Was ist On-Premise-CRM? Was es wirklich heißt, Daten im Haus zu halten

Beispielszenario: Stellen Sie sich einen Textilhersteller in Bursa vor. Die Richtlinie der Gruppe verlangt, dass Kunden- und Auftragsdaten die Infrastruktur des Unternehmens nicht verlassen. Das Vertriebsteam braucht ein CRM, aber die IT genehmigt die vorgeschlagene Cloud-Lösung nicht. Die Diskussion hängt nicht an der Software selbst fest, sondern daran, wo sie läuft.

Dann bleiben dem Unternehmen zwei Wege: auf das CRM verzichten oder es in der eigenen Infrastruktur betreiben. On-Premise ist der Name des zweiten Wegs. Es gibt auch gemischte Installationen; die Anwendung kann an einem Ort laufen, die Dateien an einem anderen. Dann wird die Frage „Ist es On-Premise?“ Schicht für Schicht beantwortet.

Für Nutzer ist der Unterschied oft unsichtbar: Der Verkäufer meldet sich weiter im Browser oder am Telefon an und öffnet dieselbe Kundenkarte. Der Unterschied liegt hinter dem Bildschirm. Wem gehört der Server, wem die Festplatte, wer macht die Sicherung, wer spielt Updates ein? On-Premise holt die Antworten auf diese Fragen ins Unternehmen.

Daten liegen nicht an einem einzigen Ort. Es gibt die Datenbank mit den Kundendatensätzen, die Vertrags- und Angebotsdateien und die Sicherungen von beidem. „Unsere Daten sind im Haus“ heißt, dass alle drei Schichten unter der Kontrolle des Unternehmens stehen. Es gibt auch Installationen, bei denen die Datenbank auf Ihrem eigenen Server liegt, die Sicherung aber an einen anderen Ort geht; deshalb muss die Frage für jede Schicht einzeln gestellt werden.

Dass die Daten im Unternehmen bleiben, bedeutet für sich allein auch noch keine Sicherheit. Der Serverraum kann verschlossen sein, doch wenn sich alle mit demselben Administratorkonto anmelden, bleibt unklar, wer was gesehen hat.

Eine weitere Frage muss gestellt werden: Können die Daten den Server verlassen? Kann ein Nutzer die Kundenliste exportieren und an seine private E-Mail-Adresse schicken, schützt der Standort des Servers allein nicht. Auch Exporte und Downloads müssen protokolliert werden.

Eine Antwort sollte auch aus dem Vertrag hervorgehen: Wenn sich das Support-Team aus der Ferne mit Ihrem Server verbindet, wann und mit wessen Zustimmung wird diese Verbindung geöffnet, und wird sie protokolliert?

• Die Richtlinie der Unternehmensgruppe erlaubt nicht, dass Daten das Unternehmen verlassen.
• Der Vertrag einer Behörde oder eines großen Kunden legt fest, wo die Daten gespeichert werden müssen.
• Das Unternehmen hat bereits einen Serverraum und ein IT-Team, das ihn betreibt.
• Kundendaten sollen im selben internen Netz bleiben wie andere Systeme.

On-Premise ist auch nicht für jeden die richtige Wahl. Für ein kleines Unternehmen ohne IT-Team sind Wartung, Strom und Sicherung des Servers eine zusätzliche Last; für ein solches Unternehmen bedeutet die Cloud-Variante meist weniger Arbeit. Die Entscheidung sollte nicht aus Gewohnheit fallen; sie sollte von Richtlinien und Kapazität ausgehen.

Legen Sie bei der Entscheidung diese Frage auf den Tisch: Wenn dieser Server eines Nachts stehen bleibt, wer bringt ihn morgens wieder hoch? Ist die Antwort ein einziger Name und kann niemand diese Person vertreten, ist die On-Premise-Entscheidung unvollständig.

Beim eigenen Server gibt es eine häufige Falle: Die Software wird installiert, und danach aktualisiert sie niemand. Die Version veraltet, Sicherheitspatches stauen sich, und am Ende öffnet sich die Software auf einem neuen Telefon nicht mehr. Dieser Unterschied zwischen Cloud und On-Premise wird oft übersehen; in der Cloud sind Updates Sache des Anbieters, auf dem eigenen Server muss jemand diese Aufgabe übernehmen.

Das Corex360-Team spielt Updates nach einem gemeinsam mit Ihnen festgelegten Plan ein, und die Versionshinweise werden offen auf der Seite Neuigkeiten veröffentlicht. Der Plan ist Teil des Vertrags für die CRM-Installation auf dem eigenen Server.

Die Punkte, auf die man im Installationsvertrag achten sollte, sind klar: wer den Server vorbereitet, nach welchem Plan Updates eingespielt werden, wohin die Sicherung geht, wie eine Wiederherstellung getestet wird und an wen man sich bei Problemen wendet. Stehen diese Punkte nicht schriftlich fest, wird aus der Option eigener Server mit der Zeit ein Server, für den sich niemand zuständig fühlt.

Beispielszenario: Denken Sie an den Server eines Vertriebsunternehmens: Das Backup geht auf eine externe Festplatte im selben Schrank. Läuft der Schrank voll Wasser, ist beides weg. Oder das Konto eines ausgeschiedenen Mitarbeiters wurde nie gesperrt, und niemand hat es bemerkt. In beiden Fällen sind die Daten im Haus; in beiden Fällen fehlt der Schutz.

Sicherheit hat auch eine Seite der Kontinuität. Eine Sicherung anzulegen reicht nicht; die Wiederherstellung muss getestet werden. Eine nie getestete Sicherung funktioniert bei einem echten Ausfall womöglich nicht wie erwartet.

Auch auf Ihrem eigenen Server arbeitet Corex360 mit derselben Sicherheitsschicht wie in der Corex360 Cloud: Anmeldung, Gerät, Download und Rechteänderung werden protokolliert, der Zugriff ist rollenbasiert; auf dem eigenen Server bestimmen Sie den Ort der Sicherung. Ein ungewöhnliches Ereignis wird dem Kontoinhaber sofort gemeldet. Die ganze Schicht steht Punkt für Punkt auf der Sicherheitsseite von Corex360.

Der Wert eines Zugriffsprotokolls hängt davon ab, wer es liest. Wird es geführt, aber nie angesehen, fällt ein ungewöhnlicher Download erst auf, wenn es zu spät ist. Deshalb braucht es neben dem Protokoll auch ein Benachrichtigungsverfahren.

Die Hosting-Entscheidung wird im Corex360-Vertrag festgehalten. Wird später ein Wechsel des Hostings gewünscht, wird das im Vertragsgespräch behandelt.

In der Demo stellen wir beide Optionen nebeneinander, gemessen an Ihrer eigenen Unternehmensrichtlinie. Für die Nutzer ist zwischen beiden Optionen kein Unterschied sichtbar: dieselbe Kundenkarte, dieselben Regeln, derselbe Morgenbericht. Was die Wahl des Hostings aus Sicht der KVKK (türkisches Datenschutzgesetz, vergleichbar mit der DSGVO) bedeutet, haben wir im Beitrag zu Cloud und eigenem Server nach KVKK anhand der Begriffe Verantwortlicher und Auftragsverarbeiter behandelt.