Jeden Kundenwunsch im Blick

Um den Kundenwünschen besser gerecht zu werden, wollen immer mehr Unternehmer ihre Prozesse rund um die Bedienung ihrer Kundschaft mithilfe eines Customer-Relationship-Management-Systems (CRM) automatisieren. Neu sind diese Systeme nicht, doch sie entwickeln sich rasant weiter. Der Trend zum Sammeln, Vereinheitlichen und Umwandeln von Kundendaten, aus denen man die Wünsche der Kunden abzulesen hofft, ist ungebrochen. Denn darauf zielt die heutige „Experience Economy“ ab, als deren Vorreiter Selfridge mit Fug und Recht gelten darf. Sein Motto: „Begeistere den Verstand, dann greift die Hand zum Portemonnaie!“ Wir haben zwei Experten gefragt, worauf es bei der Gestaltung zeitgemäßer CRM-Systeme heute ankommt, damit man sich dabei keine neuen Probleme einhandelt.

ITM: Herr Schmidt, Herr Angermaier, unter welchen Rahmenbedingungen ist der Betrieb des CRM-Systems in der Cloud anzuraten – und wann ist klassischer On-Prem-Betrieb die bessere Alternative?
Hansjörg Schmidt: Die Auslagerung von Systemen und Daten in die Cloud bietet viele Vorteile. Insbesondere die größere Flexibilität spricht für die Cloud. Die CRM-Anbieter aus der Cloud haben mittlerweile einen Grad an Funktionstiefe erreicht, der nahezu jede Anforderung abdeckt. CRM-Lösungen aus der Cloud sind schneller einsatzbereit und auch sofort überall verfügbar. Dies ist ein Vorteil, den viele Unternehmen in Zeiten von Homeoffice zu schätzen gelernt haben. Cloud-Lösungen bieten außerdem mehr Performance – und die Systeme skalieren besser. Die geringen Investitionskosten und niedrigeren Betriebskosten machen Cloud-Systeme auch für kleinere Unternehmen häufig zur besseren Wahl. Sind die Aufgaben spezieller oder umfangreicher, rechnet sich manchmal aber auch eine eigene Installation. Hier sind insbesondere die Systeme aus dem Open-Source-Sektor zu nennen, denn diese bieten bei eigener Installation die Möglichkeit der firmenspezifischen Anpassung und Erweiterung. Das kann für Unternehmen mit eigenem technischem Know-how sehr attraktiv sein, da dieses maßgeschneiderte Customizing zu mehr Wettbewerbsvorteilen führen kann als die Standardfunktionen unangepasster Software.

Michael Angermaier: Technologisch ist es in den wenigsten Fällen zu unterscheiden, welches Modell dem Kunden anzuraten ist. Dies liegt in der heutigen Vernetzung und den technischen Möglichkeiten begründet. Dank sicherer VPN-Netzwerke und hoher Bandbreiten mit geringen Latenzen ist es in der Regel nicht erheblich, in welchem Umfeld ein CRM-System betrieben wird. In der Praxis wird von dem klassischen On-Prem-Kunden meist eine höhere Sicherheit empfunden, wenn die Daten bei ihm „im Keller liegen“. Diese gefühlte Sicherheit ist jedoch mit Vorsicht zu betrachten. Denn die Daten bei sich im Haus zu haben, bedeutet auch, gewappnet sein zu müssen: Neben Betriebskonzepten und der Vorbereitung auf Szenarien wie Ransomware-Angriffen zählen hierzu auch die Beherrschung von Problemen wie Datenverlust durch Hardware-Schäden oder unbeabsichtigtes Löschen. Viele Kunden unterschätzen den Aufwand für den Betrieb einer Software. Dann kann es sich schnell lohnen, einen zuverlässigen Cloud-Anbieter zu nutzen. Der hat sich zu all diesen Problemen längst intensiv Gedanken gemacht, Konzepte entwickelt und Tests durchgeführt, um die Daten sicher zu isolieren und im Worst Case einen Plan B bereitzuhalten. Zusammenfassend kann man sagen: Der klassische On-Prem-Betrieb ist nur anzuraten, wenn im Haus eine gut funktionierende IT-Abteilung mit Know-how und entsprechenden Ressourcen vorhanden ist. Sind diese Voraussetzungen nicht gegeben, ist ein Cloud-Anbieter die bessere Wahl.

ITM: Wie sollten die Schnittstellen zu den übrigen IT-Systemen im Unternehmen – z.B. Enterprise Resource Planning (ERP), Lager oder Webshop – gestaltet sein, damit es nicht zu unnötigen Reibungsverlusten kommt?
Angermaier: Es gibt hier viele richtige Wege. Diese hängen auch oft von den Gegebenheiten beim Kunden ab. Grundsätzlich gilt: Schnittstellen bedürfen einer Planung. Wie man ein System anbindet, sollte anhand von Datenmengen, notwendiger Datenaktualität, Ansprüchen an Synchronisationsrichtungen und vielem mehr differenziert werden. In vielen Fällen nutzt man klassische APIs – meist Rest, gelegentlich Soap. Je nach Anforderung sollten auch Designkonzepte mit Message-Queues betrachtet werden. Wir sehen auch immer wieder Anbindungen direkt auf Datenbankebene. Hier gilt es, mit Vorsicht zu agieren und den Überblick zu bewahren. Direkte Datenbankschnittstellen lassen sich nur schwer bzw. rudimentär versionieren und können beim Update des betroffenen Systems zu Problemen führen. Anbieter von Systemen, welche entsprechende Anbindungen herstellen, bringen hier die Expertise mit und können den Kunden gut beraten. Nicht selten treffen Kunden Entscheidungen anhand der initialen Kosten und bedenken nicht, dass dadurch langfristig höhere Kosten auf sie zukommen. Davon können wir nur dringend abraten. Eine umfängliche Beratung zeigt meist auf, dass Kosteneinsparungen bei Customizing und Schnittstellen im Nachgang immer höhere Wartungskosten erzeugen.

Schmidt: Offene und gut dokumentierte Rest-APIs bieten den Vorteil, verschiedene Programme miteinander zu verknüpfen. Hier muss man aber aufpassen, denn dies kann bei der Verknüpfung mehrerer Systeme schnell zu einer komplexen Aufgabe werden, denn man muss zu jedem System eine eigene Schnittstelle schaffen. Besser ist es in diesem Fall, wenn man auf Integrationsplattformen wie beispielsweise den „Open Integration Hub“ setzt. Dies ist ein Open-Source-Framework, das den Datenaustausch über Standardkonnektoren ermöglicht. Der Vorteil hier: Man muss nur eine einzige Schnittstelle ansprechen – und schon können sämtliche Systeme miteinander kommunizieren. Dies ermöglicht ganz neue Anwendungsszenarien, die man mit einer Eins-zu-Eins-Verbindung nicht erschließen könnte.

ITM: Was ist die wichtigste Schutzmaßnahme, um zu vermeiden, dass ein CRM-System zum Einfallstor für Cyberangriffe via Ransomware oder DDoS wird?
Schmidt: Wem die Sicherheit seiner Daten am Herzen liegt, der sollte auf eine Cloud-Lösung in einem Hochleistungsrechenzentrum setzen. Den Grad an Performance und Absicherung wird kein Unternehmen mit Bordmitteln selbst hinbekommen. Die Cybersecurity-Abteilungen der Cloud-Anbieter verfolgen jede neue Entwicklung und sind so viel schneller in der Lage, auf neue Bedrohungen zu reagieren. Knapp die Hälfte aller Cyberangriffe nutzt den Menschen als Schwachstelle aus. Deshalb ist es für Unternehmen umso wichtiger, die Mitarbeiter für die Gefahren durch Cybercrime zu sensibilisieren und ausreichend zu schulen.

Angermaier: Es gibt hier drei Ebenen, die betrachtet werden müssen, um für einen guten Schutz zu sorgen. Die erste Ebene ist die Software selbst. Nur wenn diese regelmäßig vom Hersteller gewartet wird, kann die Software sicher betrieben werden. Das Beispiel Log4j hat gezeigt, dass auch große Hersteller hier teilweise sehr nachlässig sind. Wir jedoch konnten all unsere Cloud-Kunden durch entsprechende Maßnahmen schnell schützen und zusätzlich eigene Schutzmaßnahmen entwickeln, welche die Angriffe zuverlässig abwehren konnten. An dieser Stelle zeigt sich auch die zweite Ebene – und der Kreis zur ersten Frage schließt sich: In der On-Prem-Welt muss bei Sicherheitslücken wie Log4j die IT-Abteilung des Kunden aktiv werden. Auch wenn seitens des Anbieters schnellstmöglich Patches bereitgestellt werden, muss der Kunde diese bei sich einplanen und einspielen. Bei Flächenwirkung wie Log4j war der Kunde gezwungen zu priorisieren, welche Systeme er zuerst patcht. Im Zweifel geht hier wertvolle Zeit verloren. Die dritte Ebene ist ein gutes mehrstufiges Sicherheitskonzept. Dazu gehören u.a. Firewalls, Web-Application-Firewalls, DDoS-Filter, HA-Strategien, ein ausgeklügeltes Monitoring, um Abweichungen zu erkennen, und nicht zuletzt ein Plan für den Notfall. Denn sollte es so weit kommen, dürfen Maßnahmen nicht an internen Ebenen scheitern oder verzögert werden. Aus unserer Sicht darf man sich nie in Sicherheit wähnen, sondern muss stetig die Architektur hinterfragen und verbessern. Angriffe wandeln sich schnell. Der IT-Betrieb muss trotzdem in der Lage sein, sich auf neue Bedrohungen einstellen zu können. Dazu gehören auch Qualifizierungsmaßnahmen, externe Audits, Vier-Augen-Prinzipien und Sensibilisierungsmaßnahmen.