„Make or Buy?“

Für beide Antworten gibt es Pro- und Kontra-Argumente. Wird die IT in Eigenregie, vielleicht mithilfe eines kompetenten Dienstleisters betrieben, sind z.B. Autonomie, maßgeschneiderte Lösungen oder kurze Reaktionszeiten bei Problemen häufig genannte Vorteile, während Themen wie Kosten, Entwicklungstempo oder auch Sicherheit immer wieder Anlass zu Diskussionen geben. Genau umgekehrt werden die Stärken und Schwächen beim Outsourcing bewertet, wobei hier oft auch ein Kompetenzverlust befürchtet wird, der sich dann bei der anstehenden Digitalen Transformation des Unternehmens nachteilig auswirken könnte. IT-MITTELSTAND hat bei zwei ausgewiesenen Experten nachgefragt, worauf es ankommt.

ITM: Herr Malter, Herr Metzger, Outsourcing, Cloud-Services wie SaaS, IaaS oder PaaS, Managed-Services, Co-Location oder Hosting – es herrscht eine babylonische Sprachverwirrung bei der Übertragung (von Teilen) des IT-Betriebs an Dienstleister. Was sind die Merkmale, an denen sich hochwertige Outsourcing-Angebote erkennen lassen?
Ralf Malter: Outsourcing ist immer eine Frage des Vertrauens. Und Vertrauen braucht Transparenz. Das bedeutet: Kunden brauchen vor Vertragsabschluss volle Einsicht in Leistungsumfang, Preismodell und Anpassungsmöglichkeiten. Dabei helfen eine klare Definition des Produkts und proaktive Beratung durch den Dienstleister – am besten in einem konkreten Showcase. Die Flexibilität im Sinne bedarfsgerechter Veränderung in Service-Level, Scope und Volumen sollte deutlich gemacht werden: Was geht – und was geht nicht? Ziel ist eine sinnvolle Balance zwischen Individualisierbarkeit und Standardisierung je nach Anwendungsfall und gewünschter Fertigungstiefe des Kunden.

In puncto Informationssicherheit sollte die Berücksichtigung regulatorischer Anforderungen wie der Datenschutz-Grundverordnung (DSGVO) natürlich selbstverständlich sein – aber auch konkret durch aktuelle Zertifizierungen nach Standards wie ISO 270001 oder den Kriterienkatalog C5 des BSI. Außerdem sollten die technischen Möglichkeiten, etwa zur Verschlüsselung, Schlüsselverwaltung und Datenverdunklung, konkret benannt sein. Ebenso wie die Regelung der Rechte an geistigem Eigentum und Auditierfähigkeit. Das sind alles Punkte, die sich im Vertrag festschreiben lassen. Genauso wichtig ist der menschliche Faktor: Die Begleitung und Wegweisung bei der organisatorischen, prozessualen und kulturellen Transformation, die zu jedem Sourcing-Projekt dazugehört.

Hansjörg Metzger: Es gibt terminologische Unschärfen, auch von einem Outsourcing-Dienstleister zum anderen. Schon die Abgrenzung zwischen Infrastructure und Platform as a Service ist schwierig. Da gibt es unterschiedliche Zuschnitte. Und wenn Datenbank- oder Data-Lake-Services ins Spiel kommen, bewegen wir uns fast schon in Richtung Business as a Service.

Die Herausforderung für mittelständische Unternehmen ist ja, dass sie fast alle ein eigenes kleines Rechenzentrum oder einen Serverraum hatten. Jetzt müssen sie entscheiden, wo Retained IT bleibt und wo sie Outsourcing wählen – mit dem Ziel, schneller zu werden und sogar Mehrwerte für das eigene Business zu generieren. Ein guter Outsourcing-Dienstleister versucht deshalb nicht, seinem Kunden etwas überzustülpen. Er kreiert stattdessen eine individuelle Kundenlösung, die den Erfordernissen des Mittelständlers gerecht wird.

Darum ist es so wichtig, dass der Dienstleister Wissen um die Legacy-Systeme hat, die Netzwerkstrukturen kennt und die Applikationslandschaft versteht. Diese speziellen Applikationen muss der Dienstleister wenigstens auf technischer, wenn nicht sogar auf Business-Ebene verstehen. Denn die Infrastruktur sollte heute der Applikation folgen. Ein guter Outsourcing-Dienstleister ist darum auch ein Service-Integrator, über alle Cloud-Provider hinweg.

ITM: Wann lohnt sich IT-Outsourcing für Mittelständler besonders – und unter welchen Umständen ist eher Vorsicht geboten?
Metzger: Die Modernisierung von veralteten Rechenzentrumsstrukturen und Legacy-Systemen kann ein Dienstleister mit seinem Know-how natürlich entscheidend unterstützen. Andererseits begibt sich das Unternehmen immer in eine gewisse Abhängigkeit von seinem Outsourcer. Und für viele der großen Outsourcer und Hyperscaler sind ihre mittelständischen Kunden eigentlich viel zu klein. Ein mittelständisches Unternehmen wird da leicht zum „Rundungsfehler“ – und wartet dann vergeblich auf eine schnelle Klärung seiner Probleme. Aber ein guter Dienstleister kann das Customizing für den Mittelständler übernehmen, das ein Hyperscaler mit seinen standardisierten Angeboten nicht bietet. Er sorgt für die individuelle Kundenlösung.

Malter: Die Erfahrung zeigt: Aufgaben, mit denen sich Unternehmen nicht differenzieren, für die sie keine Kernkompetenz haben, sind immer die ersten Kandidaten für eine Auslagerung. Von der Bereitstellung zeitgemäßer Arbeitsplätze über Backup und Security bis hin zu speziellen Analyseservices reicht hier die Bandbreite der Angebote, von denen auch und gerade Mittelständler stark profitieren können. Hier bieten spezialisierte Dienstleister Servicequalität und Verfügbarkeit, die für klassische Industrie- oder Dienstleistungsunternehmen mit eigenen Mitteln nicht zu erreichen sind. Ein anderer typischer Indikator ist die IT-Auslastung: Wenn schon der Tagesbetrieb die IT davon abhält, nah am Fachbereich zu sein und Innovationen aktiv voranzutreiben, dann lohnt sich Entlastung durch Outsourcing unbedingt.

Dies ist ein Artikel aus unserer Print-Ausgabe 11/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Vorsicht ist immer geboten. Der schlimmste Fehler sind unklare Ziele und fehlende strategische Entscheidungskriterien für „Make or Buy“. Das führt schon mal dazu, dass man kurzfristig eine Lösung anschafft, die mittel- oder langfristig nicht benötigt wird. Vertrauenswürdige Partner werden deshalb an diesen Punkten kritisch nachfragen. Aber sie können natürlich auch beratend unterstützen. Ebenso wenn es um die Frage nach dem Reifegrad der Organisation für die Steuerung von externen Service-Providern geht oder wenn die Heterogenität der eigenen Bedarfe so groß ist, dass sie mit standardisierten Sourcing-Leistungen nicht abgedeckt werden kann. Auch hier lassen sich durchaus Wege finden.

ITM: Stichwort „Vorsicht“: Worauf ist bei der Vertragsgestaltung mit dem Dienstleister besonders zu achten, damit beim sensiblen Thema „Datenschutz“ die Compliance zur DSGVO nicht gefährdet wird?
Malter: Wichtig ist – für beide Seiten – Klarheit darüber, welche Verantwortlichkeiten sich durch das Outsourcing ergeben. Da geht es nicht nur um personenbezogene Daten und DSGVO. Je nach Branche kann eine ganze Reihe weiterer Regelungen zu beachten sein. Generell kommt es darauf an, die Compliance-Anforderungen fallweise ausführlich zu prüfen, insbesondere wenn es sich um globale Liefermodelle handelt. Dabei stellt sich u.a. die Frage, ob Subunternehmen oder Mutterkonzerne außerhalb der EU in die Leistungserbringung bzw. Datenverarbeitung involviert sind und ob sich daraus besondere Risiken ergeben.

Metzger: Das sollte schon bei der Vertragsgestaltung eine Rolle spielen. Da ist zu klären, welche Daten es gibt, welche wie sensibel sind und ob das Unternehmen überhaupt ein Shoring außerhalb des EU-Raums möchte. Unternehmen sind auch gut beraten, sich selbst genau anzusehen, wie der Dienstleister seine Vertragsklauseln in Sachen DSGVO ausgestaltet und umsetzt.

Bildquelle: Getty Images / iStock / Getty Images Plus