In vielen Unternehmen läuft das ERP- oder Buchhaltungssystem, sei es SAP Business One, Sage 100, Business Central oder ein anderes Paket, noch auf einem Server in der Ecke des Büros oder, noch häufiger, auf dem Rechner der Chefbuchhalterin, mit dem sich alle anderen verbinden. Das funktioniert, bis es nicht mehr funktioniert. Die Probleme beginnen, wenn Mitarbeitende von zu Hause arbeiten müssen, wenn der Rechner am Tag des Monatsabschlusses ausfällt oder wenn der Prüfer fragt, wo die Backups liegen und wer sie getestet hat.
Der Umzug in die Cloud löst diese Probleme, aber nur, wenn er durchdacht erfolgt. Eine Buchhaltung ist keine Website: Sie enthält die Finanzen des Unternehmens, Daten der Mitarbeitenden und Kundenverträge. Ein schlecht gewählter Anbieter oder ungeklärte Zuständigkeiten bedeuten, dass die Probleme nur woandershin wandern, bei geringerer Kontrolle.
Nachfolgend sieben Fragen, die wir jedem Anbieter zu stellen empfehlen, der anbietet, Ihr ERP- oder Buchhaltungssystem in der Cloud zu hosten. Es lohnt sich, die Antworten schriftlich einzuholen.
1. Wo werden meine Buchhaltungsdaten physisch gespeichert?
Die erste und wichtigste Frage. „In der Cloud“ ist keine Antwort: Die Cloud ist der Server von jemandem in einem bestimmten Gebäude in einem bestimmten Land. Sie müssen das Land und den Betreiber des Rechenzentrums kennen und wissen, ob die Daten ohne Ihre Zustimmung in ein anderes Land verlagert werden dürfen.
Bei Buchhaltungsdaten ist das aus mehreren Gründen wichtig: Handels- und Steuerrecht verlangen in den meisten Ländern, dass Aufzeichnungen über Jahre für das Finanzamt verfügbar bleiben (in Deutschland sind hier unter anderem die GoBD maßgeblich), die DSGVO beschränkt die Übermittlung personenbezogener Daten außerhalb der EU, und Unternehmen in bestimmten Branchen (Finanzen, Energie, Gesundheit) unterliegen zusätzlichen Anforderungen nach DORA und NIS2.
In unserem ERP-Hosting werden die Primärdaten in einem Rechenzentrum in Litauen (EU) gespeichert. Das bedeutet geringe Latenz für Ihre Buchhaltung und eine klare Antwort für Ihren Prüfer.
2. Wie werden Backups erstellt und wo werden sie aufbewahrt?
Die zweite Frage hat drei Teile: wie oft, wie lange aufbewahrt und wo. Eine richtige Antwort nennt mehr als einen Standort. Eine Kopie auf demselben Server ist kein Backup. Eine Kopie im selben Rechenzentrum schützt vor dem Ausfall eines Servers, nicht aber vor einem Brand oder einem langen Stromausfall.
In unserem ERP-Hosting werden Backups täglich erstellt und an zwei Orten gespeichert: in unserem Rechenzentrum in Litauen und in einem Rechenzentrum von Amazon (AWS) in Deutschland. Die zweite Kopie liegt in einem anderen Land, aber weiterhin in der Europäischen Union, sodass es nach der DSGVO keine Übermittlung in ein Drittland ist. Fragen Sie auch, ob die Backups davor geschützt sind, vom Server aus gelöscht zu werden: Ransomware versucht zuerst, die Backups zu zerstören, und verschlüsselt erst danach die Daten.
Und noch eine Frage: Wann hat der Anbieter zuletzt tatsächlich Ihre ERP-Datenbank aus einem Backup wiederhergestellt? Ist die Antwort unklar, sollten Backup-Tests im Vertrag festgeschrieben werden.
3. Wie ist der Zugriff auf das System geschützt?
Sobald die Buchhaltung in der Cloud liegt, ist sie von überall erreichbar. Das ist Komfort und Risiko zugleich. Ein Passwort allein, so komplex es auch sei, genügt nicht: Passwörter werden geleakt, erraten und per Phishing abgegriffen.
Der Mindeststandard, den wir selbst verlangen: ein VPN-Tunnel zum Server und Zwei-Faktor-Authentifizierung (2FA) bei jeder Anmeldung. In unserem ERP-Hosting sind beide ohne Aufpreis enthalten, nicht als Zusatzleistung. Prüfen Sie außerdem, ob Anmeldungen protokolliert werden, ob der Zugriff eines ausgeschiedenen Mitarbeitenden innerhalb einer Minute gesperrt werden kann und, bei einer Kanzlei oder einem Buchhaltungsbüro, ob sich die Daten der Mandanten voneinander trennen lassen.
4. Wer aktualisiert das ERP und den Server darunter?
ERP-Hersteller veröffentlichen regelmäßig Updates, einige davon sind an Änderungen von Steuer- und Meldeformularen gebunden und lassen sich nicht überspringen. Jemand muss für die Installation verantwortlich sein: der Anbieter, Ihr ERP-Partner oder Sie. Das muss klar festgehalten werden.
Eine eigene Frage ist der Server, auf dem das ERP läuft. Sicherheitsupdates des Betriebssystems, Datenbankwartung und Schutz vor Schadsoftware sind Teil eines betreuten Servers. Auf unseren Servern läuft Bitdefender GravityZone, zentral verwaltet, und Updates werden außerhalb der Arbeitszeit nach einem Snapshot installiert. Geht etwas schief, kehren wir innerhalb von Minuten zum vorherigen Stand zurück.
Verlangen Sie eine Verantwortungstabelle, in der jede Tätigkeit einer Seite zugeordnet ist. Wie sie aussieht, haben wir in unserem Artikel über betreute Server beschrieben.
5. Welches Service-Level gilt, und was passiert, wenn etwas ausfällt?
Für die Buchhaltung hat Ausfallzeit klare Kosten: nicht ausgestellte Rechnungen, nicht ausgeführte Zahlungen, verspätet eingereichte Steuererklärungen. Das SLA sollte drei Fragen beantworten: wie schnell der Anbieter mit der Reaktion beginnt, wie schnell der Dienst wiederhergestellt wird und wie viele Daten im schlimmsten Fall verloren gehen können.
Trennen Sie Reaktionszeit und Lösungszeit, und prüfen Sie, ob das SLA zum Monatsende und vor Abgabefristen gilt, wenn die Buchhaltung am dringendsten gebraucht wird. Unser Helpdesk reagiert ab 30 Minuten, und wir veröffentlichen die vollständige Beschreibung des Service-Levels, damit Sie vergleichen können, bevor Sie mit uns sprechen.
6. Wie läuft der Umzug ab, und gibt es Ausfallzeit?
Ein gut geplanter ERP-Umzug findet ohne den Verlust eines Arbeitstages statt. Ein typischer Ablauf in unserer Praxis:
- Audit des bestehenden Systems: Version, Größe der Datenbank, Schnittstellen (Banken, E-Rechnung, Lagergeräte, Kassensysteme), Anzahl der Benutzer.
- Vorbereitung des Cloud-Servers und Übertragung einer vollständigen Kopie. Die Benutzer arbeiten währenddessen wie gewohnt.
- Probeanmeldungen von mehreren Arbeitsplätzen und Prüfung der Schnittstellen in einer Testumgebung.
- Endgültige Umschaltung am Abend oder am Wochenende: Übertragen wird nur die Differenz seit der ersten Kopie, das dauert Stunden, nicht Tage.
- Der erste Arbeitstag mit einem Techniker in Bereitschaft.
Fragen Sie den Anbieter, wie viele Umzüge er durchgeführt hat, wie er mit den Schnittstellen umgeht und was er tut, wenn nach der Umschaltung ein Problem auftritt. Die richtige Antwort auf die letzte Frage lautet: „Wir kehren zum alten Server zurück, der mindestens einen weiteren Monat unangetastet bleibt.“
7. Wie komme ich zurück oder wechsle zu einem anderen Anbieter?
Eine Frage, die selten gestellt wird, die aber einen verlässlichen Anbieter von einer Falle unterscheidet. Ihre Buchhaltungsdaten gehören Ihnen. Sie müssen jederzeit die vollständige ERP-Datenbank und ein Server-Abbild erhalten können, in einem Format, das sich anderswo betreiben lässt, innerhalb einer festgelegten Frist und ohne Ausstiegsgebühr.
Prüfen Sie im Vertrag: die Frist für die Rückgabe der Daten, das Format, wie lange der Anbieter die Daten nach Vertragsende aufbewahrt und wie er deren Vernichtung bestätigt. Das ist übrigens auch eine Anforderung von ISO 27001 und DORA: Ein Unternehmen muss für jeden kritischen Dienstleister eine Ausstiegsstrategie haben.
Compliance-Anforderungen an die Buchhaltung
Fällt Ihr Unternehmen in den Anwendungsbereich von DORA (der Finanzsektor und seine IT-Dienstleister) oder NIS2 (Energie, Verkehr, Gesundheit, digitale Infrastruktur und andere wichtige Sektoren), ist das Buchhaltungssystem ein kritisches System und sein Anbieter ein Dritter, den Sie bewerten und dokumentieren müssen. Das heißt, die Antworten auf die sieben Fragen oben gehören nicht in ein Gespräch, sondern in den Vertrag und seine Anlagen.
Wir arbeiten nach den Anforderungen von ISO 27001 und bereiten unsere Leistungen so vor, dass sie einem Audit nach DORA oder NIS2 vorgelegt werden können: mit einer Verantwortungsmatrix, SLA und Dokumentation zu Backups und Zugriffen.
Wo Sie anfangen
- Listen Sie auf, wer sich heute mit Ihrem ERP verbindet, von wo, und welche Schnittstellen laufen. Das ist die Grundlage des Umzugs.
- Prüfen Sie, wann zuletzt jemand ERP-Daten aus einem Backup wiederhergestellt hat. Wenn Sie es nicht wissen, tun Sie es diese Woche, vor dem Umzug.
- Schicken Sie die sieben Fragen an Anbieter und bitten Sie um schriftliche Antworten.
- Legen Sie den Umzug abseits von Monatsabschluss und Abgabefristen.
- Wenn Sie sehen möchten, wie wir diese Fragen beantworten, beginnen Sie mit der Beschreibung des ERP-Hostings oder nehmen Sie Kontakt auf, und wir erstellen einen Umzugsplan auf Grundlage Ihres aktuellen Systems.
