Reboot ohne Steuerungsmodell bleibt teuer

Viele Digitalisierungsprogramme laufen ohne klare Capex- und Betriebsverantwortung. Capex bezeichnet einmalige Investitionsausgaben, Opex die laufenden Betriebs- und Lizenzkosten. CIOs und CDOs im DACH-Raum brauchen ein belastbares Steuerungsmodell, bevor sie weitere Programme freigeben.

VerwandtAI Act Omnibus verschiebt High-Risk: Governance bleibt  /  Welche Steuerung bleibt nach dem Agenten-Rollout

Warum Programme ohne Owner scheitern

Ein Digitalisierungsprogramm ohne benannten Gesamtverantwortlichen bleibt eine Sammlung von Initiativen. Budget, Termin und Nutzenversprechen verteilen sich auf mehrere Linien. Niemand muss den Gesamterfolg verantworten. Wenn der Fachbereich den Nutzen beansprucht, die IT die Plattform liefert und der CDO die Story pflegt, fehlt die Stelle, die Zielkonflikte entscheidet und Abbrüche auslöst.

Der Bundesrechnungshof beschreibt dieses Muster in seinem Beratungsbericht vom Juli 2025 zur Verwaltungsdigitalisierung an den Haushaltsausschuss des Bundestages. Die Bundesregierung steuerte demnach unzureichend. Digitalstrategien blieben Bestandsaufnahmen ohne belastbare Defizitanalyse. Ziele waren oft nicht messbar. Parallelentwicklungen erzeugten „Wildwuchs“. Mittel flossen, obwohl Wirtschaftlichkeit nicht belegt war, Risiken unberücksichtigt blieben oder Personalressourcen fehlten. Als Beispiel nennt der Bericht das Projekt Smart-eID: Das BMI stufte das Scheiterrisiko bereits 2021 als „höchstwahrscheinlich“ ein. Dennoch flossen über 90 Millionen Euro. Das Vorhaben scheiterte. Für EfA-Lösungen (Einer-für-Alle) wies der Bund den Ländern rund 500 Millionen Euro zu, ohne die Wirtschaftlichkeit der angestrebten Lösungen vorab zu prüfen. Viele Lösungen blieben auf ein Land oder eine Kommune beschränkt oder wurden gar nicht genutzt.

In börsennotierten Unternehmen erscheint dieselbe Lücke oft als Portfolio ohne verbindliche Priorisierung. Das Programm bleibt sichtbar. Die Ergebnisverantwortung bleibt verhandelbar.

Scheitern beginnt selten mit Technologie. Es beginnt, wenn niemand den Abbruch eines unproduktiven Vorhabens verantworten will, weil niemand es formell besitzt. Dann laufen Folgeaufträge, Lizenzverlängerungen und Integrationsarbeiten weiter, obwohl der Geschäftsnutzen nicht mehr belegt ist. Das IT-Steuerungsmodell muss deshalb Ownership vor der Budgetfreigabe erzwingen und darf sie nicht nachreichen.

Capex, Opex und Betriebsrisiko trennen

Teams behandeln die Capex-Freigabe oft als einmalige Investitionsentscheidung. Nach dem Go-Live verschwindet der Vorhabenstatus, während Opex, Lizenzkosten und Betriebsrisiko steigen. Ohne getrennte Konten und getrennte Verantwortlichkeiten wird der laufende Betrieb zum Residualposten der Investitionsentscheidung.

Ein belastbares Modell trennt drei Entscheidungsebenen. Erstens die Investitionsfreigabe mit Business Case, Architekturpass und Nutzenhypothese. Zweitens die Betriebsübernahme mit Service Level, Kapazität und Sicherheitsanforderungen. Drittens die fortlaufende Wirtschaftlichkeitsprüfung, die Opex-Wachstum und Risikopositionen gegen den ursprünglich zugesagten Nutzen stellt. Das Governance-Framework COBIT 2019 von ISACA bündelt genau diese Trennung: EDM02 steuert den Nutzennachweis (Benefits Delivery), APO05 die Portfoliosteuerung und -priorisierung, die Domäne DSS den laufenden Betrieb. ITIL 4 ergänzt das mit Service Level Management und Change Enablement. Dort bewerten Teams Risiken vor der Freigabe und steuern Änderungen im laufenden Service.

Betriebsrisiko gehört in die Freigabelogik. Wer neue Kanäle, Datenflüsse oder KI-Komponenten freigibt, übernimmt Ausfall-, Compliance- und Abhängigkeitsrisiken im laufenden Betrieb. Wenn Capex und Opex in einer Linie vermengt werden, bleibt das Risiko unsichtbar, bis es im Incident oder im Audit auftaucht. Die Trennung schafft Klarheit: Wer investiert, wer betreibt und wer das Restrisiko trägt.

Rollenmatrix für CIO, CDO und Fachbereich

Ein Steuerungsmodell lebt von einer Rollenmatrix, die Entscheidungsrechte und Eskalationswege festlegt. Der CIO verantwortet Architekturintegrität, Betriebsfähigkeit sowie Sicherheits- und Beschaffungsstandards. Der CDO steuert Portfolio-Prioritäten, Nutzenlogik und die Verbindung zu Geschäftsmodellen. Der Fachbereich besitzt die fachliche Anforderung, den Nutzennachweis und die Veränderungsarbeit in den Prozessen.

Die Matrix muss Konfliktfälle vorab regeln. Wer entscheidet bei konkurrierenden Roadmaps? Wer stoppt ein Vorhaben, wenn der Nutzen ausbleibt? Wer trägt Kosten, wenn der Fachbereich den Scope ausweitet und die Plattform stabil bleiben muss? Ohne diese Klärung entsteht Parallelsteuerung: CDO-Programme neben IT-Projekten, Fachbereichs-Tools neben Enterprise-Architektur. COBIT 2019 liefert dafür RACI-Matrizen (Responsible, Accountable, Consulted, Informed) je Governance- und Managementziel sowie für organisatorische Entscheidungsstrukturen. ISACA stellt klar: RACI-Charts ersetzen keine Rechenschaftspflicht. Sie klären sie. Mehrere „Accountable“-Rollen für dasselbe Ergebnis erzeugen ein Komitee. Owner-Verantwortung entsteht erst mit genau einer Accountable-Rolle.

Doppelrollen sind möglich. Geteilte Verantwortung für dasselbe Ergebnis ist es nicht. Wenn CIO und CDO in einer Person liegen, bleibt die Trennung von Plattformverantwortung und Portfoliosteuerung dennoch dokumentationspflichtig. Der Fachbereich darf Anforderungen setzen, aber keine Schatten-IT als Dauerzustand erzeugen. Die Matrix wirkt nur, wenn sie an Budget- und Freigaberechte gekoppelt ist.

Gate-Logik für Freigaben und Abbrüche

Die Governance von Digitalisierungsprogrammen braucht Gates, die freigeben und beenden. Mindestens vier Gates sind praxisnah: Konzept- und Architekturfreigabe, Investitionsfreigabe, Betriebsübernahme sowie periodische Nutzen- und Risikoprüfung. Jedes Gate braucht harte Abbruchkriterien, nicht nur Ampelfarben.

Abbruchkriterien müssen vor dem ersten Euro stehen. Beispiele sind ausbleibender Nutzennachweis, fehlende Betriebsübernahme, Sicherheitsdefizite ohne Sanierungsplan oder Architekturbruch gegenüber dem Zielbild. Wer Abbrüche nur politisch verhandelt, schützt laufende Ausgaben und bestraft ehrliche Stoppentscheidungen. Das Stage-Gate-Modell nach Robert G. Cooper formalisiert diese Logik seit Jahrzehnten: An jedem Gate prüfen Gatekeeper anhand vordefinierter Kriterien und entscheiden über Go, Kill, Hold oder Recycle. Gates sind Investitionsentscheidungen mit Ressourcenbindung. Statusmeetings bilden den Fortschritt ab, Gates binden und freigeben Mittel. Der Bundesrechnungshof empfiehlt in seinem Bericht 2025 strukturell dasselbe für öffentliche Digitalmittel: Freigabe nur, wenn Vorhaben zu digitalpolitischen Zielen beitragen, wirtschaftlich sind, Standards umsetzen und Risiken berücksichtigen.

Die Gate-Logik gehört ins Portfolio, nicht in die Einzelprojektmethodik. Ein Projekt kann methodisch sauber laufen und strategisch überflüssig sein. Deshalb braucht das Steuerungsgremium die Kompetenz, Vorhaben trotz Teilerfolgen zu beenden, wenn Capex-Bindung, Opex-Pfad oder Betriebsrisiko den Nutzen übersteigen. Freigabe ohne Abbruchoption wird zur Fortschreibungsautomatik.

Was der Aufsichtsrat wirklich sehen muss

Der Aufsichtsrat braucht keine Feature-Listen und keine PowerPoint-Reboots. Er braucht eine kompakte Sicht auf Capex-Bindung, Opex-Entwicklung, kritische Betriebsrisiken und den Status der Nutzennachweise je Programm. Dazu gehören Ownership, nächste Gate-Entscheidung sowie explizite Abbruch- oder Nachsteuerungsoptionen.

Berichtstauglich ist nur, was entscheidbar ist. Eine Ampel ohne Entscheidungsvorlage entlastet das Management und blockiert den Aufsichtsrat. Sinnvoll sind wenige Kennzahlen mit klarer Lesart: investiertes und noch gebundenes Capex, laufende Opex-Last je Programm, offene High-Risiken und Anteil der Vorhaben mit bestätigtem Nutzennachweis. Der Deutsche Corporate Governance Kodex (DCGK) legt den Rahmen: Grundsatz 4 verlangt ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem. Empfehlung A.5 fordert im Lagebericht die wesentlichen Merkmale dieser Systeme sowie eine Stellungnahme zu Angemessenheit und Wirksamkeit. Grundsatz 6 bindet den Aufsichtsrat in Entscheidungen von grundlegender Bedeutung ein und verlangt Zustimmungsvorbehalte. IT- und Digitalrisiken fallen in diesen Überwachungsauftrag, sobald sie die Geschäftstätigkeit materiell berühren.

Politische Programm-Narrative ersetzen keine Unternehmenssteuerung. Öffentliche Digitalinitiativen können Orientierung geben. Sie ersetzen weder Capex-Disziplin noch Betriebsverantwortung im eigenen Haus. Der Aufsichtsrat sollte nach dem Steuerungsmodell fragen, nicht nach dem Marketing des nächsten Reboots. Transparenz entsteht, wenn Stoppentscheidungen genauso berichtsfähig sind wie Freigaben.

Wer weitere Digitalprogramme freigibt, ohne Ownership, Capex-Opex-Trennung, Rollenmatrix und Gate-Logik zu fixieren, finanziert Fortschreibung statt Steuerung. Das IT-Steuerungsmodell ist die Bedingung vor dem nächsten Reboot – lange vor der nächsten Kostenüberschreitung.

Häufig gestellte Fragen

Weiterlesen auf Digital Chiefs

Digital ChiefsMade for Germany: Was 735 Milliarden wert sindDigital ChiefsDer Chief AI Officer ist da. Das Problem bleibtDigital ChiefsDie Milliardenwette der Hyperscaler und Ihre Cloud-Rechnung

Mehr aus dem MBF Media Netzwerk

cloudmagazin

Wenn GPUs den SaaS-Etat auffressen

mybusinessfuture

KI im Mittelstand vom Pilot zur Skalierung

securitytoday

Der AI Act ist in Wahrheit ein Security-Gesetz

Bildquelle: KI-generiert (Juli 2026)