Sanieren, umgehen oder neu bauen: Drei Modernisierungswege für die Systemlandschaft im Mittelstand im Kostenvergleich

Wenn ein ERP-System aus dem Jahr 2008 ohne Hersteller-Support weiterläuft, dann ist das zunächst ein technisches Ärgernis. Spätestens aber, wenn die Aufsichtsbehörde Auskunft über Löschkonzepte verlangt oder die NIS2-Umsetzung ein Risikomanagement auch für IT-Altlasten fordert, wird die alte Systemlandschaft zum Haftungs- und Compliance-Thema. Der Modernisierungsweg, den ein Unternehmen wählt, entscheidet darüber, wie lange es diese Risiken trägt – und zu welchem Preis.

Weg 1: Die schrittweise Ablösung (Legacy-Modernisierung)

Bei dieser Strategie wird das Altsystem Modul für Modul oder Prozess für Prozess abgelöst, während der laufende Betrieb weitergeht. Typisch ist zunächst die Verlagerung von Berichtswesen und Nebensystemen, dann die schrittweise Verabschiedung vom Kern.

Kostenstruktur: Die laufenden Betriebskosten bleiben zunächst bestehen und überlagern sich mit den Neukosten. In der Praxis zahlen Mittelständler über eine Übergangsphase von drei bis fünf Jahren faktisch doppelt. Dafür verteilt sich die Belastung auf mehrere Haushaltsjahre und lässt sich besser planen.

Compliance-Bewertung: Der Vorteil liegt in der Kontrollierbarkeit. Jede Migration kann datenschutzrechtlich begleitet werden, Lösch- und Übernahmeregeln lassen sich pro Modul dokumentieren. Der Nachteil: Solange Restbestände im Altsystem liegen, bleiben dort auch die Compliance-Risiken liegen – etwa personenbezogene Daten ohne aktuelle Zugriffskonzepte.

Risiko: Das bekannteste Muster ist der ewige Übergang. Projekte, die 2018 mit 'in zwei Jahren ist der Kern abgelöst' starteten, laufen in manchen Häusern heute noch.

Weg 2: Der Low-Code-Workaround

Hier wird das Altsystem nicht angetastet, sondern um neue Anwendungen herum ergänzt: eine Low-Code-App für die mobile Datenerfassung, ein modernes Portal für Kundenanfragen, ein Tool für das Genehmigungsmanagement. Das Kernsystem versieht im Hintergrund weiter seinen Dienst.

Kostenstruktur: Kurzfristig die günstigste Variante. Lizenzkosten für Low-Code-Plattformen bewegen sich im unteren bis mittleren fünfstelligen Jahresbereich, die Einführung ist oft in Wochen realisiert. Die Rechnung geht später auf: Jede zusätzliche Workaround-Anwendung erhöht die Integrationslast, und die Fachabteilung entwickelt eine Parallelwelt, die irgendwann niemand mehr pflegen kann.

Compliance-Bewertung: Hier lauert die eigentliche Gefahr. Low-Code-Anwendungen entstehen häufig außerhalb der regulären IT-Governance – oft von fachlich versierten Mitarbeitern ohne Datenschutzreview. Zugriffsrechte, Aufbewahrungsfristen und Verarbeitungsverzeichnisse bleiben unvollständig. Wer diesen Weg geht, sollte Low-Code zwingend in das interne Berechtigungskonzept und die NIS2-Risikobewertung einbeziehen.

Risiko: Der Workaround verlängert faktisch die Lebensdauer des Problems. Was als Brücke gedacht war, wird zur Dauerlösung – mit wachsender technischer Schuld.

Weg 3: Der Greenfield-Neubau

Der komplette Neuaufbau auf moderner Plattform – häufig SaaS-basiert – verspricht den radikalen Schnitt: keine historische Datenlast, keine Altprozesse, einheitliche Berechtigungskonzepte von Tag eins.

Kostenstruktur: Am Anfang die teuerste Option. Projektkosten im sechsstelligen Bereich sind im Mittelstand die Regel, dazu Schulung, Datenmigration und Produktivitätsverluste während der Umstellung. Langfristig kann diese Variante jedoch am wirtschaftlichsten sein, weil doppelte Betriebskosten entfallen und Wartungsaufwand sinkt.

Compliance-Bewertung: Der Greenfield-Ansatz erlaubt es, Datenschutz und Compliance von Beginn an einzubauen: Verarbeitungsverzeichnisse, Löschfristen und Berechtigungsrollen sind Bestandteil des Designprozesses, nicht nachträgliche Korrekturen. Für Unternehmen im Geltungsbereich von NIS2 ist zudem der Wegfall unbekannter Altlasten ein Sicherheitsgewinn, den kein anderes Vorgehen bietet.

Risiko: Big-Bang-Projekte scheitern spektakulär, wenn der Umfang unterschätzt wird. Ohne diszipliniertes Scope-Management wird aus dem Neubau ein Endlosprojekt.

Entscheidungsmatrix: Welcher Weg passt zu welchem Unternehmen

Als Faustregel gilt: Je stärker regulatorischer Druck und Systemalter zusammentreffen, desto eher spricht die Rechnung für den Neubau. Je intakter der Kern, desto vernünftiger ist die schrittweise Ablösung. Der Low-Code-Weg ist als Brücke legitim – nicht als Ziel.

Was Projektleiter rückblickend berichten

Drei Erfahrungen kehren in Erfahrungsberichten immer wieder:

• Der Datenbestand ist die eigentliche Baustelle. Ob schrittweise oder radikal: Ohne frühe Entscheidung, welche Alt-Daten migriert, archiviert oder rechtssicher gelöscht werden, gerät jede Variante in Zeitverzug.
• Compliance braucht einen Platz im Projektplan. Datenschutzprüfungen und Berechtigungskonzepte, die als Anhängsel am Ende kommen, verursachen Verzögerungen, die eine frühzeitige Einbindung vermieden hätte.
• Die Geschäftsleitung muss den Endtermin setzen. Projekte ohne verbindliche Abschalttermin für das Altsystem finden nie ein Ende. Der Termin muss top-down verbindlich sein – mit Konsequenzen.

Fazit

Die Modernisierung der Systemlandschaft ist im Mittelstand längst kein rein technisches Thema mehr. Unterstützung endet, Datenschutzforderungen verschärfen sich, NIS2 macht Altlasten überprüfbar. Wer die drei Wege – schrittweise Ablösung, Low-Code-Brücke, Greenfield-Neubau – mit ihren jeweiligen Compliance-Implikationen kennt, trifft die Entscheidung nicht im Blindflug, sondern auf Basis von Kosten, Risiken und rechtlichen Verpflichtungen.