Von der IT-Infrastrukturanalyse zum Maßnahmenplan: Was zuerst erledigt werden sollte

Nach der Analyse ist plötzlich sehr viel zu tun

Eine IT-Infrastrukturanalyse kann eine unangenehm lange Liste erzeugen. Der Server ist älter als ursprünglich gedacht, die Datensicherung wurde noch nie vollständig getestet, im Netzwerk fehlen klare Trennungen, einige Benutzer besitzen unnötige Administratorrechte und bei einer Produktionsmaschine läuft weiterhin ein altes Windows-System.

Wenn jeder dieser Punkte gleich behandelt wird, entsteht schnell der Eindruck, die gesamte IT müsse dringend erneuert werden.

Das ist selten eine sinnvolle Schlussfolgerung.

In praktisch jeder über Jahre gewachsenen Infrastruktur gibt es technische Verbesserungsmöglichkeiten. Ein Unternehmen muss deshalb unterscheiden zwischen einem Problem, das kurzfristig zu einem erheblichen Ausfall oder Sicherheitsvorfall führen kann, und einer technischen Unschönheit, die vielleicht noch mehrere Jahre problemlos weiterbestehen kann.

Der wichtigste Teil einer Infrastrukturanalyse beginnt deshalb nach der eigentlichen Bestandsaufnahme: Aus den gefundenen Punkten muss ein Maßnahmenplan entstehen, der sich an den tatsächlichen Auswirkungen auf das Unternehmen orientiert.

Technisches Alter allein bestimmt keine Priorität

Ein acht Jahre alter Switch wirkt auf einer Bestandsliste zunächst problematischer als ein fast neuer Server. Für die Priorisierung kann es trotzdem genau umgekehrt sein.

Wenn der Switch nur einige unkritische Büroarbeitsplätze versorgt und sich bei einem Defekt innerhalb einer Stunde ersetzen lässt, ist sein Alter möglicherweise kein dringendes Thema. Wenn dagegen der neue Server eine zentrale Datenbank enthält, für die keine funktionierende Sicherung vorhanden ist, besteht dort ein wesentlich größeres Risiko.

Deshalb sollten technische Auffälligkeiten nicht isoliert bewertet werden.

Interessanter sind Fragen wie: Was passiert, wenn das System morgen ausfällt? Wie viele Mitarbeiter oder Maschinen wären betroffen? Wie schnell lässt sich der Zustand wiederherstellen, und gibt es dafür einen getesteten Ablauf?

Eine Bewertung des tatsächlichen Zustands der IT muss solche Zusammenhänge berücksichtigen, weil eine optisch oder technisch moderne Umgebung keineswegs automatisch belastbarer ist als eine ältere, aber gut dokumentierte und vorbereitete Infrastruktur.

Die erste Gruppe umfasst unmittelbare Risiken

Einige Feststellungen rechtfertigen tatsächlich schnelles Handeln.

Dazu können beispielsweise offen aus dem Internet erreichbare Dienste gehören, die dort nicht erreichbar sein müssten, fehlende oder offensichtlich fehlerhafte Datensicherungen oder administrative Zugangsdaten, die nicht unter Kontrolle des Unternehmens stehen.

Auch ein unmittelbar bevorstehender Kapazitätsengpass kann dazugehören. Wenn ein zentraler Speicher fast vollständig gefüllt ist und der Betrieb bereits beeinträchtigt wird, bringt es wenig, das Thema auf einen langfristigen Maßnahmenplan zu verschieben.

Solche Punkte sollten zuerst behandelt werden, weil das Verhältnis zwischen Aufwand und möglichem Schaden häufig sehr deutlich ist.

Dabei muss die Sofortmaßnahme nicht immer bereits die endgültige Lösung darstellen. Ein unsicherer externer Zugang kann beispielsweise zunächst geschlossen werden, während anschließend ein sauberer neuer Fernzugriffsweg geplant wird.

Wichtig ist, ein akutes Risiko zunächst unter Kontrolle zu bringen.

Danach kommen Risiken mit erheblichen betrieblichen Folgen

Die zweite Gruppe betrifft häufig Systeme, deren Ausfall das Unternehmen deutlich treffen würde, bei denen aber kein unmittelbarer Defekt bevorsteht.

Ein zentraler Server kann beispielsweise technisch vollkommen gesund sein und trotzdem einen kritischen Einzelpunkt darstellen. Wenn weder Ersatzhardware noch ein realistischer Wiederherstellungsplan existiert, besteht ein relevantes Ausfallrisiko, obwohl momentan keine Störung vorhanden ist.

Ähnliches gilt für alte Maschinenrechner in der Produktion. Ein nicht mehr unterstütztes Windows-System muss nicht morgen ausgetauscht werden, sollte aber kontrolliert vom restlichen Netzwerk getrennt, vollständig gesichert und hinsichtlich seiner Wiederherstellbarkeit bewertet werden.

Hier entstehen häufig Maßnahmen, die sich innerhalb der nächsten Wochen oder Monate sinnvoll planen lassen.

Sie sind wichtig, müssen aber nicht unter unnötigem Zeitdruck umgesetzt werden.

Maßnahmen sollten möglichst mehrere Probleme gleichzeitig lösen

Eine gute Priorisierung betrachtet auch, welchen zusätzlichen Nutzen eine Änderung bringt.

Die Einführung einer sauberen Netzwerksegmentierung kann beispielsweise gleichzeitig alte Produktionssysteme isolieren, Gäste vom Firmennetz trennen, Kameras begrenzen und den administrativen Zugriff auf Netzwerkgeräte besser kontrollieren.

Eine Verbesserung der IT-Dokumentation reduziert wiederum die Abhängigkeit vom bisherigen Dienstleister, erleichtert Notfälle und vereinfacht zukünftige Änderungen.

Solche Maßnahmen können besonders attraktiv sein, weil sie mehrere erkannte Schwachstellen gemeinsam verbessern.

Das bedeutet nicht, dass immer das größte Projekt zuerst begonnen werden sollte. Häufig ist eine kleine Änderung mit großer Wirkung wirtschaftlich interessanter.

Ein zusätzliches externes Backup kann beispielsweise innerhalb kurzer Zeit ein wesentliches Risiko beseitigen, während eine vollständige Erneuerung der Serverlandschaft deutlich mehr Planung erfordert und möglicherweise weniger dringend ist.

Nicht jedes bekannte Risiko muss sofort beseitigt werden

Ein Maßnahmenplan darf ausdrücklich Punkte enthalten, bei denen sich das Unternehmen zunächst gegen eine Veränderung entscheidet.

Das ist besonders bei Produktions-IT wichtig.

Eine funktionierende Maschine mit einem zwanzig Jahre alten Steuerungsrechner kann ein bekanntes technisches Risiko darstellen. Wenn ein Austausch aber hunderttausend Euro kosten würde, während sich das vorhandene System durch Netzwerkisolierung, ein vollständiges Systemabbild und verfügbare Ersatzhardware ausreichend absichern lässt, kann der weitere Betrieb eine vollkommen vernünftige Entscheidung sein.

Das Risiko wird dadurch nicht geleugnet. Es wird bewusst behandelt.

Diese Unterscheidung ist für die Geschäftsführung wichtig, weil IT-Sicherheit und Ausfallsicherheit immer auch wirtschaftliche Entscheidungen enthalten.

Technisch wäre fast immer noch mehr möglich. Ein kleines Unternehmen muss aber nicht jede theoretische Schwachstelle mit maximalem Aufwand beseitigen.

Der Maßnahmenplan sollte deshalb auch dokumentieren, welche Risiken bekannt sind und warum sie vorerst akzeptiert werden.

Kosten müssen zusammen mit dem möglichen Schaden betrachtet werden

Eine Maßnahme lässt sich kaum sinnvoll bewerten, ohne zumindest grob ihre Kosten und den vermiedenen Schaden gegenüberzustellen.

Wenn eine zusätzliche Sicherung einige hundert Euro pro Jahr kostet und dafür verhindert, dass ein Brand sämtliche Unternehmensdaten vernichtet, ist die Entscheidung vergleichsweise einfach.

Bei einer vollständig redundanten Serverumgebung kann die Rechnung anders aussehen. Wenn der vorhandene Server bei einem Defekt innerhalb von vier Stunden wiederhergestellt werden kann und vier Stunden Ausfall für das Unternehmen verkraftbar sind, kann eine teure Hochverfügbarkeitslösung wirtschaftlich wenig sinnvoll sein.

Die Abhängigkeit von einem einzelnen Server ist damit zunächst eine technische Feststellung. Ob daraus eine Investition folgen sollte, hängt von der tatsächlichen Bedeutung dieser Abhängigkeit ab.

Eine Infrastrukturanalyse sollte deshalb keine Einkaufsliste erzeugen, sondern Entscheidungsgrundlagen.

Manche Verbesserungen sollten mit ohnehin geplanten Arbeiten verbunden werden

Nicht jede Optimierung muss als eigenes Projekt durchgeführt werden.

Wenn in sechs Monaten ohnehin neue Switches installiert werden sollen, kann die geplante Netzwerksegmentierung damit verbunden werden. Wird ein Server ersetzt, ist dies ein guter Zeitpunkt, um gleichzeitig Datensicherung und Wiederanlauf zu überprüfen.

Auch Umbauten oder die Anschaffung neuer Maschinen bieten Gelegenheiten, bestehende Strukturen zu verbessern.

Ein Maßnahmenplan sollte deshalb nicht nur Prioritäten enthalten, sondern auch sinnvolle Zeitpunkte für die Umsetzung.

So lässt sich verhindern, dass funktionierende Technik vorschnell verändert wird, obwohl eine ohnehin anstehende Erneuerung das gleiche Problem später sauberer lösen kann.

Der Maßnahmenplan muss verständlich bleiben

Eine Liste voller Begriffe wie VLAN, RPO, immutable Backup, ACL oder Hypervisor hilft der Geschäftsführung wenig, wenn daraus nicht hervorgeht, welches Problem damit gelöst werden soll.

Eine Maßnahme sollte deshalb zunächst in ihrer geschäftlichen Wirkung beschrieben werden.

Statt lediglich „VLAN für Produktion einrichten“ festzuhalten, ist verständlicher: Die älteren Maschinensteuerungen werden vom Büronetz getrennt und dürfen anschließend nur noch die Server erreichen, die sie für den Betrieb benötigen.

Statt „Offsite Backup“ kann festgehalten werden, dass eine zusätzliche Sicherung außerhalb des Gebäudes eingerichtet wird, damit ein Brand nicht gleichzeitig Originaldaten und sämtliche Sicherungen zerstören kann.

Die technische Umsetzung gehört anschließend zum Auftrag des IT-Dienstleisters.

Für die Geschäftsführung muss zuerst verständlich sein, warum eine Maßnahme notwendig ist und welches Risiko damit reduziert wird.

Fortschritt sollte überprüfbar sein

Ein Maßnahmenplan verliert seinen Nutzen, wenn er nach der Analyse in einem Ordner verschwindet.

Deshalb sollten die Punkte so beschrieben sein, dass sich ihr Status später nachvollziehen lässt. Maßnahmen können beispielsweise als kurzfristig, geplant, umgesetzt oder bewusst zurückgestellt gekennzeichnet werden.

Dabei ist ebenfalls sinnvoll, Verantwortlichkeiten festzulegen. Einige Punkte übernimmt der bestehende IT-Dienstleister, andere müssen mit einem Maschinenhersteller abgestimmt werden und wieder andere benötigen zunächst eine Entscheidung der Geschäftsführung.

Regelmäßige Termine bieten eine gute Gelegenheit, den Stand zu prüfen. Genau deshalb ergänzt eine proaktive Betreuung durch den IT-Dienstleister eine einmalige Infrastrukturanalyse sinnvoll: Die Analyse schafft zunächst Transparenz, während die weitere Betreuung dafür sorgt, dass Maßnahmen umgesetzt werden und neue Veränderungen nicht wieder jahrelang unbemerkt bleiben.

Eine gute Analyse führt nicht zwangsläufig zu einem großen Projekt

Eine IT-Infrastrukturanalyse kann durchaus ergeben, dass größere Investitionen sinnvoll sind. Sie kann aber genauso gut zeigen, dass die vorhandene Technik grundsätzlich brauchbar ist und einige gezielte Verbesserungen ausreichen.

Vielleicht fehlt vor allem eine externe Sicherung. Möglicherweise müssen alte Maschinen aus dem Büronetz herausgelöst werden, einige Administratorrechte bereinigt und zentrale Zugangsdaten dokumentiert werden.

Solche Maßnahmen können die Belastbarkeit einer Infrastruktur erheblich verbessern, ohne dass Server, Netzwerk und sämtliche Arbeitsplätze erneuert werden müssen.

Genau deshalb ist die Priorisierung so wichtig. Sie verhindert, dass technische Perfektion zum Selbstzweck wird und sorgt dafür, dass Zeit und Budget dort eingesetzt werden, wo sie für den Betrieb den größten Unterschied machen.

Am Ende sollte ein Geschäftsführer nach einer Infrastrukturanalyse drei Dinge klar erkennen können: Was müssen wir jetzt tun, was sollten wir geplant verbessern und welche bekannten Risiken können wir vorerst bewusst akzeptieren?

Wenn diese Fragen beantwortet sind, wird aus einer technischen Bestandsaufnahme eine tatsächliche Entscheidungsgrundlage.