Systemlandschaft

Die erste Frage jeder Bestandsaufnahme lautet nicht „welche Daten verarbeiten Sie”, sondern „welche Systeme setzen Sie ein”. Die zweite Frage – „sind das alle?” – wird fast immer mit ja beantwortet und ist fast immer falsch. Die Systemlandschaft ist der Ort, an dem diese Frage überhaupt beantwortbar wird.

Was erfasst wird

Je System die Angaben, die man später braucht und dann nicht mehr zusammenbekommt:

Wofür es eingesetzt wird und von welchen Bereichen. Wer es betreibt – selbst, ein Dienstleister, ein Anbieter als Dienst. Wo es läuft, und ob damit eine Übermittlung in ein Drittland verbunden ist. Wer fachlich zuständig ist – nicht die IT, sondern die Person, die über den Einsatz entscheidet. Welche Schnittstellen zu anderen Systemen bestehen.

Der letzte Punkt ist der aufwendigste und der wertvollste. Datenflüsse entstehen selten im System selbst, sondern zwischen Systemen – und genau dort werden sie übersehen, weil sich niemand zuständig fühlt.

Der Zusammenhang, der daraus entsteht

Die Systemlandschaft ist der Anker, an dem drei andere Bereiche hängen:

Verarbeitungen. Jeder Eintrag im Verarbeitungsverzeichnis läuft über ein oder mehrere Systeme. Ist die Zuordnung gepflegt, lässt sich die Frage „welche Verarbeitungen sind betroffen, wenn wir dieses System ablösen” in Sekunden beantworten.

Dienstleister. Wer ein System betreibt, ist regelmäßig Auftragsverarbeiter – die Verknüpfung erspart die doppelte Pflege.

Risiken und Maßnahmen. Ein Risiko hängt an einem System; eine Maßnahme wirkt auf eines.

Sichtbar wird das Ergebnis im Datenflussdiagramm.

Wo Schatten-IT auffällt

Nicht durch Suche, sondern durch Abgleich. Wenn ein Fachbereich eine Verarbeitung beschreibt, für die kein System erfasst ist, fehlt eines. Wenn eine Rechnung für ein Werkzeug eingeht, das nirgends steht, fehlt eines. Wenn der Website-Check einen Dienst meldet, den niemand kennt, fehlt eines.

Das gilt heute besonders für KI-Werkzeuge, die ohne Installation im Browser laufen und deshalb an jeder Beschaffung vorbei eingeführt werden – siehe KI-Richtlinie.

Grenzen

Das ist kein IT-Betriebswerkzeug. Eine Systemlandschaft für Compliance-Zwecke beschreibt, was fachlich relevant ist – nicht Konfigurationen, Versionsstände oder Patchzyklen. Wer eine Konfigurationsdatenbank braucht, braucht ein anderes Werkzeug; die beiden lassen sich nebeneinander betreiben.

Vollständigkeit ist eine Daueraufgabe. Eine Erhebung ist nach einem Jahr überholt. Wirksam ist nicht die gründliche Erstaufnahme, sondern die Regel, dass neue Systeme vor der Einführung gemeldet werden – und ein Weg, der das einfach macht.