Kernaussage: In Europa wird die Debatte über Lizenz- und digitales Asset-Management seit Langem von Daten großer Konzerne dominiert. Doch unter Druck stehen tatsächlich kleine und mittlere Organisationen — einschließlich Vereinen, Stiftungen und sozialer Einrichtungen —, die eine wachsende Zahl von Systemen verwalten, einen erheblichen Teil ihrer Softwareausgaben verlieren und einem Sicherheitsrisiko ausgesetzt sind, das ihre Existenz bedrohen kann. Für ihre Entscheidungsträger sind Kostenkontrolle und der Schutz der Organisation zwei Seiten desselben Problems.
Softwareausgaben: kleine Organisationen, große Rechnungen
Ein kleines europäisches Unternehmen mit weniger als 100 Mitarbeitenden betreibt durchschnittlich 182 SaaS-Tools und gibt rund 350.000 Euro pro Jahr dafür aus. Organisationen mit 200 bis 350 Mitarbeitenden kommen auf 273 Tools und rund 900.000 Euro; solche mit 350 bis 500 Mitarbeitenden auf 295 Tools und rund 2,2 Millionen Euro (Décision Achats). Mit anderen Worten: Selbst „kleine" Organisationen weisen eine Software-Komplexität und -Kostenhöhe auf, die die Intuition der meisten Führungsebenen bei Weitem übersteigt.
Noch besorgniserregender ist die Preisspanne. Die Analyse von Spendesk auf Basis von 2.568 europäischen Unternehmen zeigt, dass das Verhältnis zwischen dem Pro-Sitz-Preis, den das am besten gemanagte Unternehmen zahlt, und dem des Medianunternehmens reichen kann bis: Figma 3,4:1, Slack 3,7:1, HubSpot 4,4:1, Atlassian 8,3:1 und Notion 9:1. Allein durch das Schließen dieser Preisspanne zahlen EU-Unternehmen mit 50 bis 250 Mitarbeitenden jährlich 7 Milliarden Euro zu viel; durch die Beseitigung von Doppelkäufen ließen sich weitere 3 Milliarden einsparen. Insgesamt nähert sich das Optimierungspotenzial beim Softwareeinkauf von KMU 10 Milliarden Euro.
Im Bereich der KI-Tools ist das Problem noch schärfer: 72% der Unternehmen, die diese Produkte kaufen, zahlen gleichzeitig für mindestens zwei konkurrierende Lösungen. Die mediane monatliche Schwankung der KI-Rechnungen kann 61% erreichen, und der höchste Monat kann bis zu achtmal so hoch sein wie der niedrigste. Für eine kleine Organisation mit knappem Budget bedroht diese Unvorhersehbarkeit unmittelbar die Budgetplanung.
Sicherheit: ein asymmetrischer Preis
Kostenverschwendung ist ein langsames Bluten; ein Sicherheitsvorfall ist ein Schlag, der tödlich sein kann.
Spanische Daten bieten eine konkrete Perspektive: 46% der spanischen KMU investieren weniger als 500 Euro pro Jahr in Cybersicherheit, und nur 7% überschreiten 2.000 Euro (Studie von Gigas und Ipsos). Gleichzeitig geben 78% der Unternehmen an, über eine Form von Schutz zu verfügen, jedoch überwiegend auf grundlegendem Niveau. Dieser Zustand von „hohem Bewusstsein, niedriger Investition" ist genau das typischste Risikoprofil kleiner Organisationen.
Auch die Daten auf europäischer Ebene sind nicht ermutigender. Eine Mastercard-Umfrage unter 1.800 europäischen KMU zeigt, dass eines von vier Unternehmen bereits einen Cyberangriff erlitten hat und derselbe Anteil befürchtet, dass ein erfolgreicher Angriff sie zur Schließung zwingen würde. In Deutschland haben 40,3% der KMU in den vergangenen drei Jahren einen Cybersicherheitsvorfall erlebt (GlobalData).
Diese Zahlen müssen im Kontext von Ressourcenbeschränkungen gelesen werden. Spanische mittelständische Unternehmen weisen nur 4% ihres IT-Budgets der Cybersicherheit zu (Cylum), und 60% der IT-Verantwortlichen beschreiben ihre eigene Sicherheitsreife als „anfänglich": grundlegende Maßnahmen, aber keine formalen Prozesse. Das Problem ist nicht, dass die Existenz des Risikos unbekannt wäre, sondern dass die Ressourcen und Methoden fehlen, um dieses Wissen in Handeln umzusetzen.
Handlung: drei sofort umsetzbare Schritte
Erstens: einen Preisvergleich für dieselbe Software durchführen. Es ist keine Plattformanschaffung erforderlich. Identifizieren Sie die fünf bis zehn pro Sitz abgerechneten Tools mit den höchsten Ausgaben in der Organisation und vergleichen Sie sie mit öffentlichen Marktpreisen oder dem, was vergleichbare Organisationen zahlen. Die Daten von Spendesk zeigen, dass allein dieser Schritt die offensichtlichsten Aufschläge offenlegt: Die Preisunterschiede bei Atlassian und Notion erreichen das 8,3- bzw. 9-Fache. Bei KI-Tools sollte vorrangig geprüft werden, ob zwei oder mehr kostenpflichtige Produkte mit überlappenden Funktionen existieren — was bei 72% der Unternehmen der Fall ist.
Zweitens: den Offboarding-Prozess mit der Zugriffsrückgewinnung in einer einzigen Checkliste verknüpfen. Ob Mitarbeitende, Freiwillige oder temporäre Kräfte: Ihr Ausscheiden aus der Organisation muss auslösen: welche SaaS-Konten deaktiviert, welche gemeinsamen Zugangsdaten geändert und welche KI-Tool-Berechtigungen entzogen werden. Eine einfache, an den HR-Prozess gebundene Checkliste erfordert keine technologische Investition und schließt dennoch die häufigste Angriffsfläche. Wenn fast die Hälfte der spanischen KMU weniger als 500 Euro pro Jahr in Sicherheit investiert, ist die Prozesskontrolle die Verteidigungslinie mit dem besten Kosten-Nutzen-Verhältnis.
Drittens: eine separate Budgetposition für Sicherheitsausgaben schaffen. Spanische mittelständische Unternehmen weisen nur 4% ihres IT-Budgets der Cybersicherheit zu. Ohne eine eigene Budgetlinie lässt sich weder der Return messen noch die Notwendigkeit von Sicherheitsinvestitionen gegenüber einem Vorstand oder einem Förderer begründen. Auch wenn der Betrag klein ist: Ihn separat auszuweisen, ist selbst ein Akt der Governance — er verwandelt „Sicherheit" von einem diffusen Anliegen in eine Entscheidung, die geprüft und eingefordert werden kann.