In den meisten polnischen Unternehmen mit 20–50 Mitarbeitenden sitzt „die ganze IT" im Kopf einer Person. Sie heißt Marek, Piotr oder Ania. Solange sie da ist, funktioniert alles. Wenn sie weg ist, stellt sich heraus, dass niemand sonst weiß, wo man sich am Router anmeldet und wer tatsächlich Zugriff auf das Backup hat.
Das ist kein Problem der Faulheit. Es ist der natürliche Lauf der Dinge in einem kleinen Unternehmen: eine Person hat irgendwann alles aufgesetzt, eine Person betreut es, eine Person trägt die Passwörter im Kopf und in einem privaten KeePass. Bis zu dem Tag, an dem diese Person ein Angebot aus Warschau bekommt oder zwei Wochen Urlaub nimmt, die verlängert werden müssen.
Im Ingenieurjargon heißt das „Bus-Faktor" — wie viele Personen müssten von einem Bus überfahren werden, damit das Projekt zum Stillstand kommt. In einem polnischen KMU lautet die Antwort meist: eine.
Wie das wirklich aussieht
Ein konkreter Fall aus unserer eigenen Praxis. Ein 18-köpfiges Ingenieurbüro (Baubranche). Die gesamte Infrastruktur — VPN zum Dateiserver, Autodesk-Berechtigungen, Backup-Konfiguration auf dem NAS, Zugang zum OVH-Domain-Panel, das Microsoft-365-Administratorkonto — steckte im Kopf eines einzigen „Mareks". Marek war seit sieben Jahren dort und kannte jedes Kabel.
Marek bekam ein Angebot aus einer größeren Firma und reichte die gesetzlichen zwei Wochen Kündigungsfrist ein. Dem Inhaber fiel die Kinnlade herunter, aber er konnte nichts dagegen tun — Marek ging rechtmäßig. In der ersten „Übergabewoche" stellte sich heraus, dass es überhaupt keine Dokumentation gab. Alles war „logisch", „intuitiv", „das habe ich Kasia mal erklärt".
Die vier Wochen nach seinem Weggang sahen so aus: zwei Tage Büroausfall, weil niemand wusste, wie man den Dateiserver nach einem Stromausfall neu startet. Rund 42.000 PLN für externen IT-Support, der das Wissen über die Umgebung von Grund auf neu aufbauen musste. Rotation aller Administrator-Passwörter (weil Marek sie kannte). Zurücksetzen des Zugangs zur Domain bei OVH über ein Verifizierungsverfahren, das 11 Tage dauerte. Der Inhaber gab später zu, dass die Firma bei einem plötzlichen Ausfall von Marek — etwa Krankenhausaufenthalt — wochenlang stillgestanden hätte.
Das Ganze wäre mit vielleicht 8 Stunden solider Arbeit pro Jahr zu verhindern gewesen. Niemand hatte Zeit.
Miss deinen Bus-Faktor
Bevor du etwas reparierst, kläre, wo du stehst. Dafür braucht es kein Audit für 20.000 PLN. Es braucht eine Stunde und ein ehrliches Gespräch mit dir selbst.
Schreib auf einem Blatt Papier folgende Systeme auf und markiere neben jedem, wie viele Personen im Unternehmen tatsächlich mehr können, als sich als Nutzer anzumelden:
- Domain-Panel (OVH, home.pl, cyberFolks).
- Microsoft-365- oder Google-Workspace-Administratorkonto.
- Router, Firewall, WLAN-Konfiguration.
- Dateiserver, NAS, Backup-Konfiguration.
- Panel des VPN-Providers, falls vorhanden.
- ERP (Comarch Optima, Subiekt, enova365) — wer hat das Datenbank-Administratorkonto.
- Cloud-Provider-Konten (AWS, Azure) und die Rechnung dazu.
- Onlineshop / WordPress-Panel / Allegro-Konfiguration.
- Service-Konten für Integrationen (Kurier, Bank, Online-Zahlungen).
Beantworte für jeden Punkt: wer kennt das Admin-Passwort, wer weiß, wo das Passwort liegt, wer kann die Konfiguration wiederherstellen, wenn etwas zusammenbricht. Wenn eine dieser Antworten „nur eine Person" lautet — ist dein Bus-Faktor dort eins.
Du musst nicht überall von der Eins herunterkommen. Du musst bewusst entscheiden, welche Risiken du trägst.
Vier Dinge, die zu tun sind
Es gibt hier keine Magie. Vier langweilige Aufgaben erledigen 90 % der Arbeit.
Erstens — ein gemeinsamer, firmenweiter Passwort-Manager. Bitwarden, 1Password, KeePassXC in einem geteilten Repository — egal, Hauptsache es ist nicht ein Excel auf Mareks Festplatte oder ein Post-it unter der Tastatur. Alle Administrator-Passwörter kommen in den Tresor, mit Zugriff für mindestens zwei Personen (Inhaber + Marek). Mitarbeiterwechsel = Passwort-Rotation, kein Ratespiel „wo hat er sie aufbewahrt".
Zweitens — Administratorkonten auf firmeneigene Postfächer registriert, nicht auf private. Ein OVH-Konto auf marek.kowalski@gmail.com ist eine Einbahnstraße. Wenn Marek geht, bekommt der Inhaber den Zugang nicht ohne Vorlage von Handelsregisterauszügen, Rechnungen und Ausweisscans zurück. Ein Konto auf admin@deinefirma.pl — verwaltet vom Inhaber — ist in fünf Minuten per Passwort-Reset wiederherstellbar.
Drittens — eine Seite „was tun, wenn etwas nicht funktioniert". Du brauchst kein ITIL und kein Confluence. Du brauchst ein Dokument (kann Notion sein, kann Word auf SharePoint sein), das beschreibt: wo der Dateiserver steht, wie man ihn neu startet, wer der Internetanbieter ist und welche Nummer im Störungsfall angerufen wird, wo die USV steht, wie das Backup-Wiederherstellungsverfahren aussieht. Vier Seiten. Einmal im Quartal aktualisiert.
Viertens — eine zweite Person für Schlüsselrollen, auch nur zu 20 %. Das kann ein externer IT-Dienstleister mit einem Notfall-Support-Vertrag sein (auch 4 Stunden im Monat auf Abruf), oder ein zweiter Mitarbeiter, der für das Nötigste geschult ist. Wichtig ist, dass jemand außer Marek sich am Router anmelden kann und weiß, wo die Dokumentation liegt. Ohne das legt eine Krankheit die Firma lahm.
Wenn es wirklich nicht anders geht
Manchmal kannst du dir schlicht keine zwei Personen in der IT leisten, und ein externer Dienstleister „auf Abruf" wirkt teuer. Dann musst du zumindest den Schaden minimieren, falls die Bombe hochgeht.
Das heißt: eine vierteljährliche Passwort-Kontrolle (ist alles im Tresor), eine jährliche Aktualisierung der „was tun, wenn etwas nicht funktioniert"-Dokumentation, ein Vertrag mit einem externen IT-Partner ausschließlich für Notfälle (ohne Retainer, aber mit unterzeichneter NDA und den Kontaktdaten im Verzeichnis), ein Wiederherstellungstest des Backups zweimal im Jahr — mit einer anderen Person als Marek. Alles zusammen sind das vielleicht 10–15 Stunden Arbeit pro Jahr.
Wenn Marek dafür keine Zeit hat — ist das ein Zeichen, dass das Problem größer ist als der Bus-Faktor. Dann hast du jemanden im Unternehmen, der einen Status quo aufrechterhält, in dem er unersetzlich ist. Bewusst oder unbewusst. Darüber solltest du sprechen, bevor er wieder mit gesetzlicher Kündigungsfrist rausgeht.
Wie geht es weiter
Bus-Faktor ist kein „IT-Projekt". Er ist eine Art, das Unternehmen zu betrachten. Wenn du plötzlich eine Person verlierst — die Buchhalterin, den Produktionsleiter, den IT-Menschen — läuft die Firma weiter? Wenn die Antwort etwas anderes ist als „ja" — hast du einen Gesprächseinstieg.
Wenn du willst, messen wir gemeinsam den Bus-Faktor in deiner IT — kein kostenpflichtiges Audit, ein 30-minütiges Gespräch mit konkreten Schlussfolgerungen.
Ein Unternehmen, in dem das gesamte IT-Wissen im Kopf einer Person liegt, ist kein Unternehmen mit IT. Es ist ein Unternehmen, das Glück hatte, dass diese Person noch nicht gegangen ist.