IT-Lagebild: die unabhängige Bestandsaufnahme Ihrer IT-Landschaft
Ein IT-Lagebild ist eine unabhängige Bestandsaufnahme der IT eines Unternehmens: acht Erhebungsfelder, jedes aus technischer, fachlicher und kaufmännischer Sicht betrachtet und zu einem Gesamtbild zusammengeführt. Was trägt weiter, was muss nachziehen, und was gehört auf den Prüfstand? Die Antwort entsteht nicht aus einer Sicht, sondern aus dem Vergleich der drei — und wird zu einer Entscheidungsgrundlage, die vor Geschäftsführung, Gremien und Prüfern trägt.
Für Unternehmen mit eigener IT zwischen 60 und 400 Anwendern, in denen Investitionen anstehen und ein belastbares Gesamtbild fehlt. Festpreis, definierter Gegenstand, definierte Ergebnisse.
Das Format ist ein Baustein der strategischen IT-Beratung. Geht es um Führungsverantwortung auf Zeit statt um Bewertung, passt Interim IT-Management besser.
Niemand beauftragt eine Bestandsaufnahme, weil sie eine gute Idee ist
Beauftragt wird sie, wenn etwas passiert ist. Diese sechs Situationen lösen das Format in der Praxis aus — meist mehrere gleichzeitig. Genau das ist das Muster: Einzeln ist jeder Punkt erklärbar, zusammen ergeben sie den Bedarf an einem Gesamtbild.
Der Prüfer hat etwas beanstandet
Rollen- und Rechtekonzepte, Nachvollziehbarkeit, Dokumentation. Die Feststellung ist extern, schriftlich und an den Prüfungszyklus gebunden — eine Zusage, sich darum zu kümmern, reicht beim nächsten Mal nicht mehr.
Die IT-Leitung geht
Rente, Wechsel, Krankheit. Und niemand kann verlässlich sagen, welches Wissen mitgeht, welche Zugänge nur in einem Kopf existieren und was danach nicht mehr läuft.
Die IT-Kosten sind nicht erklärbar
Die Summe steht im Haushalt, aber was dahinter liegt, lässt sich nicht aufschlüsseln. Verträge sind über Jahre gewachsen, verlängern sich automatisch, und niemand prüft Rechnungen inhaltlich.
Investitionen stehen an
Infrastruktur, Systemablösung, Sicherheitsmaßnahmen — alles gleichzeitig, alles begründet, und keine Grundlage für die Entscheidung, was zuerst und was gar nicht.
Das Unternehmen wächst
Neue Bereiche, mehr Personal, höhere Anforderungen. Die IT ist mitgewachsen — aber niemand hat geprüft, ob die Struktur die nächste Stufe trägt.
Etwas ist passiert
Ein Vorfall bei Berechtigungen, beim Datenschutz oder in der Sicherheit. Die Frage danach ist nie nur der Einzelfall, sondern: Wo haben wir dasselbe Muster noch?
Drei Sichten auf denselben Gegenstand
Der Kern des Formats ist keine Checkliste, sondern ein Betrachtungsprinzip. Jeder Service, jedes System, jeder Vertrag wird aus drei Richtungen angesehen. Der Wert entsteht nicht in den einzelnen Sichten, sondern in ihrer Überlagerung.
Technisch
Woraus besteht das, wie wird es betrieben, gepatcht, gesichert? In welchem Zustand ist es, und wovon hängt es ab? Diese Sicht liefert jedes Systemhaus — allein erklärt sie nie, ob eine Investition richtig ist.
Fachlich
Wer braucht das wofür? Wie kritisch ist es für die tägliche Arbeit, wer verantwortet es inhaltlich, was passiert, wenn es zwei Tage steht? Diese Sicht kommt aus den Fachbereichen, nicht aus der IT.
Kaufmännisch
Was kostet es laufend und einmalig? Was ist vertraglich gebunden, mit welcher Laufzeit und Kündigungsfrist? Bezahlen wir für Leistung, die wir nutzen? Diese Sicht fehlt in klassischen IT-Audits vollständig.
Deshalb kann diese Frage weder ein Systemhaus beantworten, das nur die technische Sicht hat, noch das Controlling, das nur die kaufmännische hat. Auch die IT-Leitung hat das Bild nicht — nicht aus Unvermögen, sondern weil ihr die anderen beiden Sichten strukturell fehlen.
Acht Felder, drei Sichten — und was das für Ihr Unternehmen bedeutet
Statt einer Aufzählung: Sehen Sie selbst nach, was in jedem Feld erhoben wird, welche Fragen dort typischerweise unbeantwortet sind und was dabei regelmäßig gefunden wird. Im dritten Reiter rechnen Sie den Zuschnitt für Ihre Größenordnung durch.
Was beim IT-Lagebild tatsächlich erhoben wird
Acht Felder, jedes aus drei Sichten — zum Durchklicken.
Alle acht Felder werden erhoben — mit unterschiedlichem Gewicht. Welche Felder Schwerpunkt sind, wird zu Beginn gemeinsam festgelegt, nicht vorab behauptet.
Die acht Erhebungsfelder:
Jeder Service, jedes System, jeder Vertrag wird aus drei Richtungen angesehen. Der Wert entsteht nicht in den einzelnen Sichten, sondern dort, wo sie sich widersprechen. Wählen Sie eine Sicht — Sie sehen dann je Feld nur deren Fragen.
Vier Angaben genügen für eine erste Einordnung: wie viele Gespräche das Vorhaben braucht, wie lange es läuft und wie viel Zeit es bei Ihnen kostet.
Der Aufwand bezieht sich auf Ihre Mitwirkung — Gespräche, Unterlagen, Erhebungsbögen — verteilt über die Laufzeit. Der Festpreis wird je Zuschnitt vereinbart.
| Erhebungsfeld | Was darin erhoben wird |
|---|---|
| 01 · Infrastruktur und Betrieb | Serversysteme und Virtualisierung, Hosting-Verteilung, Netztopologie, Lebenszyklen der Kernkomponenten, Wartungsfenster, Patchkonzept, Asset-Verzeichnis, Monitoring. |
| 02 · Arbeitsplatz und Endgeräte | Clientlandschaft über alle Plattformen, Geräteinventar und Altersverteilung, Mobile-Device-Management und dessen Abdeckung, Umgang mit privaten Geräten, Softwareverteilung und -pflege. |
| 03 · Identitäten, Rollen und Rechte | Verzeichnisdienst und dessen Härtung, Rollen- und Rechtekonzept, Vergabe und Entzug von Berechtigungen, Rezertifizierung, administrative Konten, Notfallzugänge, Secret-Verwaltung, Dienstkonten, Mehrfaktor-Abdeckung. |
| 04 · Sicherheit und Netzwerkschutz | Endpoint-Schutz, Mail- und Phishing-Abwehr, Absenderauthentifizierung, Protokollierung und Auswertung, Firewalls in Betrieb und Konzept, Netzsegmentierung, Fernzugriff und Fernwartung, Sicherheitsrichtlinien. |
| 05 · Resilienz und Wiederanlauf | Sicherungsinfrastruktur und -umfang, unveränderliche Kopien, tatsächlich getestete Wiederherstellung, Wiederanlaufziele nach Zeit und Datenverlust, Redundanzen, Notfallkonzept, Sicherungslage bei Dienstleistern. |
| 06 · Anwendungen und Daten | Vollständige Anwendungsliste mit Zweck und Verantwortlichen, Betriebskonzepte, kaufmännische Kernsysteme, fachspezifische Systeme und Datenbestände, Datenflüsse und Schnittstellen, KI-Werkzeuge und deren Datenbasis, Werkzeuge außerhalb der offiziellen Landschaft. |
| 07 · Dienstleister, Verträge und Kosten | Vertragslandschaft und Laufzeiten, Lizenzmodelle, vereinbarte gegen tatsächlich erbrachte Leistung, Steuerungsgrößen und Servicezusagen, Verantwortungsabgrenzung, Abhängigkeiten, Auftragsverarbeitung, Cloud- und SaaS-Kosten. |
| 08 · Prozesse und Steuerung | Änderungs-, Störungs- und Sicherheitsvorfallprozesse, Beschaffung, Ein- und Austrittsprozesse, Ticketsystem als Spiegel des Betriebsgeschehens, Roadmap, laufende Vorhaben, Investitionsplanung. |
Alle acht Felder werden erhoben, mit unterschiedlichem Gewicht. Welche davon Schwerpunkt sind, wird zu Beginn gemeinsam festgelegt. Jedes Feld wird aus drei Sichten betrachtet — technisch, fachlich und kaufmännisch.
Nach der Breitenaufnahme entscheiden Sie, wo vertieft wird
Fünf Phasen, vier Meilensteine, und dazwischen ein echter Entscheidungspunkt. Welche Felder in der zweiten Stufe vertieft werden, legen Sie fest, wenn das Lagebild vorliegt — auf Basis von Befunden, nicht auf Basis einer Annahme aus der Angebotsphase.
Rahmen steht
Auftragsklärung, Kickoff mit Leitung und IT-Leitung, Kommunikation im Unternehmen, Dokumentenanforderung und Erhebungsbögen sind raus.
Erhebung abgeschlossen
Gespräche geführt, Bögen ausgewertet, Dokumente gesichtet, Systemeinblick genommen. Statusnotiz mit ersten Beobachtungen.
Lagebild — Ihr Entscheidungspunkt
Zwischenpräsentation mit Befunden, Widersprüchen und Risikoübersicht. Sie legen fest, ob und wo vertieft wird.
Bewertung und Übergabe
Entwurf zur Kommentierung, dann Abschlusssitzung als Arbeitssitzung — die Investitionslogik wird gemeinsam durchgegangen und entschieden.
Während der Erhebungsphase geht wöchentlich ein kurzer Erhebungsstand an Sie und die IT-Leitung — je Feld mit dem Status offen, in Erhebung, vollständig oder Lücke festgestellt. Damit ist sichtbar, wo noch etwas fehlt, solange es sich beheben lässt.
Was am Ende bei Ihnen liegt
Nicht ein Foliensatz zur Kenntnisnahme, sondern ein Dokumentensatz, mit dem intern weitergearbeitet wird — und eine Sitzung, in der Entscheidungen tatsächlich getroffen werden.
Assessment-Bericht
Befunde je Erhebungsfeld, jeweils aus technischer, fachlicher und kaufmännischer Sicht — mit Quelle und Belegstärke je Befund. Was nicht erhoben wurde, steht ausdrücklich drin.
Management Summary
Drei Seiten für Leitung und Gremien. Kompakt, ohne technische Voraussetzungen beim Leser, mit der Investitionslogik als Tabelle.
Maßnahmenliste
In bearbeitbarer Form. Jede Position eingeordnet als weiterführen, nachziehen oder auf den Prüfstand — mit Begründung, Aufwandseinschätzung und Zeitfenster.
Risikoübersicht
Bewertet nach Risiko bei Nichthandeln und Dringlichkeit, verdichtet auf die Ebene, auf der darüber entschieden wird.
Ist-Dokumentation
System- und Vertragslandschaft mit Verantwortlichkeiten und Abhängigkeiten. Der Teil, der bleibt — und auf dem eine künftige IT-Leitung aufsetzen kann.
Abschlusssitzung
Kein Vortrag, sondern eine Arbeitssitzung von 90 Minuten, in der die Maßnahmenliste Position für Position durchgegangen und eingeordnet wird.
Was nicht dazugehört: keine rechtliche Bewertung — datenschutzrechtliche Einordnung und Meldepflichten bleiben bei Datenschutzbeauftragten und Justiziariat. Keine technischen Sicherheitstests wie Penetrationstests oder Schwachstellenscans. Keine Produkt- oder Herstellerauswahl. Keine Umsetzung der Maßnahmen — wenn ohnehin klar ist, was zu tun ist, und nur Kapazität fehlt, ist das Lagebild das falsche Format. Und kein Gutachten mit vorab feststehendem Ergebnis: Was erhoben wird, steht im Bericht, auch wenn es unbequem ist. Für alles Weitere liefert das Lagebild die Entscheidungsgrundlage — es ist bewusst nicht Teil des Formats.
Was es Sie an Zeit kostet — offen gerechnet
Diese Zahlen kommen vorweg, weil sie ohnehin die erste Rückfrage sind. Richtwerte für den Standard-Zuschnitt, verteilt über zehn Wochen. Rund ein Drittel entfällt auf die Gespräche, zwei Drittel auf Unterlagen und Erhebungsbögen.
| Rolle | Wofür | Umfang |
|---|---|---|
| IT-Leitung | Zwei Gespräche, Erhebungsbogen technisch, Unterlagen, Rückfragen | 12 – 15 Std. |
| Leitung / Auftraggeber | Auftragsklärung, Gespräch, Kommentierung, Abschluss | ca. 8 Std. |
| IT-Administration | Gespräch, Zuarbeit zur Erhebung | ca. 6 Std. |
| Kaufmännische Verantwortung | Gespräch, Kostenaufstellung, Erhebungsbogen kaufmännisch | ca. 6 Std. |
| Anwendungsverantwortliche, je Person | Gruppensession, Erhebungsbogen fachlich | ca. 2,5 Std. |
| Gesamt, über zehn Wochen verteilt | 45 – 50 Std. | |
Vorausgesetzt ist, dass die IT-Organisation mitwirken darf und will — ohne Zuarbeit fehlt die Datengrundlage, und das Ergebnis wäre eine Vermutung mit Deckblatt. Was nicht existiert, wird dagegen als nicht vorhanden gemeldet. Das ist eine vollständige Antwort, kostet keine Zeit und wird als Befund aufgenommen — nicht als Versäumnis behandelt. Aufwendig wird es nur dort, wo Unterlagen existieren, aber nicht bereitgestellt werden.
Drei Zuschnitte, ein Festpreis, ein Ausstiegspunkt
Welcher Zuschnitt passt, hängt an vier Größen: Anzahl der Anwender, Größe der IT, Standorte und Zahl der externen Dienstleister. Daraus folgen Gesprächszahl, Laufzeit und der Aufwand, den das Vorhaben bei Ihnen verursacht. Der Preis ist ein Festpreis und wird beim Zuschnitt gemeinsam festgelegt.
- bis etwa 60 Anwender, IT bis zwei Personen
- ein Standort, überschaubare Dienstleisterlandschaft
- alle acht Felder in der Breite, zwei bis drei im Schwerpunkt
- Aufwand bei Ihnen: 25 – 30 Std.
- Vertiefung als möglicher Anschluss, nicht Teil des Zuschnitts
- 60 bis 150 Anwender, IT drei bis sechs Personen
- ein bis zwei Standorte
- drei bis vier Felder im Schwerpunkt
- Aufwand bei Ihnen: 45 – 50 Std.
- Stufe 2 optional — Entscheidung erst nach dem Lagebild
- 150 bis 400 Anwender
- mehrere Standorte oder Gesellschaften
- gewachsene Dienstleisterlandschaft mit parallelen Verträgen
- Aufwand bei Ihnen: 70 – 90 Std.
- Stufe 2 optional — Entscheidung erst nach dem Lagebild
Nach Stufe 1 sind Sie entscheidungsfähig — auch wenn Sie an dieser Stelle enden möchten. Der Festpreis wird je Zuschnitt vereinbart, Zahlung in zwei Teilen: nach dem Lagebild und nach Abschluss. Reisekosten für Vor-Ort-Termine im Raum Hamburg und Norddeutschland sind enthalten. Eine belastbare Größenordnung nenne ich Ihnen im Erstgespräch, sobald der Zuschnitt steht.
Wodurch sich das von einem Digital-Check unterscheidet
Am Markt gibt es Bestandsaufnahmen ab etwa 4.000 Euro, oft als Schwachstellenanalyse mit Maßnahmenliste, teils gefördert. Sie beantworten eine technische Frage, und dafür sind sie richtig gerechnet.
Das IT-Lagebild beantwortet drei Fragen gleichzeitig: den technischen Zustand, die fachliche Kritikalität und die kaufmännische Bindung — je Erhebungsfeld, nebeneinandergelegt. Der Nutzen entsteht dort, wo die drei Sichten sich widersprechen: ein System, das technisch abgekündigt ist, fachlich als unverzichtbar gilt und vertraglich noch drei Jahre läuft. Diese Widersprüche sind der eigentliche Gegenstand — und sie fallen in einer Schwachstellenanalyse nicht auf, weil dort nur eine der drei Sichten erhoben wird.
Entsprechend unterscheidet sich der Aufwand. Wer eine schnelle technische Einschätzung braucht, ist mit dem kleineren Format richtig bedient.
Was auf ein Lagebild folgen kann
Benannt, nicht angeboten. Ein Vorhaben, das auf einem Lagebild aufsetzt, startet mit vorhandener Ist-Dokumentation, benannten Verantwortlichkeiten und bekannter Vertragslage — die ersten Wochen jedes Projekts entfallen. Das gilt auch dann, wenn das Folgeprojekt jemand anderes macht.
Umsetzung steuern
Wenn mehrere Maßnahmen parallel laufen und niemand sie führt — als Projektsteuerung, nicht als Lieferung. Konkurrieren die Maßnahmen um dieselben Leute, ordnet ein Portfolio Review sie zuerst. Der Fortschritt der Maßnahmen wird dann an fertigen Ergebnissen gemessen, nicht geschätzt. Für die technische Umsetzung selbst brauchen Sie jemanden, der liefert. Das ist EFFICAS nicht, und das ist Absicht.
Führung auf Zeit
Wenn das Lagebild eine Nachfolgesituation oder Führungslücke sichtbar macht: Interim IT-Management auf Basis eines Bildes, das bereits vorliegt.
Wiederholung nach 18 bis 24 Monaten
Wenn Gremien oder Prüfer fragen, was aus den Maßnahmen geworden ist. Deutlich schlanker, weil die Ist-Dokumentation existiert und nur fortgeschrieben wird.
Womit das belegt ist
Neun anonymisierte Mandate mit Größenordnung und übernommener Verantwortung. Wie eine Zusammenarbeit vereinbart und abgerechnet wird, steht unter Formen und Konditionen.
Was vor der Beauftragung gefragt wird
Die Fragen, die in Erstgesprächen zuerst kommen — mit den Antworten, die auch nach dem Gespräch noch gelten. Wo eine Spanne steht, hängt sie am Zuschnitt und wird vorher festgelegt, nicht nachträglich.
Für welche Unternehmen eignet sich ein IT-Lagebild?
Unterhalb von rund 60 Anwendern genügt meist ein Gespräch. Oberhalb von 400 passt die Erhebung nicht mehr in einen Zuschnitt, dort greifen andere Formate. Dazwischen ist es gebaut — vorausgesetzt, es gibt eigene IT-Verantwortung im Unternehmen.
Wie lange dauert ein IT-Lagebild?
Sechs bis vierzehn Wochen, je nach Zuschnitt. Der Aufbau ist zweistufig mit einem Entscheidungspunkt dazwischen — Sie entscheiden nach der ersten Stufe, ob und wie es weitergeht.
Wie viel Aufwand entsteht bei uns im Unternehmen?
Fünfundzwanzig bis neunzig Stunden, verteilt auf vier bis zwölf Termine. Der Aufwand liegt bei den Menschen, die Auskunft geben — nicht bei der IT-Leitung allein, denn die fachliche und die kaufmännische Sicht kommen aus den Fachbereichen und dem Controlling.
Was kostet ein IT-Lagebild?
Festpreis je Zuschnitt, kein Tagessatz. Gegenstand und Ergebnisse werden vorher definiert; was der Zuschnitt für Ihre Größenordnung bedeutet, lässt sich mit vier Angaben durchrechnen — Anwender, IT-Personen, Standorte, Dienstleister.
Worin unterscheidet sich das von einem IT-Audit?
Ein Audit prüft die technische Sicht. Das IT-Lagebild legt drei Sichten nebeneinander — technisch, fachlich, kaufmännisch — und sucht die Stellen, an denen sie nicht zusammenpassen. Die kaufmännische Sicht fehlt in klassischen IT-Audits vollständig, und genau dort liegen die Investitionsentscheidungen.
Kann das nicht unser Systemhaus machen?
Ein Systemhaus liefert die technische Sicht zuverlässig. Es hat aber weder die fachliche noch die kaufmännische — und es verdient an dem, was es empfiehlt. Genau dieser Interessenkonflikt ist hier ausgeschlossen.
Was liegt am Ende vor?
Sechs Dinge: ein Assessment-Bericht je Feld, eine Management Summary auf drei Seiten, eine bearbeitbare Maßnahmenliste, eine Risikoübersicht, die Ist-Dokumentation und eine Abschlusssitzung, in der entschieden wird. Was nicht erhoben wurde, steht ausdrücklich drin.
Drei Wege, je nachdem wie weit Sie sind
Sie wissen, dass etwas ansteht — aber nicht genau was
Der EFFICAS Schnell-Check ordnet in zwölf Fragen ein, wo bei Ihnen der Druck liegt: Führung, Steuerung, Delivery, Infrastruktur. Der Check beruht auf Ihrer Einschätzung, das IT-Lagebild auf Erhebung. Als Vorbereitung auf ein Erstgespräch reicht der Check völlig aus.
- 12 Fragen
- Anonym
- Kostenlos
- ca. 6 Minuten
Sie wollen es intern weitergeben
Der OnePager beschreibt das Format auf einer Seite — Anlass, Prinzip, Ablauf, Ergebnisse, Investition. Gemacht zum Weiterleiten an Geschäftsführung, Einkauf oder Gremium.
Ein externer Review ist kein Misstrauensvotum. Er ist ein Stresstest für die eigene Ehrlichkeit.