Wenn jede Abteilung ihr eigenes Werkzeug abonniert

Es gibt zwei Arten von Diensten, die ein Unternehmen nicht überblickt. Die erste kennt niemand: Werkzeuge, die an der IT vorbei eingerichtet wurden. Die zweite ist genehmigt, wird bezahlt und steht in der Buchhaltung – nur weiß niemand mehr, wer sie braucht, wer sie verwaltet und wann der Vertrag endet. Um diese zweite Art geht es hier.

Der Unterschied ist wichtig, weil er unterschiedliche Mittel verlangt. Unbekannte Dienste muss man erst sichtbar machen. Bekannte Dienste muss man ordnen: Bestand, Zweck, Zuständigkeit, Vertrag. Das ist weniger spektakulär und meist ergiebiger, denn hier liegen die Doppelungen, die jeden Monat abgerechnet werden.

Wie der Bestand entsteht, obwohl alles genehmigt war

Ein Dienst als Abonnement ist der bequemste Beschaffungsvorgang, den es gibt: kein Server, keine Installation, kein Investitionsantrag. Der Vertrieb braucht ein Werkzeug für Angebotsverfolgung, das Marketing eines für Newsletter, die Personalabteilung eines für Bewerbungen, die Technik eines für Fernzugriff. Jede Entscheidung ist für sich richtig und wird auch ordnungsgemäß genehmigt.

Was fehlt, ist die Gesamtsicht. Niemand vergleicht, ob das neue Werkzeug eine Funktion enthält, die im vorhandenen Paket schon bezahlt wird. Niemand notiert, wer nach dem Ausscheiden des ursprünglichen Antragstellers zuständig ist. Und niemand führt die Kündigungsfristen an einer Stelle. Nach drei Jahren ergibt das ein Portfolio, das gewachsen ist wie eine Ablage ohne Ordnung – nicht heimlich, sondern unbeobachtet.

Die Bestandsaufnahme beginnt in der Buchhaltung

Der schnellste Weg zu einer vollständigen Liste führt nicht über die IT, sondern über die Zahlungsströme. Wiederkehrende Beträge lassen sich nicht verstecken, auch dann nicht, wenn eine Anwendung längst niemandem mehr auffällt. Vier Quellen ergeben zusammen ein belastbares Bild:

Aus den vier Quellen entsteht eine einzige Liste mit acht Spalten: Dienst, Zweck in einem Satz, Zahl der aktiven Nutzer, Art der verarbeiteten Daten, Vertragsbeginn, Laufzeit, Kündigungsfrist, verantwortliche Person. Der BSI-Grundschutz verlangt für die Cloud-Nutzung eine solche Service-Definition je Dienst und eine Dokumentation aller geplanten und genutzten Dienste. Das klingt aufwendiger, als es ist: Die meisten Zeilen sind in wenigen Minuten gefüllt.

Eine Zahl verdient dabei besondere Aufmerksamkeit: die Zahl der aktiven Nutzer im Verhältnis zu den bezahlten Plätzen. Viele Anbieter zeigen sie in ihrer Verwaltungsoberfläche an. Abonnements, die nach einer Pilotphase für eine größere Gruppe bestellt und nie angepasst wurden, fallen hier sofort auf – ebenso Dienste, die seit Monaten von niemandem mehr geöffnet wurden.

Doppelungen erkennen: nach Funktion sortieren, nicht nach Produktnamen

Der zweite Schritt ist eine Umsortierung. Nicht nach Anbieter oder Abteilung, sondern nach Funktion: Dateiablage, Videobesprechung, Kurznachrichten, Aufgabenverwaltung, Umfragen, Terminabstimmung, elektronische Signatur, Passwortverwaltung, Fernzugriff. Sobald in einer Zeile mehr als ein Produkt steht, beginnt die Prüfung – und sie endet überraschend oft bei einem Paket, das eine dieser Funktionen bereits enthält.

Ein Beispiel mit angenommenen Zahlen zeigt die Größenordnung. Ein Unternehmen mit 80 Beschäftigten führt 22 Abonnements. In drei Funktionsgruppen bestehen Doppelungen, betroffen sind angenommen 30, 18 und 12 Nutzerplätze. Werden diese 60 Plätze abgebaut, entfallen über zwölf Monate 720 bezahlte Nutzermonate für Funktionen, die an anderer Stelle ohnehin bezahlt werden. Die Zahlen sind Annahmen; die Rechnung lässt sich mit den eigenen Werten in einer halben Stunde nachvollziehen.

Eine Doppelung ist allerdings nicht immer ein Fehler. Ein Fachwerkzeug kann eine Funktion deutlich besser abdecken als das Paket, in dem sie nebenbei enthalten ist, und ein Wechsel kostet Einarbeitung. Die Entscheidung gehört deshalb dem Fachbereich, nicht der Kostenrechnung. Was die Liste leistet, ist die Frage sichtbar zu machen – und sie einmal bewusst zu beantworten statt gar nicht.

Der Kalender bestimmt, was möglich ist

Jede Erkenntnis über Doppelungen ist wertlos, wenn sie nach dem Verlängerungstermin eintrifft. Deshalb steht am Anfang der Konsolidierung kein Vergleich, sondern ein Kalender: Für jeden Dienst wird der Termin eingetragen, zu dem eine Änderung möglich ist – rückwärts gerechnet aus Vertragsende und Kündigungsfrist, mit einer Vorwarnung von mindestens einem Monat.

Im Geschäftsverkehr sind längere Laufzeiten und stillschweigende Verlängerungen verbreitet; maßgeblich ist, was im Vertrag und in den Geschäftsbedingungen steht. Zu prüfen sind vier Punkte: Verlängert sich der Vertrag automatisch, und um welchen Zeitraum? Wie lange vor Ende muss gekündigt werden, und in welcher Form? Ist eine Mindestzahl an Nutzerplätzen vereinbart? Und darf der Anbieter Preise während der Laufzeit anpassen?

Beim Wechsel selbst hat sich die Lage zugunsten der Kunden verändert. Für Datenverarbeitungsdienste, zu denen auch Software als Dienst zählt, setzt die EU-Datenverordnung Höchstfristen für Kündigung und Übergang und schafft Wechselentgelte bis zum 12. Januar 2027 vollständig ab. Von der vereinbarten Laufzeit befreit das nicht – wohl aber von der Sorge, dass der Weg aus einem Dienst an einer Rechnung für den Datenexport scheitert.

Fünf Fragen, bevor ein neues Abonnement hinzukommt

Eine Konsolidierung hält nur, wenn der Zugang zu neuen Diensten geordnet ist. Die Prüfung muss dabei kurz bleiben, sonst wird sie umgangen. Fünf Fragen genügen, und sie lassen sich von der Fachabteilung selbst beantworten:

Wer diese fünf Antworten vor der Bestellung verlangt und innerhalb weniger Tage entscheidet, verhindert die beiden häufigsten Nachfolgeprobleme: ein Abonnement, dessen Funktion bereits bezahlt wird, und eines, dessen Konten nach dem Austritt einer Person weiterlaufen.

Ein Name je Dienst, drei Rollen

Die häufigste Ursache für Wildwuchs ist keine fehlende Regel, sondern eine fehlende Person. Für jeden Dienst sollten drei Rollen benannt sein, die durchaus in einer Person zusammenfallen können: ein fachlich Verantwortlicher, der über Bedarf und Nutzerkreis entscheidet; ein technischer Verwalter, der Konten anlegt und entzieht; und ein Vertragsverantwortlicher, der Termine und Preise im Blick hat.

An diese Benennung hängen sich zwei Pflichten von selbst an. Verarbeitet der Dienst personenbezogene Daten, braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und einen Eintrag im Verarbeitungsverzeichnis. Und beim Austritt eines Beschäftigten muss jemand wissen, in welchen Diensten dieser Mensch ein Konto hatte. Eine gepflegte Dienstliste ist damit gleichzeitig eine Austrittsliste.

Für die laufende Ordnung genügt ein jährlicher Durchgang mit vier möglichen Ergebnissen je Dienst: unverändert weiterführen, mit einem anderen Dienst zusammenlegen, auf den tatsächlichen Nutzerkreis verkleinern oder zum nächsten möglichen Termin beenden. Wichtig ist, dass jedes Ergebnis notiert wird, auch das unveränderte Weiterführen – sonst beginnt die Prüfung im nächsten Jahr wieder bei null.

Unsere Einordnung: Der wirtschaftliche Gewinn einer Konsolidierung liegt seltener im gekündigten Dienst als in der wiedergewonnenen Übersicht. Ein Unternehmen, das für jeden Dienst Zweck, Nutzerkreis, Datenart, Frist und Verantwortlichen benennen kann, entscheidet bei der nächsten Anfrage aus einer Fachabteilung in Minuten – und weiß, was es dabei nicht noch einmal einkauft.

Verwandte Themen: Wer hier weiterdenkt, liest bei Cloud-Exit, Cloud-Vertrag und Identitätsverwaltung weiter.