Die meisten KMU, mit denen wir sprechen, können vier einfache Fragen nicht beantworten: Wie viele Laptops hat die Firma, wie viele aktive Microsoft-365-Konten zahlen Sie, was kosten die SaaS-Abos im Monat, und wo steht eigentlich dieser Server, der „irgendwas tut"? Nicht aus Schlamperei. Sondern weil die Firma schneller gewachsen ist als jedes Heft.
Eine IT-Bestandsaufnahme klingt nach langweiliger Bürokratie für Konzerne. In Wirklichkeit ist sie eine der renditestärksten Übungen, die wir im KMU-Umfeld kennen — zwei bis drei Tage Arbeit, die zeigen, wie viel Geld in nicht genutzten Lizenzen versickert. Die Laptops aus dem Schrank holen, auf denen oft noch Kundendaten liegen. Die Ihnen sagen, was IT tatsächlich kostet, bevor jemand mit einem „Kostenoptimierungs"-Angebot anklopft.
Und das Wichtigste: Sie können eine Firma nicht sinnvoll absichern, die Sie nicht inventarisiert haben. Sie schützen nicht, von dessen Existenz Sie nichts wissen.
Was zählt eigentlich zum „IT-Bestand"
In einer typischen 30-Personen-Firma versteckt sich hinter „IT" viel mehr als Laptops und Drucker. Eine sinnvolle Inventur deckt fünf Ebenen ab:
- Physische Hardware — Laptops, Desktops, Monitore, Diensthandys, Drucker, Barcodescanner, Lagerterminals, Router, Switches, Access Points, Server im Rack und dieses eine NAS unter dem Schreibtisch.
- Installierte Software — Betriebssystem und Lizenz, Office-Paket, ERP (Comarch Optima, Subiekt, enova365, Microsoft Dynamics AX), Virenschutz, Branchentools, VPN-Client, Designtools (AutoCAD, Adobe), SQL Server und die zugehörigen CALs.
- Cloud- und SaaS-Konten — Microsoft 365 oder Google Workspace (mit Lizenzanzahl je Plan), CRM, Marketing-Tools, Slack, Notion, Canva, ChatGPT Team, Asana, Trello, Kurierportale, Marktplätze. Jedes Per-User-Abo multipliziert sich mit der Mitarbeiterzahl.
- Domains, Zertifikate, DNS — wem gehört die Firmendomain, von welchem Konto wird sie bezahlt, wann läuft das SSL-Zertifikat ab, wo wird die Website gehostet, in welchem Panel.
- Zugriffe auf externe Systeme — Bank, KSeF (das polnische E-Invoicing-System), Steuerportal, Lieferantenpanels, B2B-Konten bei Herstellern, Integrationskonten (API-Keys für Großhändler).
Das ist kein „Sicherheitsaudit". Es ist eine IT-Inventur. Ohne sie ist jeder nächste Schritt — von Cybersicherheit bis Unternehmensbewertung — Raterei.
Beispiel aus der Praxis: 35-Personen-Transportfirma
Bei einem unserer Kunden — einer 35-Personen-Spedition (28 Fahrer, 7 Personen im Büro) — haben wir eine vollständige IT-Inventur durchgeführt, als Vorbereitung auf Netzwerksegmentierung und einen ERP-Wechsel. Erstes Gespräch: „Wir haben vielleicht 10 Rechner, nicht viel, schicken Sie uns einfach ein Angebot." Nach zwei Tagen Inventur sahen die Zahlen so aus:
- Microsoft 365 Business Standard — bezahlt werden 22 Lizenzen zu je 60 PLN/Monat. Aktiv genutzt: 9. Die übrigen 13 — Konten ehemaliger Mitarbeiter der letzten 3 Jahre, die niemand deaktiviert hatte (Weiterleitungen blieben aktiv, aber das ist ein anderer Artikel). Verlust: ~9.360 PLN/Jahr.
- Subiekt GT plus 2 Arbeitsplätze im laufenden Abo, obwohl die Firma seit 1,5 Jahren ausschließlich Comarch Optima nutzte. Das alte Subiekt stand auf dem Bürorechner als „Notfalllösung" — niemand benutzte es. Verlust: ~1.800 PLN/Jahr.
- SQL Server Standard auf einem lokalen Server, der eine Eigenentwicklung zur Fahrerabrechnung hostete — ersetzt durch ein TMS-Modul in Optima. Die Anwendung wurde seit 11 Monaten nicht mehr aufgerufen, die Lizenz kostete trotzdem. Verlust: ~3.200 PLN/Jahr.
- 6 private SaaS-Abos, die Mitarbeiter selbst zahlten und per Spesenabrechnung erstatten ließen (Canva Pro, ChatGPT Plus, Notion, zwei Planungskalender, ein Faktura-Tool eines Vertrieblers). ~4.200 PLN/Jahr plus Firmendaten auf Privatkonten.
- Serverraum — 4 Server im Rack. Bei der Inspektion stellte sich heraus: Einer war seit 8 Monaten ausgeschaltet (niemand wusste es), ein anderer lief ausschließlich dafür, täglich einen Report an die E-Mail-Adresse des ehemaligen Geschäftsführers zu schicken.
- 4 Laptops im Schrank der Büroleitung — ohne BitLocker, einer mit schwachem Passwort, auf zwei davon lokale Kopien der Kundendatenbank (Optima-Exports aus 2024). Wäre einer in falsche Hände geraten — DSGVO-Vorfall.
- 23 Monitore im letzten Anlagenverzeichnis der Buchhaltung, 18 Arbeitsplätze im Büro. Fünf Stück konnte niemand lokalisieren.
Insgesamt brachte das erste Jahr nach Einführung des IT-Registers der Firma ~18.600 PLN allein an eingesparten Gebühren (deaktivierte Lizenzen, geschlossene Konten, reduziertes SQL-Abo nach Abschaltung der alten Anwendung) — und ein ernstes DSGVO-Risiko wurde beseitigt, bevor es platzte. Zwei Tage Arbeit.
Das ist kein Ausreißer. In Firmen mit 20-50 Mitarbeitern sehen wir typischerweise 10-20% überzählige Lizenzen und mindestens ein „vergessenes" Gerät mit Daten darauf.
Was die erste Inventur meistens zutage fördert
Nach Dutzenden Inventuren sehen wir immer dieselben Muster:
- M365- / Google-Workspace-Lizenzen für ehemalige Mitarbeiter — meist 5-15% des Bestands, jährlich mehrere hundert bis mehrere tausend PLN für nichts.
- Ungenutzte Abos — ein altes CRM, von dem „alle wegmigrieren sollten", ein Marketing-Tool aus der Zeit vor dem letzten Agenturwechsel, ein Lieferantenportal eines Lieferanten, den Sie nicht mehr haben.
- SaaS auf Privatkarten der Mitarbeiter — der Mitarbeiter kauft, die Firma erstattet, Firmendaten landen auf einem Konto, das auf eine private E-Mail registriert ist. Niemand weiß, welche Daten dort liegen.
- Hardware außer Haus — Laptops bei Remote-Mitarbeitern, Diensthandys bei Krankgeschriebenen, Lagerterminals „ausgeliehen" an eine andere Filiale.
- „Geister-Server" — physische oder virtuelle Maschinen, deren Zweck niemand mehr kennt, aber alle Angst haben sie abzuschalten.
- Kein Domain-Eigentümer — die Firmendomain ist auf das Privatkonto eines früheren IT-Dienstleisters oder des Schwagers vom Chef vor 8 Jahren registriert. Rechnungen gehen an ein Postfach, das niemand checkt.
- Ablaufende SSL-Zertifikate — ohne Eigentümer, also erfährt die Firma vom Ablauf vom Kunden („Eure Website sagt, sie ist unsicher").
Jeder Punkt für sich ist trivial. Zusammen ergeben sie eine Landschaft, in der Sie nicht wissen, was IT wirklich kostet, noch wo Ihre Daten tatsächlich liegen.
Wie man das ohne IAM-System für 50.000 Euro macht
Im KMU brauchen Sie keine teure ITAM/CMDB-Software. Sie brauchen zwei Tage, eine Tabelle und Disziplin. So machen wir es bei Kunden:
- Beginnen Sie in der Buchhaltung. Ziehen Sie die Rechnungen der letzten 12 Monate und filtern Sie nach „IT", „Lizenz", „Abo", „SaaS", „Hosting", „Domain", „Cloud". Das sind 70% Ihres Registers — ohne vom Schreibtisch aufzustehen.
- Loggen Sie sich ins M365- / Google-Workspace-Admin-Panel ein und listen Sie alle aktiven Konten mit Plan. Vergleichen Sie mit der HR-Liste. Konten, die nicht in HR stehen — abklären.
- Machen Sie einen physischen Rundgang. Laptops, Monitore, Drucker, Telefone — mit Seriennummern. Schauen Sie in Schränke, Lager, Firmenwagen.
- Sprechen Sie mit jeder Abteilungsleitung einzeln, jeweils 15 Minuten. „Welche Tools nutzt Ihr Team, von denen die IT vermutlich nichts weiß?" Das holt 80% des Shadow-IT raus.
- Tragen Sie alles in eine Tabelle ein mit Spalten: Name, Typ (Hardware/Software/SaaS), Owner in der Firma, monatliche Kosten, Verlängerungstermin, Nutzer, wo die Daten liegen.
- Markieren Sie „abzubauen" — alles, was niemand nutzt oder keinen Eigentümer hat. Kurz mit der Geschäftsführung abstimmen, dann abschalten.
Erste vollständige Inventur: 2-3 Tage. Updates: 30 Minuten pro Monat, vierteljährlicher Review.
Wie Sie das aktuell halten
Eine Inventur, die Sie nicht pflegen, ist schlimmer als keine — sie gibt Ihnen ein falsches Gefühl von Kontrolle. Drei einfache Regeln, die in KMU funktionieren:
- Jede neue Lizenz, jedes neue Gerät, jedes neue SaaS läuft über eine Person (Büroleitung, IT, Geschäftsführung). Käufe an diesem Kanal vorbei werden nicht erstattet. Hart, aber das ist das Einzige, was trägt.
- Jedes neue SaaS wird auf
it@firma.deregistriert, nicht auf eine Mitarbeiter-Adresse. Der Mitarbeiter bekommt Nutzerzugang, aber die Firma besitzt das Konto. Geht er — bleibt das Konto. - 15-minütiger Quartals-Review. Ein Termin, eine Tabelle, „was hat sich geändert?". Ohne das ist das Register in einem halben Jahr Fiktion.
Womit Sie diese Woche anfangen können
Wenn Sie nie eine IT-Inventur gemacht haben, beginnen Sie mit drei Schritten, die insgesamt zwei Stunden brauchen:
- Öffnen Sie das Microsoft-365- / Google-Workspace-Admin-Panel und listen Sie aktive Konten. Vergleichen Sie mit der aktuellen Mitarbeiterliste. Jedes Konto ohne Eigentümer — heute deaktivieren.
- Gehen Sie die letzten 12 Kontoauszüge nach IT-/SaaS-Abos durch. Jede Position, die niemand in der Firma einem Prozess zuordnen kann — Kandidat für die Kündigung.
- Prüfen Sie, auf wessen Konto Ihre Firmendomain läuft und wann das SSL-Zertifikat abläuft. Wenn Sie es nicht wissen — das ist Ihr Nullpunkt.
Diese drei Schritte lösen das Problem nicht, aber sie zeigen die Größenordnung. In den meisten KMU rechnen sich diese zwei Stunden bereits mit der ersten abgeschalteten Lizenz.
Wenn Sie Ihre IT ordnen wollen, bevor sie wirklich Geld kostet (oder bevor etwas auf Hardware passiert, an die sich niemand mehr erinnert) — bei SilverData machen wir das mit polnischen KMU regelmäßig. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
Sie können eine Firma nicht absichern, nicht optimieren und nicht verkaufen, deren IT Sie nicht auf einer Seite aufschreiben können.