Schatten-IT: die Systeme, die niemand aus der IT gebaut hat
In fast jeder Firma laufen Werkzeuge, die nie ein IT-Leiter ausgesucht hat. Eine Fachabteilung brauchte schnell eine Lösung, jemand hat sie gebaut, sie hat funktioniert. Zwei Jahre später hängt der halbe Vertrieb an einer selbstgebauten Datenbank, die Buchhaltung an einem Automatisierungs-Tool und das Marketing an einem Baukasten. Das nennt man Schatten-IT, und sie ist kein Vorwurf. Sie ist der Beweis, dass die Abteilungen ein echtes Problem hatten und die offizielle IT keine Zeit.
Das Problem beginnt, wenn jemand fragt, wo die Daten dieser Systeme eigentlich liegen. Die Antwort ist fast immer: auf einem Server in den USA, unter Bedingungen, die niemand gelesen hat, exportierbar nur über Wege, die niemand kennt. Und je länger die Systeme laufen, desto teurer wird der Ausstieg.
Warum der US CLOUD Act dein Thema ist, auch wenn alles läuft
Der US CLOUD Act verpflichtet amerikanische Anbieter, Daten an US-Behörden herauszugeben, auch wenn die Server in Europa stehen. Für dich heißt das: Die Frage ist nicht, ob dein Tool ein Rechenzentrum in Frankfurt hat. Die Frage ist, wem die Firma dahinter gehört. Dazu kommen Kunden, die im Vertrag europäische Datenhaltung fordern, Auditoren, die Nachweise wollen, und ein Datenschutzbeauftragter, der bei jedem neuen US-Tool tiefer seufzt.
Wichtig zur Einordnung: Ich bin kein Anwalt und kein Datenschutzbeauftragter. Die rechtliche Bewertung, ob ein System bleiben darf oder gehen muss, gehört zu deinem DSB. Ich mache das, was danach kommt: die Technik des Umzugs und den Nachweis, dass er vollständig war.
So läuft die Datenmigration ab
Jede Datenmigration in die EU läuft bei mir in drei Schritten, und der erste ist bewusst klein. Du kaufst keinen Umzug ins Blaue, sondern erst eine Landkarte.
Daten-Audit
Zwei bis drei Tage. Danach weißt du, welche Werkzeuge in deinen Abteilungen laufen, wo die Daten physisch liegen und was ein Ausstieg je System kosten würde.
Migration
Ein System nach dem anderen zieht auf europäische Systeme um. Die Fachabteilung arbeitet weiter, der Umzug läuft daneben, nicht dagegen.
Abnahme
Ein Prüfprogramm vergleicht Quelle und Ziel, rein lesend, mit Zählern vor und nach der Prüfung. Das Ergebnis bekommst du als Abnahmeprotokoll.
Der Nachweis: ein Abnahmeprotokoll statt eines „läuft“
Fast keine Agentur liefert einen prüfbaren Beleg, dass bei einer Migration nichts verloren gegangen ist. Die meisten liefern eine Rechnung und ein „läuft“. Genau da unterscheide ich mich, und das ist keine Behauptung, sondern gelebte Praxis: Bei meinem letzten Projekt habe ich ein Prüfprogramm mit 59 Einzelprüfungen in sechs Gruppen geschrieben, rein lesend, mit Zählern vor und nach der Prüfung als Beleg, dass die Prüfung selbst nichts verändert hat.
Das Ergebnis des ersten Durchlaufs war ein ehrliches „nicht abnahmefähig, 2 Fehler“. Mein eigenes Programm hat meine eigene Migration durchfallen lassen, und es hatte recht. Die Fehler wurden behoben, der zweite Durchlauf war sauber, und der Kunde bekam ein Dokument statt eines Versprechens. Dieses Protokoll gehört seitdem fest zu jedem Migrationsangebot.
Wohin die Daten ziehen: Cloud-Anbieter in Deutschland und Europa
Wohin es geht, hängt vom System ab. Manchmal ist das Ziel ein Cloud-Anbieter in Deutschland oder Europa, manchmal eine Datenbank auf eigener Infrastruktur, manchmal ein selbst entwickeltes Werkzeug, das das alte No-Code-Tool komplett ersetzt und dabei besser passt als das Original. Die Entscheidung fällt im Audit, pro System, nach Kosten, Abhängigkeit und dem, was deine Leute wirklich benutzen.
Als Entwickler bin ich dabei nicht an einen Anbieter gebunden. Ich verkaufe keine Lizenzen weiter und bekomme keine Provision. Was ich empfehle, empfehle ich, weil es für dein System das Richtige ist.
Nach der Migration: Automatisierung auf sauberem Fundament
Der eigentliche Gewinn kommt nach dem Umzug. Wer eine Firma migriert, kennt am Ende jeden Prozess darin, besser als es je ein Workshop leisten könnte. Auf dieser Landkarte sieht man genau, welche Abläufe sich für Workflow-Automatisierung lohnen und welche nur nach einer guten Idee klingen. Angebote, die sich selbst schreiben, Rechnungen, die automatisch rausgehen, KI-Agenten, die Routinearbeit übernehmen: All das funktioniert nur auf Daten, die sauber und erreichbar liegen.
Deshalb ist die Migration bei mir kein Endpunkt, sondern der Türsteher. Mehr dazu auf der Seite CRM & Automatisierung.
Für wen sich die Migration lohnt
Am besten passt das für Firmen zwischen 50 und 500 Mitarbeitern. Groß genug, dass sich in den Abteilungen echte Systeme angesammelt haben. Klein genug, dass Entscheidungen noch in einem Raum fallen. Ich arbeite hauptberuflich in der IT eines Industrieunternehmens und kenne Freigabeprozesse, Altsysteme und den Grund, warum technisch saubere Projekte an Organisation scheitern. Diese Innensicht ist der Unterschied zu Beratern, die nie ein Change-Ticket von innen gesehen haben.
Der Einstieg ist bewusst klein: ein Audit von zwei bis drei Tagen. Danach hast du eine Landkarte deiner Systeme und kannst pro System entscheiden. Ohne Abo, ohne Rahmenvertrag, ohne Verpflichtung zum nächsten Schritt.
Häufige Fragen zur Datenmigration
Welche Systeme kannst du migrieren?
Alles, was Fachabteilungen sich selbst gebaut haben: No-Code-Tools wie Airtable, Zapier oder Make, US-Baukästen, einzelne Cloud-Dienste und selbstgestrickte Datenbanken. Nach dem Audit weißt du genau, was wohin umzieht und was es kostet.
Was kostet eine Datenmigration in die EU?
Der Einstieg ist ein Daten- und Prozess-Audit von zwei bis drei Tagen zum Festpreis. Danach bekommst du ein Angebot je System, abhängig von Datenmenge und Verflechtung. Du entscheidest pro System, nicht pauschal.
Woher weiß ich, dass nach dem Umzug nichts fehlt?
Genau dafür gibt es das Abnahmeprotokoll: ein Prüfprogramm, das rein lesend Quell- und Zielsystem vergleicht, mit Zählern vor und nach der Prüfung. Bei meinem letzten Projekt waren es 59 Einzelprüfungen. Das Protokoll bekommst du als Dokument.
Ersetzt das eine Datenschutzberatung?
Nein. Ich mache die Technik und den Nachweis, die rechtliche Bewertung gehört zu deinem Datenschutzbeauftragten oder Anwalt. Das sage ich so deutlich, weil das Gegenteil unseriös wäre.