Einmal im Jahr auf die Waage: Die Systeminventur als Jahresgebot für den Mittelstand

Die meisten mittelständischen Unternehmen kennen ihre Maschinen genauer als ihre Software. Während Anlagen in Inventarlisten mit Kaufdatum und Abschreibung geführt werden, fristen digitale Werkzeuge ein Nischendasein: Sie tauchen auf, wenn jemand kündigt, eine Lizenzrechnung unerwartet steigt oder ein Datenschutzvorfall auftritt. Ein jährlicher, strukturierter Blick auf die Systemlandschaft – idealerweise fest im Jahreskalender verankert – behebt das. Und das Erstaunliche: In einem Betrieb mit fünfzig Mitarbeitenden lässt sich das mit überschaubarem Aufwand intern stemmen.

Warum die Inventur mehr ist als eine Excel-Übung

Die Systeminventur erfüllt mehrere Funktionen zugleich. Sie schafft eine belastbare Grundlage für Budgetentscheidungen, denn Doppelkäufe – drei Chat-Tools, zwei Zeiterfassungslösungen, ein ungenutztes BI-System – sind im Mittelstand keine Seltenheit. Sie ist ferner eine Voraussetzung für Compliance: Sowohl die DSGVO als auch die NIS2-Umsetzung verlangen, dass Unternehmen wissen, welche Systeme personenbezogene Daten verarbeiten und welche Risiken daraus folgen. Wer seine Tool-Landschaft nicht kennt, kann weder Datenschutzvereinbarungen pflegen noch Löschkonzepte durchsetzen.

Schließlich wirkt die Inventur als Frühwarnsystem für Schatten-IT. Damit ist nicht nur die berüchtigte private Cloud-Ablage des Vertriebsleiters gemeint, sondern jede Software, die außerhalb einer zentralen Beschaffung in den Betrieb gelangt ist – oft mit guten Absichten, aber ohne Freigabe, ohne Support und ohne Blick auf den Vertrag.

Der Prozess in vier Schritten

Schritt 1: Der passive Abgleich. Beginnen Sie dort, wo Zahlen bereits vorliegen. Finanzbuchhaltung und Kreditkartenabrechnungen liefern eine erste Liste: Welche Software-Anbieter werden monatlich oder jährlich belastet? Ergänzen Sie das SSO-Protokoll des Unternehmens-Microsoft-365-Tenants – dort zeigt das Admin-Center, welche Drittanbieter-Anwendungen Mitarbeitende mit Firmenkonto angemeldet haben. Diese passive Erfassung dauert einen halben Tag und deckt erfahrungsgemäß ein Drittel der unbekannten Systeme auf.

Schritt 2: Die aktive Befragung. Ein kurzer Fragebogen an die Teamleitungen – fünf Fragen, zehn Minuten Bearbeitungszeit – ergänzt das Bild: Welche Werkzeuge nutzt Ihr Team täglich? Wer hat sie eingeführt? Gibt es Datenexporte oder Schnittstellen? Wichtig ist die Botschaft: Die Befragung ist keine Ermittlung, sondern eine Bestandsaufnahme. Wer Schatten-IT bestraft, treibt sie ins Verborgene.

Schritt 3: Die Bewertung. Jedes identifizierte System wird entlang weniger Kriterien eingeordnet: Gibt es einen AV-Vertrag oder Auftragsverarbeitungsvertrag? Wer ist fachlich und technisch verantwortlich – was passiert bei Krankheit oder Kündigung? Welche Daten liegen vor, und wie kritisch sind sie? Ist das System noch aktiv genutzt oder faktisch verwaist? Eine einfache Ampellogik genügt: grün für dokumentiert und abgedeckt, gelb für Klärungsbedarf, rot für Handlungsbedarf.

Schritt 4: Die Entscheidung. Die Inventur ist nur so viel wert wie die Konsequenzen. Typische Ergebnisse in einem 50-Personen-Betrieb: ein Doppelkauf wird gekündigt, ein Tool nachträglich mit einem AV-Vertrag abgesichert, ein verwaistes System wird migriert und stillgelegt, ein sinnvolles Shadow-Tool wird offiziell adoptiert und der IT unterstellt.

Ein Beispiel aus der Praxis

Ein Maschinenbau-Zulieferer mit 48 Beschäftigten führte die Inventur erstmals im Oktober durch – bewusst im vierten Quartal, wenn Budgets für das Folgejahr verhandelt werden. Der passive Abgleich förderte 37 Abrechnungen zu Softwareanbietern zutage, von denen 26 zentral bekannt waren. Die Befragung ergab elf zusätzliche Werkzeuge, darunter ein Projektmanagement-Tool der Konstruktion, das seit zwei Jahren parallel zum offiziellen DMS lief, und ein Formulardienst, über den Kundendaten in einem US-Konzern landeten – ohne AV-Vertrag. Der Gesamtaufwand: rund vier Personentage, verteilt auf IT-Leitung, kaufmännische Leitung und Datenschutzbeauftragten. Das Ergebnis: rund 9.000 Euro jährliche Einsparung, drei geschlossene Compliance-Lücken und – nicht zu unterschätzen – ein gemeinsames Verständnis darüber, welche Systeme das Unternehmen tatsächlich trägt.

Ohne externe Berater – aber mit klarer Verantwortung

Externe Unterstützung kann bei komplexen Landschaften helfen, ist in dieser Größenordnung aber selten nötig. Entscheidend sind drei Voraussetzungen: eine klar benannte Verantwortliche Person (in der Regel IT-Leitung oder ein benannter Systemverantwortlicher), eine einfache, gepflegte Liste statt einer ausgefeilten Tool-Landschaft zur Verwaltung der Tools – eine Tabelle genügt – und ein fester Termin im Jahreskalender, idealerweise gekoppelt an die Budgetplanung.

Wer die Inventur einmal durchgeführt hat, wird sie nicht mehr missen. Sie verwandelt eine diffuse Systemlandschaft in ein dokumentiertes, bewusstes Portfolio – und macht aus dem heimlichen Risiko der Schatten-IT ein steuerbares Element der digitalen Strategie.