Cloud-Plattformen, SaaS-Lösungen und externe Technologiepartner ermöglichen Innovation und Skalierung. Gleichzeitig erhöhen sie die Abhängigkeit von Anbietern, Identitätsdiensten, Lieferketten, Betriebsmodellen und fremden Rechtsräumen. Cyberangriffe, Provider-Ausfälle oder geopolitische Veränderungen können dadurch unmittelbar die Geschäfts- und Lieferfähigkeit eines Unternehmens beeinträchtigen.
Viele IT-Leitungen nutzen leistungsfähige Cloud-, SaaS- und Technologiepartner, können aber nicht belastbar beurteilen, welche Abhängigkeiten geschäftskritisch sind und welche Alternativen bei einem Ausfall tatsächlich bestehen. Die Backup-Reports sind grün, Wiederanlaufziele dokumentiert und Verträge enthalten Exit-Klauseln. Ob sich ein kritischer Service unter realistischen Bedingungen vollständig wiederherstellen oder zu einem anderen Anbieter überführen lässt, bleibt jedoch häufig ungeprüft.
Gleichzeitig bewerten Geschäftsführung, Fachbereiche und IT die Kritikalität von Services unterschiedlich. Risiken werden technisch beschrieben, aber nicht konsequent in Geschäftsauswirkungen, Verantwortlichkeiten und konkrete Managemententscheidungen übersetzt.
Geschäftsprozesse sind nicht eindeutig mit Anwendungen, Daten, Schnittstellen, Identitätsdiensten, Infrastruktur, Providern und Unterauftragnehmern verbunden. Dadurch bleiben Konzentrations-, Lieferketten- und Kaskadenrisiken verborgen. Ein vermeintlich austauschbarer Einzeldienst kann Teil einer Abhängigkeit sein, die mehrere kritische Leistungen gleichzeitig betrifft.
Vermeidbare Konsequenz: Ausfälle treffen unerwartet mehrere Unternehmensbereiche. Prioritäten können erst in der Krise geklärt werden, während Zeit, Daten und Handlungsoptionen bereits fehlen. Eine End-to-End-Sicht vom Geschäftsprozess bis zum externen Anbieter schafft ein gemeinsames Verständnis von Kritikalität, Schadensausmaß und tolerierbarer Ausfallzeit.
Recovery Time Objectives und Recovery Point Objectives sind veraltet, zwischen IT und Fachbereichen nicht abgestimmt oder technisch nicht bestätigt. Ein erfolgreicher Backup-Status wird mit Wiederherstellbarkeit gleichgesetzt. Notbetrieb, alternative Kommunikation und degradierte Betriebsmodelle sind nicht ausreichend vorbereitet.
Vermeidbare Konsequenz: Im Ernstfall dauert der Wiederanlauf länger als erwartet, Daten fehlen oder einzelne technische Komponenten lassen sich nicht zu einem funktionsfähigen Geschäftsservice zusammensetzen. Abgestimmte Wiederanlaufziele, vollständige Restore- und Wiederanlauftests sowie realistische Krisen- und Weiterbetriebsübungen können diese Lücke schließen.
Cloud-, SaaS- und Technologieanbieter werden häufig nach Funktion, Geschwindigkeit und Preis ausgewählt. Datenportabilität, proprietäre Schnittstellen, Betriebswissen, Vertragsbedingungen und der Aufwand eines Anbieterwechsels bleiben nachrangig. Vertraglich zugesicherte Exit-Rechte werden dabei mit einer praktisch nutzbaren Exit-Fähigkeit verwechselt.
Vermeidbare Konsequenz: Vertragsverlängerungen, Preisänderungen oder geopolitische Einschränkungen müssen akzeptiert werden, weil Migration, Entkopplung oder Anbieterwechsel weder technisch noch organisatorisch rechtzeitig realisierbar sind. Eine bewusste Bewertung von Lock-in, Reversibilität und Wechselkosten erhält nutzbare Rückfall-, Portabilitäts- und Exit-Optionen.
Security, Architektur, Providersteuerung, Einkauf, Recht, Risikomanagement und Fachbereiche betrachten unterschiedliche Ausschnitte derselben Abhängigkeit. Risk Owner fehlen oder haben keine ausreichende Entscheidungsbefugnis. Kritische Findings bleiben offen, weil Prioritäten, Ressourcen und akzeptierbare Restrisiken nicht gemeinsam entschieden werden.
Vermeidbare Konsequenz: Maßnahmen werden vertagt, Sicherheitsausnahmen dauerhaft normalisiert und Entscheidungen bis zur Vertragsverlängerung, zum Audit oder zum Vorfall verschoben. Klare Service- und Risk Owner, geregelte Risikoakzeptanz und ein Managementreporting, das technische Befunde mit Geschäftsauswirkungen, Optionen und Entscheidungsbedarf verbindet, schaffen Verbindlichkeit.
Zusammengefasst: Ungeklärte Cyber- und Anbieterabhängigkeiten können kurzfristig die Produktions-, Liefer-, Vertriebs- oder Zahlungsfähigkeit beeinträchtigen. Mittelfristig entstehen struktureller Lock-in, sinkende Verhandlungsmacht und steigende Wechselkosten. Langfristig binden Störungen und Nacharbeiten Ressourcen, verzögern Cloud-, Daten- und KI-Initiativen und begrenzen die Innovationsfähigkeit. Unternehmen verlieren damit nicht nur Sicherheit, sondern vor allem operative und strategische Wahlfreiheit.
Eine Organisation muss weder immun gegen jedes Risiko noch vollständig unabhängig sein. Entscheidend ist, dass kritische Risiken und Abhängigkeiten transparent sind, bewusst bewertet werden und auch unter veränderten Bedingungen realistische Handlungsoptionen bestehen. IT-Souveränität bedeutet dabei keine pauschale Abkehr von Cloud-Anbietern, internationalen Plattformen oder globalen Betriebsmodellen. Auch eine Anbieterabhängigkeit ist nicht grundsätzlich problematisch. Kritisch wird sie erst, wenn ihre geschäftlichen Auswirkungen unbekannt sind, keine akzeptierte Risikoentscheidung vorliegt und Alternativen nur in der Theorie existieren.
Der Ausgangspunkt ist die Geschäftskritikalität von Prozessen, Daten und Services. Daraus lassen sich angemessene Anforderungen an Schutz, Wiederanlauf, Weiterbetrieb und Souveränität ableiten. Technische, organisatorische, vertragliche und rechtliche Abhängigkeiten werden dabei gemeinsam betrachtet – einschließlich Identitätsdiensten, Unterauftragnehmern, gemeinsamen Technologiekomponenten, fremden Rechtsräumen und ausgelagertem Architektur- oder Betriebswissen.
Konkrete Szenarien machen abstrakte Risikolisten entscheidbar. Dazu gehören der Ausfall eines Providers, die Kompromittierung einer Lieferkette, ein Ransomware-Angriff, der Verlust eines zentralen Identitätsdienstes, Exportbeschränkungen oder ein notwendiger Anbieterwechsel. Für jedes relevante Szenario ist zu klären, welche geschäftlichen Auswirkungen entstehen, welche Entscheidungen vorbereitet sein müssen und welche Optionen praktisch nutzbar sind.
Wir verbinden Geschäftsverständnis und Risikobewertung mit Architektur, Sourcing, operativer Resilienz und organisatorischer Befähigung. Kritische Leistungen und End-to-End-Abhängigkeiten werden strukturiert, Security Audits, Threat Modeling, Penetrationstests, Schwachstellenanalysen sowie Infrastruktur-, Anwendungs- und Cloud-Security-Assessments in den Geschäftskontext eingeordnet. Darauf aufbauend können Sicherheits- und Souveränitätszielbilder, priorisierte Remediation, eine belastbare Providersteuerung sowie Rückfall-, Portabilitäts- und Exit-Optionen entwickelt und umgesetzt werden.
Backups, Krisenpläne, Exit-Konzepte und Notbetriebsverfahren entfalten ihren Wert erst, wenn sie unter realistischen Bedingungen funktionieren. Restore-Tests, Tabletop-Übungen und Simulationen müssen deshalb mit klaren Risk Ownern, Entscheidungsbefugnissen und einem nachvollziehbaren Umgang mit Restrisiken verbunden werden.
So entsteht ein gemeinsames Entscheidungsbild über kritische Leistungen, Abhängigkeiten, Szenarien und Restrisiken. Unternehmen können Investitionen gezielter priorisieren, Anbieterentscheidungen fundierter treffen, Wiederanlauf- und Exit-Optionen realistisch bewerten und im Krisenfall schneller handeln. Sicherheit, Souveränität und Innovation werden nicht gegeneinander ausgespielt, sondern risikogerecht aufeinander abgestimmt.
In einem ersten Gespräch konzentrieren wir uns auf eine konkrete geschäftskritische Abhängigkeit oder Cybergefährdung. Das Ziel ist ein priorisiertes Entscheidungsbild, mit dem Ihre IT-Leitung die nächste Managemententscheidung fundiert vorbereiten kann.
Senior Management Consultant
Jan Ole Kastens berät und begleitet Kunden bei Cassini Consulting seit über zehn Jahren in der Optimierung und Modernisierung von IT-Infrastruktur und IT-Betrieb. Seit 2022 leitet er den Geschäftsbereich Cloud & Operations Management und unterstützt Kunden, den Wertbeitrag des IT-Betriebes in ihren Unternehmen zu optimieren. Denn bis heute gilt: Wettbewerbsfähigkeit braucht eine moderne und effiziente IT-Landschaft.
*Pflichtangaben
Cassini Consulting steht für moderne Beratung an der Schnittstelle von Business, IT und Transformation. Wir begleiten Organisationen dabei, Zukunft aktiv zu gestalten. Strategisch, technologisch und kulturell. Unser Anspruch: Exzellente Beratung mit Wirkung. Unabhängig, mehrfach ausgezeichnet und immer auf Augenhöhe mit unseren Kunden.
