TLDR
Die meisten Unternehmen denken, ihre IT sei okay – bis etwas bricht. Der IT-Reifegrad-Check hilft dir, in fünf Dimensionen ehrlich einzuschätzen, wo du wirklich stehst: Strategie, Governance, Security, Operations, Innovation. Das Muster, das wir bei Schweizer KMU am häufigsten sehen: solide in Operations, schwach in Strategie – genau diese Lücke kostet am meisten. Mach die Selbstbewertung und schau, wo du anfangen solltest.

Stell dir vor, du fragst deinen IT-Leiter: "Wo stehen wir eigentlich?" Neun von zehn Mal kommt die Antwort: "Ganz gut, haben keine grossen Probleme."

Und meistens stimmt das sogar. Keine grossen Probleme. Alles läuft. Bis es nicht mehr läuft.

Wir erleben das regelmässig: Ein Unternehmen ruft uns an, nachdem ein Sicherheitsvorfall fast eskaliert wäre. Oder weil die IT-Kosten plötzlich 40% über Budget liegen und niemand weiss warum. Oder weil ein neues System eingeführt werden soll und erst jetzt auffällt, dass es keine klare IT-Entscheidungsstruktur gibt.

Das Problem ist nicht Fahrlässigkeit. Das Problem ist fehlende Standortbestimmung.

"Keine Probleme" ist keine IT-Strategie. Es ist Hoffnung.

Was IT-Reifegrad wirklich bedeutet

"IT-Reifegrad" klingt nach einem Berater-Framework. Nach CMMI, nach ISO-Audits, nach PowerPoint-Folien, die drei Monate Projektlaufzeit kosten.

Das ist nicht das, was wir meinen.

Der IT-Reifegrad beschreibt ganz pragmatisch: Wie gut ist deine IT darin, das Unternehmen zu unterstützen, zu schützen und weiterzuentwickeln – nicht als Selbstzweck, sondern als Geschäftsressource?

Dafür schauen wir auf fünf Dimensionen. Nicht fünfzehn. Fünf. Und für jede gibt es vier Stufen – von reaktiv bis strategisch. Das reicht, um ein ehrliches Bild zu bekommen.

(Wer ein Enterprise-Zertifizierungsprojekt will, ist bei anderen Beratern besser aufgehoben. Wir interessieren uns dafür, was dein Unternehmen wirklich braucht.)

Die fünf Dimensionen – und was sie verraten

1. Strategie: Weiss die IT, wohin das Unternehmen will?

Das ist die Dimension, die am meisten unterschätzt wird.

Es geht nicht darum, ob du einen IT-Leiter hast. Es geht darum, ob die IT eine Roadmap hat – und ob diese Roadmap etwas mit den Unternehmenszielen zu tun hat.

Level 1 – Reaktiv: IT reagiert auf Anfragen und Probleme. Es gibt keine Roadmap. Entscheidungen entstehen unter Druck.

Level 2 – Definiert: Es gibt einen IT-Plan. Aber er wurde vor 18 Monaten geschrieben und ist kaum noch aktuell. IT und Geschäftsführung sprechen selten über Technologiestrategie.

Level 3 – Gesteuert: Die IT-Roadmap wird jährlich überarbeitet und mit dem Business abgestimmt. Es gibt ein Budget mit klarer Prioritätenliste.

Level 4 – Strategisch: IT ist fester Bestandteil der Unternehmensplanung. Neue Geschäftsinitiativen werden gemeinsam mit IT entwickelt, nicht danach an sie übergeben.

Selbstcheck: Wann hast du das letzte Mal mit deiner Geschäftsführung über die IT-Roadmap gesprochen – nicht über ein akutes Problem, sondern über Strategie?

2. Governance: Wer entscheidet was – und warum?

Governance klingt bürokratisch. Ist es aber nicht.

Es geht um eine einfache Frage: Wenn ein Team eine neue Software kaufen will, was passiert dann? Kauft jemand einfach? Fragt jemand die IT? Gibt es eine Genehmigung? Weiss irgendjemand, was schon vorhanden ist?

Level 1 – Reaktiv: IT-Entscheidungen entstehen ad hoc. Jede Abteilung kauft, was sie braucht. Niemand hat den Überblick. Die IT erfährt von neuen Tools oft erst, wenn etwas nicht funktioniert.

Level 2 – Definiert: Es gibt grobe Prozesse. Grosse Investitionen werden abgestimmt. Aber kleinteilige Entscheidungen laufen noch immer chaotisch ab.

Level 3 – Gesteuert: Klare Entscheidungsregeln für IT-Investitionen. Budget-Ownership definiert. Ein IT-Inventar existiert und wird gepflegt.

Level 4 – Strategisch: IT-Governance ist in die Unternehmensführung eingebettet. Der Vorstand oder das Leadership-Team erhält regelmässig strukturierte IT-Berichte.

Selbstcheck: Weiss jemand in deinem Unternehmen, welche SaaS-Tools gerade aktiv bezahlt werden – alle davon?

(Falls die Antwort "ungefähr" ist: Das ist Level 2.)

3. Security: Weisst du, was passiert, wenn es wirklich passiert?

Security hat ein Problem: Alle glauben, sie seien sicherer als sie sind.

Nicht weil sie lügen. Sondern weil sie compliance-orientiert denken: "Wir haben eine Firewall. Wir haben Antivirus. Wir machen regelmässige Updates." Das stimmt alles – und trotzdem reicht es oft nicht.

Der Reifegrad bei Security misst nicht die Anzahl der Tools. Er misst Resilienz.

Level 1 – Reaktiv: Kein Incident-Response-Plan. Security passiert auf Zuruf. Mitarbeitende öffnen Phishing-Mails, weil es kein Training gibt.

Level 2 – Definiert: Basisschutz vorhanden (MFA, Backup, Antivirus). Aber kein dokumentierter IR-Prozess. Security-Events werden bemerkt – aber die Reaktion ist improvisiert.

Level 3 – Gesteuert: Regelmässige Security-Reviews. Incident-Response-Plan existiert und wurde einmal getestet. Mitarbeitende wurden trainiert.

Level 4 – Strategisch: Security ist proaktiv. Threat-Modelling basierend auf dem Geschäftsmodell. Regelmässige Penetrationstests. Klare Kommunikationskette im Ernstfall bis zum Verwaltungsrat.

Selbstcheck: Was wäre der erste Schritt in deinem Unternehmen, wenn heute Nacht ein Ransomware-Angriff stattfände? Gibt es dafür einen schriftlichen Plan – oder würde jemand anfangen zu googlen?

(Wir sagen das nicht, um Angst zu machen. Wir haben zu viele Situationen erlebt, in denen die Antwort "wir würden wahrscheinlich..." war. Das ist Level 1.)

4. Operations: Läuft deine IT stabil – oder läuft sie zufällig?

Operations ist die Dimension, in der die meisten Schweizer KMU am stärksten sind. Systeme laufen. Helpdesk-Tickets werden gelöst. Backups werden gemacht (meistens).

Aber "läuft stabil" und "läuft gut" sind nicht dasselbe.

Level 1 – Reaktiv: Probleme werden gelöst, wenn sie auftreten. Keine Dokumentation. Wenn die eine Person, die alles weiss, im Urlaub ist, steht das Unternehmen still.

Level 2 – Definiert: Grundlegende Dokumentation vorhanden. SLA mit externen Anbietern definiert. Aber Monitoring ist lückenhaft, Automatisierung kaum vorhanden.

Level 3 – Gesteuert: Systeme werden aktiv überwacht. Vorfälle werden gemessen und analysiert. Routineaufgaben sind automatisiert. Dokumentation ist aktuell.

Level 4 – Strategisch: Operations ist weitgehend self-healing. Metriken werden regelmässig dem Business kommuniziert. IT-Betrieb ist skalierbar ohne proportionale Kostensteigerung.

Selbstcheck: Wenn dein IT-Verantwortlicher morgen ausfällt – wie lange würde es dauern, bis jemand anderes weiss, was zu tun ist?

5. Innovation: Kann dein Unternehmen neue Technologie aufnehmen?

Das ist die Dimension, die am meisten Gesprächsstoff erzeugt – und am wenigsten gemessen wird.

Innovation heisst nicht "haben wir schon KI ausprobiert." Es heisst: Wie schnell kann dein Unternehmen eine neue Technologie evaluieren, entscheiden und deployen – wenn sie tatsächlich sinnvoll ist?

Level 1 – Reaktiv: Neue Tools entstehen aus Einzelinitiativen. Kein Prozess für Evaluierung. IT erfährt davon oft erst nach dem Kauf.

Level 2 – Definiert: Sporadische Evaluierungen. Pilotprojekte starten, aber es gibt keinen strukturierten Weg von Pilot zu Rollout.

Level 3 – Gesteuert: Regelmässiger Technologie-Radar. Klare Kriterien für Make-or-Buy. Pilotprojekte haben ein definiertes Go/No-Go.

Level 4 – Strategisch: Innovation ist Teil der IT-Roadmap. Es gibt ein Budget für Experimente. Das Unternehmen lernt systematisch, was funktioniert – und was nicht.

Selbstcheck: Gab es in den letzten 12 Monaten einen Technologie-Pilot, der aus einem strukturierten Prozess heraus entstanden ist – und nicht aus einer Vendor-Demo?

Das Muster, das wir bei Schweizer KMU sehen

Wir haben das jetzt oft genug gemacht, dass sich ein klares Bild zeigt.

Die meisten Schweizer KMU sind bei Operations auf Level 2-3. Systeme laufen. Jemand kümmert sich darum. Es gibt Prozesse – nicht immer dokumentiert, aber vorhanden.

Aber bei Strategie und Governance? Fast immer Level 1-2. Kein IT-Plan, der mit dem Business abgestimmt ist. Keine klaren Entscheidungsregeln. IT reagiert, statt zu gestalten.

Und genau diese Lücke ist teuer.

Weil operative Stabilität täuscht. Das Unternehmen läuft. Niemand beschwert sich. Und dann kommt ein Projekt, das eigentlich drei Monate dauern sollte – und dauert ein Jahr. Nicht wegen schlechter Technik. Sondern weil niemand entscheiden konnte, niemand das Budget hatte, niemand die Roadmap kannte.

(Wir nennen das den "Level-2-Trap": Alles funktioniert gut genug, dass niemand anfängt, es grundlegend besser zu machen.)

Das decken wir bei jedem IT-Audit auf – was wir sehen und warum, haben wir in diesem Artikel über unsere IT-Audit-Erfahrungen beschrieben.

Wie du mit deinem Ergebnis umgehst

Wenn du die Selbstbewertung gemacht hast, siehst du wahrscheinlich ein ungleichmässiges Bild. Das ist normal. Kein Unternehmen ist in allen fünf Dimensionen auf demselben Level.

Die wichtigste Erkenntnis: Nicht alles gleichzeitig angehen.

Wer versucht, fünf Dimensionen gleichzeitig zu verbessern, verbessert keine einzige. Es fehlen Zeit, Budget und Fokus – und nach sechs Monaten ist der Status quo zurück.

Unser Ansatz: Die schwächste Dimension zuerst. Nicht die interessanteste. Die schwächste.

Wenn Strategie auf Level 1 ist, hilft es nichts, Operations von Level 2 auf Level 3 zu bringen. Der Grund: Ohne strategische Ausrichtung verbessert man die Effizienz des Falschen.

Wenn Governance auf Level 1 ist, werden alle anderen Verbesserungen durch fehlende Entscheidungsstrukturen gebremst.

Eine praktische Reihenfolge für die meisten KMU:

• Strategie auf Level 2 bringen (IT-Roadmap mit Business-Alignment)

• Governance sichern (wer entscheidet was, mit welchem Budget)

• Security mindestens auf Level 2 (IR-Plan, Basisschutz, Training)

• Operations stabilisieren und dokumentieren

• Innovation strukturieren

Das klingt nach viel. Ist es aber nicht, wenn man nacheinander vorgeht. Eine ehrliche IT-Standortbestimmung dauert mit einem klaren Prozess oft nicht länger als eine Woche.

Wie das in der Praxis aussieht – und warum viele IT-Entscheidungen bereits im Prozess scheitern – haben wir in diesem Artikel beschrieben. Und wer wissen will, welche Warnsignale auf akute Probleme hinweisen, findet sie in unserem Post zu den 5 Warnsignalen vor jeder IT-Katastrophe.

Die drei Erkenntnisse

• "Keine grossen Probleme" ist kein Massstab. Die teuersten IT-Probleme entstehen nicht aus Fehlern, sondern aus fehlendem Überblick. Wer nie explizit bewertet hat, wo er steht, weiss auch nicht, wohin er sich bewegt.

• Die Operations-Strategie-Lücke ist das häufigste Muster. Schweizer KMU sind operativ oft kompetenter als sie denken – aber strategisch schwächer. Diese Asymmetrie ist der Hauptgrund, warum IT-Projekte scheitern oder zu lange dauern.

• Fokus schlägt Vollständigkeit. Eine Dimension von Level 1 auf Level 2 zu bringen schafft mehr echten Fortschritt als fünf Dimensionen um je ein halbes Level. Priorisiere die schwächste Stelle – und geh von dort aus.

Wenn du dir nicht sicher bist, welche Dimension bei dir wirklich die schwächste ist – oder wenn das Ergebnis deiner Selbstbewertung konkreten nächsten Schritten bedarf: Genau dafür gibt es unsere IT Strategy Advisory. Keine Standardanalyse, kein 100-Seiten-Bericht. Sondern ein pragmatisches Bild davon, wo du stehst – und was sich als nächstes lohnt.