No-Code-Plattformen ermöglichen es den Fachabteilungen in Ihrem Unternehmen, digitale Anwendungen selbst zu entwickeln, ohne für jedes Projekt auf klassische Softwareentwicklung angewiesen zu sein. Diese Freiheit kann ohne verbindliche Struktur jedoch schnell zu Schatten-IT, Sicherheitslücken und Compliance-Risiken führen. Eine durchdachte No-Code Governance schafft deshalb einen Rahmen, in dem Ihre Mitarbeiter eigenständig arbeiten können und sensible Daten, Zugriffsrechte sowie kritische Prozesse dennoch abgesichert bleiben.

No-Code Governance bezeichnet die organisatorischen und technischen Regeln, mit denen Sie den Einsatz von No-Code-Plattformen in Ihrem Unternehmen steuern. Sie legen fest, welche Plattformen zugelassen sind, wie Anwendungen entwickelt und freigegeben werden und welche Sicherheitsanforderungen dabei gelten. Ziel ist es, Ihren Fachabteilungen eigenständiges Arbeiten zu ermöglichen und gleichzeitig einen kontrollierten, nachvollziehbaren Einsatz der Anwendungen sicherzustellen.

Dabei müssen Sie mehrere Bereiche zusammenbringen. Mit der IT Governance schaffen Sie den übergeordneten Rahmen für den Einsatz Ihrer IT-Systeme. Die IT Security schützt Daten, Anwendungen und Infrastruktur. Über die IT Compliance stellen Sie sicher, dass Sie interne und externe Vorgaben einhalten. Auch die Data Governance spielt eine wichtige Rolle, wenn Sie festlegen, wie Ihre Mitarbeiter Daten speichern, nutzen und weitergeben dürfen.

Zwei Menschen in weißer Kleidung halten Glasscheiben wie technische Geräte in einem lila Licht.

No-Code macht die Entwicklung von Anwendungen deutlich zugänglicher. Genau darin liegt jedoch auch ein Risiko. Wo Mitarbeiter digitale Lösungen unabhängig von der IT aufsetzen können, entstehen schnell Strukturen, über die das Unternehmen kaum noch einen vollständigen Überblick hat.

Wenn eine Fachabteilung kurzfristig eine Lösung für einen neuen Prozess braucht, wirkt ein schnell eingerichtetes Tool zunächst praktisch. Nutzen jedoch mehrere Teams immer mehr Anwendungen auf eigene Faust und speichern darin sensible Daten, verlieren Sie schnell den Überblick.

Für Ihre IT wird dann schwer nachvollziehbar, welche Plattformen im Einsatz sind, wo Informationen liegen und wer die Verantwortung für einzelne Anwendungen trägt. So entstehen nicht nur Schatten-IT, sondern häufig auch Daten-Silos, weil sich Informationen auf verschiedene Systeme verteilen.

Mit einer wirksamen No-Code Governance schaffen Sie Transparenz über die eingesetzten Plattformen und Anwendungen. Ein zentrales Verzeichnis hilft Ihnen dabei, bestehende Lösungen zu erfassen und unkontrollierte Einzellösungen frühzeitig zu erkennen.

Auch bei einer freigegebenen Plattform beeinflussen Sie die IT-Sicherheit maßgeblich über die Zugriffsrechte. Können Mitarbeiter mehr Daten sehen oder bearbeiten als für ihre Aufgaben nötig, erhöhen Sie damit unnötig das Risiko.

Mit einem Rechte- und Rollenkonzept legen Sie fest, welche Nutzer auf bestimmte Anwendungen und Informationen zugreifen dürfen. Das Least-Privilege-Prinzip bietet Ihnen dafür eine klare Orientierung: Sie vergeben nur die Berechtigungen, die ein Nutzer für seine Aufgaben tatsächlich braucht.

Mit zunehmender Vernetzung sollten Sie außerdem API-Schnittstellen und externe Dienste im Blick behalten. Auch eine intern sicher konfigurierte Anwendung kann Risiken erzeugen, wenn sie Daten automatisiert an Drittanbieter überträgt. Deshalb sollten Sie Cloud Security und die Kontrolle solcher Verbindungen fest in Ihre IT Security einbinden.

Mauszeiger hovert über dem Wort Security.

Compliance- und Datenschutzrisiken #

Besondere Sorgfalt ist erforderlich, wenn Ihre Anwendungen personenbezogene oder andere sensible Informationen verarbeiten. Sie müssen nachvollziehen können, welche Daten gespeichert werden, welchem Zweck sie dienen und an welche Systeme sie weitergegeben werden.

Dabei geht es nicht nur um die DSGVO-Konformität. Je nach Branche und Unternehmensstruktur müssen Sie zusätzlich interne Vorgaben, branchenspezifische Regelwerke oder Standards wie ISO 27001 berücksichtigen. Fehlt eine saubere Dokumentation, erschwert Ihnen das nicht nur die IT Compliance, sondern auch die spätere Aufarbeitung von Sicherheitsvorfällen oder fehlerhaften Änderungen. Legen Sie deshalb bereits bei der Planung einer Anwendung fest, welche Daten verarbeitet werden dürfen und welche Schutzmaßnahmen erforderlich sind.

Damit Sie Citizen Development in Ihrem Unternehmen sicher skalieren können, brauchen Sie nachvollziehbare Strukturen. Diese sollten Ihren Mitarbeitern im Arbeitsalltag Orientierung geben, ohne unnötigen Verwaltungsaufwand zu verursachen.

Legen Sie fest, wer für die Entwicklung, Prüfung und Betreuung Ihrer No-Code-Anwendungen verantwortlich ist. Citizen Developer können beispielsweise Anwendungen erstellen und pflegen, während Fachverantwortliche die fachlichen Anforderungen beurteilen. Ihre IT-Administratoren kümmern sich um die technischen Rahmenbedingungen. Bei Anwendungen mit erhöhtem Schutzbedarf sollten Sie zusätzlich zuständige Personen aus der IT Security oder IT Compliance einbeziehen.

Dokumentieren Sie die Zuständigkeiten für jede produktive Anwendung. So wissen Ihre Mitarbeiter, an wen sie sich bei Änderungen, technischen Problemen oder Sicherheitsfragen wenden können.

Berücksichtigen Sie außerdem personelle Veränderungen. Wenn Mitarbeiter Ihr Unternehmen verlassen oder die Abteilung wechseln, muss die Verantwortung für ihre Anwendungen an eine andere Person übergehen. Legen Sie dafür einen verbindlichen Übergabeprozess fest, damit wichtige Anwendungen nicht von einzelnen Mitarbeitern abhängig bleiben.

Mann arbeitet an einem Computer, der auf einem Schreibtisch steht.

Nicht jede No-Code-Anwendung stellt dieselben Anforderungen an Ihre IT-Sicherheit. Eine einfache interne Aufgabenliste benötigt deutlich weniger Kontrolle als eine Anwendung, mit der Sie personenbezogene Kundendaten oder geschäftskritische Prozesse verwalten.

Klassifizieren Sie Ihre Anwendungen deshalb anhand ihres Risikos und des jeweiligen Schutzbedarfs. Berücksichtigen Sie dabei unter anderem die Art der verarbeiteten Daten, die Auswirkungen möglicher Fehler und die angebundenen Systeme. Auf dieser Grundlage legen Sie fest, welche Sicherheitsanforderungen gelten und welche Stellen Sie in die Prüfung einbeziehen. So richten Sie Ihre Kontrollen am tatsächlichen Risiko aus und setzen Ihre Ressourcen gezielt dort ein, wo sie besonders wichtig sind.

Mit einem durchdachten Rechte- und Rollenkonzept verhindern Sie, dass Mitarbeiter Zugriff auf Daten erhalten, die sie für ihre Aufgaben nicht benötigen. Vergeben Sie Berechtigungen deshalb möglichst granular und überprüfen Sie diese regelmäßig.

Achten Sie darauf, Zugriffsrechte nicht nur beim Aufbau einer Anwendung festzulegen. Teams verändern sich, Mitarbeiter übernehmen neue Aufgaben und zusätzliche Funktionen erweitern bestehende Anwendungen. Prüfen Sie deshalb regelmäßig, ob die vergebenen Rechte noch zum aktuellen Prozess passen. Mit einer zentralen Access Control behalten Sie den Überblick und können ein einheitliches IT-Sicherheitsniveau leichter aufrechterhalten.

Holzfiguren, die eine Hierarchie darstellen.

Sie müssen Sicherheitsprüfungen nicht für jede Anwendung neu entwickeln. Mit standardisierten IT Security Prozessen schaffen Sie einen festen Ablauf für wiederkehrende Prüfungen. Je nach Anwendungsfall sollten Sie dabei unter anderem folgende Punkte berücksichtigen:

  • die Prüfung verarbeiteter Daten und ihres Schutzbedarfs
  • die Kontrolle von Zugriffsrechten und Rollen
  • die Bewertung angebundener Systeme und API-Schnittstellen
  • die Absicherung der Authentifizierung
  • die sichere Datenspeicherung
  • die Planung von Backups und Wiederherstellungsverfahren

Übertragen Sie dafür Ihre bestehenden IT-Sicherheitsrichtlinien auf den Einsatz von No-Code-Anwendungen. Einheitliche Prüfungen und regelmäßige Reviews geben Ihren Fachabteilungen Orientierung und reduzieren gleichzeitig den Abstimmungsaufwand für Ihre IT Security.

Die Einführung einer No-Code Governance erfordert mehr als die Festlegung verbindlicher Regeln. Unternehmen müssen die Vorgaben in bestehende Arbeitsabläufe integrieren und dafür sorgen, dass die beteiligten Teams sie im Alltag anwenden. Dabei entstehen häufig mehrere Herausforderungen:

  • begrenzte personelle und zeitliche IT-Ressourcen für Prüfungen und Kontrollen
  • schnelle Veränderungen der eingesetzten No-Code-Plattformen
  • unterschiedliche Anforderungen und Arbeitsweisen der Fachabteilungen
  • fehlende Akzeptanz für zusätzliche Vorgaben

Besonders wichtig ist es, die Regeln verständlich und praktikabel zu gestalten. Sind die Vorgaben zu kompliziert oder mit hohem Aufwand verbunden, sinkt die Bereitschaft Ihrer Mitarbeiter, sie konsequent einzuhalten. Damit begünstigen Sie genau die Schatten-IT, die Sie eigentlich vermeiden möchten. Deshalb sollten Sie die betroffenen Fachabteilungen frühzeitig einbeziehen und die Governance-Prozesse an ihren tatsächlichen Arbeitsabläufen ausrichten.

Mensch strukturiert den Aufbau eines Tools auf einem Papier.

Am besten integrieren Sie Ihre Governance-Vorgaben direkt in den gesamten Anwendungsprozess. Warten Sie nicht bis kurz vor Freigabe einer Anwendung. Legen Sie bereits zu Beginn fest, welche Anforderungen während der Entwicklung, Prüfung, Nutzung und späteren Abschaltung gelten.

Schritt 1: Entwicklung

Geben Sie Ihren Citizen Developern bereits während der Entwicklung einen klaren Rahmen vor. Dazu gehört beispielsweise, dass sie ausschließlich freigegebene Plattformen und zugelassene Datenquellen nutzen.

Formulieren Sie Ihre IT-Sicherheitsrichtlinien so verständlich, dass Ihre Mitarbeiter selbst erkennen können, welche Anforderungen für ihren Anwendungsfall gelten. Auf diese Weise berücksichtigen Sie Sicherheitsaspekte direkt bei der Entwicklung und vermeiden spätere Korrekturen.

Schritt 2: Prüfung und Freigabe

Sobald die Anwendung fertig entwickelt ist, prüfen Sie, ob sie die festgelegten Anforderungen erfüllt. Orientieren Sie sich dabei an der zuvor bestimmten Risikokategorie und den dafür geltenden Vorgaben.

Dokumentieren Sie das Prüfergebnis und halten Sie fest, wer die Anwendung freigegeben hat. Bei Änderungen, die das Risikoprofil wesentlich beeinflussen, sollten Sie eine erneute Prüfung vorsehen. So bleibt nachvollziehbar, auf welcher Grundlage eine Anwendung produktiv eingesetzt werden darf.

Schritt 3: Betrieb und Monitoring

Behalten Sie Ihre Anwendungen auch nach der Freigabe im Blick. Im laufenden Betrieb kommen neue Nutzer hinzu, Berechtigungen ändern sich und Teams erweitern bestehende Funktionen.

Mit einem Audit-Trail können Sie relevante Aktivitäten nachvollziehen und Änderungen an Daten oder Systemen leichter zurückverfolgen. Das hilft Ihnen bei internen Prüfungen ebenso wie bei der Analyse möglicher Probleme.

Prüfen Sie außerdem regelmäßig, ob Zugriffsrechte, Integrationen und Verantwortlichkeiten weiterhin zum aktuellen Einsatzzweck passen.

Schritt 4: Archivierung und Abschaltung

Beenden Sie den Lebenszyklus einer No-Code-Anwendung kontrolliert, sobald sie nicht mehr benötigt wird. Prüfen Sie zunächst, ob andere Prozesse oder Systeme weiterhin auf die Anwendung zugreifen. Sichern oder archivieren Sie benötigte Daten entsprechend Ihren Aufbewahrungsrichtlinien und löschen Sie nicht mehr erforderliche Informationen, sofern keine gesetzlichen oder internen Vorgaben dagegensprechen.

Entfernen Sie anschließend nicht mehr benötigte Zugriffsrechte und deaktivieren Sie angebundene Schnittstellen. Dokumentieren Sie die Abschaltung, damit nachvollziehbar bleibt, wann die Anwendung außer Betrieb genommen wurde und welche Maßnahmen dabei erfolgt sind.

Vielleicht befürchten Sie, dass zusätzliche Governance-Regeln die Vorteile von Citizen Development wieder ausbremsen. Wenn Ihre Mitarbeiter für jede kleine Änderung mehrere Freigabestufen durchlaufen müssen, verlieren Sie tatsächlich einen Teil der Geschwindigkeit, die No-Code eigentlich bieten soll. Entscheidend ist deshalb, den Umfang der Kontrollen an das jeweilige Risiko anzupassen.

Schaffen Sie deshalb klare Handlungsspielräume für Ihre Citizen Developer. Legen Sie verbindliche Standards fest und ermöglichen Sie eigenständige Entscheidungen innerhalb dieses Rahmens. Standardisierte Prüfabläufe und eindeutig geregelte Zuständigkeiten helfen dabei, Abstimmungen effizienter zu gestalten.

Entscheidend ist, dass Ihre IT Governance nicht jede Entscheidung zentralisiert, sondern nur dort zusätzliche Kontrollen vorsieht, wo sie erforderlich sind. So verbinden Sie verlässliche IT Security Prozesse mit flexiblen Entwicklungsprozessen und ermöglichen Ihren Fachabteilungen, neue Lösungen zügig umzusetzen.

Team steht versammelt um Post-Its herum, die auf einer Glasoberfläche haften.

Mit einer zentralen No-Code-Plattform wie SeaTable können Sie viele Anforderungen Ihrer Governance auch technisch abbilden. Statt in verschiedenen Fachabteilungen unterschiedliche Einzellösungen einzusetzen, bündeln Sie Anwendungen und Daten in einer gemeinsamen Umgebung.

In SeaTable können Sie Zugriffsrechte differenziert vergeben und Freigaben gezielt für unterschiedliche Bereiche und Nutzergruppen steuern. Je nach Anwendungsfall geben Sie Mitarbeitern reine Leserechte oder erlauben ihnen die Bearbeitung bestimmter Daten. Mit Tabellenberechtigungen können Sie Zugriffe zusätzlich genauer eingrenzen.

Auch bei der Nachvollziehbarkeit unterstützt Sie SeaTable. Über verschiedene Historien und Logs können Sie Änderungen und Aktivitäten nachträglich prüfen. Damit unterstützen Sie sowohl interne Kontrollen als auch Anforderungen aus Ihrer IT Compliance und IT Security.

Über API-Schnittstellen können Sie SeaTable mit bestehenden Systemen verbinden. Wenn Sie hohe Anforderungen an Cloud Security oder Datenhoheit stellen, können Sie SeaTable außerdem auf Ihrer eigenen Infrastruktur betreiben. Dadurch behalten Sie mehr Kontrolle darüber, wo Ihre Daten liegen und wie Sie Ihre technische Umgebung gestalten.

So schaffen Sie mit SeaTable eine technische Grundlage für Ihr Citizen Development innerhalb einer zentral verwalteten Umgebung. Welche zusätzlichen Prüfungen und Freigaben Sie benötigen, bestimmen Sie anhand Ihrer eigenen IT Governance und des jeweiligen Schutzbedarfs.

Server in blauer Beleuchtung.

Mit No-Code geben Sie Ihren Fachabteilungen die Möglichkeit, digitale Prozesse eigenständig zu gestalten. Ohne passende Strukturen riskieren Sie jedoch Schatten-IT, unklare Verantwortlichkeiten und zusätzliche Sicherheitslücken.

Mit einer wirksamen No-Code Governance verbinden Sie organisatorische Vorgaben mit technischen Schutzmaßnahmen. Sie legen Rollen fest, klassifizieren Anwendungen nach Risiko, steuern Zugriffsrechte und etablieren einheitliche IT Security Prozesse.

Verstehen Sie Governance dabei nicht als starres Regelwerk. Plattformen, Prozesse und Anforderungen entwickeln sich weiter. Prüfen Sie deshalb auch Ihre Strukturen regelmäßig und passen Sie diese an neue Anforderungen an. So können Sie die Vorteile von No-Code nutzen und Ihre IT-Sicherheit dauerhaft im Blick behalten.

Was versteht man unter No-Code Governance im Unternehmenskontext?

Mit No-Code Governance legen Sie die organisatorischen und technischen Regeln für den Einsatz von No-Code-Plattformen in Ihrem Unternehmen fest. Sie bestimmen, welche Tools Ihre Mitarbeiter einsetzen dürfen, wer Anwendungen entwickeln kann und welche Anforderungen für Freigabe, Betrieb und Kontrolle gelten. Damit verbinden Sie Citizen Development mit Ihrer IT Governance, IT Security und IT Compliance.

Wie verhindert No-Code Governance das Entstehen von Schatten-IT?

Sie vermeiden Schatten-IT vor allem dann, wenn Sie Ihren Fachabteilungen eine praktikable und freigegebene Alternative bieten. Stellen Sie geeignete Plattformen bereit und definieren Sie nachvollziehbare Regeln für deren Nutzung. Dadurch können Ihre Mitarbeiter eigene Lösungen entwickeln, ohne auf nicht autorisierte Anwendungen auszuweichen. Ihre IT behält dabei den Überblick über eingesetzte Systeme, Verantwortlichkeiten und Datenflüsse.

Welchen Einfluss hat No-Code Governance auf die IT-Sicherheit bzw. IT Security?

Mit No-Code Governance berücksichtigen Sie Anforderungen an die IT-Sicherheit bereits während der Entwicklung. Sie prüfen Zugriffsrechte, Datenflüsse, Schnittstellen und Risikokategorien frühzeitig und schaffen mit einheitlichen IT Security Prozessen einen festen Rahmen für wiederkehrende Kontrollen. So reduzieren Sie Risiken durch zu weitreichende Berechtigungen, unsichere Integrationen oder unkontrollierte Datenweitergaben.

Bremst eine strikte IT Governance die Innovation der Citizen Developer nicht aus?

Das hängt davon ab, wie Sie Ihre Vorgaben gestalten. Wenn jede Anwendung denselben umfangreichen Freigabeprozess durchlaufen muss, können Sie die Entwicklung tatsächlich verlangsamen. Mit einem risikobasierten Ansatz schaffen Sie mehr Flexibilität. Geben Sie einfachen Anwendungen größere Freiräume und prüfen Sie sensible Anwendungen intensiver. So bleiben Ihre Fachabteilungen handlungsfähig und Sie konzentrieren Ihre Sicherheitsmaßnahmen auf die Bereiche, die sie tatsächlich benötigen.

TAGS: No Code & Low Code IT Sicherheit & Datenschutz