Betriebsinformatik-Projekt — ITIL und die IT-Wirklichkeit

Prof. Dr. Thorsten Spitta – Dipl.-Inform. Meik Teßmer Universität Bielefeld Fakultät für Wirtschaftswissenschaften Angewandte Informatik Wintersemester 2007/2008

Vorwort
ITIL (IT Infrastructure Library) ist ein de facto-Standard für das IT Service Management. Er wurde gegen Ende der 1980er Jahre in England entwickelt und hat sich seitdem ständig weiterentwickelt. ITIL definiert verschiedene Rollen und Funktionen, die helfen sollen, die IT-Infrastruktur effizient einzusetzen, Dienstleistungen anzubieten und zu verbessern sowie eine hohe Service-Qualität zu gewährleisten. Im Rahmen dieses BI-Projekts sollen die verschiedenen ITIL Service ManagementFunktionen betrachtet werden sowie eine mögliche Anwendung des Standards in der lokalen IT. Auch Gründe, die gegen einen Einsatz von ITIL sprechen, sollen untersucht werden. Die Teilnehmer waren: Carolin Ahlert, Michael Bochenek, Björn Borgmeier, Sonja Bozionek, Linda Gerstenberger, Tim Kattner, Andre Kröger, Julius Kuhljürgen, Kathrin Stegmann, Julia-Vanessa Stork, Christian Teicher, Christopher Uhrig.

Bielefeld, im März 2008 Prof. Dr. Thorsten Spitta Dipl.-Inform. Meik Teßmer

3

4 .

. . . . . . . . . . . . . . . . . . . . . . .5 Fazit . .3 Struktur . . . . . 2. . . . . . . . . . . . . . 2. . . . . . 3. . . . . . . . . . .2 Fakultät für Rechtswissenschaft .5 Planung und Implementierung des Service Managements 2. . . . . . . 1. . . .5 Release Management . . . . . . . . . . . . . . . . . . .3. . . . . . . . . . . . .2. . . . . . . . . . .3. . . . . . . .3 Untersuchung des IT-Managements in der Universität Bielefeld 1. 2. . . . . . .2 Der Standard ISO/IEC 20000 . . . . . . .2. . . . . . . .2. . . . . . . . . . . . . . 3. . . . . . . . . . . . . . . . . . . . . . . . . . 1. . 1. . . . . . . . . . .4 Fazit . . . . . .2. . . . . . .3 Problem Management . 1. . . . . . .2. . . . . .1 Informationssicherheit . . . . . . . . . . . . . 2.2. . . . . .4 Change Management . . . . . . . . . . . . . . . . . . . . .3. . . . . . . . . . .1 Einleitung . . . . . . . . . . .2. . . . . 1. . . . . . . . .2 Gesetzesanforderungen.2 Service Support . . . . . . . . . . . . . .1 Entwicklung . . . . . . . . . . . . 2 ITIL-Zertifizierung nach ISO/IEC 20000 2. . . . . . . . . . . . . . . . . . .2. . . . . . . . . . . . . .4 Anforderungen an ein Management-System .3. . . . . . . . . . . . . . . . . . . . 3 ITIL und IT-Sicherheit 3. . . . . . . . . .2. . . . .1 Einleitung . 2. . . . . . . 1. . . . . . . . . . 2. . . .1 Fakultät für Wirtschaftswissenschaften . . . . . . . . . . . . . . . . . 1. 3. . . .3. . . . . . 1. . . . . . .2.2 Prozessumsetzung . . . . . . . .2. . . . .3 Kritik und Empfehlung . . . . .2 Beziehung zu ITIL . . . . . . . . . .3. . 2. . . . . . 1. . Vorschriften und Standards 5 9 9 10 12 16 22 27 30 32 37 37 40 42 46 48 53 53 54 54 54 55 56 57 58 63 63 64 67 73 74 76 81 81 82 82 84 . . . . . . .3 Die Zertifizierung . .6 Configuration Management . . . .4 Beurteilung der Zertifizierung . . . . 1. .2 Grundlagen des IT-Security Management . . . . . . . . . . . . . . .5 Fragebogen . . . 2. .6 Anforderungen an Service-Management-Prozesse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4 Zertifizierungsprozess . . . . . . . . . . .2 Incident Management . . . . . . . . . . 2. . . . 1. . . . . . . . . . . .1 Entscheidungsfindung . . .3. 2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .2. . . . . . . . . . . . .Inhaltsverzeichnis 1 ITIL-Wirklichkeit an der Universität Bielefeld 1.1 Service Desk . . . . .2.3 Fragenkatalog zur Prozessumsetzung . . . . . . . . . . . 2. . . . . . . . . . . . . .1 Einleitung .2. . . . . . . 1. . . 2. . 2. . .

. . .3 Problem Management . . . . . .4 4 ITIL-unterstützende Werkzeuge 4.4 Change Management . . . . . . . . . . . . . . .2 Begriffsabgrenzungen . . . . . . . . . . . . . . 88 Security Management mit ITIL auf operativer Ebene . . . .5 Release Management . . . . . . . . . . . . . . . 4.3.3.3 3. . . . . . . . . . . . . . . . . 104 109 109 110 110 111 112 112 112 116 120 123 125 127 127 127 132 136 3. . . 96 3. . . 94 3.3. . .4. . . . . 90 3. . . . . . . . . . . . . . . . . . . . . . 4. . . . . . . . . . . . .2 Das Open Source-Werkzeug OTRS . . . . . . . . .3 Das kommerzielle Werkzeug Remedy . . . .6 Configuration Management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4. . .4 Change Management . . . . 4. . . . . . . . . . . . . . . . . . . . 4. . . . . . . . . . . .3 3. . . . .2. . . . . . . . . . . . . . . . 4.1 Vorgehensweise . .3. . . . . . 85 Einordnung von Informationssicherheit und Security Management in ITIL . . . . . . . . . . . . .1 Service Desk . . . . . . . . . .2. .3.1 ITIL . . . . .3 Problem Management . . . . . . . . . . . . . . . . . . .2. . . . . . . . . . . . . . . . . . . . . . 4.5 Release Management . .4 INHALTSVERZEICHNIS Ziele und Aufgaben des IT-Security Management . . . .4.4 Betrachtung ausgewählter ITIL-Werkzeuge . . . . . . . . . . . 4. . . . . .2 Incident Management mit Service Desk . . . . . . . . . . . . . . . . 101 Fazit . . . . . . 4. . .2 Incident Management . . . . . .3. . . . . . . . . . . . .3. . . .3. . . . . . . . . . . . . .3 Service Support und Anforderungen an die Werkzeuge 4. . . . . .2. . . . . . . . .6 Configuration Management . .5 Fazit . . . . . . . .4. 4. . . . 4. . . 90 3. . .3. . . . . . . . . . . . . . . . . . . . . . . . . . . .6 3. . . . .3. . . . . . .1 Einleitung . . . . . . . . . 4. . . . . . . . . . . . . . . 4. . . . . .3. . . .2 Werkzeuge . . . . . . . . . . . . . . . . . . . 99 3. . . . . . .3. . . . . . . . . . 4. . 91 3. . . . . . .1 Vorgehensweise . . . . . . . . . . .

Michael Bochenek. Kathrin Stegmann 7 . Julius Kuhljürgen. Tim Kattner Linda Gerstenberger. Sonja Bozionek. André Kröger. Christopher Uhrig Björn Borgmeier.Gruppen Thema Gruppe 1: Service SupportUmsetzung an zwei ausgewählten Fakultäten Gruppe 2: ITIL-Zertifizierung nach ISO 20000 Gruppe 3: Security-Management mit ITIL Gruppe 4: Werkzeuge für ITIL Teilnehmer Carolin Ahlert. Christian Teicher Julia-Vanessa Stork.

8 INHALTSVERZEICHNIS .

Allerdings stellt sich die Frage: Wo fängt die Problemlösung an und wo hört sie auf? Oder allgemeiner: Wie kann der Kunde resp. der User am besten unterstützt werden? Laut der ITIL-Philosophie ist dafür der Service Support zuständig. Doch wie können diese Probleme bewältigt werden? Wie kann ein möglichst reibungsloser Betriebsablauf gewährleistet werden? Dafür liefert ITIL eine mögliche Lösung. ist mit dem täglichen Gebrauch der IT konfrontiert. dass Sätze wie „Mein Computer stürzt dauernd ab. dass dieser de facto-Standard auch für eine Universität vorteilhaft sein muss. sei es in der Dienstleistungsbranche oder in der Produktion tätig. kann daraus gefolgert werden. Julius Kuhljürgen. soll nun die Vielzahl der verschiedenen Probleme angegangen werden.“ in diesen Unternehmen zum Alltag gehören. Christian Teicher 1.“. Wie dieser Service Support den User auf operativer Ebene unterstützen kann.Kapitel 1 ITIL-Wirklichkeit an der Universität Bielefeld Service Support-Umsetzung an zwei ausgewählten Fakultäten Carolin Ahlert. Es ist nicht weiter verwunderlich. wird in der vorliegenden Arbeit die Universität Bielefeld resp. „Ich habe keinen Zugriff auf die Datenbank. dass die Anwendung von ITIL für jedes Unternehmen von Vorteil sei. die sich in der Praxis bereits bewährt haben. sei es ein Krankenhaus oder eine Universität. soll in dieser Arbeit detailliert dargestellt werden. Mit Hilfe von Funktionen und Prozessen. Um dieser These nachzugehen. Auf Grund der Behauptung.1 Einleitung Nahezu jedes Unternehmen. Es drängt sich allerdings die Frage auf.“ oder „Mein alter Computer kann mit seiner noch älteren Software dieses Problem nicht lösen. zwei ihrer größten Fakultäten als Untersuchungsgegenstand im Bezug auf ITIL gewählt. ob der von ITIL vorgeschlagene Service Support wirklich so sinnvoll und als „Allheilmittel“ für sämtliche User-Probleme zu verstehen 9 .

den Sekretärinnen und allen. da der Service Support nicht nur die Probleme der Endanwender lösen soll. Aus diesem Grund sollen zunächst die Anforderungen von ITIL im Bereich des Service Supports in Kapitel 1. zum anderen soll die Komplexität und die damit verbundene Schwierigkeit der Implementierung von ITIL verdeutlicht werden. Kann mit ITIL bzw. Anschließend wird die mögliche Anwendung des von ITIL vorgeschlagenen Standards anhand zweier ausgewählten Fakultäten der Universität Bielefeld kritisch evaluiert. Dabei wird zunächst auf die jetzige Situation des Service Supports der jeweiligen Fakultät verwiesen.10 ITIL-Wirklichkeit an der Universität Bielefeld ist. die Service Support-Umsetzung an zwei ausgewählten Fakultäten geklärt werden. User) gemeint. dass der Leser einen umfangreichen Überblick über die einzelnen Anforderungen an einen ITIL-konformen Service Support erhält. Hier sollen die letzten noch offen gebliebenen Fragen im Bezug auf die ITIL-Wirklichkeit an der Universität Bielefeld bzw. Das Fazit dieser Arbeit wird anschließend Thema des Abschnitts 1. die mit der Organisation der Universität beschäftigt sind.2 Service Support Für die bereits oben beschriebenen Störungsfällen soll nun der Service Support nach ITIL als Unterstützung im Bereich des operativen IT-Services fungieren und dem Kunden1 bei der Lösung seiner Probleme behilflich sein. die auf den von ITIL vorgeschlagenen Service Support basieren. Um ein besseres Verständnis für den Service Support von ITIL zu bekommen. an einer möglichst effizienten IT-Lösung schon lange vor der Einführung von ITIL interessiert sein sollte. Dieser IST-Zustand wurde anhand von Interviews mit den zuständigen EDVMitarbeitern der Fakultäten festgestellt und wird in Kapitel 1. Eine daran anschließende Kritik im Bezug auf den IST-Zustand des IT-Services der jeweiligen Fakultäten soll ebenfalls in diesem Kapitel ausgeübt werden. Die ausführliche Darstellung dieses Kapitels hat mehrere Gründe. Ziel dieser Arbeit ist es. dann sollte der Service Support sofort in der Universität implementiert werden.3 behandelt. sollen nun in dem folgenden Kapitel die theoretischen Grundlagen des Service Supports im Hinblick auf seine Funktionen und Prozesse vorgestellt werden. diesen Fragen bzw. mit einem ITIL-konformen Service Support den Professoren. Behauptungen nachzugehen und das Konzept der ITIL im serviceorientierten IT-Management in der Realität kritisch zu hinterfragen. Nach der ITIL-Philosophie lässt sich der Service Support im wesentlichen in fünf Geschäftsprozesse und eine unterstützende Funktion untergliedern: 1 Es ist hier sowohl der unternehmensexterne als auch der unternehmensinterne Kunde (Endanwender bzw. auch die Universität Bielefeld.2 vorgestellt werden. Zudem sollten sich in der Universität Bielefeld bereits Grundzüge der ITIL vorfinden lassen.4 sein. Gegenstand dieses Abschnitts sein. wirklich geholfen werden? Werden die IT-Probleme der studentischen Hilfskräfte besser gelöst und die Anfragen der Professoren für neue Computer schneller bearbeitet? Wenn diese Fragen mit „ ja“ beantwortet werden können. Zum einen soll dadurch gewährleistet werden. da diese auf dem Best Practice-Konzept beruhen und jedes Unternehmen. sondern auch einen reibungslosen Betriebsablauf im Bereich der IT gewährleisten soll. Allerdings gestaltet sich der Aufgabenbereich des Service Supports wesentlich komplexer. Des Weiteren werden diverse Empfehlungen. 1. .

diese zu beheben bzw. Ist die Ursache bzw. • Release Management. der Grund für eine Störung gefunden. zu erfüllen. kontrolliert und selbstverständlich auch dokumentiert. den sogenannten Service Desk. getestet. um solche Störungen zu vermeiden. für die das Configuration Management zuständig ist. so wird der Prozess des Incident Managements in Gang gebracht. • Configuration Management. Es werden sowohl Störungen im Bereich der IT als auch Wünsche der Kunden entgegengenommen. an eine zentrale Kontaktstelle.1 stellt den Aufbau des Service Supports dar. Das Configuration Management ist für die Pflege der zentralen Informationsquelle sämtlicher Prozesse des Service Supports zuständig. Dadurch wird auch die enge Verknüpfung des Service Desks mit dem Incident Management deutlich. welche Änderungen zu welchem Zeitpunkt durchgeführt werden sollen. Anschließend wird hier entschieden. dokumentiert und versucht. möglichst schnell auf etwaige Incidents zu reagieren und diese zu beheben. • Problem Management. Dieser soll also dem Kunden als zentrale Anlaufstelle für Probleme und Wünsche bzw. die vorhandene Hardware im Betrieb. Beim sogenannten Problem Management wiederum geht es vielmehr um die Ursachenforschung. • Change Management. • Incident Management.Service Support-Umsetzung an zwei ausgewählten Fakultäten • Service Desk. Einführung von standardisierten Änderungsverfahren zählen zu den wichtigsten Aufgaben des Change Managements. die Verbindungen zwischen Datenbanken oder die Lizenzen der Betriebssoftware. 11 Treten Störungen oder Fehler beim Gebrauch der IT auf. so muss der User sich mit diesem Vorfall. die laut ITIL auch als Request for Change (RfC) 3 bezeichnet werden. auch Incident 2 genannt. Wenn die Ursache einer Störung noch nicht bekannt ist. als unterstützende Funktion. dienen. wie zum Beispiel die bereits erwähnte Dokumentation in den Prozessen. 3 Änderungsanforderung Incident = Vorfall. Hier erfolgt ebenfalls eine Dokumentation der Entscheidungen. geht von dem Problem Management ein Request for Change an das Change Management. Dabei wird die Durchführung der Änderungen geplant. werden in einer sogenannten Konfigurationsdatenbank gespeichert. welches vom Problem Management zu dokumentieren. Die Kontrolle über alle Änderungen und die Entwicklung bzw. dann liegt laut ITIL ein Problem vor. je nach Schweregrad zu klassifizieren und zu untersuchen ist. 2 engl. Denn sollte die primäre Hilfe des Service Desks nichts bewirken. Anregungen. Störung an eine Systemkomponente . Abbildung 1. Das Change Management klassifiziert die erhaltenden RfCs und ordnet sie nach ihrer Wichtigkeit. Im Release Management werden dann sämtliche bewilligte Änderungen bezüglich der Hardware. Das Release Management hat somit nach der ITIL-Philosophie die Systemordnung des Betriebs sicherzustellen. um einen reibungslosen Betriebsablauf zu gewährleisten.und Softwarekomponenten der IT gebündelt und zu neuen Releases zusammengefasst. Das Incident Management hat zur Aufgabe. wenden. Alle Informationen.

Problem Management. die eine Kommunikation zwischen den verschiedenen Prozesse ermöglichen. sollen nun in den folgenden Abschnitten die einzelnen Prozesse. Beschwerden. und die Funktion Service Desk detailliert beschrieben werden. Probleme aller Art. ohne die von ITIL vorgeschlagene Aufteilung des Service Supports zu verletzen. So kann beispielsweise in kleineren Betrieben eine Person sowohl Incident Manager als auch Configuration Manager sein. Configuration Management. also Incident Management. In diesem . existieren eine Reihe von verschiedenster Vorfälle. dass ITIL oft den Begriff Rolle innerhalb der Prozesse verwendet. kurz dargestellt wurden. Change Management und Release Management. Fragen.1 Service Desk Wie bereits in dem vorangegangenen Abschnitt gesagt. sie werden von ITIL als Incident bezeichnet. d.h. der Umsetzung von ITIL gewährleistet werden kann. dass die ITIL-Prozesse unabhängig von der Organisationsstruktur des Betriebs sein sollten. die in einem laufenden Betrieb im Bereich der IT zum Alltag gehören.2. Des Weiteren ist noch anzumerken. stellt jeder Prozess eine in sich geschlossene Einheit dar. 1.12 ITIL-Wirklichkeit an der Universität Bielefeld Incident S e r v I c e D e s k Incident Management Incident IT Operations Problem Management Configuration Management RfC RfC Change Management Release Management Incident / Request for Change Informationsfluss Abbildung 1. müssen möglichst schnell erfasst. Nachdem die Zusammenhänge bzw. allerdings existieren Schnittstellen. um eine Störung des laufenden Betriebs zu vermeiden.1: Service Support. Grund dafür ist. des Service Supports. der Aufbau der operativen Ebene des serviceorientierten IT-Managements. So sind zum Beispiel die Aufgaben des Incident Managements in der Rolle des Incident Managers zu beschreiben. bearbeitet und gelöst werden. Aus Abbildung 1. da somit eine höhere Flexibilität bei der Einführung bzw.1 wird ersichtlich.

Da er jemanden vom Service Support kennt. sollen hier gesammelt. „Schwerwiegende Störungen oder sogenannte Massenstörungen könnten nicht mit der ihnen zustehenden notwendigen Priorität behandelt und die Ausweitung auf weitere Anwender könnte nicht verhindert werden. die hinter dieser Funktion steckt. Wünsche. ein Mitarbeiter hat Probleme mit seiner Netzwerkkarte. dass ein Incident Manager auch Mitarbeiter des Service Desk ist et vice versa.Service Support-Umsetzung an zwei ausgewählten Fakultäten 13 Zusammenhang kommt der sogenannte Service Desk 4 ins Spiel. „Ziel des Service Desks ist es. Probleme. beantwortet werden. ITIL benutzt den Ausdruck Service Desk. auch First Level Support genannt. umgeht er den Service Desk und bittet seinen Bekannten direkt um Hilfe. dass der Service Desk die einzige Kommunikationsstelle zwischen Support und Kunden ist. der hätte vermieden werden können. usw. Somit zeigt sich. 4 Service Desk wird oft auch mit den Begriffen Help Desk oder User Desk beschrieben. • Aufnahme. S. Das Ziel des Service Desks sollte somit eine hohe Erstlösungsrate sein. kurz SPOC. möglichst viele Anfragen bereits bei Erstkontaktaufnahme durch den Anwender vollständig zu beantworten und abzuschließen. S. Dadurch entsteht ein unnötiger Mehraufwand.“ [Vic05. bevor sich das Incident Management mit ihnen beschäftigt. der Vorfall und der passende Lösungsweg bereits im Service Desk bekannt sind. da versucht werden soll. . dass der Service Desk als einziger Kommunikationsweg wesentliche Vorteile besitzt. die aktive Unterstützung des Mitarbeiters. Belange. Die gleichmäßige Arbeitsbelastung der unterstützenden Spezialisten wäre nicht mehr steuerbar und eine zügige Abarbeitung von Incidents oder Problemen mit hoher Priorität wäre gefährdet. um die Dienstleistung. Die Problematik ist allerdings dabei. Dieser kümmert sich sofort um die Netzwerkkarte. Aus diesem Grund wird der Service Desk als eine Funktion und nicht als Prozess des Service Supports verstanden. Grundsätzlich ist aber ihre Bedeutung gleich. klassifiziert und. etc. wenn das gesamte Netzwerk ausgefallen wäre und der Mitarbeiter des Service Supports sich lediglich um diese eine Netzwerkkarte kümmern würde. Der Service Desk übernimmt teilweise die Aufgaben des Incident Managements.. Angenommen. bezeichnet. geplanten Änderungen. da er mehr oder weniger die Schaltstelle für die übrigen Prozesse darstellt. wenn möglich. die Fragen oder Störungen bereits hier zu klären und zu beseitigen. Ebenso hätten weitaus schlimmerere Konsequenzen eintreten können. 33] Die wichtigsten Aufgaben des Service Desk sind demnach: • einheitliche zentrale Kommunikationsschnittstelle (SPOC) zwischen Usern und Support in Verbindung mit Ausgabe von Informationen. zum Beispiel des aktuellen Status von Vorgängen. dass. da mehrere Netzwerkkarten streiken. zu betonen.“ [Vic05. Warum der Service Desk der einzige Kommunikationskanal zwischen Support und Kunden ist. • Bearbeitung von Problemen mit „Erste Hilfe“ -Charakter. wird er auch als Single Point of Contact. lässt sich am einfachsten anhand eines Beispiels verdeutlichen. Dokumentation und Auswertung von Vorfällen. Fragen. Hier wird auch die enge Verbindung zum Incident Management deutlich. 34] Auf Grund der Tatsache. Es besteht daher durchaus die Möglichkeit. Der Service Desk soll laut ITIL als zentraler Anlaufpunkt für sämtliche Incidents dienen und das Kommunikationsinstrument zwischen Service Support und Endanwender sein.

Aus den Aufgaben des Service Desks wird ersichtlich. der Informationsgewinn steigt aber ebenfalls. Dies findet seine Begründung darin. Lokaler Service Desk. dass der Mitarbeiter rhetorische und soziale Fähigkeiten besitzt. haben. den Service Desk zu strukturieren. Mit steigendem Informationsgewinn kann die Verteilung der Ressourcen optimiert werden und somit können Kosten gesenkt werden. Informationsfluss wesentlich größer als der bei einem lokalen Service Desk. seiner Organisation widmen. dass jeder Unternehmensbereich oder jede Fakultät anders mit Incidents verfährt und daher andere Systeme oder Prozesse zur Behandlung von Incidents benutzt. wie sie beim lokalen Service Desk auftrat. ist hier nicht gegeben. unzufriedenen Kunden zu finden. Außerdem kann sich eine Einführung eines lokalen Service Supports in Bezug auf die Zusammenarbeit von Unternehmensbereichen. dass die Anforderungen an den Mitarbeiter des Service Desks sehr umfangreich sind. Des Weiteren empfiehlt es sich. Der zentrale Service Desk ist die einzige Anlaufstelle für alle Unternehmensbereiche.5 Nachdem wir uns mit den Aufgaben. als problematisch erweisen. Zentraler Service Desk. Eigenschaften und Zielen des Service Desks beschäftigt haben. nicht nur eine gewisse Kenntnis von der Materie. Hierbei handelt es sich um eine dezentrale Struktur. Die Problematik der Zusammenarbeit der Unternehmensbereiche. Beispielsweise könnte so eine Universität für jede Fakultät einen eigenen Service Desk. der über optimale Kenntnisse bezüglich aller Vorgänge innerhalb der jeweiligen Fakultät verfügt. da nicht nur ein System zur Bewältigung von Incidents existiert. Sie zeigt auch eine weitere Möglichkeit. begründet durch die SPOC-Eigenschaft des Service Desks.14 ITIL-Wirklichkeit an der Universität Bielefeld • Einschätzung von Vorfällen und damit verbundene Weiterleitung der Incidents zu den Supportstellen Incident Management und Problem Management (Second und Third Level Support ). sondern auch sämtliche Prozesse vereinheitlicht werden. in unserem Beispiel bezüglich der Zusammenarbeit von Fakultäten. Abbildung 1.bzw. Bei einem zentralen Service Desk ist zwar der Kommunikations. Eine mögliche Zusammenarbeit von Fakultäten wäre somit gefährdet. wollen wir uns nun dem Service Desk hinsichtlich seiner Struktur bzw. Es besteht die Möglichkeit. Die Voraussetzung für die Einführung eines lokalen Service Desks ist allerdings die Bereitstellung eine großen Menge an Ressourcen6 . sondern vielmehr auch eine gute fachliche Kompetenz vorweisen können. Die Vorteile wären eine hohe Intensität im Bereich der Kundenbetreuung und eine verkürzte Reaktionszeit auf sämtliche Incidents der Fakultät. Im nun folgenden Abschnitt sollen nun kurz drei verschiedene Architekturmodelle zur Implementierung des Service Desks vorgestellt werden. Zum einen besteht die Möglichkeit eines lokalen Service Desk. um einen geeigneten Umgang mit ungeduldigen bzw.2 soll den Grundgedanken des lokalen Service Desks nochmals verdeutlichen. 5 Auch 6 In in diesem Dienstleistungssegment gilt: Der Kunde ist König. dass jeder lokale Service Desk auch für die Bereitstellung eines lokalen Service Supports sorgen muss. besondere Weise monetäre Ressourcen . Dieser muss bei einem hohen Kommunikationsaufkommen.

Ein anderes Beispiel wäre die Behandlung von Incidents. Diese wird das ihrer Meinung nach beste Angebot einholen und den Computer bestellen. ein noch besseres Angebot einzuholen. Allerdings können bei einer Einführung eines zentralen Service Desks auch Probleme entstehen. Je größer ein Kundenstamm wird. Durch einen zentralen Service Desk bzw.2: Lokaler und zentraler Service Desk. Die verschiedenen lokalen Service Desks haben folglich die Aufgabe. Während sich bei dem lokalen Service Desk jeweils ein Mitarbeiter mit ein und demselben Incident beschäftigen würden. Der virtuelle Service Desk sieht zwar . Abbildung 1. sich um diesen RfC zu kümmern und an die passende lokale Supportstelle weiterzuleiten. -aufwand erheblich zu. einen zentralen Service Support besteht nun aber die Wahrscheinlichkeit. Man kann demnach einen Nutzen aus dem somit gewonnenen Informationsgewinn ziehen. Ein Mitarbeiter benötigt einen neuen Computer. Virtueller Service Desk. Durch ein Beispiel soll dieser Vorteil verdeutlicht werden.Service Support-Umsetzung an zwei ausgewählten Fakultäten 15 „Funktion“ S e r v I c e D e s k 1 st L e v e l S u p p o r t „Prozesse“ „Funktion“ „Prozesse“ A A Z e n t r a l e r S e r v I c e D e s k „User“ Service Support „User“ 1 st L e v e l S u p p o r t „Funktion“ S e r v I c e D e s k 1 st L e v e l S u p p o r t „Prozesse“ B B „User“ Service Support „User“ Service Support Lokaler Service Desk Zentraler Service Desk Abbildung 1. könnte man bei einem zentralen Service Desk einen Mitarbeiter mit der Behandlung des Incidents beauftragen. da die Mitarbeiter des Service Supports sich über Angebote und Preise austauschen können. Somit nimmt selbstverständlich auch der Organsisationsbedarf bzw. während der andere Mitarbeiter bereits einen neuen Incident entgegennimmt. auch hier könnten Kosten gespart werden. desto schwieriger wird sich die kundennahe Betreuung erweisen. Die dritte Service Desk-Struktur versucht die Vorteile der bereits vorgestellten Strukturen zu kombinieren. Angenommen. es liegt ein Request for Change vor.3 zeigt den sogenannten virtuellen Service Desk.

wie der Service Desk als eine Funktionseinheit auf der operativen Ebene des serviceorientierten IT-Managements wirkt.3: Virtueller Service Desk. lokale Annahmestellen und lokale Support Teams7 vor. ebenfalls bei dem virtuellen Service Desk vorzufinden.16 ITIL-Wirklichkeit an der Universität Bielefeld „Funktion“ S e r v I c e D e s k 1st L e v e l S u p p o r t A „User“ „Prozesse“ „Funktion“ S e r v I c e D e s k 1st L e v e l S u p p o r t B „User“ Service Support Abbildung 1. Demgegenüber steht aber ein entscheidender Nachteil. und zum anderen muss 7 Diese sollen vom virtuellen Service Support gesteuert und verwaltet werden .2. Des Weiteren wurden Aufgaben. müssen vorab zwei Sachverhalte erklärt werden. Der Aufwand. Warum aber der Service Desk und das Incident Management so eng miteinander verknüpft sind und wie die Incidents im einzelnen behandelt werden. was genau ein Incident ist.2 Incident Management Bevor man sich mit den Aufgaben. Somit sind die Vorteile des lokalen Service Supports. Wir haben nun gesehen. ist erheblich und dementsprechend teuer. 1. soll nun im folgendem Kapitel betrachtet werden. nämlich eine kundennahe Betreuung und eine verkürzte Reaktionszeit auf Incidents. den virtuellen Service Desk zu organisieren. Zum einen muss definiert werden. den Zielen und dem Prozess des Incident Managements beschäftigt. Ziele und Organisationsstrukturen des Service Desks vorgestellt. wie auch der erhöhte Informationsgewinn des zentralen Service Desks. aber auch eine zentrale Datenbank.

Ein Incident kann also als ein Ereignis verstanden werden. beispielsweise: – bestimmte Netzwerkkarten funktionieren nicht. bei Eintritt eines Störungsfalles die schnellstmögliche Wiederherstellung des normalen Betriebs zu gewährleisten. . • Störung im Bereich der Software. Können Sie mir weiterhelfen?“ – „Ich brauche einen neuen Laserdrucker. beispielsweise: – die Software des Users zur Berechnung des Gewinn. beispielsweise: – „Ich habe mein Passwort vergessen. Die wichtigsten Ziele des Incident Managements sind. obwohl man selbst Administrator ist. entgegengenommen und bearbeitet. 9 Wie bereits im vorherigen Kapitel ausführlich beschrieben. der die zentrale Funktion des Incident Managements darstellt. Es existiert eine Vielzahl von Incidents. die mit dem User oder Kunden über die Höhe der Service-Dienstleistung getroffen wurden. Failure of a configuration item that has not yet impacted service is also an incident. „Der Service Desk übernimmt als Funktion innerhalb des Incident Managements weitgehend die operative Steuerung und Dokumentation der Aktivitäten der IncidentBearbeitung. Laut dem Office of Government Commerce [OGC07. Können Sie mir einen Bestellen?“ Die Incidents werden im Service Desk9 . • Anfragen. – ein benötigter Treiber wurde falsch oder gar nicht installiert. das zu einer Unterbrechung oder zu einer Abnahme der Qualität des IT-Services8 führt. – der Zugriff auf eine Software wird verweigert. wie der Zusammenhang zwischen Incident Management und Service Desk aussieht. 10 Vereinbarungen. Mein alter Drucker macht es nicht mehr lange. die Ziele. mögliche Einflüsse durch Störungen auf den Betrieb zu minimieren und das vertraglich vereinbarte Service Level Agreements (SLA) 10 halten zu 8 Unter dem Begriff „Abnahme der Qualität des IT Services“ wird hier die Unterschreitung der voher vereinbarten Service-Grenzen verstanden. 46] ist ein Incident definiert als: An unplanned interruption to an IT service or reduction in the quality of an IT Service.Service Support-Umsetzung an zwei ausgewählten Fakultäten 17 gekläre werden. diese lassen sich zum Beispiel in Abhängigkeit ihres Ursprungs kategorisieren: • Störung im Bereich der Hardware. die Aufgaben und insbesondere den Prozess des Incident Managements darzustellen.“ [Olb06. S. 28] Gegenstand dieses Kapitels ist aber vorrangig. S. for example failure of one disk from a mirror set. – Prozessoren haben einen technischen Defekt.und VerlustWertes einer Firma errechnet den falschen Wert. – Bildschirme einer gewissen Marke empfangen nicht das gewünschte Signal.

Laut ITIL gilt. werden hier erfasst und unter einer gemeinsamen Referenznummer in einer Datenbank. . einen entsprechenden Prozess im Incident Management auslöst. dass die einzelnen Schritte des Prozesses zugleich die Aufgaben des Incident Managements bei Eintritt eines Incidents darstellen. Dabei ist anzumerken. der im Service Desk aufgenommen wird. beschrieben.4: Flussdiagramm Incident. • welcher Kategorie der Incident angehört. dokumentiert. • wie der User heißt.4 dargestellt und erläutert. und in welcher Abteilung er arbeitet. Wie genau dieser Prozess nach der ITIL-Empfehlung aussehen sollte. usw. Monitoring. der sogenannten Configuration Management Data Base (CMBD) 11 abgespeichert bzw. wird nun anhand der Abbildung 1. das heißt alle wichtigen Informationen bezüglich des Incidents. Incident aufnehmen und dokumentieren Klassifizierung und erste Unterstützung Service Request? nein Untersuchung und Diagnose ja Incident aufnehmen und dokumentieren. 11 Diese Datenbank wird noch ausführlich in dem Abschnitt 1.6. dass jeder Incident.2. der den Incident festgestellt hat. wie: • wann der Incident festgestellt wurde. Control & Communication Service Request Verfahren Problem? ja Weiterleitung an den Support nein Lösung. Im ersten Schritt wird der Incident aufgenommen. Wiederherstellung Service Incident Closure Abbildung 1.18 ITIL-Wirklichkeit an der Universität Bielefeld können.

das aber in Abschnitt 1. they will have all relevant information to hand to assist them. Nachdem nun der Incident aufgenommen und dokumentiert wurde. deren Ursache unbekannt ist. Bezieht sich die Anfrage auf eine Änderung im IT-Bereich. • Störungen. da die nachfolgenden Support-Gruppen ebenfalls auf die entscheidenden Daten bezüglich des Incidents angewiesen sind. zusammen12 . lassen sich Incidents ihrer Quelle nach kategorisieren. von daher im Incident Management-Prozess. aussehen: • einfache Anfragen. Die Klassifizierung von Incidents beinhaltet aber nicht nur die Kategorisierung. Eine Klassifizierung von Incidents könnte.2. • Störungen. deren Ursache bekannt ist. wird an dieser Stelle nochmal die enge Verknüpfung des Incident Managements als Prozess mit dem Service Desk als operative Funktion des Incident Managements deutlich. dass er die meisten einfachen Fragen der IT-User bereits im Vorfeld klären kann. Daraus folgt: Priorität = Dringlichkeit + Auswirkung Wie sich die Priorität im einzelnen dann bestimmen lässt. wie folgt. den Incident bereits im Service Desk. kann laut ITIL über sogenannte Bewertungsmatrizen erfolgen. welcher sogenannten „Klasse“ der Incident angehört und ob die Möglichkeit besteht. die einem Incident zugesprochen wird. Es wurde zwischen Störungen im Software. und der Auswirkung. in denen zum Beispiel die Anzahl der betroffenen User und die Auswirkung des Incidents gegeneinander abgetragen werden. • Anfragen bezüglich einer Änderung im IT-Bereich. als wenn der Praktikant einen neuen benötigt 13 Ein guter Service Desk zeichnet sich unter anderem dadurch aus. Wie bereit zu Anfang dieses Kapitels beschrieben. Handelt es sich um eine einfache Anfrage seitens des Users.“ [OGC07. „and so that if the incident has to be referred to other support group(s). dieser Änderungsantrag wird gesondert in einem Service Request-Verfahren behandelt. zum Beispiel wie viele User von diesem Incident betroffen sind. Es muss geklärt werden. 49] Klassifizierung und erste Unterstützung. Die Erfassung des Incidents ist äußerst wichtig.4. 12 Es existieren aber auch andere Definitionen von Dringlichkeit und Auswirkungen. wie schnell der Incident behandelt werden muss. zu lösen. So sieht die Dringlichkeit. gilt es nun zwei Fragen zu beantworten. so spricht man von einem Request for Change (RfC). sondern auch die sogenannte Priorisierung. anders aus. wenn der „Chef“ einen neuen Computer will.Service Support-Umsetzung an zwei ausgewählten Fakultäten 19 Da diese Aufgabe vom Service Desk ausgeführt wird. die Priorität setzt sich wiederum aus der Dringlichkeit. S. so sollte diese bereits im Service Desk und somit am Anfang des Incident Managements zu beantworten sein13 .und Hardwarebereich und Anfragen unterschieden. . Es gilt: Klassifizierung = Kategorie + Priorität Die Priorisierung bzw.

Diese Spezialisten werden als Second Level Support bezeichnet und verfügen im Gegensatz zum First Level Support über ein größeres Fachwissen und eine bessere Ausstattung. Dies kann eine einfache Handlungsanweisung. dass es sich um einen Known Error handelt. Hier kann das Incident Management durch seinen First Level Support bereits helfen und aktive Unterstützung durch Bereitstellung der Lösung leisten. Das Incident Management hat zu jeder Zeit Zugriff auf diese Datenbank und die sich darauf befindlichen Lösungen. die Störungen. mit der der Fehler endgültig gelöst wird. geht das Problem Management den Fehler auf den Grund. um anschließend eine Diagnose erstellen zu können. um Incidents zu behandeln. ob der Incident durch das Incident Management selbst oder durch die anderen Support-Stellen behoben werden kann. Hardware besteht. Während das Incident Management versucht.5 die funktionale Eskalation verdeutlichen. mit der der Fehler lediglich umgangen wird. der bereits aus den Herstellern der fehlerhaften Software bzw. Stellt sich heraus. Bei ITIL wird aber lediglich von einem Third Level Support gesprochen. so wird erstmal unabhängig davon. Problem. Wird der First Level Support an seine Grenzen gebracht. Die Störungen. oder eine Umgehungslösung. Falls ein Incident „unbekannter Natur“ ist. dass sowohl die Klassifizierung als auch die erste Unterstützung durch den Service Support dokumentiert und in der CMBD abgespeichert wird. Dabei wird zwischen zwei Arten von Störungen unterschieden. Dieser Vorgang wird bei ITIL als funktionale Eskalation bezeichnet. . werden als Known Error bezeichnet. Fehler und die damit verbundenen Störungen zu vermeiden. Nun gilt es den Incident hinsichtlich seiner Art zu untersuchen. Die bekannten Lösungen werden durch die CMDB bereitgestellt. es sich von daher um ein Problem 14 Es 15 Dies kann auch mehrere Ursachen für ein Problem geben soll aber erst im folgenden Abschnitt genauer erläutert werden. als Unknown Error bzw.20 ITIL-Wirklichkeit an der Universität Bielefeld separat behandelt wird. die als Ursache einen bereits bekannten Fehler haben. werden ab hier nur noch Störungen des laufenden Betriebs behandelt. deren Ursache unbekannt ist14 . ein Incident wird daher als Problem diagnostiziert. Wichtig sei hier noch zu erwähnen. Untersuchung und Diagnose. Diese Weiterleitung an eine Gruppe von Spezialisten kann theoretisch n-mal geschehen. In Anlehnung an [Olb06] soll Abbildung 1. ein sogenannter Workaround. ob die Ursache bekannt oder unbekannt ist. in der sich sämtliche durch das Problem Management erarbeitete Lösungen für die verschiedensten Incidents befindet15 . der Prozess des Incident Managements fortgesetzt. Da die Anfragen als Incident bereits in den vorangegangenen Schritten des Incident Management-Prozesses bearbeitet wurden. sein. Liegt allerdings eine Störung vor. also bis zu einem n-ten Level Support fortgesetzt werden. wird dieses Problem dann an das Problem Management weitergeleitet. An dieser Stelle wird auch nochmals das Ziel des Incident Managements und damit der Unterschied zum Problem Management mehr als deutlich. Der Incident wird somit an eine Gruppe von Spezialisten weitergegeben. Das Problem Management stellt hier somit in diesem Prozess den Second Level Support dar. so existiert bereits eine Lösung für diesen Fehler.

• Die Lösung. der zuvor an das Change Management weitergeleitet und von diesem bearbeitet wurde. die vom nachfolgenden Problem Management bzw. nicht die Ursachen des Incidents zu untersuchen. • Die Lösung. der lediglich eine Umgehungslösung darstellt. ein Unknown Error wird zum Known Error und es kann durch das Incident Management darauf zugegriffen werden. mehr als deutlich. die bereits im Incident Management bekannt ist. An dieser Wiederherstellung des Betriebs wird daher nochmal die Aufgabe des Incident Managements. kann nun ein möglicher Lösungsweg ausgewählt und getestet werden. antworten. bereitstellen. oder ein Incident immer wiederkehrt. Das heißt. dass der Auftrag ausgeführt. Die Ursache des Incidents wurde nicht untersucht. handelt. Für die Wiederherstellung des standardisierten Betriebs kommen hier folgende Möglichkeiten in Frage: • Der Workaround.Service Support-Umsetzung an zwei ausgewählten Fakultäten 1st Level Support Untersuchung und Diagnose 21 2nd Level Support Problem? ja Untersuchung und Diagnose 3rd Level Support Untersuchung und Diagnose n-ter Level Support Untersuchung und Diagnose nein Lösung? nein Lösung? nein Lösung? ja ja ja Lösung. so ist das Problem Management davon in Kenntnis zu setzen und der Incident zu übergeben.5: Ablauf der funktionalen Eskalation. der sein altes Passwort vergessen hat. Wiederherstellung des Services. bereitstellen. In dieser Antwort kann dann enthalten sein. . Service Support erarbeitet wurde. Das heißt zum Beispiel ein neues Passwort an einen User liefern. Nachdem alle Informationen bezüglich des Incidents zusammengetragen und untersucht wurden. dass er abgelehnt wurde. Lösung. aber auch. sondern lediglich den laufenden Betrieb zu gewährleisten. Wiederherstellung Service Abbildung 1. • Auf einen Request for Change.

1. nämlich eine schnelle Wiederherstellung des laufenden Betriebs. wie lange sich ein Incident in einer Instanz des Incident Managements befindet und überhaupt befinden darf. Es wurde nun gezeigt. ein Incident würde sich zu lange im Subprozess „Klassifikation und erste Unterstützung“ befinden. kann der Incident im Incident Closure „formell“ abgeschlossen werden. die Aufgaben und somit der Prozess mit allen einzelnen Instanzen des Incident Managements vorgestellt.2. Dies kann sich positiv auf die Resonanz auf den Service Desk bzw. Ein weiterer wichtiger Begleiter des Incident Managements ist die Kontrolle des Incidents. die kontrolliert. Angenommen.22 ITIL-Wirklichkeit an der Universität Bielefeld Es sei hier noch erwähnt. diese Frage soll nun im nächsten Abschnitt geklärt werden. Um solche Fälle zu vermeiden. So kann zum Beispiel ein User immer über den Prozess informiert werden und ist somit immer „auf dem Laufenden“. auf das Incident Management auswirken. Kontrolle und Kommunikation. also den Incidents. Des Weiteren wurden das Ziel. Nach einer Weile würde er in Vergessenheit geraten. dass für die Ausführung der gerade dargestellten Möglichkeiten sowohl der Service Desk selbst als auch extra dafür eingerichtete Service Support Teams.3 Problem Management Im vorangegangenen Abschnitt wurde das Ziel des Incident Managements dargestellt. könnte man zum Beispiel eine Art „Zeitkontrolle“ einführen. Ein mögliches Mittel ist hierzu zum Beispiel die Bereitstellung einer bereits bekannten Lösung in Form von einer Handlungsanweisung oder die Anwendung eines Workarounds. dass bereits der Service Desk bei Eintritt desselben Incidents auf die passenden Incident-Details zurückgreifen und entsprechende Maßnahmen ergreifen kann. Hier ist sowohl die Kommunikation zwischen Incident Management und User als auch die Kommunikation des Incident Managements und dem Service Support gemeint. Monitoring. Doch damit ist der Prozess noch nicht ganz beendet. Wichtige und dauerhafte Begleiter aller Subprozesse des Incident Managements sind Monitoring. was natürlich ganz klar von Vorteil ist. dass sämtliche Incidents den hier vorgestellten Prozess durchlaufen. Dies betrifft im besonderem Maße die Lösung des Incidents. Beobachtung und Überwachung des Incident Managements verstanden. Incident Closure. Unter dem Begriff Monitoring wird hier die Erfassung. Doch woher kommen die bekannten Lösungen von Fehlern bzw. Doch was passiert mit den Problemen. Control & Communication. die Gewährleistung eines laufenden Betriebs. da er als zu unwichtig eingestuft wird. Nachdem die Anfrage beantwortet oder die Störung beseitigt und somit der User zufrieden gestellt wurde. Dies lässt sich am einfachsten anhand eines Beispiels verdeutlichen. dessen Ursache nicht klar ist. da somit gewährleistet werden kann. So besteht zum Beispiel zu keiner Zeit die Möglichkeit zur Stagnation der Behandlung eines Incidents. Wichtig ist nämlich hierbei das sämtliche Informationen bezüglich des Verlaufs der Incident-Behandlung im Incident Record abgespeichert werden. in Frage kommen. ohne das aufwendige Analysen durchgeführt werden müssen. . sozusagen die IT Operater. Der letzte wichtige Aspekt ist die Kommunikation.

58 f. Hierbei ist zu erwähnen. Softwareprobleme: Einmal angenommen. Die Auswirkungen beziehen sich auf den Ausfall eines Computers bis hin zu ganzen Servern.Service Support-Umsetzung an zwei ausgewählten Fakultäten 23 Problemen und woher kommen die Workarounds. Hilft dieser Neustart nicht. so spricht man hier eher von einem Problem als von einem Incident. 58] Dass man es mit einem Problem zu tun hat. Als Probleme kommen in Frage: Virenprobleme: Hiervon können einzelne Mitarbeiter. wiederkehrende Incidents zu eliminieren und die Auswirkungen der Incidents. S. Auch hier wären die Auswirkungen definitiv zu merken. nach gewisser Zeit wird also derselbe Incident. Bei einer Bank zum Beispiel könnte dies katastrophale Auswirkungen haben. Es lässt sich der ITIL-Philosophie nach dann erreichen. und deshalb nicht einwandfrei läuft. welches Ziel das Problem Management haben sollte und welche Anforderungen an das Problem Management gestellt werden. zu minimieren. Als Workaround würde das Incident Management einen Neustart des Computers empfehlen. S. sollen kurz weitere Beispiele folgen. to eliminate recurring incidents and to minimize the impact of incidents that cannot be prevented. merkt man an zwei Sachverhalten.] Das Ziel ist daher. wie folgt. wird dieser Incident zum Problem. dieses Problem zu behandeln. Dieses muss dann von dem Problem Management behandelt werden. Incidents zu vermeiden. aber auch ganze Unternehmen betroffen sein. hingegen hat der Ausfall eines Server auf Grund eines Defektes aber einen ganz anderen Stellenwert. Bei einzelnen Computerfestplatten wäre dieser Vorfall nicht so schlimm. wenn die drei Aufgabenbereiche des Problem Managements. die nicht vermieden werden konnten. Sobald ein Incident eine unbekannte Ursache hat. Diese arbeitet allerdings immer wieder fehlerhaft und ordnet die Noten nicht den gewünschten Personen zu. Dieses wird vom Incident Management. die im Incident Management ihre Anwendung finden? Die Antworten dafür sind im Problem Management zu finden. definieren: „The primary objectives of Problem Management are to prevent problems and resulting incidents from happening. das nicht in der Lage ist. Um die Vielfältigkeit von Problemen und die damit betroffenen Personengruppen darstellen zu können. Probleme bzw. weitergeleitet zum Problem Management. erneut auftreten. aber ein und derselbe Incident tritt immer wieder von neuem auf. Als Beispiel könnte hier ein Computer genannt werden. Zum einen kann das Incident Management nicht mehr weiterhelfen. also die nicht ordnungsgemäße Ausführung der Programme. Laut ITIL lässt sich das Ziel des Problem Managements. Diese Reihe an Beispielen für Probleme könnte beliebig lang fortgesetzt werden und verdeutlicht ganz klar. eine Lösung liefern. eine Universität würde eine bestimmte Software zur Verwaltung von Noten benutzen. [OGC07. Hardwareprobleme: Man kann nicht mehr auf eine bestimmte Festplatte zugreifen. .“ [OGC07. da sie defekt ist. dessen Programme nicht ordnungsgemäß ausgeführt werden. dass ein Problem durchaus ein Resultat von mehreren Incidents sein kann. Problem Control. „ITIL defines a problem as the cause of one or more Incidents“. zum anderen kann das Incident Management zwar einen Workaround bzw.

bereits im Incident Management entschieden. kontrollieren zu können. aus dem Unknown Error einen Known Error.6 verdeutlicht die Zusammenhänge der beiden Aufgabenbereiche. erfolgreich ausgeführt werden.6 ersichtlich. Dies geschieht in den nun folgenden Schritten. Ob es sich tatsächlich um ein Problem handelt. ein Fehler ohne bekannte Lösung. . so wird das Problem weitergeleitet. einen bekannten Fehler mit Lösung. Während die Prozesse der ersten beiden Aufgabenbereiche. Ein Ziel des Problem Controls ist es also. dann ausgelöst werden.4 und 1. Der Auslöser für den Prozess des Problem Managements ist somit ein Unknown Error. Wie bereits schon erwähnt. „Incident“ „Problem“Control Unknown Error Identifizieren & aufzeichnen „Error“Control „Change“ Problem? nein ja Problem Klassifizierung Untersuchung & Diagnose Known Error ? nein Eskalation ja Known Error Identifizieren & aufzeichnen Untersuchung & Diagnose Fehler Beschluss RfC? ja Change Management nein PIR Problem Closure Abbildung 1. wird dem Proactive Problem Management eine besondere Bedeutung zugesprochen und separat behandelt. werden Incidents mit unbekannter Ursache als Problems bezeichnet. sobald ein Incident bzw. aber auch die Schnittstelle des Incidents Managements mit dem Problem Management. zu machen und ihn damit. wie das Wort „Control“ bereits sagt. genauso wie die des Service Desks bzw. Problem Control. Ist dies der Fall. Problem eintrifft. Incident Managements. Doch sollen zunächst die Bereiche Problem Control und Error Control dargestellt werden. wird. Abbildung 1.24 ITIL-Wirklichkeit an der Universität Bielefeld Error Control und Proactive Problem Management. wie aus den Abbildungen 1.6: Flussdiagramm-Problem.

] und dem Service Desk so weit wie möglich Informationen. Problem Klassifizierung: Nachdem das Problem aufgenommen ist. ebenso ob mehrere Incidents an diesem Unkown Error beteiligt sind.Service Support-Umsetzung an zwei ausgewählten Fakultäten 25 Unknown Error identifizieren & aufzeichnen: Im ersten Schritt wird der Unkown Error identifiziert. wird dieser dem Error Control übergeben. Natürlich könnte man in diesem Fall mit unnötigen Mehraufwand argumentieren. Lösungsmöglichkeiten und Workarounds an die Hand zu geben. 17 Da 16 Vgl.“ [Olb06. Die Aufgabe hier ist es „den Problemursachen auf den Grund zu gehen [. Es wird hier sowohl die Kategorie des Problems als auch die Priorität des Problems festgelegt. aus dem Unknown Error ein Known Error zu machen und eine Lösung für eventuelle Fehler zu finden.2. Sollte das Wissen dieser Experten nicht ausreichen.2. S. dass auch vor der „Untersuchung Abschnitt 1. Untersuchung & Diagnose: Nachdem der Fehler bekannt gemacht und dokumentiert wurde. da bereits sowohl der Incident als auch das Problem identifiziert und aufgezeichnet wurden. Dies erfolgt in den Schritten: Known Error identifizieren & aufzeichnen: Zuerst müssen auch die umgewandelten Known Errors identifiziert und aufgezeichnet werden. um welche Art von Unknown Error es sich hier handelt.. es geht hier allerdings vielmehr um die Verknüpfung zwischen Known und Unknown Error.. Es soll herausgefunden werden.17 Error Control. soll hier nicht weiter darauf eingegangen werden.. Die Lösungen können Workarounds oder Requests for Change sein. welche Software davon betroffen ist usw. Da diese Klassifizierung ähnlich zu der Klassifizierung eines Incidents verläuft. sollen hier die verschiedenen Lösungsmöglichkeiten erarbeitet werden. es handelt sich deshalb immer noch um ein ungelöstes Problem.2. erfolgt im nächsten Schritt. die funktionale Eskalation in dem Abschnitt 1. muss es nun klassifiziert werden. werden in diesem Problem Record und somit in der Datenbank festgehalten. Es kommt zu der bereits vorgestellten funktionalen Eskalation. so werden weitere Fachkräfte zu Rate gezogen. Es ist noch anzumerken. Eskalation: Zur Ermittlung der gerade vorgestellten Lösungen werden Experten herangezogen.16 Untersuchung & Diagnose: In den nun folgenden Subprozessen Untersuchung & Diagnose und Eskalation wird nun versucht. Nachdem sich das Problem Control mit der Ursache des Problems beschäftigt hat und der Unknown Error zu einem Known Error umgewandelt wurde. . Des Weiteren wird der Unknown Error oder auch das Problem in einem sogenannten Problem Record aufgezeichnet und in einer Datenbank abgespeichert. soll hier näher darauf eingegangen werden. Alle Schritte.2 behandelt wurde. von dem Zeitpunkt der Feststellung des Problems bis hin zur Beendigung des Problems. 43] Handelt es sich so dann um einen Known Error. Welche der Lösungen genau gewählt wird. befasst sich das Error Control mit der konkreten Beseitigung des Fehlers. kurz um einen Unknown Error.

Post Implementation Review (PIR): Wurden alle notwendigen Änderungen umgesetzt. Fehler Beschluss: In diesem Schritt wird nun eine der erarbeiteten Lösungsmöglickeiten zur Beseitigung des bekannten Fehlers ausgewählt.)=rückwirkend. Aus diesem Zusammenhang wird deutlich. sondern muss ein RfC. durch die Änderung erreicht wurden. da diese aber sehr ähnlich zu der des Unknown Errors ist. Fehler nicht nur einmal diese Prozesse durchlaufen. dass Probleme bzw. die es im Unternehmen verursacht. ob die vorgegebenen Ziele. um diese bereits im Voraus zu vermeiden und gar nicht erst entstehen zu lassen. neu bewertet werden. ob die gesamte Historie des Problems tatsächlich erfasst und dokumentiert wurde. – kann man schon sagen. Dazu werden: • Problemfelder und Fehlerquellen analysiert. müssen diese unverzüglich umgesetzt werden. so wird auf diesen reagiert und die Prozesse werden in Gang gesetzt. Auf Grund ihrer Entwicklung im Bezug auf Auswirkung im Betrieb und Priorität müssen sie dauerhaft beobachtet und. Fehler eintreten. Problem Closure: Nach Abschluss der Prozesse soll in diesem letzten Schritt überprüft werden. wie zum Beispiel: – Kommen dieselben Incidents immer aus derselben Abteilung.26 ITIL-Wirklichkeit an der Universität Bielefeld & Diagnose“ des Known Errors wiederum eine Klassifizierung des Errors stattfinden kann. so muss der Record ergänzt werden. Hier wird eine Art Voruntersuchung auf zukünftige Problems und Incidents betrieben. dass das Change Management sowohl einem Request for Change zustimmen als auch ihn ablehnen kann. Ganz anders ist es bei dem Proactive Problem Management. Wird nämlich zur Behebung des bekannten Fehlers eine Änderung einer Komponente des IT-Bereiches benötigt. Ist dies nicht der Fall. Das Change Management überprüft diesen Antrag auf seine Notwendigkeit und auf die Auswirkungen. wo das nächste Problem entstehen wird und wie es aussieht. Handelt es sich um Workarounds. einen Antrag auf Änderung. Proactive Problem Management. – entsprechen die Fehler immer einem bestimmten Typ von Fehler. erfolgt durch das Change Management im Error Control ein sogenannter Post Implementation Review. wird sie hier nicht weiter erwähnt. auf Reize reagierend . Daher sollte ein Problem resp. 18 reaktiv (lat. Bei Anlehnung des Request for Change muss das Problem Management eine andere Lösung auswählen und gegebenenfalls einen neuen Request for Change formulieren. Die beiden gerade vorgestellten Aufgabenbereich bzw. so darf das Problem Management diese Änderung nicht einfach durchführen. Prozesse „Problem Control“ und „Error Control“ sind eher reaktiver18 Natur. Deshalb werden hier Fragen untersucht. Im Gegensatz dazu stehen die Requests for Change. an das sogenannte Change Management weiterleiten. Nicht unerwähnt sollte hier bleiben. wie zum Beispiel die Beseitigung des Fehlers. wenn nötig. Dabei wird geprüft.

Es müssen zuvor Kosten-Nutzen Rechnungen durchgeführt werden.Service Support-Umsetzung an zwei ausgewählten Fakultäten Sind diese Fragen beantwortet. sondern auch diese vorhergesehen und im Voraus vermieden werden sollen.2. an das Change Management übermittelt werden. den sogennanten Configuration Items (CIs)20 . 1.und Systemsoftware. dass es durch eine höhere Anzahl an Kunden zu mehr Datensätzen auf dem Computer kommt und dieser daher Gefahr läuft. Anwendungs.6 zu finden. Diese Datensätze würden neben der Anschrift auch den Briefwechsel mit besagtem Kunden enthalten. dass im Problem Management nicht nur auf Problems reagiert. standardisierte Methoden und Verfahren zur Abwicklung und Überwachung von Änderungen zu entwickeln. Es muss nicht nur ein hohes Fachwissen sondern auch eine Wissensdatenbank.19 Ein Beispiel für die beiden Aktivitäten könnte folgendermaßen sein. besteht die Aufgabe des Change Managements darin. muss ein Änderungsantrag. da er mit der großen Datenmenge nicht mehr einwandfrei arbeiten kann. .2. Die Änderung kann sich auf die Bereiche der Hardware-Komponenten. werden: 27 • Präventivmassnahmen zur Vermeidung von Incidents und Problems vorbereitet. vorhanden sein. wird nun im nächsten Kapitel behandelt. Eine Möglichkeit wäre der Kauf eines weiteren Computers. 20 Eine genauere Erklärung eines CIs ist im Abschnitt 1.4 Change Management Das Change Management befasst sich mit der Kontrolle und Steuerung aller Änderungen (Changes) innerhalb der IT-Infrastruktur. Es soll somit eine ordnungsmäßige Implementierung der Änderung in die IT-Infrastruktur sichergestellt werden und mögliche Störungsrisiken minimiert werden. Es muss erkennen. die an das Problem Management und seinen Mitarbeitern gestellt wird. Bevor eine Änderung durchgeführt werden kann. im Endeffekt kontrolliert und steuert. Darüber hinaus darf nur das Change Management autorisierte Änderungen durchführen. Kommunikationsgeräte. ein sogenannter Request for Change (RfC). Auch wenn das vorangegangene Beispiel recht einfach war. Im Grunde wird jede beabsichtigte Änderung an Komponenten der IT-Infrastruktur. ob sich der eingesetzte Aufwand zur Vermeidung von Problemen überhaupt lohnt. Vermeidung von Problemen erarbeitet und vorgeschlagen werden. In diesem Augenblick ist das Problem Management gefragt. Angenommen. eine ausreichende Anzahl an Programmen usw. Durch einen wirtschaftlichen Boom würde es nun zu einem rasanten Anstieg der Kundenzahl kommen. Wer die Änderungen. 19 Allerdings ist hier anzumerken. die die Problemfelder und Fehlerquellen beseitigen sollen. Daher werden hier Möglichkeiten erörtert und ausgearbeitet. immer wieder abzustürzen. so zeigt es aber die hohe Anforderung. Da die IT-Komponenten häufig Änderungen unterworfen sind. dass das Problem Management die Präventivmassnahmen nicht einfach durchführen darf. um zu sehen. ausführliche Dokumentationen vorangegangener Probleme. die vom Problem Management zur Beseitigung bzw. Dokumente sowie Prozeduren beziehen. Des Weiteren wurde gezeigt. eine Firma würde die Daten ihrer Kunden auf einem einzigen Computer speichern. Als zweiten Schritt muss das Proaktive Problem Management eine Präventivmassnahme zur Vermeidung dieses Problems durchführen.

Zu den Ressourcen gehören unter anderem Personal. • Wer hat den Änderungsantrag gestellt? • Was sind die Gründe für die Änderung? • Welchen Vorteil hat die Änderung? • Welche Risiken sind mit der Änderung verbunden? • Welche Ressourcen müssen für die Änderung bereitgestellt werden? • Wer ist verantwortlich für die Durchführung. ob eine Änderungen wirklich durchgeführt werden soll.22 Der Change Manager entscheidet in einer Vorauswahl. S. Ein RfC kann von allen Benutzern der IT versendet werden. wie zum Beispiel eine Änderung der Zugriffsrechte eines Users oder andere routinemäßigen Aufgaben. Des Weiteren müssen Ressourcen für Änderungen bereitgestellt werden. Jeder RfC bekommt eine eindeutige Identifikationsnummer zugewiesen und wird dokumentiert. so 21 PIR steht für Post Implementation Review. gehören folgende Punkte: • Erfassung und Filterung von RfCs. die mit darüber entscheidet. 23 Eine genauere Erklärung einer CMDB ist im Abschnitt 1.2. Zu den weiteren Aufgaben. welche Änderungen zuerst durchgeführt werden sollen. ob ein RfC akzeptiert oder abgelehnt wird. Die Einstufung erfolgt nach der Dringlichkeit oder dem Ausmaß bzw. wie die Festplatte.6 zu finden. Darüber hinaus muss das Change Management entscheiden. dem Risiko einer Änderung. • Planung und Organisation der Durchführung eines RfC. Software und finanzielle Mittel. Ist zum Beispiel eine Hardware-Komponente defekt. • abschließende Revision (PIR)21 . Am Ende der Durchführung sollen nach den ITILEmpfehlungen die nachfolgenden Fragen ([TRA07. die das Change Management bzw. 22 Hierbei . Dadurch lässt sich jede Änderung leicht nachvollziehen. damit eine Änderung durchgeführt werden kann. wird die Priorität und Kategorie des RfC eingestuft. Während der gesamten Durchführungsphase wird jeder einzelne Schritt eines RfC protokolliert und an die Configuration Management Database (CMDB) 23 übermittelt. • kontinuierliche Überwachung und Kontrolle bei der Durchführung eines RfC. So hat die Reparatur eines Servers eine höhere Priorität als ein defekter Monitor. muss dies dem Change Management übermittelt werden. Hierzu gehört auch eine Kosten/Nutzen-Rechnung. 53]) beantwortet werden können.28 ITIL-Wirklichkeit an der Universität Bielefeld mit einem RfC an das Change Management übermittelt. Ähnlichen RfCs können auch zusammengefasst werden. Handelt es sich um einen RfC mit geringer Priorität. Hardware. der Change Manager erfüllen muss. Vorteilhaft ist die elektronische Übermittelung mit Hilfe von standardisierten Anträgen. Test und Implementierung der Veränderung? Ist eine grobe Vorauswahl für die Ausführung einer Änderung getroffen. der Monitor oder sogar der Server. können Service Tools eingesetzt werden.

liegt ein dringendes Problem vor. Doch es kann dann passieren. Ist es hingegen eine Priorität und Kategorie höherer Stufe. Diese können sowohl aus dem Bereich des Incident Managements. Denn nur durch diesen standardisierten Ablauf können Änderungen effizient durchgeführt und Fehlerquellen minimiert werden. Wird das ECAB einberufen. Dies geschieht in enger Zusammenarbeit mit dem Release Management. Dies sollte zu einem Zeitpunkt geschehen. dass sich der User über den genauen Bearbeitungsstand des RfC informieren kann. Um dies zu vermeiden. dass die bereitgestellten Ressourcen ausreichend sind. kommen als auch IT-Experten. Meist sind hier mehrere User von den Änderungen betroffen und ein höherer Aufwand an Ressourcen ist nötig. das für die tatsächliche technische Umsetzung der Änderung zuständig ist. Die Hauptaufgabe des Change Managements besteht nun aus der formalen Koordination und Überwachung der Änderungen. inwieweit die eingeplanten Ressourcen ausreichend waren. beginnt die zeitliche Planung der Änderung. etc. Bei dieser Art von RfC sind meistens nur ein oder wenige User betroffen und es ist kein großer Ressourcenaufwand nötig. wird das sogenannte Change Advisory Board (CAB) oder in einigen Fälle sogar das Emergency CAB (ECAB) einberufen. Es wird dabei festgestellt. Service Desks. Im nächsten Schritt werden die für die Umsetzung bzw. Wurde der RfC genehmigt. Die Informationen werden an die CMDB übermittelt.Service Support-Umsetzung an zwei ausgewählten Fakultäten 29 obliegt die Entscheidung der Durchführung allein bei dem Configuration Manager. um den Change planmäßig durchzuführen. Das ECAB besteht aus wenigen Mitgliedern des CABs. Das CAB ist zuständig für Änderungen mit mittlerer und hoher Priorität und Kategorie. bei dem möglichst wenige andere Prozesse beeinträchtigt werden. die stellvertretend für die restlichen Mitglieder schnelle Entscheidungen treffen können. sein und sollten regelmäßig in Kontakt zueinander stehen. erfolgt die abschließende Implementierung der Änderungen. die bei zukünftigen ähnlichen Änderungen korrigiert werden können. Problem Managements. Hierzu gehört beispielsweise der Ausfall des gesamten Netzwerkes. Die Abbildung 1. ist es . Je nach Dringlichkeit werden die RfC geordnet und die benötigten Ressourcen bereitgestellt. wie zum Beispiel die Umstellung des Betriebssystems bei sämtlichen Computern von Windows XP auf Windows Vista. Mit Hilfe dieser abschließenden Revision lassen sich mögliche Schwachstellen aufdecken. Es muss darauf geachtet werden. Das CAB setzt sich aus mehreren Mitgliedern zusammen. Denn oftmals lassen sich die Änderungen schnell von dem Anwender selbst durchführen. dass die Änderungen ordnungsgemäß funktionieren. Nach der Implementierung sollte nach einiger Zeit eine abschließende Revision (PIR) zur Qualitätssicherung erfolgen. Bei größeren Änderungen sollte auch der jeweilige betroffene Personenkreis mit in die Entscheidung einbezogen werden. Aber es wird auch überprüft. jede Änderung eines CI erst durch das Change Management genehmigen zulassen. für die Durchführung der Änderungen zuständigen Bereiche kontaktiert. in der sichergestellt werden soll. so dass sichergestellt ist.7 zeigt die einzelnen Schritte. ob die Ziele der Änderung erreicht wurden oder ob unerwünschte Nebeneffekte aufgetreten sind. Dieses Problem betrifft meist alle User und muss sehr schnell behoben werden. Auf den ersten Blick erscheint es. Anhand des vorgestellten Schemas sollten sämtliche RfC abgewickelt werden. dass es ein großer Aufwand für den Anwender ist. dass das IT-System nicht mehr konsistent ist und das System dadurch nicht mehr fehlerfrei arbeitet. Nach einer Testphase. die ein RfC durchläuft. usw. dass nur mit hohen Aufwand an Ressourcen zu lösen ist.

Es lässt sich somit festhalten. dass neue oder veränderte CIs voll funktionsfähig in die IT-Umgebung implementiert werden. Um die Systemintegrität der genehmigten Änderungen sicherzustellen. Des Weiteren entwickelt das Release Management qualitätssichernde Richtlinien und Grundkonfigurationen zur Installation von IT-Systemen.30 ITIL-Wirklichkeit an der Universität Bielefeld RFC Change Manager • RFC filtern • Priorität festlegen ablehnen gering mittel hoch dringend Change Manager CAB/ ECAB Configuration Management (CMDB) nein genehmigt ? ja Change planen & durchführen Release Management abschließende Revision nein Erfolg ? ja Ende Abbildung 1. Einführung und Verwaltung von autorisierter Software und Hardware zuständig.7: RfC-Ablauf. einen RfC an das Change Management zu übermitteln. wichtig.2. das im folgenden Abschnitt näher erläutert wird. befasst sich das Release Management unter anderem mit der Sicherstellung der Systemintegrität der Änderungen. dass das Release Management maßgeblich die Verantwortung dafür trägt.5 Release Management Das Release Management ist für die Bereitstellung. arbeitet das Change Management eng mit dem Release Management zusammen. 1. Während das Change Management für die Entwicklung von standardisierten Methoden und Verfahren zur Durchführung und Überwachung von Änderungen verantwortlich ist. Zu den Hauptaufgaben des Release Managements gehören: .

Wie aus ihr ersichtlich wird. Es handelt sich dabei um ein Lager mit wichtigen Hardwarekomponenten. sind die Aufgabenbereiche des Release Managements in die Entwicklungs-. Repository kann auf eine lauffähige Sofwareversion zurückgegriffen werden. dass die Releases fehlerfrei in das IT-System implementiert werden. Soll ein bereits implementierter Release wieder entfernt werden. Überwachung und Durchführung von Änderungen bzw. wird dies als Rollin beschrieben. Dadurch wird sichergestellt. hängt von der Release Policy ab. die die Releases auf die relevanten Computer verteilt.und Produktionsumgebung integriert. untersteht aber der Kontrolle des Release Managements. getestet und verteilt. Mit Hilfe des Backup-Systems bzw. Wird ein autorisierter RfC an das Release Management übermittelt. Test. In diesem Zusammenhang lassen sich drei verschiedene Release-Arten nach ihrem Umfang unterscheiden: Full Release: Alle Software. beginnen die Planungen . Package Release: Full Releases und Delta Releases werden zu einem Paket gebündelt und veröffentlicht. Hilfreich hierbei ist eine zentrale Softwareverteilung. als Release bezeichnet.Service Support-Umsetzung an zwei ausgewählten Fakultäten • Festlegung der Release Policy. Die DSL ist in die CMDB des Configuration Managements implementiert. • Planung. Darüber hinaus werden in der DSL auch die Softwarelizenzen verwaltet. Dieses verwaltet auch den Definitive Hardware Store (DHS). Verwaltung. Mit Hilfe von Abbildung 1. werden in der CMDB gespeichert. • Dokumentation. Im Kontext der ITIL wird jedes neue oder veränderte CI.und Hardwarekomponenten werden zusammen entwickelt. Die Informationen. Um sicherzustellen. Versionierung und Speicherung von genehmigten Releases. Auf Grund der hohen Kosten einer Vorratshaltung sollten nur kritische Komponenten als Ersatz gelagert werden.8 soll auf die wichtigsten Aufgaben des Release Managements eingegangen werden. die seit dem letzten Release geändert worden sind. Es handelt sich dabei um eine Datenbank auf der sich sämtliche autorisierte Software befindet. 31 • enge Zusammenarbeit und inhaltliche Abstimmung mit dem Change Management. Die Release Policy bestimmt die Richtlinien für die Bearbeitung und Dokumentation eines Release und ist als Leitfaden für die weitere Bearbeitung zu verstehen. dass bei einem fehlerhaften Release immer auf eine lauffähige Version einer Software zurückgegriffen werden kann. Hierbei können ähnliche Releases auch gebündelt und als Paket veröffentlicht werden. dass von dem Release Management veröffentlicht wird. Die Implementierung von Releases werden als Rollout bezeichnet. an welcher Stelle die Ersatzteile gelagert sind. verwaltet das Release Management die Definitive Software Library (DSL). Wie der allgemeine Vorgang eines Releases durchgeführt wird. Einführungen von Software und Hardware. Delta Release: Es sind nur Komponenten enthalten.

8: Release Management. 1. Wenn der Release die Anforderungen erfüllt. Um dies zu gewährleisten. Wichtig hierbei ist. Aufgabe des Configuration Managements ist es. beginnen die Planungen für den Rollout. Prioritäten. dass sich eine lauffähige Version der Software auf der DSL befindet. Die weiteren Aufgaben des Configuration Managements werden im folgenden Abschnitt erläutert. Sämtliche Schritte werden dokumentiert und dem Configuration Management übermittelt. Handelt es sich bei dem Release um eine Softwareänderung. festgelegt werden. Dies geschieht in enger Zusammenarbeit mit dem Change Management. Notfallpläne usw.32 ITIL-Wirklichkeit an der Universität Bielefeld Entwicklungsumgebung Testumgebung Produktionsumgebung Release Management Release Politik Planung Entwicklung/ Bestellung Erstellung/ Konfiguration Testphase/ Akzeptanz Rolloutplanung Information/ Training Installation Configuration Management CMDB DSL Informationen über den DHS Abbildung 1. für die Änderungen. Anschließend sollte der Release in eine realitätsnahe Testumgebung implementiert werden. So müssen Releaseinhalte. benötigten Ressourcen. dass sich die Informationen auf dem aktuellsten Stand befinden. Dadurch lassen sich die Änderungen und deren Auswirkungen nachvollziehen und gegebenenfalls korrigieren.2. muss jede Veränderung der IT-Infrastruktur . muss sichergestellt sein.6 Configuration Management Das Configuration Management stellt eine wichtige Komponente im Bereich der Service Support-Prozesse dar. Somit fungiert das Configuration Management unter anderem als Datenbank. sollten die betroffenen User über die Änderungen unterrichtet werden. den anderen ITIL-Prozessen Informationen über die IT-Infrastruktur bereitzustellen. Im nächsten Schritt wird der Release entwickelt. um die Systemintegrität zu überprüfen. Bevor der Release veröffentlicht wird. Im letzten Schritt erfolgt die endgültige Verteilung und Implementation des Release. Dieser Schritt umfasst die Terminplanung und Koordination der Implemetierung des Release in die Produktionsumgebung. um eine schnelle Umsetzung zu gewährleisten.

9: Informationsfluss Configuration Management und Service Support Prozesse. Da auch Änderungen. bezeichnet man als Configuration Item (CI). dass sie nicht bloß die einzelnen CIs speichert. der auch ein CI ist.und Fehlerbehebungs-Beschreibungen. um einen Überblick über alle CIs sicherzustellen. Zu den Veränderungen zählen neben Modifikationen an Komponenten der Hardware und Software auch Änderungen an Dokumenten. Software usw.9 wird die zentrale Bedeutung des Configuration Managements und die wechselseitige Beziehung zu den anderen ITIL Support Prozessen verdeutlicht. CD-Rom. usw. So besteht ein Computer. dass bei einer Störung oder bei einem Ausfall eines CIs genau nachvollzogen werden kann. . Netzwerkkarte.. sondern ebenfalls deren Verflechtungen zueinander widerspiegelt. aus einer Festplatte. die ebenfalls einzelne CIs sind. gespeichert und verwaltet. Ein CI setzt sich oft aus mehreren CIs zusammen.24 Anhand der Abbildung 1.. Ein Vorteil dieses Aufbaus der CMDB ist. der sogenannten Configuration Management Database (CMDB). Alle Komponenten. Auf Grund dieser vielfältigen Verflechtungen ist es wichtig. Der Computer ist natürlich auch nur ein Bestandteil eines höher geordneten CIs. Installationsanleitungen. das Release Management an das Configuration Management übermittelt werden. die in der IT-Infrastruktur von dem Configuration Management erfasst werden. jedem CI eine eindeutige Identifikationsnummer zuzuteilen. Die CIs werden in einer zentralen Datenbank. Die Besonderheit bei der CMDB ist.Service Support-Umsetzung an zwei ausgewählten Fakultäten 33 durch das Change Management bzw. Des Weiteren müssen zu jedem CI die wichtigsten Eigenschaften resp. Attribute gespeichert werden. Incident Management Change Management Configuration Management Problem Management Release Management Informationsfluss Abbildung 1. In24 Zu den Dokumenten zählen zum Beispiel Problem. welche Komponenten mitbetroffen sind. wie es bei einer Bestandsdatenbank der Fall ist.

die die Arbeit mit den Datenbanken erleichtern sollen. Darüber hinaus sind die Informationen über den Definitive Hardware Store (DHS). Problems. Um diese Arbeit zu bewältigen. auf der CMDB gespeichert.5. Zusätzlich ist innerhalb der CMDB die Definitive Software Library (DSL) 25 implementiert. zum Beispiel die Festlegung der Speicherkapazitäten der CMDB und der DSL. Known Errors und Releases und deren Beziehungen als CIs gespeichert sind. von der Rolle des Configuration Managers erfüllt werden: Aufbau und Planung des Configuration Managements: Pläne und Prozeduren für sämtliche Aktivitäten des Configuration Managements müssen festgelegt werden. Aus diesem Zusammenhang wird ersichtlich. ist eine effiziente Fehlerbehebung möglich. Abschnitt 1.10: CI-Verflechtung in der CMDB. Um ein effizientes Arbeiten zu ermöglichen. CMDB Hardware Software Dokumentation CI ComputerID:1234 Prozessor : Intel Core 2 GH HD : 60 GB Software : MS Vista MS Office Monitor : LCD usw. Da im Zeitablauf der Arbeitsauf25 Zur Erklärung vgl. dass die CMDB ein zentraler Punkt hoher Komplexität ist. müssen folgende Aufgaben von dem Configuration Management bzw. dadurch soll ein konsistenter Zustand der Datenbanken sichergestellt werden. Des Weiteren muss der Umfang und die Struktur der CMDB festgesetzt werden. müssen auch geeignete Configuration Management-Tools implementiert werden. .6 zeigt eine vereinfachte Darstellung der Struktur der CIs und deren Eigenschaften. die von dem Release Management verwaltet werden. Dieser Punkt umfasst unter anderem auch die Definition der CIs und eine einheitliche Namenskonvention der CIs. Abbildung 1.34 ITIL-Wirklichkeit an der Universität Bielefeld cidents.2. Abbildung 3.

Verifizierung und Audits: Damit die Aktualität der CMDB sichergestellt ist. Falls es sich um einen bekannten Fehler handelt und dazu Lösungskonzepte oder andere Details existieren. usw. dass die zur Verfügung gestellten Ressourcen ausreichend sind. Lizenz-Kontrollen. Es eignen sich verschiedene Vorgehensweisen für die Einführung . Dokumentationen der Systemkonfiguration. Identifikation der CIs: Eine wesentliche Komponente bei der Identifizierung der CIs ist das Maß der Differenzierung der IT-Infrastruktur.. die Aktualisierung bestehender CIs. So stellt die CMDB dem Problem Management wichtige Informationen über die Verflechtung der betroffenen CIs und weitere relevante Daten zur Verfügung. Auch hier findet ein Austausch von Daten statt. Bei der Registrierung eines Incidents sendet das Incident Management die Daten zu der CMDB. dass sich nur autorisierte und aktuelle Einträge über die CIs in der CMDB befinden. Maus. sollte durch einen regelmäßigen Soll/Ist-Abgleich sichergestellt sein. stellt die CMDB diese bereit. Um das Problem zu lösen. Software. Sollte dies nicht mehr der Fall sein. RfC. usw. Dokumentationen über Änderungen und Abweichungen. So ist der Aufwand abhängig von der Definition der CIs. Statusinformationen über die CIs: Über den gesamten Einsatzzeitraum eines CIs werden Berichte mit allen relevanten Informationen und dem aktuellen Zustand angefertigt.6 zeigt die Aufgabenbereiche und die Schnittstellen des Configuration Managements mit den anderen Service Support-Prozessen anhand eines Incidents. In enger Zusammenarbeit mit dem Release Management werden die notwendigen Änderungen durchgeführt und an die CMDB übermittelt. müssen die gespeicherten Daten in regelmäßigen Abständen überprüft werden. Auf diese Weise können die anderen Service Support-Prozesse immer auf aktuelle Informationen zurückgreifen. Abbildung 1. wird dies der CMDB übermittelt. gehört dazu die Registrierung neuer CIs. Audit wird festgestellt. Zu den möglichen CIs gehören beispielsweise die Hardware. Mit Hilfe des Configuration Managements und den dazugehörigen Komponenten sollte es möglich sein. Kontrolle der DSL.. um eine schnelle Lösung zu gewährleisten. die Effizienz und die Effektivität der IT-Organisation zu steigern. Bei dieser Verifizierung bzw. ob die gespeicherten Daten der CIs die aktuellen Daten der CIs widerspiegeln.Service Support-Umsetzung an zwei ausgewählten Fakultäten 35 wand wächst. Wird nur eine temporäre oder keine Lösung erreicht. Um dieses zu gewährleisten. wird der Vorfall an das Problem Management weitergereicht. Tastatur und Monitor ein einzelnes CI darstellen oder sollen die Bestandteile auch als CIs definiert sein? Diesen Fragen werden zuvor bei dem Aufbau und der Planung des Configuration Managements geklärt.2. Je nach Maß der Differenzierung muss die IT-Infrastruktur in ihre Bestandteile zerlegt werden und sämtliche CIs erfasst werden. Wird das Problem erkannt und zu einem Known Error. Fehlerbehebungs-Beschreibungen. wird ein RfC an das Change Management weitergeleitet. Soll zum Beispiel ein PC inkl. wird ein RfC mit Hilfe des Change Managements und Release Managements durchgeführt. Kontrolle der CIs: Das Configuraion Management sorgt dafür.

11: Schnittstelle zwischen CM und andere Service Support Prozesse. oftmals erscheint ihnen dies als zu bürokratisch. Natürlich ist eine schrittweise Einführung möglich. . mit Hilfe des in Kapitel 2 vorgestellten idealtypischen Verlaufes des ITIL Service Supports die Möglichkeit der Implementierung eines ITIL konformen Service Supports an der Universität Bielefeld darzustellen. S. Im nächsten Kapitel erfolgt eine Untersuchung des aktuellen IT-Managements bzw. Service Supports an der Universität Bielefeld anhand der Fakultät für Wirtschaftswissenschaften und der Fakultät für Rechtswissenschaft. 56] eines Configuration Managements. Das Ziel soll es sein. Von Vorteil ist es. um eine aktuelle CMDB und die damit verbundenen Vorteile zu garantieren. DHS) Configuration Management Request for Change Autorisierter Change Change und Release Management Change ausgeführt Ende Abbildung 1. Quelle: Eigene Darstellung in Anlehnung an [Vic05. Ein Hinderungsgrund für einen reibungslosen Ablauf des Prozesses ist oft die fehlende Akzeptanz der Mitarbeiter.36 ITIL-Wirklichkeit an der Universität Bielefeld Service Desk Incident Management Start Incident Problem Problem Management Known Error C M D B (inkl. die Vorraussetzung dafür ist aber eine genaue IST-Analyse der IT-Infrastruktur. DSL und Info. Es ist aber eine Notwendigkeit. wenn von Anfang an eine ITIL konforme Implementierung erfolgt. Sie müssen jede Veränderung der IT an das Configuration Management weitergeben. denn dadurch verringert sich der Arbeitsaufwand.

Wie im Kapitel 1. 1. Service Desk. da die Aufgaben und Zuständigkeiten der einzelnen Mitarbeiter nicht klar abgegrenzt sind. Incident Management. Die Kontaktaufnahme mit den Administratoren erfolgt über verschiedene Weisen.1 Fakultät für Wirtschaftswissenschaften Zuerst wird der Aufbau der IT in der Fakultät für Wirtschaftswissenschaften beschrieben. sollten die Probleme und Fehler mit möglichst genauer Beschreibung per eMail an die Systembetreuer gesendet werden. Auch die Administratoren der Fakultät für Wirtschaftswissenschaften sind die einzigen Ansprechpartner für sämtliche Incidents. Dementsprechend kann auch nicht von den unterschiedlichen „Rollen“ der einzelnen Prozesse gesprochen werden. Zu diesem Zweck haben wir mit den System-Administratoren der jeweiligen Fakultät Gespräche geführt. Auf Grund der Nutzung von mehreren Personen genießen die Netzwerkdrucker einen wesentlich höheren Support als die Bürodrucker. deshalb haben Netzwerkdrucker auch eine hohe .2. zumindest sollten sie dies sein. Problems und Request for Changes bezüglich der Hardware und Software. es gibt sowohl Bürodrucker. wer den Vorfall meldet. Grundsätzlich kann man die IT der beiden Fakultäten nicht in die Funktion des Service Desks und die einzelnen Prozesse einteilen. Dieses kann am Beispiel „Drucker“ betrachtet werden. Dennoch muss im Nachhinein differenziert werden.1 beschrieben wird.Service Support-Umsetzung an zwei ausgewählten Fakultäten 37 1. Auf Grund der geringen Anzahl an Mitarbeitern kann jedoch nicht zwischen First Level Support oder Second Level Support unterschieden werden. Der Fragenkatalog wurde in die einzelnen Prozesse bezüglich des Service Supports gegliedert. Dies kann auch in mehrfacher Form geschehen. die lokal an einem Computer angeschlossen sind.3 Untersuchung des IT-Managements in der Universität Bielefeld In diesem Kapitel soll der Service Support anhand von zwei ausgewählten Fakultäten untersucht werden. zum einen kommen die User persönlich bei ihnen im Büro vorbei.3. Es sind in der Fakultät zwei unterschiedliche Kategorien an Druckern vorhanden. als auch Netzwerkdrucker. zum anderen teilen sie ihnen telefonisch oder auch per eMail den Vorfall mit. Außerdem kann es von den persönlichen Vorlieben des Mitarbeiters abhängen. soll der Service Desk nach ITIL als ein „Single Point of Contact“ für die Kommunikation mit dem Endanwender verantwortlich sein. Die wesentlichen Aufgaben sind die Sicherstellung des reibungslosen Betriebs zentraler Komponenten (Server) und die Pflege der Infrastruktur (Hardware). Die Fakultät für Wirtschaftswissenschaften betreibt ihre lokalen Netzwerke mit minimalem Personalaufwand. Wenn möglich. die von mehreren Personen genutzt werden. Es wird sowohl die Fakultät für Wirtschaftswissenschaften als auch die Fakultät für Rechtswissenschaft betrachtet. dennoch wird dies hier versucht. Bei Meldung eines Incidents sollte prinzipiell kein Unterschied gemacht werden. welchen Status der User innerhalb der Fakultät innehat.

38

ITIL-Wirklichkeit an der Universität Bielefeld

Priorität. Generell kann also gesagt werden, dass Vorfälle genau dann eine höhere Priorität haben, wenn mehrere User davon betroffen sind, als wenn nur ein einzelner von dem Incident betroffen ist. Die Priorität kann in drei unterschiedliche Kategorien eingeteilt werden, Incidents können hoch, mittel oder niedrig eingestuft werden. Grundsätzlich werden die meisten Vorfälle bei Auftreten oder bei Meldung erstmal hoch eingestuft. Nach einer kurzen Beschäftigung mit dem Incident wird der Vorfall eventuell neu priorisiert, da bemerkt wird, dass dieser für den Moment nicht so wichtig ist. Wartet man zum Beispiel auf die Lieferung eines Ersatzteils, so stellt man den Incident zurück und behaftet ihn mit einer Information, dass auf den Lieferungeingang gewartet wird. Zu den einzelnen Incidents werden unterschiedliche Informationen abgespeichert, nicht nur Informationen zu dem User und dessen Computer, sondern auch zum Beispiel der letzte Bearbeiter. Auf Nachfrage bekommen die User, die ein Incident vorliegen haben, eine Übersicht über den Stand der Dinge. Auch bei Bestellungen wird der User darüber informiert, dass zum Beispiel die Bestellung aufgegeben wurde und wann mit einer Lieferung zu rechnen ist. Jedoch reagieren oftmals die Kunden ganz unterschiedlich, die einen möchten auf dem Laufenden gehalten, den anderen reicht die Meldung, dass sich darum gekümmert wird. Problem Management. Nach ITIL wird zwischen „Incident“ und „Problem“ unterschieden, ein Problem ist schwerwiegender als ein Incident. Bei den Administratoren der Fakultät für Wirtschaftswissenschaften gibt es eine solche Unterscheidung nicht. Auf den Computern in der Fakultät wird StandardSoftware installiert. Dennoch möchten manche User eine spezielle Software auf ihren Computern haben, treten bei diesen dann Fehler auf, so ist der Supportlevel von den Administratoren sehr gering. Es wird bei Anschaffung darauf hingewiesen, dass bei eventuellen Problemen mit der Software keine Unterstützung durch die Administratoren gewährleistet werden kann. Tritt ein Fehler oder ein Problem bei einer Standard-Software, verfügen sie über eine selbst angeeigneten Wissensbasis. Dennoch kann man auch Hilfe im Internet oder in verschiedenen Administratoren-Foren finden, da die Standard-Software oftmals eine sehr verbreitete Software ist. Ist trotzdem zu einem gewissen Zeitpunkt der Support nicht mehr möglich, so wird der Hersteller der Hardware oder Software kontaktiert. Dies kommt jedoch in den seltensten Fällen vor. Um Fehler oder Probleme an der Software im Voraus zu verhindern, wird, sobald sich Software in einer neuen Version auf dem Markt befindet, diese getestet und überprüft. Damit die Schadensbegrenzung so gering wie möglich zu halten, wird eine Empfehlung zur Nichtnutzung der bestimmten Software ausgesprochen. Change Management. In Bezug auf finanzielle Mittel sind alle Lehrstühle der Fakultät für Wirtschaftswissenschaften selbst verwaltet, also alle haben ein eigenes Budget, das ihnen frei zur Verfügung steht. Dieses wird von der Fakultätsverwaltung verwaltet, jedoch hat die Fakultätsverwaltung kein technisches Know-How bezüglich der Software oder Hardware. Aus diesem Grund können die Administratoren nur leiten und beratend eingreifen, was die Beschaffungen betrifft, haben aber keinen direkten Einfluss darauf. Sie haben nicht die Möglichkeit, zum Beispiel „unvernünftige “ Beschaffungen, die von den Lehrstühlen

Service Support-Umsetzung an zwei ausgewählten Fakultäten

39

gewünscht werden, zu verhindern. Auch bezüglich der Hardware besteht ein Standard, der eingehalten werden soll. Da man sich bereits Kenntnisse über die standardisierte Hardware angeeignet hat, kann so Zeit eingespart werden, die man unnötig vergeuden würde, wenn man sich ständig mit unterschiedlicher Hardware auseinandersetzen müsste. An erster Stelle steht das HRZ, das Empfehlungen bezüglich der Hardware oder Software herausgibt. Bevor die Software den Usern angeboten wird, wird die Lauffähigkeit im universitären Umfeld getestet, wie sie im universitären Umfeld läuft, vor allem mit dem Server. Die PC-Nutzer verfügen in der Regel keine Administratoren-Rechte, sie haben nur Hauptbenutzer-Rechte. Release Management. Die Administratoren sind sowohl für Beschaffung, Installation, Wartung und Entsorgung Hardware als auch für Beschaffung, Installation und Pflege von System- und Anwendungssoftware zuständig. Sie können Hardware oder Software kostengünstig beschaffen, außerdem können die Beschaffungen dann auch gebündelt werden. die Administratoren können beratend eingreifen, da innerhalb der Fakultät bezüglich Hardware und Software gewisse Standards eingehalten werden sollen. Die Computer-Arbeitsplätze werden für die Benutzer funktionsfähig eingerichtet. Die Erstinstallation umfasst das HRZ-Basic-Bundle. Im Hochschulrechenzentrum (HRZ) wird ein Software-Bundle bereit gestellt, das es in zwei unterschiedlichen Ausführungen gibt. Dies ist zum einen das Basic-Bundle und zum anderen das Classic-Bundle, das das Basic-Bundle beinhaltet. Die Konfiguration, die Implementierung und die Beratung der HRZ PC-Services in der Fakultät sollte durch die Administratoren mit beratender Unterstützung durch das HRZ geschehen. Die Software wird ausschließlich von den Administratoren beschafft und installiert. Sonstige Software aus dem Classic-Bundle und weitere Installationen, die nicht aus dem Bundle stammen, werden per Antrag auf Kosten des betreffenden Lehrstuhls beschafft. Bei gekaufter Software ist der Lizenznehmer immer die Fakultät, die Kopien und die Originalen werden bei den Administratoren aufbewahrt. Sie sind also Ansprechpartner für Softwareangelegenheiten, außer es wird spezielle Software genutzt, die zum Beispiel aus dem HRZ-ClassicBundle kommt. Bei einem Backup-System oder einer Repository muss man zwischen ProgrammDateien und User-Dateien unterscheiden. Jeder Benutzer sollte aus Sicherheitsgründen seine eigenen User-Dateien auf der persönlichen Home Directory speichern, da sich dieses Laufwerk auf den Servern des HRZ befindet und täglich gesichert wird. Außerdem befinden sich mehrere Versionen der User-Dateien auf den Servern. Bei Problemen in der Konfiguration, die durch fehlerhafte Programme ausgelöst werden, werden diese gelöscht und anschließend neu installiert. Es gibt also kein sogenanntes Lifecycle-Management. In der ITIL gibt es den sogenannten Definitive Hardware Store (DHS). Hierbei handelt es sich um ein Lager mit wichtigen Hardwarekomponenten. Aus Platzgründen wird Hardware nicht gelagert, sondern erst bei Bedarf beschafft, dann für den Einsatz vorbereitet und kommt dann zu dem Endnutzer. Es sind nur Standard-Sachen in geringer Anzahl vorhanden, wie zum Beispiel Tastaturen, Computer-Mäuse, Laufwerke etc. Da die Administratoren für die Netzwerkdru-

40

ITIL-Wirklichkeit an der Universität Bielefeld

cker zuständig sind, müssen sie sich auch um Toner für diese kümmern und ein paar auf Lager haben. Configuration Management. Die Computer, die für die Fakultät beschafft werden, werden zentral von der Universität verwaltet, deshalb werden sie einer sogenannten Inventarisierungsnummer zugeordnet. Dies wird mit jedem Rechner gehandhabt. Außerdem wird in der Universitätsverwaltung dokumentiert, wer den Rechner nutzt, wo dieser steht, etc.. Auch die Administratoren haben eine solche Datenbank, in der neben den bereits oben erwähnten alle sonstigen Informationen bezüglich der Hardware und Software gespeichert werden.

1.3.2

Fakultät für Rechtswissenschaft

Die Fakultät für Rechtswissenschaft hat eine ähnliche IT wie die Fakultät für die Wirtschaftswissenschaften. Jedoch ist sie nicht an die Active Directory des HRZ angeschlossen, sondern sie betreibt ihre eigene Domäne26 . Service Desk. Auch in der Fakultät für Rechtswissenschaften existiert teilweise ein Service Desk. Die EDV ist täglich von zwei Personen besetzt, eine Vollzeitkraft und eine studentische Hilfskraft. Einer von beiden ist im Büro anzutreffen und arbeitet organisatorisch, der andere erledigt die Problembehandlung an den Lehrstühlen. Auch hier werden Incidents oder Requests for Change durch die übliche Art und Weise an die EDV-Betreuer herangetragen, sprich persönlich, durch einen Anruf oder per eMail. Es soll aber vornehmlich per eMail mit den EDV-Betreuern Kontakt aufgenommen werden. Eine Unterscheidung zwischen einem First Level Support und einem Second Level Support kann man an dieser Stelle auch nicht entdecken. Der Third Level Support sind Anfragen an den Hersteller der Software oder Hardware. Incident Management. Generell wird bei der Meldung eines Incidents keine Unterschiede gemacht, wer den Incident meldet, jedoch hängt es auch hier sehr von dem Status in der Fakultät ab. Ein Professor bzw. seine Sekretärin genießen klar Vorrang. Trotzdessen wird aber auch festzustellen versucht, wie sehr der Incident den Arbeitsfähigkeit der Person einschränkt, also wie hoch der Arbeitsausfall ist. Momentan läuft die Aufnahme eines Incidents größtenteils über eMail ab, sprich man schreibt den Kollegen und somit auch sich selbst eine eMail, in der dann nähere Details zu dem Incident stehen und was gemacht werden soll. Nach Abhandlung des Incidents wird die dazugehörige eMail in einen anderen Ordner geschoben. Es werden weder irgendwelche Daten erfasst noch wird dokumentiert, wie hoch der Zeitaufwand war, es gibt also weder den sogenannten Incident Record noch den Problem Record. Es soll aber ein Open Ticket Request System (OTRS) eingeführt werden, mit dem sich dann Probleme und Anfragen bearbeiten lassen. Außerdem existiert ein internes Wiki27 . Es dient nicht nur als
26 Eine Domäne ist ein Server zur zentralen Authentifizierung und Autorisierung von Computern und Benutzern in einem Rechnernetz. 27 Unter einem Wiki versteht man eine Sammlung von Webseiten, die nicht nur gelesen, sondern auch online verändert werden kann. Dabei kann auch auf frühere Versionen zurückgegriffen werden.

Es wird versucht. Change Management. bekommen auch die übrigen Lehrstühle die Software. Die Softwareeinführung. Geld zu sparen. Bei Hardwareproblemen lässt man einen Techniker des passenden Herstellers kommen. Hardware wird von der EDV beschafft. Bei speziellen Wünschen bezüglich der Software wird die sich auf dem Markt befindliche Software gesichtet. das den Lehrstühlen zur Verfügung steht. alles andere läuft über die Beschaffungsstelle der Fakultät.Service Support-Umsetzung an zwei ausgewählten Fakultäten 41 organisatorische sondern auch als technische Datenbank. die in die Registry eingreift. Es wird immer nur das bestellt. es gibt eine Standard-PC-Ausstattung. Es muss ein Beschaffungsauftrag gestellt werden. jedoch werden diese oft abgeblockt. denn man wird angehalten. da es oft zu zeitintensiv ist. Wird eine andere Software für die gleiche Aufgabe gewünscht. Das Geld. Auch für die Fakultät für Rechtswissenschaft gibt es eine Standardsoftware-Installation. Auch in diesem Fall spielt das Geld eine große Rolle. zumindest die gängige Software. der dann an das Dispatching des HRZ weitergeleitet wird. Bis zu einem Betrag von 200 Euro kann alles sofort beschafft werden. So lassen sich Probleme an der Software schneller beheben. Keiner der Fakultätsmitarbeiter darf Software kaufen. damit es auch Akzeptanz findet. so dass dann eine als Standardsoftware definiert. den PC-Pool möglichst identisch zu halten. Falls dann keinen Beschwerden kommen. wird auch hier zentral verwaltet. in der jedoch nur Probleme. was momentan benötigt wird. Wird sie als lauffähig identifiziert. in der dann auch Probleme besprochen werden und Lösungsvorschläge gemacht werden. Für die Installation von Software gibt es ein System zum Rollout der Software. Die Benutzer haben keine Administratoren-Rechte. manchmal wird auch Rücksprache mit dem HRZ getroffen. Zuerst wird mit dem DV-Beauftragten kommuniziert. so wird sie zuerst auf die Computer eines Lehrstuhls ausgerollt. Es muss von der ganzen Fakultät beschlossen. wird durch die Lehrkörperkonferenz abgehandelt. Bei der Behandlung von Problemen an der Software dienen zum Beispiel Mailinglisten der Open Source Produkte als Hilfe. denn dafür ist die EDV-Abteilung zuständig. Alles kann nicht streng dokumentiert werden. sie können daher auch keine Software installieren. dieser stellt dann das Vorhaben in der Lehrkörperkonferenz vor. die häufiger auftreten. Für eine Aufgabenstellung gibt es jeweils auch nur eine Standardsoftware. Einmal die Woche findet eine EDV-Besprechung statt. da jeder Computer an der Fakultät mit der gleichen Software ausgestattet ist. Meistens wird die Software vor dem Rollout auf den Rechnern in der EDV getestet. Extrawünsche werden mit einer Empfehlung der EDV an die Verwaltung weitergeleitet. Vorher kann festgelegt werden. es wird also nicht auf Vorrat gekauft. . Release Management. und ihre Problembehandlung eingetragen werden. Diese leitet es dann an die Zentrale Beschaffungsstelle der Universität. ob alle Lehrstühle oder nur bestimmte Lehrstühle die neue Software oder -version bekommen. so muss man sich mit der Standardsoftware begnügen. zum Beispiel die Einführung einer neuen WindowsVersion. So wird der Software-Pool auf dem aktuellsten Stand gehalten. Problem Management.

Im Vordergrund bei der Implementierung von ITIL steht. Man weiß also zum Beispiel auch. einkaufen lassen hat. wie bereits schon erwähnt. Dies ist in erster Linie für Unternehmen besonders im Hinblick auf Wirtschaftlichkeit von enormer Bedeutung. ihre eigene Domäne betreibt.2 dargelegt wurde. wie zum Beispiel Instant Messenger. Bei Eintreten dieses Falls wird der Benutzer darüber aufgeklärt und die Software umgehend entfernt. 1. welcher Lehrstuhl welche Software-Lizenz eingekauft hat bzw.42 ITIL-Wirklichkeit an der Universität Bielefeld Da die Fakultät für Rechtswissenschaft. und das Anschaffungsdatum verwaltet. Alle drei Server werden durch ein MonitoringSystem bewacht. Bei Abmeldung des Benutzers vom System wird alles wieder zurück auf den Server geschrieben. Es gibt aber dennoch Informationen. Die EDV-Betreuer werden per SMS und per eMail über den Ausfall eines Servers oder womöglich aller Server informiert. im Allgemeinen die Verbesserung des IT-Service Managements. Entsprechend müssen dafür auch genügend Ressourcen in Form von Arbeitsplätzen. ein Web-Server und ein Backup-Server.3. Es kann also genau festgestellt werden. diese müssen nachträglich per Hand eingegeben werden. die die Universität verteilt. an welchem Rechner welcher Bildschirm angeschlossen ist. Insbesondere geht es dabei um die Verbesserung des Kundenservices und der effizienten Strukturierung der IT-Infrastruktur. Arbeitsaufteilung notwendig. Das System zum Rollout der Software inventarisiert jeden Computer. er kann damit an jedem Computer in der Fakultät auf seine persönliche Benutzeroberfläche und seine Daten zurückgreifen. welche Software sich auf welchem Rechner befindet. an welcher Netzwerkdose der Rechner angeschlossen ist. wie bereits erwähnt. die in der Fakultät vorhanden sind. Jeder Benutzer hat sein eigenes Benutzerprofil. Neben dem Domäne-Server existieren noch zwei weitere Server. auf den Rechnern vorhanden ist. Denn daran wird die Problematik für die Einführung eines ITIL-konformen Service Supports an einer Universität verdeutlicht.3 Kritik und Empfehlung Bevor auf Kritik und Empfehlungen eingegangen wird. Configuration Management. basiert der Service Support nach ITIL auf festgelegten Strukturen und Arbeitsabläufen. soll noch einmal der Grundgedanke von ITIL aufgezeigt werden. bereitgestellt werden. Zu diesen Informationen gehören zum Beispiel der Standort des Rechners. ob unerlaubte Software. steht die Arbeit in der gesamten Fakultät stillt. In dem vorhandenen Wiki kann nachvollzogen werden. In einer Universität haben solche Faktoren in der Regel einen nicht so hohen Stellenwert. Wie in Kapitel 1. außerdem wird die Inventarisierungsnummer. Es ist somit ein hohes Maß an Standardisierung und eine exakte Rollenverteilung resp. ein sogenanntes „Roaming-UserProfile“ . finanziellen Mitteln etc. Im Allgemeinen gibt es keinen Überblick über alle Lizenzen. Einmal in der Nacht wird dann ein Backup gemacht. . die nicht automatisch in dem Inventarisierungsclient auftauchen. Wenn der Domäne-Server ausfällt. Durch ein Suchfunktion in dem System wird manchmal geschaut. werden die Daten des Benutzers auf den Rechnern gespeichert. um die Vorteile der ITIL-Prozesse zu nutzen.

dass auf Grund der geringen personellen Größe der einzelnen EDV-Abteilungen die Mitarbeiter sich fast alle Aufgaben teilen und es dadurch nicht möglich ist. Nach ITIL dient der Service Desk als zentrale Kommunikationsschnittstelle zwischen Usern und Support. die sinnvoll erscheinen. dies wird sich noch im Verlauf dieses Abschnittes zeigen.und Kostenaufwand zu realisieren wäre. Im Grunde ist jede EDV-Abteilung autark und für die IT-Struktur der jeweiligen Fakultät verantwortlich. Anregungen etc.Service Support-Umsetzung an zwei ausgewählten Fakultäten 43 Anhand des im vorangegangenen Abschnittes dargestellten IST-Zustandes des IT-Managements der beiden Fakultäten ist es offensichtlich. dass jede Fakultät eine eigene EDV-Abteilung beinhaltet und diese als Ansprechpartner für die jeweiligen Fakultätsmitarbeiter dient. Ein weiteres Umsetzungsproblem besteht darin. Fehler einer Software der entsprechenden EDV-Abteilung gemeldet. Problem Management. Es wird hierbei auf die Service Support-Funktion Service Desk bzw. Change Management. Wünschenswert wäre ein virtueller Service Desk. Fragen. Aber diese Struktur verhindert auch eine Zusammenarbeit zwischen den Fakultäten. dass auf Probleme. Wünschenswert wäre eine ITIL-konforme Priorisierung. dass die Implementierung eines ITIL-konformen Service Supports an der Universität Bielefeld sich als äußerst schwierig erweisen würde und nur mit einem großem Arbeits. um die Kooperation der Fakultäten zu verbessern. An der Universität sind sachliche Gründe bei der Bearbeitung eines Incidents oftmals nicht das Hauptkriterium. Des Weiteren werden manche Punkte zusammengefasst. Vielmehr erfolgt die Klassifizierung häufig anhand personenbezogenen Gründen. sondern nur solche. Insbesondere die Implementierung einer gemeinsamen Configuration Management Database wäre wichtig. Somit ist gewährleistet. Dies lässt sich damit begründen. Die Architektur des Service Desks an der Universität Bielefeld entspricht dem eines lokalen Service Desk. um die entsprechende Lösung zu erarbeiten. seitens der User schnell reagiert werden kann. werden im Verlauf dieses Abschnittes anhand der verschiedenen Prozessen des Service Supports näher erläutert. Wird zum Beispiel von einem User der Fakultät für Wirtschaftswissenschaften ein bisher unbekanntes Problem bzw. bei der Dringlichkeit und Auswirkung des Problems maßgebende Kriterien sind. Es soll aber nicht das Ziel sein. Aufgabenbereiche klar voneinander abzugrenzen. Klassifizierung. Im Folgendem werden aufbauend auf der Kritik mögliche Verbesserungsvorschläge nach ITIL-Empfehlungen dargestellt. die mit diesem Sachverhalt zusammenhängen. Incident und Problem Management. -Prozesse Incident Management. Die Probleme. da man erst die Gründe des Fehlers suchen muss. da eine klare Abgrenzung auf Grund der geringen personellen Größe der Abteilungen oftmals nicht möglich ist. Im einzelnen zeigt sich die Problematik für eine Einführung von ITIL-konformen Prozessen bereits bei der allgemeinen Zusammenarbeit der EDV-Abteilungen der einzelnen Fakultäten. Release Management und Configuration Management im Einzelnen eingegangen. die verschiedenen Rollen resp. In diesem Zusammen- . Als ein weiterer kritischer Punkt ist in diesem Zusammenhang die Bearbeitung von Incidents zu sehen. kann die Problembehebung unter Umständen sehr aufwendig sein. Service Desk. Ein weiterer wichtiger Punkt ist die Aufnahme eines Incidents und dessen Priorisierung bzw. sämtliche Punkte des Service Supports nach ITIL auf die Universität zu übertragen.

dass es keine einheitliche Softwarestandards für die Fakultäten gibt. dass eine andere Fakultät einen ähnlichen Vorfall hatte und diesen bereits gelöst hat. dass die Implementierung einer gemeinsamen Datenbasis in der Universität ein wichtiger Fortschritt wäre. Dadurch besitzt jede Fakultät eigene Softwarestandards. Dies gestaltet sich an der Universität Bielefeld auf Grund der autarken Fakultäten als äußerst schwierig. für bestimmte Probleme den anderen Fakultäten zur Verfügung stellen können. sondern darüber hinaus als Mittel der aktiven Kommunikation zwischen den verschiedenen Fakultäten. einen einheitlichen Standard zu realisieren. um einen solchen Mehraufwand zu vermeiden. welches dann auch die entsprechenden Rollouts durchführt. Das HRZ stellt zwar standardisierte Softwarepakete bereit. Im Bereich der Software lässt sich für die Universität festhalten. doch jede Fakultät erweitert das SoftwareBundle um fakultätsinterne Software. Mit Hilfe einer solchen Datenbasis könnte auch ein weiteres Problem gelöst werden. Das Ziel eines ITILkonformen Change Managements und Release Managements ist die Implementierung von autorisierter Software und Hardware mit Hilfe standardisierter Verfahren. Sie sollte aber nicht nur als reine Wissensdatenbank fungieren. die von dem HRZ verwaltet werden könnte. hätten sie den Fehler schneller beheben können. da entsprechende Sanktionierungsmaßnahmen keine Wirkung haben. ihr Wissen zu teilen. Eine Lösungsansatz für die Problematik könnte eine Definitive Software Library (DSL) sein. wenn das Wiki mit einer Volltextsuche ausgestattet wäre. anstatt zwei oder drei studentischen Hilfskräften eine Vollzeitkraft anzustellen und zusätzlich mit Hilfe einer Datenbasis das Wissen nachhaltig zu sichern. Infolgedessen ist es schwierig. Dieses Lösungskon- . Denn wäre der Abteilung das Problem bekannt gewesen. Um die Suche nach einer Lösung für den Benutzer zu erleichtern. Change Management und Release Management. in der Universität gestaltet sich dies oftmals als schwierig. Um diesen Problem entgegenzuwirken. dass es sich bei den Mitarbeitern zum Großteil um studentische Hilfskräfte handelt und diese meistens nur über einen begrenzten Zeitraum in der EDV-Abteilung arbeiten. Denn auf Grund der Tatsache. auf der die EDV-Mitarbeiter ihre erarbeiteten Lösungen. müsste dann in Absprache mit den einzelnen Fakultäten festgelegt werden. auch im Rahmen des Proactive Problem Managements. herrscht eine hohe Mitarbeiterfluktuation und damit geht häufig Wissen verloren. Im Kontext des Service Supports nach ITIL wäre einen Fakultäts übergreifende Configuration Management Database (CMDB) von Vorteil. Abschließend lässt sich für die Bereiche Service Desk. Welche Programme auf der DSL installiert werden. und zum anderen die Dokumentation jeglicher Incidents.44 ITIL-Wirklichkeit an der Universität Bielefeld hang besteht die Möglichkeit. Mit Hilfe dieses Konzeptes könnte dann die Software von dem HRZ zentral verteilt werden. Dadurch hätte man eine Plattform. In einem Unternehmen kann dies beispielsweise durch Abmahnung gewährleisten werden. wäre es von Vorteil. Dies könnte zum Beispiel in Form eines Wikis geschehen. die auf den fakultätsinternen Computern installiert werden und von den jeweiligen EDV-Abteilungen betreut werden. Die Voraussetzung dafür ist zum einen die Bereitschaft der Mitarbeiter. wäre es vorteilhaft. Incident Management und Problem Management festhalten. Somit hat die EDV-Abteilung der Wirtschaftswissenschaften einen unnötigen Mehraufwand. Die Wartung der Software obliegt dann auch dem HRZ.

Dieses sollte dann über die Zweckmäßigkeit einer teureren Anschaffung bestimmen. Die Informationen.3. unterschiedliche Verfahren für die Verwaltung von Softwarelizenzen. Informationsdatenbank für Hardware. Um diesen Umstand zu begegnen.12: Funktionsweise der CMDB und der DSL. wie Microsoft Windows oder Microsoft Office. Sie soll als Wissensdatenbank. Dadurch besteht die Gefahr.12 stellt ein mögliches Lösungskonzept28 der Funktionsweise der CMDB und der DSL an der Universität Bielefeld dar. Es zeigt sich. Aus diesem Grund sollte an jeder Fakultät ein Change Advisory Board (CAB) eingeführt werden. sollten dann in der Configuration Management Database (CMDB) gespeichert werden. dass die Verwaltung der CMDB dem HRZ obliegt. Zusammenfassend lässt sich festhalten. dass eine vollständige Implementierung eines ITIL-konformen Service Support-Prozesses an der Universität Bielefeld 28 Aus Gründen der Übersicht wird das Konzept nur mit zwei Fakultäten dargestellt. Ein weiteres Problem im Bereich der Software ist die Softwarelizenzierung. Eine mögliche Lösung wäre der Erwerb von Campuslizenzen für die gängigste Software. Im Bereich der Hardware empfiehlt das HRZ Standard-Computer für die Universität. CMDB+DSL Fakultät Wirtschaftswissenschaften Fakultät Rechtswissenschaften Rollout Informationen Rollout Informationen HRZ Abbildung 1. .3. Ein weiteres Problem bei der Beschaffung der Hardware ist die Frage der Notwendigkeit. Lizenzierung und Hardwareverwaltung Handlungsbedarf an der Universität Bielefeld besteht. Configuration Management. Die Fakultäten haben. wie in Abschnitt 1. dementsprechend gibt es eine Vielzahl von unterschiedlichen Systemen. Es ist in diesem Zusammenhang empfehlenswert. obwohl deren „alte“ Geräte noch ausreichend sind. da Standards festgelegt werden müssen.2 gezeigt wurde. dass manche Fakultäten überlizenziert und andere unterlizenziert sind. dass besonders im Hinblick der Softwareverwaltung. Die wesentliche Aufgabe des Configuration Management ist die Bereitstellung von Informationen mit Hilfe einer Datenbank. Oftmals werden für Lehrstühle neue Computer beschafft. sollten zwingend geltende Richtlinien für die Beschaffung von Computern in den Fakultäten der Universität eingeführt werden. Mittel der Kommunikation und DSL der einzelnen Fakultäten dienen. Es ist aber keine zwingende Vorgabe. Anhand der bereits genannten Kritikpunkte ist die Implementierung einer Configuration Management Database (CMDB) in die IT-Infrastruktur der Universität Bielefeld die wichtigste Empfehlung. der ITInfrastruktur der jeweiligen Fakultäten.Service Support-Umsetzung an zwei ausgewählten Fakultäten 45 zept basiert auf der Bereitschaft zur Zusammenarbeit der einzelnen Fakultäten. Diese kann dann als Informationsdatenbank für die Hardware dienen.1 und 1. Die Abbildung 1.

wurde in Abschnitt 1. Problems und die damit verbundene Struktur des Service Supports ist.“. Hier wurde zum Beispiel festgestellt. Hier war der Aufbau der einzelnen Abschnitte identisch mit dem Abschnitt 1. dass ITIL mit dem Service Support ein Problemlösungskonzept zur Verfügung stellt.1 bzw. Von der Aufnahme des Incidents bis hin zur Lösung des Problems stehen nach ITIL Funktionen und Prozesse zur Verfügung. die Unflexibilität gewisser Mitarbeiter und die unökonomische Betrachtungsweise der Universität. Das Ziel der ausführlichen Darstellung war es.“. einige Ideen von ITIL aufzugreifen und diese in der Universität umzusetzen. Die Gründe dafür sind vielfältig. Wie umfangreich die Incidents bzw.2 auch zu verstehen. Hierbei wurden mit Hilfe eines bereits vorab ausgearbeiteten Fragenkatalogs29 Interviews mit den zuständigen EDV-Mitarbeiter geführt. „Ich habe keinen Zugriff auf die Datenbank.2 mehr als deutlich.2.3 diverse Vorschläge gemacht. Auch die Bereitschaft zur Veränderung und der Kooperation der einzelnen EDV-Abteilungen spielen bei der Einführung von ITIL eine wichtige Rolle. den User in jeglicher Hinsicht unterstützt. 1. In dem Abschnitt 1. zum Beispiel spricht die vorhandene IT-Infrastruktur dagegen.2 wurde dann zunächst auf den IST-Zustand der Fakultät für Wirtschaftswissenschaften und der Fakultät für Rechtswissenschaft der Universität Bielefeld eingegangen.3. Somit sind die Vorteile von ITIL nicht von der Hand zu weisen.3. Weitere Probleme sind die fehlende Kommunikationsbereitschaft der Fakultäten untereinander. Probleme zu bewältigen. diese sind jedoch nicht im ausreichenden Maße vorhanden. sondern zeigt Mittel und Wege auf. dass die jeweiligen Fakultäten autark voneinander arbeiten und dies zu einem unnötigen Mehraufwand bei einer Problemlösung führen kann.3 kamen Kritik und Empfehlungen hinsichtlich des ISTZustandes der Fakultäten in Bezug auf einen ITIL-konformen Service Support zu ihrer Geltung. 1. Hierzu gehört zum Beispiel die Implementierung einer Configuration Management Database (CMDB) und einer Definitive Software Library (DSL). Daher löst ITIL Probleme nicht. die sich in der Praxis bereits bewährt haben und einen reibungslosen Betriebsablauf gewährleisten können. die die Probleme 29 Siehe Anhang. Auch hierzu wurden im Abschnitt 1.46 ITIL-Wirklichkeit an der Universität Bielefeld nicht realisierbar ist. In den Abschnitten 1. Diese wären nur mit einem großen Aufwand zu ändern. die damit zusammenhängenden Kosten würden aber den Nutzen nicht rechtfertigen. ein weiterer wichtiger Punkt ist die geringe Größe der einzelnen EDV-Abteilungen. die Schwierigkeit der Implementierung eines ITIL-konformen Service Supports und die Komplexität der Anforderungen an die jeweiligen Prozesse darstellen zu können. „Mein alter Computer kann mit seiner noch älteren Software dieses Problem nicht lösen.4 Fazit „Mein Computer stürzt dauernd ab.3. Anschließend wurden die Interviews zusammengefasst und separat abgehandelt. Allerdings gibt Abschnitt 1. Trotz dieser Gründen sollte aber versucht werden. .3. das den Kunden resp.“ Wir haben nun gesehen. Problems immer einen Prozess auf Basis des Best Practice-Konzeptes zur Lösung vorschlägt. in dem die theoretische Struktur des Service Supports vorgestellt wurde. dass ITIL für solche Incidents resp.

Im Vergleich zu einem Unternehmen. die in der IT-Branche tätig sind. ITIL bietet tatsächlich mit dem Service Support eine gute Möglichkeit. muss mit „Nein“ beantwortet werden. wie die Universität Bielefeld. ob sich ITIL bzw. da die vorgeschlagenen Funktionen und Prozesse sich bereits in der Praxis bewährt haben. Als „Allheilmittel“ sämtlicher User-Probleme kann ITIL nicht verstanden werden. ist. in dem eine klare Organisation unabdingbar für das Bestehen in der freien Marktwirtschaft ist. da sich hier mit Hilfe von ITIL eine bessere Übersicht in der Problembewältigung und somit ein reibungsloserer Betriebsablauf im Unternehmen gewährleisten lassen. welches eine Einführung von ITIL erschwert. werden eine Umsetzung von ITIL im eigenen Betrieb kaum hinterfragen.3 ersichtlich. da die Kosten den Nutzen übersteigen würden. . Es lässt sich aber feststellen. wird in der Universität zwar nicht darauf verzichtet.Service Support-Umsetzung an zwei ausgewählten Fakultäten 47 an der Universität Bielefeld nicht lösen. Problems des Users zu behandeln. ITIL ist vor allem für große Unternehmen von Interesse. ein ITIL-konformer Service Support wirklich für jeden lohnt. die ebenfalls eine Barriere für ITIL darstellt. die Incidents bzw. ITIL zum Beispiel an einer Hochschule. aber zumindest die Situation verbessern würden. zu nennen. Während ein Unternehmen eher monetäre Ziele verfolgt. Doch der Versuch. auf operativer Ebene des serviceorientierten IT-Managements effizient zu arbeiten. Zum anderen sind die doch teilweise undurchsichtigen Strukturen ein weiteres Problem. Zum Schluß ist noch die personelle Problematik. umzusetzen. Diese Tatsache ist allerdings nicht weiter verwunderlich. nur begrenzt sinnvoll. Es gibt lediglich die Richtung und die Organisation der Problemlösung vor. Grundsätzlich lässt sich diese Frage mit einem „Ja“ beantworten. Aus diesem Grund sollte die Universität den Grundgedanken von ITIL aufnehmen und auf seine spezielle Ausrichtung resp. wie bereits aus Abschnitt 1. Aber die in dieser Arbeit wichtigste Frage. dass ITIL mit dem Service Support in seinen Grundzügen eine sehr gute Möglichkeit zur Gewährleistung eines reibungslosen Betriebsablaufes und zur Bewältigung von IT-Problemen darstellt. ob der von ITIL vorgeschlagene Service Support wirklich so sinnvoll ist. Dies wurde auch im Verlauf dieser Arbeit deutlich. Die durchzuführenden Prozesse und die damit verbundene Qualität der Prozesse liegen im Aufgabenbereich der zuständigen EDV-Mitarbeiter. Am Anfang dieser Arbeit stellte sich die Frage. Zum einen sind da die unterschiedlichen Ausrichtungen der jeweiligen Unternehmungen zu nennen. aber auch nicht viel Wert gelegt. Auch Unternehmen. Bedürfnisse auslegen. sind Forschung und Entwicklung im Bereich der Wissenschaft sowie Ausbildung von Wissenschaftlern die vorrangigen Ziele einer Universität. Dies hat verschiedene Gründe. Somit ist von einer Umsetzung von ITIL an der Universität Bielefeld abzuraten.

dokumentiert und ausgewertet? Welche Informationen werden aufgenommen?(Incident Records) Deckt der Service Desk die Anforderungen der Kunden? Werden die Kunden über den Stand der Dinge informiert? Gibt es einen schnellen Zugriff auf verschiedene Dokumente und Support Informationen in Form von speziellen Dokumentmanagementsystemen oder Wissensdatenbanken? Gibt es eine Klassifizierung zwischen bekannten Fehlern und Problemen? Werden die bekannten Fehler in einer eigenen Datenbank (Known Error Database)? Gibt es schnelle.. persönlich. vor allem wie wird Priorität definiert? Wie werden Incidents aufgenommen. kurzfristig verfügbare Lösungsmöglichkeiten zum Umgang von Fehlern (Workarounds)? Treten Eskalationsfälle auf? Wird bei Problemen ein Problem-Record erstellt? Versucht man die Ursachen von Störungen zu erforschen? Werden die betroffenen CIs ermittelt? Wie werden die CIs ermittelt? Werden dem Service Desk so weit wie möglich Informationen..48 ITIL-Wirklichkeit an der Universität Bielefeld 1. dass durch eine Änderung an einer Stelle keine Störungen oder andere Beeinträchtigungen an einer anderen Stelle neu verursacht werden? Gibt es qualitätsgesicherte Standards und Grundkonfigurationen zur Installation von IT-Systemen? Prozess Incident Management Problem Management Change Management Release Management . Lösungsmöglichkeiten und Workarounds an die Hand gegeben? Werden unbekannte Fehler zu bekannten Fehlern? Wie geschieht das? Werden alle Prozessschritte zur Behebung überwacht und nachverfolgt? Werden definierte Methoden ein. dem die Entscheidungsgewalt obliegt? Wird sichergestellt. genehmigt und geordnet? Gibt es ein Change Advisory Board. daher wie werden sie kategorisiert und priorisiert.) Ist der Service Desk als SPOC implementiert? Gibt es einen First Level Support? Gibt es einen Second Level Support? Gibt es einen Third Level Support? Wie werden Incidents klassifiziert.. um Anzahl und Schwere von Störungsmeldungen nachhaltig zu senken? (Pro-Aktives Problem Management) Gibt es standardisierte Änderungsschritte? Werden alle Änderungsvorhaben geprüft.5 Fragebogen Frage Ist ein zentraler Service Desk vorhanden? Wie funktioniert die Kontaktaufnahme?(eMail. Anruf.

und Softwareinventars? Werden die Konfiguration aller IT-Komponenten (Kommunikation. Verfolgung und Bewertung von Hardware. Verwaltung. Repository? Wird die ordnungsgemäße Durchführung der Änderungen organisiert.Service Support-Umsetzung an zwei ausgewählten Fakultäten Prozess Release Management 49 Configuration gement Mana- Frage Ist das Change Management in das Release Management eingebunden? Existiert ein BackUp-System bzw. überwacht und dokumentiert? Werden bei Änderungen an Systemkomponenten alle wichtigen Daten gesichert und alle Komponenten gründlich getestet? Gibt es eine Datenbank für bekannte und gelöste Probleme? Gibt es gesicherte Informationen bzgl. Lizenzen und Herstellersupport? Gibt es Verfahren zur Beschaffung. Hardware. Software) an zentraler Stelle dokumentiert? Sind die Aufgaben und Zuständigkeiten klar abgegrenzt? Gibt es einen Manager? Werden Kennzahlen und Statistiken über Störungsverläufe geführt? Welche Kennzahlen gibt es? Erfolgt die Softwareverteilung und der Aufbau von Rechnern automatisiert? Wie sehen die Tools für die einzelnen Geschäftsprozesse aus? Allgemein . Netzwerk.

50 ITIL-Wirklichkeit an der Universität Bielefeld .

Vieweg Verlag. Vieweg Verlag. Auflage 2007 [TRA07] Office of Government Commerce: ITIL . A. 3.Service Transition.Service Operation. 1. TSO.Auflage 2006 Victor.Auflage 2005 [OGC07] Office of Government Commerce: ITIL .: Optimiertes IT-Management mit ITIL. H. Auflage 2007 51 . F. und Günther. TSO. 2.: ITIL kompakt und verständlich. 1.Literaturverzeichnis [Olb06] [Vic05] Olbrich.

52 ITIL-Wirklichkeit an der Universität Bielefeld .

als Referenzwert für IT Management Services. S. Der Standard ISO/IEC 20000 schließt diese Lücke. Die Anforderungen des Standards stellen einen Branchenkonsens für Qualitätsstandards bei IT Service Management-Prozessen dar. Da ITIL die Basis dieses Standards bildet. da ITIL kein offizieller Standard ist. Christopher Uhrig 2. 1] In der Geschäftspraxis wird der 53 . kann mit einem Zertifikat die Konformität mit dem ITIL Rahmenwerk belegt werden. Services zu erbringen. ITIL Service Manager.1 Einleitung Mit ITIL steht IT-Dienstleistern eine detaillierte Sammlung von Best Practice Empfehlungen für die Gestaltung der Arbeitsabläufe im IT Service Management zur Verfügung. André Kröger. Es handelt sich dabei um einen international anerkannten Standard. [Cod05. Der Standard kann dazu verwendet werden. die Service-Qualität zu überwachen und zu optimieren. in dem die Anforderungen an das IT Service Management einer Organisation zur Erlangung einer Zertifizierung formell dokumentiert sind. indem sie sich als „ITIL-konform“ bezeichnen.Kapitel 2 ITIL-Zertifizierung nach ISO/IEC 20000 Eine Darstellung des Standards und des Zertifizierungsprozesses Julia-Vanessa Stork. die den Kundenbedürfnissen entsprechen. Anhand der in ITIL definierten Prozesse können die IT-Infrastruktur und die IT-Dienstleistungen übersichtlich und nachvollziehbar organisiert und kontinuierlich verbessert werden. Es ist nicht möglich. Allerdings ist diese Aussage nicht nachprüfbar. Die damit einhergehende gesteigerte Servicequalität können Organisationen nach außen hin kommunizieren. als Basis für eine unabhängige Zertifizierung und damit als Beleg für die Fähigkeit. Nur Einzelpersonen können ein Zertifikat erwerben (ITIL Foundation. eine Organisation ITIL-zertifizieren zu lassen. ITIL Practitioner).

2. Juni 2007 ihre Gültigkeit [SMF06. Darin wurden die Anforderungen an ein effektives IT Service Management festgelegt.2 die Entwicklung des Standards und seine Beziehung zu ITIL sowie die Anforderungen an die verschiedenen IT Service ManagementProzesse vorgestellt.4 erfolgt eine Gegenüberstellung der Vor. Dieser wurde im November 2000 von der BSI.1 Der Standard ISO/IEC 20000 Entwicklung Der Standard ISO/IEC 20000 geht auf den British Standard BS 15000 zurück. Von der Entscheidungsfindung und Planung über die Umsetzung der Vorgaben des Standards bis hin zum Ablauf der Zertifizierung wird hier Schritt für Schritt der Weg zum Zertifikat dargestellt. Abschließend werden im Kapitel 2.5 die wichtigsten Ergebnisse zusammengefasst.]. Seit der Einführung des ISO/IEC 20000 findet nur noch eine Zertifizierung nach diesem Standard statt. Während der Standard kurz gefasst die Kriterien für eine Zertifizie- .2 2. [Gar06] Ziel dieser Arbeit ist es. sondern es wird ausschließlich auf den Standard ISO/IEC 20000 Bezug genommen. So geht das Marktforschungsunternehmen Gartner davon aus. Die für den BS 15000 ausgegebenen Zertifikate verloren nach dem 15. 2. Das Kapitel 2. auch wenn dieser in der einschlägigen Literatur häufig verwendet wird. den BS 15000 in einen neuen internationalen Standard zu überführen.2 Beziehung zu ITIL Der Standard ISO/IEC 20000 und ITIL ergänzen sich gegenseitig. 2. Aufgrund dessen ist in dieser Arbeit nicht vom BS 15000 die Rede. Dezember 2005 wurde der Standard ISO/IEC 20000 veröffentlicht. Dieser enthält nur geringfügige Änderungen gegenüber dem Originaltext des BS 15000. Dazu werden zunächst im Kapitel 2. dass bis Ende 2008 mindestens 60% der relevanten Beschaffungsvorhaben der öffentlichen Verwaltung und mindestens 30% des privaten Sektors eine ISO/IEC 20000 Zertifizierung verlangen werden. Dieser zweite Teil des BS 15000 enthielt Empfehlungen und Anleitungen zu den Anforderungen des ersten Teils.3 behandelt die Zertifizierung. Im Kapitel 2. Der Standard spezifiziert die Anforderungen an das IT Service Management und ITIL dokumentiert zu den Prozessen des IT Service Management Best Practice Empfehlungen. Ergänzt wurde dieses Dokument im Jahr 2003 durch den BS 15000-2:2003. den Standard ISO/IEC 20000 mit seinen Anforderungen an das Service Management von IT-Organisationen darzustellen sowie Möglichkeiten seiner praktischen Umsetzung und den Ablauf der Zertifizierung aufzuzeigen. Am 15. der British Standards Institution. den „Code of Practice for Service Management“. Es soll die Frage beantwortet werden. Im Jahr 2002 wurde eine überarbeitete Version unter der Bezeichnung BS 15000-1:2002 herausgegeben. Im Mai 2005 entschieden die Mitglieder der ISO (International Organization for Standardization) und der IEC (International Electrotechnical Commission). 11f.und Nachteile der Zertifizierung nach ISO/IEC 20000. S. inwiefern sich für eine Organisation die Umsetzung des Standards oder die Zertifizierung lohnt. veröffentlicht.54 ITIL-Zertifizierung nach ISO/IEC 20000 Nachweis der Servicequalität zunehmend vorausgesetzt.2.

Darüber hinaus werden noch einige zusätzliche Prozesse sowie übergeordnete Anforderungen an ein Management-System definiert. der Leitlinien und Empfehlungen für die Umsetzung enthält. Grundlage für die Zertifizierung ist Teil 1 des Standards. die in den ITIL Publikationen „Service Support“ und „Service Delivery“ sowie „Security Management“ dokumentiert sind. Quelle: Eigene Darstellung in Anlehnung an [SMF06]. Die formelle Spezifikation des Standards ISO/IEC 20000 wurde auf der Basis von ITIL entwickelt und enthält spezielle verbindliche Vorgaben für eine Zertifizierung.000 Best Practices ITIL IT Infrastructure Library Betriebsinterne Abläufe / Arbeitsabläufe Abbildung 2. Der zweite Teil 20000-2 „Code of Practice“ enthält Leitlinien und Empfehlungen („should“) zur Umsetzung der Anforderungen des ersten Teils. Der erste Teil 20000-1 „Specification“ definiert verbindliche Vorgaben („shall“) für das IT Service Management.000 Specification ISO/IEC 20.1: Spezialisierungsgrad der ISO 20000 Richtlinien. Der Standard ISO/IEC 20000 behandelt alle Service Management Prozesse. 2.1 dargestellt. diese Kriterien zu erfüllen. Beide Teile sind inhaltlich gleich strukturiert. ITIL stellt eine Sammlung von Best Practice Empfehlungen für die betriebsinternen Arbeitsabläufe im IT-Bereich einer Organisation dar. Dieser ist vergleichbar mit den Best Practice Empfehlungen von ITIL. Abweichungen von diesen Erläuterungen der Best Practices sind erlaubt.2. für eine erfolgreiche Zertifizierung sind sie nicht zwingend erforderlich. Der Zusammenhang zwischen ISO/IEC 20000 und ITIL ist in Abbildung 2. Ergänzt wird der Standard um den Code of Practice. bezogen auf den Rahmen des formellen Standards.Eine Darstellung des Standards und des Zertifizierungsprozesses 55 ISO/IEC 20.3 Struktur Der Standard ISO/IEC 20000 besteht aus zwei Dokumenten. rung festlegt. die für eine Zertifizierung vollständig umgesetzt werden müssen. Einem einführenden Kapitel zum Anwendungsbereich des Standards folgt die Einführung und Definition von . beschreiben die ITIL-Bücher die möglichen Wege.

In festgelegten Abständen sind Service Management Reviews durchzuführen. 3]. Steuerungsprozesse und Release-Prozesse aufgeteilt sind (siehe Abbildung 2. 3f.2.2: Service Management Processes. In den Kapiteln 6 bis 10 werden insgesamt 13 Service Management Prozesse definiert. S. Lösungsprozesse.56 ITIL-Zertifizierung nach ISO/IEC 20000 Service Delivery Processes Capacity Management Service Continuity and Availibility Management Service Level Management Service Reporting Budgeting and Accounting for IT services Information Security Management Control Processes Configuration Management Change Management Release Processes Release Management Resolution Processes Incident Management Problem Management Relationship Processes Business Relationship Management Supplier Management Abbildung 2. Um dieses Ziel zu erreichen. die eine effektive Implementierung und Verwaltung aller IT Services ermöglichen [Spe05. die Dokumentation und die Kompetenz der Mitarbeiter definiert. Plänen und Zielen des Service Managements sowie die Beschreibung. die zur Planung und Implementierung des Service Managements sowie neuer oder geänderter Services eingesetzt werden kann. die in die 5 übergeordneten Gruppen Service Delivery-Prozesse. . 2. Zunächst werden die Anforderungen in Bezug auf die Verantwortlichkeiten. Für jede Rolle im Service Management muss festgelegt werden. Die Anforderungen der Kunden müssen ermittelt und Maßnahmen. müssen getroffen werden. S.2). um eine kontinuierliche Angemessenheit und Effektivität sicherzustellen [Spe05. Dazu gehört die Festlegung von Grundsätzen. Quelle: Eigene Darstellung in Anlehnung an [Spe05].4 Anforderungen an ein Management-System Das vorgegebene Ziel ist ein Management-System mit Grundsätzen und Strukturen.]. Die Kapitel 3 bis 5 behandeln das Management-System. wie diese Ziele erreicht werden sollen. Relationship-Prozesse. müssen die Rollen und Verantwortlichkeiten des Managements klar definiert sein. Die Anforderungen des Standards sind unterteilt in Ziele (Objectives) und definierte Anforderungen zur Erfüllung dieser Ziele (Requirements). Dann erfolgt eine Beschreibung der „Plan-Do-Check-Act“-Methode. Für die Koordination und die Verwaltung sämtlicher Services ist eine verantwortliche Person zu ernennen und es ist ein Risiko-Management zu implementieren. diesen auch gerecht zu werden. Fachbegriffen.

3). sollte ein Weiterbildungsplan erstellt werden [Cod05. e. die Abläufe und Prozesse sowie sonstige erforderliche Aufzeichnungen [Spe05. customer DO "mplement service management CHECK %onitor. supplier. business. supplier. die Durchführung der Implementierung (Do). wie sie zur Erreichung der festgelegten Ziele beitragen.4]. securit!. welche Kompetenzen zur effektiven Erfüllung der Aufgaben benötigt werden. Desweiteren müssen sie sich der Bedeutung ihrer Aktivitäten bewusst sein [Spe05. Bei der Planung des Service Managements müssen der Umfang des Service Managements. Es ist zu beschreiben.3: Regelkreislauf. Entsorgung und Kontrolle der Dokumente festgelegt werden.5 Planung und Implementierung des Service Managements Zur Umsetzung der Implementierung des Service Managements gibt der Standard die „Plan-Do-Check-Act“-Methode vor [Spe05.2. S. S. "# operations Abbildung 2. wie die Prozesse in Aktivitäten umgesetzt wer- . Pflege. Quelle: Eigene Darstellung in Anlehnung an [Spe05]. business. 4]. Dabei ist zu beachten.g. Die Mitarbeiter müssen wissen. Durch diese Methode wird eine ständige Qualitätsverbesserung sichergestellt. S. die zu erreichenden Ziele sowie die auszuführenden Prozesse definiert werden. und dass die Aktualität sichergestellt ist. 2. e. 4]. 3]. Ziele und Anforderungen (Check) sowie das Ergreifen von Maßnahmen zur kontinuierlichen Verbesserung der Prozesse (Act). S.Eine Darstellung des Standards und des Zertifizierungsprozesses 57 Business requirements Customer requirements Request for new / changed services Other processes e. Die Festlegung der Ziele und notwendigen Prozesse (Plan). measure and review #eam and people satisfaction Service Des Other teams. bei dem vier Schritte in einem Kreislauf immer wieder durchlaufen werden (siehe Abbildung 2. Dabei handelt es sich um ein Modell. Eine weitere Anforderung ist die Bereitstellung von Dokumentationen und Aufzeichnungen zur Unterstützung der Management-Prozesse. Um dieses sicherzustellen.g.g. die Überprüfung der Prozesse hinsichtlich der Grundsätze. Zu den Dokumentationen gehören die Grundsätze und Pläne. dass Abläufe und Verantwortlichkeiten für die Erstellung. customer Manage services %anagement responsibilit! Business results Customer PLAN &lan service management ACT Continual improvement satisfaction $ew / changed services Other processes.

Daneben sind die Methoden zur Messung. organisatorischen. Hilfsmittel und das Budget anzugeben. 5]. Es wird festgelegt. S. Für die Verbesserung der Service-Aktivitäten muss alles.58 ITIL-Zertifizierung nach ISO/IEC 20000 den und wie das Risikomanagement durchgeführt wird. Kommunikation und Implementierung der Verbesserungsmaßnahmen beinhalten. Berichterstattung und Sicherstellung der Ausführung und Zielerreichung der Aktionen anzuführen. S. Planung. Dafür ist eine Analyse der kostenbezogenen. die belegen können. Bezüglich des Fortschritts müssen Berichte angefertigt werden [Spe05.]. die Kundenzufriedenheit und die Auslastung der Ressourcen zu überprüfen. Die Implementierung des Service Management Plans hat durch die Zuweisung von Verantwortlichkeiten. Ausführung und Betreuung und die Änderungen an bestehenden Grundsätzen und Services beinhalten. die Messung definierter Kennzahlen. Für die Bearbeitung von ServiceVerbesserungen muss ein Prozess definiert und ein Service-Verbesserungsplan erstellt werden. Es muss ein Prüfprogramm erarbeitet werden. die Ergebnisse vorheriger Prüfungen und die Auswahl der Prüfer berücksichtigt. Service Level Management Für das Service Level Management gibt der Standard als Ziel vor. Vor der Durchführung einer Verbesserungsmaßnahme muss die Servicequalität als Vergleichsmaßstab dokumentiert werden [Spe05. Abläufe und Definitionen für die Prozesse zu dokumentieren und einzuhalten. Ressourcen. dass die Ziele durch die Prozesse erreicht werden können. S. die Rollen und Verantwortlichkeiten. Die Planung und Implementierung neuer oder geänderter Services muss im Rahmen eines formellen Change-Management erfolgen. 6]. technischen und wirtschaftlichen Auswirkungen notwendig. Abschließend sind messbare Ergebnisse für die Ausführung vorzugeben [Spe05. 6]. entfernt werden. Diese müssen die Informationen zu den Verbesserungen und die festgelegten Ziele sowie die Methoden zur Identifizierung. was nicht mit den Service Management Plänen übereinstimmt. Maßnahmen. die SchnittstellenSpezifikation sowie die kontinuierliche Verbesserung ersichtlich und beweisbar sein [SMF06. S. Dabei sind Pläne und Grundsätze. Budgets und Hilfsmitteln sowie durch die Koordination der Prozesse und die Auswahl und Schulung von Mitarbeitern zu erfolgen. zu vereinbaren. Die Ergebnisse sind mit den beteiligten Personen zu kommunizieren [Spe05. aufzu- . Es müssen Methoden zur Überwachung der Prozesse eingeführt werden. Die Anforderungen an die Mitarbeiter sind zu dokumentieren und die Positionen zu besetzen. um die Service-Qualität. 7]. 23]. das den Status und die Bedeutung des Prozesses. S. Dafür sind Rollen und Verantwortlichkeiten klar zu definieren. Methoden und Tools eingesetzt werden und wie viel Zeit und Geld dafür zur Verfügung steht. 2. S. In regelmäßigen Abständen sind Reviews durchzuführen. die Service-Level zu definieren.6 Anforderungen an Service-Management-Prozesse Für alle Prozesse müssen das Ziel und der Ablauf des Prozesses.2. Alle Pläne müssen durch einen Review überprüft und kommuniziert werden [Spe05. welche Prozesse. Darüber hinaus sind die Verantwortlichkeiten. 7f. Die zu erstellenden Pläne müssen die Rollen und Verantwortlichkeiten für die Implementierung.

einen Plan für die finanziellen Ressourcen zu erstellen und die Kosten für die Bereitstellung von Services zu berechnen. sollten potenzielle Probleme prognostiziert werden. Dabei sind Risiko-Bewertungen durchzuführen und zu dokumentieren. S. Jeder Service. S. Die Service-Level müssen überwacht werden und es hat eine Berichterstattung zu den festgelegten Zielen zu erfolgen. Wo dies möglich ist.Eine Darstellung des Standards und des Zertifizierungsprozesses 59 zeichnen und zu verwalten. 9]. damit vorbeugende Maßnahmen getroffen werden können [Cod05. so dass Vereinbarungen gegenüber dem Kunden unter allen Umständen eingehalten werden können. Ist diese außerplanmäßig nicht gegeben. Die Verfügbarkeit muss gemessen und aufgezeichnet werden. der angeboten wird. müssen die Ursachen analysiert und angemessene Gegenmaßnahmen eingeleitet werden [Spe05. 9]. um eine effektive Kommunikation zu gewährleisten und damit informationsbezogene Entscheidungen möglich zu machen. der vom Change-Management zu verwalten ist und sowohl Kunden als auch Mitarbeitern jederzeit zugänglich sein sollte [Cod05. 11f. Notwendige Maßnahmen zur Verbesserung sind in Service-Verbesserungsplänen zu dokumentieren [Spe05. Anforderungen an Zugriffsrechte und Reaktionszeiten sowie an die Verfügbarkeit der Systemkomponenten müssen definiert werden und es ist sicherzustellen. zuverlässige und genaue Berichte zu erstellen. Für die Finanzplanung und Kostenrechnung. Unterstützende Vereinbarungen und Lieferantenverträge sind ebenfalls aufzuzeichnen. um die Auswirkungen von Changes auf die Verfügbarkeit und ServiceKontinuität zu kontrollieren. Es sollte eine enge Zusammenarbeit mit dem Change-Management erfolgen. rechtzeitig vereinbarte. 8]. inwiefern die erbrachten Services die definierten Ziele erreicht haben und es müssen Leistungsmerkmale aller Prozesse aufgezeichnet werden. Managemententscheidungen und Korrekturen müssen umgehend dokumentiert und kommuniziert werden [Spe05. für die Kontrolle und Genehmigung des Budgets sowie für die Ermittlung und Zuordnung von indirekten Kos- . Es ist festzuhalten. Der gesamte Serviceumfang sollte in einem Servicekatalog dargestellt werden.]. Durch regelmäßige Reviews ist sicherzustellen. müssen auf Basis der Service-Level-Vereinbarungen Verfügbarkeitspläne und Servickontinuitätspläne entwickelt und regelmäßig gepflegt und getestet werden. S. muss in einer Service-Level-Vereinbarung (service level agreement) zusammen mit dem zugehörigen Ziel dokumentiert werden. 8]. Service Continuity und Availability-Management Zielvorgabe für das Service Continuity und Availability-Management ist die Sicherstellung der Service-Kontinuität und Verfügbarkeit. Es sind Zufriedenheitsund Trendanalysen durchzuführen und nach besonderen Ereignissen sind Leistungsberichte anzufertigen. dass diese erfüllt werden. Service Reporting Ziel des Service Reporting ist es. S. Finanzplanung und Kostenrechnung für IT Services Ziel der Finanzplanung und Kostenrechnung für IT Services ist es. Jeder Service Report muss eine Beschreibung seines Zweckes. dass die Vereinbarungen stets auf dem neuesten Stand sind. S. Um diese zu erreichen. der Zielgruppe und Details über die Datenquelle enthalten.

S. Es müssen Abläufe definiert sein. Der Kapazitätsplan muss Prognosen über zukünftige Anforderungen sowie Einflüsse durch neue technologische Entwicklungen und Auswirkungen externer Veränderungen berücksichtigen [Spe05. so dass die mit dem Kunden vereinbarte Nachfrage jederzeit befriedigt werden kann. und dass entsprechende Maßnahmen getroffen werden [Spe05. S. auf die sie sich beziehen.60 ITIL-Zertifizierung nach ISO/IEC 20000 ten müssen klare Grundsätze und Prozesse definiert werden. um die Service-Kapazität zu überwachen. den Kunden und seine geschäftsfördernde Abläufe zu verstehen und auf dieser Basis eine gute Beziehung zu dem Kunden herzustellen und zu pflegen. eine Kategorisierung entsprechend der Bedeutung für den Service und eine Bewertung der erforderlichen Sicherheitsstufe durchgeführt werden [Cod05. Zusammen mit den Kunden müssen mindestens einmal pro Jahr Reviews durchgeführt werden. Abläufe und Techniken zu identifizieren und anzuwenden. um Geschäftsanforderungen. die erreichten Ziele. und die die Risiken bezüglich des Zugriffs auf den Service oder auf die Systeme verwalten. Dazu sind Sicherheitskontrollen einzuführen. Es sind regelmäßige Meetings abzuhalten und zu protokollieren. die die Anforderungen der Grundsätze implementieren. S. Eine Dokumentation der Kontrollen muss die Durchführung und Wartung der Kontrollmaßnahmen beschreiben und die Risiken nennen. Treten sicherheitsrelevante Störungen auf. Finanzprognosen sind zu überprüfen und dementsprechend müssen die Kosten verwaltet werden [Spe05. Information-Security-Management Ziel des Information-Security-Managements ist eine effektive Verwaltung der Informations-Sicherheit innerhalb aller Service-Aktivitäten. Im Rahmen des Capacity-Managements muss ein Kapazitätsplan erstellt und gepflegt werden. Business-Relationship-Management Ziel des Business-Relationship-Managements ist es. sind in Übereinstimmung mit dem Incident-Management Berichte und Aufzeichnungen zu erstellen. dass jede sicherheitsrelevante Störung überprüft wird. Der externe Zugriff auf Services und Systeme ist durch geeignete formelle Vereinbarungen zu regeln. die dafür sorgen. Kostenrechnungsprozesse sollten die Nutzung der finanziellen Ressourcen aufzeigen und die Ermittlung der Stückkosten ermöglichen [Cod05. Für den Umgang . Service-Level-Vereinbarungen und Verträgen zu diskutieren. 14]. Die Kosten müssen hinsichtlich des Budgets überwacht und dokumentiert werden. S. 16]. 10]. S. dass die Kontrolle des Budgets und die Entscheidungsfindung effektiv gestaltet werden können. erbrachte Leistungen und Changes in Service-Umfang. Dafür sind Methoden. Capacity-Management Zielvorgabe für das Capacity-Management ist die Sicherstellung der Verfügbarkeit ausreichender Kapazitäten. um die Leistung. anzupassen und eine angemessene Kapazität bereitstellen zu können. 10f. Das Business-Relationship-Management muss alle Kunden und die an den Services beteiligten Personen identifizieren und dokumentieren.]. Für sämtliche Informationsträger sollte eine Bestandsaufnahme. die Schwierigkeiten und die Aktionspläne zu erörtern. Die Kosten sind so detailliert zu planen. 10]. Grundsätze zur Informations-Sicherheit müssen definiert und kommuniziert werden.

Es muss ein Prozess festgelegt werden. der Vertragsänderungen. Der Kunde muss über den Fortschritt der gemeldeten Incidents oder Service-Requests informiert werden. Sämtliche Incidents müssen aufgezeichnet werden und es sind Verfahren anzuwenden. Alle identifizierten Probleme müssen aufgezeichnet werden und es sind Verfahren anzuwenden. Sie müssen mit den Service-Level-Zielen verglichen werden und es sind Verbesserungsmaßnahmen zu identifizieren und aufzuzeichnen. Verbesserungs-Empfehlungen sollten an das Service Delivery Team weitergereicht werden [Cod05. Schwankungen im Zufriedenheitsgrad sollten auf ihre Ursachen hin untersucht werden. Diese dienen als Input für den Service-Verbesserungsplan [Spe05. um die Auswirkungen von Incidents zu verwalten. Lieferanten-Management Zielvorgabe für das Lieferanten-Management ist die Sicherstellung einer nahtlosen Bereitstellung von qualitativ hochwertigen Services. muss dieser nachweisen. Sämtliche Mitarbeiter des Incident-Managements müssen auf die relevanten Informationen zugreifen können [Spe05. Es müssen Maßnahmen ergriffen und dokumentiert werden und die Beschwerde muss formell abgeschlossen werden. Für die Verwaltung der Lieferanten müssen Prozesse implementiert und dokumentiert werden und jedem Lieferanten ist ein zuständiger Vertragsmanager zuzuordnen. dass die nachgeordneten Lieferanten die Vertragsanforderungen erfüllen. Die Services müssen definiert werden und die Lieferantenverträge sind mit den Service-Level-Vereinbarungen abzustimmen und durch Reviews regelmäßig zu überprüfen. Werden Lieferungen indirekt über einen Hauptlieferanten bezogen.]. 12]. Er ist vorab zu benachrichtigen. die Auswirkungen auf Geschäftsabläufe sowie die Lösung und den formellen Abschluss definieren. um die Auswirkungen von Incidents und Problemen zu . 18].und der Beschwerdeanalyse fließen in den ServiceVerbesserungsplan ein. wenn sein Service-Level nicht erreicht werden kann. die Klassifizierung und Aktualisierung. Alle Beschwerden sind aufzuzeichnen und zu untersuchen. S. Für die Erfassung des Feedbacks und die Reaktion darauf muss ein Prozess erstellt werden [Spe05. Die Leistungen sind zu überwachen. Die Ergebnisse der Feedback. Diese Verfahren müssen die Aufzeichnung der Incidents und Prioritätsabfolgen. Incident-Management Ziel des Incident-Managements ist die Reaktion auf Service-Requests und die schnellstmögliche Wiederherstellung des vereinbarten Service. S. Die Kundenzufriedenheit ist regelmäßig zu messen und zu dokumentieren. zu überprüfen und aufzuzeichnen. 13].Eine Darstellung des Standards und des Zertifizierungsprozesses 61 mit Beschwerden muss ein formeller Ablauf festgelegt und mit den Kunden abgestimmt werden. durch Identifizierung und Analyse der Ursache von Incidents und einer Verwaltung der Probleme bis zum Abschluss die Unterbrechungen des Geschäftsprozesses auf ein Minimum zu reduzieren. Für bedeutende Incidents ist ein Prozess zu entwickeln. der die Klassifizierung und Behandlung vorgibt. S. Die Rollen und Beziehungen zwischen den Hauptlieferanten und den Lieferanten mit Unterverträgen sind klar zu dokumentieren. Vertragsstreitigkeiten und die Beendigung des Service regelt. Problem-Management Ziel des Problem-Managements ist es. S. 11f.

und Configuration-Managements muss ein integrativer Ansatz verfolgt werden. Trends und andere relevanten Informationen zu ermitteln [Spe05. Alle Requests for Changes sind aufzuzeichnen und zu klassifizieren. Kontrolle und Überwachung von Service. deren Implementierung genehmigt wurde. S. Die Aufzeichnungen von Changes müssen regelmäßig analysiert werden. Alle Konfigurations-Elemente sind in einer Configuration-Management-Datenbank (CMDB) aufzuzeichnen. Changes müssen einen klar definierten und dokumentierten Umfang haben. Changes sind zu genehmigen. um sich häufende Changes. Es müssen Methoden zur Identifizierung. die Mängel aufzeichnen. Diese Verfahren müssen die Aufzeichnung aller Probleme.]. deren Versionen. dessen Ergebnisse in den Service-Verbesserungsplan einfließen. Nach der Implementierung ist ein Review durchzuführen. Der Zugriff auf die Datenbank ist strikt zu kontrollieren. dass alle Changes bewertet. in dem die Konfigurations-Elemente und deren Grundbestandteile aufgeführt werden. Zur Aufrechterhaltung der Integrität von Systemen und Services sind Prozesse zur Steuerung der Konfigurationen erforderlich. Es müssen Bewertungen bezüglich der Risiken. implementiert und überprüft werden. Für die Planung des Change. Standorte und damit zusammenhängende Änderungen und Probleme müssen den Personen zur Verfügung stehen. Potenzielle Probleme sind durch vorbeugende Maßnahmen zu reduzieren. zu minimieren oder zu vermeiden. . Die Problembehebung ist zu überwachen und es sind Reviews und Berichte dazu anzufertigen. Change-Management Ziel des Change-Managements ist es sicherzustellen. genehmigt. Änderungen an Konfigurations-Elementen müssen verfolgt und überprüft werden können.und Infrastrukturkomponenten entwickelt werden. die diese benötigen. 14]. Es müssen Richtlinien und Abläufe für Notfall-Changes erstellt werden und es ist zu definieren. 14f. Informationen zu Auswirkungen von Veränderungen sind dem Change-Management zur Verfügung zu stellen. deren Klassifizierung und Aktualisierung sowie deren Lösung und formellen Abschluss definieren. Diese muss aktiv gepflegt werden. Informationen zum Status der Konfigurations-Elemente.62 ITIL-Zertifizierung nach ISO/IEC 20000 identifizieren. zu überprüfen und kontrolliert zu implementieren. Es ist ein Konfigurationsplan erforderlich. Aktuelle Informationen von bekannten Fehlern und behobenen Problemen müssen für das Incident-Management verfügbar gemacht werden und notwendige Änderungen sind an das Change-Management weiterzuleiten. Die Implementierungszeiten sind allen beteiligten Parteien mitzuteilen. S. Es sind Prozesse zur Überprüfung der Konfigurationen zu implementieren. S. Korrekturen einleiten und Ergebnisberichte erstellen [Spe05. um deren Zuverlässigkeit und Aktualität sicherzustellen. Es muss ein Zeitplan mit Details zu allen Changes erstellt werden. Configuration-Management Ziel des Configuration-Managements ist die Definition und Steuerung der Service. der Auswirkungen und des Geschäftsnutzens durchgeführt werden. Identifizierte Verbesserungsmaßnahmen müssen aufgezeichnet und dem Service-Verbesserungsplan hinzugefügt werden [Spe05. wiederkehrende Change-Kategorien. 13].und Infrastrukturkomponenten sowie die Aufrechterhaltung korrekter Konfigurationsinformationen. Darin sind die Eigenschaften der Elemente und deren Beziehung zueinander zu definieren. wie nicht erfolgreiche Changes rückgängig gemacht oder entfernt werden.

Der Release-Management-Prozess sollte in die Configuration und Change Management Prozesse integriert werden. Die Vorgehensweise des Assessments sollte mit dem Beratungsunternehmen in einem Vorgespräch geklärt werden.]. S. Vor der Bereitstellung müssen alle Releases in einer kontrollierten Testumgebung erstellt und getestet werden. Bearbeitung. 2. sich von dem Beratungsunternehmen einen Maßnahmenplan erstellen zu lassen. dass die Integrität der Hardware und Software während der Installation. so dass sie zu den vereinbarten Zeiten verfügbar sind und die erforderlichen Dokumente griffbereit haben. Darauf aufbauend kann im Fall einer Entscheidung für die Einführung der Anforderungen des Standards ein Projektplan für die Umsetzung der Prozesse erstellt werden. Es ist sinnvoll. Für die Durchführung des Assessments sollte ein geeignetes Beratungsunternehmen beauftragt werden. Es muss ein detaillierter Zeitplan für die Durchführung erstellt werden und die Mitarbeiter des IT-Bereiches sind darüber zu informieren.3. Software und Hardware erstellt werden. Ein geeigneter Weg für die Standortbestimmung ist die Durchführung eines Assessments. Verpackung und Auslieferung gewährleistet ist. Das eigentliche Assessment wird in Form von Interviews durchgeführt. Es sind Richtlinien und Abläufe für Notfall-Releases zu erstellen und es muss definiert werden. Systemen. welche nächsten Schritte in welcher Reihenfolge unternommen werden sollten.Eine Darstellung des Standards und des Zertifizierungsprozesses 63 Release-Management-Prozess Ziel des Release-Management-Prozesses ist die Bereitstellung. Grundsätze. Dabei wird aufgezeichnet. sind zu dokumentieren und zu vereinbaren.1 Die Zertifizierung Entscheidungsfindung Grundlage für die Entscheidung für eine Zertifizierung nach ISO/IEC 20000 ist die Durchführung einer Standortbestimmung des IT-Bereiches und die Erarbeitung eines Maßnahmenplanes für die notwendigen Anpassungen. 38 f. S. 15]. Auf der Grundlage der Ergebnisse des Assessments werden . Abschließend werden die Ergebnisse des Assessments allen IT-Mitarbeitern präsentiert [Boc06. Dabei wird der konkrete Reifegrad aller IT-Service-ManagementProzesse ermittelt und es werden Empfehlungen abgeleitet. Das Release muss so konzipiert und implementiert werden. die die Häufigkeit und den Typ der Releases angeben. was für eine erfolgreiche Zertifizierung noch zu tun ist. was bei den Prozessen jeweils bereits vorhanden ist. Es sind Messungen bezüglich des Erfolges von Releases durchzuführen [Spe05. Es ist ein Projektteam mit einem Projektleiter und den Prozessverantwortlichen zusammenzustellen. Die entsprechenden Dokumente sollten rechtzeitig vorbereitet werden. Die Einführung (Rollout) des Release ist zwischen allen beteiligten Parteien zu vereinbaren und von allen Parteien zu genehmigen. Dabei werden die Prozesse bereits grob durchgesprochen und die Prozessdokumentationen werden gesichtet. Es muss ein Plan für das Release von Services. Verteilung und Verfolgung eines oder mehrerer Changes in einem Release in der Live-Umgebung. Das Beratungsunternehmen erstellt dazu einen Bericht. der für jeden Prozess einen konkreten Reifegrad benennt und Empfehlungen ausspricht. wie nicht erfolgreiche Releases rückgängig gemacht oder entfernt werden.3 2.

das die Politik. die Organisation und die Strategie des IT-Bereichs festlegt.4 dargestellt werden. Auf die Umsetzung der auf ITIL basierenden Prozesse wird ausführlich in den Arbeiten der anderen Gruppen eingegangen.2 Prozessumsetzung Das folgende Kapitel thematisiert die praktische Umsetzung der Anforderungen des ISO/IEC 20000. das Information-Security-Management. 81]. Management-System Das Management-System ist ein Rahmenwerk. Es wird beschrieben. S. das Service Reporting. Die Umsetzung und die Wirksamkeit der Gegenmaßnahmen sind laufend zu überwachen. . dass eine ausformulierte Unternehmensstrategie existiert. Ziele und Prioritäten sind in einem Leitbild zu definieren. Der Plan ist nach den Prozessen zu strukturieren und es ist eine Prozesslandkarte als Übersicht zu erstellen [Boc06. wird in einer Anwendungsstrategie formuliert. 81]. Die konkreten Ziele und Vorhaben für das kommende Geschäftsjahr sind in einem ServiceManagement-Plan zu definieren. 72]. dass die Dokumente stets aktuell sind [Boc06.64 ITIL-Zertifizierung nach ISO/IEC 20000 darin alle für eine Zertifizierung notwendigen Maßnahmen und Umsetzungserfordernisse aufgelistet. deren wesentliche Bestandteile in der Abbildung 2. wie man sicherstellt. Für die Umsetzung eines Risikomanagements ist ein Vorgehen zu definieren. 76f. Die Philosophie. wie Risiken erkannt. S. Bei der Formulierung sämtlicher Dokumente ist zu beachten. Darauf aufbauend werden in einer Systemstrategie und einer Organisationsstrategie festgelegt.3. also das Management-System. Rahmenbedingungen dieses Strategiekonzepts sind die Unternehmensumgebung und die vorhandenen IT-Strukturen sowie die Vorgaben zur Effektivität und Effizienz. Die IT-Strategie ist schriftlich auszuformulieren und an die Mitarbeiter zu verbreiten [Boc06. 49f. S. das Business-Relationship-Management sowie das Lieferanten-Management. Voraussetzung für die Umsetzung ist. Die Ziele und Strategien heruntergebrochen auf die einzelnen Prozesse ergeben zusammengefasst die Service-Management-Politik. Behandelt werden nur die über ITIL hinausgehenden Teile. wie die IT strukturiert und organisiert wird. mit welchen Mitteln die vorgegebenen Ziele erreicht werden sollen. Darin ist zu beschreiben. wie diese umzusetzen sind. wie die vorgegebenen Prozesse im Betrieb realisiert werden können und was dabei zu beachten ist. auf welche Art und Weise die IT-Services erbracht werden sollen. dass die Ziele auch erreicht werden und wie man gewährleistet.]. Die Ressourcenstrategie beantwortet die Frage.]. die Eintrittswahrscheinlichkeit und Schadenshöhe einander gegenüberstellt. geführt werden [Boc06. In einem Dokument Management-System sind organisatorische Grundprinzipien sowie die Rollen und Verantwortlichkeiten für die Prozesse und Dokumente festzulegen. Die Aufgaben. dass diese nicht nur von Spezialisten verstanden werden müssen. 2. Daraus abzuleiten ist eine IT-Strategie. S. Es muss formuliert werden. erfasst und bewertet werden und wie Gegenmaßnahmen ergriffen werden. S. Aufzeichnungen über relevante Risiken können beispielsweise in Form einer Risikomatrix. und dass durch die Verwendung von konkreten Begriffen ein einheitliches Verständnis gewährleistet sein muss [Boc06. die Planung und Implementierung des Service-Managements.

]. wie Dokumente zu erstellen. Wenn bei der Überprüfung der implementierten Prozesse Nonkonformitäten mit den festgelegten Zielen und Anforderungen auftreten. Bei den Nonkonformitäten kann es sich um einen Verstoß gegen die Anforderungen oder um Verbesserungspotential handeln. der gleichzeitig Lösungsvorschläge ausarbeitet. Diese werden in einem Maßnahmenkatalog gesammelt. Planung und Implementierung des Service-Managements Zur Umsetzung der Planung und Implementierung des Service-Managements ist die in Kapitel 2. . Alle Mitarbeiter müssen über die Maßnahmen informiert werden [Boc06. der mit einem Tool verwaltet werden sollte. 86f. S. S.4: Strategiekonzept. Daraus hat der KVP-Manager den erforderlichen Handlungsbedarf abzuleiten und entsprechende Maßnahmen zu ermitteln. Darin sind die Zuständigkeiten und der Zeitrahmen für die Umsetzung festzulegen. Eine weitere Aufgabe des Management-Systems ist die Bereitstellung von Dokumentationen.5 vorgestellte „Plan-Do-Check-Act“ -Methode zu verwenden. Es sind standardisierte Abläufe zu definieren. Quelle: Eigene Darstellung in Anlehnung an [Boc06]. meist durch den zuständigen Prozessmanager.2. Es muss ein Prozessmanager (KVP-Manager) bestimmt und eine Prozessbeschreibung erstellt werden. hat der Prozessmanager die Aufgabe. Die Implementierung von Services anhand dieser Methode bewirkt einen kontinuierlichen Verbesserungsprozess (KVP) der Leistungen. eine Bewertung durchzuführen. 107f. zu ändern und zu archivieren sind. Die Ermittlung der Ursachen erfolgt durch einen Spezialisten. Der KVP-Manager hat die ergriffenen Maßnahmen zu überprüfen und zu bewerten.Eine Darstellung des Standards und des Zertifizierungsprozesses 65 Abbildung 2. Von jeder Version eines Dokumentes sollte eine Archivdatei erstellt werden und die Versionsführung sollte dokumentiert werden. Für alle Abläufe muss es klare Verantwortlichkeiten geben [Boc06.].

um ein einheitliches Verständnis davon im Unternehmen zu etablieren. Die Kommunikation mit den Kunden ist zu dokumentieren. auf welcher Datenquelle er basiert und in welchem Rhythmus er erstellt wird. In regelmäßigen Abständen sind Reviews mit den Kunden durchzuführen. 127f.]. was grundsätzlich wie schutzbedürftig ist. Grundsätzlich hat sich jeder über die für ihn relevanten Berichte zu informieren. Diesbezüglich müssen die Mitarbeiter geschult und für das Thema Sicherheit im Allgemeinen sensibilisiert werden. 134f. Es ist sinnvoll. Information-Security Management Als Grundlage für den Prozess Information-Security Management ist eine Sicherheitspolitik zu definieren. Dabei muss deutlich werden. Aus dieser Beurteilung sind Gegenmaßnahmen abzuleiten [Boc06. die die Kundenanforderungen verwalten. Die Mitarbeiter des IT-Bereichs haben in diesem Zusammenhang verschiedene Aufgaben zu erfüllen.]. Darüber hinaus ist es sinnvoll. Auf diese Weise entsteht eine Sammlung von Berichten. Anfragen nach einer standardisierten Vorgehensweise zu bearbeiten und Vorlagen für die strukturierte Durchführung von Kundenterminen zu erstellen. S. welche Person für den Report verantwortlich ist. um die erbrachten Services und Änderungswünsche zu diskutieren.]. Die Eintrittswahrscheinlichkeit eines Security Incidents und die potentielle Schadenshöhe müssen bewertet werden. auf die jederzeit zugegriffen werden kann. welche Berichte verfasst und verbreitet werden sollen. eine Plattform für eine effektive Kommunikation innerhalb des IT-Bereiches zur Verfügung zu stellen. Als zentrale Ansprechpartner für alle IT-Fragen können Geschäftsfeldbetreuer bestimmt werden. so dass man Prioritäten erkennen kann. Darin soll für jeden verständlich die Grundhaltung zum Thema Sicherheit festgelegt werden. Dabei sind die sicherheitsrelevanten Ereignisse (Security Incidents) zu benennen und es ist zu beschreiben. S. Diese Informationen können zur übersichtlichen Strukturierung in die Darstellung der Berichte übernommen werden. Ausgehend von der Sicherheitspolitik sind Sicherheitsrichtlinien zu definieren. wie damit umzugehen ist.66 ITIL-Zertifizierung nach ISO/IEC 20000 Service Reporting Aufgabe des Prozesses Service Reporting ist es. Alle Geschäftsprozesse des Unternehmens sind auf mögliche Sicherheitsrisiken zu untersuchen. Sämtliche erforderlichen Reports können beispielsweise auf einer Intranetseite dargestellt und verlinkt werden [Boc06. die jeder Mitarbeiter zwingend einhalten muss. die Berichte nach den Prozessen zu kategorisieren. die sämtliche Regeln enthalten. S. Der Service-Manager ist für die Änderung der Prozessdokumentation verantwortlich [Boc06. durchgängig zu nummerieren und regelmäßig auf ihre Aktualität zu überprüfen [Boc06. der festlegt. inwiefern Vorkehrungen hinsichtlich der IT-Systeme und des Personals nötig sind und wie die Kontrolle und Verbesserung der Schutzmechanismen sichergestellt werden kann. Die Sicherheitspolitik ist mit der Geschäftsleitung abzustimmen und im Unternehmen bekannt zu machen [Boc06. S. Es sollte formuliert werden welche Bedrohungen existieren. Die Prozessverantwortlichen müssen Prozessänderungen und die Archivierung von Dokumenten bekannt machen und für die Aktualisierung der Berichte ihrer Prozesse sorgen. Business-Relationship-Management Für den Umgang mit Kunden sind klare Regeln zu definieren. 279f.]. 103]. an wen er sich richtet. welches Maß an Schutz angemessen ist. S. Für den Umgang . 103f. Zur Umsetzung ist ein Prozessmanager zu bestimmen.

Die Lieferantenverträge sind an die Anforderungen der Service-Level-Vereinbarungen anzupassen. eine Zielsetzung vorhanden? • Sind genügend Ressourcen zur Planung.]. Die erhobenen Informationen sollen helfen. Es sollte ein laufendes Monitoring von Leistungen und Preisen durchgeführt werden. wer was bestellen darf und welche Verträge durch Juristen geprüft werden müssen. Die Kundenzufriedenheit ist regelmäßig durch eine Umfrage zu überprüfen. bearbeitet und abgeschlossen werden. In regelmäßigen Gesprächen müssen mit den Lieferanten die erbrachten Leistungen und Maßnahmen zur Verbesserung der Zusammenarbeit diskutiert sowie die zukünftigen Strategien abgestimmt werden. 2. 114f.3 Fragenkatalog zur Prozessumsetzung Die in diesem Kapitel wiedergegebenen Fragen jedes einzelnen Prozesses stellen eine Art Checkliste für eine Zertifizierung nach ISO/IEC 20000 dar.h. Jedem Lieferanten wird ein verantwortlicher Manager zugeordnet. sind Prozesse zu definieren.Eine Darstellung des Standards und des Zertifizierungsprozesses 67 mit Beschwerden muss ein Prozess erstellt werden. insbesondere bei Streitfällen. 121f. Management-System • Ist ein IT-Service-Management. alle Festlegungen dieses Prozesses in einem zentralen Dokument festzuhalten [Boc06. S. Es empfiehlt sich. der sicherstellt. sehen sie die Relevanz der ServiceErbringung? • Sind die einzelnen Prozesse aufeinander abgestimmt? . wie die Zusammenarbeit mit den Lieferanten aussehen soll. Durchführung und Verbesserung einzelner Handlungen vorhanden? • Werden die Zuständigkeiten und die hinreichenden Kompetenzen für alle Rollen bestimmt? • Sind Verantwortliche und Zuständigkeiten zur Erstellung und Aktualisierung von Dokumenten vorhanden? • Ist der Schulungsbedarf der Mitarbeiter so geregelt. dass diese ihre Aufgaben kompetent und effektiv erfüllen? • Ist eine Identifikation von Kundenanforderungen vorhanden und wird diese von den Mitarbeitern erfüllt? • Sind sich die Mitarbeiter des Unternehmens über die Orientierung an Kundenanforderungen bewusst. Änderungen und die Auflösung von Verträgen. d.3. S. Für den Vertragsabschluss.]. Es sollte definiert werden. die Leistungen zu verbessern [Boc06. eine Strategie. der als zentraler Ansprechpartner alle Vorgänge im Blick hat. Sie zeigen Anhaltspunkte für die jeweiligen Prozessmanager auf und dienen der Aufdeckung von Schwachstellen innerhalb des jeweiligen Prozesses. dass alle Beschwerden aufgezeichnet. Überwachung. Lieferanten-Management Es sind Grundsätze zu formulieren. bzw.

wenn ein Ziel nicht erreicht wird. das Auditoren nicht ihre eigene Arbeit auditieren? Service-Level-Management • Werden die angebotenen Services in einem Service-Level-Agreement definiert und dokumentiert? • Ist eine Berichterstattung und Überprüfung sowie aktuelle Informationen und Entwicklungen über die erreichten Service-Levels vorhanden? • Werden die Gründe. die mehr als einen einzelnen Prozess betreffen? • Gibt es Management-Reviews. korrigiert und überprüft? • Werden verschiedene Reviews durchgeführt? . Strategien und Ziele überarbeiten. ggf. klare Leitlinien des Managements zur Überprüfung des Service-Managements-Plans? • Ist die Zuständigkeit in Fragen zur Serviceverbesserung eindeutig festgelegt? • Legt der Service-Management-Plan den Bereich des Service-Managements in dem Unternehmen fest und zeigt dieser verschiedene Zielerreichungen und Schnittstellen zwischen den Service-Management-Prozessen auf? • Stimmen die Prozessziele mit denen des Service-Management-Plans überein? • Sind alle Verbesserungsmöglichkeiten überprüft. dokumentiert und freigegeben? • Besteht die Möglichkeit. die überprüfen. d. ob Konformität der Anforderungen an das Service-Management mit den Vorgaben des ISO/IEC 20000 besteht. die Verbesserungen identifizieren.h. • Wurden alle Non-Konformitäten behoben? • Werden durch das Unternehmen Handlungen durchgeführt. sowie die Umsetzung aller freigegebenen Maßnahmen sicherstellen? • Wird die Objektivität bei einem internen Audit sichergestellt.68 ITIL-Zertifizierung nach ISO/IEC 20000 Planung und Implementierung des Service-Managements • Werden die Prozesse des IT-Service-Managements im Unternehmen identifiziert? • Besteht eine klare Vision bzw. Verbesserungsmaßnahmen überhaupt zu identifizieren.

zur Verfügung? • Sind alle erforderlichen Berichte und Dokumente vorhanden und stets aktuell? • Werden erlangte Ergebnisse und Optimierungspotentiale in den Entscheidungen des Managements berücksichtigt? Service-Continuity-Management • Sind Pläne vorhanden. die die Services nach einem Ausfall und den Normalzustand des Systems wieder herstellen? • Wenn ein normaler Zugang zum Büro nicht möglich ist. die Zusammensetzung der Teams im Notfall und ein Vorgehen im Notfall definiert? • Existiert eine jährliche Überprüfung der Notfallpläne? • Werden die Ergebnisse einer Prüfung in Maßnahmeplänen festgehalten? Availability-Management • Ist ein Verfügbarkeitsplan vorhanden und wird dieser auf veränderte Geschäftsanforderungen aktualisiert? • Wird die Verfügbarkeit des benötigten Services für den Geschäftsprozess sichergestellt? • Existieren präventive Maßnahmen für ungeplante Ausfallzeiten? • Wird die Verfügbarkeit des Services gemessen und dokumentiert? Finanzplanung mit Kostenrechnung für IT-Service • Ist eine eindeutig definierte Finanzplanung und Kostenrechnung für alle Komponenten vorhanden? • Besteht eine effiziente Kontrolle und Genehmigung der Finanzen? • Reichen die Finanzen aus. die Informationen über verwendete Datenquellen. um eine zukünftige Kontrolle und Entscheidungsfindung durchzuführen? • Erfolgt ein kontinuierlicher Vergleich der anfallenden Kosten mit dem vorhandenen Budget und werden Maßnahmen bei einer erheblichen Abweichung eingeleitet? . Zwecke und Identitäten enthalten. die Kontaktliste und der Notfallplan für die befugten Mitarbeiter zugänglich? • Ist ein proaktives Vorgehen.Eine Darstellung des Standards und des Zertifizierungsprozesses Service Reporting 69 • Steht eine detaillierte Beschreibung der einzelnen Berichte. sind dann die CDMB.

aktuelle Leistungs. um die Serviceleistungen und -kapazität aufzuzeigen? Information-Security-Management • Ist die Sicherheitspolitik für Mitarbeiter und Kunden ausreichend festgelegt? • Sind effiziente Sicherheitsmaßnahmen zur Implementierung dieser Vorgaben der Politik vorhanden? • Existieren Maßnahmen zur Behandlung von Risiken? • Existiert die Dokumentation der Sicherheitsmaßnahmen? • Wird bei der Beschreibung dieser Maßnahmen Bezug auf verschiedene Risiken und Wartung dieser genommen? • Wird untersucht. Auswirkungen externer Veränderungen. überprüft. vorhersehbare Auswirkungen neuer Technologien und Techniken. ob Changes ein Sicherheitsrisiko darstellen? • Werden alle Security-Incidents erkannt.und Kapazitätsanforderungen sowie Daten und Prozesse zur Analysenbetrachtung aufgezeigt? • Erfolgt die Identifizierung von Verfahren. Mechanismen und Techniken.70 Capacity-Management ITIL-Zertifizierung nach ISO/IEC 20000 • Ist ein Kapazitätsplan vorhanden und wird dieser kontinuierlich aktualisiert? • Werden Request for Changes erstellt? • Werden vom Kapazitätsmanagement zukünftige Geschäftsanforderungen. entsprechend dem Incident-Prozess abgearbeitet und werden entsprechende Maßnahmen ergriffen? Business-Relationship-Management • Werden die Stakeholder der einzelnen Services identifiziert und schriftlich festgehalten? • Sind Verantwortliche für die Bestimmung der Kundenzufriedenheit festgelegt? • Ist das Unternehmen auf zukünftige Änderungen der Geschäftsanforderungen der Kunden vorbereitet? • Werden regelmäßige Besprechungen mit den Kunden zur Standortbestimmung durchgeführt und dokumentiert? • Sind für Reklamationen von Kunden entsprechende Prozesse eingeführt? .

Klassifikation. die Incidents und Fehler verhindern können. Beurteilung der Geschäftsauswirkungen. um die vertraglichen Verpflichtungen und die geschäftlichen Notwendigkeiten einzuhalten. über das Change-Managements? • Unterliegt die Wirksamkeit des Prozesses einer Überwachung und Überprüfung? . größere Reviews mindestens einmal im Jahr durchgeführt? • Gibt es Verfahren für die Überwachung der Leistung interner und externer Lieferanten? Incident-Management • Besteht eine Aufzeichnung aller Incidents und eine nachgelagerte Ticketerfassung? • Enthält der Prozess die Aktivität der Aufzeichnung. Eskalation. Lösung und ein formaler Abschluss? • Werden alle offenen Tickets ausgewertet und die Kunden über die Entwicklung ihrer gemeldeten Incidents informiert? • Erfolgt eine eindeutige Zurechenbarkeit der Tickets zu einem Mitarbeiter und zu einem Kunden? • Wie wird mit der Eskalation umgegangen? • Ist die Übergabe der Incidents ins Problem-Management eindeutig möglich? Problem-Management • Erfolgt eine Dokumentation der auftretenden Probleme durch die Verantwortlichen? • Wird die Prävention von Fehlern als ein relevanter Teil des ProblemManagements angesehen? • Werden die Probleme eindeutig klassifiziert? • Erfolgt eine Weiterleitung aller Verbesserungen und Veränderungen.Eine Darstellung des Standards und des Zertifizierungsprozesses Lieferanten-Management • Sind dokumentierte Lieferanten-Management-Prozesse vorhanden? • Existiert für jeden Lieferanten ein Verantwortlicher? • Sind alle Prozessschnittstellen vereinbart und beschrieben? 71 • Besteht eine Dokumentation von Rollen und Interaktionen von Hauptund Unterlieferanten? • Werden. Aktualisierung. Priorisierung.

die verschiedene Arten von Releases enthält? • Besteht eine Absprache der Planung der Releases bzw. die Revidierung von nicht erfolgreichen Releases erfolgt? • Werden die Changes nach Ausbringung eines Releases auf dem aktuellem Stand gehalten? . um Zuverlässigkeit und Genauigkeit zu garantieren? • Erfolgen Audits zur CMDB? Change-Management • Werden Veränderungen des Services und der Infrastruktur in einem angemessenen Umfang dokumentiert? • Erfolgt eine Beurteilung sogenannter Veränderungsanträge hinsichtlich bestimmter Risiken. Auswirkungen.72 Configuration-Management ITIL-Zertifizierung nach ISO/IEC 20000 • Sind Schnittstellen zur Anlagenbuchhaltung vorhanden? • Existiert eine Begriffsabgrenzung eines Konfigurationselements (CI) und deren zugehörigen Komponenten? • Werden durch das Configuration-Management Mechanismen zur Identifikation. der Software und Hardware mit dem Kunden? • Werden Vorgehensweisen beschrieben. Steuerungsmöglichkeiten und Versionsverfolgung bereitgestellt? • Informiert das Configuration-Management das Change-Management über Veränderungen? • Wird die Configuration Management Data Base (CMDB) überprüft und verwaltet.und Schulungsbedarfs? • Erfolgt eine Weitergabe der veränderten Ergebnisse an alle Mitarbeiter des IT-Bereichs? Release-Management • Existiert eine Politik. die alle Changes hinsichtlich ihrer Aussicht auf Erfolg prüfen. Sicherheitskontrollen und finanzieller Gegebenheiten? • Existieren formelle Verfahren. Kommunikation mit relevanten Abteilungen. wie z. des Kompetenz. kontrollierend einführen und genehmigen? • Werden wiederkehrende Ergebnisse und relevante Informationen aufgedeckt? • Gibt es bei der Einführung veränderter und neuer Services eine wirksame Planung und Überprüfung durch das Change-Management? • Befasst sich das Unternehmen bei einer Veränderung des Services mit Zeitplänen.B. bestimmten Zuständigkeiten der Mitarbeiter. erwarteten Ergebnissen sowie Handlung bzgl.

Dieser beinhaltet die interne Auditierung und entsprechende Korrekturmaßnahmen unmittelbar vor der Zertifizierung sowie den eigentlichen Zertifizierungsaudit und die weitere Vorgehensweise im Anschluss daran. um noch rechtzeitig entsprechende Maßnahmen einleiten zu können. gemessen und regelmäßig analysiert. Quelle: Eigene Darstellung in Anlehnung an [Boc06]. kann der Zertifizierungsprozess eingeleitet werden. Der Prozess wird in Abbildung 2. 233]. Es ist zu empfehlen. um deren Folgen auf bestimmte IT-Tätigkeiten und Geschäftstätigkeiten zu überwachen? • Erfolgt eine Zuordnung von Incidents zu den entsprechenden Releases? • Wie funktioniert die Zusammenarbeit mit dem Change-Management? ([Boc06.4 Zertifizierungsprozess Sind die Anforderungen des Standards ISO/IEC 20000 umgesetzt. S. wie die Umsetzung des Management-Systems. • Werden Erfolge und Misserfolge von Releases bewertet.3. das bereits das Assessment durchgeführt hat. dafür jenes Beratungsunternehmen zu beauftragen.Eine Darstellung des Standards und des Zertifizierungsprozesses 73 Assessment Maßnahmenplan Entscheidung Prozessumsetzung Internes Audit vor der Zertifizierung Erforderliche Korrekturen Korrekturmaßmahmen Zertifizierungsaudit Zertifikat Abbildung 2. Das interne Audit dauert normalerweise zwei bis drei Tage [Boc06. S. 255ff. Es wird überprüft. Das interne Audit stellt einen letzten Check vor der Zertifizierung dar. Sämtliche erforderlichen .5 dargestellt. umgesetzt und gelebt werden. was bereits umgesetzt ist. Es sind Besprechungsräume zu reservieren und sämtliche Dokumente zur Verfügung zu stellen.]) 2. Die Prozessmanager müssen den jeweiligen Prozess beschreiben und berichten. In Gesprächen mit dem IT-Management werden grundsätzliche Dinge geklärt.5: Der Weg zum Zertifikat. ob die Anforderungen des Standards ISO/IEC 20000 verstanden. bei dem erforderliche Korrekturen identifiziert werden sollen.

S. Sobald der zeitliche Ablauf mit der Zertifizierungsstelle abgestimmt ist. bis zum Zertifizierungsaudit durchführen zu können [Boc06. S. Desweiteren wird er gesondert auf der Internetseite der Zertifizierungsstelle gelistet.74 ITIL-Zertifizierung nach ISO/IEC 20000 Prozessaufzeichnungen und Dokumente werden überprüft. Zum Abschluss trägt der Zertifizierer seine Erkenntnisse vor und gibt bekannt. und er ist ermächtigt. Die Unterlagen dazu sind bei der Zertifizierungsstelle anzufordern. sind die Räumlichkeiten vorzubereiten und die Anwesenheit aller erforderlichen Personen ist sicherzustellen. ob der Prozessmanager den Prozess auch wirklich versteht. 239]. . S.]. 252f. die Mitarbeiter durch Schulungen und Bewusstseinsbildung auf die Zertifizierung vorzubereiten. Bei erfolgreicher Zertifizierung erhält der IT-Service-Provider das Zertifikat.]. 17f. Dieser Projekterfolg sollte durch professionelles Marketing bekannt gemacht werden. Der Zertifizierungsaudit wird durch eine offizielle Zertifizierungsstelle (Registered Certificated Body) durchgeführt.]. S. 270f. dass die Prozesse im Unternehmen auch gelebt werden und eine kontinuierliche Weiterentwicklung und Verbesserung nach dem KVP-Ansatz erfolgt. die für eine erfolgreiche Zertifizierung zwingend erforderlich sind. dass Prüfungsunternehmen keine Beratungsleistungen anbieten dürfen. um die Korrekturmaßnahmen. Es sollte genügend Zeit eingeplant werden. die geprüften Zertifizierungsstellen das Recht übertragen. Danach findet ein Wiederholungsaudit statt. um die Unabhängigkeit zu gewährleisten. Als Ergebnis erhält man einen Maßnahmenplan. Die Zertifizierungsstelle trifft dann anhand dieses Vorschlags und der Protokolle des Audits eine Entscheidung [Boc06. Organisationen nach ISO/IEC 20000 zu zertifizieren [SMF06. und zum anderen wird die Umsetzung aller Anforderungen des Standards ISO/IEC 20000 überprüft.19f. das offizielle Zertifizierungslogo zu verwenden. Jährlich werden zudem Überwachungsaudits durchgeführt [SMF06. des Assessments. Es müssen Angaben zum Unternehmen und dem zu zertifizierenden Bereich gemacht werden und es ist ein Termin aus den Vorschlägen der Zertifizierungsstelle auszuwählen. Dabei wird zum einen kontrolliert. Es empfiehlt sich. ob er der Zertifizierungsstelle die Ausstellung des Zertifikats vorschlägt. S. Bei einem einführenden Gespräch mit allen Teilnehmern verschafft sich der Zertifizierer einen Überblick über die Aufgaben und Tätigkeiten und erklärt den Ablauf der Zertifizierung. Dies kann durch eine regelmäßige Erfassung und Überprüfung der für die Prozesse etablierten Kennzahlen sichergestellt werden [Boc06. was bis zur Zertifizierung noch umgesetzt werden muss. Im Anschluss daran wird für jeden Prozess eine Befragung des zuständigen Prozessmanagers durchgeführt. beispielsweise durch die Teilnahme an einem ITIL-Foundation-Kurs [Boc06. Spätestens einen Monat vor der Zertifizierung sind sämtliche erforderlichen Unterlagen bei der Zertifizierungsstelle einzureichen. In Deutschland zählt beispielsweise die TÜV SÜD Management Service GmbH zu den offiziellen Zertifizierungsstellen. Dabei ist zu beachten.]. Das Zertifikat hat eine Gültigkeit von drei Jahren. Der Ablauf des Zertifizierungsaudits ähnelt dem des internen Audits bzw. Die Anmeldung zur Zertifizierung sollte mindestens vier Monate vor dem geplanten Termin erfolgen.]. 240f. Es folgt ein Interview mit der IT-Führung hinsichtlich der Anforderungen an das Management-System und den kontinuierlichen Verbesserungsprozess. Die Mitgliedsländer der International Organization for Standardization (ISO) verfügen über nationale Akkreditierungsstellen. S. Insofern ist nach der Zertifizierung besonders wichtig.

um dieses Ziel zu erreichen. das Change-Management oder das ConfigurationManagement. Gegenüber Kunden. Der Standard ISO/IEC 20000 stellt hohe Anforderungen an Unternehmen und Prozesse. dass seine IT-Dienstleistungen eine hohe Qualität besitzen. die das Outsourcing und die Verwaltung und von IT-Services anbieten. Besonders auf das IT Service Management und die IT-Services beziehen sich viele der Vorschriften. Die Umsetzung der Anforderungen des Standards ISO/IEC 20000 führt dazu. wie sich in den vorangegangenen Kapiteln gezeigt hat. Die unabhängige Beurteilung des Reifegrads der Prozesse und des Service Managements bildet eine Orientierungshilfe und die Grundlage für den kontinuierlichen Verbesserungsprozess [Boc06. die zunächst keine Zertifizierung anstreben. um die Reputation am Markt zu erhöhen und damit die Wettbewerbsfähigkeit zu steigern. Mit der Zertifizierung nach ISO/IEC 20000 durch eine offizielle unabhängige Zertifizierungsstelle kann somit eine hohe Servicequalität objektiv nachgewiesen und den Kunden gegenüber belegt werden. kann es sicher sein. Und da das Zertifikat nur eine begrenzte Gültigkeit besitzt. stellt der Standard ISO/IEC 20000 eine wertvolle Informationsquelle und Leitlinie dar. S. Aufgrund der Aktualität der Thematik gilt ein zertifiziertes Unternehmen zudem als besonders innovativ [Boc06. Das Zertifikat kann als Marketing-Instrument verwendet werden. Voraussetzung für die Zertifizierung ist allerdings. dass die IT-Mitarbeiter durch die intensive Beschäftigung mit dem Thema ein besseres Verständnis von den Prozessen. Es bilden sich eine gemeinsame Sprache und ein einheitlicher Kenntnisstand von den Prozessabläufen. Zum Nachweis der Einhaltung dieser Vorschriften fordern Wirtschaftsprüfer bislang keine Zertifizierung für bestimm- . die ITIL-erfahren sind. Eine Vielzahl von Unternehmen beschränkt sich bei der Einführung von ITIL auf nur wenige Prozesse.]. Der im Standard beschriebene kontinuierliche Verbesserungsprozess bietet die Möglichkeit. den Zielen und Strategien sowie von ihrer eigenen Rolle im Unternehmen entwickeln. Kreditgebern. dass die IT-Dienstleistungen effizient gesteuert werden und den Kundenbedürfnissen angepasst sind. Firmenintern hat die Zertifizierung zur Folge. Zu nennen ist das SarbanesOxley-Gesetz und das HIPAA-Gesetz (Health Insurance Portability and Accountability Act) von 1996 aus den USA. die Servicequalität regelmäßig zu überprüfen und ständig weiterzuentwickeln. 269].Eine Darstellung des Standards und des Zertifizierungsprozesses 75 2. Mitarbeitern und öffentlichen Einrichtungen wird eine breite Vertrauensbasis geschaffen. Durch Effizienzsteigerungen können die Kosten für die eingesetzten Systeme reduziert werden. Dies gilt auch für Unternehmen. Es ist ein großer Aufwand zu betreiben. fallen auch langfristig Aufwände an.4 Beurteilung der Zertifizierung Der IT-Service spielt bei der Kundenbetreuung eine wichtige Rolle. die ihr Handeln und Vorgehen auf die ITIL-Prinzipien abgestimmt haben und sich bei der Implementierung der Prozesse des IT Service Managements auf die ITIL-Richtlinien berufen. Unternehmen müssen die Einhaltung einer Vielzahl behördlicher Vorschriften und Regelungen nachweisen. Dies gilt insbesondere für Unternehmen. Wenn sich ein Unternehmen an die Vorgaben des Standards ISO/IEC 20000 hält. Auch für Unternehmen. wie zum Beispiel das Incident-Management. Allerdings ist bis zum Erhalt des Zertifikats ein langer Weg zurückzulegen. Das ist insbesondere für Unternehmen relevant. Aktionären. 268f. dass alle vorgegebenen Prozesse im Unternehmen umgesetzt sind. S.

Der Standard definiert verbindliche Vorgaben für das IT Service Management. die Planung und Implementierung des Service-Managements. Dies erfolgt durch eine offizielle Zertifizierungsstelle in Form von Interviews. Der Code of Practice des Standards stellt Leitlinien und Empfehlungen zur Umsetzung der Anforderungen zur Verfügung. Erfüllt der IT-Service-Anbieter sämtliche Voraussetzungen. Trotz des hohen Aufwands wird sich daher für viele IT-Service-Anbieter die Zertifizierung nach ISO/IEC 20000 lohnen. die den Kundenbedürfnissen entsprechen. ob die Anforderungen des Standards ISO/IEC 20000 verstanden. 5]. Da in der Geschäftspraxis dieser Nachweis der Servicequalität zunehmend vorausgesetzt wird. Die Entscheidung für eine Zertifizierung nach ISO/IEC 20000 sollte auf der Grundlage einer Standortbestimmung des IT-Bereiches und eines dabei erarbeiteten Maßnahmenplanes mit notwendigen Korrekturen getroffen werden. Durch eine erfolgreiche Zertifizierung wird nachgewiesen. das Information-Security-Management. kann der Zertifizierungsaudit durchgeführt werden. wird dadurch die Wettbewerbsfähigkeit gesteigert. Die vorliegende Arbeit bezieht sich primär auf das Buch „ITIL Zertifizierung . Es sind neben den auf ITIL basierenden Prozessen das Management-System.5 Fazit Die Zertifizierung nach dem Standard ISO/IEC 20000 bietet IT-Dienstleistern die Möglichkeit. Die praktische Umsetzung der Anforderungen ist abhängig von den gegebenen Rahmenbedingungen sowie der Unternehmensstrategie und den Zielen. Vor der Zertifizierung wird ein interner Audit durchgeführt. Abweichungen von diesen Erläuterungen der Best Practices sind erlaubt. dass effiziente ITServices angeboten werden. 2. das Business-Relationship-Management sowie das Lieferanten-Management umzusetzen. die sich aufgrund einer Kosten-Nutzen-Analyse gegen die Zertifizierung und den damit verbundenen Wettbewerbsvorteil entscheiden. umgesetzt und gelebt werden. Und auch für Unternehmen. Sind die Korrekturmaßnahmen umgesetzt. das Service Reporting. wird ein Zertifikat ausgestellt. S. die keine Zertifizierung anstreben.76 ITIL-Zertifizierung nach ISO/IEC 20000 te Standards und Normen. um letzte erforderliche Anpassungen zu identifizieren. Daneben erhöht sich die Reputation des Unternehmens am Markt. Aufgrund seines Bezugs zur Qualität des IT Service Managements bietet sich der Standard ISO/IEC 20000 als internationaler Standard zur Überprüfung der Einhaltung behördlicher Vorschriften im Rahmen von Wirtschaftsprüfungen an [BMC06. Dabei wird überprüft. Die Zertifizierung nach ISO/IEC 20000 wird sich für viele IT-Service-Anbieter trotz des hohen Aufwands lohnen. bringt die Umsetzung des Standards eine Reihe von Vorteilen mit sich. so dass das IT Service Management individuell ausgestaltet werden kann. die Konformität mit dem ITIL Rahmenwerk objektiv zu belegen. Der in der Arbeit dargestellte Fragenkatalog dient als Hilfestellung bei der Prozessumsetzung. Bei der Auftragsvergabe im IT-Sektor wird eine Zertifizierung nach ISO/IEC 20000 zunehmend zur zwingenden Voraussetzung. können den Standard in Ergänzung zu ITIL als Leitlinie zur Verbesserung ihrer IT-Services nutzen [ISM06]. die für eine Zertifizierung vollständig umgesetzt werden müssen. Ein offizielles Prüfsiegel nach international anerkannten Standards ist wohl der beste Qualitätsnachweis gegenüber den Kunden. Unternehmen.

Zeewolde / Niederlande 2008. itSMF. 1.An Introduction. Van Haren Publishing. dass zum Zeitpunkt der Erstellung der Arbeit noch keine weitere einschlägige Literatur zur Verfügung stand. Düsseldorf 2008. 1. Dpunkt Verlag. Günter Macek. Auflage. 2008. 1. Symposion Publishing.The Roadmap. M.Eine Einführung für Manager und Projektleiter. . Zeewolde / Niederlande 2008. H. Auflage. Auflage.. Thomas Oberndorfer und Robert Pumsenberger und auf den Standard ISO/IEC 20000 selbst. • Implementing ISO/IEC 20000 Certification . itSMF. • ISO 20000 .Praxishandbuch für Servicemanagement und IT-Governance.Eine Darstellung des Standards und des Zertifizierungsprozesses 77 nach BS 15000/ISO 20000“ von den Autoren Wolfgang Bock. Für Interessierte an weiterer Literatur sind wir bei unserer Recherche auf folgende Bücher gestoßen. / Schmidt. deren Veröffentlichung noch aussteht: • ISO 20000 . Dies liegt daran.. R. Van Haren Publishing. Andenmatten. Dohle. • ISO/IEC 20000 .

78 ITIL-Zertifizierung nach ISO/IEC 20000 .

com/products/ documents/49/66/64966/64966.com [15. Auflage.Auflage. T. [SMF06] The IT Service Management Forum: ISO/IEC 20000 . [Boc06] Bock. W. URL: http://www.08]. URL: www. http://documents. Geneva / Schweiz 2005. Auflage. / Oberndorfer.08]. Auflage. Galileo Computing. 79 . / Macek.competence-site. [ISM06] Competence Site. 1.bmc.01. Geneva / Schweiz 2005. 1.01.de/ itmanagement. [Cod05] International Organization for Standardization / International Electrotechnical Commission: ISO/IEC 20000-2: Code of practice. 1. / Pumsenberger.pdf [21.08]. R.gartner.: ITIL Zertifizierung nach BS 15000 / ISO 20000. 1. Bonn 2006. Van Haren Publishing.nsf/5438155EE69CF678C125728B0042967B/$File/ it-service-management_iso_20000.Literaturverzeichnis [BMC06] BMC Software. [Gar06] Marktforschungsunternehmen Gartner. G. [Spe05] International Organization for Standardization / International Electrotechnical Commission: ISO/IEC 20000-1: Specification.Das Taschenbuch. Zeewolde / Niederlande 2006.pdf [21.01.

80 ITIL-Zertifizierung nach ISO/IEC 20000 .

die erfolgreich implementiert worden sind und einen Großteil des Aufgabenspektrums abdecken. 6] Unternehmen suchen oftmals nach praxisbewährten Lösungen.[Bsi07.und Kommunikationstechnik (IT). dass in der Vergangenheit keine Sicherheitsvorfälle erkannt wurden. Die Bedrohungen sind vielfältiger Art und reichen von Wirtschaftsspionen und Hackern über Viren bis hin zu eigenen Anwendern. Trotz dieser Entwicklung herrscht in vielen Fällen eine weit verbreitete Fehleinschätzung über den eigenen Schutzbedarf bei den Unternehmen. Dies bietet einerseits die Möglichkeit Informationssicherheit vorteilhafter in die ITProzesse zu integrieren und andererseits eine bessere Arbeitsverteilung zwischen IT-Bereich und Security Management zu ermöglichen. dass keine Vorlagen oder die Sicherheitsmaßnahmen ausreichend sind. Im gleichen Maße gilt dies für Prozesse der Informations. Der momentane Trend geht dazu.Kapitel 3 ITIL und IT-Sicherheit Synergien zwischen Security Management und Service Support nutzen Björn Borgmeier. Tim Kattner 3. bedeutete nicht.1 Einleitung Sicherheit und Schutz sind Grundbedürfnisse der Menschheit. Bedingt durch die gestiegene Verwundbarkeit und Gefahr wirtschaftlicher Schäden haben sowohl Handlungsdruck als auch Anforderungen an ein effizientes IT-Security Management zugenommen. Security Management ist kein statischer Zustand. Eine solche Best Practice Lösung ist ITIL. sofern sie die Produktivität der Geschäftsprozesse erhöhen oder einen Wettbewerbsvorteil generieren. nehmen ebenso Gefahren und Risiken für Informationstechnologien zu. Zudem bietet es die Chance das Thema Sicherheit stärker in den Fokus zu rücken und diesbezüglich die 81 . S. Während in Zeiten immer größere Vernetzung die Komplexität und Abhängigkeit von der IT stetig wächst. zu restrukturieren. sondern ein dynamischer Prozess. Im Zuge sinkender IT-Budgets werden Maßnahmen nur noch implementiert. Die Tatsache alleine. Michael Bochenek. IT-Prozesse gemäß ITIL neu zu entwickeln bzw.

. unbefugte Veränderung der Funktionalität und unbefugte Modifikation. einen kurzen Überblick über das Thema IT-Sicherheit zu liefern. 204]. 3. Die vorliegende Arbeit gliedert sich dabei in vier Kapitel.[Bsi05. Um eine Diskussionsgrundlage für die weiteren Kapitel zu schaffen. 3. sofern es den drei Grundbedrohungen jeder Informationsverarbeitung Stand hält. aber vor allem sollen die positiven Effekte des Zusammenwirkens von IT-Security und IT-Service Management aufgezeigt werden. Hierbei stehen nicht die konkreten Maßnahmen des Security Managements im Vordergrund.1 Informationssicherheit Oftmals sind es bestimmte Informationen oder fachspezifisches Know-how.2 Grundlagen des IT-Security Management Das nachfolgende Kapitel stellt eine Einführung in den Bereich des Security Managements dar.[Die04. Das dritte Kapitel stellt den Hauptteil der Arbeit dar. S. Unbefugter Informationsgewinn geht einher mit dem Verlust der Vertraulichkeit. Der Begriff IT-Informationssicherheit ist stark durch die Sicht der Verlässlichkeit [Die04. sondern auch die Unternehmensleitung gesetzlich verpflichtet ist. sondern ein prozessorientiertes Vorgehen. findet das Kapitel seinen Abschluss mit einer Einordnung des Security Managements in ITIL.82 ITIL und IT-Sicherheit Akzeptanz seitens der Unternehmensleitung zu erhöhen. S. das den Unternehmen auf den hart umkämpften Märkten einen Wettbewerbsvorteil gegenüber ihren Konkurrenten verschafft. 2 AktG) nicht mehr nur Aufgabe der IT-Abteilung ist. dafür Sorge zu tragen [Köh06. Vertraulichkeit. wird zunächst der Begriff Informationssicherheit definiert und die einzelnen Dimensionen der Informationssicherheit vorgestellt.2. welche durch die drei Dimensionen Verfügbarkeit. Einen Abschluss findet die Arbeit in einem kurzen Fazit und der Zusammenfassung der gewonnenen Erkenntnisse. S. Vorwort des Verfassers] Aus diesem Grund kommt der Sicherung und dem Schutz dieser Informationen und deren Systemen eine hohe Bedeutung zu. Hier werden die einzelnen Prozesse des Service Supports kurz vorgestellt und anschließend die sich bietenden Synergieeffekte mit dem Security Management aufgezeigt. S. 12]. Nach der Einleitung folgt ein Grundlagenkapitel. welches exemplarisch am Beispiel des Service Supports. Geraten wichtige Informationen in die falschen Hände. werden zusätzlich gesetzliche Anforderungen und Vorschriften an die Informationssicherheit und den Datenschutz vorgestellt. Ziel dieser Arbeit soll es zum einen sein. indem die für den weiteren Verlauf notwendigen Begrifflichkeiten des Security Managements erörtert werden.[Bru06. Vertraulichkeit und Integrität gekennzeichnet ist. Nachdem Ziele und Aufgaben des Security Managements präsentiert werden. Ein IT-System gilt als sicher. 347] Es handelt sich bei diesen Bedrohungen um unbefugten Informationsgewinn. der operativen Ebene beschrieben wird. 346] geprägt. Da die IT-Sicherheit unter anderem bedingt durch das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (§ 91 Abs.

Integrität. Um diesem Datendiebstahl/ -missbrauch entgegen zu wirken.. Auch in diesem Fall sind eine restriktive Vergabe der Nutzungsrechte und Zugangskontrollen Alternativen. Löschen von Daten durch unbefugte Personen. die er für seine tägliche Arbeit benötigt. Die Verfügbarkeit eines DV-Systems ist gefährdet bzw. etc. PIN. nach dem jeder Benutzer (auch der Administrator) lediglich die Berechtigungen (Zugriffe auf Datenbestände und Programme) erhält. 14] Verfügbarkeit. S.). Wartbarkeit. Werden sensible Daten. Mögliche Indikatoren für eine solche gestörte Verfügbarkeit sind der Ausfall der Informationsverarbeitung. Korrektheit und Unverfälschtheit der Informationen zu gewährleisten. Flexibilität oder Beobachtbarkeit.Synergien zwischen Security Management und Service Support nutzen 83 kann dieses schwerwiegende wirtschaftliche Schäden nach sich ziehen. schädliche Funktionen ausführen. um die Vollständigkeit. so tritt eine Beeinträchtigung oder der Verlust der Integrität ein.[Köh06. MalWare1 tut. S. 249] Ist es möglich Daten oder Vorgänge einem Verursacher oder eine auslösende Instanz eindeutig zu zuordnen und sind diese darüber hinaus von unabhängigen Personen oder Instanzen nachvollziehbar bzw. Das Security 1 Als Malware bezeichnet man Computerprogramme. Vertraulichkeit und Verfügbarkeit) deshalb um zwei Dimensionen zu erweitern. die zusammen die Sicht der Beherrschbarkeit bilden. Integrität. Neben der Verlässlichkeit schützenswerter Informationen hat in der jüngeren Vergangenheit auch deren Beherrschbarkeit mehr und mehr an Bedeutung gewonnen. etc. etc. Die fünf vorgestellten Dimensionen der Informationssicherheit (Vertraulichkeit.[Bsi07. Zurechenbarkeit und Rechtsverbindlichkeit)2 können auch als Qualitätsmerkmale eines IT-Systems verstanden werden. modifiziert. Dabei steht nicht die technische Sicht (Sicherheit der Systeme).[Die04. Stabilität. angefangen bei der Nutzung sicherer Informationskanäle über Verschlüsselungsalgorithmen bis hin zur Schaffung von Zugangsbarrieren (Passwörter. so sind Zurechenbarkeit sowie Rechtsverbindlichkeit gewährleistet. beweisbar. welche vom Benutzer unerwünschte und ggf. S.) oder die Verschärfung der Zugangsrestriktionen für Unbefugte sind zwei von mehreren Optionen. . sondern die Sicherheit der Betroffenen (Schutz vor dem System) im Vordergrund. dass bewusste Veränderungen an Informationen vorgenommen wurden. wie etwa Robustheit. Sabotage der Verarbeitungsprozesse und Zerstörung bzw. wenn Informationen unbewusst falsch verarbeitet oder verfälscht werden. Obendrein sollte in diesem Zusammenhang nach dem sogenannten „Need-toknow-Prinzip“ verfahren werden. geht verloren. Programme oder Geräte unerlaubt verändert bzw. 208] Ebenso ist denkbar. wenn die Funktionalität unbefugt oder durch technisches Versagen gestört wird. gibt es diverse Möglichkeiten. 2 Neben diesen fünf Dimensionen wurden in der letzen Zeit eine Reihe weiterer möglicher Dimensionen diskutiert. Verfügbarkeit. wie es bspw.) sind die bereits vorgestellten Hauptmerkmale der Informationssicherheit (Integrität. Die Etablierung redundanter Einheiten (Backup Server. Es handelt sich hierbei um Zurechenbarkeit und Rechtsverbindlichkeit/Revisionsfähigkeit. Im Zeitalter des Internets und der damit verbundenen Nutzung für Rechtsgeschäfte (Online-Banking. E-Commerce. um diesem entgegen zu treten. vor. Ein solcher Verlust der Integrität liegt bspw.

[Bru06. Kommt der Vorstand dieser Forderung nicht nach.2 Gesetzesanforderungen. 1 des GmbHG. In Verbindung mit anderen gilt dies insbesondere für das Gesetz zur Kontrolle und Transparenz in Unternehmensbereichen (KonTraG). ist der Paragraph 43 Abs. welches verschiedene Gesetze wie das HGB oder AktG ändert bzw. ist das Ziel des Datenschutzes die freie Entfaltung der Persönlichkeit. Verwendung und Weitergabe seiner persönlichen Daten sichergestellt sein. ergänzt. diese Qualitätsmerkmale entsprechend der jeweiligen Anforderungen zu gewichten und anhand definierter Kriterien auf allen Unternehmensebenen umzusetzen. Vertraulichkeit und Integrität von Daten im Vordergrund steht. 2 des Aktiengesetzes hat der Vorstand einer Aktiengesellschaft geeignete Maßnahmen zu ergreifen.84 ITIL und IT-Sicherheit Management sollte bestrebt sein. Eine weitere Regelung.2. 2 AktG) Der Geltungsbereich dieser Vorschriften erstreckt sich auch auf das HGB. Risiken und Risikostruktur des Unternehmens im Lagebericht des Jahresabschlusses der Gesellschaft zu veröffentlichen.(§ 93 Abs. Speicherung. Anwälte oder Angehörige sozialer Berufe. 9] 3. ein unternehmensweites Früherkennungssystem für Risiken (Risikomanagement) einzuführen und zu betreiben sowie Aussagen bzgl.[Köh06. Während bei der Datensicherheit die Gewährleistung der Verfügbarkeit. damit gefährdende Entwicklungen früh erkannt werden. ob die Risiken auch zutreffend dargestellt werden. die sogar Freiheitsstrafen vorsehen. Vorschriften und Standards Ein IT-Sicherheitsvorfall kann nicht nur wirtschaftliche Schäden nach sich ziehen.und Haftungsverpflichtungen für die Unternehmung (vor allem für die Geschäftsleitung) ableiten lassen. insbesondere ein Überwachungssystem einzurichten. Dies umfasst ebenfalls IT-Risiken.(§ 317 Abs. S. dass der Aufwand für die Implementierung im Verhältnis zum Nutzen stehen muss. wenn es aufgrund eines nicht angemessenen IT-Sicherheitsniveaus zu wirtschaftlichen Schäden kommt. eingegangen werden. muss ein Schutz des Einzelnen vor Erhebung. Der Umgang mit personenbezogenen Daten wird in den Datenschutzgesetzen des Bundes und der Länder geregelt. aus denen sich Handlungs. Für bestimmte Berufsgruppen. Damit liegt der Wirkungskreis des Datenschutzes in der Sicherstellung der informellen Selbstbestimmung des Einzelnen. S. Dabei darf jedoch nicht außer Acht gelassen werden. gibt es im Strafgesetzbuch Sonderregelungen. wonach für die Geschäftsführung die „Sorgfalt eines ordentlichen Geschäftsmannes“ gilt. Kern des KonTraG ist eine Vorschrift. 2 HGB Abschlussprüfer zu prüfen. die die Unternehmensleitungen von Kapitalgesellschaften dazu zwingt. so haftet er persönlich. 4 HGB) Des Weiteren verpflichtet § 317 Abs. 210] Um dies zu gewährleisten. um den Fortbestand der Unternehmung zu gewährleisten. sondern es bestehen mittlerweile auch gesetzliche Regelungen. welche betroffen sein kann. welche die verantwortlichen Personen einer Unternehmung zur Rechenschaft ziehen. Gemäß § 91 Abs. wenn vertrauliche Daten ihrer Patienten oder Klienten ohne deren . Es gibt eine Reihe von Rechtsvorschriften. Aus diesem Grund soll in diesem Abschnitt kurz auf die gesetzlichen Anforderungen und Vorschriften an die IT-Sicherheit sowie Standards. Dieses Gesetz ist ein sogenanntes Artikelgesetz. wie Ärzte. welche das IT-Security Management betreffen.

in denen die IT-Infrastruktur hinter sicheren Mauern vor den Blicken der Umwelt geschützt war und einige wenige Sicherheitsmaßnahmen genügten. Diese können dann mit den Security Baselines verglichen werden. In der heutigen Zeit wird das Grundschutzhandbuch nicht nur in Behörden angewandt.3 Bereits einen fahrlässiger Umgang mit der Informationstechnik (z. ITSecurity Management und Organisation darstellen. In seiner aktuellsten Version wurde es mit dem ISO/IEC 27001:2005 kompatibel gemacht. Erhaltung. die Notfallplanung. sind längst vorbei.und Maßnahmekataloge. woraufhin das Bundesamt für Sicherheit in der Informationstechnik (BSI) das IT-Grundschutzhandbuch herausgab und später zu den IT-Grundschutzkatalogen weiter entwickelte.3 Ziele und Aufgaben des IT-Security Management Die Zeiten. die Arbeit des Security Managements sinnvoll zu strukturieren. Dabei beschreibt das IT-Grundschutzhandbuch die Vorgehensweise von der Erstellung eines Sicherheitsprozesses über die Implementierung bis hin zur Definition der konkreten Aufgaben. Einer der ersten dieser Art war der britische Standard BS 7799. die übergeordnete Prozesse und Verfahren. die oben angesprochenen gesetzlichen Vorgaben zu erfüllen. ebenfalls herausgegeben vom BSI. S. S. deren Ziel es ist. Wartung und Überwachung detailliert dargestellt. wie z.Synergien zwischen Security Management und Service Support nutzen 85 Zustimmung an die Öffentlichkeit gelangen. Der ISO/IEC 27001:2005 dagegen beschreibt den Aufbau eines Information Security Management Systems (ISMS) und referenziert im Anhang auf die Maßnahmen.“[Vog02. die helfen sollen. Neben den Gesetzesanforderungen und Vorschriften gibt es zugleich diverse Standards (BS/ISO). 213] Der große Vorteil der ISO-Standards ist die internationale Akzeptanz und damit besonders für global agierende Unternehmen von Bedeutung. die Informationssicherheit zu gewährleisten. auf Basis dessen im späteren Verlauf der ISO/IEC 17799:2005 entwickelt wurde. weist ihm Gefährdungen zu und leitet daraus Maßnahmen ab. Diese enthalten Gefährdungs. In kompakter Form werden eine Zusammenfassung der wichtigsten Sicherheitsmaßnahmen sowie Praxisbeispiele und Checklisten geliefert. welcher die Aufstellung von Maßnahmen umfasst.[Bru06. Weiterhin werden sogenannte Bausteine beschrieben. Dabei werden Anforderungen an ein dokumentiertes Informationssicherheits-Managementsystem im Hinblick auf Implementierung. die so genannte Schweigepflicht . B. die durch den ISO/IEC 17799 detailliert beschrieben werden. welche das IT-Security Management thematisieren und es unter anderem ermöglichen sollen. 270] Die Anforderungen an das Security 3§ 203 StGB. Jeder Baustein beschreibt ein Szenario. Auch in Deutschland hat man sich dieser Thematik angenommen. „Sicherheit ist heute mehr als das Abschlie[ß]en von Serverräumen und die peinlich genaue Beachtung von Passwortregeln.2. B. 3. Verbesserung. Eine weniger detaillierte Darstellung liefert der Leitfaden zur IT-Sicherheit. um die Datensicherheit zu gewährleisten. Genau wie die Urfassung des britischen Standards beruht der ISO/IEC 17799 auf einem Best Practice Ansatz. durch unsichere Passwörter oder ungeeignete Verschlüsselungsalgorithmen) kann unter Umständen diesen Tatbestand erfüllen. auch die Wirtschaft fragt dieses immer stärker nach.

Bevor Maßnahmen zum Schutz der IT-Infrastruktur vor potenziellen Bedrohungen. S. Security Policy. erheblich zugenommen. zwischen Datenschutz. sind zunächst die Anforderungen an die jeweiligen Prozesse zu ermitteln und in Form konkreter Sicherheitsziele zu definieren. Ferner werden auch Sicherheitsrichtlinien in der Policy definiert und festgehalten. das IT-Grundschutzhandbuch des BSI geeignete Anhaltspunkte. Beide vertreten unterschiedliche Auffassungen im Hinblick auf die Protokollierung persönlicher Zugriffe von Mitarbeitern. 4 Englischer Begriff für IT-Sicherheitspolitik . Zudem ist bei der Erstellung mit dem Auftreten von Interessenskonflikten zwischen den jeweiligen Prozessverantwortlichen zu rechnen. um einem Missbrauch vorzubeugen oder für den Fall eines Missbrauchs die Nachvollziehbarkeit zu ermöglichen. [Köh06. In der Regel umfasst die Security Policy folgende Aspekte: ([Köh06. Dennoch sollte sie dabei nicht mit den Unternehmenszielen konfligieren.[Köh06.86 ITIL und IT-Sicherheit Management haben in unserer heutigen hochtechnisierten und auf den eigenen Vorteil ausgerichteten Welt. liegt es im Interesse des Sicherheitsbeauftragten diese Informationen möglichst detailliert zu erfassen. Ziele und Maßnahmen des Security Managements vorgestellt werden. Viren oder Datendiebstahl ergriffen werden können. 203] Aus diesem Grund sollen im Folgenden Anforderungen. 210] Während der Datenschutzbeauftragte den Schutz personenbezogener Daten als Ziel verfolgt. Elementarer Baustein innerhalb des Security Managements ist in diesem Zusammenhang die Security Policy 4 .und Sicherheitsbeauftragten. S. Für die konkrete Ausgestaltung der Sicherheitsrichtlinien liefert bspw. Neben den langfristigen Sicherheitszielen beinhaltet sie die Personalverantwortlichkeiten und Sicherheitsstufen für die jeweiligen Prozesse und Daten eines Unternehmens. bspw. Mit ihr wird die Basis für ein effizientes und funktionierendes Security Management gelegt. wie etwa Hackerangriffen. Verantwortung und Rechte der einzelnen Rollen • Beschreibung der Sicherheitsstufen für Daten und DV-Verfahren • Verfahren bei Sicherheitsverstößen • Berichtswesen und Abstimmungsverfahren • Datenschutz und Fernmeldegeheimnis Bei der Ausarbeitung der Security Policy ist große Sorgfalt geboten. 210]) • Sicherheitsziele • Zweck und Geltungsbereich • Personalzuständigkeit und Rolle • Aufgaben. S.

Eine solche Einstufung in Risikoklassen (Klassifizierung) hat den Vorteil. Aufgaben und Aktivitäten des Security Management. die Informationssicherheit5 von Daten und Prozessen gemäß ihrer Bedeutung für die Unternehmung zu gewährleisten. den durch die definierten Ziele vorgegebenen Sicherheitsgrad zu erreichen bzw. Neben der Datensicherheit stehen auch Aspekte des Datenschutzes im Fokus des Security Managements. Anti-Viren.und Netzwerksicherheit Mitarbeiter im Produktionsprozess Sicherheitsbewusstsein und Sicherheitskompetenz Abbildung 3. 270] Daher verfolgt das IT-Security Management als primäres Ziel.und Anti-Malware-Programmen über die Schulung des Sicherheitsbewusstseins der Mitarbeiter bis hin zu Risikoanalysen. Verfügbarkeit und Integrität vor potenziellen Bedrohungen soll dabei auf effiziente und ressourcenschonende Weise erfolgen (Wirtschaftlichkeit). Zu den Maßnahmen des Security Managements zählen alle Vorkehrungen.2.1 IT-Informationssicherheit dazu ausführlicher Kapitel 3.2 Gesetzesanforderungen. S.1: Sicherheitsziele nach Hierarchieebenen. Vorschriften und Standards . Bei Risikoanalysen werden Betriebsmittel auf Schwachstellen und potentielle Bedrohung untersucht und diesbezüglich Bewertungen vorgenommen. 216]. die geeignet sind. die gesetzlichen Auflagen einzuhalten. das Funktionieren eines Unternehmens sind aktuelle und fehlerfreie sowie konsistente Informationen unerlässlich. aufrecht zu halten. Letztlich bietet eine Risikoanalyse die Möglichkeit.Synergien zwischen Security Management und Service Support nutzen 87 Ziele. Gefahren und Auswirkungen für Geschäftsprozesse frühzeitig zu identifizieren und rechzeitig präventive 5 siehe 6 siehe dazu ausführlicher Kapitel 3. Die Risikobewertung richtet sich einerseits nach dem Schadenspotenzial und zum anderen nach der Bedeutung für das Unternehmen. dass die Ressourcen des Security Management optimal verteilt werden können.6 Zielsetzung in diesem Kontext ist es. Quelle: [Köh06. Maßgeblich ist in diesem Zusammenhang das gesetzliche Rahmenwerk. Geschäftsleitung Security Policy IT-SicherheitsManagement Informations und Prozesssicherheitsstandards Fachbereiche Datensicherheit Sicherheitsadministrator System. [Vog02. S. Für den reibungslosen Ablauf bzw. Der Schutz der Vertraulichkeit.2. Neben der Behebung von Sicherheitsvorfällen reicht das Aufgabenspektrum dabei von der Auswahl adäquater Firewalls.

Interne u. Dynamische Geschäftsprozesse und der steigende Informationsbedarf sind Auslöser zur Neustrukturierung und stellen ein Unternehmen vor Probleme in Bezug auf deren Umsetzung.88 ITIL und IT-Sicherheit Maßnahmen einzuleiten. Check Einhaltung der Security Policy überprüfen. sondern ein dynamischer Prozess. dass die IT-Sicherheit kein statischer Zustand ist. Nicht zuletzt trägt der technologische Fortschritt in der Informationsübertragung und -verarbeitung zusätzlich dazu bei.2: Erweiterter PDCA-Zyklus des Security Management Prozesses. Um solchen Anforderungen gerecht zu werden. Würmern. 28] Weitere wichtige Aufgaben des Security Management sind: • Durchführung von Security Audits7 • Erstellen von Management Reports zur IT-Sicherheit • Überprüfen.Sicherheit.4 Einordnung von Informationssicherheit und Security Management in ITIL Heutzutage sind Unternehmen und Organisationen zunehmend dem Druck ausgesetzt. 3. Operational Level Agreement Act Notwendige Änderungen herbeiführen. führt kein Weg an Standardisierung vorbei. 6] Report ManagementReport zu IT. Dokumentation von Sicherheitsvorfällen Report Plan Security Policy. Security Audits. Externe Überprüfung Check Do Abbildung 3. etc. Service Level Agreement. wodurch 7 Security Audits sind regelmäßige Prüfungen des Softwarebestands und gleichzeitiger Abgleich mit Securitylisten. den Prozess des Security Managements zu veranschaulichen und verdeutlicht. MalWare. Auswahl geeigneter Software/ Tools zum Schutz vor Viren.[Bru06. Sicherheitsbewusstsein schulen/fördern. . S. ob die eingeführten Sicherheitsmaßnahmen eingehalten werden Die nachfolgende Abbildung dient abschließend dazu. S.Risiken und IT. Priorisierung.2. Verbesserung der Prozesse Act Plan Do Bedrohungsanalysen.[Bsi07. wodurch Gefahren frühzeitig erkannt werden können. ihre IT-Prozesse zu überarbeiten und zu verbessern.

Finanzierung und Kontrollfunktion sind weitere Aufgaben. die die Erbringung von Serviceleistungen betreffen. Auf ihr werden alle Prozesse des Service Delivery zusammengefasst. Wird diese Thematik nach ITIL eingeführt und allumfassend umgesetzt. Im Gegensatz dazu wird dem Thema Sicherheit in der aktuellen. Zudem sollte die von dem Security Management erarbeitete Security Policy an die Geschäftsleitung herangetragen werden. die strategische Ebene dar. Als „IT-Infrastructure Library“ hat sich dieses Rahmenwerk als Instrument zur Planung und Umsetzung etabliert. dritten Version (V3) kein eigenes Buch gewidmet. Operative Ebene. Ebenfalls auf dieser Ebene anzusiedeln. ergeben sich viele Chancen für einen effizienten Umgang mit sicherheitsrelevanten Ereignissen. ob ein Security Management aufgebaut wird und gegebenenfalls werden Verantwortlichkeiten festgelegt. Auch dieser Problematik hat sich ITIL angenommen und versucht ein Leitfaden für den sicheren Umgang mit Informationen im Service Management zu sein. Taktische Ebene. Strategische Ausrichtung. in den SLAs definierten. Wie im vorigen Kapitel bereits erläutert. Gegebenenfalls wird zusätzlich ein Security Officer ernannt. um eine gesamtheitliche Akzeptanz und Unterstützung zu gewährleisten. vom einfachen Mitarbeiter bis hin zur Chefetage. Das Top-Management stellt die oberste. der die Verantwortung diesbezüglich trägt und Ansprechpartner der Geschäftsleitung ist. dessen Aufgabe es ist die gesamte Netzwerkstruktur in puncto Sicherheit zu betreuen und zu überwachen. Aus den. Hier tritt der Kunde als Auftraggeber der Leistungen auf und kann über seinen Bedarf die Serviceangebote der IT-Abteilung beeinflussen. die das Top-Management betreffen. Diese Ebene steht in direktem Kontakt mit Anwendern und verwaltet alle Wünsche. Die operative Ebene ist für die konkrete Umsetzung dieser Ziele verantwortlich und beinhaltet die Prozesse des Service Supports. Die zweite Ebene wird auch taktische Ebene genannt und dient der Qualität der Services. Eines davon ist das Buch „Security Management“. ITIL unterteilt deswegen seine Prozesse in drei Ebenen. Ein oft vernachlässigter Bereich ist in diesem Zusammenhang das Thema Informationssicherheit. In der Version V2 umfasst das komplette ITIL-Paket sieben Bücher. bilden das Service Level Agreement (SLA).Synergien zwischen Security Management und Service Support nutzen 89 nicht nur versucht wird Geschäftsprozesse und Verhaltensweisen. welche in der Security Policy zusammengefasst werden. Strategische Ebene. sondern findet in Teilbereichen der fünf Buchbände Berücksichtigung. . Diese Vereinbarungen. Das Service Level Management bestimmt die Anforderungen an das Service Delivery. also die zu erbringenden IT-Dienstleistungen. welches sich dieser Thematik widmet und versucht eine Verbindung zwischen Sicherheitsanforderungen und Geschäftsprozessen zu schaffen. gesetzliche Bestimmungen oder Sicherheitsstufen. zählen hierzu beispielsweise Datenschutz. Informationssicherheit betrifft alle Personen und Bereiche innerhalb einer Organisation. ITIL beruht auf Best Practice Ansätzen und sieht Sicherheitsaspekte als unverzichtbaren Bestandteil eines ordnungsgemäßen IT-Betriebes an. Die ITIL hat sich dieser Thematik angenommen und dient als Orientierung für eine solche Prozessstandardisierung. Auf ihr wird entschieden. ist das Security Management. sondern auch serviceorientiertes Management aneinander anzupassen. Anforderungen leiten sich Sicherheitsziele ab.

Der Mitarbeiter am Service Desk ist nun gefragt weitere Schritte zur Behebung dieser Incidents einzuleiten und Ereignisdaten in einer Datenbank zu speichern. 13] Über den gesamten Zeitraum der Bearbeitung kann der aktuelle Status des Incidents abgerufen und kontrolliert werden. die zuvor bereits standardisiert wurden und nun direkt umgesetzt werden können.und Release Management etabliert. 9 Englischer Begriff für unvorhergesehenes Ereignis. der Fokus dieses Kapitels liegt jedoch eindeutig auf der Darstellung der prozessorientierten Maßnahmenplanung. 3.und Configuration Managements.8 3. das BSI-Grundschutzhandbuch tut. S. Auftrag oder Störfall . wie sich diese Synergieeffekte nutzen lassen. Neustrukturierung der Geschäftsprozesse nach ITIL bieten. Change.und Hardware sein oder auch Meldungen zu Produktfehlern oder Servicestörungen. wo sich Chancen und Möglichkeiten des Zusammenwirkens von Security Management und Service Support im Zuge der Restrukturierung bzw. konkrete Sicherheitsmaßnahmen vorzustellen. Im Gegensatz zu den nachfolgenden Servicemanagement-Prozessen in ITIL stellt der Service Desk keinen eigentlichen Prozess dar. Ferner soll explizit dargestellt werden. wie es bspw. Des Weiteren übernimmt der Service Desk Routineaufgaben des Change. an die er gelangt. Das können unter anderem triviale Fragen zu Soft.3. „Faceto-Face“-Kommunikation oder wie in den meisten Fällen per Telefon.90 ITIL und IT-Sicherheit Anfragen und Änderungen.3. Dazu werden in den folgenden Abschnitten die einzelnen Prozesse des Service Supports kurz erläutert und anschließend die Vorteile der wechselseitigen Beziehung aufgezeigt. S. Er ist der zentrale Anlaufpunkt einer IT-Organisation und soll eine professionelle Anwenderunterstützung garantieren. Hier laufen Anfragen zusammen und es wird die Funktion des Incident Managements mit Schnittstellen zu Problem-. die eine Schnittstelle zwischen Anwendern und IT-Organisation bildet. um Überschneidungen mit dem folgenden Kapitel zu vermeiden.3 Security Management mit ITIL auf operativer Ebene Nachdem im vorherigen Kapitel grundlegende Aspekte. wie IT-Security Management oder Informationssicherheit erläutert wurden. Ziel dieses Kapitels ist es nicht.[Bmi06. 13] Ein Beispiel dafür sind Änderungsanträge. werden sogenannte Incidents 9 aufgenommen und bearbeitet. ohne an entsprechendes Fachpersonal 8 Auf eine detaillierte Darstellung der operativen Ebene wird an dieser Stelle verzichtet. Gemäß ITIL ist dies die Configuration Management Database (CMDB). Zwar sollen auch solche Aspekte angesprochen werden. auf die in Kapitel 3. Der zentrale Anlaufpunkt ist der Service Desk. unterstützt das Release Management bei der Rollout-Phase oder stellt von sich aus Kontakt zu Anwendern her.[Bmi06. sondern eine Funktion. soll nun im Folgenden aufgezeigt werden. so dass Geschäftsleitung oder Kunden schnell und zuverlässig Informationen bereitgestellt werden können. Mittels Email. ist der Service Desk die erste Station.1 Service Desk Hat ein Anwender eine Anfrage oder treten Komplikationen in Bezug auf bestimmte Anwendungen oder Services auf.6 ausführlicher eingegangen wird.

ist es Ziel dieses Vorgangs. 3.3. sind dazu einige Softwarelösungen. bei denen mehrere Benutzer gleichzeitig auf einen Incident zugreifen können. Derartige Standardprozesse können direkt vom Service Desk durchgeführt oder aber an Experten weitergeleitet werden. Aussagen darüber zu machen. welche ITIL mit sich bringt. ITIL liefert hierzu einen Prozessansatz. 17] 10 Ein Patch ist eine Korrekturauslieferung oder Nachbesserung für Software aus Endanwendersicht. Patches10 oder Updates. Durch Soft. Um Auswirkungen auf die Geschäftsprozesse so gering wie möglich zu halten und Imageschäden zu vermeiden. Flächenstörungen) auszuarbeiten. um die IT-Spezialisten möglichst rasch zu alarmieren und Fehleinschätzungen vorzubeugen. computergestützte Verfahren eingesetzt. bei dem je nach Qualität einer Störung eine oder mehrere Support-Stufen durchlaufen werden. alle Anfragen und Vorfälle schnellstmöglich zu behandeln und potentielle Fehler zu beheben. . Veränderungen von Zugriffsrechten oder auch Benutzerkonten angesprochen und bearbeitet. ist es die Aufgabe des Incident Managements. wie z. die zentral abgelegt und nur einen Zugriff zur selben Zeit zuließen. Im Gegensatz dazu werden heutzutage moderne. können bestimmte Störungen schon vom Service Desk behoben werden und entlasten somit das Release Management. Der Service Desk ist somit ein Teil des Security Management und sollte Anforderungen wie hohe Erreichbarkeit und Reaktionsgeschwindigkeit gerecht werden. Auf dem Markt erhältlich. Letztendlich ermöglicht ein funktionierender Service Desk sogar die Leistung des Security Management zumindest in Teilen messbar zu machen. bspw. Zusammen mit dem für die Sicherheit zuständigem Management ist es ratsam Strategien zur Sensibilisierung der Mitarbeiter bei hoch sicherheitsrelevanten Vorfällen (z. diese zu verwalten und eine Übersicht über den aktuellen Status aller Incidents zu gewährleisten. Durch seine vielfältigen Anforderungen kann er allgemeine Aufgaben erfüllen und sogar spezifische Lösungen bereitstellen. Die Mitarbeiter des Service Desk sind ein wichtiger Aspekt in diesem Prozess. um die Behandlung einer Vielzahl von Datensätzen zu ermöglichen. Bei entsprechender Umsetzung kann der Service Desk einen großen Beitrag zu der Incidentbearbeitung leisten. B.2 Incident Management Nachdem eine Anfrage aufgenommen wurde. um eine Sicherheitslücke zu schließen. Die Bearbeitung von Störungen. ist das Incident Management als Teilbereich des Security Managements anzusehen. in diesem Fall Security Incidents. [Bmi06. da durch ihre Entscheidung Arbeitszeit und Aufwand gespart oder vergeudet wird. So werden über Security Incidents Prozesse der ITSicherheit wie Passwortvergabe. lässt sich in mehrere Arbeitsschritte untergliedern. ob die Anzahl an Security Incidents rückläufig ist oder um wie viel Prozent diese zurückgegangen sind.oder Hardwareinstallationen. ermöglicht es die Erfassung von Security Incidents bspw. Da Störungen die Informationssicherheit beeinflussen können oder ein unerkannter Sicherheitsvorfall Störungen hervorrufen kann. Jeder Incident wird dadurch einem Ticket zugewiesen und ist über eine Netzwerkverbindung jederzeit abrufbar. In Verbindung mit der Leistungstransparenz. S. die mit Ticket-Systemen arbeiten. Der Service Desk ist aufgrund seiner Schnittstellenfunktion auch für sicherheitsrelevante Themen zuständig.Synergien zwischen Security Management und Service Support nutzen 91 weitergeleitet zu werden. Früher wurden dazu Bücher geführt. B.

Vorteil dieser Maßnahme ist es. dem eine Unregelmäßigkeit bekannt wird und diese an den Service Desk heranträgt. Dieser erste Schritt in der Bearbeitung der Störungen wird First-Level-Support genannt. Security Incidents getrennt von anderen Störungen an einer separaten Meldestelle aufzunehmen. die in der Vergangenheit aufgetreten sind.92 • Erkennen und erfassen von Incidents • Klassifizierung und Erstlösungsversuch • Analysieren und Lösungsvorschlag • Incident lösen • Überwachen und steuern • Abschließen des Incidents ITIL und IT-Sicherheit Erkennen und erfassen von Incidents. Analysieren und Lösungsvorschlag. festzustellen. Auf der anderen Seite wird von einem Anwender erwartet. es wird ein Bearbeitungszeitraum zur Lösung des Problems eingeplant und eine erste Priorisierung vorgenommen. dass sensible Informationen weniger schnell an die Öffentlichkeit gelangen. Über eine Risikoanalyse wird ermittelt. Einflüsse auf Geschäfts. dezentralen Wegen erfolgen. ob ein Vorfall sicherheitsrelevant ist oder nicht.und Serviceprozesse so gering wie möglich zu halten.. Das Erkennen von Störfällen kann auf verschiedenen. um der weiteren Lösungsfindung mehr Zeit . Ein weiterer Aspekt ist die Erkennung einer Störung durch ein System. kann er an dieser Stelle direkt behoben werden und es kommt zu keiner weiteren Bearbeitung. Diese Prioritätseinstufung dient nur als eine erste Orientierung und kann später durch genauere Analyse von Fachpersonal oder im Change Management korrigiert werden. welche Schadensauswirkung entstehen kann und wie dringend das Sicherheitsziel wieder hergestellt werden sollte. welche Sicherheitsziele betroffen sind. sollte es dem Mitarbeiter des First-LevelSupport möglich sein. Grundsätzlich gilt es Aktionismus zu vermeiden. Die andere Möglichkeit ist eine zentrale Annahme aller Incidents. Klassifizierung und Erstlösungsversuch. Mitarbeiter). wird der damals benutzte Workaround vorgeschlagen oder eine entsprechende Eskalationsstrategie angewandt. eine Einschätzung gemäß ihrer Bedeutung für die Organisation zu tätigen. Der Workaround dient dazu. Wie oben bereits erwähnt. Netzwerke mit ihren Peripheriegeräten können über eine Software überwacht werden (Monitoring) und senden bei Überschreitung eines bestimmten kritischen Wertes eine Fehlermeldung. Zulieferer. D. Die Prüfung des Störfalls beginnt mit der Recherche über bereits bekannte Störungen oder ähnliche Vorfälle. Zum einen wäre da der Anwender (Kunde. h. Ist dies der Fall. Anhand der vorher definierten Security Policy. Durch eine Klassifizierung wird Status und Art der Störung eingeordnet und festgestellt. der die Security Policy verletzt und dessen Lösung in der Configuration Management Datenbank dokumentiert ist. Es kann in der Praxis sinnvoll sein. werden diese Ereignisse von dem Service Desk erfasst und in der CMDB gespeichert. Handelt es sich um ein Fehler.

Die Verantwortung liegt bei Vorfällen diesen Ausmaßes bei dem Notfallmanagement. kann es zu Zielkonflikten zwischen forensischer Analyse und Servicemanagement kommen. im Vorfeld einen Notfallplan auszuarbeiten. diese einzusehen. Nach Lösung des Störfalls wird der Incident vom Service Desk abgeschlossen. die auf zweiter oder dritter Ebene agieren. Durch eine strenge Authentisierung kann Missbrauch der Daten verhindert und die Integrität sichergestellt werden. Eine explizite Betrachtung des Change Managements wird an einer anderen Stelle beschrieben. Regelmäßig sind die Incidents zu Überprüfen. wird ein Request for Change 11 (RfC) beim Change Management eingereicht. wie solche Daten übermittelt werden und welche Personen berechtigt sind. In den meisten Fällen der Security Incidents sind das IT-Spezialisten oder Systemadministratoren. Incident lösen. Das Security Management sollte zu Beginn helfen. sollte das Security Management das Incident Management darüber informieren. Da eine Fülle von möglichen Anwendungs. Sofern ein Incident nur durch eine Änderungsmaßnahme (z. Ist eine Problemlösung jedoch nicht bekannt und es kann keine schnelle Lösung gefunden werden. Auch in diesem Fall ist das Security Management gefragt. Notfälle können Flächenstörungen. Die CMDB sollte um eine Handlungsvorschrift ergänzt werden. einen Notfall rechtzeitig zu erkennen und angemessen reagieren. ähnlichen Incidents schneller behoben werden können. B. diese Ebenen der ITIL-Einführung zu strukturieren und aufgrund des fachlichen Wissens Verantwortlichkeiten verteilen. Überwachen und steuern. während Mitarbeiter vom Service alle Energien zur Wiederherstellung betroffener Services einsetzen. Da zur Bearbeitung der Störung vielfach externe Dienstleister oder Personen zu Rate gezogen werden. Abschließen des Incidents. sollte das Incident Management in der Lage sein.und Konfigurationsproblemen denkbar ist. Die Überwachung der Störungen ist Aufgabe des Service Desks. wird der Vorfall an eine nächste Support-Ebene weitergeleitet. Umgestaltung einer Netzwerkstruktur) gelöst werden kann. Ist ein Missbrauch jedoch nicht auszuschließen. Zusätzlich wird der 11 Englischer Begriff für Änderungsanfrage . Falls Daten einem speziellen Schutz in Bezug auf die Informationssicherheit unterliegen. Sofern ein Standardproblem nicht schon im Vorfeld gelöst wurde. um die Wiederherstellung der Sicherheitsziele in der dafür vorgesehenen Zeit nicht zu gefährden. wird es von Fachkräften auf nächster Ebene behandelt. Komplettausfälle von Netzwerken oder auch Stromausfall sein. wie zum Beispiel Serverausfall. sollte der Umgang mit sensiblen Informationen geklärt sein. ist eine ausführliche Dokumentation von großer Wichtigkeit. Die Forensiker konzentrieren sich auf genutzte Sicherheitslücken und Spurensicherung. Wurde ein Störfall erfolgreich gelöst. Dazu gehört die Kontrolle über korrekte Bearbeitung und Nutzung der vorgegebenen Support-Ebenen. wird es praktisch kaum möglich sein dem Support zu jedem Vorfall eine entsprechende Handlungsvorschrift bereitzustellen.Synergien zwischen Security Management und Service Support nutzen 93 zu verschaffen. Entwickelt sich eine Störung zu einem Notfall. Vielmehr sollten absehbare oder schon bekannte Sicherheitslücken dokumentiert vorliegen. damit nachfolgenden.

S. sich aber nicht in der Lage sehen.94 ITIL und IT-Sicherheit Anwender über den Hergang informiert und es wird gegebenenfalls ein Feedback angefordert. auf die in den nächsten Absätzen eingegangen wird.3 Problem Management Die Aufgabe des Problem Managements ist die Forschung nach den Ursachen für Probleme12 Durch sogennante Ursachen-Wirkungsanalysen soll verhindert werden. Während das Incident Management einen Fehler schnellstmöglich beseitigen möchte. Es können vom Incident Management auch Anfragen für spezielle Probleme eingehen. die sie zwar schnell beheben können. . Anschließend wird die Dokumentation auf Vollständigkeit geprüft. S. zu beseitigen. Bspw. 32]) • Wie hoch sind die Eintrittswahrscheinlichkeiten? • Welche Schäden entstehen wirklich? • Greifen die technischen und organisatorischen Maßnahmen? • Wie hoch ist die Wiederholungsrate des gleichen Sicherheitsvorfalls? • Sind die Investitionen in die Sicherheit richtig gesteuert? 3.Definition sind Probleme. Durchlaufzeit. die noch unbekannte Ursache für einen Störung. dass sich Fehler wiederholen. was mehrere Stunden dauern 12 Nach ITIL. Dabei kann dies mitunter zu Interessenskonflikten führen. die nicht behoben werden können. Dabei muss es sich nicht immer zwangsläufig um Probleme handeln. Das Incident Management hat die CMDB zu pflegen und sollte nach Security Policy und Security Management über mehrere Aspekte Auskunft geben können. Hier macht sich der generelle Unterschied bemerkbar. die mehrere Computer verbindet. wird aus dem Incident ein Problem und an das Problem Management weitergeleitet. Eine solche Datenauswertung ermöglicht es ferner über folgende Fragestellungen Auskunft zu geben: ([Bmi06. die Ursache dafür zu finden bzw. versucht das Problem Management das Auftreten solcher zu vermeiden. Anhand dieser Daten ist eine Auswertung möglich. Dazu zählen beispielsweise Erfassungsdatum. um Präventivmaßnahmen durchzuführen oder in Zukunft schneller reagieren zu können. Im Problem Management gibt es zwei unterschiedliche Verfahren. kann das Incident Management ein Netzwerkfehler schnell beheben. indem ein entsprechender Switch13 neu gestartet wird. Wenn bei der Bearbeitung einer Störung durch das Incident Management die Ursache nicht festgestellt werden kann. 18] 13 Ein Switch ist eine Netzwerkkomponente. • Antrag aus dem Incident Management • Das proaktive Problem Management Antrag aus dem Incident Management. Kurzbeschreibung und Effektivität der Untersuchung. Das Problem Management wird aber möglicherweise eine Auswechslung der gesamten Switches beantragen.3.[Bsi05. Auf diese Weise kann ein funktionierendes Problem Management die Anzahl von Incidents reduzieren und somit ein erheblicher Teil zur Zuverlässigkeit und Wirtschaftlichkeit eines IT-Services beitragen.

Durch sein Know-how kann das Security Management bei der Problem-Analyse und Lösungsentwicklung einen wesentlichen Beitrag zu besseren Ergebnissen leisten. Es sei nun angenommen. Ziel dabei ist es. bevor sie auftreten. durch präventive Maßnahmen Fehler zu verhindern. etc. ist schnell zu erkennen. eine eigene Software oder bietet eine solche Kunden an14 . In diesem Fall ist die Informationssicherheit des Netzwerkes der Unternehmung gefährdet. Kurzfristig wird dadurch die Verfügbarkeit gestört. Eine weitere Aufgabe des Problem Managements ist das proaktive Suchen nach Fehlern und Schwachstellen. dass der oben beschrieben Netzwerkfehler nicht auf einem defekten Switch beruht. um damit die Synergieeffekte optimal auszunutzen und ein bestimmtes Sicherheitsniveau gewährleisten zu können.15 Ergänzt man die Verfahrensweisen des proaktiven Problem Managements um diese Methode und optimiert diese für den eigenen Zweck. Geht man aber weiter und führt sich vor Augen welche Zielsetzung das Problem Management verfolgt. Hat man z. sollte eine Überprüfung auf Schwachstellen in regelmäßigen Abständen mit Hilfe von Penetrationstests erfolgen. B. Da aber Lösungswege 14 Dabei 15 siehe kann dieses Verhältnis auch betriebsintern bestehen. dass auf lange Sicht die Verfügbarkeit und die Wahrscheinlichkeit auf Erreichung der SLA erhöht wird. Nicht jedem Incident kann zu Beginn eindeutig zugeordnet werden. Diese Frage sollte deshalb bereits bei der Entwicklung der internen Sicherheitsrichtlinien beantwortet und die Vorgehensweise standarisiert werden. Durch die Integration des Security Management in den ITIL-Prozess Problem Management entstehen potenzielle Synergieeffekte.2. Das proaktive Problem Management.Synergien zwischen Security Management und Service Support nutzen 95 kann und somit auch das Netzwerk für diese Zeit abgeschaltet werden muss. um eine bestmögliche Effizienz zu erreichen. Die nachfolgende Abbildung verdeutlicht eine Problematik.3 Ziele und Aufgaben des IT-Security Management . Wird eine Schwachstelle gefunden. 18] Durch die Verflechtung beider Prozesse und deren Aufgaben lässt sich eine deutliche Kompetenzsteigerung erreichen. ob dieser Auswirkungen auf die Informationssicherheit hat oder nicht.) in ein System einzuloggen. Erfahrungsgemäß ist dabei die Analyse von Sicherheitslücken und deren Beseitigung eine große Stärke des Security Managements. ermöglicht dies Verletzungen von Sicherheitsrichtlinien frühzeitig zu erkennen und mögliche Ursachen für Fehler zu verhindern. Die Suche nach Schwachstellen mittels Security Audits ist eine der Maßnahmen des Security Managements. sollte umgehend eine Lösung gefunden und gegebenenfalls die Software geändert werden. S. Daher muss abgewogen werden. Unter einem Penetrationstest versteht man. dass die Schwachstelle erst dann an die Öffentlichkeit gelangt. Kapitel 3. Virus. Über die dazugehörigen Updates sollten dann die Kunden informiert und ihnen zur Verfügung gestellt werden. In diesem Zusammenhang sollte darauf geachtet werden. den Versuch sich mit den Mitteln eines Eindringlings (Hacker.[Bsi05. wann das Security Management in den Prozess des Problem Managements eingebunden werden soll. Das Security Management sollte aufgrund seiner speziellen Funktion somit bereits in die Analyse mit einbezogen werden. wenn diese beseitigt ist. sondern auf einem Angriff von außen (etwa durch einen Hacker oder Virus). mit der sich eigentlich primär das Change Management konfrontiert sieht.

Dies steht jedoch im Widerspruch zu den eigentlichen Zielsetzungen des Problem Managements (vor allem die Reduzierung der Incidents).3. diesen potenziellen Kreislauf gar nicht erst entstehen zu lassen. Aus diesem Grund hat das Problem Management großes Interesse daran. durch den permanent die Informationssicherheit gefährdet ist. 3.3: Auswirkungen von Änderungen auf die Informationssicherheit. Das Problem Management versucht die Ursachen hierfür zu ermitteln. Wird nun das Security Management zusätzlich in den Prozess der Lösungsentwicklung einbezogen.96 ITIL und IT-Sicherheit für bestehende Probleme schon im Problem Management entwickelt werden und sie damit eine gewisse Vorarbeit für das Change Management leisten. Es kann ein potenzieller Kreislauf entstehen. Änderungen Sicherheitslücken Informationssicherheit Fehler Probleme Abbildung 3. liegt im Allgemeinen ein Problem vor. soll auf die möglichen Auswirkungen vorgenommener Änderungen auf die Informationssicherheit bereits an dieser Stelle eingegangen werden. Diese Änderungen können Auswirkungen auf die Informationssicherheit haben und im schlimmsten Fall letztlich neue Sicherheitslücken verursachen.und Security Management kann eine höhere Effizienz bei Änderungen erreicht und somit auch Kosten gesenkt werden. Handelt es sich bei einer Sicherheitslücke nicht um einen dokumentierten Fehler. Die Mitarbeiter des Security Managements können schon bei der Entwicklung von Änderungsvorschlägen eingreifen und diese auf sicherheitstechnischen Aspekten überprüfen. Häufig entstehen hieraus konkrete Änderungsvorschläge (RfC). Ziel ist .4 Change Management Die Zuständigkeit des Change Managements erstreckt sich von der Erfassung über die Priorisierung bis hin zur Auswertung aller eingehenden RfCs. kann im Change Management eine Reduzierung der abgelehnten RfCs erreicht werden. Durch dieses Zusammenspiel von Problem. welches die Ursache oder Wirkung von Service-Beeinträchtigungen sein und die Informationssicherheit gefährden kann. unternimmt Lösungsversuche oder schlägt Lösungswege vor.

durchläuft der RfC ein verkürztes Verfahren. die einen Nachweis über Nutzen und Kompatibilität mit anderen Systemen ermöglichen. nicht gewünscht sind oder mangels Durchführbarkeit wieder zurück genommen werden. Hierbei findet das Change Management in gleicher Weise wie in anderen Bereichen des IT-Betriebs Berücksichtigung. Wie im Kapitel 3. Wenn der . so ist auch der dazu gehörige RfC in den meistens dringlich. Ist dies der Fall. Das Security Management hat konkrete Verantwortungen für Teile der IT-Infrastruktur. 20] Hier müssen mit besonderer Vorsicht genaue Vorgaben definiert werden. Wurde ein Incident als dringlich eingestuft. Prozesse und Verfahren steuerbar und kontrollierbar zu machen. h.3. Abbildung 3. die Erfüllung einer Servicevereinbarung nicht gewährleistet ist. B. auf der anderen Seite stellt das Security Management geeignete Test. Diese sind meistens dringend und greifen teilweise tief in bestehende Funktionalitäten und Prozesse ein. Infrastruktur. ein oder mehrere Mitarbeiter des Security Managements in das Änderungsgremium mit aufzunehmen. Änderungen. die verhindern sollen. S. Als Realisierer von Changes. die durch das Security Management im Laufe der Problem-Analyse angeordnet und an das Change Management weitergeleitet werden. Sinnvoll ist es in diesem Zusammenhang. Störungen infolge von Änderungen sollen vermieden und die Effizienz der Änderung gesteigert werden. Verlaufen die Tests positiv.und Abnahmeverfahren bereit. Um Auswirkungen auf die Informationssicherheit und den Datenschutz zu vermeiden. dass durch Änderungen Sicherheitslücken entstehen. das Security Management herangezogen.[Bsi05. so kann der Change freigegeben und ausgeführt werden. Änderungen vermieden werden. Die zentrale Instanz des Change Managements ist das Change Advisory Board (CAB). wenn z. um ein Ausgleich zwischen dem Termindruck und der Sicherheit zu erzielen. S. Häufig hat dies technische oder organisatorische RfCs zur Folge. B. Im zweiten Schritt wird überprüft. ob die Informationssicherheit betroffen ist. S. Letzteres ist möglich. So werden Security Maßnahmen entwickelt und realisiert. 20] Als Initiator von Changes. dass jeder RfC auf sicherheitsrelevante Merkmal überprüft wird. wird bei Incidents. Schon im Service Desk werden Incidents bezüglich ihrer Dringlichkeit priorisiert. Dieses wird vom Change Manager zusammengerufen. die die Informationssicherheit betreffen. d.4 veranschaulicht. Auf diese Weise ist einerseits sichergestellt.Synergien zwischen Security Management und Service Support nutzen 97 es dabei. die keinen angemessenen Nutzen liefern.[Bsi05. weil z. Das Security Management nach ITIL ist sowohl als Initiator. 19] In diesem Kontext vollzieht das Change Management geeignete Tests. Besonders bei Sicherheitspatches besteht eine hohe Brisanz.3 (Problem Management) beschrieben. wie das Security Management bei der Überprüfung und Abnahme von RfCs unterstützend mitwirken kann. veränderte Eingriffe in Anwendungen.[Bsi05.und Freigabeinstanz von Changes in den Change Management Prozess eingebunden. Dokumentationen. um gemeinsam die gerade beschriebenen Aufgaben zu bewältigen. Realisierer sowie als Planungs.und Freigabeinstanz. sollte das Security Management sowohl bei der Planung als auch bei der Freigabe von Änderungen mit eingebunden werden. Als Planungs. wobei hier die Sicherheit nicht vernachlässigt werden darf.

die in Form eines sogenannten Smoke-Tests durchgeführt werden. bei Änderungen der Zugriffsrechte oder bei Software zur Verwaltung der persönlichen Daten des gesamten Personals geprüft werden. wenn es vom Security Management abgelehnt wurde.4: Abnahme von RfCs. RfC Auswirkungen auf die Informationssicherheit hat. B. Nachdem diese Schritte durchlaufen sind.3 (Problem Management) wurde schon erwähnt. Bei einer schnelleren und . Integrität oder Vertraulichkeit nicht gewährleistet. Durch diese Einbindung sinkt die Wahrscheinlichkeit für die Entstehung neuer Sicherheitslücken und damit für die Ablehnung der RfCs enorm. muss das Security Management Abnahmekriterien definieren. um die Informationssicherheit zu gewährleisten. anhand derer die Freigabe durch das Security Management erfolgt. legt.3. dass das CAB Schwerpunkte auf andere Aspekte. Diese werden auch bei dringenden Changes angewandt. sondern auch die Erreichung und Einhaltung der Sicherheit. Dabei muss ein RfC nicht zwangsläufig vom CAB abgelehnt werden. In vorherigen Kapitel 3. der Grundfunktionalität einer Software nach deren Fertigstellung oder Reparatur. mit denen der ursprünglichen Zustand schnell wieder hergestellt werden kann. muss das Security Management diesen Change ablehnen. Im Falle des Scheiterns der RfCs bei diesen Tests.98 ITIL und IT-Sicherheit Request for Change Dringender Change ? Informationssicherheit betroffen ? Datenschutz betroffen ? Test der Informationssicherheit Smoke Test Abnahme Abbildung 3. Im Falle der Ablehnung ist eine Kompromisslösung durch das CAB zu finden. ob diese ausreichend vor Fremdeingriffen geschützt sind. wie z. Der Smoke-Test ist eine oberflächliche Überprüfung bzgl. sollten. Im dritten Schritt wird überprüft ob der Datenschutz betroffen ist. Hierbei sollte z. S. angemessene Rückfallverfahren bereit stehen. das Kosten-Nutzen Verhältnis eines Change. wird überprüft. Wenn die RfCs positiv bezüglich der Sicherheitsziele getestet wurden. ob die Sicherheitsziele des SLA berührt werden. B. In der letzten Phase werden beim Rollout durch ausgiebige Tests nicht nur die Korrektheit einer bestimmten Funktion getestet. 82]. Können diese nicht eingehalten werden oder ist die Einhaltung der Verfügbarkeit. Das liegt daran. können sie aus Sicht des Security Managers freigegeben werden. Quelle: [Bru06. dass nicht neue Lücken oder Hintertüren in Software-Applikationen entstehen und die einmal erreichte Sicherheitsstufe nicht beeinträchtigt werden. Insbesondere muss darauf geachtet werden. dass bei der Planung der RfCs das Security Management einbezogen werden soll.

“[Bsi05. S.000 Euro an potentieller Arbeitsleistung verloren. liefert das Release Management die „Verfahren von der Anforderungsbearbeitung über die Planung der Umsetzung. sondern zu einem Paket. Test und Abnahme von Soft. mit Hilfe geeigneter Maßnahmen sicherzustellen. die ursprünglich nichts mit der Informationssicherheit zu tun haben. der sogenannten Release Unit 16 gebündelt. in denen Unternehmensnetzwerke durch das Update eines Anti-Virenprogramms lahm gelegt wurden. wenn das Security Management in das Problem. lässt sich dabei im Allgemeinen in drei Phasen einteilen: • Planungs.und Entwicklungsphase • Testphase • Planung und Autorisierung des Rollouts Die Möglichkeit Security Aspekte in das Release Management mit einfließen zu lassen. Der Prozess des Release Managements. 3. ergibt sich während all dieser drei Phasen.5 Release Management Während das Change Management der Initiator aller Änderungen innerhalb einer IT-Infrastruktur ist. dass der Aufwand für das Testen und die Inbetriebnahme erheblich reduziert werden kann.Synergien zwischen Security Management und Service Support nutzen 99 wahrscheinlicheren Freigabe der RfCs aus sicherheitstechnischen Aspekten kann zusätzlich die Verfügbarkeit im Unternehmen gesteigert werden. fälschlicherweise Sicherheitslücken aufstoßen. S. dass die Notwendigkeit besteht Sicherheitsüberlegungen in den Prozess des Release Managements mit einzubeziehen. dass bei der Einführung eines Release keine unerwünschten Nebeneffekte oder Fehler auftreten. diese realisiert und die Verantwortung dafür trägt. 90]. dass RfCs. 50 Euro/Stunde aus. S. Dafür muss zwingend ein Mitarbeiter aus dem Security Management ein ständiges Mitglied im CAB sein. welcher durch einen vom CAB freigegebenen RfC. ausgelöst wird [Bru06. da dieses irrtümlicherweise unternehmenseigene Software als Virus erkannte und schließlich deaktivierte [Bsi07. 3]. Die zentrale Aufgabe des Release Management in diesem Bezugsrahmen ist es. 20] Dabei werden die Konfigurationselemente üblicherweise nicht einzeln implementiert.3. 103]) Dieses Beispiel verdeutlich unter anderem. Der wirtschaftliche Schaden kann in solchen Fällen schnell ein immenses Ausmaß annehmen. Die Einführung solcher Release Units hat den Vorteil. (Beispiel ähnlich zu [Köh06.und Hardwareversionen bis hin zur organisatorischen und technischen Vorbereitung der Einführung einer Komponente. Auf dieser ersten Stufe werden zunächst grundsätzlich Regeln hinsichtlich eines Release oder der Release Unit definiert und in der Release 16 Release: Englischer Begriff für Version . die sich bieten. S. Planungsphase. Geht man bspw. von 500 Usern eines DV-Verfahrens mit einem Durchschnittsstundenlohn von ca. Dieser soll verhindern. So gab es in der Vergangenheit Fälle. so gehen mit jeder Ausfallstunde 25.und Change Management früh eingebunden wird. Diese Aspekte zeigen die Chancen.

1 vorgestellten Hauptwerte der Informationssicherheit. S. in der Planungsphase definierten. diese eingespielt werden und nicht erst bis zum nächst größeren Update gewartet wird. Dabei soll in einer möglichst „produktionsidentischen Testumgebung“[Bru06. etwa bzgl. Der Rollout Plan 17 Englischer Begriff. Testphase. 21] Hierbei kann auf das Know-how des Security Management zurück gegriffen werden. erteilt das Security Management die erforderliche Freigabe aus seinem Blickwinkel.und Hardwarereleases beschreibt.[Bsi05. Damit der reibungslose und funktionierende Ablauf des Systems nicht gestört wird. Sofern das Release die Anforderungen erfüllt. Sicherheitskriterien verletzt und die Anforderungen an Stabilität. in dem es Risiko. 12] im Vorfeld eines Release.Kommunikation. der in Kapitel 3. die während der Release Planung einzuhalten sind. S. oder Installation Training und konfigurieren Abnahme beauftragen Abbildung 3. dass durch das Release keine der. sofern dieses Sicherheitsrichtlinien verletzt. Ansonsten bleibt dem Security Management nur noch die „Rolle des Verhinderers“[Bsi05. sollte ebenfalls fest verankert werden. Ausliefern und Ausführen von Soft. S. die ein wesentlicher Bestandteil des Release Management Prozesses ist. Das Security Management sollte schon in dieser frühen Phase wirksam werden und dem Release Management Vorgaben über bestimmte Sicherheitsanforderungen machen. der das Verteilen. das sogenannten Rollout 17 . Dieses standardisierte Vorgehen ermöglicht es.Software und Grundsätze Planung entwickeln zusammenstellen und Planung Verbreitung. Verteilung Release.2. . Rollout-Planung Mit der Freigabe des Releases beginnt die letzte Phase des Release Management Prozess.und Sicherheitskriterien fixiert. In der Release Policy. Schließlich kann das Security Management noch bei der Planung lösungsspezifischer Releases mit einbezogen werden. dass sofern sicherheitsrelevante Patches verfügbar sind. Es liefert die entsprechenden Testverfahren. potenzielle Sicherheitslücken frühzeitig zu beseitigen. Policy festgehalten. 91] sichergestellt werden. Das Security Management kann hierbei entwicklungsbegleitend und unterstützend tätig werden. Verfügbarkeit und Integrität eingehalten werden. werden auf der zweiten Stufe die jeweiligen Releases vor ihrer Einführung diversen Tests sowie einer Qualitätsprüfung unterzogen.5: Phasen des Release Management Prozesses und Aufgaben.100 ITIL und IT-Sicherheit Planungsphase Testphase Rollout-Phase ReleaseRelease Test Rollout.

geliefert wird. festgehalten. rückgängig gemacht werden. h. Genau an diesem Punkte setzt das Configuration Management an.[Bru06. welches in diesem Kontext beachtet werden muss. 93] 19 „Ein Backout ist ein Verfahren.3. Er schafft die Informationsgrundlage für die weiteren Prozesse. Immer mehr Detailinformationen.oder Incident Management zugreifen können. Abschließend sei angemerkt. d. . deren Attribute sowie deren Beziehungen zueinander. wodurch alle Changes. Archiviert und bereitgestellt. Dieser wird im Folgenden an Stelle des Begriffs Konfigurationselement verwendet.“[Bru06.6 Configuration Management Die Erfordernisse an die Datenverarbeitungsverfahren aus Sicht der Geschäftsprozesse eines Unternehmens haben in den letzten Jahrzehnten erheblich zugenommen. kontrolliert und verifiziert werden. risikobehaftete Releases zu unterschiedlichen Zeitpunkten zu implementieren. So wird bspw.“[Bru06. Ferner muss bei der Rollout Planung die Nachvollziehbarkeit bzw. sondern sich auch vorteilhafte Synergieeffekte für das Security Management ergeben. ist jedes CI grundsätzlich durch einen eindeutige Identifikationsnummer gekennzeichnet. etwa bzgl. bei einem bestimmten CI ein Incident oder Problem auf. S. Die CMDB liefert 18 „Ein Fallback ist die Wiederherstellung des vorherigen Releases. dass nicht nur das Release Management von der Berücksichtigung sicherheitsrelevanter Aspekte profitiert. Unter einem CI sind sowohl ganze IT-Systeme. Das Configuration Management ist der zentrale Prozess innerhalb des Service Supports. Revisionsfähigkeit der Änderungen an der IT-Infrastruktur sichergestellt werden. Scanner. Drucker oder Tastatur) zu verstehen. Von einer kooperativen Zusammenarbeit profitieren sowohl Release als auch Security Management.[Bru06. Auf SoftwareEbene etwa werden Sicherheitslösungen und -patches im Rahmen des Release Management Prozesses geplant und realisiert.Synergien zwischen Security Management und Service Support nutzen 101 beinhaltet alle Regeln und Vorgaben. die bei der Implementierung des Releases durch das Change Management beachtet werden müssen. 92] So sollte man bspw. die einzelnen Changes eines Release schrittweise rückgängig zu machen. S. S. wird diese Vielzahl an Information in der Configuration Management Database (CMDB). welche weiteren CIs unter Umständen ebenfalls von dem Vorfall betroffen sind. Tritt bspw. Eine Übersicht über alle Änderungen liefert dem Security Management die Grundlage für eine releaseübergreifende Risikobetrachtung. darauf bedacht sein. die sogenannten Configuration Items 20 (CI) einer IT-Infrastruktur zu erfassen sowie deren Beziehungen zueinander darzustellen. um nicht zusätzlich die Verfügbarkeit des Systems zu gefährden. der Konfigurationselemente müssen erfasst. indem eine Übersicht über alle CIs. auf die ebenfalls andere Prozesse. so genügt ein Blick in die CMDB. S. wie etwa Problem. ob ein Fallback 18 oder ein Backout 19 durchzuführen ist. wie im Falle eines nicht erfolgreichen Rollouts zu verfahren ist. Die zentrale Aufgabe des Configuration Management besteht darin. Zusätzlich gehören auch Netzwerkkomponenten. etwa ein Server oder Arbeitsplatz-PCs sowie einzelne Peripheriegeräte (Beamer. die in einem Release zusammengefasst waren. Das entscheidende Kriterium. 93] 20 Englischer Begriff für Konfigurationselement. ist die Verfügbarkeit des Systems. 3. Durch ein Backout wird ein neues Release definiert. 84] Um bei der Vielzahl an CIs Verwechselungen auszuschließen. Datenträger sowie Dokumentationen dazu. um abschätzen zu können.

Bevor ein CI in die CMDB aufgenommen wird. Eine um diese Faktoren erweiterte CMDB liefert Transparenz über die sicherheitsrelevanten Abhängigkeiten der CIs. Möglichkeiten dazu ergeben sich bereits und vor allem während der Configurations-Planung.2. Verantwortlichkeit oder Version sowie einen Status (funktionsfähig. fehlerhaft. die Abhängigkeiten zu anderen CIs erfasst.). Software. spezielle Maßnahmen und Verfahren für CIs zu planen bzw.102 ITIL und IT-Sicherheit somit neben der Infrastrukturtransparenz eine Servicetransparenz. verschiedene Attribute. In der Planungsphase wird unter anderem das Design der CMDB festgelegt. etc. 21 Die in Kapitel 3. .1 vorgestellten Dimensionen. da nur diese die notwendigen Kenntnisse über die bereichsspezifischen Sicherheitsanforderungen haben. Dokumentation). S. Ferner wird es möglich. eröffnet dies Chancen und Möglichkeiten sowohl für Security.6: Erweiterte Attribute eines Configuration Item. 60] Zusätzlich werden. die eine bestimme Klassifikation hinsichtlich der Informationssicherheit erhalten haben. Eine gut geführte und aktuelle CMDB kann sich innerhalb kurzer Zeit zu einem universellen Werkzeug auch aus Sicht des Security Management entwickeln. 22] Klassifikation. ermöglicht es Schwachstellen innerhalb des Configuration Management zu identifizieren und liefert die Basis für Ausfallanalysen. Durch die Verzahnung mit den anderen Prozessen des Service Supports bietet das Configuration Management optimal Voraussetzungen. welches für ein funktionierendes Configuration Management von elementarer Bedeutung ist. wie etwa Standort.21 Standort Name und Beschreibung ID-Nummer Version Configuration Item Verantwortlichkeit Beziehung zu anderen CI´s Klassifikation bzgl. Dabei erhält ein CI grundsätzlich eine bestimmte Kategorie (z. um verschiedene Aspekte des Security Management darin zu integrieren.[Köh06. muss er anhand bestimmter. Zurechenbarkeit und Rechtsverbindlichkeit werden ebenfalls durch eine gut geführte Dokumentation innerhalb der CMDB unterstützt.[Bsi05. klassifiziert werden. Ergänzt man dieses bestehende Beziehungsgeflecht um die drei Hauptwerte der Informationssicherheit (Verfügbarkeit. Integrität und Vertraulichkeit). Hardware. in der Designphase festgelegter Kriterien. InformationsSicherheit Abbildung 3. B. wie bereits erwähnt. S.als auch Configuration Management. Kontrolle. zu ergreifen. Die Klassifizierung der CIs muss hierbei von den jeweiligen Prozessverantwortlichen vollzogen werden.

Betriebsgeheimnissen. eine bestimmte Anzahl tolerierter Verbindungsabbrüche oder die Anzahl fehlerhafter Datensätze und auf zweiter Stufe eine erweiterte Integrität.2: Mögliche Klassifikation Verfügbarkeit. die sich nach den jeweiligen Anforderungen des CIs richtet. Quelle: [Bru06. Weitere Synergieeffekte. Der aktuelle Grad an Integrität lässt sich ebenfalls schwer quantifizieren.2 dargestellt. Im Vordergrund sollte dabei nicht eine möglichst exakte Klassifizierung stehen. dass es nicht erstrebenswert ist. Ebenso sprechen Praktikabilitätsgründe gegen die Einstufung eines jeden CIs. bspw. aber nicht für diese bestimmt sind Vertraulich Eingeschränkt Tabelle 3. Patenten und Kalkulationen Zusammenhang mit interne Informationen. Klassifikation Absolut Hoch Mittel Niedrig Kriterium keine Ausfallzeiten gestattet maximale Ausfallzeit 30 Minuten maximale Ausfallzeit 4 Stunden maximale Ausfallzeit 2 Tage Tabelle 3. 88] Dabei wird zunächst für alle CIs eine Baseline Integrität festgelegt. S. wie viele falsche Daten eine Datenbank verkraftet oder wie viele Verbindungsfehler in einem Netzwerk auftreten dürfen. Ein Anfang kann hierbei mit den CIs gemacht werden. da in diesem Kontext schwer zu definieren ist. Vielmehr sollten überhaupt Risikoüberlegungen bzgl. die durch Dritte eingesehen werden können. Klassifikation Streng geheim Kriterium Zusammenhang mit strategischen Informationen. In Bezug auf die Klassifikation bleibt abschließend anzumerken. schon alleine im Hinblick auf die Beherrschbarkeit der stetig wachsenden Datenmenge eines Unternehmens.1: Klassifikation Vertraulichkeit. Eine davon sind so genannte Audits der CMDB . z. wie in den Tabellen 3. Rezepturen. für alle CIs eine solche vorzunehmen. Neben der vorgestellten Klassifizierung gibt es eine Reihe weiterer Möglichkeiten die Schnittstellen zwischen Security und Configuration Management zu nutzen. Vertraulichkeit und Integrität gilt. Aus diesem Grund findet deshalb in der Regel ein zweistufiges Klassifizierungssystem Anwendung. der Informationssicherheit in Form von Klassifizierung im Prozess des Configuration Management Berücksichtigung finden. sondern dass überhaupt eine solche vollzogen wird. Besprechungsnotizen.B. Personaldaten Zusammenhang mit Informationen. da der Aufwand im Verhältnis zum Nutzen zu groß ist.Synergien zwischen Security Management und Service Support nutzen 103 Die Einteilung in Hinblick auf Verfügbarkeit und Vertraulichkeit eines CI kann. für die besondere Aufmerksamkeit in puncto Verfügbarkeit.1 und 3. Preislisten. 87]. vorgenommen werden.[Bru06. S. Große Aufmerksamkeit bedarf es bei der Klassifikation der Integrität eines CIs.

Durch diese regelmäßigen Scans/Audits und Abgleich mit der CMDB lässt sich mit relativ geringem Aufwand installierte.und Systemdokumentationen nicht nur im Wiederholungsfall eine schnellere Installation. ist: Wer erhält hierauf Lesezugriffsrechte und wer darf den Datenbestand verändern? Die Notwendigkeit die Zugriffsrechte zu beschränken und zu kontrollieren. Somit ist auch die Rechtsverbindlichkeit als eine weitere Dimension der Informationssicherheit sichergestellt. unautorisierte Software identifizieren. Ferner sollte ein kurzer Überblick über das Thema ITSicherheit geliefert werden. Auf Hardwareebene steigt die Transparenz mit jedem Incident oder RfC. die Chancen und Möglichkeiten des Zusammenwirkens von IT-Security Management und den Prozessen des Service Supports darzustellen. 89] Je eher solche Hardwarekomponenten identifiziert werden. 25] Eine ganz entscheidende Frage. prozessorientierten Ansatz. dass die CMDB streng vertrauliche Informationen (physisch. 3. Ein Verlust der Verfügbarkeit. Mit Hilfe dieses standardisierten Vorgehens werden automatisch Gefahren reduziert. die bspw.4 Fazit Die Auseinandersetzung mit dem Thema Informationssicherheit ist ein absolutes Muss für die Zukunftssicherung einer Unternehmung. wie ihn das Rahmenwerk ITIL bietet. da nur für bekannte CIs solche aufgegeben werden können.Infrastruktur liefert. Ein funktionierendes IT-Security Management liefert hierzu einen wesentlichen Beitrag. Die Auswahl und Implementierung eines geeigneten Tools liegt dabei im Verantwortungsbereich des Security Managements. Zudem ermöglichen ausführliche Installations. S. sondern helfen auch bei der Ursachenforschung im Problemfall.104 ITIL und IT-Sicherheit in Bezug auf die Sicherheit. Jeder Change oder Incident führt dazu. Die Verantwortung dieses sicher zu stellen tragen sowohl Security als auch Configuration Management. welches die IT. bspw. Darunter versteht man einen Soll-Ist-Vergleich zwischen dem dokumentierten/geplanten Bestand der CMDB und dem tatsächlichen Bild. Darüber hinaus erleichtert ein funktionierendes Configuration Management die Analyse von Security Incidents. von nicht erkannten Verbindungen ausgehen. Dazu wurden zu Beginn der vorliegenden Arbeit grundlegende Begrifflichkeiten von der Informationssicherheit bis hin zum Se- . aktives Modem in einem Notebook eine erhebliche Sicherheitslücke dar. Eine andere Herangehensweise ist die Integration dieser Maßnahmen und Ideen in einen standardisierten. da in der CMDB die Historiendaten inklusive aller Changes revisionssicher gespeichert sind. Vordergründiges Ziel dieser Arbeit war es. Für viele ist der Begriff Security Management dabei gleichbedeutend mit dem Einsatz von Tools und Sicherheitslösungen zum Schutz vor potenziellen Bedrohungen. ergibt sich aus der Tatsache. S. Integrität oder Vertraulichkeit dieser Daten kann mit erheblichen wirtschaftlichen Konsequenzen verbunden sein.[Bsi07. organisatorisch. So stellt ein unbekanntes.[Bru06. können im Falle eines Hacker-Angriffs frühzeitig unbefugte Veränderungen am System identifiziert werden. desto früher können diesbezüglich Sicherheitsmaßnahmen eingeleitet werden. welche letztlich im Zusammenhang mit der CMDB geklärt werden muss. finanziell) über die jeweiligen Geschäftsprozesse enthält. dass noch nicht erfasste CIs in die CMDB aufgenommen werden.

Der Service Support profitiert neben den Risiko. Hierzu sind die Einspareffekte. den Kosten für die Implementierung gegenüber zu stellen. die durch ein wirksameres und effizienteres Security Management entstehen. die das Security Management bereitstellt.und Planungsphasen bieten. . bleibt abschließend anzumerken.und Kritikalitätsüberlegungen von geeigneten Test. die die Verknüpfung von Service Support und Security Management im Zuge der Neustrukturierung gemäß ITIL bietet.und Abnahmeverfahren. Im dritten Kapitel. wurden dann zunächst die Prozesse des Service Supports vorgestellt und anschließend die sich bietenden Synergieeffekte aufgezeigt. Aus Sicht des Security Managements liegt die Stärke dieses Ansatzes in der frühzeitigen Berücksichtigung der Sicherheitsaspekte und -anforderungen während aller Support Stufen sowie der ausführlichen Dokumentation von Sicherheitsvorfällen und deren Lösungen. dem Hauptteil der Arbeit. dass das Security Management bereits bei der Implementierung der Service Support Prozesse einzubeziehen ist und sich die größten Potenziale während der Gestaltungs. Mit Hilfe geeigneter Key Performace Indikatoren.Synergien zwischen Security Management und Service Support nutzen 105 curity Management erläutert. die Prozentzahl der zurückgegangenen Sicherheitsvorfälle und durch die gestiegene Transparenz und Messbarkeit der IT-Leistung dürfte diese Wirtschaftlichkeitsprüfung letztlich unproblematisch sein. dass eine Wirtschaftlichkeitsbetrachtung nicht außer Acht gelassen werden darf. Trotz dieser Möglichkeiten. wie bspw. Im Rahmen dieser Analyse hat sich gezeigt.

106 ITIL und IT-Sicherheit .

itil. Rüdiger: Sicherheit in der Informationstechnik .08] Dierstein. URL: http://www.iznnet-kom.niedersachsen. URL: www.IT Services kundenorientiert stuern und planen.: ITIL.08] [Bsi07] [Die04] [Iti07] [Köh06] Köhler.02.pdf. [18. 343-353 ITIL.org: Das Portal für Informationen rund um ITIL und ISO20000. 2007. Auflage 2002 107 . TSO.pdf. Walter: fIT for benefit . [09.01. 2006. 1.bund. URL: www.Literaturverzeichnis [Bmi06] Bundesministerium des Innern: ITIL und Informationssicherheit.07] [Bru06] [Bsi05] Brunnstein.de/gshb/Leitfaden/GS-Leitfaden. [15. Springer Verlag. Auflage.org/de. 2006.07] Bundesamt für Sicherheit in der Informationstechnik: Leitfaden IT-Sicherheit. Vieweg Verlag.bsi. Aspekte der Integration von Incident und Security Management.12.de/literat/studien/ITinf/itil. Jochen: ITIL Security Management realisieren. In: Informatik Spectrum August 2004 S. Auflage 2007 [Vog02] Vogt. 1.Auflage 2006 Bundesamt für Sicherheit in der Informationstechnik: ITIL und Informationssicherheit.bsi. URL: http://www. 1.de/IT-Sicherheit/ downloads/BMI-itil_und_informationssicherheit_v101.der Begriff IT-Sicherheit. Peter T. Berlin [OfG07] Office of Government Commerce: ITIL . 2. [18. 2005.12.Service Design. Perseo Consult.pdf.

108 ITIL und IT-Sicherheit .

Grundsätzlich ist es nach ITIL freigestellt. Gleichzeitig ist auch eine stärkere Serviceorientierung seitens der Unternehmen zu nennen. ob ein eingesetztes Werkzeug die Arbeit erleichtert und sie effizienter gestalten kann. Kathrin Stegmann 4.[Its07] Bei der Einführung von ITIL stellt sich unter anderem die Frage. Interessant ist dann.und einen Hauptteil sowie in ein Fazit. sowohl Anforderungen an ein potentielles Werkzeug entlang des ITIL-Prozesses im Service Support herauszuarbeiten. Ziel dieser Arbeit ist es.1 Einleitung Der Übergang von einer technischorientierten zu einer dienstleistungsorientierten IT-Organisation hat in den letzten Jahren an Bedeutung gewonnen. die für eine verstärkte Standardisierung der IT sprechen. Im Grundlagenteil wird zunächst das Verständnis der Begriffe ITIL und Werkzeuge für diese Arbeit aufgeführt.[Nie07] Die Schaffung von standardisiertem Informationsfluss und das Bestreben gewonnene Informationen für eine optimalere (Kunden-)Nutzung in geregelte Formen zu bringen. ob unterstützende Werkzeuge verwendet werden sollen oder nicht. Im Zusammenhang mit diesem Übergang ist auch der Begriff der IT Infrastructure Library (ITIL) in den letzten Jahren in Deutschland verstärkt im Fokus des Interesses.Kapitel 4 ITIL-unterstützende Werkzeuge Formulierung von Anforderungen entlang des Service Supports Sonja Bozionek. Im Anschluss daran werden im Hauptteil die Funktionalitäten des Service Supports und die dazugehörigen spezifischen 109 . sind nur einige Gründe. als auch die sich ergebenden Anforderungen mit den Funktionen von zwei ausgewählten Werkzeugen zu vergleichen. ob softwareunterstützende Werkzeuge bei der Umsetzung und zur Effizienzsteigerung eingesetzt werden. Linda Gerstenberger. Die Arbeit gliedert sich in einen Grundlagen.

4. Für jedes Unternehmen ist es daher wichtig. ITIL ist eine Sammlung von Büchern. Welche Prozesse innerhalb dieses Bereichs stattfinden. in denen ein Rahmenwerk von IT-Service-Managementprozessen beschrieben wird. wobei eine Unterscheidung in kommerzielle und open-source Werkzeuge vorgenommen wird. .1: Überblick ITIL. den Anforderungen einer ITInfrastruktur innerhalb von Unternehmen zu genügen und auf einem bestimmten Qualitätsniveau zu halten. Abbildung 4.2 4. An dieser Stelle schließt sich die Betrachtung der Werkzeuge an.110 ITIL-unterstützende Werkzeuge Anforderungen an die Werkzeuge näher betrachtet. Um diese Dienstleistung zu gewährleisten. ITIL hat sich im Laufe der Zeit als defacto Standard etabliert und ist mittlerweile weiträumig verbreitet. wird versucht. die Struktur innerhalb der IT bezüglich der Ausfallhäufigkeit oder der Verfügbarkeit zu optimieren. sondern fungiert als Richtlinie zur Strukturierung der eigenen IT-Abteilung im Unternehmen. Quelle: Eigene Darstellung. Die Arbeit bezieht sich auf den Bereich des Service Supports. Dieser Ansatz wird auch als IT Service-Management bezeichnet und wird durch den ITIL-Leitfaden unterstützt. zeigt die folgende Abbildung.1 Begriffsabgrenzungen ITIL In der heutigen Zeit wird es immer schwieriger.[Pfl05] Die folgende Abbildung gibt einen Überblick über die ITIL-Inhalte.2. Es existiert zu jedem Prozess ein Leitfaden sowie Empfehlungen zur Umsetzung. die IT-Struktur an neue Anwenderbedürfnisse auszurichten und den neuen Anforderungen anzupassen. In einem Fazit werden die wichtigsten Ergebnisse dieser Arbeit abschließend pointiert wiedergegeben. ITIL ist somit kein Programm.

mit der mehrere Personen gleichzeitig Kundenanfragen und -aufträge verwalten können. über welche Medienart die Anfrage im System eingeht. und sich vorab Informa1 Die Bezeichnungen "Werkzeug" und "Tool" werden in dieser Arbeit im weiteren Verlauf synonym verwendet. welche die Implementierung und Umsetzung von ITIL in den Unternehmen unterstützen.2: Überblick Service Support.h. Ein Ticket-System2 ist eine Verwaltungssoftware.2 Werkzeuge Unter (ITIL)-Werkzeugen1 werden im Verlauf dieser Arbeit Computerprogramme verstanden.[Bre07] Am Markt ist verschiedene Software erhältlich.Formulierung von Anforderungen entlang des Service Supports 111 Abbildung 4. die im Internet frei verfügbar sind und kommerzielle Angebote. Die Auswahl von Tools gestaltet sich insofern als schwierig.2.[Nie07] D. diese Aufträge zu klassifizieren. erstellt das Programm automatisch eine Verknüpfung zu dem schon gespeicherten Vorgang. Wird eine bereits bekannte Anfrage an das System geschickt. Quelle: Eigene Darstellung. Im Rahmen dieser Projektarbeit wird die Software Open Ticket Request System (OTRS) näher betrachtet. Wesentlicher Bestandteil dieser Software ist das Ticket. . Innerhalb dieser Software besteht die Möglichkeit. 4. Entlang dieser Prozesse werden im Kapitel 4. Zu unterscheiden sind opensource Lösungen.3 die Anforderungen an ein Werkzeug herausgearbeitet.[Här07] Die betrachteten Werkzeuge in dieser Arbeit basieren auf dem Ticket-System. Dabei ist es unerheblich. 2 Synonym wird die Bezeichnung Trouble-Ticket-System verwendet. Der Supportleistende kann das Ticket öffnen. die die veränderte Situation im Unternehmen jetzt und in Zukunft unterstützt. unter einem Tool wird eine Software verstanden. als dass in den ITIL-Büchern keine Bewertung der vorhandenen Tools vorgenommen wird und konkrete Aussagen ausbleiben. Aus der Vielzahl kommerzieller Produkte wird beispielhaft das Programm Remedy vorgestellt. zu bearbeiten oder sie weiterzuleiten.

spricht man vom Schließen des Tickets. um in Kapitel 4. welche Anforderungen sich jeweils für eine mögliche Softwareunterstützung durch ein eingesetztes Tool ergeben. den IT-Service bei einem Incident wieder herzustellen und aufrecht zu erhalten.3 4. sowie dem Change Management. Es werden allgemeine Daten gespeichert.112 ITIL-unterstützende Werkzeuge tionen zu dem vorliegenden Problem verschaffen. Ursächlich für eine Störung und auch einen Service Request sind jeweils auftretende Anliegen. kann es sich lohnen. das nicht zum standardmäßigen Betrieb eines Service gehört und das tatsächlich oder potentiell eine Unterbrechung oder Minderung der Servicequalität verursacht. welche keine Störungen . Doch was genau müsste eine ITIL-konforme Software können? Welche Fähigkeiten müsste sie haben. Der Fokus liegt hier ausschließlich auf dem Bereich des Service Support. die Grundsätze von ITIL im einfachsten Fall mit Papier und Bleistift umzusetzen.3. Die Möglichkeit zur Dokumentation der gesamten Daten wird auch Historiefunktion genannt. Primäres Ziel ist es. Aktivitäten durch Einsatz einer geeigneten Software zu automatisieren. ITIL fasst unter der Bezeichnung Incident Störungen und Service Requests zusammen. dem Problem Management. dem Release Management und dem Configuration Management.[Mar04] Durch eine Softwareunterstützung aber kann sich bei passendem Einsatz eine erhebliche Effizienzsteigerung ergeben. werden im Folgenden die einzelnen Prozesse von ITIL näher betrachtet.2 Incident Management mit Service Desk Das Incident Management bildet in Verbindung mit dem noch zu erläuternden Service Desk die Schnittstelle zwischen Anwender/ Kunden und dem Unternehmen. dem Incident Management. da eine umfassendere Betrachtung im Rahmen dieser Arbeit aus zeitlichen Gründen nicht möglich ist. Sobald Tätigkeiten gehäuft und wiederholt vorkommen. welche wiederum zur Problemlösung verwendet werden können.3. Dieses Kapitel gliedert sich somit in die einzelnen Prozesse des Service Support. Für die weitere Betrachtung werden zunächst die Begriffe Störungen und Service Requests definiert. da ein größerer Informationsfluss schneller verarbeitet werden kann." [Its07] Anfragen. Prinzipiell besteht durchaus die Möglichkeit. 4. sondern vielmehr ist an dieser Stelle von Bedeutung. Es wird jedoch nicht nur ein Einblick in den jeweiligen Prozess gegeben. um den Menschen zu entlasten und dabei die einzelnen Prozesse des Service Support funktionsfähig und zielführend abzubilden? Diese Anforderungen an ein Tool werden jeweils in den einzelnen Kapiteln herausgearbeitet.1 Service Support und Anforderungen an die Werkzeuge Vorgehensweise Nachdem bisher ITIL und das Verständnis von Werkzeugen erläutert wurde.[Här07] Auf die genauere Ausgestaltung eines Ticket-Systems wird bei der Betrachtung von OTRS und Remedy näher eingegangen.4 die Funktionen der Werkzeuge OTRS und Remedy darzustellen.[Cla] Ist das Problem letztendlich gelöst. Unter einer Störung wird dabei "ein Ereignis [verstanden]. 4.

Darunter fallen unter anderem Statusnachfragen und Fragen zur Handhabung. die Kunden über den Verlauf des Anliegens zu benachrichtigen. Change Management. um bei Bedarf jederzeit darauf zurückgreifen zu können. und den Abschluss bildet dann die Wiederherstellung des Service. Es erfolgt häufig eine Gliederung in verschiedene Ebenen oder Bearbeitungsstufen.[Its07] Service Desk Da der Service Desk nach ITIL kein Prozess sondern eine Funktion ist und damit eine Aufgabe erfüllt. Ist der Help Desk zentral organisiert. wird es an das Third-Level weitergegeben. dessen grobe Einschätzung im Service Desk stattfindet.und Software verstanden. Diese Kommunikationsstelle wird auch als Single Point of Contact (SPOC) bezeichnet. Kann das Problem auch an dieser Stelle nicht gelöst werden. für den Anwender zum gewünschten IT-Service. Vorteilig ist hier. Es besteht auch die Möglichkeit.h.[Fis06] Synonym zum Service Desk wird auch die Bezeichnung Help Desk verwendet. wird er in dieser Arbeit innerhalb dieses Kapitels betrachtet. welcher nun im Folgenden betrachtet wird. egal ob es sich um ein Incident oder um ein Request for Change (RFC) handelt. Der Service Desk ist also in erster Linie die Schnittstelle für den Anwender. Jeder dieser Vorgänge wird umfangreich dokumentiert und gespeichert. Bei der Bearbeitung der Störung unterscheidet man zwischen verschiedenen Leveln. Außerdem liefert er nicht nur dem Incident Management. dass der Kunde nur einen SPOC als Kon3 Darunter wird der Service zur Unterstützung oder auch zur Hilfe von Anwendern von Hard. oder ob es sich um eine Störung (Incident) handelt. sondern auch den Service Support-Prozessen Problem Management. d. Bezeichnet wird das als Multi-Level-Support-Modell. Hier wird deutlich. wenn es nicht sofort erledigt werden kann. Release Management und Configuration Management wichtige Informationen. werden die Anliegen über einen SPOC koordiniert und bearbeitet. in dem sich Experten damit befassen. Im weiteren Verlauf wird das Anliegen konkretisiert. .3 Zu den allgemeinen Aufgaben des Service Desk zählen im Wesentlichen die Entgegennahme der Anliegen des Kunden. sondern auch für die Organisation aller weiteren Prozesse. Noch nicht abgeschlossene Vorgänge werden permanent überwacht und deren weiterer Verlauf verfolgt. Es gibt unterschiedliche Möglichkeiten einen Help Desk zu organisieren. werden unter dem Begriff Service Requests zusammengefasst. Einfache Probleme oder Anfragen können oftmals direkt gelöst werden und werden als First-Level-Support bezeichnet. Zum einen als zentrale Einheit. Dies gilt nicht nur für das Incident Management. dass es eine klare Abgrenzung der Kompetenzen geben muss.Formulierung von Anforderungen entlang des Service Supports 113 im eigentlichen Sinne sind. Die Aufnahme einer Störung im Service Desk ist dabei als Ausgangspunkt für das Incident Mangement zu nennen. er dient als Kontaktpunkt für den Kunden bzw. zum anderen als dezentrale Einheit. Kompliziertere oder umfassendere Anliegen werden vom Service Desk weitegeleitet und dort durch Fachkräfte oder Teams im Rahmen des Second-LevelSupports gelöst. Eine zentrale Stellung hat in diesem Bereich der bereits erwähnte Service Desk. also ob es sich um eine Anfrage eines Kunden im Sinne einer Änderung (Request for Change) handelt. Diese werden durch den Service Desk bearbeitet und abgeschlossen.

[Els06. Er muss sich nicht verschiedene Kontaktadressen merken. Bre07] Um im Folgenden aus den Aufgaben und Zielen des Service Desk und damit auch des Incident Managements Anforderungen an mögliche Software-Tools abzuleiten. Für die Erfassung von Anliegen ist es ratsam. Es lässt sich somit festhalten. . weil der Kunde länger auf seine Antwort warten muss.a. Ist dieses Wissen nicht vorhanden. haben dadurch aber auch mehrere Kontaktstellen. sein. Hier wären Anfragen in Form von E-Mail oder Telefon denkbar. können in verschiedener Form vorliegen.114 ITIL-unterstützende Werkzeuge taktpunkt hat. kontaktieren die Kollegen aus dem First-Level-Support öfter die Kollegen aus den anderen Supports. Eine klare Grenze zwischen den Bereichen kann nicht immer gezogen werden. Für die Zuweisung sind allgemeine Daten zum Kunden. im Einzelnen durchgegangen. Uhrzeit der Kontaktaufnahme relevant. Eine Lösungsmöglichkeit könnte der zentralisierte dezentrale Ansatz. Des Weiteren kommt es so zu einer Überlastung in den anderen Supporteinheiten. sondern kann seine Anliegen einer Stelle zutragen. Bei einem dezentralen oder lokalen Help Desk gibt es einen Service-Support für verschiedene Kundengruppen oder verschiedene Produktgruppen. welcher auch als virtueller Ansatz bezeichnet wird. Des Weiteren müssen natürlich die spezifischen Gegebenheiten des aktuellen Anliegens erfasst werden. also u. Dabei soll stets die Frage im Hintergrund stehen: An welchen Stellen ist eine Unterstützung durch ein Software-Tool besonders sinnvoll? Und welche Aufgaben müsste dieses Tool im Einzelnen übernehmen? Hierbei ist anzumerken. wird der Prozess. die im Service Desk als erste Anlaufstelle eingehen. dass der Prozess. wird es an den zuständigen Help Desk weitergeleitet. Name. Der Ablauf innerhalb des Service Desks gliedert sich in verschiedene Punkte. Hier erhalten die Kunden meist schnellere Hilfe als im zentralisierten Fall. Adresse. so dass keine Abhängigkeit von der willkürlichen Arbeitsweise eines Service Desk-Mitarbeiters besteht. Nachteilig bei dieser Variante ist. dass die Support-Mitarbeiter ein breiteres und umfassenderes Wissen für die verschiedenen Anfragen benötigen. auf die anderen Prozesse verwiesen wird. also nur eine Kontaktstelle.und Verarbeitung sind. der innerhalb des Service Desks abläuft. der innerhalb der Service Desk abläuft. Es stellt sich die Frage nach der Art der Dokumentation. Kundennummer und Datum inkl. Hinter dieser verbergen sich jedoch dezentral weitere Service-Desk Supports. welche Daten von Relevanz für die effiziente Be. Hier existiert aus Sicht des Kunden nur ein Help Desk. also wie die Daten erfasst werden sollen. Für eine sinnvolle Erfassung bzw. Dokumentation der Anliegen sind im Vorfeld grundsätzliche Entscheidungen zu treffen. First-Level-Support. Für dieses Wissen benötigen die Mitarbeiter weitere und permanente Schulungen. eng mit anderen Abläufen verknüpft ist. zentral und geregelt vorzugehen. um den Kunden kompetent zur Seite zu stehen. Es muss also entschieden werden.[Els06] Diese werden im Hinblick auf die obigen Fragen betrachtet: Anliegen entgegennehmen und registrieren: Die einzelnen Anliegen. Problematisch kann sich hier die nicht einheitliche Datenbank erweisen. ohne dass es in einer Datei gespeichert wird. so dass es zu einzelnen Überschneidungen kommt und ggf. wobei es zu einer Verzögerung gegenüber dem Kunden kommen kann. Kann ein Mitarbeiter ein Anliegen nicht selber bearbeiten. Mehrere Supporter arbeiten an einem Problem.

sondern handelt es sich um eine Anfrage für eine Änderung. Hierbei ist es ein Vorteil für den Mitarbeiter. Im Gegensatz zu einer einfachen Niederschrift des Problems kann mit Hilfe der Datenbank strukturiert vorgegangen werden. dass eine gute und problemfreie Kommunikation erfolgt. Die Dokumentation der Anliegen in einer Datenbank ist eine sinnvolle Vorgehensweise. oder ob das Problem evtl. als die bei einem Telekommunikationsunternehmen. oder gibt es eine unbekannte Störung. Dies kann in kleinen Unternehmen oder in einem überschaubaren Umfeld natürlich eine selbst erstellte Liste oder einfach das Gedächtnis eines Mitarbeiters sein. Liegt jedoch eine akute Störung beim Kunden vor. So ist es für den Mitarbeiter zeitsparend. die nicht nur von der Entscheidung des Mitarbeiters abhängt. Sobald der Mitarbeiter die Störung an dieser Stelle klassifiziert hat. welche im Service Desk eines Computerlieferanten auftreten natürlich andere. Dadurch kann nicht nur Zeit gespart werden. sogar schon bekannt ist. sollte er für eine weitere Unterstützung des Kunden sorgen. die Anliegen der Kunden zu identifizieren. entscheidet sich sein weiteres Vorgehen. leitet der Mitarbeiter des Service Desks die Daten zum Change Management weiter. Liegt bei dem Kunden keine Störung vor.Formulierung von Anforderungen entlang des Service Supports 115 dass die Mitarbeiter einheitlich vorgehen müssen. die zwar bekannt ist. per Schlagwortsuche nach vorherigen Störungsfällen zu suchen. Wichtig ist hier. Je größer ein Unternehmen jedoch ist oder je mehr Störungsfälle auftreten. dass der Mitarbeiter dies ohne technische Unterstützung leisten kann. wie bei allen Interaktionen zwischen den einzelnen Prozessen. So ist es für ihn an dieser Stelle hilfreich. Auch die Behandlung dieser Fälle wird an entsprechender Stelle wieder aufgegriffen. Liegt eine Störung vor. um die Störung möglichst schnell weiter zu klassifizieren und bestenfalls sogar gleich zu beheben. zum Problem Management. dass eine strukturierte Erfassung des Anliegens möglich ist. Dies ist natürlich stets verbunden mit den jeweiligen spezifischen Gegebenheiten. . dass der Mitarbeiter auch alle relevanten Informationen des Kunden strukturiert erfasst. muss er eine erste Einordnung des Anliegens vornehmen. Es sollte möglich sein. der aufgrund der Eingaben des Mitarbeiters auch eine Klassifizierung erleichtert. So sind die Anliegen. zu dessen Lösung der Service Desk Mitarbeiter alleine in der Lage ist. wenn das manuelle Suchen in langen Archivlisten entfällt und ein Tool ihm die Möglichkeit bietet. erfolgt eine Weiterleitung im Incident bzw. sondern es ist zudem noch gewährleistet. wenn er auf ein gutes Archiv vergangener Fälle zurückgreifen kann. er selbst jedoch nicht lösen kann. die sich im Unternehmen wiederfinden. Um eine Klassifizierung vorzunehmen. Der weitere Ablauf in diesem Fall wird somit bei der Behandlung des Change Managements wieder aufgegriffen. wenn er die einzelnen Daten in einer bereits fertigen Maske in die dafür vorgesehenen Felder eintragen kann. Handelt es sich jedoch um eine bekannte Störung. um welche Art von Störung es sich handelt. so muss der Mitarbeiter weitere Schritte einleiten. umso schwerer wird es sich vorzustellen. kann eine Art Bewertungsbogen generiert werden. Das Tool soll den Mitarbeiter des Service Desk dahingehend unterstützten. Dazu muss er herausfinden. Klassifizierung des Anliegens: Sobald der Mitarbeiter alle relevanten Daten des Vorgangs aufgenommen hat. so dass eine mehrmalige Registrierung eines Anliegens ausgeschlossen werden kann.

Die Anforderungen an ein eingesetztes Tool sind ähnlich zu denen des Service Desk. An dieser Stelle knüpft die Aufgabe . muss der Vorgang abgeschlossen und das Problem mit der Lösung in einer Datenbank vermerkt werden. dessen Ziel die Diagnose der Störung ist. Abschluss & Speicherung des Lösungsweges in der Datenbank: Ist der Service wieder hergestellt. So ist es sinnvoll. wenn bei der vorherigen Suche nach einer Störung auch gleich eine oder mehrere mögliche Lösungsvorschläge dazu vermerkt sind. und N-Level-Support. Falls das Problem innerhalb des First-Level-Supports nicht abgeschlossen werden kann. wenn sie nicht durch die Mitarbeiter ständig gepflegt und aktualisiert wird. so dass er für spätere Anliegen auch als Recherche zur Verfügung steht. Da sie ein größeres Fachwissen besitzen als die Service-Desk Mitarbeiter. der Mitarbeiter im Service Desk das Anliegen nicht lösen kann. Hat der Mitarbeiter eine Lösung gefunden. Bei dieser Tätigkeit ist es möglich. Da bisher keine sofortige Lösung der Störung vorhanden ist.[Its07] Analyse und Diagnose: In diesem Bereich beschäftigen sich die Experten mit der weiteren Analyse. so erfolgt eine Weiterleitung an den Third-Level-Support. Ein Tool kann die Suche innerhalb dieser Daten vereinfachen. Abschluss oder Weiterleitung: Sobald eine Lösung gefunden wurde. findet hier eine intensivere Suche statt. Ist auch hier der Abschluss nicht möglich. die Datenbank noch vielfältiger zu nutzen.116 ITIL-unterstützende Werkzeuge Bearbeitung von Störungen: Nachdem die Störung klassifiziert wurde und bekannt ist. dies nützt jedoch nichts. Dort beschäftigen sich spezialisiertere Support-Teams. So gilt es auch an dieser Stelle Zeit zu sparen und die Suche nach einer Lösung durch den Einsatz eines Software-Tools zu beschleunigen. die sich analog zum Ablauf im Second-Level-Support mit dem Anliegen befassen. Ggf. Wie zuvor erläutert spart es viel Zeit.3. da eine schnellstmögliche Wiederherstellung des Service das oberste Ziel des Service Desk ist. Third-.h. erfolgt nun die Weiterleitung an den Second-LevelSupport.3 Problem Management Vorangehend wurde das Incident Management betrachtet. findet ein Abschluss der Störung statt. die nach Fachbereichen gegliedert sind. wenn der Mitarbeiter auf eine gut gepflegte Datenbank zugreifen kann. Second-. dessen oberste Priorität die Wiederherstellung des Services ist. 4. bis die Störung abgeschlossen wird. Dieser besteht aus Spezialisten-Teams. gilt es nun eine Lösung zu finden und die Störung zu beheben. kann dem Kunden geholfen werden und eine schnelle Wiederherstellung des Service erfolgen. d. Nur durch die korrekte und vollständige Erfassung des Vorgangs durch den Mitarbeiter können für zukünftig auftretende Probleme zeitnah Lösungen gefunden werden. Dieser muss natürlich auch in der Datenbank dokumentiert werden. weiter mit dem Problem. Auch dies setzt das Vorhandensein und die kontinuierliche Pflege eines guten und vollständigen Archivs voraus. Dieser Vorgang wird auf N-Leveln wiederholt. erfolgt eine Weiterleitung an das Problem Management. so wird es an den Second-Level-Support weitergeleitet.

die Problem Control. Els06] Mit dem Problem Management werden verschiedene Ziele verfolgt. So ist es Aufgabe des Problem Managements. versucht das proaktive Problem Management Schwachstellen aufzuspüren und Störungen im Vorfeld zu verhindern. die Error-Control und das Proactive Problem Management. das Problem ist jedoch noch nicht behoben. So kann ein bestimmter Abbruch durch ein Aufeinanderfolgen bestimmter Fehlerquellen herbeigeführt werden. Die Tätigkeitsfelder der Problem. Man . Ist die Ursache gefunden liegt nun kein Problem mehr vor. da unter anderem ein Problem durchaus auf mehrere Incidents zurückgeführt werden kann und sie wiederholt auftreten. das Auftreten von Störungen durch vorbeugende Maßnahmen zu minimieren. Die Problem-Control befasst sich mit der Problembearbeitung. also proaktiv. bedarf es anderer Prozessverläufe als beim Incident Management. Sobald für einen Fall keine Ursache festgestellt werden kann. bekommt ein Incident die Bezeichnung Problem. Für eine genauere Analyse wird der Prozess der Problem-Control vereinfacht dargestellt. Netzwerkfehler oder Betriebssystemabstürze. Die Lösung dieser Probleme ist vielfach kompliziert und aufwendig. eine Aufrechterhaltung der ITDienstleistungen. Beispiele in der IT gibt es viele. Als Known Error wird dann ein Problem (oder Incident) bezeichnet.Formulierung von Anforderungen entlang des Service Supports 117 des Problem Managements an und bildet somit eine Art zweite Ebene des Incident Managements.[Fis06. Soweit möglich sollen hier die Ursachen gefunden werden.und Error-Control sind verknüpft. Die fehlerhafte Komponente ist identifiziert. Wie die Abläufe der einzelnen Prozesse des Problem Managements nun genau aussehen und welche Anforderungen sich an ein Software Tool dadurch ergeben. so dass durchaus zeitgleich verschiedene Experten einzubinden sind. soll nun im Einzelnen herausgearbeitet werden. die einer Störung zugrunde liegen. Gegebenenfalls werden durch das Problem Management notwendige RFCs in der IT-Infrastruktur eingeleitet. Für diese Vorkommnisse können unterschiedliche Ursachen vorliegen. In dieser ersten Phase des Problem Managements werden die vom Service Desk und Incident Management weitergeleiteten Probleme beschrieben. Dort werden die Ursachen. ähnlich wie beim Incident Management. dessen Ursache bekannt ist. In ITIL wird das Problem Management in drei Subprozesse unterteilt. die durch das Incident Management von einer Störung zu einem Problem deklariert und weitergeleitet worden sind. klassifiziert und abgespeichert. Außerdem sollen hier durch vorausschauendes Handeln Probleme und längerfristige IT-Systemunterbrechungen vermieden werden. Die Auswirkungen dieses Problems sollen minimiert und ein Lösungsweg zur endgültigen Beseitigung der Störung erarbeitet werden. Daran anschließend erfolgen die Untersuchung des Problems und dessen Auswirkungen auf den Service. meist nur sehr selten festgestellt. Während das reaktive Problem Management nach Ursachen bereits eingetretener Störungen sucht und Verbesserungsvorschlägen macht.[Els06] Klassifizierung und Kategorisierung des Problems: In dieser ersten Stufe treffen die Probleme ein. Diese umfassen sowohl reaktive als auch proaktive Aktivitäten. wie Hardware-Fehler.[Els06] Problem-Control. die eigentliche Ursache für das Auftreten von Störungen zu ermitteln. sondern ein Known Error. Um diese komplexen Vorgänge erfassen zu können. Außerdem sollte das Problem Management versuchen bereits im Vorfeld. Dies ist zum einen die Eliminierung der Ursachen der auftretenden Probleme und zum anderen.

wie eigentlich überall. Wichtig ist hier. ähnlich wie bei einer Störung. dass auch die anderen Prozesse über den aktuellen Stand und die Identifizierung des Problems informiert werden. erfasst und in eine Datenbank eingestellt werden. mit dem die eingegebenen Informationen zu jeglichen Vorgängen prozessübergreifend eingesehen und verwendet werden können. indem es automatisch Rückmeldung über die identifizierten Probleme und den Problemlösungsfortschritt zu den anderen Prozessen gibt. Abschluss des Problems oder Überleitung zur Error Control: Ist das Problem identifiziert. Das Problem wird beschrieben und erfasst. indem es nach der Klassifizierung des Problems die für das Problem verantwortliche Person kennt. die übrigen Mitarbeiter eigenhän- . Die Lösung des vorliegenden Problems erfolgt dann in der sich anschließenden Error-Control. Dazu werden wiederholt Tests durchgeführt.oder ManagementProzessen geliefert. Hierbei findet ständiger Kontakt mit den anderen Prozessen statt. welche Ursache einem Problem zugrunde liegt. müssen die Daten dem für das Problem zuständigen Experten zugewiesen werden.118 ITIL-unterstützende Werkzeuge spricht von Problemen. Zuweisung zum Problem-Management Experten: Bevor die genaue Untersuchung und eine zeitnahe Lösung des Problems angestrebt werden kann. Es muss erfasst werden zu welcher Kategorie sie gehören. z. dass sie in unterschiedliche Gruppen unterteilt werden. Dieses Vorgehen kann ein Tool insofern erleichtern. Analyse und Diagnose des Problems: Nun erfolgt eine Analyse der für das Problem zuständigen Experten. sowohl den Verlauf eines Problems zu dokumentieren als auch die Interaktion mit den anderen Prozessen ausreichend abzubilden. die Daten der im Vorfeld aufgenommenen Störung vorliegen zu haben. Diese Arbeit kann ein Tool erleichtern. bei dem versucht wird herauszufinden. welche Auswirkungen es auf geschäftliche Abläufe geben kann. welche Priorität es hat und wie der aktuelle Status des vorliegenden Problems lautet. die Daten strukturiert und vollständig zu erfassen. Des Weiteren müssen die Probleme insofern klassifiziert werden. per E-Mail automatisch über das Problem inklusive aller darüber vorhandenen Daten informiert werden. Wichtig ist zu diesem Zeitpunkt. dass außerdem eine gute und ständige Kommunikation zwischen den einzelnen Prozessen stattfindet. eine Verknüpfungen zu den zuständigen Problemlösern bereitstellt und diese Experten. erfolgt ein Abschluss in der Problem Control. welche Dringlichkeit dem Problem zugesprochen wird. wenn mit einem wiederholten Auftreten gerechnet wird. dass die Daten auch von anderen Mitarbeitern schnell wiedergefunden werden können. wobei es hilfreich ist. um das Problem immer weiter einzukreisen. Auch hier ist ein Tool hilfreich. B. Bei der Identifikation müssen die Daten. Hier müsste ein Tool in der Lage sein.[Its07] Auch zur Aufnahme dieser Daten kann ein Tool eine strukturierte Vorgehensweise ermöglichen und unterstützen. die zu einem Problem gehören. Notwendige Informationen zur Untersuchung des Problems werden also von und zu den anderen ITIL. Somit wird dem Mitarbeiter einerseits die Zeit erspart. Auch hier kann ein eingesetztes Tool helfen. indem es durch eine fertige Maske dem Mitarbeiter die Eingabe der Daten erleichtert und außerdem dafür sorgt. Die Untersuchung und die Diagnose des Problems kann ein langwieriger Prozess sein.

Nach der Lösungssuche wird dann eine optimale Lösung bestimmt. da er schnell behoben werden kann und eine endgültige Beseitigung zu zeit. Im Rahmen der Error-Control werden Lösungswege neu ermittelter Probleme erarbeitet und im Bedarfsfall ein RFC an das Change Management gestellt. Auch hier gilt es nochmals zu . damit auch im Nachhinein nachvollzogen werden kann. ggf. In dem Augenblick. die an dieser Stelle eintreffen. dass auch die Lösungen in Zukunft auftretender Probleme schnell in einer Datenbank gefunden werden können. Datensammlungen und Programmen benötigt. da somit eine schnelle Verwendung der neuen Lösungen dort gewährleistet ist.[Its07] Dokumentation der gefundenen Lösung: Wie auch immer die vorher getroffene Lösung aussieht. Systemen. welches ihm bei der Ermittlung einer neuen Lösung helfen kann. mit einer Änderungsanforderung des Problem Managements an das Change Management. die er vollzieht. für das Incident Management besonders wichtig. dass die Lösung umfassend dokumentiert wird. Auch hier wird der dort stattfindende Prozess vereinfacht dargestellt. weil sie vorher nicht vollständig dokumentiert wurde und somit viel Zeit kostet. Der Fortschritt des Lösungswegs der bereits bekannten Fehler wird weiter überwacht. um in der Zukunft Zeit zu sparen. müssen von ihm dabei natürlich auch festgehalten werden. Error-Control. Eine Lösung kann auch so aussehen. dass eine Lösung nochmals neu erarbeitet werden muss. dass der Mitarbeiter auf bereits vorhandenes Lösungswissen einer Datenbank zugreifen kann. wird das Problem zu einem Fehler und die Fehlerbehandlung nimmt ihre Arbeit auf. auch zu keiner Lösung führten. Dazu werden eine Reihe von Komponenten. Die Auswirkungen der gefundenen Lösung müssen weiter beobachtet werden.Formulierung von Anforderungen entlang des Service Supports 119 dig zu informieren und andererseits auch sichergestellt. sind die Lösungswege bereits bekannt und können aus einer gut gepflegten Datenbank entnommen werden. in dem die Ursache des Problems festgestellt wurde. Damit soll verhindert werden. Alle Lösungsaktivitäten. Hierbei ist es notwendig. Somit kann sichergestellt werden.[Els06] Identifizierung des Fehlers : Für die Known Errors. ist es wichtig. Auch hier muss er mit Unterstützung eines Tools in der Lage sein. dass niemand diese Informationen verspätet oder gar nicht erhält. Für die Ermittlung neuer Fehler sollten dem Mitarbeiter mehrere Hilfsmitteln zur Fehlersuche zur Verfügung stehen. Für die Known Errors sind die Ursachen und die Lösungsaktivitäten bereits bekannt und können eingeleitet werden.a. Abschließend müssen die anderen Prozesse über die Lösung informiert werden. welche Lösungsvorschläge ggf.oder kostenintensiv wäre. Ermittlung eines Lösungswegs: Für die ermittelten Fehler müssen nun neu initiierte Lösungswege gefunden werden. also einem RFC. Diese führt bestenfalls zu einer Beseitigung des Fehlers. dass der bekannte Fehler weiter auftreten kann. Eine automatische Benachrichtigung an die betroffenen Anwendergruppen durch ein eingesetztes Tool erleichtert und beschleunigt auch hier die Arbeit. Dies ist u. auf die notwendigen Informationen der anderen Prozesse zugreifen zu können. Bei der Error-Control erfolgt nun eine Fehlerbearbeitung.

120

ITIL-unterstützende Werkzeuge betonen, dass eine stetige Kommunikation der einzelnen Prozesse für einen erfolgreichen Abschluss zwingend notwendig ist.

Proactive Problem Management. Das Proactive Problem Management behandelt die frühzeitige Identifikation eines Problems oder allgemein die Erkennung von Schwächen in der Infrastruktur durch Trendanalysen. Somit ist es kein Prozess im eigentlichen Sinn. Es sollen Vorkehrungen getroffen werden, um ein Problem bestenfalls gar nicht erst entstehen zu lassen. Dazu können bereits aufgetretene Störungen und deren Lösungen analysiert werden, um mögliche Probleme schon im Vorfeld zu erkennen. Das Proactive Problem Management erfüllt folgende Aufgaben ([Els06]): Erstellung von Trendanalysen: Zur Einführung des Problem Managements wird es überwiegend reaktiv sein, allerdings sollte eine Entwicklung hinsichtlich proaktiver Mechanismen erfolgen. Eine Aufgabe darin ist die Erstellung von Trendanalysen. Hierbei könnte ein Tool insofern hilfreich sein, als dass es bereits eine Funktion enthält, um eine Trendanalyse der einzelnen Tickets zu erstellen, d.h. Themen und Vorfälle, die wiederholt auftreten, sollten angezeigt werden und eine Auswertung der Daten somit erleichtert werden. Somit können Komponenten, die anfällig sind, oder bei denen eine Überlastung droht, genauer beobachtet werden. Genauso wird versucht, Störungen, die in einem Bereich auftreten, bereits im Vorfeld in anderen Bereichen zu verhindern. Weiterleitung von Auswertungen an das IT-Management: Die Analysen und Auswertungen sind natürlich nur dann nutzbar, wenn die Informationen auch allen anderen bereitgestellt werden. Genau wie die Lösungen eines Problems müssen auch die im Vorfeld ermittelten Schwächen an die anderen Prozesse weitergeleitet werden. Die Aufgabe eines Tools könnte es hierbei sein, sobald an einer Stelle eine Schwäche identifiziert wurde, die Informationen automatisch an die betroffene Stelle weiterzuleiten und zu informieren, ohne dass dies viel Zeit und Aufwand in Anspruch nimmt.

4.3.4

Change Management

Wie bereits im Kapitel 4.3.2. erwähnt, nehmen die Mitarbeiter des Service-Desk zunächst alle Anliegen entgegen. Diese werden aufgenommen, und strukturiert in einer Datenbank erfasst. Wenn sich bei der Kategorisierung nun herausstellt, dass es sich um einen RFC handelt, wird es an das Change Management weitergeleitet. In diesem Abschnitt geht es nun um die Aufgaben, Funktionen und Ziele des Change Managements. Die Erfahrung hat gezeigt, dass Probleme und Störungen häufig auf Änderungen zurückzuführen sind. Ursache dieser Probleme sind oftmals überstürzte und wenig durchdachte Änderungen, oder unzureichende Planungen im Vorfeld.[Its07] Das Change Management soll nun gewährleisten, dass die oben genannten beantragten Änderungsanforderungen in Form von RFCs geplant und kontrolliert ablaufen. Hierbei ist darauf zu achten, dass änderungsbedingte Störungen zu vermeiden oder wenigstens zu minimieren sind.[Fis06] Voraussetzung für Änderungen ist jedoch, dass diese im Vorfeld genau überprüft und kontrolliert werden, ob die Changes ohne weitere Rücksprache durchgeführt werden können. [Bre07] Die RFCs können im Wesentlichen in drei Bereiche aufgeteilt werden ([Its07]):

Formulierung von Anforderungen entlang des Service Supports

121

Neuerungen und Verbesserungen: Diese beinhalten neue Methoden und Konzepte, sowie technische Verbesserungen. Dadurch können neue strukturelle Fehler und Probleme entstehen, die vorher in dieser Art und Weise nicht bekannt waren. Änderungen: Änderungswünsche können sich auf Soft- und Hardwareänderungen beziehen oder auch auf Betriebssysteme. Aber auch Modernisierungen oder der Austausch von Kabeln und/oder Hardware gehört in diesen Bereich. Korrekturen: Diese sollen die strukturellen Fehler und Probleme beheben. Im weiteren Verlauf wird auf diese Unterteilung nicht weiter eingegangen, und zur Vereinfachung wird der Ausdruck Änderungen oder Change für alle Anliegen verwendet. All diese Änderungen sind mit einem gewissen Risiko behaftet und können zu einem Ausfall der Service-Leistungen führen. Es muss jedoch nicht nur darauf geachtet werden, dass die Änderungen schnell und ohne Komplikationen durchgeführt werden, ebenso wichtig ist es auch, dass das System hinterher konsistent und ohne Fehler und Probleme funktioniert. Aus diesem Grund muss eine Änderung geplant werden, und kann nicht ad hoc durchgeführt werden. Es ist auch darauf zu achten, ob nur ein Mitarbeiter betroffen ist, oder die ganze Belegschaft eines Unternehmens. Diese Faktoren zu berücksichtigen ist die Hauptaufgabe des Change Managements. Zusätzlich zu beachten ist, dass Soft- und Hardware selten kostenlos zur Verfügung gestellt werden. Es ist daher nicht ohne weiteres möglich, ohne Lizenzprüfung die Programme zur Probe zu installieren. Auch die Bevorratung der benötigten wichtigsten Ersatzteile ist Aufgabe dieses Supports. Zusammengefasst lässt sich sagen, dass sich die Aufgaben aus einem Zeitmanagement und aus vorbereitenden Aufgaben zur Implementierung von Änderungen zusammensetzen. Nicht zu vergessen ist die permanente schrittweise und aktuelle Dokumentation aller Handlungen von jedem Mitarbeiter. Nur durch diese sorgfältige Vorgehensweise wird eine effiziente und kostengünstigere Arbeitsweise auf Dauer gewährleistet.[Els06] Um nun auch hier aus den Aufgaben und Zielen des Change Manangement Anforderungen an mögliche Software-Tools abzuleiten, wird auch hier der Prozess, der innerhalb des Change Managements abläuft, im Einzelnen durchgegangen. [Els06] In einem ersten Schritt wurden die Daten im Service Desk als Change deklariert und dann an das Change Management weitergeleitet. Erfassung des RFC, Kontrolle und Speicherung in der Datenbank: Wichtig ist vor allem die korrekte Erfassung der Änderung in Form eines RFCs. Hier decken sich die Anforderungen an ein Tool mit den Anforderungen aus dem Service Desk. Hier wäre es demnach auch wieder von Vorteil, wenn für diese Erfassung eine vorgegebene Maske existiert, so dass die wichtigen und wesentlichen Elemente erfasst werden müssen, um überhaupt im Programm weiterzuarbeiten. Wichtige Informationen können eine Identifikationsnummer, der Auslöser des Changes, eine Begründung für die beantragte Änderung, Datum der Beantragung und Datum der geplanten Durchführung sein. Dieses Verfahren schützt den Benutzer vor der Gefahr, wichtige Daten bei der Eingabe zu übersehen. Im weiteren Verlauf muss noch geklärt werden, ob der Antragsteller auch

122

ITIL-unterstützende Werkzeuge berechtigt ist, diesen Änderungswunsch anzubringen. Ist das nicht der Fall, wird das RFC sofort abgelehnt. Wünschenswert wäre an dieser Stelle, wenn das Programm diese Kontrolle automatisch durchführt, indem sie den Antragsteller mit den hinterlegten berechtigten Personen abgleicht und bei entsprechendem Verstoß automatisch eine E-Mail verschickt, dass diesem Änderungswunsch nicht weiter nachgegangen werden kann. Dieser wird mit der entsprechenden Begründung versehen. [Its07] Nach der Erfassung erfolgt eine Kontrolle auf eventuelle Doppelerfassung oder auch auf nicht durchführbare RFCs. Diese Änderungen sollten dann automatisch mit einer entsprechenden Begründung abgewiesen werden. Zudem werden dann auch nach der Akzeptanz des RFCs weitere Informationen hinzugefügt, wie z.B. die Beurteilung der Auswirkungen. Das geplante Datum zur Umsetzung und auch der aktuelle Bearbeitungsstatus sollte angezeigt werden. Im weiteren Verlauf wird eine Prioritätsstufe bzw. eine Kategorisierung vorgenommen. Unter Priorität wird die Dringlichkeit des Changes verstanden. Die Kategorie bestimmt sich aus der Grundlage und den Auswirkungen der Änderungen. Nach ITIL werden die Prioritäten in vier Bereiche eingeteilt. Es reicht von der höchsten, über die hohe und normale Priorität bis zur niedrigen Priorität. Die Kategorien werden eingeteilt in geringfügige, erhebliche und weitreichende Folgen. Auch hier wäre es angenehmer, wenn das Programm schon einen Vorschlag für die Kategorie bzw. Priorität macht. Dieser Vorschlag könnte auf vorhandenen RFCs aufbauen, bei denen es zum Beispiel um eine ähnliche Angelegenheit geht, oder auch um eine gleiche Dringlichkeit.

Erstellung von Zeit-/Installationsplänen und deren Implementierung: Nachdem das RFC genehmigt wurde, muss nun bedacht werden, wie umfangreich diese Änderung ist, um daraus Rückschlüsse auf die benötigte Mitarbeiteranzahl und auf die benötigten Arbeitsstundenzahlen zu ziehen. In diesem Punkt arbeitet das Change Management eng mit dem Release Management zusammen, denn dieses ist dafür verantwortlich, dass genügend Ressourcen zur Verfügung gestellt werden. Von Vorteil ist es hier auch, wenn das Change Management im permanenten Kontakt zu den anderen laufenden Projekten steht, um sich auch hier immer wieder über den aktuellen Stand zu informieren. Ein weiterer Punkt ist das Erstellen eines Backout-Verfahrens. Dieses bietet die Möglichkeit, die Änderung wieder rückgängig zu machen, wenn diese nicht das erwünschte Ergebnis liefert. Das Change Management darf ein RFC nicht ohne Backout-Verfahren genehmigen. Auch hier ist es von Vorteil, wenn das Programm einen Hinweis gibt, wenn kein Backout-Verfahren verzeichnet ist, damit es nicht zu Schwierigkeiten nach einer unzulässigen Genehmigung kommt. Freigabe der Änderung, Evaluierung und Abschluss: Nach der Freigabe durch das Change Management sollte eine Evaluierung durchgeführt werden. Dabei ist allerdings zu beachten, dass standardisierte Änderungen nicht jedes Mal evaluiert werden müssen, bzw. dies in abgeschwächter Form erfolgen kann. Wünschenswert wäre hier ein Evaluierungsprogramm, in dem man gewisse Kriterien ausfüllen muss, so dass eine Vergleichs-

Formulierung von Anforderungen entlang des Service Supports

123

möglichkeit entsteht. Letztendlich liegt es im Verantwortungsbereich des Change Managements, die Änderung einzuführen und auch zu überwachen. Voraussetzung hierfür ist eine detaillierte Dokumentation und permanente Aktualisierung. Hilfreich ist somit eine Evaluierung in Form eines geeigneten, selbstentwickelten Fragebogens, der es ermöglicht, standardisiert vorzugehen.

4.3.5

Release Management

Die umfassende Planung und Durchführung von Hard- und Softwareeinführungen findet im Release Management seine Umsetzung. Das Hauptaugenmerk des Release Managements liegt auf der Stabilhaltung der IT-Infrastruktur.[Bre07] Unter einem Release wird eine „Reihe neuer oder geänderter KonfigurationsElemente 4 , die zusammenhängend getestet und in die Produktionsumgebung überführt werden“ [Its07] verstanden. Ein Release kann dabei ein vorhandenes CI ersetzen oder aber neu sein.[Els06] Releases werden unterteilt in MajorReleases, welche erhebliche Änderungen bzw. Erweiterungen der Funktionalität zur Folge haben, in Minor-Releases, welche geringfügige Änderungen bewirken, und in Emergency Fixes, welche vorübergehend kurzfristige Änderungen vornehmen.[Its07] Es werden drei Release Arten Full-, Delta- und PackageRelease differenziert.5 Die Dokumentation der Releases erfolgt innerhalb der Definitive Software Library (DSL) und dem Definite Hardware Store (DHS). In der DSL werden alle freigegebenen Software Releases, die Masterkopien der Software, und deren zugehörige Dokumente aufgeführt. Sie sollte von den im Folgenden noch zu erläuternden Prozessen des Release Managements losgelöst sein. Im DHS sind alle Hardware Ersatzteile enthalten. Diese beiden Datenbanken stehen in Verbindung zur Configuration Management Database (CMDB), welche den Prozess von der Planung bis zur Umsetzung dokumentiert und im Configuration Management erläutert wird.[Its07] Bezüglich der Erfassung innerhalb der Datenbanken muss man sich dann neben der Identifikationsnummer für verschiedene Datenfelder entscheiden, nach denen die Inhalte der Datenbanken aufgeführt werden sollen. Zu beachten ist, dass eine eindeutige Identifikation möglich wird. So kann zwischen Releases schon durch die Anordnung der Versionsnummer unterschieden werden.6 Außerdem gilt auch im Hinblick auf die Verwendung eines Tools, dass grundsätzliche Entscheidungen für die Arbeit mit den Datenbanken getroffen werden sollten. Da stets verschiedene Personen mit diesen Datenbanken arbeiten, ist ein standardisiertes Vorgehen auch für die spätere Verwendung und Anbindung an weitere Prozesse von Nutzen. Ein einheitliches Vorgehen erleichtert im weiteren Verlauf auch den Zugriff auf die vorhandenen Informationen. Darunter fällt neben Art der Darstellung auch die Pflege der Daten, d.h. dass sie sich stets auf dem neusten Stand befinden. Eine fortlaufende Kontrolle der Datenbanken ist somit zu empfehlen, sie stehen auch im fortwährenden Austausch mit den Aktivitäten, welche im Release Prozess angesiedelt
4 Konfigurations Elemente bzw. Configuration Items werden im weiteren Verlauf der Arbeit mit dem Akronym CI abgekürzt. 5 Ein Full-Release bezeichnet dabei einen kompletten Austausch eines Releases, während bei einem Delta-Release Changes an einem einzigen Release vorgenommen werden. Ein PackageRelease wiederum ist der Austausch zusammenhängender CIs.[Els06] 6 Beispiel: Version 1.0 für ein Major Release, Version 1.1 für ein Minor Release und Version 1.1.1 für einen Emergency Fix.

welches dann für einen einheitlichen Ablauf steht. Für eine Kontrolle und Überwachung des Transports . Es muss darauf geachtet werden.124 ITIL-unterstützende Werkzeuge sind. überwachte Testumgebung und Produktionsumgebung unterteilt. Im Bereich der überwachten Testumgebung ist die Versionsprüfung und Abnahme des Realeses. also die Erarbeitung der Release-Richtlinien.[Els06] Für die Abnahme eines Releases muss dieses vorher ausführlich getestet werden. Die Aktivitäten des Release Managements sind in die Bereiche Entwicklungsumgebung. Neben den Kunden müssen natürlich auch die Mitarbeiter des Service Desk als erste Schnittstelle zum Kunden über die Änderungen informiert werden. dass die einzelnen Releases bereits nach bestimmten Kriterien gekennzeichnet werden. Produktionsumgebung. Für die Roll-Out-Planung ist der bis hierhin erstelle Release-Plan der Ausgangspunkt. ein Aktionsplan erstellt und die Vorbereitung für die Kommunikation getroffen werden. Empfehlenswert ist es hier. und einem die Möglichkeit gibt.[Els06] Im Folgenden wird näher auf die Bereiche und die darin angesiedelten Prozesse eingegangen. Die Tests erstrecken sich über Installationstests. die Planung des Roll-Out sowie die Kommunikationsvorbereitung und Schulung angesiedelt. auf grundsätzliche Anregungen einzugehen. Unzureichendes Testen gilt als die häufigste Ursache bei nicht erfolgreichen Änderungen. den aktuellen Entwicklungsstand besser nachvollziehen zu können. welche von den involvierten Mitarbeitern ausgefüllt werden müssen und an die entsprechenden Stellen weitergeleitet werden. Tests auf Anwenderfreundlichkeit. Entwicklungsumgebung. [Its07] Im Gegensatz zum Incident. Die Bearbeitung der Releases ist in jedem Unternehmen sehr spezifisch. welcher jetzt um die Implementierungspläne erweitert wird. Denkbar sind für ein derartiges Vorgehen prozessbezogene Checklisten. In der Entwicklungsumgebung findet der Release Build statt. Dies beinhaltet die Planung und Festlegung der Versionsgrundsätze. und die Erfassung der Testdaten muss für eine spätere Auswertung erfolgen. Einzeltests. aber im Sinne einer strukturierten Planung sollte ein einheitliches Vorgehen angestrebt werden. Weiterhin wird der grundlegende Entwurf. so dass die Identifikation jedes Release eindeutig möglich ist.[Its07] In dem Bereich der Kommunikationsvorbereitung und Schulung soll die Information der beteiligten Personen vorgenommen werden. die ähnlich seiner späteren ist. Dem Release Management obliegt die Überwachung der Verteilung bis hin zur Installation und Übergabe von Software und Hardware an den Nutzer. Es kann daher nur Ziel bei der weiteren Betrachtung sein. Change und Problem Management sind die konkreten Anforderungen an ein Tool innerhalb dieser Aktivitäten kaum zu formulieren. so dass diesem Bereich ein hohes Maß an Aufmerksamkeit zukommen sollte. Jetzt muss ein genauer Zeitplan für das Roll-Out entworfen. ein standardisiertes Verfahren zu entwickeln. Bei der notwendigen Vielfältigkeit dieses Tests ist auch hier eine vorherige einheitliche Planung anzuraten.[Its07] Überwachte Testumgebung. Zwar sind einige der Aktivitäten variierbar. Aufbau und die Formierung des Releases vorgenommen. am besten in einer Umgebung. so dass ein Release-Plan erstellt wird.

in welchem Stadium sich die Entwicklung gerade befindet und wann er mit einer Installation rechnen kann. alle IT-Komponenten zu dokumentieren und gesicherte Informationen über die IT-Infrastruktur allen anderen Prozessen jederzeit zur Verfügung zu stellen.[Its07] Bei der Betrachtung der Aktivitäten wird vor allem die notwendige und ständige Interaktion zwischen den verschiedenen angesprochenen Bereichen deutlich. Die einfachste Form. an den entsprechenden Stellen daran zu erinnern. indem es die Attribute. in der CMDB abspeichert.Formulierung von Anforderungen entlang des Service Supports 125 und der Auslieferung ist eine Dokumentation wünschenswert. Grundsätzlich ist anzumerken.6 Configuration Management Das Configuration Management ist zuständig für die IT-Infrastruktur. Bei der Installation wiederum ist ein einheitliches Vorgehen zu beachten. dass die Vielzahl an Prozessen. An dieser Stelle ist es ratsam. Auch das im anschließenden Kapitel betrachtete Configuration Management ist für eine erfolgreiche Einführung ein wichtiger Kooperationspartner für das Release Management. kann ein Tool hier helfen. wären Formulare. wie die Infrastruktur aussehen müsste. Damit dies möglich ist. die für eine CMDB denkbar ist. So steht das Release Management in enger Verbindung zum bereits angesprochenen Change Management. Ziel dabei ist es. muss darauf geachtet werden. dass von der Planung bis zum Roll-Out ein entsprechendes Zeitfenster zur Verfügung steht. so dass er nachvollziehen kann. Dazu werden für die Informationsbeschaffung Hardund Software Datenbanken und Softwarepakete genutzt. den Kunden einzubeziehen und zu informieren. und dass es nur durch autorisiertes Personal durchgeführt wird. Die CMDB ist vorstellbar als große Kartei. in dem sämtliche IT-Betriebsmittel registriert sind und die Beziehungen zwischen den einzelnen Karten festgehalten werden. Die Vorteile des Configuration Managements liegen darin. Das IT-Management benutzt diese Daten für Berichtsund Entscheidungsaktivitäten. welcher dem Kunden in regelmäßigen Abständen zukommt. Die CMDB unterscheidet sich von Datenbanken. nicht autorisierte CIs oder illegale Software-Kopien identifiziert werden können und sinnvolle Analysedaten geliefert werden. überwacht und kontrolliert das Configuration Management die CIs und ihre Versionen. sondern eher aufzeigt. Und zwar insofern. Dafür identifiziert. dass die Auswirkungen von Changes vollständig sichtbar werden. die mit Hilfe von Inventarisierungsprogrammen aktualisiert werden. in der beispielsweise Status-Berichte oder auch Auslieferungsbelege aufgenommen werden. Dies könnte zum Beispiel über einen Statusbericht geschehen. wenn alle Regeln inklusive der Dokumentationen beachtet werden. die zu einem CI gehören. sowie die Beziehungen zu denen es mit anderen CIs steht. 4. Damit diese Interaktion auch durchgeführt wird. welche im Release Management ablaufen. Außerdem werden durch das Vorhandensein des Configuration Managements alle anderen Prozesse unterstützt. nur durch eine angemessene Zeitspanne zu lösen sind.3.und Softwareprodukte liefert.[Its07] . um Veränderungen innerhalb der IT-Infrastruktur korrekt zu erfassen. dass sie nicht nur Informationen über die momentan aktiven Hard. Alle weiteren ITIL-Prozesse nutzen diese Daten für ihre Zwecke und sind von seinen Leistungen abhängig. Diese Informationen sollen dabei stets auf dem aktuellen Stand gehalten werden. Dies erfolgt.

[Its07] . dass Änderungen. automatisch Arbeitsplatz-PCs durchforsten. Statusüberwachung. damit alle zugehörigen Incidents. Kontrolle. die Namenskonventionen festgelegt. Die Aktivitäten des Configuration Managements umfassen im Einzelnen: [Its07] Planung. Obwohl die Daten aus dem Incident-.und Release. Dazu muss die Beschreibungstiefe der überwachten CIs definiert. Eine erste wichtige Anforderung ist. wie erwähnt. mit deren Hilfe die CIs inklusive deren Attribute verwaltet werden können.Management vorhanden sein. Es sollte jedoch keine automatischen Aktualisierungen vornehmen. Problem. Das Tool sollte so ausgewählt werden. die Prozesse innerhalb des Configuration Managements oftmals parallel ablaufen. Identifikation. sowie deren Beziehungen. sowie die Erfassung von Varianten geregelt werden. Um die Aktualität der CMDB zu gewährleisten. Unter die Identifikations-Phase fallen die Bestimmung und Pflege der Bezeichnungen und auch der Versionsnummern der einzelnen Komponenten. Für die Verwaltung sollten die Attribute und Klassen eines CIs bereits implementiert sein. um Unstimmigkeiten aufzudecken.B.126 ITIL-unterstützende Werkzeuge Der Ablauf innerhalb des Configuration Managements wird nicht immer strikt eingehalten. Zur Verifizierung der Audits könnte ein Audit Tool z. sollte dennoch eine Verknüpfung zum Change. vollständig und richtig in der CMDB erfasst worden sind. Im Rahmen der Planung des Aufbaus eines Configuration Managements wird dessen Zweck und Umfang bzw. Innerhalb der Statusüberwachung wird die Lebensdauer einer Komponente verfolgt. dass Änderungen und Erweiterungen innerhalb des Configuration Managements nicht behindert werden. Verifizierung und Audits. sondern die einzelnen Aktivitäten laufen vielmehr parallel ab. Problems und Changes ausgewiesen werden können. geänderte Konfigurationen automatisch zu erfassen und zu kontrollieren. außerdem werden Auswertungen über aktuelle und veraltete CIs erstellt. da diese Unstimmigkeiten auf eine Umgehung des Change Managements hindeuten und weiter untersucht werden müssen. sollte das Tool in der Lage sein. Da.und Change Management eigentlich nicht Bestandteil der CMDB sind. Hier erfolgt eine Pflege der Daten indem sichergestellt wird. autorisiert. dass für den Aufbau eines Configuration Managements in einem eingesetzten Tool bereits eine integrierte CMDB vorhanden ist. ob die Daten in der CMDB noch mit der aktuellen Situation übereinstimmen. Es erfolgt eine Überprüfung. werden die Anforderungen allgemein formuliert und nicht spezifisch in die einzelnen Prozessabschnitte untergliedert. die durch das Change Management erfolgt sind. die genaue Detaillierung und Priorisierung festgelegt.

Dadurch fallen keine Kosten für Lizenzgebühren an. der General Public License. Anliegen entgegennehmen und registrieren: Aufgrund des TicketSystems wird das Erfassen der Daten vereinfacht. Zum einen muss die Software in einer lesbaren und verständlichen Form vorliegen. kann es nicht Ziel dieser Arbeit sein. Vielmehr werden exemplarisch zwei verschiedene Werkzeuge näher betrachtet. Aufgrund der Datenmengen.4. Zudem können unterschiedliche Zugriffsrechte definiert werden. Basierend auf den Daten. die in einem Unternehmen eingehen. werden die Funktionen der Werkzeuge aufgeführt und exemplarisch mit den vorher herausgearbeiteten Anforderungen in Bezug gesetzt. Für das Incident Management mit dem Service Desk wird nun die weitere Betrachtung anhand der einzelnen Phasen innerhalb des Prozesses vorgenommen. minimiert. Damit eine Software als open-source bezeichnet werden darf. die dann je nach Dringlichkeit abgearbeitet werden können. Jedes noch so kleine Detail wird dokumentiert. Es besteht auch die Möglichkeit Tickets an Kollegen weiterzuleiten. sowie beliebig oft kopierbar und nutzbar sein. und diese mit zusätzlicher Information in einer separaten Mail auszustatten.[Här07] Im weiteren Verlauf soll nun herausgearbeitet werden. Dies ist zum einen das open-source Werkzeug OTRS und zum anderen das kommerzielle Werkzeug Remedy.Formulierung von Anforderungen entlang des Service Supports 127 4. Auch die erwünschte Kategorienbildung ist möglich. ob OTRS den oben genannten Anforderungen genügen kann. ist so ein Ticket-System sinnvoller als reine E-Mailkorrespondenz. Für jede Störung .1 Betrachtung ausgewählter ITIL-Werkzeuge Vorgehensweise Nachdem in dem vorherigen Kapitel Anforderungen an ein Werkzeug formuliert wurden. stellt sich die Frage. Zudem bietet die Software Schnittstellen zu vielen Betriebssystemen wie Windows oder Linux. Die Gefahr der doppelten Bearbeitung wird reduziert bzw.4 4. und kann jederzeit wieder aufgerufen werden. in die das Incident Management bereits oben untergliedert wurde. Incident Management mit Service Desk. Bmc08] 4. Da es unzählige verschiedene Werkzeuge gibt. OTRS ist lizenzfrei im Internet als Download erhältlich. Das Ticket beinhaltet alle Informationen zu einem bestimmten Kunden oder zu einem konkreten Problem. Zum anderen muss die Software verändert werden können und auch in der geänderten Form weiter verbreitet werden dürfen.2 Das Open Source-Werkzeug OTRS OTRS gilt als der bekannteste Vertreter aus dem open-source Bereich und unterliegt der GNU.[Nie07] OTRS basiert auf dem oben dargstellten Ticket-System. Denn hier können die Anfragen wie bereits erläutert miteinander in Zusammenhang gebracht werden.4. einen Vergleich aller vorhandenen Werkzeuge vorzunehmen. welche die Anbieter dieser Software auf ihrer Homepage und in den entsprechenden Handbüchern zur Verfügung stellen. Außerdem können Tickets nach Prioritäten geordnet werden. inwiefern die am Markt vorhandenen Werkzeuge diese Anforderungen auch erfüllen können. muss sie verschiedene Eigenschaften erfüllen. Es ist einfach und schnell im Unternehmen zu implementieren.[Otr08.

0/customer-newTicket. .3: Kundensicht OTRS. Es ist zu erkennen. Zudem bietet OTRS die Möglichkeit. Natürlich können die Supporter auch jederzeit den aktuellen Bearbeitungsstand an die Kunden weitergeben. dass der Kunde sich nach dem Einloggen in dem Programm selbständig über OTRS ein Ticket erstellen kann. Des Weiteren können sich die Kunden auch über den aktuellen Bearbeitungsstand ihrer eigenen Tickets informieren und auch weitere Anmerkungen eingeben.128 ITIL-unterstützende Werkzeuge oder für jede Änderung wird ein eigenes Ticket angelegt. dass die Kunden über eine entsprechende Maske im Programm Incidents und Changes selbstständig erfassen können und via E-Mail an die Supporter schicken. h. Dieses erfolgt über eine E-Mail in einer vorgegebenen Maske. oder ein Supporter an mehreren Tickets gleichzeitig. dass mehrere Mitarbeiter zeitgleich an einem Ticket arbeiten. Quelle: http://otrs. D. Diese Daten werden gespeichert und sind für alle anderen Mitarbeiter zu jeder Zeit ersichtlich. 7 Die Service-Desk Mitarbeiter werden in OTRS als Supporter bezeichnet. Es besteht natürlich auch die Möglichkeit. in der alle wesentlichen und relevanten Daten strukturiert eingegeben werden können. Diese Vorgehensweise ist in der folgenden Abbildung dargestellt: Abbildung 4.org/images/ screen-2. Aus den eingegangenen E-Mails wird automatisch ein Ticket erstellt. der Supporter muss die Daten nicht aus der E-Mail heraus in ein Ticket übertragen. Die Daten dieser E-Mail werden dann automatisch in ein Ticket übertragen. Es ist auch nicht relevant.png. Den Supportern7 steht für die telefonische Entgegennahme eine Telefon-Maske zur Verfügung. ob die Daten per Telefon oder per Mail eingehen.

In dem darunterliegenden weißen Bereich werden die Inhalte zu . Je nachdem ob es sich um ein Incident oder um einen Change handelt. In dem weißen darunterliegenden Bereich befinden sich verschiedene Icons zur Bearbeitung der Tickets. wird das weitere Vorgehen beeinflusst.0/queue.png. das Datum und die Uhrzeit angezeigt. Ebenso werden hier neu eingegangene E-Mails angezeigt. die hier jedoch nicht näher betrachtet werden sollen. wird das Anliegen entweder sofort vom Supporter bearbeitet und abgeschlossen. Dieser Vorgang wird z.Formulierung von Anforderungen entlang des Service Supports 129 sondern dies geschieht automatisch. B. Ebenso hat der Kunde über diese Funktion die Möglichkeit sich über den Bearbeitungsstand seiner bereits vorhandenen Tickets zu informieren. um den weiteren Verlauf des Telefonats zu beurteilen.org/images/ screen-2. bei einem Telefongespräch schon während der Datenaufnahme erfolgen. oder er leitet das Anliegen weiter an das Incident bzw. Klassifizierung des Anliegens: Nach der Datenerfassung werden die Anliegen klassifiziert. Abbildung 4. Nachdem die Klassifizierung erfolgt ist. Aus der Abbildung ist ersichtlich. dass diese in verschiedene Bereiche gegliedert ist. wie die Benutzeroberfläche für den Supporter von OTRS aussieht. wie der Name des Supporters. Quelle: http://otrs. In dem oberen schwarzen Balken werden allgemeine Daten. Change Management. Des Weiteren stehen dem Kunden noch weitere Anwendungen zur Verfügung.4: Benutzeroberfläche OTRS. Durch die verbesserten Kommunikationsmöglichkeiten können Prozesse wie Incidents oder Changes schneller und effizienter weitergeleitet werden. In der folgenden Abbildung ist zu erkennen.

Wenn diese Daten hinterlegt sind. Diese Vereinfachung kann für alle bekannten und leicht korrigierbaren Incidents Anwendung finden. Im Folgenden werden die oben formulierten Anforderungen an ein Tool im Rahmen des Problem Managements mit den angebotenen Funktionen von OTRS verglichen. Dadurch ist es den Mitarbeitern im Service Desk möglich. leichtere. Eine weitere Bearbeitung des Tickets ist dann jedoch nicht mehr möglich. und kann jederzeit wieder gelesen werden. Hier werden die einzelnen Phasen. Viele Anliegen können schon vorab vom First-Level-Support geklärt werden. ohne dass ein Mitarbeiter sich dieser E-Mail widmet. Des Weiteren erfolgt eine kundenfreundlichere Abwicklung. sondern. gehen im Problem Management die Störungen ein. Problem Management. die innerhalb der Problem-Control. Abschluss und Speicherung des Lösungsweges in der Datenbank: Nachdem die Störung behoben ist. um zu überprüfen. Unter anderem die Priorität und der Bearbeitungsstatus.130 ITIL-unterstützende Werkzeuge dem aktuell geöffneten Ticket angezeigt. der Error Control und des Proactive Problem Managements ablaufen. Es besteht die Möglichkeit. ob der Fehler behoben oder ein Änderungswunsch umgesetzt wurde. Diese Vereinfachung ist nur bei Standard-Anliegen möglich. für die das Incident Management keine Ursache feststellen konnte und die somit als Problem klassifiziert werden. wie die Historiefunktion. und dann entsprechend der Vorgabe einem Ticket oder einer Störung zuordnen. weil die Wartezeiten sich nicht so lange hinziehen. dass vorformulierte E-Mails automatisch auf eine bestimmte Anfrage hin versendet werden. Tickets zu einem bestimmten Event wieder aufzurufen. integrierte Datenbank können alle Supporter auf das gespeicherte Wissen zugreifen. Bei Bedarf muss dann ein neues Ticket angelegt werden. Wie bereits beschrieben. Auf der rechten Seite der Maske befinden sich weitere Angaben zu dem Ticket. Diese werden wieder als Ticket innerhalb des Systems weitergeleitet. die Mitarbeiterzufriedenheit steigt. Des Weiteren gibt es die Möglichkeit. jedoch nicht separat. Dadurch wird eine Entlastung der Mitarbeiter hervorgerufen. Dadurch gerät kein Ticket in Vergessenheit. Die hier . um Überschneidungen zu vermeiden. gibt es bei OTRS auch eine Wiedervorlagemöglichkeit. Interessant ist diese Funktion zum Beispiel nach einem Update. sich mit wesentlichen und schwierigeren Anliegen zu befassen und auch schneller und konkreter auf Kundenwünsche einzugehen. kann OTRS durch eine Schlagwortsuche eingehende E-Mails durchsuchen. Dieser Automatisierungsvorgang entlastet die Mitarbeiter und ermöglicht es den Supportern. häufig auftretende Störungen schneller und kundenfreundlicher zu bearbeiten. Bearbeitung von Störungen: Durch die gespeicherte. zusammengefasst betrachtet. Im unteren Bereich der Maske werden Funktionen. Es wird in der Datenbank abgelegt. zu dem Ticket dargestellt. welches mit dem bestehenden dann verknüpft werden kann. Was genau ein Standard-Anliegen ausmacht kann innerhalb der Software definiert werden. Kann ein Incident oder ein Änderungswunsch nicht sofort erledigt werden. und es benötigt keine Rücksprache mit den anderen Levels. wird das Ticket geschlossen.

OTRS bietet zurzeit noch nicht die Möglichkeit das Change Management zu implementieren. dass die RFCs über den in OTRS vorhandenen Service Desk erfasst werden können. aktuellen und zukünftigen CI-Status. Auch hier bietet OTRS noch nicht die Möglichkeit das Release Management umzusetzen. Um proaktiv Störungen im Vorfeld verhindern zu können. das Configuration Management umzusetzen. um von den Trends innerhalb der Tickets auf mögliche Schwachstellen schließen zu können. Darin sind alle aktuellen und historischen Problemlösungen dokumentiert und können somit zur Klärung des Problems beitragen. Bei OTRS ist mit dem Vorhandensein einer integrierten CMDB die Möglichkeit gegeben. sowie bei der Klassifizierung von Problemen. Problem und Change Management be- . die Daten strukturiert erfassen zu können.Formulierung von Anforderungen entlang des Service Supports 131 eingegangenen Probleme lassen sich nicht so einfach klären oder beseitigen. Außerdem bietet OTRS eine Möglichkeit zum Management der historischen. die Möglichkeit Ticket-Trendanalysen durchführen zu können. Die anderen ITIL. die CIs den verschiedenen Klassen.Prozesse können integriert werden. nämlich Computer. Des Weiteren beinhaltet das OTRS-Tool eine gezielte. Dabei werden alle relevanten Informationen zur Verfügung gestellt. um Zeit zu sparen und eine vollständige Übermittlung der Informationen zu gewährleisten. ständig auf vorhandenes Lösungswissen in der Wissensdatenbank zugreifen zu können. dass ein Tool in der Lage sein sollte. Somit lässt sich ermitteln. die im Rahmen der Statusüberwachung bei Problem-Diagnosen oder geplanten Changes hilfreich sein können. sowie ihre gegenseitigen Beziehungen und Abhängigkeiten erfasst und verwaltet werden. Dabei ist es bei OTRS möglich. der RFCs wird jedoch von OTRS nicht unterstützt. Alle Konfigurationsänderungen an CMDB-Daten werden durch das OTRS-Tool protokolliert. bietet OTRS u. als auch aus allen weiteren ITIL-Prozessen. Netze zuzuordnen. womit eine Verknüpfung zum Incident. automatische Benachrichtigung über den Problemlösungsfortschritt an die betroffenen Anwender. Configuration Management. Die weitere Vorgehensweise bzgl. Release Management. Für eine tiefgehende Analyse der Probleme oder Fehler bietet OTRS die Möglichkeit. a. Mit Hilfe von OTRS kann die Anforderung umgesetzt werden. Mit Hilfe der CMDB können die CIs. Die Priorisierung dient hier als Grundlage der Ressourcenzuteilung. Hardware. Anzumerken ist. Auch Änderungen der Attribute der CIs können vorgenommen werden. sowohl aus dem Bereich des Problem Management. oder führen zu dauerhaften Ausfällen. OTRS bietet durchgängige Unterstützung bei der Problemidentifizierung und -erfassung. Diese können durch ein chronologisches Life-Cycle-Management für die CIs verwaltet werden. Die Lösungsentwicklung kann jederzeit von allen anderen Anwendern angeschaut werden und alle können jederzeit an dem Problem arbeiten. Des Weiteren kann durch den Einsatz von OTRS die IT-Infrastruktur virtualisiert abgebildet werden. ob ein ähnliches Problem bereits bekannt ist und ob dafür schon eine Lösung gefunden wurde. wodurch die Probleme an die entsprechenden Experten weitergeleitet werden. Change Management. Software.

wie die strukturierte Erfassung und Verwaltung der Daten. die von BMC Software Inc. wie es bei frei zugänglichen open-source Lösungen eher vorzufinden ist. welche in diesem Werkzeug implementiert ist. Remedy bietet eine Lösung an. erfüllt. Die beiden Prozesse Change und Release Management werden gar nicht unterstützt. dass die Informationspolitik eines kommerziellen Tools eine andere als bei einem Opensource Tool ist. Der Aufbau und der vorgegebene Ablauf von OTRS bieten die Möglichkeit der Verknüpfung der einzelnen Bereiche.132 ITIL-unterstützende Werkzeuge steht und damit alle zugehörigen Incidents. dass es nur einige der von ITIL genannten Prozesse aus dem Bereich Service Support abbildet. Abschließend lässt sich zu OTRS festhalten. Da OTRS auf einem Ticket-System basiert. Texas.3 Das kommerzielle Werkzeug Remedy Remedy ist eine kommerzielle Software. werden die grundlegenden Anforderungen. Für die weitere Betrachtung werden hauptsächlich die Informationen von der Webseite des Unternehmens verwendet. da aber dieses Modul nicht Bestandteil der Prozesse des Service Supports ist. wird es in dieser Arbeit nicht weiter betrachtet 8 Die Firma hat ihren Hauptsitz in Houston. so dass eine prozessübergreifende Kommunikation und ein permanenter Datenzugriff ermöglicht wird. deckt es hauptsächlich die Prozesse des Incident Managements in Verbindung mit dem Service Desk sowie das Problem Management ab. Die Beschreibung der Funktionen erfolgt jedoch nicht zu konkret. der den Service Desk.4. die flexibel miteinander kombiniert werden können: • Remedy Help Desk. So werden die Vorteile von Remedy besonders herausgestellt. Durch die übersichtliche Oberfläche von OTRS. Anzumerken ist in diesem Zusammenhang. welches das Configuration Management in das Remedy IT Service Management implementiert • Remedy Change Management. die individuell auf das jeweilige Unternehmen abgestimmt wird. Problems und Changes mit einbezogen werden können. Es besteht aus den vier folgenden Modulen. 4. so dass für diese keine Informationen auf der Homepage bereitgestellt werden und eine Überprüfung der aufgestellten Anforderungen nicht durchgeführt werden konnte. Die Grundanforderungen für die Umsetzung des Configuration Managements ist das Vorhandensein einer integrierten CMDB. das Incident Management sowie das Problem Management umfasst • Remedy Asset Management. mit dem der ITIL-Prozess des Change Managements unterstützt wird • Remedy Service Level Agreements. Aus diesem Grund werden auch hier die meisten im Rahmen dieser Projektarbeit genannten Anforderungen beachtet. sowie zahlreiche Tochterfirmen weltweit. Das Configuration Management wird durch die Software wiederum abgedeckt. Dazu offeriert Remedy das Baukastensystem Remedy IT Service Management.8 entwickelt wurde und seitdem von dem Unternehmen vertrieben wird. . Zusammenfassung.

B. so stehen sie dann miteinander in Beziehung und sind damit verknüpft.und Produktivitätssteigerung des Services Supports. durch die automatisierte Weiterleitung der Tickets an die relevanten Support-Bereiche zeigt. Der Remedy Help Desk ist an dem bereits angesprochen Prozessablauf des Incident Managements ausgerichtet. den Ablauf innerhalb der einzelnen Prozesse detailliert zu betrachten. Incident Management mit Service Desk. der sich u. durch das die Probleme nun weiter beschrieben und klassifiziert werden können. Der Mitarbeiter des Remedy Help Desk wird dahingehend unterstützt. Da in diesem Modul ebenfalls die Umsetzung des Incident Managements enthalten ist wird sichergestellt. die Priorität und den Status des vorliegenden Problems zu erfassen. Für den ersten Schritt. die nach den Informationen der Homepage. dass das Problem Management auf die zuvor im Incident Management aufgenommenen Daten zugreifen kann. diese dann an den Kunden weitergeben. Auch bei diesem Werkzeug wird nun untersucht. So bietet das Tool von Remedy entlang des Ablaufs verschiedene Möglichkeiten. der Abgrenzung und der Reichweite des Incidents an. E-Mail. ist es möglich. Grundsätzlich wird dabei ein hoher Automatisierungsgrad betont. erfolgt eine Weiterleitung an Spezialisten.a. Wenn sie von einem Unternehmen eingesetzt werden. welche allgemeine Lösungen und auch Lösungen für bereits bekannte Fehler zur Bearbeitung der Anliegen zur Verfügung stellt. als auch die Kunden unterstützen sollen. Mit dem Remedy Help Desk wird die Schnittstelle zur Kommunikation zwischen Kunden und Unternehmen geboten. die Aufnahme und Klassifizierung des Anliegens. Die Mitarbeiter können diese integrierte Datenbank durchsuchen und falls eine Lösung vorhanden ist. Vor allem die angesprochene Automatisierung und die Vereinfachung der Support-Prozesse sind Eigenschaften. Telefon) aufzunehmen und ein Ticket zu erzeugen. als Pluspunkte für dieses Tool zu sehen sind. die Dringlichkeit. Problem Management. Ausgangspunkt ist die Aufnahme der Service Requests. dass eine automatische Weiterleitung des Tickets an den zuständigen Support-Bereich erfolgt. den Status „seines“ Requests abfragen und kann sich so über den Status quo der Bearbeitung informieren. Weitere Informationen zum Remedy Help Desk liefert auch die Betrachtung des Problem Managements. um die Auswirkungen. Die Umsetzng des Problem Managements erfolgt bei Remedy auch innerhalb des Moduls Remedy Help Desk. Des Weiteren ist für das Problem Management ein separates Klassifikationssystem enthalten. ist das Programm in der . Der Kunde kann bspw. inwiefern die Software Remedy den aufgestellten Forderungen genügen kann. Des Weiteren wird die Datenbank angeführt. Diese Klassifikation ist wichtig. Aufgrund der angesprochenen Informationsproblematik ist es im weiteren Verlauf nicht möglich. Wird keine Lösung gefunden.Formulierung von Anforderungen entlang des Service Supports 133 Diese Bausteine sind unabhängig voneinander. Das Incident Management ist in Verbindung mit dem Service Desk innerhalb dem Remedy Help Desk angesiedelt. Um im Folgenden die einem Problem zugrunde liegenden Ursachen ausfindig zu machen. so dass die einzelnen Prozesse insgesamt betrachtet werden. Remedy bietet ein System für die Klassifizierung bzgl. der Priorität. das Anliegen über verschiedene Kommunikationsmöglichkeiten (z. welche sowohl Mitarbeiter des Unternehmens hinsichtlich einer Effizienz.

dass eine Klassifizierung hinsichtlich der Akzeptanz. Evaluierung und Abschluss: Die Software bietet zudem Kontrollmöglichkeiten bezogen auf die Auswirkungen. Hierfür bietet diese Software grundlegend die Möglichkeit jederzeit mit anderen Abteilungen in Kontakt zu treten und gemeinsam über die Ziele. Remedy Change Management unterstützt die Arbeit dahingehend. werden benachrichtigt und können sich somit darauf einstellen.134 ITIL-unterstützende Werkzeuge Lage. die durch diese Änderung betroffen sind. das aufgenommene Problem automatisch auf Übereinstimmungen mit bereits vorhandenen Incidents. Da alle Schritte dokumentiert werden. die Gültigkeit sowie die Auswirkungen einer Änderung zu kommunizieren. dass die Auswirkungen einer Änderung oftmals nicht vollständig vorhersehbar sind. Außerdem ist diese Dokumentation hilfreich. Kontrolle und Speicherung in der Datenbank: Eine erste Anforderung war die ordnungsgemäße Erfassung der Tickets. Aus diesem Grund ist eine genannte Anforderung an das Werkzeug. Diese Möglichkeit bietet Remedy Change Management. ist es möglich den Analyseprozess neuer Probleme weiter zu unterstützen. ist somit auch für die notwendige Kommunikation und Zusammenarbeit zwischen den Prozessen gesorgt. um alle betroffenen Anwendergruppen über den aktuellen Stand informieren zu können. Zudem bietet es einen Automatismus bzgl. Kunden. Der Vorteil ist hier das Vorhandensein einer CMDB. Dadurch können die Gefahren wie die eines Ausfalls oder sonstige Unannehmlichkeiten minimiert werden. Das Ticket kann durch das ganze System hindurch verfolgt werden und jederzeit aufgerufen und weiterbearbeitet werden. Um jedoch schon im Vorfeld das Risiko einer negativen Auswirkung gering zu halten. Remedy IT Service Management bietet für diesen Bereich eine Unterstützung an. des Genehmigungsverfahrens. die Kosten. Change Management. Ein Restrisiko bleibt stets vorhanden. Problemen und Known-Errors zu überprüfen. Erstellung von Zeit-/Installationsplänen und deren Implementierung: Im Rahmen der Implementierung muss bedacht werden. Im Folgenden sollen die genannten Forderungen im Einzelnen durchgegangen werden: Erfassung des RFCs. Dieses gilt es jedoch zu minimieren. Freigabe der Änderung. Remedy Change . die einen Überblick über die vorhandenen CIs gibt und somit als Hilfsmittel bei der Fehlersuche eingesetzt werden kann. Für das Modul Remedy Change Management wird genügend Information geboten. der Module Remedy Asset Management und Remedy Change Management durch Remedy möglich ist. kann mit Remedy dieses Szenario durchgespielt werden. B. sodass es hier möglich ist. um auch die anderen Prozesse über den aktuellen Stand und über die Lösungen der Probleme zu informieren. die Ressourcen sowie die Risiken. dass ein vorhandenes Backout-Verfahren vor der Implementierung zugrunde liegen muss. Gleichzeitig werden Audits erstellt. Die Probleme werden mit Hilfe des Programms über die verschiedenen Stufen innerhalb des Problem Management Prozesses verfolgt und überwacht. der Erfassung sowie der Speicherung vorgenommen wird. eine detailliertere Vorgehensweise vorzunehmen. Das Ergebnis kann wiederum als Grundlage für weitere Änderungen verwendet werden. Da eine Anbindung an die anderen Prozesse durch den kombinierten Einsatz z.

enthält Remedy zusätzlich die Möglichkeit Autoritätsüberprüfungen oder Namensübereinstimmungen durchzuführen. Nach erfolgter Genehmigung wird die Bestellung durch das Programm automatisch generiert. Durch diese Überwachung der einzelnen CIs ist es möglich. Zusammenfassung. Das Configuration Management wird durch das Remedy Asset Management unterstützt. Durch eine Verknüpfung mit den Modulen Remedy Help Desk und dem Remedy Change Management. als Beispiel sei das in diesem Werkzeug vorhandene Backout-Verfahren erwähnt.9 Als Ausgangspunkt für die Umsetzung des Configuration Managements verfügt Remedy über eine integrierte CMDB. So umfasst der Remedy Help Desk das Incident Management in Verbindung mit dem Service Desk und das Problem Management. Remedy hebt nicht explizit eine Umsetzung des Release Managements hervor. Auch der Remedy Help Desk basiert auf einem Ticket-System. kann jederzeit der Bestand prozessübergreifend geprüft und Bedarfsmeldungen an die anderen Prozesse geben werden. Der Zugriff darauf ist prozessübergreifend möglich. Des Weiteren besteht mit Remedy die Möglichkeit für verschiedene Personen oder Abteilungen Standardkonfigurationen zu definieren. Configuration Management. 9 Für die Assets wurde bisher die Bezeichnung CIs verwendet . sondern stellt auch die Software für die anschließende Evaluierung zur Verfügung. so dass hier keine Überprüfung von Anforderungen möglich war. So ist darin auch eine Erstellung von Zeitplänen für die Wartung und Prüfungen möglich. um einen Ausfall der Komponenten im Vorfeld zu verhindern.Formulierung von Anforderungen entlang des Service Supports 135 Management bietet zudem nicht nur die Möglichkeit zur Ablaufplanung und Aufgabenzuweisung. veraltete Soft. Durch das Modul Remedy Change Management erfolgt eine Umsetzung des Change Managements. Auf eine Umsetzung des Release Managements wird nicht näher eingegangen. Darin werden alle CIs sowie deren Beziehungen gespeichert. wodurch die aufgestellten Anforderungen nach einer organisierten Erfassung und Verarbeitung der Daten umgesetzt werden. Release Management. welches im Remedy Asset Management enthalten ist.und Hardware zu erneuern und damit Unstimmigkeiten zwischen der Datenbank und den tatsächlichen CIs aufzufinden. Um die Sicherheit und Vollständigkeit der Daten zu gewährleisten. dass mehrere der von ITIL genannten Prozesse im Service Support umsetzt werden. Die oben erarbeiteten Anforderungen für diesen Prozess werden dabei im Wesentlichen umgesetzt. können die CIs während ihrer gesamten Dauer innerhalb des Unternehmens verfolgt und überwacht werden. Dies behandelt die Verwaltung der Assets (IT-Anlagegüter). um die Quellen verschiedener Probleme möglichst schnell ausfindig zu machen. Im Rahmen der Funktion des Lifecycle Asset Management. Auch die genannten Anforderungen an das Configuration Management werden weitestgehend durch das Modul Remedy Asset Management umgesetzt. Hierbei kann aus vorgegebenen Standardkonfigurationen gewählt werden. Für Remedy lässt sich festhalten. damit die vorgegebenen Konfigurationen auch eingehalten werden.

die Aktualisierung der Datenbanken nicht vernachlässigen. ob unterstützende Werkzeuge verwendet werden sollen oder nicht. wenn die Menschen sie auch benutzen und bspw. der Erfolg ist aber natürlich zum Großteil von der Fähigkeit des Menschen abhängig. dass allein der Einsatz eines Tools bereits zu einer erfolgreichen ITIL-Umsetzung führt. Die Betrachtung von Anforderungen innerhalb der Prozesse im Service Support hat aufgezeigt. dass es innerhalb von ITIL freigestellt ist.136 ITIL-unterstützende Werkzeuge 4. h. Im Rahmen dieser Arbeit war es das Ziel. Diese lassen sich folgendermaßen zusammenfassen: • Möglichkeit zur strukturierten Erfassung von Daten • Verwaltung der Daten innerhalb von entsprechenden Datenbanken • Permanenter Informationszugriff für die Anwendergruppen • Erleichterung der prozessübergreifenden Kommunikation und Information Am Markt gibt es verschiedene Werkzeuge von denen OTRS und Remedy in Kapitel 4. So ist die Nutzung einer noch so strukturierten Datenbank nur dann erfolgreich. dass die Programme einige Prozesse bereits umsetzen und somit den aufgestellten Anforderungen teilweise genügen. Anforderungen an ein ITIL-unterstützendes Werkzeug herauszuarbeiten. dass verschiedene Punkte wiederholt auftreten. Die Grundsätze von ITIL sind auch mit jeglichen Mitteln umsetzbar. Anhand dieser beiden ließ sich exemplarisch aufzeigen. es ist ein Irrtum zu glauben. D. Damit stellte sich die Frage. So gilt auch hier: „a fool with a tool is still a fool“.5 Fazit Abschließend lässt sich sagen. . Dennoch kann der Einsatz eines Tools zur Effizienzsteigerung und damit auch zu Zeiteinsparungen führen. was ITIL-unterstützende Werkzeuge leisten sollten.4 näher betrachtet wurden. im einfachsten Fall sogar mit Papier und Bleistift. Die Werkzeuge können unterstützend wirken.

Datum der Abfrage: 06.07.pdf. Auflage. und Lizenzgeber. Elsässer. Dissertation München 2007. Datum der Abfrage: 18.01. Seite 95-104. M. 2. Müller e. Auflage. URL: http://www. mnm-team. K.hu-berlin. Fischlin.infoworld.org/pub/Diplomarbeiten/haer07/ PDF-Version/haer07.: Taking a page from ITIL’s best practices. Basierend auf ITIL.12. Datum der Abfrage: 18. [Nie07] Niestermann.: Service Management-Lösungen für KMU.12.Literaturverzeichnis [Bre07] Brenner. R. 2006. [Cla] [Els06] [Fis06] [Här07] [Its07] [Mar04] Margulius. Härtl.pdf. Clauss. C. ITIL-unterstützende Service Management Tools. URL: http://edoc.: Werkzeugunterstützung für ITIL-orientiertes Dienstmanagement: Ein modellbasierter Ansatz. URL: http://www.: ITIL Einführung und Umsetzen: Leitfaden für effizientes IT-Management durch Prozessorientierung. 137 .01. Fraunhofer Institut für Informations.pdf. Van Haren Publishing.07. D. Verlag Dr.08. 1. M. Datum der Abfrage:04. Ludwig-Maximilians-Universität München.de/conferences/dfn2006/ fischlin-roger-105/PDF/fischlin. Zaltbommel 2007. Hanser Verlag.07. URL: http://www.08. Diplomarbeit am Institut für Informatik 26. M.07.com/article/04/09/24/39FEitil_1.mnm-team. W.: Konzeption und Unterstützung der technischen Unterstützung eines zentralen IT-Service-Desk mit OTRS an der TUM.L. Fortgeschrittenenpraktikum am Institut für Informatik.org/pub/Fopras/clau06/PDF-Version/clau06. Saarbrücken 2007.: Leitfaden ITIL-Service Desk. Network Operation Center NOC. DFN Tagungsband 2006.html.und Datenverarbeitung. Ludwig-Maximilians-Universität München.: Beispielhafte Evaluierung der Anpassbarkeit von OTRS an Prozesse im IT Service Management am LRZ. itSMF-NL: Foundations in IT Service Management.

otrs.138 [Otr08] ITIL-unterstützende Werkzeuge OTRS AG .pdf. Datum der Abfrage: 26.08.Remedy Service Management is now on BMC.com/remedy/.08.02. Pfleger. [Pfl05] [Bmc08] BMC Software Inc. Diplomarbeit am Institut für Informatik.Consulting. Datum der Abfrage: 03. B.com/de.lmu. URL: http://www. Software Development.01.com. Ludwig-Maximilians-Universität München.: Evaluierung von Werkzeugen zur Unterstützung der ITIL Service Management Prozesse.de/pub/Diplomarbeiten/pfle05/ PDF-Version/pfle05.bmc.nm. Datum der Abfrage: 04.ifi.02. URL: http://www. . URL: http://www. .08. Support und Training rund um OTRS.

Sign up to vote on this title
UsefulNot useful