sie wirklich über Ihre IT?

Es gibt eine Frage, die sich bei der Auswahl eines neuen IT-Services wahrscheinlich kaum jemand stellt.

Der Anbieter erhöht die Preise. Vertragsbedingungen ändern sich. Ein Produkt wird eingestellt. Ein Service wird angepasst. Ein Unternehmen wird übernommen. Oder wir stellen in ein paar Jahren einfach fest, dass es für unsere Bedürfnisse eine bessere Lösung gibt.

Spätestens dann wird eine Frage plötzlich wichtig:

1. Wie einfach kommen wir wieder raus?

Für ein Schweizer KMU ist das keine rein technische Frage. Es geht um Wahlfreiheit, um operationelle Risiken und letztlich um die Kontrolle über das eigene Unternehmen.

Das ist ein Aspekt der digitalen Souveränität, über den unserer Meinung nach noch zu wenig gesprochen wird.

Wir sind nicht der Meinung, dass ein KMU auf die Cloud verzichten muss, um «souverän» zu sein.

Microsoft 365, Microsoft Azure, Amazon AWS oder ein anderer grosser Cloud-Anbieter können die richtige Wahl sein. Dasselbe gilt für proprietäre Software.

Es gibt keine Medaille dafür, möglichst viel Open Source einzusetzen.

Entscheidend ist, zu verstehen, welche Abhängigkeiten Sie mit einer bestimmten Technologie schaffen – und ob Sie diese Abhängigkeiten tatsächlich geprüft und bewusst in Kauf genommen haben.

Denn von einem Anbieter abhängig zu sein, ist nicht per se ein Problem.

Problematisch kann es hingegen werden, wenn Sie nicht wissen, wie schwierig es wäre, diesen Anbieter zu ersetzen.

Die Abhängigkeit, die wir nicht sehen

Stellen wir uns ein KMU mit 30 Mitarbeitenden vor.

Die E-Mails liegen in der Cloud. Die Dokumente ebenfalls. Die Benutzer-Authentifizierung läuft über dasselbe Ökosystem. Das Backup nutzt einen weiteren integrierten Service. Die Geschäftsanwendungen laufen auf einer bestimmten Virtualisierungsplattform. Das Sicherheitssystem kommuniziert mit all diesen Komponenten.

Alles funktioniert. Und zwar sehr gut.

Versuchen wir nun gedanklich, eine dieser Komponenten wegzunehmen.

Hier zeigt sich der Unterschied zwischen einer Infrastruktur, die einfach funktioniert, und einer Infrastruktur, die das Unternehmen versteht und kontrolliert: die Modularität.

Ein System, in dem alles eng miteinander integriert ist, kann sehr komfortabel sein. Wenn jedoch jede Komponente von den anderen abhängt, kann der Austausch einer einzigen Komponente kompliziert werden.

Wenn es sinnvoll ist, bevorzugen wir deshalb einen modularen Ansatz.

Das bedeutet nicht, dass jede Komponente von allen anderen unabhängig sein muss. Es bedeutet, dass wir einen einzelnen «Baustein» ersetzen können, ohne das ganze Gebäude neu bauen zu müssen.

Diese Entscheidung kann im Vergleich zu einem grossen Cloud-Ökosystem etwas weniger Integration bedeuten. Dafür bleiben langfristig mehr Möglichkeiten offen.

Und es gibt noch ein weiteres Problem: die Geschwindigkeit, mit der sich grosse Technologie-Ökosysteme verändern.

Cloud-Services werden laufend verändert. Neue Funktionen kommen hinzu, Benutzeroberflächen werden angepasst, Produkte umbenannt oder ersetzt, andere Funktionen fallen weg.

Man muss sich nur vor Augen führen, wie stark sich die Oberfläche eines Services innerhalb weniger Monate verändern kann. Für Endanwender kann das eine Verbesserung sein. Wer jedoch eine geschäftliche IT-Umgebung betreibt, muss bei jeder Änderung auch prüfen, was sich verändert hat, was nicht mehr wie bisher funktioniert und welche neuen Abhängigkeiten entstanden sind.

Wir können nicht jede Veränderung vorhersehen.

Wir können aber versuchen, Systeme so aufzubauen, dass eine Änderung nicht automatisch dazu führt, dass alles andere ebenfalls geändert werden muss.

Identität und Sicherheit: Wer ist da, wenn etwas schiefläuft?

Grosse Cloud-Anbieter investieren enorme Ressourcen in die Sicherheit. Es wäre naiv zu glauben, dass ein kleines IT-Unternehmen mit einer «sichereren» Infrastruktur einfach mit ihnen konkurrieren kann.

Das Problem liegt woanders.

2. Was passiert, wenn ein Benutzer ein Problem hat und nicht mehr auf sein Konto zugreifen kann?

Ein gesperrtes Konto. Eine Authentifizierung, die nicht funktioniert. Ein kompromittiertes Gerät. Ein Zugriff, der dringend überprüft werden muss.

In solchen Situationen macht nicht nur die Technologie den Unterschied. Entscheidend ist auch die Möglichkeit, mit jemandem zu sprechen, der die Umgebung kennt. Bei einem grossen Anbieter kann der Support strukturiert, automatisiert und einwandfrei funktionieren. Trotzdem bleibt es eine Beziehung zwischen einem Unternehmen und einem Supportsystem.

Bei Combined ist die Situation anders.

Wir kennen jeden Benutzer unserer Kunden persönlich.

Nicht nur die IT-Verantwortlichen. Nicht nur die Geschäftsleitung.

Die Benutzer.

Wir wissen, wer sie sind, welche Umgebung sie nutzen und vor allem, in welchem Kontext das Problem auftritt. Das macht unser System nicht unverwundbar. Kein System ist das.

Aber es bedeutet, dass wir nicht bei null anfangen, wenn etwas passiert. Auch das gehört für uns zur Sicherheit.

"Die Daten gehören uns" bedeutet nicht automatisch, dass sie sich einfach wiederherstellen lassen

Das ist vielleicht eine der einfachsten Fragen – und eine der schwierigsten, wenn es darum geht, sie zu beantworten:

3. Wenn wir morgen die Plattform wechseln würden: Wie würden wir unsere Daten mitnehmen?

Wir können einen Export machen? Theoretisch vielleicht.

Aber:

• Welche Daten können wir exportieren?
• In welchem Format?
• Mit welchen Werkzeugen?
• Wie viel Zeit benötigt das?
• Welche Metadaten gehen verloren?
• Was können wir tatsächlich in ein anderes System importieren?

Ein Datensatz kann formal exportierbar sein und gleichzeitig ausserhalb der Plattform, auf der er erzeugt wurde, extrem schwierig zu nutzen sein.

Portabilität sollte deshalb als Eigenschaft der Infrastruktur betrachtet werden – nicht als Thema, mit dem man sich erst beschäftigt, wenn ein Anbieterwechsel ansteht.

Ihre Arbeitsumgebung ist zu einem Ökosystem geworden

E-Mail war früher einfach E-Mail. Heute ist sie mit Kalendern, Kontakten, Dokumenten, Videokonferenzen, Chats, Anwendungen und Automatisierungen verbunden.

Das bringt enorme Vorteile. Aber jede neue Integration macht das Ökosystem ein Stück schwieriger zu ersetzen.

4. Wie stark hängt unser Geschäft heute von Microsoft 365 ab?

Abhängigkeit wird vor allem dann zum Problem, wenn ein Unternehmen gar nicht weiss, dass sie besteht.

Auch beim Backup kann eine Abhängigkeit entstehen

Das Backup sollte unsere Versicherung gegen den Ausfall des primären Systems sein.

Eine Versicherung ist aber nur dann nützlich, wenn wir sie im Ernstfall auch nutzen können.

Deshalb lohnt es sich, weiterzudenken und zu fragen:

5. Könnten wir unsere Systeme wiederherstellen, wenn die primäre Umgebung nicht mehr verfügbar wäre?

Ein Backup, das von denselben Identitäten, Infrastrukturen oder Services abhängt, die es eigentlich schützen soll, kann genau dann Einschränkungen haben, wenn es darauf ankommt.

Es reicht nicht, eine Kopie der Daten zu haben.

Man muss wissen, ob diese Kopie im Notfall tatsächlich nutzbar ist.

Virtualisierung ist eine strategische Entscheidung, nicht nur eine technische

Viele Jahre lang war Virtualisierung für Unternehmen beinahe unsichtbar.

Die virtuellen Maschinen laufen, die Anwendungen laufen und das Betriebssystem interessiert eigentlich niemanden besonders.

Irgendwann kommt jedoch der Zeitpunkt für eine Migration. Dann werden die Portabilität der virtuellen Maschinen, die Kompatibilität der Anwendungen, die Backup-Werkzeuge und der Grad der Abhängigkeit von einem bestimmten Hypervisor wichtig. Auch die Kosten und das benötigte Know-how für einen Plattformwechsel gehören in die Bewertung.

Hier kann auch Open Source ins Spiel kommen.

Eine Open-Source-Plattform kann bestimmte Abhängigkeiten reduzieren. Open Source bedeutet aber nicht automatisch Unabhängigkeit.

Es braucht Know-how, Betrieb, Backup, Monitoring, Sicherheit und vor allem eine Strategie.

Erst die Kombination dieser Elemente macht eine Infrastruktur wirklich unabhängig.

Auch Cybersecurity kann einen Vendor Lock-in schaffen

Es ist schon etwas ironisch, dass ein Unternehmen ausgerechnet von den Werkzeugen abhängig werden kann, die es zu seinem Schutz einsetzt.

Eine moderne Sicherheitsumgebung kann Firewalls, EDR, MFA, SIEM, Monitoring, Backup und zahlreiche weitere Komponenten umfassen.

Je stärker diese Werkzeuge integriert sind, desto effektiver können sie sein.

Gleichzeitig kann es schwieriger werden, einzelne davon zu ersetzen.

An diesem Punkt stellt sich die Frage:

6. Wie sicher ist unser Security Stack – und wie abhängig sind wir von seinem Anbieter?

Für ein KMU ist dieses Gleichgewicht besonders wichtig.

Sicherheit sollte Risiken reduzieren – und sie nicht einfach verschieben.

Die letzte Abhängigkeit ist eine, die wir erst noch richtig verstehen müssen

Künstliche Intelligenz bringt eine neue Ebene technologischer Abhängigkeit mit sich.

Immer mehr Unternehmen nutzen KI-Dienste zum Schreiben, Analysieren, Klassifizieren, Übersetzen, Programmieren oder Verarbeiten von Informationen.

Und auch hier ist die Technologie an sich nicht das Problem.

Die Frage lautet:

7. Welche Informationen vertrauen wir diesen Services an?

Wir müssen wissen, wo die Daten verarbeitet werden, welche Bedingungen gelten, was mit den Daten geschieht und wie viel unseres Unternehmens-Know-hows nach und nach in einen externen Service einfliesst.

Das ist eine Form der Abhängigkeit, die viele Unternehmen gerade erst zu berücksichtigen beginnen.

Müssen wir also alle zurück zur lokalen IT?

Nein.

Und das wäre eine ziemlich vereinfachte Schlussfolgerung.

Digitale Souveränität bedeutet nicht, dass jedes Unternehmen sein eigenes Rechenzentrum bauen muss.

Es bedeutet auch nicht, dass alles Open Source sein muss, jeder Server in der Schweiz stehen muss oder Microsoft, Google, Amazon und andere grosse Anbieter vermieden werden müssen.

Ein KMU mit 20, 50 oder 100 Mitarbeitenden kann und soll nicht alles intern betreiben.

Unabhängigkeit bedeutet nicht, alles selbst zu machen.

Es bedeutet, zu wissen, was man auslagert.

Und vor allem bewusst zu entscheiden, was man sinnvollerweise auslagert.

Ein schneller Check für Ihr Unternehmen. Fünf Fragen, die Sie sich stellen sollten.

1. Von welchen drei IT-Services hängt unser Unternehmen am stärksten ab?
2. Was würde passieren, wenn einer dieser Services während 24 Stunden nicht verfügbar wäre?
3. Könnten wir unsere Daten ausserhalb der aktuellen Plattform wiederherstellen und nutzen?
4. Wie viel Zeit und Geld wären nötig, um unseren wichtigsten IT-Anbieter zu wechseln?
5. Welche dieser Abhängigkeiten haben wir bewusst gewählt – und welche sind einfach mit der Zeit entstanden?

Die letzte Frage ist vielleicht die interessanteste.

Denn viele IT-Abhängigkeiten werden nicht bewusst entschieden.

Sie entstehen.

Eine Plattform wird eingeführt, weil sie praktisch ist. Dann wird sie mit einer weiteren Anwendung verbunden. Dann mit noch einer. Nach einigen Jahren ist sie ein integraler Bestandteil des Unternehmens.

Niemand hat jemals entschieden, von dieser Plattform abhängig zu sein.

Und trotzdem sind wir es.

Digitale Souveränität bedeutet, eine Wahl zu haben

Für uns bedeutet Unabhängigkeit nicht, immer Open Source zu wählen. Sie bedeutet, wählen zu können.

Ein Kunde kann Windows benötigen. Ein anderer kann Linux einsetzen.

Eine Umgebung kann Fortinet benötigen, während eine andere mit OPNsense bestens betrieben werden kann.

Wir können XCP-ng als Virtualisierungsplattform einsetzen und gleichzeitig für das Backup eine proprietäre Lösung wählen, weil sie in diesem Fall die Funktionen und die Zuverlässigkeit bietet, die wir benötigen.

Technologie sollte nicht nach dem Katalog des Anbieters ausgewählt werden.

Sie sollte nach den Bedürfnissen des Unternehmens ausgewählt werden.

Das bedeutet auch, zu akzeptieren, dass eine Lösung stärker integriert sein kann als eine andere oder dass eine bestimmte proprietäre Technologie in einem konkreten Fall die bessere Wahl ist.

Die echte Freiheit besteht nicht darin, von jeder Technologie unabhängig zu sein.

Sie besteht darin, auch dann noch eine Wahl zu haben, wenn sich die Rahmenbedingungen ändern.

Genau diese Wahlfreiheit gehört für uns zur digitalen Souveränität.

Eine sichere und unabhängige IT für Schweizer KMU

So verstehen wir digitale Souveränität und IT-Unabhängigkeit.

Nicht als Schlagwort und auch nicht als Ablehnung der Cloud grosser Anbieter.

Sondern als Ansatz für die Planung und den Betrieb von IT, bei dem Sicherheit, Zuverlässigkeit und Unabhängigkeit gemeinsam betrachtet werden.

Für ein Schweizer KMU bedeutet das nicht zwingend, die Technologie zu wechseln.

Manchmal bedeutet es einfach, die Technologie, die man bereits nutzt, besser zu verstehen.

Und vielleicht festzustellen, dass einige Abhängigkeiten völlig in Ordnung sind, während andere reduziert werden sollten.

Denn die erste Form der IT-Unabhängigkeit besteht darin, zu wissen, wovon wir abhängig sind.