Shared Services, Wiederverwendung und Vendor Hosting

Einstieg

Shared Services sind im Public Sector oft sinnvoll. Nicht jede Behörde muss Identitätsmanagement, Dokumentenablage, Integrationsplattform, BI oder KI-Infrastruktur selbst betreiben. Zentrale Dienste können Kosten senken, Sicherheit professionalisieren und Standards schneller verbreiten.

Gleichzeitig bündeln sie Abhängigkeit. Wenn Zuständigkeit, Mandantentrennung, Supportzugriffe, Lieferkette, Ausstieg und Nachweise nicht klar sind, entsteht ein neues Risiko: Viele Stellen nutzen denselben Dienst, aber niemand kann sauber erklären, wer wofür verantwortlich ist.

Vorher: Transparenz und Klassifikation. Überblick: Governance im Public Sector.

Begriffe vor dem Lesen

• Shared Service — zentral bereitgestellter Dienst, der von mehreren Organisationen oder Bereichen genutzt wird.
• Mandant — getrennte Nutzungseinheit innerhalb eines gemeinsamen Dienstes, zum Beispiel eine Behörde oder ein Fachbereich.
• Vendor Hosting — Betrieb durch einen externen Anbieter oder Dienstleister.
• Unterauftragnehmer — weiterer Dienstleister, den der Anbieter für Teile der Leistung nutzt.
• Exit — geregelter Ausstieg mit Daten, Metadaten, Nachweisen, Löschung und Betriebsübergabe.
• Mandantentrennung — technische und organisatorische Trennung zwischen Nutzern desselben Dienstes.

Das Problem im Alltag

Mehrere Behörden nutzen eine zentrale Plattform für Dokumente und Auswertungen. Der Dienst ist sicherer als viele lokale Einzellösungen. Trotzdem bleiben Fragen offen:

• Wer entscheidet, welche Daten eine Behörde dort verarbeiten darf?
• Können Administratoren eines Mandanten Daten eines anderen Mandanten sehen?
• In welchen Ländern leisten Anbieter und Unterauftragnehmer Support?
• Was passiert bei einem Sicherheitsvorfall?
• Wie bekommt eine Behörde Daten, Metadaten und Protokolle zurück, wenn sie den Dienst verlässt?

Ein Rahmenvertrag hilft. Er ersetzt aber keine betriebliche Governance.

Das saubere Muster

Jeder zentrale Dienst braucht eine Service-Grenzvereinbarung. Sie trennt, was der Betreiber standardisiert, und was die nutzende Stelle fachlich verantwortet.

Was die Vereinbarung enthält

• Dienst, Mandanten, Datenklassen und ausgeschlossene Nutzungen;
• fachliche Verantwortung der nutzenden Stellen;
• technische und organisatorische Pflichten des Betreibers;
• Rollen für Administratoren, Support und Notfälle;
• Hosting-Orte, Supportländer und Unterauftragnehmer;
• Protokollierung, Monitoring, Incident-Kommunikation und Wiederanlauf;
• Exportformate, Metadaten, Audit-Logs, Löschbestätigung und Exit-Test;
• Regeln für neue Funktionen, Regionen, KI-Features oder Dienstleisterwechsel.

Rollen

Die nutzende Stelle bleibt verantwortlich für Zweck, Bedeutung und zulässige Nutzung ihrer Daten. Der zentrale Betreiber verantwortet Plattformbetrieb, technische Controls, Mandantentrennung und Nachweise im vereinbarten Rahmen. Beschaffung, Recht, Datenschutz und Informationssicherheit prüfen Vertrag, Datenverarbeitung, Risiko und Kontrollen. Der technische Betreiber oder Anbieter setzt die freigegebenen Regeln um.

Wichtig: Ein Dienstleister darf starke Technik liefern. Er wird dadurch nicht automatisch fachlicher Data Owner.

Mini-Fall

Eine Landesplattform stellt BI-Funktionen für mehrere Behörden bereit. Jede Behörde hat eigene Daten, eigene Zwecke und eigene Veröffentlichungen.

Im ersten Betriebsmodell ist nur beschrieben, dass die Plattform mandantenfähig ist. Das reicht nicht. Governance prüft deshalb konkret: Ein Nutzer aus Behörde A darf keine Daten aus Behörde B sehen. Ein Plattformadmin darf Supportzugriff nur protokolliert und freigegeben nutzen. Ein Export enthält nicht nur CSV-Dateien, sondern auch Definitionen, Berichtslogik, Berechtigungen und Protokolle.

So wird Wiederverwendung belastbar.

Anti-Patterns

• Ein Rahmenvertrag gilt als vollständige fachliche Freigabe.
• Der zentrale Betreiber wird stillschweigend Verantwortlicher für alle Datenzwecke.
• Mandantentrennung wird nur aus Architekturfolien abgeleitet.
• Supportzugriffe sind technisch möglich, aber fachlich nicht geregelt.
• Exit bedeutet nur Rohdatenexport ohne Metadaten und Protokolle.
• Neue KI-Funktionen eines Anbieters werden automatisch aktiviert.

Erster Umsetzungsschnitt

1. Einen kritischen Shared Service auswählen.
2. Nutzende Stellen, Datenklassen und ausgeschlossene Nutzungen aufschreiben.
3. Betreiberpflichten und Fachverantwortung je Kontrolle trennen.
4. Einen erlaubten und einen abgelehnten Mandantenzugriff testen.
5. Support- und Unterauftragnehmerzugriffe nachvollziehen.
6. Einen kleinen Exit-Test durchführen: Daten, Metadaten, Logs und Löschbestätigung.
7. Prüfen, welche Änderungen eine neue Freigabe auslösen.

Serienabschluss

Public-Sector-Governance funktioniert, wenn Wiederverwendung nicht mit Kontrollverlust verwechselt wird. Register, Fachverfahren, Akten, Analytics, Veröffentlichung und Shared Services dürfen verbunden sein. Sie brauchen aber klare Grenzen.

Dann kann eine Organisation schneller werden, ohne Zuständigkeit, Rechtmäßigkeit und Nachvollziehbarkeit zu verlieren.

Weiterlesen

• Dienstleister- und Processor-Assurance
• Data Sovereignty
• Die Akte ist nicht das Dashboard