Die Eröffnung einer zweiten Niederlassung in einem KMU sieht immer gleich aus: ein halbes Jahr lang ist es ruhig, dann plötzlich „wir gehen in drei Wochen live". Mietvertrag unterschrieben, Leute eingestellt, Möbel bestellt. Und die IT? „Das führen wir irgendwie von der Zentrale, oder?" Nein.
In der Zentrale funktioniert alles, weil es über Jahre gewachsen ist — das Kabel, der Server im Nebenzimmer, der Drucker, den „alle anzuschließen wissen", die Konten, die „jemand einrichtet, wenn es sein muss". In der neuen Niederlassung ist nichts davon vor Ort und niemand kennt dort „euren Markus". Wenn du die Niederlassung so verdrahtest, wie die Zentrale sich 10 Jahre lang entwickelt hat, hast du im zweiten Jahr zwei Chaos-Baustellen statt einer.
Dieser Artikel ist eine Liste von Dingen, die man in einer bestimmten Reihenfolge entscheiden und tun sollte — bevor der erste Kunde fragt: „Warum geht das nicht?".
Entscheidung 0 — Satellit oder eigenständig
Das ist die einzige Entscheidung, die vor allem anderen fallen muss. Die Niederlassung kann ein Satellit der Zentrale sein (die Zentrale hält alles, die Niederlassung loggt sich nur ein) oder ein eigenständiger Standort (lokaler Server, lokale Datenhaltung, lokale Buchhaltung). Beides funktioniert. Die dritte Variante — halb und halb — nie.
Für ein KMU ist der Satellit fast immer billiger und gesünder. Ein ERP, eine Kundenbasis, eine Buchhaltung. Die Niederlassung hat Arbeitsplätze, die Mitarbeitenden loggen sich über das Internet in die Systeme ein, die Daten liegen physisch in der Zentrale oder in der Cloud. Ein eigenständiger Standort macht nur Sinn, wenn die Niederlassung ein völlig anderes Geschäftsprofil hat, eine eigene juristische Person ist oder stark autonom geführt wird. Macht ihr dasselbe wie in der Zentrale, nur in einer anderen Stadt — Satellit.
Diese Entscheidung bestimmt alles Weitere: Art der Leitung, Backup-Policy, Lizenzliste, Modell für Fernzugriff. Triffst du sie nicht bewusst, trifft sie sich von selbst — und fast immer falsch.
Leitung und Netzwerk — fang hier an
Die Leitung in einer neuen Niederlassung ist nicht „der billige Business-Tarif, den die Telekom dazugibt". Es ist das Kabel, von dem abhängt, ob 10 Leute überhaupt arbeiten können. Zwei Dinge zählen.
- Zwei Anbieter, nicht einer. Minimum: Glasfaser von Anbieter A und LTE/5G von Anbieter B als Fallback. Der Router muss selbst umschalten, ohne IT-Eingriff. Eine einzige Leitung in einer Niederlassung ohne IT vor Ort ist eine Frage von wann, nicht ob die Firma für ein paar Stunden stillsteht.
- Statische IP oder Site-to-Site-VPN. Wenn die Niederlassung auf das ERP in der Zentrale zugreifen soll, dann sicher — nicht per „ERP mit Passwort admin ins Netz stellen". Ein Site-to-Site-VPN zwischen dem Router der Niederlassung und dem Router der Zentrale/Cloud löst das einmal für die gesamte Niederlassung.
WLAN für Büro und Lager ist ein eigenes Thema — getrennte SSIDs für Gäste, Mitarbeitende und Lagergeräte (Handscanner, Etikettendrucker), WPA3 überall, Access Points nach Grundriss ausgelegt statt „eine FritzBox für 400 m²". WLAN, das jede Stunde abbricht, ist der schnellste Weg dazu, dass das Team über das Handy-Hotspot arbeitet und alle eure Richtlinien umgeht.
Konten, Zugänge, SSO
Die größte Falle: Konten „schnell nebenbei" einzurichten, so wie in der Zentrale. „Jacek fängt am Montag an, Sophie legt ihm ein Konto an." Sophie denkt an sieben Systeme, vergisst drei, Jacek fragt im ersten Monat Kollegen nach Passwörtern, „die sowieso allen gehören".
Wenn ihr von 10 Personen aus eine zweite Niederlassung eröffnet, ist das der letzte Moment, um Konten so einzurichten, wie ihr es von Anfang an hättet tun sollen:
- Ein Verzeichniskonto pro Person (Microsoft 365 / Google Workspace / lokales AD) und SSO zu allen weiteren Systemen, die es unterstützen. Einmal anlegen, einmal deaktivieren beim Austritt.
- Benannte Konten, nicht „Empfang1", „Lagerist2". Ein Audit verzeiht das nicht, und nach einem Jahr wisst ihr selbst nicht mehr, wer was gemacht hat.
- MFA ab Tag eins. Nicht „erstmal nicht, bis sich die Leute daran gewöhnt haben" — hinterher schaltet das niemand ein.
- Eine Liste System-pro-Rolle (Vertrieb, Lager, Buchhaltung, Leitung) einmal festgelegt. Neue Person bekommt eine Rolle, nicht 20 Einzelrechte.
Bei einem unserer Kunden — einem 28-köpfigen Baustoffgroßhandel, der 180 km von der Zentrale entfernt eine zweite Niederlassung eröffnete — haben wir genau so angesetzt. Alle Konten in einem Microsoft-365-Mandanten, SSO zum ERP (Comarch Optima), WMS und CRM, Rollen für 6 Stellenarten definiert. Onboarding eines neuen Vertriebsmitarbeiters in der Niederlassung: 25 Minuten von der HR-Mail bis zum ersten Login — statt 2 Tagen, in denen der Neue „sich das Lager anguckte", weil er auf nichts anderes Zugriff hatte.
Hardware, Drucker, Scanner — ein Starter-Kit
Kauf nicht „was gerade im Angebot war". Baut ein Starter-Kit für die Niederlassung und bleibt dabei, auch wenn der Vertriebler aus Berlin sagt, „mein Laptop ist super". Drei Gründe: Ersatzteile, Systemabbild, Service.
Ein bewährtes KMU-Minimum:
- Laptops eines Modells, aus einem Firmen-Systemabbild (die Standardisierung ist in einem eigenen Beitrag beschrieben), BitLocker automatisch aktiviert, Intune/MDM als Aufsicht.
- Ein Netzwerkdrucker zentral verwaltet, nicht „fünf verschiedene Drucker auf fünf Schreibtischen". Einer groß, zwei mittlere im Lager, fertig.
- Handscanner und Etikettendrucker aus derselben Familie wie in der Zentrale — sonst habt ihr zwei Konfigurationen zu pflegen und zwei Teilevorräte.
- USV unter dem Router und dem Hauptswitch. Eine Niederlassung ohne Strom ist eine geschlossene Niederlassung; 15 Minuten Puffer reichen, um Arbeit zu speichern und zu telefonieren.
Spezifiziert, in einer Charge gekauft, als „Starter-Kit Niederlassung" fakturiert — nicht 40 Einzelpositionen, die nach einem Jahr niemand mehr zuordnet.
Backup, Sicherheit, Monitoring
Eine neue Niederlassung ist das schwache Glied im ersten halben Jahr aus einem Grund: dort weiß noch niemand, wie die Dinge laufen. Mitarbeitende kennen eure Richtlinien nicht, der Niederlassungsleiter kennt eure IT nicht, lokale Vertriebler fallen auf eine Phishing-Mail herein, weil es „wahrscheinlich eine neue Vorgabe aus der Zentrale ist".
Drei Dinge ab Tag eins:
- Backups gehen in die Zentrale/Cloud, nicht lokal. Hat die Niederlassung einen lokalen Server oder NAS, geht das Backup täglich in die Cloud und wöchentlich in die Zentrale. Ein Backup im selben Raum wie die Originaldaten ist kein Backup — es ist eine Illusion.
- Endpoint-Schutz auf jedem Gerät, zentral verwaltet. Nicht „wir installieren euch einen kostenlosen Virenscanner". Eine EDR-Lösung mit einer Konsole, in die dieselbe Person schaut wie in der Zentrale.
- Monitoring für Leitung und Geräte. Ein einfaches System, das jemanden anruft, wenn der Router der Niederlassung verschwindet. Niederlassungen, die 100+ km von der Zentrale entfernt sind, können einen halben Tag ausgefallen sein, bevor es jemand merkt, weil „der Kunde wahrscheinlich nicht angerufen hat".
Ergänzt eine kurze Phishing-Schulung für das neue Team in der ersten Woche (siehe Cybersecurity-Training für KMU). Ohne das wird die erste „aus der Zentrale" versandte Rechnung mit der Kontonummer eines Betrügers in der Niederlassung bezahlt.
RACI für die IT — wer entscheidet was
Das Letzte, was alle vergessen: die neue Niederlassung hat eine Leitung und diese Leitung „würde gerne helfen" bei der IT. Die ersten drei Monate hilft sie, weil sie muss. Nach drei Monaten zieht ihr eine Grenze oder die Niederlassung hat einen stillen Admin, der Passwörter in einem Notizbuch führt.
Schreibt auf einer Seite auf, wer entscheidet über: den Kauf eines neuen Laptops, die Vergabe eines Systemzugangs, die Aufnahme eines neuen IT-Dienstleisters, einen kritischen Ausfall außerhalb der Geschäftszeiten. Der Niederlassungsleiter soll wissen, was er selbst darf und was er eskalieren muss. Euer IT-Dienstleister (oder die interne IT) soll wissen, dass es in der Niederlassung einen Ansprechpartner gibt, nicht sieben.
Das ist keine Konzernbürokratie. Es sind drei Zellen in einer Tabelle, die euch davor schützen, dass drei Personen gleichzeitig drei verschiedene Drucker bestellen, weil „die Zentrale sich nicht gemeldet hat".
Womit konkret anfangen
Steht die Eröffnung in 6–10 Wochen an, ist die Reihenfolge: zuerst die Entscheidung Satellit-vs-eigenständig (ein Gespräch, ein Tag), dann die Leitung (heute bestellen — Anbieter brauchen bis zu zwei Monate), dann Konten und Systemabbild (eine Woche), dann Hardware (zwei Wochen Lieferzeit), dann Kleinkram in der letzten Woche. Backup und Monitoring laufen, bevor die erste Person in der Niederlassung sich irgendwo einloggt.
Rückt die Eröffnung näher und du weißt, dass du das nicht allein stemmen wirst — eine halbe Stunde mit jemandem, der ein Dutzend solcher Niederlassungen aufgebaut hat, erspart meist zwei Wochen Herumstochern im Nebel.
Eine Niederlassung scheitert nicht, weil die IT schlecht ist. Sie scheitert, weil die IT „irgendwie" ist — und das repariert hinterher niemand mehr.
Lass uns über IT für deine neue Niederlassung sprechen →