Die österreichische Handy-Signatur – Vorzeigeprojekt mit Sicherheitslücken? Interview mit Reinhard Posch, CIO der öst. Bundesregierung?

Die österreichische Handy-Signatur gilt weltweit als Erfolgsgeschichte und Vorzeigeprojekt im Bereich des e-Government und der elektronischen Partizipationsmöglichkeiten für BürgerInnen. In den letzten Wochen wurde plötzlich Kritik laut rund um vermeintliche Sicherheitslücken. Wir hatten dazu im Blog ein Interview mit Wolfgang Prentner, der in einem ZIB2 Bericht Schwächen in der Sicherheitsarchitektur der Handy-Signatur anprangerte. Aufgrund der Unsicherheit, die der Medienlärm verursacht hat und dem hohen Interesse unserer Leser haben wir uns um eine Stellungnahme der Verantwortlichen bemüht. Lesen Sie nun was Prof. Reinhard Posch meint, der CIO der österreichischen Bundesregierung. Was macht den bisherigen Erfolg der Handy-Signatur aus? Welchem Risiko sind die Anwender der Handy-Signatur tatsächlich ausgesetzt? Inwieweit besteht Handlungsbedarf?

Welche Anforderungen bringt der Digitale Wandel an die Öffentliche Verwaltung und insbesondere an die IT?

Bereits 2015 wurden mehr mobile Geräte als PCs und Workstations auf den Markt gebracht. Dieser Trend wird nicht nur anhalten, sondern verstärkt zu beobachten sein. Die Verwaltung kann sich solchen Trends nicht verschließen, sondern muss diese Anforderung an die Agilität der Services annehmen. Sicherheit darf dabei nicht auf der Strecke bleiben und bei proaktiven Strategien, für die Österreich seit 15 Jahren international bekannt ist und im E-Government als Vorreiter gilt, kann dies auch im Sinne eines Sicherheitsfortschritts genutzt werden.

Die Handy-Signatur gilt als eine der Erfolgsgeschichten des e-Government und findet international Anerkennung – Was macht den Erfolg der Lösung tatsächlich aus?

Österreich ist nicht nur bekannt und anerkannt mit der Handy-Signatur, sondern es hat diese innovative Form von Sicherheitstechnologie auch explizit in der neuen EU-Verordnung eIDaS Niederschlag gefunden. Erreichbar wurde dies durch den Konzept und Produktzyklus, den Österreich im E-Government eingeführt hat und der in den Basiselementen (Portalverbund, Handy-Signatur, ….) nun auch flächendeckende Wirkung zu zeigen beginnt. Der Zyklus reicht in einer abgestimmten Strategie von der offenen Innovation über die Verwaltungsebenen übergreifenden Koordination und Abstimmung hin zur Umsetzung.

Im Falle der Handy-Signatur ist dies ein koordiniertes Zusammenwirken von Technologie- und Verhaltensaspekten, die nicht nur die Akzeptanz im privaten Bereich auf das Vielfache der Karte als Signaturtoken gesteigert hat, sondern aus dem Design heraus auch bedeutende Sicherheitsfeatures hinzugebracht hat. Dazu nachfolgend nur exemplarisch herausgegriffene Beispiele.

·         Verlust und Widerruf: Der Verlust, das Entwenden des Mobiltelefons wird aller Regel nach innerhalb von ein paar Stunden evident und damit ist dieser zeitliche Risikofaktor gegenüber einer Karte – auch einer Multifunktionskarte –, die oft über Tage hinweg ungenutzt und damit ein Verlust unerkannt bleibt, um einen Faktor verbessert.
·         Der Widerruf selbst hat totale Wirkung, da nicht nur der Widerruf im Verzeichnis als Information erfolgt, sondern zusätzlich der Signaturschlüssel nicht mehr verwendet werden kann bzw. vernichtet wird.
·         Mit dem Smartphone besitzt jeder eine „intelligente Tastatur“. Dies wurde im Kartenumfeld immer wieder versucht; intelligente Tastaturen haben sich aber aus Usability und Preisgründen nicht durchsetzen können. Mit der QR-APP als kryptographisch gesicherten, technisch an das initialisierte Gerät gebundenen SMS-Ersatz kommt dieser Effekt nicht nur zum Nulltarif, sondern bringt zusätzlichen Komfort, den die BenutzerIn an Bedürfnisse anpassen kann.

Welche Rolle spielt die Handy-Signatur beim österreichischen e-Government? Wie sehen die Perspektiven aus?

Qualifizierte Signatur als EU-weit anerkanntes Sicherheitstool ist zur Zeit Kernbestandteil des österreichischen E-Government und hat uns bereits seit 2010 in die Lage versetzt, den grenzüberschreitenden Bedarf genauso wie den nationalen Bedarf einzusammeln. Ohne dieses Sicherheits- und Datenschutzkonzept wäre uns der Vorsprung im Bereichen wie z.B. ELGA nicht gelungen – und dies wird nicht nur in Österreich so gesehen. Stetig steigende Nutzerzahlen und vor allem Nutzungen sowie Applikationen, die darauf abstellen, sind ein lebender Beweis dafür. Qualifizierte Heranführung der BürgerInnen und der Unternehmen an die Verwaltung sind Grundvoraussetzung für hohe Qualität der Daten und der Verfahren in der Verwaltung. Die Handy-Signatur ist dabei ein Grundpfeiler.

In den letzten Wochen wurde die Sicherheitsarchitektur der Handy-Signatur in den Medien stark kritisiert – Wie gefährdet sind Handy-Signatur Nutzer tatsächlich?

Auch wenn diese Situation medial sehr prominent aufgegriffen wurde, sind sich alle anerkannten Fachleute einig, dass darin keine neuen Erkenntnisse stecken. Die Grundproblematik „Phishing“ ist in IT-Zeiträumen gerechnet uralt und wurde in wesentlich ausgefeilterer Form als hier schon vor Jahren am BSI-Kongress diskutiert. Würde dieser Hinweis nicht allzu sehr einer Anleitung oder gar einem Anstiften nahekommen, könnten wir diese sogar als Beitrag zur User-Awareness begrüßen. Dieser Effekt scheint aber weder intendiert noch unintendiert hinüberzukommen. Die Sicherheitsarchitektur wurde in meinen Augen, da der aufgezeigte „Angriff“ nicht spezifisch auf die Handy-Signatur wirkt und auch kein Architekturelement ausnutzt, nicht wirklich angesprochen. Der so genannte Angriff wäre vergleichbar mit einem Pappkartonbankomaten, wo Sie ihre Karte stecken, PIN eingeben und dann eine falsche Karte mit dem Hinweis „funktioniert leider nicht“ zurückbekommen. Auch hier – und solche Fälle gab es vor Jahren im Ausland auf Autobahnstationen - ist Ihre Bank oder Ihr Kartenbetreiber nicht beteiligt und wird kaum Maßnahmen – mit Ausnahme der immer notwendigen Awareness - treffen können. Ein Unterschied ist allerdings hervorzuheben: Der „Betreiber des gefälschten Bankomaten“ wird nicht seinen gültigen Lichtbildausweis vorne auf den Bankomaten kleben, da Verbrecher sich eben nicht gerne ausweisen. Aber genau das müsste beim aufgezeigten Angriff geschehen, da die Handy-Signatur nur über https-Verbindungen - über Ausweise von Servern, die von anerkannten Zertifizierungsdiensteanbietern ausgegeben werden – funktioniert und daher diese Phishing-Attacke – wie das übrigens auch in der in den Medien vorgezeigten der Fall war – eine https-Verbindung aufbauen muss, um nicht sofort aufzufallen.

Welche Maßnahmen sind von Seiten der Verwaltung angedacht? Was müssen Nutzer beachten?

Wie gesagt, ist die Attacke nicht auf die Handy-Signatur abgestimmt und nutzt auch „keine Schwachstelle derselben“ aus. Natürlich muss man – und das machen auch die Banken regelmäßig – dem Benutzer sagen: Klicken eines Link in einer Mail ist ein großes Sicherheitsrisiko, weil man sich damit in den Bereich des oft gar nicht erkennbaren Absenders der Mail begibt und sich diesem ausliefert. Man muss sich schon die Mühe machen, solche Links abzutippen – zumindest einmal, dann kann man sie in die Lesezeichen geben, sofern man bei den Lesezeichen tatsächlich nur vertrauenswürdige Links verwaltet.

Die ohnehin bereits seit einiger Zeit festgelegte Kommunikationsstrategie ist, Benutzer zur weiteren Verbesserung anzuraten, auf die QR-APP, die seit einigen Monaten als zusätzliche Möglichkeit angeboten wird, umzusteigen. Dort kann man auch die ausgelöste Transaktion – z.B. Anmeldedetails bei Finanz-Online mit Bürgerkarte – unmittelbar vor Freigabe und damit ohne Sicherheitsrisiko über den zweiten, unabhängigen Smartphonekanal anzeigen. Generell muss man den BenutzerInnen sagen, dass abgebrochene – also irreguläre – Sitzungen bei jeder Internetanwendung ein gewisses Verdachtsmoment auslösen sollten. Ich mache in einem solchen Fall einen Screenshot von der Abbruchssituation. Im Streitfall – der behauptete Angriff ist ohnehin nur dann nutzbar, wenn der Angreifer mit der Behauptung eines signierten Dokumentes auftritt – könnte man die Logs der Handy-Signatur anfordern. Der Zeitpunkt ist mitsigniert und kann ohnehin nicht verändert werden. Da allerdings dieses Phishing zweimalige Identifikation des Angreifers erfordert – einmal bei der http-Verbindung des Phishing und einmal bei der Nutzung des signierten Dokumentes, können wir die Einschätzung des Risikos nicht teilen und die Tatsache, dass dieses Thema vor einiger Zeit auch öffentlich nachvollziehbar diskutiert wurde und dass es keinen Beschwerdefall, der dazu passt gibt, führt uns zu einer gänzlich anderen Einschätzung der Gefährdungslage.

Wie geht es weiter dem österreichischen e-Government?

eIDaS bringt neben eID und Signatur weitere Elemente. Hier werden wir uns gut überlegen müssen, wie wir daraus Nutzen erzielen können. Dies wird auch von den Synergien mit anderen Mitgliedsstaaten abhängen. Die große Herausforderung ist das Schritthalten mit den Entwicklungen in mobilen Bereich und im Sicherstellen der Attraktivität. Diese Attraktivität muss unter Beibehalten der Grundmauer und damit der Building Blocks der österreichischen E-Government Infrastruktur erreicht werden. Nur so kann das hohe Vertrauen in die Sicherheit und das effiziente Funktionieren und die Motivation aller Beteiligten erhalten bleiben.

Auf der Confare Veranstaltung #Digitalize 2016 treffen Sie u.a. Christian Rupp, Sprecher der Plattform Digitales Österreich aus dem Bundeskanzleramt. Anmeldung und Details auf www.confare.at

Wie sicher ist Österreichs Handy-Signatur wirklich? Experteninterview zu Sicherheitslücken und was Sie beachten müssen.

Am 30. Mai berichtete die ZIB2 umfassend über die gelungene Hacking-Attacke österreichischer Sicherheitsexperten gegen die Handy-Signatur, die bei zahlreichen E-Services von Unternehmen und Ämtern zum Einsatz kommt. In einem Webinar zeigen wir mit den Experten von ZTP wie die Attacke im Detail funktioniert, was die gefundenen Sicherheitslücken konkret für Sie bedeuten und wo Handlungsbedarf besteht. Im Blog-Interview bezieht Experte Wolfgang Prentner Stellung.

Wie sieht die Anwendung der Handy-Signatur derzeit aus?
Die Handy-Signatur ist puncto Akzeptanz mit über 640.000 Benutzern und über 200 E-Services mittlerweile eine Erfolgsgeschichte in Österreich – während die Benutzeranzahl bei den chipkartenbasierenden qualifizierten elektronischen Signaturen stagnieren, steigt die Benutzerzahl der Handy-Signaturen stark an.

Wie sicher ist die Handy-Signatur tatsächlich?
Die Handy-Signatur ist grundsätzlich eine erprobte Technologie, wenn sie richtig eingesetzt wird. Bei der österreichischen Handy-Signatur hat sich aber zumindest ein gravierender Fehler in der Sicherheitsarchitektur eingeschlichen, der das Phishing nach Handy-Signaturen, also die Fälschung von rechtsverbindlichen elektronischen Signaturen, ermöglicht.

Was bedeutet das für Service-Betreiber und Anwender?
Im März dieses Jahres wurden über 124.000 neue Phishing Websites gezählt. Die Phishing Problematik im E-Government mit derzeit über 200 E-Services wird 100-mal höher als wie z.B. beim Internet-Banking eingeschätzt. Warum? Ein Bürger hat 1 bzw. 2 Internet-Banking Anwendungen in Verwendung. Ein Bürger kann aber über 200 E-Government Services in ganz Österreich nutzen, daher der Faktor 1:100 was die Gefährdung durch Phishing Angriffe auf die österreichische Handy-Signatur betrifft und massiv erhöht. Für Service-Provider und dessen Kunden heißt dies konkret - erhöhte Achtung vor vermeintlichen E-Mails, damit nicht Signatur-Daten gephished werden  um sie dann missbräuchlich zur z.B. Unterfertigung von rechtsverbindlichen Verträgen durch Kriminelle zu verwenden.

Welche Maßnahmen müssen daher getroffen werden?

Von Seitens der (1) Anbieter von Handy-Signaturen müssen dringend einige Sicherheitsmaßnahmen korrigiert und verbessert werden. Die (2) Anbieter in Österreich von Handy-Signatur Login Lösungen, derzeit über 200 E-Services, müssen darauf achten, dass ihre Webseiten nicht gefälscht und zum Phishing nach Signaturen missbräuchlich verwendet werden und (3) die Bürger und Mitarbeiter von Betrieben und Behörden müssen darauf achten, dass Sie nicht Phishern auf den Leim gehen, sprich Ihre Signaturen missbräuchlich verwendet werden.

Wie Hacking gegen die Handy-Signatur aussehen kann und wie Sie sich schützen erfahren Sie in unserem Webinar mit Sicherheits-Profi Wolfgang Prentner. Sichern Sie rechtzeitig Ihre Teilnahme:

Webinar Termine:
Do. 2. Juni 2016, 14.15h  Do. 9. Juni 2016, 9.15h
Handy-Signatur Phishing - Ursachen, Folgen und mögliche Maßnahmen
Anmeldung: https://www.ztp.at/acsa

Wie reif ist Osterreichs Wirtschaft für das digitale Business?

Diese Frage stellen die Experten aus dem Hause Software AG und wir von Confare im Vorfeld des 8. CIO & IT-Manager Summits im Zuge unseres DIGITAL BUSINESS ASSASSMENTs 2015. Ihr Input ist gefragt – in wenigen Minuten haben Sie den Fragenkatalog durch und erhalten im Gegenzug kostenlos die Studienergebnisse.

Link zum DIGITAL BUSINESS ASSESSMENT 2015 

Was sind die 4 Eckpfeiler eines DIGITALEN Unternehmens?

Die Ergebnisse der Studie werden auf dem CIO SUMMIT dem Publikum vorgestellt. In den Vorbereitungen haben wir ein Gespräch geführt mit Christoph Strnadl. Er ist anerkannter Experte rund um das Management von Prozessen und beschäftigt sich in großen internationalen Beratungsprojekten mit den Voraussetzungen für Erfolg im Digitalen Business.

Wie sehr ist die Digitale Business Transformation eine CIO Aufgabe?

„Software eats the world“ ist eine der zahlreichen Charakterisierungen der Digitalen Transformation. Fakt ist, dass tatsächlich die IT der Treiber und Motor dieser Transformation ist, da diese Veränderung des Geschäfts naturgemäß gerade durch und mit digitalen Technologien erfolgt. Damit ist die Digitale Business Transformation auf jeden Fall auch CIO Aufgabe.

Aber „beruhen auf“ heißt nicht „identisch sein mit“. Und genauso wenig, wie ein Motor allein weiß, wo er hinfahren soll, genauso wenig, wie der (Halb-) Wilde auf seiner Maschin‘ (© Qualtinger) eine Ahnung hat, wo er hin fährt (Hauptsache, er ist schneller dort), genauso wenig reicht der CIO alleine aus, um diese Transformationsleistung zu erbringen: Er oder sie braucht dazu ein Gegenüber auf Augenhöhe, eine (oder einen) CEO oder einen CSO (Chief Sales Officer) oder CxO, der mit ihr (oder mit ihm) gemeinsam das Ziel dieser Transition in ein Digitales Business plant, eine geschäftsrelevante digital Vision konzipiert und dann ein entsprechendes Veränderungsprojekt exekutiert.

Man könnte so ein Vorgehen auch „Co-creation“ (gibt es dafür ein passendes deutsches Synonym?) nennen, aber es sind wohl in der Tat zwei Rollen – Geschäft und Technologie – von Nöten, um beide Perspektiven miteinander versöhnen zu können.

Was sind die Kernbereiche, die im Digital Business Assessment erhoben werden? Was macht ein Unternehmen reif für die Digitalisierung?

Jede Veränderung setzt an einem Status Quo („Present Mode of Operation“, Ist-Zustand) an und versucht, einen erstrebenswerten Zielzustand, eine Vision zu realisieren („Future Mode of Operation“, Soll-Zustand). Dazwischen liegt das Projekt, der „Transition State“, in der diese Veränderungsarbeit passiert. Das ist auch bei der Digitalen Transformation nicht anders. Der Aufwand dieser Veränderung hängt daher von der Ausprägung des Ist-Zustands ab (Wie nahe oder wie weit weg vom Zielzustand ist er) und von der Art und Weise, wie in dem betrachteten Unternehmen Veränderungen gemanagt und realisiert werden. Und genau diese beiden Dimension erheben wir: Den Status Quo und die Transformationsfähigkeit.

Beim Status Quo gehen wir unter anderem darauf ein, wie flexibel und reaktionsfähig ein Unternehmen hinsichtlich seiner Prozesse und seiner IT aufgestellt ist, aber auch wie gut es seine Prozesse und Geschäftsobjekte „managed“ und „im Griff“ hat.

Die Transformationsfähigkeit wiederum wird stark durch den Reifegrad des Business/IT-Alignments, der Ausrichtung von Fachbereichsstrategie und IT-Strategie, und den für diesen Steuerungsprozess verwendeten Verfahren und Tools bestimmt.

Wie kann die strategische Abstimmung erfolgen, um gemeinsam erfolgreich zu sein?

Es ist sehr schwierig bzw. durchaus aufwändig, die digitale Veränderungen zu planen, wenn man keinen (oder nur einen geringen) Überblick über sein aktuelles IT Portfolio (Applikationen, Systeme, IT-Prozesse, IT-Kosten, IT-Leistungen) hat. Da im Digitalen Unternehmen die IT (wie oben schon angedeutet) der „Motor“, also der Betreiber der digitalen Prozesse und der Hüter der digitalen Assets sein sollte, würden eigentlich sehr klassische Ansätze im Bereich IT Portfolio Management eine sehr gute Ausgangsbasis für die gemeinsame Diskussion des CIOs mit einem CxO Gegenüber aus dem Fachbereich bilden. Da digitale Prozesse (wie schon vor 15 Jahren vor der Internet-Bubble: Ich erinnere an das Phänomen der Dis-Intermediation ;-) tendenziell ihre massiven Vorteile ausspielen, wenn sie applikations- und organisationsübergreifend ablaufen, kommt es bei der strategischen Planung eher auf den Überblick, auf die Zusammenhänge, auf die Architektur an und weniger auf jedes Detail im Java Code oder im Storage Server.

Auch schwierig für etliche Unternehmen: Man sollte seine eigenen Prozesse kennen – sonst wird es eher schwierig, diese in Richtung digitale Prozesse mit digitalen Assets (siehe nächste Frage) zu verändern. Und da man – wie wir alle seit den 1990er Jahren wissen –Prozesse nicht wirklich sehen oder angreifen kann, braucht es geeignete Darstellungsformen (um nicht zu sagen: Modelle), um diese Elemente sichtbar und damit überhaupt erst gestalt- und veränderbar zu machen. Wenn ich nicht weiß, wo ich heute welche „klassischen“ (also nicht digitalen) Interaktionspunkte mit meinem Kunden habe: Wie wollte ich dann diese „digitalisieren“?

Was sind die Assets, die im Unternehmen vorhanden sein müssen?

Obwohl es keine allgemeingültige Definition eines „Digitalen Unternehmens“ gibt, haben sich einige Kernelemente herauskristallisiert, die sozusagen den Begriffskern ausmachen. Dazu zählen

(i)           digitale Assets – also eine digitalisierte Form der (möglicherweise: aller) Geschäftsobjekte wie digitale Lieferscheine, digitale Aufträge, digitale Akten, digitale Pläne, u.s.f.

(ii)          digitale Prozesse – Da umfasst neben der klassischen Prozessautomatisierung aber auch alle sonstigen Arten der Digitalisierung von Prozessen, wie Case Management, (automatische) elektronische Kommunikation zwischen Prozessbeteiligten, die Steuerung der Prozesse auf Basis von in den Systemen gemessenen (Prozess-) Kennzahlen (anstelle von Stricherllisten oder manuellen Reports) oder das automatische Reagieren auf Ereignisse.

(iii)         digitale Interaktionen mit Stakeholdern – Da spielen die mobilen Endgeräte („digital Touch-Points“) eine wesentliche Rolle, über die in diesem Falle oft Kunden, aber auch Lieferanten oder Mitarbeiter die Prozesse und Leistungen eines digitalen Unternehmens abgreifen.

(iv)         digitale Services – wenn Unternehmen ihre Leistungen von physischen Gütern (bspw. die Tonträgerindustrie) auf rein elektronische Güter (MP3-Files) umstellen können. Naturgemäß gilt das nicht für alle Branchen: Eine Seife zum Händewaschen ist Teil eines chemischen Prozesses, der sich wohl kaum „digitalisieren“ lässt, genauso wenig wie sich ein Auto „wegdigitalisieren“ lässt. Aber rund um physische Services werden eine heute noch gar nicht abschätzbare Vielfalt an digitalen Services entstehen, die das physische Gut entsprechen augmentieren.

Welche Rolle spielen die aktuellen Technologietrends?

Ich würde ketzerisch fast behaupten, dass mit Ausnahme von Mobile Computing, Industrie 4.0 bzw. dem Internet of Things (IoT) etliche gängige Hypes wie Social Media, Big Data oder auch Cloud Computing den Blick auf das Wesentliche, nämliche die oben angeschnittenen 4 Kernelemente eines digitalen Unternehmens, verstellen.

Zugegeben, Cloud Computing kann durchaus ein Beschleuniger der Transformation in Richtung Digitales Unternehmen sein, aber Cloud Computing beantwortet ja überhaupt nicht die Frage, welche (digitalen) Fachfunktionen oder (digitalen) Prozesse ein Unternehmen denn aus der Cloud beziehen sollte.

Ja, auch Social Media wird im Sinne der digitalen Interaktion eine wichtige Rolle als Kanal spielen – aber ein Digitales Unternehmen kann so viel mehr sein, als nur ein Social Media Outlet von mediokren, nichtdigitalisierten unternehmensinternen Prozessen.

Mobile Computing hingegen ist hier natürlich ein extrem wichtiger Treiber in Richtung digitaler Interaktionen, der – siehe etwa Mobile Banking – auch in konservativeren Industriezweigen schon massive Veränderungen hervorgerufen hat.

Industrie 4.0 bzw. die Themen rund um das Internet of Things wiederum stellen als konzeptive Ansätze die absolut richtigen Fragen. Die schweben daher auch eine kleine Abstraktionsebene über den konkreten Trends und schüren gerade so extrem spannende neue Bündel aus durchaus bekannten Technologien (ich denke da an Kommunikationstechnologien im Bereich „Messaging“, die wir seit den 1980er Jahren kennen ;-).

Die Ergebnisse des Digital Business Assessment werden präsentiert auf dem 8. Confare CIO & IT-Manager Summit am 25/26. März 2015 in Wien – Anmeldung Details finden Sie auf www.ciosummit.at

Die Umfrage erreichen Sie auf https://de.surveymonkey.com/s/DBA2015AT 

Bis der Arzt kommt … Die 3 wichtigsten Bedrohungen für die Gesundheit der IT

Vorsorgemedizin boomt und wirkt sich nachweislich positiv auf die Gesundheit der Bevölkerung aus. Eher nachlässig wird indes die „Gesundheit von IT-Systemen“ behandelt, gerade in Zeiten von Kostendruck und steigender Komplexität. Während die Abhängigkeit der Unternehmen von der IT immer mehr steigt, wachsen gleichzeitig auch die Bedrohungen. Der Ziviltechniker Dr. Wolfgang Prentner (ZT-PRENTNER-IT GmbH) ist Spezialist für Computer Forensik und IT-Sicherheit und versteht sich oft als Notfallmediziner in der IT. Im Gespräch gibt der Spezialist Auskunft über jene Vorbeugemaßen, die zur Gesundheitsfürsorge in der IT notwendig wären.

Wo sehen Sie denn die 3 schlimmsten Gesundheitsbedrohungen für die Unternehmens-IT?

Mehrere Faktoren kommen zur Zeit gleichzeitig zum Tragen:

(1) Die IT Landschaft ist hoch komplex und neue, moderne Technologien werden eingesetzt. Mobile Endgeräte, Cloud Services und Virtualisierung verändern die Nutzung und die Erwartungen an IT-Systeme. Um agil und rasch im Wettbewerb zu agieren, wird Software in immer kürzeren Abständen entwickelt, zumeist nicht ausreichend getestet und  von Qualitätssicherung sowie Dokumentation ist keine Rede. Dadurch schleichen sich immer mehr Fehler in die Software ein mit zum Teil fatalen Folgen im Bereich der System-Zuverlässigkeit als auch im Bereich der Sicherheit. Beispiele dafür sind die falsche Verbuchung von Geldbeträgen auf Privat- und Firmenkonten sowie die Einsicht in fremde Konten beim Online-Banking oder der Supergau der heuer stattfand im Zusammenhang mit dem  „Heartbleed Software-Fehler“. Dieser ermöglichte direkt den Hauptspeicher von mehreren Millionen sicherheitskritischen Computersystemen auszulesen.

(2) Unternehmen sind immer mehr von Spezialisten und Dienstleistern abhängig. Dabei kommen die Dienstleistungen zu 99% nicht aus einer Hand sondern von einer Heerschar von Dienstleistern für z.B. Hardware, Betriebssystemen, Infrastruktur, ERP, CMS, Storage, für Installation, Wartung und Betrieb. Dies führt dazu, dass bei Problemen mit der IT, keine rasche und zielgerichtete Lösung des Problems vorliegt, sondern das Problem zumeist wie eine heiße Kartoffel im Kreis geschickt wird. Die Rechnung zahlt dann der Auftraggeber.

(3) Ein Basisschutz ist zumeist in den Unternehmen und Behörden vorhanden. Das wissen auch die Angreifer. Ein erhöhter Schutz auf Basis einer Risikoanalyse kostet zumeist nicht doppelt so viel wie man vermuten würde, sondern erhöht die Kosten um einen Faktor 10 bis 100 (!). Mit diesem exponentiellen Anstieg der Kosten und des Aufwandes sind die meisten Organisationen überfordert, das macht sie verwundbar. Aber auch dieser Schwäche sind sich Cyber-Kriminelle bewusst.  

Was sind die gängigsten Angriffsziele?

Die Angriffsziele sind breit gefächert. Primär geht es um Geld. Privatpersonen sind genauso lohnende Ziele, wie kleinere Unternehmen oder Konzerne. Immer noch gelingt es, blauäugigen Privatpersonen mit plumpen beziehungsweise simplen und altbekannten aber perfektionierten Methoden beträchtliche Summen abzuknöpfen, sei es mit Spam, Phishing oder fingierten Anrufen. Das Vorgehen bei Angriffen auf Konzerne ist meistens komplexer da das Sicherheitsniveau wesentlich höher ist. Allerdings ist hier auch mehr zu holen.

Inwieweit muss man sich als Unternehmen vor Cyber Kriminellen schützen?

Cyber Kriminalität hat sich zum Big-Business mit Milliarden Umsätzen entwickelt. Das Vertrauen in die Informationstechnologie ist mehr denn je durch die in den letzten Tagen, Monaten und Jahren aufgedeckten kriminellen Handlungen erschüttert – dahinter stecken mafiose Strukturen und natürlich auch staatliche Spionageaktivitäten. Man denke an den  aktuellen Fall des Trojaners Regin, bei dem die Vermutung nahe liegt, dass er aus dem Umfeld staatlicher Organisationen kommt.

Der Schutz vor Cyber Kriminellen kann zum Teil durch eine gut gewartete IT Landschaft und konkrete Abwehrmechanismen sichergestellt werden. Auch eine unabhängige und regelmäßige Überprüfung des Sicherheitsniveaus von Unternehmen und Behörden hilft.

Der zentrale Angriffs-Faktor ist jedoch weiterhin der Mensch selbst, der die Systeme, die ihm zur Verfügung gestellt werden nur unzureichend versteht und aus diesem mangelnden Verständnis heraus, aus Bequemlichkeit oder fehlendem Risiko-Bewusstsein heraus Fehler macht. Es gilt: „culture eats strategy“, die beste Sicherheitsstrategie hilft nichts, wenn die Unternehmenskultur im Punkto Sicherheit unterbelichtet ist. Awareness Maßnahmen, Information, Diskussion und Schulung sind hier von entscheidender Bedeutung.

 Was ist bei Gesundheitsvorsorge für die IT zu beachten?

Bei der Gesundheitsvorsorge für die IT ist zu beachten dass die strategischen IT-Ziele mit genügend Ressourcen, Know-how und Geldmitteln bestückt werden und mit den richtigen Partnern verfolgt werden. IT-Dienstleister glänzen oft in der Akquise, letztendlich sind sie aber eher dem eigenen Unternehmenserfolg verpflichtet als dem der Kunden. Wichtig ist dabei, sich nicht nur das Leistungspaket und die attraktiven Preise anzusehen, sondern auch zu prüfen, was passiert, wenn etwas passiert. So dass Sie im Fall des Falles nicht im Stich gelassen werden. Hier ist es unter Umständen unabhängige Dritte ins Boot zu holen, um die eine objektive Einschätzung der Lage zu erhalten.

Als Referent steht der Fachmann Wolfgang Prentner auf dem 8. Confare CIO & IT-Manager Summit für Fragen zur Verfügung, wo am 25. und 26. März in Wien auch die besten IT-Manager des Jahres ausgezeichnet werden. Anmeldungen und Details auf www.ciosummit.at
  (

 

5 Faktoren für „Bezahlbare Compliance“

Das ERP-System ist oftmals das Herzstück der Business Software eines Unternehmens – welche besonderen Anforderungen es an diese mächtigen Systeme es im Zusammenhang mit der Einhaltung von Verhaltensmaßregeln, Gesetzten und Richtlinien gibt, beantwortet Markus Oman, Geschäftsführer der O.P.P. – Beratung und einer der führenden IT-Rechts-Experten in Österreich im Gespräch mit Confare.

Welche rechtlichen Anforderungen müssen ERP Systeme und deren Betrieb erfüllen? Welche Risiken gibt es?

MO: Der Betrieb solcher zentralen Systeme bringt Risiken in verschiedenen Bereichen mit sich, die erkannt, qualifiziert und gemanagt werden müssen. Insbesondere gehören hierzu:

• Organisatorische Risiken
• Infrastrukturelle Risiken
• Anwendungs- und prozessbezogene Risiken
• Kosten- und leistungsbezogene Risiken
• Rechtliche Risiken

Vielfach gibt es Bereiche, in denen sich die betriebswirtschaftlichen, technischen und rechtlichen Anforderungen überschneiden. Besonders diese Überlappungszonen stellen sich in der Praxis sehr komplex dar. Die aktuellen Compliance Anforderungen umfassen vielfach Anforderungen auf die betriebswirtschaftlichen, als auch in die technischen Themenbereiche. Insbesondere sind hier Anforderungen an die Funktionsfähigkeit des IKS (Internes Kontroll System) zu nennen oder auch die Anforderungen der Wirtschaftsprüfung bzgl „Going Concern“. Ebenso sind hier auch die Inhalte des Fachgutachtens für Ordnungsmäßigkeit von EDV-Buchführungen KFS_DV1 (bzw. auch KFS_DV2) und nicht zuletzt die Prüfungsrichtlinien der WP Gesellschaften zu erwähnen. Nicht zuletzt gilt es auch die gesetzlichen Forderungen des UGB (zB §§ 189f , §216 und §274 UGB), der BAO (zB §§ 125 ff BAO, § 131, 132 BAO) und die GOB (Grundsätze ordnungsmäßiger Buchführung) zu erfüllen.

Besonderes Augenmerk ist auf eine zweckmäßige Gestaltung des IKS zu legen. Hierbei gilt es aufgrund der vielfältigen Anforderungen besonders darauf zu achten, dass das Gesamtsystem transparent und funktional wird, aber gleichzeitig auch effizient bleibt.

 Generell ist „bezahlbare Compliance“ das Gebot der Stunde!

Was sollte ein IKS nun zumindest abdecken und was muss daher durch das ERP – System und dessen Prozesse geleistet werden?

MO:

·         Ein Internes Kontrollsystem muss gewährleisten, dass die Aufgaben im Unternehmen (gemäß der Unternehmensziele) ordnungsgemäß erfüllt werden und  eine diesbezügliche Sicherheit schaffen.

·         Durch ein IKS müssen insbesondere die Vollständigkeit und Richtigkeit der geschäftlichen Aufzeichnungen gewährleistet, die vorhandenen Vermögenswerte abgesichert, die betriebliche Leistungsfähigkeit gesteigert und die Geschäftsleitung bei ihrer Überwachungsaufgabe unterstützt werden.

 

·         Das IKS stellt ein internes System aller Überwachungsmaßnahmen dar, die in Arbeits- und Betriebsabläufe integriert sind. Somit sind im Rahmen des IKS-Prozesses alle

ª  Grundsätze, Verfahren und Maßnahmen zur Sicherung der Wirksamkeit und Wirtschaftlichkeit der Geschäftstätigkeit,

ª  zur Ordnungsmäßigkeit und Verlässlichkeit der internen und externen Rechnungslegung und

ª  zur Einhaltung der für das Unternehmen maßgeblichen rechtlichen Vorschriften, sicher zu stellen!

Für das ERP-System und seine nachgelagerten Systeme gilt daher, dass es Funktionen zur Verfügung stellen muss, die es ermöglichen, dass Kontrollmaßnahmen auf Risiken und Schwachstellen ausgerichtet sind. Diese Prozesse sind laufend zu überwachen und aktuell (für Dritte nachvollziehbar) zu dokumentieren. Die erforderliche Qualität der Dokumentation bzw. Nachweisbarkeit wird nur durch eine entsprechende Revisionssicherheit erreicht.

Ein wichtiger Aspekt in diesem Zusammenhang ist die Archivierung der verwendeten bzw. erzeugten Informationen, Daten und Dokumente. Und hier beginnt nun das Dilemma, was archivieren und wie, welche Dokumente sollen aufbewahrt werden, wann dürfen Originale entsorgt werden, was sind überhaupt die Originale und darf überhaupt alles für immer aufbewahrt werden?

MO: Die gesetzlichen Vorgaben ergeben sich aus der Verpflichtung zur Transparenz und Nachvollziehbarkeit, den Anforderungen der Ordnungsmäßigkeit, und dies alles ist verpackt in einer Vielzahl von  Gesetzen und der gelebten Judikatur. Eine besondere Rolle kommt den Regelungen des Datenschutzgesetzes zu, da dieses durch seine Schutzfunktion für den Betroffenen zu Konflikten mit den Zielen des Unternehmens führen kann (z.B. Auskunftsrecht § 26, Recht auf Richtigstellung / Löschung § 27, Widerspruchsrecht § 28 versus der diversen Aufbewahrungsanforderungen).

Hinsichtlich des betriebswirtschaftlichen Mehrwertes einer elektronischen Archivierung sollte man ins Kalkül ziehen, dass die Prozesse schneller werden, man also schnell mehr richtige Antworten zu den vorhandenen Dokumenten (wichtiger Teil des Wissens der Organisation) erhält, dadurch die Fehlerquote sinkt, Doppelarbeiten vermieden werden und vor allem man das findet, was man sucht. Des Weiteren werden die Wegzeiten praktisch auf null reduziert und somit ein sehr großer „Return on Investment (ROI)“ erreicht wird, was wiederum die Wettbewerbsfähigkeit verbessert.

Um einen ROI zu erwirtschaften muss bei der Einführung eines eArchives in erster Linie das organisatorische Risiko richtig gehandhabt werden und nicht so sehr das technische. Bevor man also nicht weiß, was man wie wieder finden will und daher wie archivieren muss, ist es nicht sinnvoll, eine technische Umsetzung zu beginnen. Daher ist es essenziell erst nach der Erledigung der „Hausaufgaben“ die notwendigen Systeme auszuwählen. Auch hier gilt nur jene beschaffen die wirklich notwendig sind – vieles ist mit bereits vorhanden „Boardmitteln“ möglich.

Gleiches gilt im Übrigen auch, um ein effizientes Handling der elektronischen Ein- und Ausgangsrechnungen zu ermöglichen.

Welche Aufgaben gilt es daher zu meistern und welche organisatorischen und technischen Maßnahmen sind wichtig, um ERP-Compliance kostengünstig sicher zu stellen?

MO:

1. Kenne deine (wirklichen) Prozesse

2. Definiere smarte und am Unternehmensziel ausgerichtet Sollprozesse

3. Analysiere die tatsächlichen Risiken (ROI; Steuer- Unternehmens- und Datenschutzrecht; Leistungsfähigkeit der IT; langfriste Verfügbarkeit des Anbieters) und stelle sicher, dass die Systeme ein effizientes Management genau dieser Risiken ermöglichen. Auch „zu Tode fürchten“ ist nicht zielführend, sondern nur teuer!

4. Baue so viel wie möglich eigens Know – how über das (neue) System auf.

5. Wähle den „richtigen“ Berater. Fähige Berater sind gut und wichtig, aber ein sehr guter Berater, rationalisiert sich selbst weg!

Im Rahmen des 7. ERP Infotages von Confare, am 9. Oktober in Linz wird es am 10. Oktober auch einen Workshop zum Thema ERP Compliance geben, Anmeldung und Details: http://www.confare.at/11185_DE-7205_ERP_Infotag_2013-Workshop%3a_SAP_Compliance_Control_Management.htm

Fit für Veränderung? Weiterbildung ist die Voraussetzung

 Um mit dem massiven Veränderungsdruck der heutigen Zeit erfolgreich umzugehen, sind persönliche Weiterbildung und Erfahrungsaustausch über Unternehmensgrenzen unerlässlich. Dabei zählen nicht nur technisches Know-how, sondern vor allem Businessverständnis und auch Soft-Skills. So kann man als Partner der Fachabteilungen neue Arbeits- und Businesswelten Realität werden lassen und im Wettbewerb bestehen. Know-how Vorsprung wird zum persönlichen Wettbewerbsvorteil.

Confare hat basierend auf diesen modernen Anforderungen des IT-Managements einen Weiterbildungskatalog entworfen. Die angebotenen Themen reichen von Moderation und Führung, über die Rahmenbedingungen des IT-Rechts bis hin zum erfolgreichen Umsetzen von ERP- oder mobilen Projekten.

„Career Is Ongoing“ statt „Career Is Over“ ist durch kontinuierliche Weiterbildung vor allem in strategischen und businessorientierten Themen möglich mit dem Ziel auf Augenhöhe mit dem Business zu agieren.

Dr. Martin Buresch, Manager Konzern

IT – CIO, Kwizda Holding GmbH

Die Digitalisierung hat unser ganzes Leben massiv verändert. Wir kaufen in Web-Shops ein, machen unsere Bank-Geschäfte online, und finden unsere Lebenspartner bei Partnerbörsen im Web. Die Zeit vertreiben wir uns mit dem Smartphone oder Tablet und der elektronische Kalender führt private und berufliche Agenden zusammen.

Die Veränderung hat unsere Arbeitswelt erfasst. Kein Stein bleibt auf dem anderen. Das gesamte Unternehmen und die Art, wie wir Geschäfte machen wird durch gesellschaftliche, aber auch in zunehmenden Maß von technologischen Entwicklungen wie Cloud, Social & Mobile verändert.

Eine besondere Rolle kommt daher dem IT-Management zu – es wird zum Change Agent. „Die Fachbereiche erwarten vom CIO, dass er als Berater und Innovationstreiber Unternehmen tätig wird.“, erklärt Gerd Ulm, CIO des Dorotheum. „Wer nur den Anforderun­gen nachläuft wird schnell in die Defensive kommen. Es geht darum, jene Trends herauszufiltern, die im eigenen Business mit einem Mehrwert umsetzbar sind und an­dere auch mal außen vor zu lassen.“

„Führungskräfte sind gefordert, die sich ändernden Umgebungsbedingungen wahrzunehmen sowie die richtigen Transformationsvorhaben zu planen und zu führen.“ analysiert Prof. Dr. Reinhard Jung, Akademi­scher Direktor der Universität St. Gallen und akademischer Partner des Confare CIO Awards. „Dieser Per­sonenkreis ist dauernd gefordert, sich immer wieder auf den neusten Stand zu bringen. Darin liegt auch eine Verantwortung gegen­über den weiteren Mitarbeitenden einer Organisation, denn die Transformation zu „verpassen“, kann bekanntlich fatale Folgen haben.“

Die Veränderung hat ein Tempo erreicht, das neue Arten der Arbeit und neue Wege des Managements notwen­dig macht. Der CIO übernimmt die Rolle als Coach des Business „Ein CIO der/die nicht bereit ist neu anzufangen und Neues zu lernen wird keinen Mehr­wert für das Unternehmen bringen.“ so Eric-Jan Kaak, CIO, Tecnica Group SpA, Blizzard Sport GmbH, der 2013 mit den CIO Award von Confare ausgezeichnet wurde. „Dabei muss der CIO als Treiber von Geschäftsprozess-Opti­mierung am Puls der Zeit sein, und dem Business genau das ermöglichen, was das Business braucht – nicht was das Business haben möchte.“

Das verlangt eine enorme Lerninvestiti­on vom CIO – um dieser neue Rolle des Digitalen Business Coaches gerecht zu werden.“

Eric-Jan Kaak, CIO, Tecnica Group SpA, Blizzard Sport GmbH

Der Wandel bleibt das einzig Beständige in der Laufbahn eines CIO. Banner CIO Christian Ott sieht es als entscheidenden Faktor an, dass der CIO sich aktuellen Entwicklungen nicht verschließt: „Damit der CIO dieser Situation gerecht werden kann, ist ständige Weiterbildung ein MUSS! Die kontinuier­liche Weiterentwicklung der persönlich-kommunikativen und technisch-fachlichen Fähigkeiten können als entsc­heidender Erfolgsfaktor für die Stärkung seiner Innova­tionskraft gesehen werden!“

„Der “Lern”-Weg ist das Ziel.”

Christian Ott, MBA, MSc, CIO, Banner GmbH

Peter Lenz ist Group CIO der ÖBB AG und wurde 2014 von Confare in Zusammenarbeit mit EY und CIO-Guide mit dem CIO Award 2014 ausgezeichnet. „Das Feld der IT wird immer breiter, während sich gleichzeitig in extrem kurzen Lebenszyklen so viele Neuerungen erschließen.“

„Wenn ich zurückdenke, was ich auf der Universität gelernt habe und was ich derzeit für meine Position an Wissen brauche, dann gibt es eine interessante Differenz.“, beschreibt  Ursula Soritsch-Renier, CIO der Sulzer Management AG. „Es geht darum, kontinuierlich zu lernen, um diese Differenz zu bewäl­tigen und die Voraussetzung für Erfolg zu schaffen.“

„Man muss IT-mäßig am Ball bleiben, sonst ist der Zug abgefahren. Ohne einen selbst.“

Peter Lenz, Group CIO der ÖBB AG

„Informelle und formelle CIO Runden spielen eine wichtige Rolle, ebenso der Austausch mit Anbietern und Herstellern.“, sagt Peter Lenz. Wie groß der Bedarf nach Erfahrungsaustausch über Unternehmensgrenzen hinweg ist zeigt das massive Wachstum der Confare CIO & IT-Manager Summits in den letzten Jahren. Mit Begeisterung wird die Möglichkeit wahrgenommen, von den Erfahrungen aus internationalen Unternehmen zu profitieren. Dabei werden nicht nur Unternehmensgrenzen sondern auch Landesgrenzen überwunden.

„Die Halbwertszeit von IT-Wissen hat sich in den letzten 10 Jahren nochmals dramatisch verkürzt. Neue Technologi­en und Produkte wechseln sich immer schneller ab.“ Jean-Claude Flury, ist Vice President ICT der Siegfried AG und leistet im CIO Beirat der Deutschsprachige SAP Anwendergruppe (DSAG) einen wesentlichen Beitrag zum Know-how Transfer. „Dabei nur den technischen Aspekt zu betrachten ist allerdings deutlich zu wenig.“

Wenn der CIO als Innovationstreiber und Business Coach den Erfolg neuer Geschäftsfelder gewährleisten möchte, und das Unternehmen fit für die Transformation sein soll, muss sich das IT-Management intensiv mit den Anforderungen des Core-Business befassen, die Anforderungen und Herausforderungen der Fachabteilungen verstehen.

„Die Entwicklungsdynamik in der IT Branche sucht ihresgleichen. Ob Nutzer oder Anbieter von IT Services - diese Entwicklung bedeutet Chance und Risiko zugleich.“ Martin Fluch verantwortet als Director IT Services jene Teile der IT der A1 Telekom Austria AG, die auch externen Kunden angeboten werden. „Mit einem klaren Blick auf Kernkompetenzen, einer auf die Geschwindigkeit unserer Branche angepassten Weiterbildung und einen ebenso starken Fokus auf die Soft Skills unserer Mitarbeiter legen wir die Basis für den Erfolg von heute und in Zukunft.“

Das Ausbildungspaket ist auf die modernen Anforderungen der IT-Branche ausgerichtet. Die Themenvielfalt reicht von den technischen Aspekten von Enterprise Mobility oder ERP, über IT-Recht und Datenschutz bis hin zu Führung und Coachingmethoden. Den aktuellen Weiterbildungsfolder finden Sie auf
http://www.confare.at/11168_DE-7200_IT_Weiterbildung_2014-Folder.htm   
 

(Fotos vom 7. Confare CIO & IT-Manager Summit von Roman Katoch)
 
 

Der CIO ermöglicht neue Geschäftsfelder – nicht als „Befehlsempfänger“, sondern als kompetenter Partner für das Business

Nach dem Studium in St. Gallen erlernte Urs Monstein das Bankengeschäft und die IT bei der UBS. Bei der Übernahme der UBS Privatbank durch die Bank Julius Bär war seine Aufgabe die IT-Integration der beiden Häuser. Heute, als Global Head of IT kommt ihm sein fundiertes Banking-Know-how zu Gute und macht ihn zu einem der Top-CIOs 2013 und zu einem der Nominierten für den SWISS CIO AWARD 2013.

Wie hat sich das Rollenbild des klassischen IT-Managers verändert?

UM: War die IT bis anhin in der Rolle eines IT Providers dafür verantwortlich, Technologie und Funktionalitäten entsprechend den Anforderungen des Business bereitzustellen, so wandelt sich diese Rolle heute mehr und mehr über einen Service Dienstleister zu einem strategischen Business Partner. In dieser Rolle wird von der IT nicht nur erwartet, mittels technischer Unterstützung die Arbeitsabläufe zu vereinfachen. Vielmehr wird von der IT heute erwartet, dass sie dem Business auch neue Geschäftsfelder eröffnen (bspw. durch die Bereitstellung neuer Kanäle) oder die Grundlage zu einer effizienteren Bedürfnisbefriedigung unserer Kunden sicherstellen kann.  Damit einhergehend wandelt sich auch die Rolle des IT Managers vom „Befehlsempfänger“ zum gleichberechtigten Business Partner.

Welche Qualifikationen, abseits der technischen, benötigt der IT-Manager heute?

UM: Der IT-Manager muss nebst den Management Aufgaben in der Lage sein, durch ein ausgezeichnetes Business Verständnis die Bedürfnisse seiner Kunden zu antizipieren, Strategien zu entwerfen, Risiken abzuschätzen und Gesamtzusammenhänge zu erkennen. Dies verlangt von ihm nebst analytischen Fähigkeiten eine hohe  Flexibilität sowie die notwendige soziale Kompetenz, um sich in seine Business Partner versetzen zu können. Bei all diesen Aufgaben ist das persönliche Netzwerk von grossem Nutzen. Das reine IT-Wissen ist in den Hintergrund getreten und wird heute von technisch versierten Mitarbeitern abgedeckt.

Was muss der CIO tun, um den Business-Anforderungen gerecht zu werden, bzw. die Unternehmensziele zu unterstützen?

UM: Die persönliche Identifizierung mit dem Unternehmen, wie auch das Verstehen der Unternehmens- Strategien sind für den Erfolg unabdingbar. Er muss in der Lage sein Strategien aufzubrechen in Ziele und Prioritäten, um damit businessseitige Optimierungen mit Hilfe der IT zeitgerecht zu realisieren.

Aktuelle Trends und neuartige Entwicklungen müssen in den gesamt Kontext des Unternehmens gestellt werden um daraus Veränderungen und Risiken frühzeitig zu erkennen.

Warum ist der CIO Award wichtig?

UM: Der CIO Award ist eine Anerkennung an alle IT Mitarbeiter, die im vergangenen Jahr mit überdurchschnittlichem Einsatz und einer ausgeprägten Kundenorientierung alles unternommen haben, um die ambitiösen Ziele der Bank sicherzustellen. Dabei unterstützt der CIO Award, diese Leistung der IT auch gegen außen erkennbar zu machen.

Der CIO AWARD wird am 19. September im Zürcher Lake Side statt. Letztes Jahr hat der Informatikchef von PostFinance, Enrico Lardelli, den Preis gewonnen. Die hochkarätige Jury hat aus "zahlreichen Einreichungen" die fünf besten nominiert. Die Nominierten sind: Jean-Claude Flury, CIO von Siegfried; Urs Monstein, CIO der Bank Julius Bär; Beat Gass, CIO der Basellandschaftlichen Kantonalbank; Frédéric Wohlwend, CIO der Merck Group sowie Peter Meyerhans, CIO von Drees & Sommer.

An der Veranstaltung werden außerdem IT-Manager aus Unternehmen wie Merck, UBS, PostFinance, Blizzard und Nobel Biocare aus ihrer Praxis berichten. Aus den USA wird Stephen Little, CIO des Drucker-Riesen Xerox, erwartet. An der Veranstaltung unter dem Motto "Business Changes, Change Your Business." werden rund 100 IT-Entscheiderinnen und Entscheider teilnehmen. Weitere Informationen gibt es auf www.ciosummit.ch

Recht, Technologie & Organisation im Griff – Was macht erfolgreiche ERP-Projekte aus

ERP-Projekte sind keine x-beliebigen IT-Projekte. Das man das Spannungsdreieck Recht, Technologie und Organisation im Griff hat ist ausschlaggebend für den Erfolg. Markus Oman von der O.P.P.- Beratung im Gespräch über die Risiken von ERP-Projekten, und wie man diese vermeiden kann.

Markus Oman hat seine Expertise im Dienste großer Beratungs- und Wirtschaftsprüfungs-Häuser. in zahlreichen Projekten bei namhaften Unternehmen erworben, Er ist Gründer der O.P.P.- Beratung und ein anerkannter Experte wenn es um die Schnittstellen von Recht, Technik und Organisation geht. Genau in diesem Spannungsdreieck sind die ERP-Systeme angesiedelt – in vielen Unternehmen mittlerweile das entscheidende Tool zur Steuerung von Finanzen, Personaleinsatz und Waren.

Schlechte Planung garantiert den Misserfolg
Die Implementierung dieser oft sehr umfangreichen Lösungen ist dementsprechend heikel. „Dank unzureichender Planung und schlechter Vorbereitung dürfen zahlreiche ERP-Projekte bereits von Anfang an als gescheitert betrachtet werden“, stellt Oman fest. „Wer die eigenen Prozesse zu wenig versteht und die Soll-Prozesse zu wenig oder gar nicht definiert hat, der wird auch eine unzureichende Ausschreibung machen. Die Angebote der Anbieter werden nicht auf die Unternehmensbedürfnisse passen und die darin enthaltenen Kosten/Nutzen Einschätzungen werden der Realität nicht standhalten können.“

Eine mangelhafte Vorbereitung wirkt sich also konkret auf die Kosten des Projektes, den Nutzen und die Rechtssicherheit des ERP-Systems aus:

• Businessziele werden nicht erreicht: die Einführung des ERP Systems bringt weder die erhoffte Effizienzsteigerung noch trägt es zu einer Verbesserung der „time to market“ bei.
• Die geplanten Projekt-Kosten werden massiv überschritten – dabei werden vor allem die internen Kosten unterschätzt.
• Zeitpläne halten nicht – wenn ein ERP-Projekt zu lange dauert, kommt es oft vor, dass sich Marktanforderungen weiterentwickelt haben und man veraltete Prozesse implementiert. Das ERP-System bringt keinen Wettbewerbsvorteil sondern ein hinterherhinken hinter den Marktanforderungen.

Die gute Nachricht dabei: Gute Planung und sorgfältige Vorbereitung sind – sogar – mehr „als die halbe Miete“! Wenn die Hausaufgaben gemacht sind, werden bessere Ergebnisse erreicht und das Risiko eines Misserfolges schwindet zusehends.

Rechtliche Anforderungen, die Sie bei der Implementierung von ERP beachten müssen
Ein ERP-System muss verschiedenen Anforderungen entsprechen, die weit über die Technik hinausgehen. Es gibt zahlreiche Normen und Regulierungen denen die Systeme aus der Sicht der Finanzführung einer Gesellschaft gerecht werden müssen. Je nach Form und Größe des Unternehmens kann die Liste der zu beachtenden Regeln sehr lang sein, vom der BAO (GoB, im Besonderen die §§131, §163 der Bundesabgabenordnung) bis zum UGB (Buchführungspflicht, Führung der Handelsbücher, Aufbewahrungspflicht); DSG, Fachgutachten der KWT, IFRS (international financial reporting standards) des International Accounting Standards Board (IASB) bzw. der IFRS Foundation, und vielem mehr.

Hinzu kommen Anforderungen aus dem Bereich GRC (Governance, Risk, Compliance), die zum Beispiel aus dem GmbhG, AktG, URÄG, VerbVG; oder internationalen Normen wie SOx (besonders 404) resultieren.

Wer als Anwender darauf vertraut, dass er mit der Auswahl eines namhaften Anbieters auf der sicheren Seite ist, unterschätzt die Komplexität. „Ein System muss lediglich die Grundvoraussetzungen mitbringen, dh es muss die Möglichkeit bestehen es so zu installieren, customizen und anzuwenden, dass es ordnungsgemäß funktioniert.“ Markus Oman hat die Erfahrung gemacht, dass dies bei manchen Systemen schon fast in eine eigene Wissenschaft ausarten kann. „Kein System ist „of the shelf“ 100% ordnungsgemäß, es muss immer richtig implementiert und sachgemäß gebraucht werden.“ Alle Anforderungen werden NUR durch die entsprechende Implementierung und Customizing erreicht.

Um die Rechtsicherheit im Betrieb aufrechtzuerhalten gelten drei Regeln:
• Die Grunddaten sind zu pflegen und zur Verfügung zu halten.
• Die Nachvollziehbarkeit der Verarbeitung ist zu gewährleisten.
• Eine normkonforme Verarbeitung muss garantiert sein.
Dabei muss man als Betreiber darauf achten, dass keine zufälligen oder vorsätzlichen nachteiligen Veränderungen am System vorgenommen werden können.

Da es bei ERP-Projekten zahlreiche Fallstricke gibt, empfiehlt Markus Oman mit ganzheitlichen Experten zu sprechen und sich nicht nur von Anbietern beraten zu lassen. Denn nur so ist sichergestellt, dass man, am besten noch vor der Ausschreibung, die wichtigsten rechtlichen, organisatorischen und technischen Aspekte aus den Augen verliert.

Mehr zum Thema ERP: www.erp-infotag.at