Identity-Governance-Strategien für die Post-IDM Ära

Ja, prima. Willkommen zum KuppingerCole-Webinar Identity-Governance-Strategien für die Post-IDM Ära. Dieses Webinar wird unterstützt von SailPoint. Wir haben heute drei Sprecher im Raum und bevor ich mich selber vorstelle, möchte ich gerne erstmal die beiden Gäste vorstellen. Als erstes den Klaus Hild, der ist Manager Solution Engineering bei SailPoint. Hallo Klaus.

Hallo, grüß dich Matthias. Schön wieder hier zu sein und ein bisschen was zu erzählen über IBM. Genau. Und der zweite Gast ist der Tim Lipphardt, der wird den mittleren Part übernehmen. Der ist Head of Consulting bei amiconsult GmbH. Hallo Tim.

Servus, ich bin der Tim. Ich grüße euch. Ich freue mich auf Sabina. Ich freue mich auch sehr drauf und prima, dass wir zwei Gäste haben, dass wir uns gut unterhalten können. Kommen wir gleich noch drauf. Wir machen ja Q&A hinten raus und da möchte ich auch gleich noch mal drauf eingehen. Aber als erstes mache ich meine Einführungsrunde. Als allererstes ganz kurz das Housekeeping. Ich bin also der Hausmeister.

Audio, Pause, Fragen und Antworten, Aufnahmen und Folien für alle Teilnehmer gilt. Sie sind zentral stumm geschaltet. Da müssen Sie gar nichts dran tun. Das machen wir für Sie. Das heißt aber nicht, dass Sie nicht beitragen können. Wir machen Umfragen während des Webinars. Zwei Stück vorneweg und hinten raus gibt es noch mal eine. Die werden wir währenddessen durchführen. Während meines Teils und die Ergebnisse da hinten raus dann auch benutzen können zum Diskutieren. Genauso wichtig sind die Fragen und Antworten.

Jeder Teilnehmer hat in seinem Panel von dem Livestorm die Möglichkeit, Fragen zu hinterlassen. Und die würde ich dann als Moderator dann entsprechend auswählen, sodass wir einen guten Flow bekommen in dem letzten Teil des Webinars, wenn es um die Fragen und Antworten geht.

Für alle Teilnehmer gilt, das Webinar wird aufgezeichnet und relativ zeitnah werden wir die Aufnahme und die Präsentationsfolien von mir und Tim und Klaus zur Verfügung stellen, sodass sie dann auch noch mal entsprechend hinterher schauen können oder halt eben auch die Präsentationen noch mal sich ansehen können und für die eigenen Zwecke benutzen können. Die Agenda. Das war schon das Housekeeping. Drei Teile plus eins. Ich werde die kurze Einführung machen. Nach dem SAP IDM aus.

Danach kommt der Tim, der setzt dann darauf auf, hat einen stärkeren Projektfokus, was ich immer super spannend finde zu sehen. Was passiert eigentlich im echten Leben? Also Schlüsselstrategien für nachhaltige IDM, SAP IDM Migrationsprojekte. Nachdem ich so Theorie gelegt habe, dann ins echte Leben und noch viel mehr echtes Leben oder anderes echtes Leben liefert der Klaus. Wenn es darum geht, praxisnahe IGA-Integration in SAP-Umgebungen zu zeigen. Was bedeutet das für Lösungen, für Technik, die man dann im bestehenden oder in neuen SAP-Umgebungen mit umgehen kann?

Ich glaube, das ist ein guter Flow und wenn der Flow dann durch ist, dann brauchen wir Flow für Q&A. Das heißt, dann werden wir die Fragen aufarbeiten, die dann entsprechend aufgelaufen sind. Das geht aber auch dann noch, während wir diskutieren, Fragen nachzuliefern, aber besser vorher, wenn sie aufkommen. Das wäre so die Idee. Das ist der Plan von der Zeitaufteilung. 20 Minuten nicht ganz für mich, 20 Minuten für Tim und Klaus und 20 Minuten für Q&A. Das ist zumindest so der Plan. Da kann man sich ein bisschen bewegen.

Damit sind wir durch für den Einführungsteil, für die Vorbereitung, für das Housekeeping. Und jetzt würde ich mit meinem Teil tatsächlich wieder nehmen. Das heißt, strategische Weichenstellungen nach dem SAP-IDM aus. Da würde ich mich jetzt mit beschäftigen und damit beginne ich auch gleich mit einer ersten Folie. Denn das war der ursprüngliche Auslöser. Da kommen wir eigentlich her. Es war eine Ankündigung in einem Community-SAP-Common-Technology-Blog, wo dann angekündigt wurde, dass die Maintenance für SAP Identity Management ein Ende hat. Nämlich endet in 2027.

Und dass man das doch entsprechend als Auslöser nehmen soll, sich damit ein Stück weit zu beschäftigen. Seitdem sind anderthalb Jahre vergangen.

Weil, wenn man mal da reinguckt in diesen Blogpost, sieht man nämlich, das war Februar 2024. Anderthalb Jahre, da ist eine Menge passiert. Und im Umkehrschluss, es sind weniger als zwei Jahre bis Ende 2027, wenn mein Kopfrechnen funktioniert. Es stellt sich also für jeden erstmal, also bevor ich jetzt irgendwelche Analysten, meine Analysten-Gedanken absondere, zu sagen, was ist passiert bei mir, was tue ich damit? Wie viel Zeit habe ich noch und wie gehe ich damit um? Und ich glaube, genau darum geht es heute in diesem Webinar.

Es wurde viel geschrieben, es wurden Nachfolger benannt, Entra-ID, SAP Cloud Identity. Die Realität sieht anders aus. Und die Projekte, die wollen wir uns entsprechend dann auch ein Stück weit betrachten. Und Lösungen dafür. Und was ist in der Zwischenzeit passiert, das möchte ich von Ihnen gerne wissen. Das heißt, wir haben die erste Poll, die erste Umfrage. Und da würde ich jetzt gleich mal bitten, da entsprechend bei teilzunehmen. Die wird jetzt gleich hier eingeblendet, auch technische Art, genau. Ich erläuter Sie kurz. Das ist jetzt echtes Interesse von mir, Neugierde sozusagen.

Welche Maßnahmen hat Ihr Unternehmen als Reaktion auf die Ankündigung der Einstellung von SAP EDM ergriffen? Fünf Möglichkeiten, wahrscheinlich gibt es 20, die man hier einblenden könnte. Erste Möglichkeit, keine konkreten Maßnahmen, aber wir beobachten den Markt, weil nicht sofort gehandelt. Zweite Möglichkeit, Ablöseprojekt ist in Planung, aber die Entscheidungen stehen noch aus. Dritte Möglichkeit, Ablöseprojekt läuft, es gibt Entscheidungen und implementieren läuft.

Vierte, aus meiner Sicht als Analyst sehr spannend, wir überarbeiten die gesamte IAM-Landschaft. Das war nur der Trigger, das SAP EDM, dass das abgekündigt wurde. Und das gab uns die Chance, nochmal neu nachzudenken. Oder eine der genannten Optionen trifft zu. Meine Bitte jetzt, ich rede jetzt einfach weiter. Sie haben ein bisschen Zeit, das auszufüllen und Ihre Stimme abzugeben. Das wäre meine Bitte, das zu tun. Ich glaube, das ist auch ganz spannend für alle Beteiligten, inklusive mir, was das eigentlich hier so bedeutet.

Denn so eine SAP-Ablösung, das ist ja eigentlich das, worüber wir heute hier reden wollen. Das ist eine Herausforderung, natürlich ist es das, aber wenn man es sich technisch anguckt, dann ist das tatsächlich auch eine ganze Menge an Funktionalitäten, die es abzulösen gilt. Keine Sorge, ich lese das nicht vor. Die Frage ist nur, was steckt in so einem SAP EDM eigentlich alles drin? Und das ist eine ganze Menge. Wir machen das gerne in Projekten, dass wir einfach auf die Funktionen, auf die Capabilities gucken, die in so einem Tool drinstecken, um zu sagen, was habe ich davon?

Was nutze ich davon? Was habe ich vielleicht nicht genutzt? Was brauche ich nicht ablösen? Und was benutze ich sehr stark, also was ist hoch priorisiert? Und wenn man hier auf diese Liste guckt oder auf diese kleinen Blöcke, die ich hier auf die Folie gemacht habe, von links oben Identity Lifecycle Management nach rechts unten Audit und Compliance Reporting, gibt es da eine ganze Menge. Und das ist nur EDM, da ist noch gar kein Access Control schrägstrich GRC mit dabei. Und alle Kisten dazwischen sind eine große Herausforderung.

Provisionierung, Rollenmanagement, API-Schichten mit Rest-APIs, Selbst-Service-Portal, unterschiedlichste Identitätstypen, aber alles personenbezogene Identitäten. Ganz viele Funktionalitäten stecken da drin. Und wenn man das jetzt gesehen hat, dann denkt man sich, okay, was mache ich jetzt damit mit diesen Capabilities? Und ein Ansatz, den wir präferieren, ist zu sagen, lasst uns das mal auf einen Raster legen, auf eine strategische Darstellung von diesen Capabilities. Da benutzen wir, aber das machen auch andere mit vergleichbaren Systemen auch, unsere Referenzarchitektur.

Die ist gegliedert nach vier Säulen und fünf Teilen. Und da kann man das drauflegen. Also Administrations-Identity-Repositories ist links oben. Und damit fängt das an. Und wir haben eben die blauen Kisten gesehen. Hier sehen wir so eine Referenzarchitektur. Was kann man damit machen? Man kann den dicken roten Stift nehmen und mal sagen, ich markiere. Das sind jetzt, wahrscheinlich ist nicht alles 100% richtig, aber das ist mal so eine Vorgehensweise zu sagen, das alles steckt auf so einer allgemeinen Referenzarchitektur in so einem SAP-IDM drin.

Provisionierung, Identity Lifecycle Management haben wir eben alles gesehen. Wenn wir genauer hingucken, sehr starker Fokus auf die linke erste Säule. Administration macht auch 100% Sinn, weil es ist Identity Management. Und das ist natürlich hauptsächlich auch ein Administrationspart. Aber nicht nur. Ich habe zwei Farben verwendet.

Das Rot, das heißt, das ist richtig viel drin. Da müssen wir drüber nachdenken. Dann habe ich dieses dunklere Rot, Schrägstrich braun. Das ist auch wichtig, ist auch mit drin, aber deckt diese Capability nicht vollständig ab. Aber man muss es trotzdem betrachten und vielleicht mit etwas anderem noch augmentieren. Wir sehen aber auch, viele Flächen bleiben hier in ihrer Originalfarbe, steckt da nicht mit drin. Dann gehen wir einen Schritt weiter, denn üblicherweise geht so ein SAP-IDM auch gerne einher mit genau dem SAP Access Control. Früher GRC, für die die Jänger dabei sind.

Dann haben wir nochmal eine ganze Menge Kisten mit dazubekommen von natürlich Access Governance, weil das ist Access Control, aber viel, viel mehr. Roll Mining, Rollen Simulationen, SOD, Risikobewertung. Alles das steckt da auch mit drin. Und dieses Tandem aus IDM und GRC hat natürlich so eine gemeinschaftliche Capability Matrix. Und Sie ahnen es schon, wenn man das jetzt so gemacht hat und die hier drauf gelegt hat, und das ist auch erst mal noch nicht so sehr strukturiert von mir hierher geworfen, dann kann ich das natürlich auch noch hier mit draufwerfen.

Das heißt, wir haben jetzt hier noch mehr rote Kisten bekommen und wir haben natürlich auch noch ein Stück weit mehr Funktionalität gesehen, die nach rechts gewandert ist. Also auch Richtung Authentifizierung, Autorisierung zur Laufzeit, SOD-Management auch zur Laufzeit, adaptive Authentifizierung. Ein Stück weit kann das hiermit bedient werden, zumindest anteilig.

So, und jetzt wissen wir eigentlich, was wir ersetzen müssen. Das war so der Plan. Darum geht es ja heute, glaube ich, aber ich glaube, es geht doch nicht darum. Nämlich zu sagen, wenn ich jetzt SAP, IDM und GRC oder Access Control ersetzen will, dann wären dies die Sachen, die ich ersetzen müsste. Und dafür bräuchte ich ein Projekt und dafür bräuchte ich ein Werkzeug oder ein Pool an Werkzeugen, die mich dabei unterstützen. Und meine These hier an der Stelle ist natürlich, das reicht nicht. Und ich weiß, dass der Klaus und auch der Tim das auch genauso sehen.

Nämlich die Idee ist, wir wollen ernsthaft nicht eine Lösung, die wir vor 10, 15, 20 Jahren eingeführt haben, eins zu eins ersetzen. Die Idee ist nämlich zu sagen, also andersrum, oder der größte Fehler, das ist ein Zitat von dem Martin Köppinger, ein Tool wie SAP Identity Management einfach durch etwas anderes zu ersetzen, ist verfehlt und geht am Ziel vorbei. Denn IAM hat sich weiterentwickelt. Die Welt um das IAM hat sich weiterentwickelt.

Und alles, was wir heute tun, wenn wir so einen Plan haben, bedeutet natürlich auch, dass wir Entscheidungen treffen, die reichen weit in die Zukunft. Ich habe da nachher noch ein Bild für. Aber das ist das, wohin wir eigentlich laufen werden. Insofern müssen wir uns deutlich mehr Gedanken machen.

Die Wahl, die wir treffen, reicht bis weit ins Jahr. Und das ist manchmal ein bisschen erschreckend, bis 2040 hinein. Und eigentlich ist das relativ straightforward. Wenn wir heute zu denken anfangen, haben wir in einem Jahr einen Plan, der abgesegnet ist. Dann fangen wir an zu implementieren, drei Jahre, vier Jahre, Parallelbetrieb, Überführung, Anbindung. Und dann soll das System ja auch noch leben und sich weiterentwickeln. Und es sollen noch weitere Applikationen angebunden werden und unser Business unterstützen.

Und dann sind wir relativ schnell mit eins plus drei plus zehn oder zwölf Jahren sind wir in 2040. Und dafür sollten wir echt gute Pläne haben. Und darum geht es eigentlich jetzt noch in den letzten paar Folien, die ich habe, bevor ich dann an die weitergebe, die es dann in der Praxis auch tatsächlich tun und machen. Mehr als nur IDM-Ersatz.

Denn IAM, Identity Access Management, geht heute, natürlich ging es damals auch schon, weit über IDM, also Identity Management für Enterprise, für Employees, für Partner, für Contractors hinaus. Heute muss man neue Anforderungen erfüllen. Und das klingt wie eine Binsenweisheit, ist es wahrscheinlich auch. Da ist eine Menge dazugekommen. Neue SAP-Umgebungen in anderen Welten, in neuen Umgebungen. Aber nicht nur SAP, die Welt ist heterogener geworden. Wir haben jede Menge Freude, viele aktualisierte Regulatoren bekommen. Ich sage nur DORA, TSAC, SNES 2. Und das wird sich nicht verbessern.

Das wird anders werden, das wird mehr werden. Und das wird bis 2040 auch noch ein Stück weit was sein, was wir betrachten müssen. Wir haben neue Deployment-Modelle. Wir sind nicht nur mehr oder vielleicht nur noch sehr wenig On-Premises in unseren klassischen Rechenzentren. Wir haben neue Identitäten. Also rechts ist immer so ein bisschen was dazu auch geschrieben. In HI oder NHI mit Bots, mit AI-Identities, mit Workload-Identities. Das müssen wir eigentlich auch mal mit betrachten. Ist es für uns relevant? Wollen wir das haben? Ist das für uns im Rahmen so einer Ablösung relevant?

Mal so ein bisschen think bigger zu machen. Und natürlich passiert eine ganze Menge im Markt. Und seit einer Ersteinführung von dem IDM in einem Unternehmen wird sicher eine Menge passiert. In Standards, in Ökosystemen, in Produkten etc. Und ich habe es rechts unten noch mal reingeschrieben. Manchmal ist es so ein bisschen bräsig zu sagen, schon wieder Zero Trust.

Aber ja, das ist die Technologie, die Security-Technologie, die wir brauchen, um in heterogenen, hybriden Umgebungen sinnvoll, sicher agieren zu können. Und Identity Management und Access ist eine der zentralen Stellschrauben, um das zu erreichen. Sie ahnen es, was jetzt kommt. Ich mache es noch mal, aber ich habe nicht mehr drum herum gemalt. Das müssten Sie. Wenn Sie jetzt sagen, okay, wie würde ich denn jetzt den nächsten Schritt gehen?

Dann würde ich wahrscheinlich hier noch mit mehr roter Farbe und mehr dunkelroter Farbe hier noch Markierungen vornehmen müssen, um zu sagen, das sind eigentlich noch mehr Capabilities, die ich brauche. Manche brauche ich vielleicht nicht mehr. Vielleicht habe ich noch diese Virtual Directories. Vielleicht kann ich das mal loswerden bei der Gelegenheit. Oder so klassisches Enterprise-SSO, vielleicht brauche ich das in der Form nicht mehr, kann man durchaus auch drüber nachdenken.

Parallel könnte man aber dann auch noch mal unser zweites Referenzbild rausziehen, nämlich die Identity Fabric, um zu sagen, ich habe jetzt nicht mehr nur hier die Human Identities, die Workforce, die Mitarbeiter, den Contractor, den Partner, vielleicht den Customer, die ich mit den Systemen jetzt schon erschlagen habe, sondern ich kriege neue Identitäten hinzu. Für jede dieser Listen, die ich jetzt gezeigt habe, die sind nicht vollumfänglich, die sind nicht erschöpfend. Das sind Beispiele und das gilt auch hier für die Identitäten und die Capabilities in der Mitte.

Wichtig ist, dass sie dann auch tatsächlich für sich den entsprechenden Weg gehen können, um zu sagen, ich weiß, wer hier was tun möchte. Ich weiß, welche Capabilities ich brauche aus dem EDM, aus dem Access Control.

Neue, die ich gerne hätte, vielleicht auch privilegierten Access mit integrieren, vielleicht auch mit integrieren. Das bündle ich in Services und dann wähle ich die passenden Werkzeuge aus. Das ist klassische Projektarbeit. Das sind Tools, die das implementieren. Das ist beispielsweise das, worüber wir nachher reden werden, wenn der Klaus präsentiert. Aber am Ende des Tages wollen wir genau dieses Gesamtbild erstellen. Nochmal kurz auf die Timeline geguckt und ich bin eigentlich gut in der Zeit. Ich gebe gleich zwei Minuten zurück.

Wenn wir heute anfangen, Projektlaufzeit drei bis fünf Jahre, immer so 2029, 2030 und dann fängt das System an zu laufen und kontinuierlich zu verbessern. Das heißt, die Frage, die wir uns heute stellen müssen, auf der Basis dessen, wie ich eben beschrieben habe, das funktioniert ziemlich gut. Wie müssen IAM, ihr IGA, ihr Berechtigungsmanagement und ihre gesamte Identity Fabric, wie wir es nennen, tatsächlich in der Zukunft aussehen? Ich habe jetzt noch eine Poll. Die würde ich gerne auch nochmal in den Raum stellen. Und zwar ist das die hier.

Die hat nämlich den Umfang, die Frage, ganz, ganz praktisch. Die haben wir uns gewünscht, der Tim, der Klaus und ich, um zu sagen, okay, wie sieht denn so eine reelle Umgebung tatsächlich aus? Also zu Deutsch, wie groß ist der aktuelle und künftige Umfang anzubindende Applikationen? Heute am SAP IDM, morgen an einem neuen System. Drei Optionen.

Erstens, wenige kritische und relevante Applikationen. Also sowas so kleiner als 25, um eine Hausnummer zu haben. Zweite Möglichkeit wäre zu sagen, sukzessive Anbindung einer definierten Menge von Applikationen. Also längere Zeit, mehr Applikationen, aber es gibt einen klaren Pfad. Die Poll ist jetzt auch da. Bitte gerne teilnehmen. 50 bis 100, so Pi mal Daumen, über die nächsten zwei Jahre, drei Jahre. So eine Applikationsanbindung ist nicht trivial. Oder zu sagen, Sie haben hohe regulatorische Anforderungen oder haben einfach den Plan, dass Sie das möchten.

Vollständige Anbindung einer größeren Menge an Applikationen, deutlich größer als 100. Das wäre so der Plan. Das ist jetzt einfach Interesse. Wie sehen so echte Umgebungen aus? Mit was müssen Sie sich üblicherweise beschäftigen? Damit wäre ich mit meinem Teil zu Ende. Ich würde jetzt ganz vorsichtig langsam an den Tim übergeben. Nicht ohne noch mal gesagt zu haben, vergessen Sie nicht, Ihre Fragen zu meinem Thema, insbesondere aber auch zu dem Tim und zu dem Klaus später, Ihre Fragen in das Panel einzutragen, sodass die Fragen dann bei mir für die Moderation ankommen.

Damit wäre ich mit meinem Teil zu Ende. Ich übergebe an den Tim, der darf vorsichtig auch anfangen zu sharen. Ich höre nämlich damit auf und ich übergebe an den Tim. Dann schauen wir mal, ob das klappt. Vielleicht können wir, Matthias, kannst du noch kurz sagen, ob ich zu hören bin? Super. Klappt alles. Gucken wir mal, ob das auch mit dem Sharing dann klappt. Aber ich denke, das kriegen wir hin.

Ja, wunderbar. Genau. Du hast gar keine Eigenwerbung gemacht. Ich habe mal kurz ein Bild von mir hier drauf. Ich werde jetzt ein bisschen was zu Projekten erzählen, was wir da so beobachten und was da so die eigenen bescheidenen Gedanken dazu vielleicht sind, auf Ihrem Projekt zu erzählen. Das ist natürlich immer so ein bisschen wie aus dem Mähkästchen plaudern. Davon gibt es natürlich Milliarden an Geschichten. Nächste Woche ist der Identity Fabric Impact Day. Wer mich da trifft, so sehe ich aus. Ich würde das gerne mal fragen. Wie läuft das denn so in der Realität?

Wer mich dort nicht trifft, meine E-Mail-Adresse steht ja auf dem Screen. Über Projekte gibt es ganz, ganz, ganz viel zu erzählen. Vielleicht, bevor wir zu den Migrationsprojekten kommen, so ein kleiner Blick zurück. Was haben wir denn eigentlich bisher in so SAP IDM-Projekten denn eigentlich gemacht? Also wodurch waren die gekennzeichnet? Wir haben gesehen, es ist auf der einen Seite Applikationsanbindungen.

Matthias, du hast eine relativ vollumfängliche Sicht jetzt gehabt, was damit alles möglich war. Das ist jetzt meine durchaus ein bisschen bescheidenere Sicht. Was denn eigentlich dann tatsächlich oft auch in Anführungsstrichen nur getan wurde, was zumindest die Fokusgebiete an der Stelle waren.

Ja, ganz, ganz klar. Das Thema Lifecycle im Kopf hatte ich mal abgespeichert. Das SAP IDM war ursprünglich mal da, um die zentrale Benutzerverwaltung abzulösen. Das heißt, ich habe halt für das Thema SAP konnte ich das erste Mal wieder zentrale Accounts anlegen und Berechtigungen verwalten. Allerdings hat viel SAP, wenig anderes. Meistens kommt dann noch so, dass das Active Directory rankläutert, immer SAP und Microsoft im Einsatz. Das Tun war klasse. Das war auch ein Kind seiner Zeit, weil ich unglaublich viel da drin kustomisieren konnte.

Dieses Jahr wurde das als Werkzeugkasten beschrieben von den Kollegen der DSAG. Das ist ein schönes Bild. Die Leute haben dort viel gebaut. Ich konnte ganz individuell auch auf eigene Anforderungen eingehen und zusätzlich zu den Features, Matthias, die du auf deiner Capability Map hattest, da wurden auch ganz, ganz, ganz viele Dinge dazugebaut. Wenn ich so in die Teilnehmerschaft gerade gucke, dann weiß der ein oder andere, was ich da meine.

Ich konnte erste Schritte im Self-Service gehen, also diese aufwändige Arbeit der Berechtigungsvergabe und der Verwaltung konnte ich in Teilen dann auch delegieren. Im Kern, wenn es um SAP geht, geht es auch oft um Prüfbarkeit. Ich konnte Audit-Vorgaben erfüllen, Dokumentationspflichten, SOD-Konflikte und Co. Das konnte ich alles in den Prozess gießen. Gekennzeichnet war das Ganze zusammen mit der Customization durch einen All-Premise-Betrieb.

Jeder, der dann auch mal damals von 7.8 auf 8 geupgradet hat, der weiß, das hat auch Konsequenzen, wenn ich mich nicht mehr um alles kümmern muss, dass das Ding läuft. Was ich damals aus den Projekten mitgenommen hatte, das ist ja nicht das erste Mal, dass Migrationsvorhaben angegangen worden werden. Da gab es auch in der Vergangenheit immer mal wieder Aussagen, zum Beispiel aus Gründen der Cloud-Transformation. Was macht denn eigentlich das SAP IAD und Co.? Wie sieht die Zukunft von dem GRC aus? Also aus diesem Themenkomplex SAP Lösungen und SAP und Identity Management.

Da gab es schon ganz, ganz so die Zukunftsaussichten, ab und zu mal so ein bisschen eine Frage gestellt haben, wie geht es denn eigentlich weiter? Wie können wir das auch bis 2030 oder bis 2040 dann auch betreiben? Aufseiten der Projektleitung als Dienstleister arbeite ich auch immer mit internen Projektleitern zusammen. Die Kollegen, die saßen dann meistens irgendwo in der IT-Basis oder in der SAP-Basis. Das sind keine Identity-Management-Teams gewesen oder so, sondern das sind Kollegen, die kümmern sich um Sachen.

Und damit kümmern sie sich um die SAP-Berechtigungsverwaltung, damit kümmern sie sich um das Thema SAP IDM. Und auch heute die Ansprechpartner, mit denen ich jetzt über mögliche Migrationsprojekte spreche, sitzen häufig auch immer noch genau da. Wenn wir jetzt über Zukunftsprojekte sprechen, ich muss immer, das ist ein bisschen mein Steckenpferd, wenn es um das Thema Projekt geht. Was ist denn eigentlich ein Projekt? Wollen wir uns mal grundsätzlich darüber einig werden, wie wir zu Themen rangehen und über was wir denn da eigentlich sprechen. Das ist jetzt hier die Lehrbuchdefinition.

Ich versuche gleich ein bisschen meine These aufzubauen, deswegen zeige ich es nochmal. Ich will etwas Bestimmtes erreichen unter gegebenen Nebenbedingungen, meistens Zeit und Budget. Ich muss irgendwo so ein Projekt eigentlich immer bewerten, was ich da tue, ob es sich lohnt, ob es sinnvoll ist, ob ich es schaffe, unter den Gesichtspunkten, naja, Zeit und Scope. Und wenn es um das Thema Scope geht, dann haben wir wahrscheinlich in den Diskussionen, die momentan zu möglichen Nachfolgelösungen beim Thema Scope wahrscheinlich ein kleines Problem.

Matthias hat es auch gerade schon anklingen lassen. Die Fokussierung so auf diese reine SAP-Migration. Ich will also etwas, was ich vorher schon hatte, was ich mal gebaut habe, das möchte ich irgendwie ersetzen. Und dann bin ich durch diese Fokussierung, die Abbildung, als so ein reines Migrationsprojekt. Und ich mache das einmal und dann bin ich fertig und dann habe ich auch in Zukunft das, was ich jetzt jahrzehntelang mit meinem SAP-IDM auch schon hatte. Das ist höchstwahrscheinlich falsch und das ist an dieser Stelle wahrscheinlich gefährlich.

Wir werden noch andere Driftigkeiten hören im Kontext IDM, IDM-Ablöse oder Identity-Management allgemein. Taucht ganz häufig so dieser Satz auf, es ist kein Projekt, es ist eigentlich ein Programm. Und warum das vielleicht so ist, der Matthias hat ja gerade gesehen, um was man sich da so alles so kümmern soll. Gucken wir vielleicht mal gerade drauf, wie eigentlich so Identity-Security-Projekte momentan laufen. Nur ein ganz kurzer Ausblick. Projektscopes sind natürlich ganz, ganz unterschiedlich. Aber mit was müssen wir denn eigentlich umgehen?

Was müssen wir so vom Scope denn eigentlich lösen? Was müssen wir denn eigentlich erreichen können? Was muss mein System absichern können? Wir haben nun mal jetzt dezentrale und hybride IT-Infrastrukturen. Wir beobachten im IAM zwar eine Zentralisierung von solchen IAM-Themen. Das ist gut, das begrüße ich. Sonst ist es wahrscheinlich, wenn es um das Durchsetzen von Regeln geht, nicht möglich.

Trotzdem hindert ja niemandem Endbenutzer daran, sich auch in der Cloud einfach mal so irgendwie Applikationen, das fängt dann an, da wird irgendein Cloud-System mal so als Test mit dem eigenen Abteilungsbudget mal abonniert auf die Firmenadresse. Und dann wird das für gut befunden. Und ruckzuck habe ich irgendwo so an irgendeinem Standort mal so eine kleine Schatten-IT, die da anfängt zu wachsen.

Und zack, da landen auf einmal sensible Daten drin. Ich muss mich auf solche Sachen vorbereiten. Also mein System muss in der Lage sein, auch solche Themen schnell einsammeln zu können, auch schnell den Businessen Mehrwert zu bieten. Die machen das ja nicht, um mich zu ärgern, sondern die wollen sich ja selber auch erleben. Die wollen mit Werkzeugen arbeiten, die sie brauchen oder Dinge ausprobieren, die sie mutmaßlich brauchen. Also mein IAM muss von der Verwaltung und ich kriege diese Verwaltung einfacher hin, muss ich das Identity- und Access-Management als Enabler denken.

Das ist auch so ein Spruch, den ich in den Projektanbahnungen eigentlich immer bringe. Ja, absichern ist schön und Effizienz ist auch schön, aber denkt das auch ruhig mal andersrum und überlegt euch mal, wenn ihr mal so ein zentrales Register habt, einen zentralen Katalog habt, wo drinsteht, was die Leute alles dürfen.

Nicht, was sie dürfen, wie alles andere ist ihnen verboten, sondern was sie dürfen, was ich ihnen als Unternehmen auch anzubieten habe. Das ist in großen Strukturen ja häufig gar nicht so einfach. Welche Software habe ich denn? Was kann ich denn hier eigentlich benutzen? Oder welche Art und Weise bekomme ich die? Da ist IAM, Identity- und Access-Management ein Lösungsanbieter. Ich habe neben den vielen, vielen Anwendungen, die an allen möglichen Momenten wachsen, natürlich auch eine Explosion an Identitäten.

Wir beobachten momentan zum Begriff, der nennt sich Convergence, da wachsen Plattformen zueinander, versuchen auch mehr Typen von Identitäten aufzulisten. Der Identity-Fabric von der Coping & Code, der ist seit Jahren die linke Seite, was dann im Scope ist, die ist auch alles am Wachsen und am Wachsen. Und ich glaube, aus der eigenen Erfahrung momentan, es gibt kaum jemanden, der in der IT arbeitet, der jetzt noch nicht mit irgendwelchen Chat-GPTs oder KI-Agenten oder sowas gearbeitet hat und auch die Kollegen im Maschinenraum, auch die arbeiten tatsächlich mit solchen Sachen.

Also irgendwelche Agenten, irgendwelche Workloader, die tun für mich Sachen im Namen von mir und das ist eine ganz gewaltige Explosion von der Zahl der Akteure, die ich da im Blick behalten muss. Auf der anderen Seite, oh, die greift noch auf eine ganze Menge an Sachen zu, vielleicht nicht mehr nur mal auf Anwendungen, sondern vielleicht auch auf Informationspakete.

Wie kann ich sicherstellen, dass wir in meinem gesammelten Unternehmens wissen, was so ein Chatbot mir da reicht, wie kann ich den eigentlich sicherstellen, dass er mir das sagt, was ich wissen darf und meinem Kollegen, der vielleicht nicht die Freigabestufe hat oder der Konkurrenz, der soll es eben nicht gesagt werden, oder vielleicht im externen und im internen Szenario. Auch das sollte ich in Zukunft mit betrachten. Matthias hat es gesagt, Compliance-Druck, auch das ist so ein zweischneidiges Schwert. Da kann man auch oft sehen, oh, muss ich denn?

Das ist vielleicht das andere, oh, ich sollte. Da haben sich Leute was Tolles überlegt, was denn eigentlich so grundsätzlich abzusichern ist und wie das dann geht. Und nur weil jetzt Projekte sagen, ach, ich bin doch gar nicht reguliert, ich muss doch gar nicht so viel. Es ist ja nicht gesagt, dass nicht nach NIST 2 noch ein NIST 3 kommt oder ein NIST 4 oder ähnliche Thematiken, beispielsweise aus dem Datenschutz, eine Revision für GDPR und Co. Vertrauen ist eine Währung.

Ich glaube, das sehen wir in dem heutigen Zeitgeist auch, wie wichtig das ist, auch wie viele Vertrauensbeziehungen, die vermeintlich oberflächlich waren, doch auch jetzt mal eine Frage gestellt wurden. Das halte ich für ein wichtiges Thema und was auch an den Vertrauenspunkten und Compliance passiert, das sollte man sich mal angucken und sich überlegen, will ich das vielleicht nicht grundsätzlich, weil ich muss, sondern vielleicht grundsätzlich, weil ich es unterstützend empfinde.

Und auch ich werde natürlich das Passwort CEO Trust an der Stelle nennen, weil wenn ich jetzt mehr Türe habe, die auf mehr Dinge zugreifen und das passiert an Ecken und Enden, die ich vorher nicht beobachten konnte, wie soll ich das denn einfangen?

Ich kann nicht mehr so wie früher eine Mauer drumherum ziehen, ja, du bist im VPN oder auf der VDI und dann passt das schon, sondern ich muss eigentlich da gehen und stehen, wo die Leute sind und nur da an der Stelle kann ich die Aktion einzeln überprüfen und nur dann kann ich sicherstellen, dass das wirklich auf eine angemessene Art und Weise sicher passiert. Das kennzeichnet aktuelle Projekte, die nicht nur IDM migrieren, sondern die sich vielleicht Lösungen aus dem Bereich Identity Access Management momentan jetzt einführen.

Das heißt, wir haben drei Kernstrategien, um die es grundsätzlich geht in solchen Projekten. Ich muss umfassend absichern, ich muss irgendwo diesen riesen Scope von Identitäten einfangen können und ich muss dieses Thema Zero Trust leben, die Alternative zum Perimeter. Ich muss Leute authentisieren oder autorisieren können. Was sonst noch so zu tun ist, ich finde das ist ein klasse Bild, ich muss es ja auch sagen, Matthias ist hier so eine Übersicht, was eigentlich im Thema Identity Security, Identity Access Management alles möglich ist, was Lösungsanbieter tun, was Kunden nachfragen.

Da gibt es Personenkreise, da gibt es Experten, die sich seit vielen, vielen Jahren damit beschäftigen und hilfreiche Übersichten generieren, wie zum Beispiel Identity Fabric, wo man sich auch daran orientieren kann, was ist denn zu tun, was muss ich denn tun. So eine Referenzarchitektur oder so ein Fabric, das hilft mir einfach am Anfang mein Projekt auch zu scopen. Das wären jetzt so die Vorarbeiten. So meine These, wir leben ja schon und ich beziehe mich jetzt auf den Titel, wir leben ja schon in dieser Post-IDM-Ära.

Andere Leute setzen andere Lösungen ein, haben, fahren vielleicht auch größere Programme und das ist wahrscheinlich kein Projekt, sondern ich bin wahrscheinlich jetzt gerade dabei, meinen, vielleicht sogar meinen ersten Schritt in puncto Identity und Access Management oder in puncto Identity Security hier zu gehen. Vielleicht erkenne ich das auch jetzt gerade erst, wenn ich mich damit auseinandersetze, was kommt eigentlich nach IDM und was kommt eigentlich noch außer IDM. Eine ganze Menge, mit dem man sich da beschäftigen muss.

Wenn das mein erster Schritt ist, ich will ja so einem kleinen Olivenzweig reichen, das ist nicht alles ganz schlimm und groß. Wenn das der erste Schritt ist, dass ich sage, okay, dann will ich mich ja jetzt mal auf moderne und auf vernünftige neue Beine stellen. Das ist mal so ein Beispiel aus einem aktuellen Engagement, wie könnte so ein Weg denn eigentlich aussehen. Das Geschritteprogramm muss bewerten. Was bedeutet das für mich eigentlich, dass das IDM weg ist? Aus welchen Gründen habe ich mir das damals eingeführt? Warum will ich so etwas ähnliches weiter betreiben?

Ich muss in die Analyse klingen. Ganz, ganz viele Paradigmen von so einer IDM-Lösung im On-Premise-Bereich unterscheiden sich radikal von der Klaus wird es gleich mal zeigen, wie SailPoint funktioniert von einer modernen Software-as-a-Service Lösung im Betrieb in der Art und Weise, wie gehe ich damit um in den Fähigkeiten, wie ich so etwas administriere? Habe ich dafür das Personal eigentlich auch? Da muss ich wahrscheinlich planen, okay, wie gehe ich da vor? Was muss ich alles ändern? Was muss ich anpassen? Wie viel Zeit habe ich denn noch? Wie viele Ressourcen stehen mir zur Verfügung?

Mein Chef will wahrscheinlich eine Kostenabschätzung und ich muss mir mal entscheiden, wie sehen so Migrationsstrategien eigentlich dann für mich aus? Wie kreiere ich wenige SAP-Anwendungen? Wie kreiere ich ganz, ganz viele Custom-Implementierungen, die ich auch für die hinterletzte, die hundertste, die tausendste Applikation bei mir doch auch noch mal Custom-Immediate nachgebaut habe?

Dafür gibt es unterschiedliche Ansätze und wie stark muss mein System eigentlich die ganze Zeit laufen und wo habe ich vielleicht auch ein bisschen Zeit, einen Parallelbetrieb vielleicht hier auch zu leisten? Und wenn ich mit diesen Gedanken gemacht habe, dann geht es, erst dann geht es eigentlich auch an die Tool-Auswahl, weil dann muss ich mir angucken, ich weiß, was ich will, ich weiß, wie ich vielleicht vorgehen könnte.

Dann gehe ich einkaufen und überlege mir, wer kann mir denn diese verschiedenen Fähigkeiten, was ist meine Basis, was sind meine Lifecycle-Geschichten, wie will ich mit dem Thema Risk & Compliance umgehen? Ja, ist das eine Lösung, sind das zwei? Ich muss an den Markt und ich muss mir das eine oder andere zeigen lassen. Es hilft auch, ganz unten der Punkt Referenzgespräche, mal mit anderen Leuten zu sprechen, die das vielleicht schon mal gemacht haben oder sich an Experten zu wenden, die das, die anderen Leuten dabei helfen, sowas regelmäßig zu tun.

Und wenn ich das dann habe, dann habe ich was eingekauft, ein Set von Lösungen, ja, wie sieht das denn aus? Das ist jetzt ein Kunde, der war sehr gut vorbereitet, der hat auch einen eher kleinen Scope und der hat was ganz Tolles gemacht, der hatte die IDM-Lizenzen schon voraus bezahlt. Das heißt, der konnte auch sich einen Parallelbetrieb leisten.

Und dann nach einer Pilotphase, wo ich halt meine Key Facts mal checken muss, je nachdem, wie groß meine Anwendungs- und meine Identitätslandschaft ist, mal ruhig auf die Performance gucken, funktioniert auch das Hyperscaler-Versprechen an der Stelle. Was muss ich am Organisational Change machen? Ich habe da vorhin gesagt, ich habe vielleicht gar nicht so ein fertiges IAM-Team, die dann auch wissen, wie will ich eigentlich diese neue Plattform, die ich mir da unter Umständen einführe, diesen Service, wie es der Matthias genannt hat, oder diese Set-on-Services, wie werde ich die ausbauen?

Brauche ich da vielleicht auch noch ein Team? Muss ich das aufbauen? Muss ich das schulen? Muss ich da jemanden für einstellen? Und werde ich das dann aufbauen und ausrollen und Leute sollen vielleicht auch das erste Mal mit gewissen Themen konfrontiert werden? Vielleicht war ich dann doch auch in dem Rahmen das erste Mal Rezertifizierungskampagnen, die ich vorher gar nicht hatte. Wie kriege ich denn eigentlich dann den späteren Nutzen? Wie ist er davon auch frühzeitig informiert und frühzeitig überzeugt, dass die dann auch an Bord sind? Ganz gut ist, wenn man was Neues ausprobiert.

Man probiert es dann mit der begrenzten Anwendergruppe, im Idealfall mit jemandem, der ein Freund ist und der mir unter Umständen die ersten Schritte in so einer Migration oder so einem Neuaufbau dann auch verzeiht. Der Rest ist dann eigentlich nur Anpassung und Integration.

Ja, ich muss ein System einführen, das muss aufgebaut werden, das muss installiert werden. Das IAM lebt natürlich vom Access in den anderen Systemen. Ich habe eine Testphase und unter Umständen habe ich einen gewissen Parallelbetrieb. Das ist was, was ich an der Stelle immer empfehlen würde. Wenn ich ein laufendes IAM-Programm habe, dann tut das wichtige, wichtige Dinge. Das alles auf einmal abzuschalten, auf einmal zu migrieren, kann unter Umständen gefährlich und risikoreich sein.

Wenn ich das mir leisten kann, von den Lizenzen beispielsweise, würde ich immer versuchen, das alte System am Laufen zu lassen, neue Systeme lesend an, das neue System aufzubauen, schon mal meine Joint Move Leave Geschichten aufzubauen, dass das nebenher läuft, dass ich mein neues System auch beobachten kann, wie verhält es sich unter Last. Welche Prozesse kann ich denn dort noch aufsetzen? Und dann am Ende schalte ich Stück für Stück frei.

Ein Übergang in Phasen fühlt sich immer menschlicher, fühlt sich immer natürlicher an, ist auch meinem Dafürhalten erfolgreicher als der Big Bang. Das bedeutet so meine sieben, es gibt ganz, ganz viele Dinge, die Projekte erfolgreich oder nicht erfolgreich machen, aber das sind so die Key Facts, die ich mitgeben würde.

Frühzeitig starten, wenn ich mich dabei jetzt auf einmal erwischt habe, dass ich nicht nur eine Migration mache, sondern tatsächlich ein IAM-Service aufbauen muss, dann brauche ich, dann habe ich hoffentlich rechtzeitig angefangen und habe die Zeit, die Dinge in Ruhe zu klären. Nicht nur die technischen, nicht nur die Migration, nicht nur Systemanbindung, sondern auch, was bedeutet das für die Zukunft? Habe ich genügend Budget eingeplant? Wie gehe ich damit denn eigentlich weiter? Habe ich auch mit meinem Management gesprochen, was Identity im Jahre 2040 denn eigentlich bedeutet?

Das kann ich als Appille vielleicht gar nicht beantworten, sondern wie arbeitet denn ein Unternehmen in der Zukunft? Das Ziel sollte nicht nur die Migration sein, sondern das Ziel sollte sein, Identity Security. Ich mache das auch nicht aus Compliance-Richtlinien oder sowas, sondern ich muss mich absichern.

Ich habe heutzutage keine andere Möglichkeit, mein Unternehmen oder meine Unternehmens-IT sicher aufzubauen, wenn ich nicht weiß, wer sich innerhalb meiner IT bewegt, wenn ich den nicht identifizieren kann, wenn ich den nicht vernünftig autorisieren kann und wenn die Autorisierung auf vernünftigen Gründen basiert, wenn es dafür eine Rechtfertigung gibt. Meine Organisation sollte optimal aufgestellt sein. Ich brauche ein IAM-Team. Ich brauche jemanden, der das lebt. Ich brauche starke Stakeholder. Ich brauche mein Management im Rücken. Solche Themen können aufwendig sein.

Ich brauche meine IT-Leitung im Rücken, weil ich doch recht tief auch in andere Systeme und in andere Domänen rein möchte. IAM geht uns alle an. Überall lockt sich jemand ein. Überall arbeiten Menschen oder seit neuestem auch Maschinen mit IT-Systemen. Und die werden von Menschen betreut. Deren Beihilfe brauche ich. Die sorgfältige und rechtzeitige Schulung unterweist neuen Technologien und Paradigmen. Wenn ich was im SAP IDM nachgebaut habe, funktioniert das vielleicht nicht in einer Software-as-a-Service-Anwendung.

Vielleicht muss ich einen Decorator nebendran bauen, irgendeinen Middleware, einen Service, den ich daneben stelle. Vielleicht ist mein User-Interface doch ein kleines bisschen anders, als ich das haben möchte, dass es mir der Lösungsanbieter so bietet. Da muss ich mir überlegen, wer kann das denn sowas denn bauen? Wer kann sowas betreiben? Wer kann auch Cloud-Systeme administrieren? Technische Lösungen. Ich war ein bisschen bescheidener. Ich habe mir gesagt, bis 2035.

Aber ja, aktuelle Kunden gucken bis 2040 in die Zukunft. Große Enterprise-Projekte planen momentan soweit, auch in puncto SAP IDM.

Es hilft, wenn man Partner hat, der Identity- und Access-Management ganzheitlich versteht. Vielleicht nicht nur den IDM-Experten, der kennt dann eine Lösung, sondern nehmen Sie jemanden mit, einen Implementierungspartner, einen Beratungspartner, einen Analystenhaus oder einen Technologie-Partner, der sich genau auch auf diese 2040 vorbereitet hat, der vielleicht eine Idee hat, was kommt denn eigentlich nach diesem initialen Wurf der Migration? Und ich habe es gesagt, ich würde so eine Migration nicht als Big Bang, nicht auf den letzten Drücker planen.

Tim, ich gehe mal ganz langsam zu. Genau, aber du bist eh am Ende. Ich wollte gerade ein bisschen den Zeitpunkt...

Genau, ich bin jetzt eh am Ende. Das bedeutet, ich schließe mit dem Satz, die Migration ist vielleicht das erste Projekt. Ich brauche mein IRM-Programm und ich glaube, den Satz finde ich auch beim Klaus-Symphonien-Satz wieder. Das könnte tatsächlich passieren. Ich lege noch mal Wert auf die Fragen und gebe an den Klaus. Danke. Könnte man den Slide sehen? Jawohl. Ich stehe jetzt vielleicht ein bisschen durch die Slides. Es kam gerade eine Frage im Chat oben. Über alles, was Sie da reden, brauche ich das überhaupt? Wir setzen es gerade mit IDM auseinander.

Das passt aber eigentlich genau zu dem, was der Matthias ganz zu Anfang gesagt hat. Wenn Sie sich jetzt mit IRM auseinandersetzen, bitte hören Sie nicht auf, beim Join-a-Mover-Liebeprozess zu denken, sondern gucken Sie wirklich über den Tellerrand hinaus. Glauben Sie mir, Zero Trust, man will es vielleicht anders nennen, das heißt dann vielleicht nicht Zero Trust, aber so sicher wie der nächste Morgen kommt, wird es wahrscheinlich NIST 3 geben, wenn es auch vielleicht anders heißt, oder DORA 2, das dann vielleicht auch anders heißt.

Aber es wird irgendwann daraus hinauslaufen, dass wir in Realtime prüfen müssen. Darf jemand das tun, was er überhaupt tun möchte? Und idealerweise wird das schon vorher geprüft, ob er das überhaupt machen darf und diese Dinge. Das wird uns auf jeden Fall einholen.

Da ich ein bisschen über Zukunftsmusik rede, auch aus unserer Seite, ich spiele ein bisschen auf die Navigate an, unseren Major-Event, der im November in London stattfindet, darum habe ich hier ein Legal Disclaimer drin, wir können unsere Roadmap natürlich verändern, in der Regel passiert das nicht, aber wir wollen eben keine Roadmap verkaufen, sondern das, was wirklich die Menschen beschäftigt. Und das kann man gar nicht oft genug sagen, ein IDM-System sollte nicht als Projekt betrachtet werden.

Natürlich tendieren wir auch dazu, wenn wir sagen, oh, wir haben da ein neues Projekt, wir bauen jetzt hier was auf und stecken was zusammen. Im Wording, im Umgangssprache mag das sein, aber alle unsere erfolgreichen Kunden, und wir haben über 3000 Kunden, also wir wissen schon, von was wir reden, wenn wir von erfolgreich reden, das sind alles Kunden, die zum Beispiel eine Betriebsvereinbarung haben, in der es heißt, jede Anwendung muss an das IDM-System angeschlossen werden und sollte das nicht möglich sein, nicht gewünscht sein, braucht es dafür eine Freigabe vom Vorstand.

Also das erhöht natürlich den Druck dann massiv und so ein System ist nur so gut, wie der Content-Readings gefüttert wird. Also das muss man sich einfach bewusst sein. Wenn Sie 300, 400, 500 Anwendungen oder mehr im Unternehmen haben, Sie schließen davon nur 30 an, das macht sich Ihr eigenes Bild. Es wird Ihnen nicht wirklich helfen. Und das technische Spielfeld in dieser Post-IDM-Ära ist halt wirklich enorm. Das haben jetzt die Kollegen nur so ein bisschen angeteasert, um da vielleicht sehr vorsichtig zu sein, aber ich räume jetzt vielleicht mal richtig mit allen Bevorhalten aus.

Wir sind angekommen in dieser Post-IDM-Ära. Also ich meine, Join-and-Move-and-Leave-Prozess, Anwendungen anbinden, das kann heute praktisch jedes IDM-System. Natürlich gibt es da Qualitätsunterschiede, aber das ist ein alter Hut. Also wer heute noch hinter so einem Join-and-Move-and-Leave-Prozess und das dann bald irgendjemandem sehen will, kann er gerne machen, ist auch das, was vielleicht am einfachsten, am eingängigsten ist, aber eigentlich sind die Prozesse, die da hinten dranhängen, der Automatismus, der damit bevorzugt wird, das ist eigentlich das, was die Sache ausmacht.

Und wir stecken heute in hybriden Multicloud-Umgebungen. Da beißt die Maus keinen Faden ab. Jeder von Ihnen hat irgendwo Cloud im Einsatz. Denken Sie nur an Office 365. Es mag sicherlich Leute geben, die sagen, nein, machen wir gar nicht, das ist alles ganz gefährlich und die Cloud ist ja böse.

Ja, wenn man nicht weiß, was man tut und man es nicht sorgfältig überwacht, ist das sicherlich alles richtig. Aber die Möglichkeiten der Überwachung und der Security sind heute ja gegeben. Das mag ein bisschen mehr Aufwand sein, aber einmal richtig gemacht, funktioniert das ganz hervorragend. Das Wichtigste dabei ist tatsächlich diese Identitätsvielfalt, die momentan kommt. Diese Explosion ist einfach überall zu sehen.

Wir haben doch vor ein paar Jahren nur über Selbstservice gesprochen und Sie erinnern sich an Zero-Day-Start, was man da gemacht hat, also dieses Onboarding und am ersten Tag kann er schon arbeiten, was ein Zufall. Es gibt heute immer noch Unternehmen, die brauchen mehrere Tage oder gar Wochen, bis jemand tatsächlich arbeiten kann, also alle Berechtigung hat dafür.

Was wir heute aber sehen, dass natürlich die Maschinen-Identitäten oder auch die Non-Human-Identities, wie es so schön heißt, NHIs, dass die halt immer mehr kommen und das ist natürlich alles, was mit Service-Accounts zu tun hat, Maschinen-Accounts zu tun hat, was mit Agents zu tun hat, das ist ja momentan in aller Munde. Agents haben Berechtigungen, die gehen weiter als das, also die haben Berechtigungen wie ein Supervisor im Grunde genommen. Die müssen kontrolliert werden, sind aber eigenständige Accounts innerhalb des Ident-Systems, wenn sie dann richtig eingelesen werden.

Habe ich das getan, kann ich es ja auch kontrollieren. Und damit kommt dann auch diese Zero-Trust-Notwendigkeit. Ich muss zur Laufzeit entscheiden können, ob jemand bestimmte Berechtigungen haben darf, ja oder nein und ihnen gegebenenfalls geben. Also das ist einfach wichtig. Und was momentan, das ist zumindest was uns von den großen Playern zurückgespielt wird, auch mehr von der Basis angefordert wird, also da, wo Regularien im Spiel sind, ist die Frage nach unstrukturierten Daten.

Also eigentlich das, wofür wir den ganzen Aufwand betreiben, nämlich die Berechtigung auf Dateien am Ende des Tages, ja. Da steckt der Content drin, da steckt das Interactive Property drin, da stecken die GDPR-Daten drin, da muss sicher sein, dass nur der zugreift, der darf und dass diese Informationen auch nur da liegen, wo sie liegen sollen. Wer macht denn das heute? Also unstrukturierte Daten sind ein ganz wesentlicher Punkt. Das hilft Ihnen nix, wenn die Gruppe heißt Reitrechte oder Schreibrechte auf einem bestimmten Folder und Sie haben hinten dran Modify-Rechte im Dateisystem vergeben.

Das bringt Sie nicht wirklich weiter. Also dieses Wissen ist essentiell. Und diesen SaaS-Wildwuchs hat Tim ja schon angesprochen. Das sehen wir momentan immer öfter. Ein Kunde von uns hat das mal als U-Boote bezeichnet, fand ich auch nicht schlecht. Sie haben jetzt die öffentlichen, die offiziellen Applikationen, jetzt kümmern Sie sich um die U-Boote. Da haben Sie aber auch 70 Stück gefunden. Das müssen Sie sich mal vorstellen. Das ist gar keine so große Firma.

Und das ist schon relativ viel, dass man da auf einmal sagen kann, schau mal, hier sind 70 Applikationen, die tun irgendetwas, von dem die IT nix weiß. Also das ist ein Punkt, den sollte man nicht unterschätzen. Zero Trust ist natürlich ein Buzzword, das treiben wir schon seit Jahren durchs Dorf. Das ist überhaupt keine Wahrheit, also kennt man alle. Aber was steckt denn eigentlich dahinter? Das heißt also, ich brauche da einen politischen Position Point. Wir sehen uns eher als Enforcement Point, als den Türsteher dafür.

Also das Hirn hinter der ganzen Zero Trust Sache, also wer darf wann wann zugreifen. Das ist die Single Source of Truth, ein IDM-System, das sowas kann. Da gehört natürlich auch KI dazu, um Dinge besser und schneller sehen zu können.

Weil wenn Sie mal ganz ehrlich mit sich sind und Sie schauen mal in Ihr Unternehmen rein, Sie zählen mal alle Ihre Applikationen, das ist nix für Hold my Beer, ich bin gleich wieder da, sondern das ist eine Sache, die dauert eine Weile, zählen Sie sorgfältig und dann multiplizieren Sie einfach mal mit der Anzahl Ihrer Mitarbeiter und mit der Anzahl der Entitlements, die da rauskommen, also Berechtigungen, die in diesen Anwendungen stecken. Da kommen Sie leicht, also sicherlich auf einen sechsstelligen Betrag dabei, eher vielleicht sogar auf einen acht- oder neustelligen Betrag.

Wir haben Kunden, die haben einen Millionenbetrag, zweistelligen Millionenbeträg an Teilgängern, mit denen Sie arbeiten müssen. Das schaffen Sie nicht mehr mit der Hand am Arm. Das muss man sich bewusst sein. Sie brauchen irgendetwas, was Ihnen hilft, dieser Menge gerecht zu werden. Und darum sage ich hier überall, wo ich diesen Navigate-Fokus mit drauf habe, das sind Dinge, die wir jetzt zeigen werden. Wir zeigen den Umbau von unserer Plattform in Richtung Continuation-Kontext. Wir wollen also diesen Identity-Kontext mit dem Security-Kontext, die Sie hören, miteinander verknüpft.

Das ist eben auch wichtig, wenn Sie von den Crowdstrikes dieser Welt irgendwelche Informationen bekommen, dass Sie diese Informationen mit Identitätsinformationen anreichern können. Das hat heute keinen Sinn, wenn Sie irgendeine IP-Adresse um die Ohren behauen bekommen und nicht wissen, was das ist, sondern Sie brauchen einen Namen dazu, wo Sie wissen, hier kann ich jemanden anrufen und kann sagen, wer ist das, oder vielleicht festzustellen, dass das ein Agent ist oder ein Maschinen-Account.

Ich meine, das sind nun mal die Sweetspots für die Hacker, ob Ihnen das passt oder nicht, aber da wollen Sie hin. Und dass das natürlich am Ende des Tages mit dem Durchsetzen von dem Lars Büffele schreit, das machen wir seit Ende der 70er. MRS ist doch nicht neu. Das ist so ein bisschen wie mit der Straßenverkehrsordnung. Würden sich alle an den ersten Paragraph halten, bräuchten wir die anderen nicht dabei. Aber das ist halt eben nun mal ein Punkt, da muss es hingehen.

Und wir bauen momentan unsere Atlas-Plattform ganz massiv dafür, oder wir passen sie an, wir müssen nicht groß umbauen. Wir haben das schon vor zwei Jahren angefangen mit Atlas und haben gesagt, wir haben hier eine Plattform. Es wird jetzt mit Atlas Enterprise einfach, wir werden einfach, die sind schon ziemlich gut, was Connectivity angeht, aber wir werden es noch verbreitern, weil wir einfach auf die ganzen KI-Services aufspringen, wir springen auf das Shared-Signals-Framework auf, ein MCT-Server wird kommen zu Navigate.

Das heißt also, all diese Dinge, die wirklich wichtig sind, um sie besser verhalten zu können. Und dazu gehört natürlich auch, dass eine Connectivity besser aufgehoben wird. Wir sehen das jetzt, wir sehen da ein 3-Stufen-Modell, Visibilität, Compliance und Deep Governance. Nicht jede Anwendung ist gleich wichtig für ein Unternehmen. Das mag jetzt vielleicht ein bisschen respektierlich klingen oder komisch klingen zu dem, was ich vorher gesagt habe.

Aber beobachten Sie selbst mal, wenn Sie gucken, welche Anwendung Sie anbinden wollen, nehmen Sie automatisch die Anwendung, die aus Ihrer Sicht die wichtigsten Anwendungen sind. Und da sind die auch garantiert. Da habe ich überhaupt keinen Zweifel dran. Aber neben diesen 30, die Ihnen vielleicht einfallen, gibt es vielleicht noch 250 hinten dran, die Sie gar nicht so sehr auf dem Radar haben. Und da muss man vielleicht nicht dieselbe Deep Governance machen. Das heißt also, eine andere Qualität von Connectivity dort erreichen.

Es reicht vielleicht Compliance, weil Sie ab und zu mal nachfragen müssen, brauchst du den Account noch? Oder es reicht vielleicht schlicht die Visibilität, zu sagen, schau, du hast die Anwendung, da sind diese Accounts drin mit folgenden Teilen. Dann ist das okay für dich. Also wir verstehen diese Anforderungen und wir tragen dem Rechnung, indem wir zum Beispiel dann auch unsere Connectivity so umbauen werden, dass Teile der Anwendung tatsächlich automatisch ongeboardet werden können. Auch das werden wir auf der Navigate zeigen.

Sie haben vielleicht das Announcement gelesen, dass wir einen Teil von Savvy gekauft haben. Das ist eine Technologie, mit der man tatsächlich Cloud-Anwendungen automatisch onboarden kann. Also der Token-Austausch basiert auf einer Logik, sage ich mal, die eben diese Savvy-Jungs entwickelt haben. Und das grenzt schon so ein bisschen an Magie, wenn dann auf einmal diese Applikation tatsächlich angeschlossen in den Playpoint auftaucht. Und Sie können aggregieren, können damit arbeiten, können sich den Kopf drum machen, brauche ich das, was da drinsteht, oder brauche ich es nicht.

Stichwort KI. Also eins ganz klar von vornherein. KI oder AI-Enablement sind keine fancy SQL-Skripte. Also den Satz habe ich mir jetzt nicht hingeschrieben, aber lasse ich das gesagt sein. Wenn immer jemand kommt mit KI und sagt, oh, ich habe hier was in SQL geschrieben, das ist keine KI. Das hat nichts mit irgendwelchen Jaquard-Formalismen oder mit irgendwelchen Laurent-Formeln zu tun. Das ist einfach nur dummes Zeug, weil sie nichts anderes haben, um es ganz ehrlich zu sagen. KI ist schon ein ganz kleines bisschen mehr. LLMs müssen entwickelt werden.

Wir haben beispielsweise über 1200 eigene LLMs entwickelt, die nicht public sind. Ja, wir reden jetzt nicht von Agendic-AI, die irgendwelche offenen Sachen wie Copilot oder sowas benutzen, sondern wir reden von unserer eigenen entwickelten KI, die wir gelernt haben auf den Erfahrungen, die wir mit 3000 Kunden gemacht haben. Keine Angst, keine Kundendaten drin, sondern einfach nur eine andere Art zu lernen. Wer weniger Kunden hat, hat vielleicht auch weniger gelernt. Ich weiß es nicht. Also das ist ein Punkt, wo man einfach gucken muss, KI werden wir jetzt immer mehr reinbauen.

Wir haben das schon drin, also Outlier Detection beispielsweise. Wir können Ihnen heute aus dem Pool Ihrer Daten einfach raushauen und sagen, wir haben hier ein paar Identitäten gefunden, die von der Berechtigung her anders sind als der Rest dieser Peer Group. Die gucken nicht nach Department, die gucken nicht nach Kostenstellen, sondern die sagen nur, diese Peer Group, also die so ähnlich sind wie die eine Identität, diese Identität ist anders. Das heißt nicht gut oder schlecht, das heißt nur, die hat andere Berechtigungen. Sie müssen sich dann nicht mehr selbst drum kümmern als ITM.

Sie können sagen, ja, dann macht doch einfach eine Zertifizierung für den Manager und dann macht die Maschine das. Das können Sie auch automatisieren, da haben wir Workflows für eingebaut, läuft alles ganz super. Das ist nur ein Beispiel, wie KI dann wirklich helfen kann, auch irgendwelche Unkreimtheiten auf die Spur zu kommen oder auszuhalten, ohne dass die Administration sich direkt drum kümmern muss. Das ist ein ganz wichtiger Punkt. Also wir wollen einfach mit unseren ganzen Ansätzen, die wir jetzt versuchen, umzusetzen. Das wird natürlich eine Weile dauern.

Es ist nicht so, dass wir jetzt auf der Navigate irgendwas veröffentlichen, was dann auch sofort funktioniert, sondern es wird immer in Cloud-Strukturen gibt es immer eine erste Iteration, das ist API first, was dort passiert, das wird entwickelt und natürlich auch mit unserem Feedback von unseren Kunden entwickelt. Ich meine, wir können es nicht alle selbst ausdenken, wir brauchen auch die Anforderungen dazu, aber dass wir mehr als nur die eigenfahrende Human Identity kontrollieren müssen, das ist, glaube ich, klar.

Das hat, glaube ich, jeder verstanden. Also da muss es einfach hingehen, solche Dinge zu tun und wir wollen einfach dazu kommen, dass mit diesen dynamischen Zukunftsmodellen die IT sich einfach nur noch um die Ausnahmen kümmern muss, dass man einfach die Regelwerke in bestimmte Regeln packen kann. Dafür bauen wir auch eine Policy-Engine, die kommt auch zu Navigate, wo man einfach sagen kann, folgendes passiert, wenn folgende Umstände stattfinden, folgende Identitäten oder folgende Attribute gegeben sind, dann passiert mit dieser Identität folgendes.

Das kann die IT vorgeben und das geht mehr, als Sie denken und dann passieren Automatismen, wo dann nur noch Rückmeldung kommt, ist das passiert, ist das passiert, ist das passiert und ich muss mich als Business-Mensch, als Manager oder auch als jemand, der sich um die Auditoren kümmert, also um die ganze Compliance kümmert im Unternehmen, einfach nur noch um die Sachen kümmern, die außerhalb dieser Norm sind, was natürlich die Dinge vielleicht deutlich einfacher macht. Auch wir haben verstanden, dass das eine Roadmap ist, die nicht von heute auf morgen geht.

Also ich bin vollkommen bei diesem Zeitraum 2035, 2040 dabei, das sehe ich ganz genauso. Das dauert eine Weile und die Pläne dorthin, ja, das sind natürlich Ideen momentan. Jetzt sagt der eine oder andere vielleicht, boah, jetzt habe ich gerade angefangen, IGA zu denken, was soll ich mit dem Kram alles?

Nochmal, diese Grundsachen, die Grundsätzlichkeiten von IDM, das ist heute kein Thema mehr. Das macht in jedes System. Aber in die Zukunft zu blicken, zu sagen, ist dann das System überhaupt dafür gebaut, das dann später zu machen? Wir sehen diesen Plan, wir bauen jetzt die Plattform dafür und die Grundlage dafür, dass wir darauf diese Dinge weiter entwickeln können. Das ist einfach der richtige Punkt, in den es geht und das ist das, was wir meinen, wenn wir über die Post-IDM-Ära reden, ja. Wir sind aus dem, oh, ich brauche Selbst-Service, oh, ich brauche einen Joiner-Mover-Liefer.

Glauben Sie mir, es gibt genug Firmen, die haben das alles hinter sich, die sind durch dieses Tal der Tränen bereits gegangen, weil natürlich auch viele Leute gelernt haben, wie man Dinge tut, nicht gut. Aber es gibt Firmen, die wirklich super dabei sind, die das alles kennen und sagen, okay, okay, wie geht es denn jetzt weiter? Und den Leuten müssen sie auch eine Basis bieten, zu sagen, ah, ich habe verstanden, ihr habt verstanden und wir hören weiterhin zu und bauen diese Dinge nicht so, wie wir sie für richtig halten, so, wie sie von Ihnen gefordert werden.

Das war es jetzt im Schweinsgalopp. Ich weiß, von der Erkenntnis zur Umsetzung, Identity Security ist nun mal, wir sehen das bei uns, unsere Connectivity ist, glaube ich, unerreicht am Markt. Natürlich kann, sagt jeder, der das alles anschließen kann, aber wir haben tatsächlich diese Konnektoren als direkte Konnektoren. Wir wissen, was die API auf der Gegenseite macht und glauben Sie mir, das ist ein anderes Leben. Sie sind viel schneller an den Sachen, die Sie wirklich tun müssen und können die Governance machen, für die Sachen, die wichtig sind.

Wer mag, kann sich gerne Navigate vormerken. Sie sind alle herzlich eingeladen, zu Navigate zu kommen. Das ist unsere zentrale Veranstaltung dafür, wo wir alle tiefer in diese Sachen eingehen, sowohl mit Keynotes, als eben auch mit Breakout-Sessions. Ich bin auch einer derjenigen, der was über diese Atlas-Plattform erzählen wird, sind herzlich eingeladen, das zu machen. Vielen Dank für Ihre Zeit. Vielen Dank, Klaus. Vielen Dank, Tim. Das war spannend, insofern, dass wir hier tatsächlich eine ganze Menge gehört haben.

Wir haben ein bisschen die Zeit gerissen, aber das ist gar nicht schlimm. Das heißt nicht, dass wir jetzt aufhören, sondern wir machen trotzdem damit weiter. Ich würde gern als allererstes für die beiden, Tim und Klaus, nochmal die Ergebnisse von den beiden Polls rausziehen, um zu sagen, okay, was kam denn dabei raus? Die erste Frage war ja, was haben die Unternehmen getan, in dem einen, anderthalb Jahren, seit die Ankündigung kam?

Überraschenderweise haben wir es geschafft, 45 Prozent bei keiner der genannten Optionen zu bringen, wo wir natürlich jetzt nicht wissen, was die 45 gemacht haben, aber die anderen 55. Finde ich super. Die haben wahrscheinlich die Antwort gemäßt alle Anwendungen abgeschlossen. Das ist durchaus möglich, aber hier geht es ja darum, wie reagiere ich? Wie habe ich reagiert? Habe ich einen Plan? Habe ich ein Projekt? Das habe ich schon umgesetzt? Das heißt, wir haben eigentlich momentan derzeit 5 Prozent, die tatsächlich schon umsetzen, von 100. Das ist eine Aussage.

Und wir überarbeiten unsere gesamte JRM-Landschaft, waren 14 Prozent. Keine konkreten Maßnahmen und ein Ablöseprojekt ist im Planungsraum 18 und 18 Prozent. Trifft das eure Erfahrungen, Klaus und Tim? Fangen wir mit Klaus an.

Also, hier wird auf einmal ein Fass aufgemacht, für viele Kunden jetzt vielleicht auch getrieben durch die Regularien, ein Fass aufgemacht. So, das hätte ich nicht noch genug zu tun. Was soll ich denn noch alles machen? Ich kann das schon verstehen und dann versucht man das natürlich kurz und knapp zu halten und dann kriegt man von jedem Berater, von jedem Analysten gesagt, nee, nee, nee, du musst schon noch mal da dran denken und da dran denken und da dran denken. Und dann wird natürlich der eine oder andere sagen, das hat ja die ganze Zeit bis jetzt auch funktioniert.

Warum soll ich irgendwas ändern? Lass alles, wie es ist. Und dieses Nichts zu machen, das ist tatsächlich das, was wir momentan häufiger finden, als dass wir tatsächlich in der Competition mit irgendjemandem stehen. Es wird häufig gesagt, oh, das wird mir jetzt alles zu viel, ich lass lieber alles, wie es ist. Ich kann das verstehen, also das ist natürlich viel, was wir da momentan auftun und machen und der eine oder andere wird denken, boah, das ist nicht meine Welt, ja. Aber sie werden nicht drumherum kommen.

Ich meine, die Maschinenbauer in Deutschland sind halt nicht so sehr reguliert wie zum Beispiel die Finanzinstitute in Deutschland oder wie die Banken oder die Versicherer in Deutschland. Die sind natürlich eher dann sowas zu machen, weil sie einfach vom Gesetzgeber getrieben werden. Aber die Maschinenbauer denken sich dann nach, in wie vielen Maschinen verkaufe ich jetzt mehr, wenn ich sowas mache?

Statt der Denkansatz wäre, ich verkaufe jetzt meine eigenen Maschinen und ich darf mich nicht wundern, wenn sie auf einer Messe in China aufbauen, obwohl das ja vielleicht aktuell auch nicht mehr stimmt. Im Zweifelsfall bauen die Chinesen sowieso die besseren Maschinen. Das war jetzt ein bisschen gemein, ich weiß, aber das ist so mein Eindruck in der aktuellen Weltwirtschaftslage. Okay.

Ja, nee, aber auf jeden Fall ein spannendes Statement. Der Tim ist gerade rausgefallen, aber der kommt gleich wieder. Dann lass uns noch schnell auf die anderen Poll gucken. 55 Prozent wollen eine größere Menge bis zur Gesamtmenge ihrer Applikationen anschließen. Das finde ich tatsächlich positiv. Also ich denke, dass... Nicht weil großes Projekt, nicht weil viel Aufwand, sondern weil...

Nein, die Denke ist richtig. Ja, genau. Die Denke ist richtig. So ein Teil lebt von Content und Content kann nur heißen alle. Da wird es sicherlich Ausnahmen geben, aber lieber Ausnahmen machen und nicht sagen, ich gucke mal, wenn ich noch anschließe, sondern erst mal alle und dann ausschließen, was unbedingt sein muss. Aber alles, was ein Stecker hat, kann man heute an IDM-Systemen anschließen. Natürlich außer der Kaffeemaschine, meine Kollegen kennen den Spruch schon. Aber alles, was im Rechenzentrum läuft, kann angeschlossen werden. Da gibt es überhaupt kein Vertun.

Das können alle moderne IDM-Systeme. Natürlich mit unterschiedlichem Aufwand, aber grundsätzlich geht es schon. Genau. Du hattest in den Fragen auch schon geantwortet auf die Frage mit, brauche ich das alles und brauche ich das sofort und brauche ich das jetzt? Du bist auch so ein Stück weit schon während deines Vortrags darauf eingegangen. Aber ich glaube, viele von den Capabilities, man hat ja gar keine Wahl. Also diese Non-Human Identities, die sind da, die gehören gegoverned. Natürlich nicht alles auf einmal.

Ich meine, das ist halt immer, das haben wir früher schon immer gesagt. Man sollte das Big Picture im Kopf haben. Da sollte man vorher mal drüber geredet haben und dann natürlich in kleine Scheibchen machen. Natürlich fange ich an, irgendeine autorative Quelle idealerweise ein HR-System anzuschließen und dann halt eben eine AD oder Entra oder SAP. Natürlich entwickelt sich das Stück für Stück. Das dauert eine Weile sicherlich, bis ich dann auch selber sattelfest bin in der Anwendung und das tun kann. Aber wir versuchen diesen Weg, dieses Wie kann ich denn anschließen?

Wie soll ich qualifizieren? Da haben wir überall KI-Unterstützung drin. Also wir helfen den Menschen, wo es nur geht, diese Dinge schneller und einfacher zu machen, was natürlich auch die ganze Umsatzphase enorm beschleunigt. Also wir fangen genauso bei Pontius und Pilatus an, wie jeder andere auch. Aber es muss möglich sein, dann wird es so sein, ach und ich habe hier noch Agenten. Kein Thema. Wir haben heute Sachen, wo wir die alle mitverwalten können. Das kann man modular aufbauen, das System. Überhaupt keine Frage.

Aber wenn die Plattform dafür nicht da ist, wenn ich also nur eine schlichte Datenbank hintendran habe und die reicht nicht, dann muss ich halt irgendwann sagen, dann bin ich vielleicht in sieben Jahren an die Wand gefahren und sage, ja super und jetzt? Das ist genau der Klassiker, an dem die meisten Ideenprojekte scheitern, weil eben irgendwann mal keine Kohle mehr da ist, irgendwas anzuschließen und dann wird irgendwann mal von der Geschäftsführung hinterfragt, wozu brauchen wir das eigentlich? Macht das eigentlich irgendwas, was uns was bringt? Was ich verstehen kann.

Und dann geht es auch um den Nachweis, was leistet man hier eben tatsächlich? Habe ich KPIs, kann ich was nachweisen? Aber im Zweifelsfall, ja, wie du gesagt hast. Wir hatten noch die eine Frage nach den Laufzeiten, wie realistisch das ist, auch so wie das der Tim vorgestellt hat, der ist jetzt nicht da, aber aus deiner Erfahrung zu Projektlaufzeiten, wenn man so einen, nennen wir mal diesen mittleren Scope an, mit 50 Applikationen in einem mittelgroßen Unternehmen, da wurde dann gefragt, was kann ich denn tatsächlich bis Ende 2027 erreichen, wenn das Ding aus der Wartung läuft?

Was kann ich in der Zeit schaffen? Das wäre so deine Antwort auf die Frage. Da gibt es eigentlich überhaupt keine allgemein billige Antwort dazu.

Ich meine, ich kann eigentlich nur hoffen, dass dann der Kunde, der sich jetzt einen guten Berater aussucht, dass das halt auch wirklich ein guter Berater ist, er soll ihm gut zuhören, sicherlich muss man hinterfragen dabei. Es gibt Berater, wie soll ich das sagen, die haben halt nur einen Hammer und dann ist halt alles, was kommt, ein Nagel.

Es wäre halt schon schön, wenn man jemanden hätte mit dem Werkzeug setzt, der sagt, ja, da nehmen wir einen Schraubenzieher, da nehmen wir eine Zange, da nehmen wir einen Hammer und da brauche ich eine Rohrzange, wie auch immer, oder da nur einen Lötkolben, die einfach verstehen, dass man da unterschiedlich drangehen muss. Und natürlich hat so ein Ding eine Laufzeit. Das ist ein bisschen wie eine Modelleisenbahn. So richtig fertig wird das wahrscheinlich nie.

Aber ich kann natürlich schon sehr schnell Fortschritte machen, wo ich sage, ich habe meine wichtigsten Anwendungen angebunden und wie gesagt, das große Bild muss da sein, dass ich weiß, hier kommen Maschinitäten dazu, hier kommen Agents hinzu. Wie kann ich die auffangen? Was kann ich damit tun? Was will ich automatisieren? Was macht Sinn bei mir? Nicht alles, was technisch machbar ist, ist sinnvoll. Das muss man einfach im Kopf halten dabei, um dann zu sagen, okay, so will ich das Stück für Stück umsetzen, aber dann auch dabei bleiben.

Sicherlich anpassen, wenn neue Technologien kommen, aber grundsätzlich immer wieder überprüfen, kann das meine Plattform? Und da wird es, wenn ich da heute gucke, was die Plattformen, die es auf dem Markt gibt, aufgebaut sind und aufgestellt sind, ich meine, was soll ich sagen? Da kann jeder selber hingucken, aber ohne Cloud wird es nicht gehen. Und ein On-Prem-Produkt in die Cloud zu stellen, da ein Schleifchen drum zu machen, tut mir leid, das ist das Verschieben von den On-Prem-Problemen in die Cloud, das wird nicht besser. Muss jeder für sich selbst beurteilen.

Tim, ich weiß nicht, wie viel du jetzt schon mitbekommen hast, ich hatte es gerade nicht zerlegt, aber von deiner Wahrnehmung her, da kam ja die Frage nach den Laufzeiten und du hast auch gelobt, dass jemand dann eine relativ schnelle Projektlaufzeit hinbekommen kann.

Bevor ich nach deiner Einschätzung frage, ganz kurz, wir werden am Ende jetzt noch eine Poll haben, wo es um den Inhalt dieses Webinars geht, möchte ich natürlich allen Teilnehmern noch ans Herz legen, dass die beantwortet wird, aber jetzt Tim, deine Einschätzung, Laufzeiten, wie gut muss man vorbereitet sein, um das zu schaffen? Man muss auf jeden Fall gut vorbereitet sein, das ist vollkommen klar.

Ich hatte die Frage im Chat auch beantwortet, man kann den rein technischen Migrationsaufwand, den kann man relativ gut straffen, weil die Frage nach der Laufzeit ist eigentlich immer eher, zu welchem Zeitpunkt ist das fertig. Wenn ich das gut vorbereitet habe, dann kann ich das parallelisieren. Ich habe auch, der Klaus hatte ja das Savvy angesprochen, das wachsen momentan auch Werkzeuge und auch diese ganzen Agent-DGIs, die können mir ja auch dabei helfen, unter Umstritten den Migrationsaufwand zu reduzieren.

Das heißt, den rein technischen Aufwand, das kann ich, wenn ich mich gut vorbereite, auch in einem Jahr, in 3,5 Jahren hinbekommen. Die Vorarbeiten, in welche Richtung möchte ich denn eigentlich grundsätzlich gehen, zu diesem Nordstern zu finden. Das ist ganz wichtig, was der Klaus gerade gesagt hat. Ich muss dann auch dabei bleiben. Und wie schaffe ich das denn, die Alternative immer schneller zu finden? Wie schaffe ich es denn, bei diesem Grundsatzziel zu bleiben? Habe ich ein Grundsatzziel gefunden, was sich auch lohnt, über die nächsten 15 Jahre zu verfolgen?

Das kann sehr, sehr, sehr lange dauern. Okay, danke. Wir haben jetzt schon überzogen, aber wir dürfen das. Das ist insofern kein Thema. Letzte Frage, die würde ich jetzt gerne nochmal an euch beide rumreichen, um zu sagen, für diejenigen, die geantwortet haben, dass sie eigentlich momentan noch keine konkreten Maßnahmen ergriffen haben, aber den Markt aufmerksam beobachten. Wahrscheinlich sind Sie auch deshalb heute hier, bei diesem Webinar mit dabei, um zu sehen, was wird denn so getan? Wie sieht es in der Praxis, wie sieht es im Tooling aus?

Das ist diese klassische Frage vom Analysten am Ende von so einem Ding. Was wäre eure erste Empfehlung, was sollten die aus eurer Sicht jetzt tun? Also erste Aktion, wenn Sie sich auflegen bei diesem Troll jetzt hier, was sollte man tun, um den ersten Schritt zu gehen, Richtung den richtigen Schritt? Ich fange mit Tim an.

Ja, Schritt eins, überlegt euch, ob ihr euch wirklich den, was Markt angucken bedeutet. Guckt ihr euch den Markt an, weil ihr euch nach einer Folgelösung aus umlegt oder guckt ihr euch den Markt an, weil ihr euch überlegt, wer ist in der Lage, meine IT auch in Zukunft zu steuern? Die Kriterien sind ein bisschen andere. Gucke ich nach dem IDM Scope oder gucke ich quasi an, wer kann auch die IT der Zukunft?

Da gab es, glaube ich, auch mal die ein oder andere Keynote dazu, wie das wahrscheinlich aussieht. Denkt über die IT der Zukunft nach und nicht nur über den Initial Move.

Okay, final last words, Klaus? Es gab hier gerade eine Frage, ob der Joining Move, der Lever, nicht mehr im Fokus von Seenpoint stehen würde.

Es ist so, als würden Sie den Autowerksteller fragen, habt ihr keine Motoren mehr? Selbstverständlich, aber es ist halt so Usus geworden.

Ich meine, ein IDM System, das keinen Joining Move Prozess hat, wie weit ist das wohl kommen? Da müssen wir darüber reden. Der Automatismus dahinter, wie die Prozesse damit verbunden sind, das ist entscheidend. Selbstverständlich können wir das, überhaupt kein Thema. Aber die Gefahr besteht natürlich, wenn man über ganz neue Sachen redet, dass man dann auf einmal glaubt, das wollen die gar nicht mehr. Wir haben diese Post-IDM-Ära und damit muss man sich einfach auseinandersetzen, was kommt in der nächsten Zukunft?

Das hat keinen Sinn, zurückzugucken und zu sagen, so ein Joining Move, das könnten wir auch mal machen. Das ist dann ganz schnell sinnlos ausgegebenes Geld. Also nicht sinnlos, natürlich ist ein Joining Move lieber wichtig, nicht falsch verstehen. Aber wenn da dann Feierabend ist, oder es geht nur mit Updates weiter, weil ich dann die ganze Software wieder ändern muss, habe ich das falsch umgesetzt.

Okay, super. Vielen Dank. Wir sind über die Zeit. Ich glaube, wir haben echt viel Content transportiert. Feedback war ganz gut, freut mich total.

Tim, Klaus, danke für die Teilnahme heute hier. Wenn es Fragen gibt an den Klaus, an den Tim, an den Matthias, einfach uns anschreiben, wir antworten, das tun wir tatsächlich. Ich würde mich darauf freuen, wieder ein nächstes Webinar mit euch zusammen zu machen. Bis dahin. Vielen Dank für die Zeit, vielen Dank für die Teilnahme, danke an die Zuhörer. Bis dahin. Tschüss.