IT-Strategie 2028 im Mittelstand – wie aus vier Grundpfeilern ein tragfähiges Rahmenwerk wurde

Ausgangslage und Aufgabe

Eine Bestandsaufnahme im Spätherbst 2023 hatte gezeigt: Die IT des Klienten war operativ überfordert, technisch auf Verschleiß gefahren und ohne strategischen Rahmen. Es gab keine verabschiedete IT-Strategie, keine Cloud-Strategie, keine Cyber-Security-Strategie. Entscheidungen wurden ad hoc getroffen, ohne dass ein gemeinsam getragenes Zielbild existierte, an dem sie sich messen ließen.

Parallel liefen mehrere Initiativen, die strategische Entscheidungen erforderten – ein selektives Outsourcing der IT-Infrastruktur, eine anstehende ISO/IEC 27001 Re-Zertifizierung, eine M365-Einführung, die Beseitigung von Penetrationstest-Befunden. Jede dieser Initiativen produzierte Anforderungen an die IT, ohne dass es einen Ordnungsrahmen gab, der sie miteinander in Beziehung gesetzt hätte. In dieser Lage drohte die IT, zur Summe ihrer Einzelprojekte zu werden – ohne erkennbare Richtung.

Der Auftrag für diesen Arbeitsstrang lautete: ein strategisches Rahmenwerk entwickeln, das der Geschäftsführung als Entscheidungsgrundlage dient, die laufenden Initiativen miteinander verbindet und der internen IT als Orientierung für die kommenden Jahre dient. Verantwortung für Entwurf, Iteration und Konsensbildung lag bei mir. Die Strategien sollten am Ende verabschiedet und damit verbindlich werden, nicht als Schubladenpapier enden.

Lösung

Phase 1: Grundpfeiler-Modell als konzeptionelles Dach

Den Einstieg bildete ein einfaches, aber tragfähiges konzeptionelles Modell. Statt einer Strategie, die mit Maßnahmen anfängt, wurde mit vier Grundpfeilern begonnen, die das Selbstverständnis der IT beschreiben (das Modell der vier Grundpfeiler habe ich an anderer Stelle methodisch ausgeführt):

• Stabilität – Bereitstellung von IT-Services, die einen stabilen IT-Betrieb innerhalb der Büro- und Fertigungszeiten gewährleisten.
• Sicherheit – Gewährleistung von Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Systemen sowie Schutz vor Bedrohungen und Angriffen.
• Resilienz – IT-Services widerstandsfähig gegenüber Störungen, Ausfällen und Angriffen machen und die kontinuierliche Verfügbarkeit und Funktionalität sicherstellen.
• Innovationen – Den Klienten dabei unterstützen, wettbewerbsfähig zu bleiben, effizienter zu arbeiten, neue Märkte zu erschließen, Kundenerfahrungen zu verbessern und Wachstumspotential zu erschließen.

Die Grundpfeiler wurden in zwei Wirkungsbereiche eingeteilt: „Grundbedürfnisse decken" (Stabilität und Sicherheit als Pflichtteil) und „Den Unterschied machen" (Resilienz und Innovationen als Kürteil). Daraus ergab sich der zentrale strategische Satz: „Klarer Fokus auf Geschäftsnutzen – Prioritäten dort setzen, wo es einen Unterschied macht." Dieser Satz wurde zur Leitlinie für alle nachgelagerten Entscheidungen.

Phase 2: IT-Strategie 2028 als Dach mit drei Tochterstrategien

Unter das Dach der IT-Strategie 2028 wurden drei spezifische Strategien gehängt, die jeweils einen Grundpfeiler vertiefen:

• Die Cloud-Strategie klärt, welche Workloads on premises bleiben, welche in eine private Cloud verlagert werden und welche in Microsoft Azure wandern. Sie definiert eine Cloud-Readiness, die mit der Outsourcing-Entscheidung kompatibel ist und die spätere Migration in die Public Cloud ermöglicht, ohne sie zu erzwingen.
• Die Cyber-Security-Strategie definiert die Sicherheitsarchitektur, die Verantwortlichkeitsstruktur und das Zusammenspiel zwischen interner IT, Provider und externen Auditoren. Sie verzahnt sich eng mit den Anforderungen der ISO/IEC 27001 und mit den Befunden aus dem Penetrationstest.
• Die KI-Strategie definiert, in welcher Reihenfolge und in welchen Anwendungsfeldern der Klient Künstliche Intelligenz wirtschaftlich nutzen kann. Sie verhindert, dass aus Aktionismus Insellösungen entstehen, und stellt die Anbindung an die IT-Architektur sicher.

Alle drei Tochterstrategien wurden so geschnitten, dass sie der Dachstrategie dienen, nicht in Konkurrenz zu ihr stehen. Wo Themen sich überlappten – etwa beim Microsoft-365-Stack, der sowohl Cloud-, Sicherheits- als auch Produktivitäts-Implikationen hat – wurden die Verzahnungen explizit gemacht.

Phase 3: Iteration mit Geschäftsführung und IT-Leitung

Strategiedokumente, die nicht getragen werden, bleiben Papier. Die Entwürfe wurden daher in einem strukturierten Iterationsprozess mit der Geschäftsführung und der IT-Leitung weiterentwickelt. Jede Iteration prüfte drei Dinge: Stimmt die Stoßrichtung mit den geschäftlichen Zielen des Klienten überein? Sind die Strategien untereinander konsistent? Sind sie operativ umsetzbar, oder beschreiben sie Wunschzustände, die niemand erreichen kann?

Insbesondere die Iteration mit der Geschäftsführung war zeitintensiv – nicht weil die Inhalte umstritten waren, sondern weil die Strategien die Erwartung an die IT der nächsten Jahre festschreiben würden. Diese Erwartung musste mit den geschäftlichen Prioritäten in einen sauberen Bezug gesetzt werden.

Phase 4: Verzahnung mit laufenden Initiativen

Eine Strategie, die parallel zu großen operativen Initiativen entwickelt wird, hat einen besonderen Anspruch zu erfüllen: Sie darf die Initiativen nicht ignorieren, sondern muss sie produktiv aufnehmen. Konkret hieß das: Die Sourcing-Entscheidung wurde nicht aus der Strategie abgeleitet (dafür war sie zeitlich nicht vorgelagert genug), aber die Strategien wurden so geschnitten, dass die Sourcing-Architektur sie stützt. Die Cyber-Security-Strategie nahm die Befunde aus Penetrationstest und ISO-Audit auf, die Cloud-Strategie nahm die HCI-Zielarchitektur aus dem Sourcing-Verfahren auf, die KI-Strategie nahm die Microsoft-365-Architektur als technische Grundlage. So entstand ein Rahmenwerk, das nicht abstrakt blieb, sondern konkret operativ andockte.

Phase 5: Verabschiedung

Nach mehreren Iterationen wurden alle vier Strategien durch die Geschäftsführung verabschiedet. Damit war das Rahmenwerk für die kommenden Jahre verbindlich gesetzt – als Entscheidungsgrundlage für künftige Investitionen, als Orientierung für die interne IT-Leitung in der Provider-Steuerung und als gemeinsames Verständnis zwischen IT und Geschäftsleitung.

Ergebnis

• Vier Strategien verabschiedet: IT-Strategie 2028, Cloud-Strategie, Cyber-Security-Strategie und KI-Strategie wurden von der Geschäftsführung verabschiedet. Damit verfügt der Klient erstmals über ein konsistentes strategisches Rahmenwerk für seine IT.
• Grundpfeiler-Modell als verständliche Klammer: Stabilität, Sicherheit, Resilienz und Innovationen geben der IT-Strategie eine Struktur, die sowohl im Vorstand verstanden wird als auch im Tagesgeschäft handlungsleitend ist. Der Leitsatz „Prioritäten dort setzen, wo es einen Unterschied macht" wurde zur internen Entscheidungsregel für Folge-Themen.
• Verzahnung mit operativen Initiativen erreicht: Die Strategien stehen nicht losgelöst von der operativen Realität, sondern nehmen Sourcing, ISO-Compliance und Penetrationstest-Befunde produktiv auf. Damit war die häufige Schwäche von Strategiepapieren – „schön, aber wirkungslos" – vermieden.
• Mehrjähriger Orientierungsrahmen für die interne IT: Die IT-Strategie 2028 wirkt über das Mandatsende hinaus. Sie ermöglicht der internen IT-Leitung, in der neuen Konstellation mit externem Provider eigenständig zu steuern – mit einem klaren Zielbild für die kommenden Jahre und der nötigen Dienstleistersteuerungs-Kompetenz als neuer Kernkompetenz.
• Konsens zwischen Geschäftsführung und IT-Leitung: Der strukturierte Iterationsprozess hat nicht nur Dokumente produziert, sondern ein gemeinsames Verständnis zwischen Geschäftsführung und IT-Leitung über Anspruch, Rolle und Entwicklungsrichtung der IT etabliert.

Eingebrachte Kompetenzen

• Entwicklung strategischer Rahmenwerke im Mittelstand mit Fokus auf Tragfähigkeit statt Folienkunst
• Modellbildung mit einfachen, kommunizierbaren Grundpfeilern statt überfrachteter Strategiehierarchien
• Iterative Konsensbildung zwischen Geschäftsführung und IT-Leitung
• Verzahnung von Strategie mit parallel laufenden operativen Initiativen ohne Doppelarbeit
• Erstellung von Strategien, die operativ umsetzbar bleiben und der internen Linie auch nach Mandatsende als Orientierung dienen