Das hier ist der hundertste Beitrag auf diesem Blog. Ein runder Anlass, für einmal nicht ein einzelnes Thema aufzuarbeiten, sondern zurückzublicken. Was haben wir über KMU-IT in Deutschland gelernt, seit wir angefangen haben? Was hat sich verändert? Was ist gleich geblieben?
Sieben Beobachtungen aus 100 Beiträgen, geordnet von der beruhigendsten bis zur unbequemsten. Sie gelten für Bäckereien, Anwaltskanzleien, Steuerberatungen, Maschinenbauer, Schreinereien und Handwerksbetriebe gleichermaßen. Sie unterscheiden sich nur in Nuancen.
1. Die technischen Themen wechseln. Die menschlichen Probleme bleiben.
Vor drei Jahren haben wir über Ransomware geschrieben. Heute über KI-Halluzinationen. Vor zwei Jahren über Cloud-Migration. Heute über hybride Cloud. Die Werkzeuge ändern sich schneller, als wir sie in Artikeln beschreiben können.
Was sich nicht ändert: Die Fragen der Geschäftsführerinnen sind immer dieselben. „Brauche ich das wirklich?“ „Was kostet das?“ „Wer kümmert sich, wenn niemand da ist?“ „Was passiert, wenn ich falsch entscheide?“ Diese vier Fragen erklären 90 Prozent unserer Beratungsgespräche.
2. Der Mittelstand unterschätzt sich – und überschätzt sich zugleich.
Über 90 Prozent der deutschen KMU halten ihre IT-Sicherheit für gut. Gleichzeitig erfüllen sie im Schnitt nur 56 Prozent der Basisanforderungen. Diese Diskrepanz haben wir in fast jedem Beitrag zu Security, NIS-2 und Cyber-Versicherung wiedergefunden.
Gleichzeitig unterschätzt der Mittelstand, was er längst leistet. Wer bereits Microsoft 365 sauber konfiguriert hat, hat einen erheblichen Teil der DSGVO-Nachweise gleich mitgeliefert. Wer eine Backup-Strategie fährt und regelmäßig testet, ist schon vor der Hälfte der Ransomware-Vorfälle geschützt. Die einfachen Dinge, sauber gemacht, wirken erstaunlich gut.
3. Compliance ist 2026 kein Randthema mehr.
DSGVO, NIS-2, EU AI Act, Cyber Resilience Act, E-Rechnungspflicht, Recht auf Reparatur, ISO 27001. Die Liste wird länger, nicht kürzer. Was 2022 noch als „Konzernthema“ abgetan wurde, ist heute Voraussetzung für Cyber-Versicherung, Ausschreibungen und teils sogar Kundenbeziehungen.
Die gute Nachricht: Die Anforderungen überschneiden sich stärker, als es scheint. Wer NIS-2 sauber adressiert, hat 70 Prozent des CRA und 60 Prozent der Cyber-Versicherungs-Anforderungen ohnehin erledigt. Eine gute IT-Compliance ist kein Regal voller Aktenordner, sondern ein Betriebssystem für wiederkehrende Fragen.
4. KI im KMU ist 2026 nicht mehr Vision. Sie ist Realität. Meistens ohne Regeln.
Wir haben viele Beiträge zu KI geschrieben. Der wichtigste Befund: Die Mitarbeitenden nutzen KI längst. Mit oder ohne Erlaubnis. Ohne AI-Governance – also klare Regeln, welche Tools erlaubt sind, welche Daten reingeholt werden dürfen und wie mit Halluzinationen umgegangen wird – wird jede KI-Einführung zur Datenschutz-Falle.
Die zweite Erkenntnis: Die richtige Einführung ist wichtiger als die Modellauswahl. Wer ChatGPT, Copilot oder Claude ohne Konzept einsetzt, produziert schnelle Effekte und langsame Risiken. Wer mit einer klaren Richtlinie startet, hat den Aufwand vorne und die Ruhe hinten.
5. Managed Services sind der Hebel, den der Mittelstand am meisten unterschätzt.
Die Rechnung ist einfach: Bei 20 bis 100 Arbeitsplätzen sind Managed Services in unserer Erfahrung zwischen 25 und 45 Prozent günstiger als reine Inhouse-IT – bei gleichzeitig höherer Verfügbarkeit. Trotzdem entscheiden sich viele KMU für Halbtags-IT oder gar niemanden.
Wir haben in mehreren Beiträgen erklärt, worin der Unterschied zu klassischem Outsourcing liegt – und dass Managed Services nicht bedeuten, die Kontrolle abzugeben. Trotzdem hält sich das Missverständnis. Wenn wir eine Beobachtung zum 100. Beitrag herausheben würden, wäre es diese: Die Kombination aus eigener Steuerung und externem Betrieb ist der wichtigste Hebel für IT-Qualität im Mittelstand.
6. Die menschliche Seite ist immer wichtiger, als Technikartikel vermuten lassen.
Wir schreiben viel über Werkzeuge. Was in fast jedem Projekt tatsächlich den Unterschied macht, ist aber die Kommunikation. Wer der Buchhalterin sagt, KI ersetze sie, erntet Widerstand. Wer sagt, KI nehme ihr die Sortier-Routine ab, erntet Interesse. Wer den Server-Schrank aufräumt, weil er endlich aufgeräumt werden muss, macht ihn im nächsten Jahr wieder unaufgeräumt. Wer eine Person benennt, die ihn pflegt, hat einen dauerhaften Effekt.
IT ist nie nur IT. Sie ist immer auch Führung, Arbeitsteilung und Vertrauen.
7. Die nächsten 100 Beiträge werden anders sein.
KI-Agenten werden konkreter, nicht abstrakter. Sicherheit wird zu MDR statt zu Antivirus. Managed Services werden vom Bonus zur Standard-Antwort. Datensouveränität wird zur Verhandlungssache mit den Anbietern, nicht mehr zum Trend-Thema. Und die menschlichen Grundfragen – „Was kostet das?“, „Wer kümmert sich?“ – werden gleich bleiben.
Wir schreiben weiter. Jeden Montag mit einem Augenzwinkern. Jeden Mittwoch mit einer HW/SW-News-Meldung, die für den Mittelstand relevant ist. Jeden Freitag mit einem AI- oder Managed-Services-Thema, das sich ehrlich einordnen lässt.
Danke fürs Lesen
Vielen Dank an alle, die uns über die 100 Beiträge begleitet haben. An Kundinnen, Mandanten, Rotary-Kontakte, kritische E-Mail-Schreiber, die Zwischenfragen stellen, und an alle, die aus den Beiträgen zurückgemeldet haben, was funktioniert und was nicht.
Wenn Sie ein Thema haben, das wir angehen sollten, sprechen Sie uns an. Wenn Sie [Managed Services](https://bavaria-informatics.com/services/#managed-services) oder eine AI-Governance für Ihren Betrieb prüfen möchten, ebenfalls. Erstgespräche bleiben kostenfrei und ohne Fachchinesisch. Auch nach dem 100. Beitrag.
