IT-Dienstleister für Frankfurt

Wer in Frankfurt einen Entwicklungspartner sucht, bekommt Nähe als Argument angeboten. Unser Sitz ist St. Leon-Rot zwischen Heidelberg und Karlsruhe, die Verbindung nach Frankfurt führt über die A5, und das ist das schwächste Argument dieser Seite. Softwareentwicklung läuft im Alltag schriftlich und remote: Anforderungen im Ticketsystem, Entscheidungen im Protokoll, alle zwei Wochen ein Zwischenstand zum Anfassen. Ein Entwicklungspartner drei Straßen weiter arbeitet mit denselben Werkzeugen wie einer aus dem Rhein-Neckar-Raum.

Es gibt Termine, an denen Anwesenheit den Unterschied macht. Die Prozessanalyse zu Beginn gehört dazu: Wer sehen will, wie ein Sachbearbeiter das Altsystem wirklich bedient und welche Excel-Datei daneben offen liegt, muss neben ihm sitzen. Ebenso die Abnahme vor dem Go-live und die Schulung der Anwender. Für diese Termine kommen wir nach Frankfurt. Für den Rest wäre die Fahrt Zeit, die keiner Ihrer Anforderungen zugutekommt.

Wenn die Muttergesellschaft ihre Lieferantenprüfung startet, wiederholen sich die Punkte über alle Konzerne hinweg. Gefragt wird nach:

• Standort der Rechenzentren und Rechtsraum der Datenverarbeitung
• Namentlich benannte Personen mit Zugriff auf Produktivdaten, nicht nur Rollenbezeichnungen
• Die vollständige Unterauftragnehmerkette einschließlich Cloud-Diensten
• Löschkonzept mit Fristen je Datenkategorie
• Zwei-Faktor-Authentifizierung und Protokollierung privilegierter Zugriffe
• Wiederanlaufzeit nach einem Ausfall und wann sie zuletzt getestet wurde
• Ausstiegsszenario: Was passiert mit Code, Daten und Betrieb bei Vertragsende

Zwei Antworten entscheiden meist über den Rest. Die Unterauftragnehmerkette ist bei uns kurz, weil festangestellte Entwickler in Deutschland arbeiten und wir weder Offshoring noch Freelancer-Ketten einsetzen. Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt Anlage zu den technischen und organisatorischen Maßnahmen bekommen Sie vor der Angebotsunterschrift. Fällt Ihr Haus unter DORA, Verordnung (EU) 2022/2554, brauchen Sie zusätzlich Angaben für das Informationsregister zu IKT-Drittdienstleistern sowie Kündigungs- und Ausstiegsklauseln nach Art. 30.

Wir sind nicht nach ISO 27001 zertifiziert. Führt Ihre Konzern-Compliance ein Zertifikat als Ausschlusskriterium, sagen wir das im ersten Gespräch. Im laufenden Vergabeverfahren aufzufallen kostet beide Seiten mehr.

• Auftragsverarbeitung, Hosting und Zugriffsregeln im Detail

Ein prüffähiges Protokoll hält vier Dinge fest: wer, wann, welches fachliche Ereignis, mit welchem Wert vorher und nachher. Ein Datenbank-Trigger, der Tabellenzeilen mitschreibt, erfüllt das nicht, weil niemand aus einer UPDATE-Zeile rekonstruiert, dass ein Limit freigegeben oder ein Vertrag storniert wurde. Wir modellieren die protokollpflichtigen Vorgänge im Feinkonzept gemeinsam mit Ihrer Revision und trennen das fachliche Änderungsprotokoll vom technischen Zugriffslog. Das Protokoll wird nur angehängt und ist für Anwendungskonten nicht änderbar; Aufbewahrungsfristen setzen wir je Datenkategorie, damit Löschpflichten und Nachweispflichten sich nicht widersprechen.

Die Grenze davon: Vollständige Protokollierung kostet Speicher und bei schreibintensiven Vorgängen auch Antwortzeit. Ein Log, das im Betrieb niemand auswertet, belegt im Prüfungsfall vor allem, dass niemand hingesehen hat. Wir richten deshalb Auswertungen auf wenige Ereignisse ein, die tatsächlich jemand liest.

Die Nutzungsrechte am erstellten Code gehen ab Tag eins auf Sie über, ausschließlich und zeitlich unbegrenzt. Das Repository liegt bei Ihnen oder wird Ihnen samt Historie übergeben, dazu die Build- und Deployment-Anleitung in einer Form, mit der ein fremdes Team das System aufsetzen kann. Betrieb und Datenhaltung laufen in Deutschland oder der EU.

Was wir Ihnen nicht übertragen können, sind die Rechte an eingesetzten Open-Source-Bibliotheken. Die bleiben bei ihren Urhebern und gelten unter ihren jeweiligen Lizenzen. Wir führen sie mit Version und Lizenztext in einer Liste, die Ihre Rechtsabteilung vor dem Go-live prüfen kann, und verzichten in Projekten mit Weitergabe an Dritte auf Copyleft-Lizenzen, sofern Sie das verlangen.

Wir arbeiten in fünf Phasen: Analyse und Feinkonzept über ein bis drei Wochen, Entwicklung in Zwei-Wochen-Takten über sechs bis zwanzig Wochen, Datenmigration und Tests über zwei bis vier Wochen, Go-live und Schulung über ein bis zwei Wochen, danach laufende Betreuung. In regulierten Umgebungen verschiebt sich der Schwerpunkt nach vorn: Freigaben aus Informationssicherheit, Datenschutz und Betriebsrat sind der häufigste Grund, warum Phase eins länger dauert als geplant. Beteiligen Sie diese Stellen früh.

Wie prüfbar eine Migration verläuft, entscheidet sich an den Zahlen davor und danach. Für mexxenergie, einen Energiedienstleister in Baden-Württemberg, haben wir eine mandantenfähige Plattform mit vier Fachmodulen gebaut und im laufenden Betrieb migriert. Vor und nach jedem Lauf standen Abgleichszahlen, an denen sich zeigen ließ, ob die Bestände vollständig übernommen wurden.

• mexxenergie: Plattform und Migration im Detail

Für den Betrieb nach dem Go-live rechnen Sie mit 12 bis 18 Prozent der Projektsumme pro Jahr. Darin stecken Sicherheitsaktualisierungen, Weiterentwicklung und ein benannter Ansprechpartner, der das System kennt.

Setzen Sie Freelancer oder Offshore-Teams ein?

Nein. Die Entwicklung machen festangestellte Mitarbeiter in Deutschland. Im Fragebogen ist das die Antwort, die Ihre Lieferantenprüfung am schnellsten passieren lässt. Im Projekt ist es der Grund, warum derselbe Entwickler nach dem Go-live noch erreichbar ist.

Füllen Sie unseren Sicherheitsfragebogen aus?

Ja, im Konzernformat und vor Angebotsabgabe, wenn Sie ihn uns vorher schicken. Punkte, die wir nicht erfüllen, markieren wir als nicht erfüllt und schreiben dazu, was wir stattdessen tun.

Wer ist unser Ansprechpartner?

Eine namentlich benannte Person, die auch nach dem Go-live erreichbar bleibt. Die Leitung der Entwicklung liegt bei Daniel Klotzek, Geschäftsführer ist Vitali Sakun.

Können Sie in unserer bestehenden Konzern-Cloud entwickeln?

Meist ja. Vorgaben Ihrer Konzern-IT zu Zielplattform, Netzzonen und Deployment-Wegen nehmen wir im Feinkonzept auf. Fehlt uns dort ein Zugang, den nur Ihre interne IT vergeben kann, wird das zum Terminrisiko, und wir benennen es im Plan als solches.

Schicken Sie uns die Anforderung und, falls vorhanden, den Fragebogen Ihrer Konzern-Compliance. Sie bekommen eine Einschätzung, welche Punkte wir erfüllen und welche nicht, bevor Sie Zeit in ein Angebot investieren.

• Individualsoftware
• Vertrauen und Sicherheit
• Altsysteme ablösen
• Ablauf und Kosten