Den IT-Stand kleiner Betriebe erheben

Die IT trägt in der Ernährungs­wirtschaft längst das Geschäft: Warenlogistik, Chargenzuordnung, Allergen­verwaltung, Kassensysteme, Freigaben aus dem Labor. Kleine und mittlere Betriebe haben dafür keinen Maßstab. Wer sagt ihnen, ob die eigene IT tragfähig ist, ohne dass daraus ein Beratungs­projekt mit offenem Ende wird? Die Branchen­organisation will ihren Mitgliedern eine neutrale Beurteilung zugänglich machen und braucht dafür ein Verfahren, das jeder Betrieb versteht, das branchen­spezifisch fragt und das sich wiederholen lässt.

Branchen­spezifisch fragen, nicht allgemein. Ein IT-Check von der Stange fragt nach Servern und Daten­sicherung. In einem Lebensmittel­betrieb entscheiden andere Dinge: Welches System führt die Chargenzuordnung und die Allergen­verwaltung? Welche Laborsysteme müssen laufen, damit Produktion und Auslieferung nicht stehen, Freigabemechanismen, mikrobiologische Analysen? Steht der Serverraum staubträchtig neben einer Trocken­produkt­linie, feucht neben einer Nass­produktion, unterhalb einer Siloanlage? Diese Fragen stehen in den Erhebungs­rastern. Sie sind der Grund, warum das Verfahren hier findet, was ein allgemeiner Check übersieht.

Zwei Tage im Betrieb, zehn Tage bis zur Empfehlung. Der Zuschnitt war eine Entscheidung gegen die eigene Bequemlichkeit: leitfadengestützte Interviews mit Geschäfts­führung und IT-Verantwortung, Sichtung der vorhandenen Dokumentation, Begehung bis in den Serverraum, danach Auswertung außer Haus. Der Betrieb wird zwei Tage belastet, nicht zwei Wochen, und zwischen Beginn und Ergebnispräsentation liegen in der Regel nicht mehr als zehn Tage. Genau das entscheidet darüber, ob ein Mittelständler ein solches Verfahren überhaupt beauftragt.

Der Maßstab kommt von außen. Die Befunde werden gegen die Leitfäden des Bundesamts für Sicherheit in der Informations­technik gespiegelt. Damit hängt die Bewertung nicht am Urteil des Prüfenden, und der Betrieb bekommt eine Begründung, die er gegenüber Kunden, Auditoren und dem eigenen IT-Dienstleister vertreten kann. Die neutrale Position war Teil des Auftrags: Wer den Check durchführt, verkauft weder Hardware noch Software noch Betreuung. Deshalb wird auch das gefragt, was ein Systemhaus bei sich selbst nicht prüft: wer informiert wird, wenn sich etwas am System ändert, wer die Supportfristen der eingesetzten Produkte verfolgt, wer die Dokumentation führt.

Was dabei herauskommt, sieht in jedem Betrieb anders aus. In einer Bäckerei mit achtzehn Standorten war es die Abhängigkeit von einer einzigen Person und ein gespiegelter Server, der im selben Raum stand wie das Original. Bei einem Fleischwarenhersteller, dessen Website angegriffen und für Spam-Versand missbraucht worden war, richteten wir den Check auf die IT-Sicherheit aus und fanden neben der offensichtlichen Lücke eine Daten­sicherung ohne Notstrom und Server, von denen aus im Internet gesurft werden konnte. Bei einem Vorlieferanten der Wurstindustrie war der Befund grundsätzlicher: Die Rückverfolgung lief nur manuell über Papier­dokumente, ein durchgehendes IT-Konzept fehlte ganz. Daraus wurde ein eigenes Vorhaben. In allen Fällen dasselbe Verfahren, dasselbe Bewertungs­raster und ein Ergebnis­bericht, der vor der Geschäfts­führung vorgestellt und diskutiert wird, damit die Empfehlungen nicht in einer Datei verschwinden.

Übertragbar, weil das Muster erprobt ist. Das Muster kommt nicht vom Zeichenbrett. Es stammt aus einem regionalen Förderprogramm, in dem wir als einer der beauftragten IT-Berater gearbeitet haben; für die Ernährungs­wirtschaft haben wir es neu gefasst. Branchen­spezifisch sind die Fragen, nicht das Verfahren. Der Aufbau, von der Wertschöpfung über den Istzustand und die Risiken bis zu bewerteten Empfehlungen, lässt sich in eine andere Branche übersetzen, indem die Erhebungs­raster ausgetauscht werden. Für eine Branchen­organisation ist das die eigentliche Nachricht: Ein solches Angebot muss man nicht je Mitglied erfinden.