Fragen und Antworten.

Ivo Schönberner ist IT-Unternehmer und Berater mit Sitz in Zürich und Frankfurt am Main und Geschäftsführer der IT am Main GmbH. Unter der Marke SACOSI berät er Geschäftsleitungen, Investoren und Family Offices in der Schweiz und in Deutschland zu IT, Risiken und Regulierung, mit Schwerpunkt auf Start-ups, Scale-ups und Ventures. Sein Beratungsprodukt heisst Situational Awareness: IT, die aus der Lage des Geschäfts abgeleitet wird.

SACOSI steht für Situational Awareness Consulting by Ivo Schönberner. Unter diesem Namen bietet Ivo Schönberner von Zürich aus sein Beratungsprodukt Situational Awareness an: IT, die aus den Zielen, Kernprozessen, Finanzen und Stakeholder-Interessen eines Unternehmens abgeleitet wird. Er arbeitet dabei als Fractional CTO, IT-Architekt, Projektleiter oder Sparringspartner.

Weil IT dann nicht mehr heisst, Laptops auszugeben. Es geht um Kundendaten und Datenschutz, um Sicherheitsanforderungen von Kunden und Investoren, um Vorschriften in jedem Markt, in dem das Unternehmen tätig ist, und um Kosten, die zur Finanzstrategie passen müssen. Diese Fragen entscheiden über Wachstum und Unternehmenswert.

SACOSI erstellt IT-Lagebilder und IT-Due-Diligence-Prüfungen für Beteiligungen und übernimmt bei Bedarf die technische Leitung auf Zeit. Das Prinzip: kommen, die Lage lösen, dokumentiert übergeben.

Situational Awareness heisst Lagebewusstsein. Der Begriff stammt aus der Luftfahrt und beschreibt nach Mica Endsley drei Stufen: die Lage wahrnehmen, sie verstehen und ihre Entwicklung vorausdenken. In der IT bedeutet das: Erst wird die ganze Lage des Unternehmens erfasst, also Ziele, Vision der Führung, Kernprozesse, finanzielle Situation und die Interessen von Investoren und Stakeholdern. Dann wird die IT so gebaut, dass sie genau diese Ziele erfüllt.

Für Geschäftsleitungen von Start-ups, Scale-ups und Ventures, die ab etwa zehn Mitarbeitenden merken, dass IT eine Führungsfrage wird. Für Investoren und Family Offices, deren Beteiligungen IT-Fragen haben. Und für Unternehmen in Branchen mit hoher Kritikalität: Energie, Produktion, MedTech und Luftfahrt. Konzerne und Joint Ventures begleitet er als Programmleiter.

Ja. Er arbeitet von Zürich und Frankfurt am Main aus und übernimmt Mandate in beiden Ländern, vor Ort und remote, auf Deutsch und Englisch.

Mit einem 30-minütigen Gespräch ohne Vortrag. Sie schildern die Lage, Ivo Schönberner stellt Fragen. Danach wissen beide Seiten, ob ein Lagebild sinnvoll ist und welche Einsatzform passt.

Klassische IT-Beratung beginnt oft bei der Technik und passt das Geschäft an das System an. Situational Awareness beginnt beim Unternehmen: Ziele der Geschäftsführung, Erwartungen der Investoren, Kernprozesse und die finanzielle Lage bestimmen die Architektur. Am Ende steht keine Folienempfehlung, sondern eine laufende IT, die ein internes Team übernehmen kann.

Situational Awareness ist sein Beratungsprodukt: IT wird aus der Lage des Unternehmens abgeleitet, also aus Zielen, Kernprozessen, Finanzen und den Interessen von Investoren und Stakeholdern, statt das Geschäft an ein System anzupassen. Grundlage ist das Drei-Stufen-Modell von Mica Endsley (1995), ergänzt um einen vierten Schritt: Führen und übergeben.

Vor seiner Unternehmerlaufbahn war Ivo Schönberner American-Football-Spieler und Nationalspieler, Europameister 2014 und 2016. Als Geschäftsführer der IT am Main GmbH hat er unter anderem die IT von Discover Airlines von null auf rund 2’200 Mitarbeitende aufgebaut und für das Joint Venture FraAlliance eine eigenständige IT in unter vier Monaten errichtet.

Systemisch: Er löst nicht das Symptom, sondern baut die Architektur, aus der das Problem nicht mehr entsteht. Entscheidungen werden vorbereitet, dokumentiert und nachweisbar gemacht, bevor umgesetzt wird.

Von Zürich und Frankfurt am Main aus, mit Mandaten in der Schweiz und in Deutschland, vor Ort und remote, auf Deutsch und Englisch.

Situational Awareness ist das Beratungsprodukt von Ivo Schönberner. Es richtet die IT eines Unternehmens an der gesamten Lage aus, also an Unternehmenszielen, Vision der Führung, Kernprozessen, finanzieller Situation und den Interessen von Investoren und Stakeholdern: in vier Schritten von der Lageaufnahme über die Passungsanalyse und das Zielbild bis zur Umsetzung und Übergabe an ein internes Team.

Sechs Dimensionen: die Ziele des Unternehmens, die Vision der Führung, die Kernprozesse, die finanzielle Lage, die Interessen von Investoren und weiteren Stakeholdern sowie Pflichten und Risiken. Die IT ist bewusst nicht Teil der Lage, sondern wird daran gemessen.

Weil IT Geld bindet und Geld sparen kann. Liquidität, Budget, Kostenstruktur und Finanzierungsphase entscheiden, welche Architektur tragfähig ist. Eine technisch ideale Lösung, die das Unternehmen finanziell überfordert, erfüllt die Ziele der Geschäftsführung nicht.

Ihre Erwartungen werden im Lagebild ausdrücklich erfasst, etwa Wachstumsziele, Exit-Fähigkeit, Due-Diligence-Reife oder Vorgaben von Gesellschaftern. Die IT wird so gestaltet, dass sie diese Ziele messbar unterstützt, und Zielkonflikte zwischen Stakeholdern werden offen zur Entscheidung vorgelegt.

Mit bewährten Management-Werkzeugen statt IT-Jargon: SWOT-Analyse des Unternehmens, Prozesslandkarte, Prozessflows der Kernprozesse (etwa in BPMN), Stakeholder-, RACI- und Priorisierungsmatrizen sowie einem Entscheidungslog. Daraus werden Zielbild und Roadmap der IT abgeleitet.

Alle Ergebnisse werden normkonform geführt, zum Beispiel nach den Anforderungen von ISO 27001 und ISO 9001: versioniert, mit Freigaben, Verantwortlichen und Nachweisen, in einem auditierbaren System statt in verstreuten Dateien. So kann ein Auditor jede Entscheidung nachvollziehen, auch nach der Übergabe.

Aus der Luftfahrt und der Human-Factors-Forschung. Mica R. Endsley definierte Situational Awareness 1995 als Wahrnehmung der Elemente einer Lage, das Verstehen ihrer Bedeutung und die Projektion ihres künftigen Zustands. Piloten und Fluglotsen trainieren genau diese drei Stufen.

Typische Anzeichen: Mitarbeitende führen Schattenlisten neben dem System, Prozesse werden umgebaut, weil ein Tool es verlangt, Entscheidungen hängen an einzelnen Personen, und niemand kann auf einer Seite erklären, welche IT welches Geschäftsziel trägt.

Ein Lagebild auf einer Seite, eine Passungsanalyse mit Entscheidungslog, ein Zielbild mit Roadmap und, wenn gewünscht, die umgesetzte IT mit einer dokumentierten Übergabe an das interne Team, inklusive Playbooks (dokumentierte Abläufe, SOPs) für Betrieb und Notfälle.

Das hängt von Grösse, Standorten und Regulierung ab. Umfang und Zeitrahmen werden im Erstgespräch festgelegt und stehen danach schriftlich fest.

Nein. Es ist eine Arbeitsweise mit festen Ergebnissen. Bestehende Standards wie ISO 27001 oder ITIL werden genutzt, wo sie dem Geschäft dienen, aber nicht zum Selbstzweck eingeführt.

Vom Startup mit zehn Personen bis zum Unternehmen mit rund 1’000 Mitarbeitenden, dazu Programme in Konzernen und Joint Ventures. Entscheidend ist nicht die Grösse, sondern dass IT und Geschäft auseinanderlaufen.

Die Verantwortung für Entscheidungen bleibt beim Unternehmen. Ivo Schönberner bereitet Entscheidungen vor, dokumentiert sie im Entscheidungslog und setzt um, was entschieden ist.

Ja. Die Technik folgt dem Geschäft. Microsoft 365, Mac und Windows, Cloud oder lokal betriebene KI werden nach Passung gewählt, nicht nach Partnerstatus.

Es gibt kein Paket von der Stange. Abgerechnet wird als Tagessatz oder als Monatsmandat, abhängig von Einsatzform und Umfang. Den Rahmen klären Sie im ersten Gespräch.

Weil die IT ab einer gewissen Grösse mitentscheidet, wie schnell das Unternehmen wachsen kann und was es wert ist. Ob neue Standorte, Märkte oder Produkte rechtzeitig starten, ob Kundendaten sicher sind und ob eine Due Diligence ohne Abschläge durchläuft, hängt an Entscheidungen, die sonst ohne die Geschäftsleitung getroffen werden.

Weil IT Geld bindet, laufende Kosten erzeugt und Risiken birgt, die in keiner Bilanz stehen, bis sie eintreten. Die Frage, ob eine Lösung als Investition (CAPEX) oder als laufender Aufwand (OPEX) finanziert wird, gehört zur Finanzstrategie, nicht nur zur Einkaufsabteilung.

Eine Seite, auf der Ziele, Kernprozesse, Finanzen, Stakeholder, Pflichten und die heutige IT zusammen stehen. Die Geschäftsleitung sieht, welche IT welches Ziel trägt, wo Risiken liegen und welche Entscheidung als Nächstes ansteht.

Nicht zwingend. Viele Unternehmen im Wachstum brauchen die Führungsleistung auf Zeit: Lage klären, Richtung festlegen, Team und Partner aufstellen und dann übergeben. Das ist der Kern eines Mandats als Fractional CTO.

Mit Entscheidungsvorlagen statt Technikberichten: Anlass, Optionen, Kosten, Risiken und Empfehlung, festgehalten im Entscheidungslog. Die Entscheidung bleibt bei der Geschäftsleitung.

Das hängt vom Exit-Horizont, der Bewertungslogik und dem Investorentyp ab, nicht von einer festen Regel. Bei einem kurzen Exit-Horizont vermeidet man Investitionen, die ein Käufer oft nicht mitbezahlt, und steuert die Wirkung auf das EBITDA bewusst, weil eine Bewertung über Multiples laufenden Aufwand anders behandelt als aktivierte Investitionen. Bei einem langfristigen Investor ist CAPEX für eine Plattform, die über Jahre trägt, verhandelbar. Den Rahmen dafür klärt die Finanzstrategie, nicht die IT allein.

Normkonform heisst, dass Abläufe und Nachweise inhaltlich den Anforderungen einer Norm wie ISO 27001 oder ISO 9001 entsprechen. Zertifiziert heisst, dass ein externer Auditor das förmlich bestätigt hat. Für die eigene Steuerung kann Normkonformität reichen, in Lieferantenbewertungen und Security-Fragebögen von Kunden macht ein Zertifikat aber häufig den Unterschied, ob eine Ausschreibung überhaupt weiterläuft.

Eine IT-Due-Diligence prüft vor oder nach einer Beteiligung, ob die IT eines Unternehmens das Geschäftsmodell und den Wachstumsplan tragen kann. Sie bewertet Architektur, Sicherheit, Kosten, Abhängigkeiten von Personen und Anbietern sowie regulatorische Pflichten und beziffert, was zur Behebung der Befunde nötig ist.

Vor dem Einstieg, wenn die IT ein Werttreiber oder ein Risiko sein kann. In den ersten Wochen nach dem Einstieg, wenn das Management einen Plan braucht. Und immer dann, wenn eine Beteiligung wächst, in neue Märkte geht oder reguliert wird.

Ich übernehme ein klar umrissenes Mandat in der Beteiligung, kläre die Lage, setze die wichtigsten Entscheidungen um und übergebe dokumentiert an das Management oder ein internes Team. Es entsteht keine dauerhafte Abhängigkeit vom Berater.

Ja. Family Offices halten oft Beteiligungen in unterschiedlichen Branchen und Grössen. Ein Lagebild je Beteiligung macht IT-Risiken und -Kosten vergleichbar, ohne dass für jede Frage ein grosses Beratungsteam nötig ist.

Typisch sind Systemübersicht, Verträge mit IT-Anbietern, Kosten der letzten Jahre, Rollen und Zugriffsrechte, Sicherheitskonzepte, Vorfälle, Zertifikate und Auditberichte. Was fehlt, ist selbst ein Befund.

Das hängt vom Exit-Horizont und der Bewertungslogik ab, nicht von einer festen Regel. Bei einer Bewertung über EBITDA-Multiples senkt laufender Aufwand (OPEX) das EBITDA und damit tendenziell den Multiple-Wert, während aktivierte Investitionen (CAPEX) das EBITDA nicht direkt belasten, dafür aber Liquidität binden und den freien Cashflow. Vor einem nahen Exit werden Investitionen, die ein Käufer nicht mitbezahlt, meist vermieden; bei einem langfristigen Investment-Horizont kann CAPEX für eine tragende Plattform sinnvoll sein. Die Einordnung gehört ins IT-Lagebild der Beteiligung.

Rechtlich reicht in den meisten Fällen normkonformes Arbeiten, das inhaltlich den Anforderungen einer Norm entspricht, ohne extern geprüft zu sein. In Due-Diligence-Prüfungen, Lieferantenbewertungen und Security-Fragebögen von Kunden macht ein Zertifikat trotzdem einen grossen Unterschied, weil es ohne eigene Prüfung Vertrauen schafft und Verkaufszyklen verkürzen kann.

Spätestens, wenn die IT nicht mehr in einem Kopf Platz hat. Das ist oft um zehn Mitarbeitende der Fall: Rollen, Zugriffe, Kundendaten, Verträge und die ersten Kundenanforderungen an Sicherheit lassen sich dann nicht mehr nebenbei führen.

Das Tempo. Was heute für zwanzig Personen gebaut wird, muss in einem Jahr für hundert tragen, in mehreren Ländern und unter neuen Vorschriften. Moderne Technik ohne Altlasten macht das möglich, wenn sie von Anfang an dokumentiert und skalierbar aufgebaut ist.

Das hängt vom Exit-Horizont, der Bewertungslogik und dem Investorentyp ab, nicht von einer festen Regel. Abonnements und Cloud-Dienste sind laufender Aufwand (OPEX) und schonen die Liquidität; bei einem nahen Exit vermeidet das zusätzlich Investitionen, die ein Käufer oft nicht mitbezahlt. Eigene Hardware oder lokal betriebene Systeme sind Investitionen (CAPEX), die über die Zeit günstiger sein können und bei einem langfristigen Investor verhandelbar sind. Die Entscheidung gehört zur Finanzplanung und wird im Entscheidungslog begründet.

Weil sich Fehler, Testdaten und Experimente sonst direkt im laufenden Betrieb auswirken, und weil Kunden, Investoren und Auditoren zunehmend danach fragen. Wer Entwicklungs-, Test- und Produktivsysteme sowie die Trennung der Kundenmandanten erst nachträglich einzieht, baut bestehende Abläufe um und zahlt dafür deutlich mehr, als wenn die Trennung von Beginn an mitgeplant ist.

Das hängt von Branche und Märkten ab. Mit Kunden in der EU kommt die DSGVO, mit Konzernkunden kommen Sicherheitsnachweise wie ISO 27001 oder TISAX, mit KI-Produkten der EU AI Act, in kritischen Sektoren Meldepflichten. Eine Übersicht steht auf der Seite Regulierung.

Ohne eigene Prüfung übernimmt ein Käufer den Zustand der IT so, wie er ist: offenen Investitionsstau, veraltete oder ungepflegte Systeme, laufende Lizenz- und Vertragsbindungen, Sicherheitslücken und die Abhängigkeit von einzelnen Personen oder Dienstleistern. Diese Risiken zeigen sich oft erst Monate nach der Übergabe.

Eine finanzielle Due Diligence prüft Zahlen, Verträge und Bilanzpositionen. Sie zeigt nicht, ob eine Anwendung technisch veraltet ist, ob Investitionsstau ansteht, ob Wissen nur in einem Kopf existiert oder ob Sicherheitslücken bestehen. Diese Fragen beantwortet eine technische Due Diligence, die die finanzielle ergänzt, nicht ersetzt.

Kopfmonopole zeigen sich, wenn Zugänge, Passwörter, Konfigurationen oder Abläufe nur einer Person bekannt sind und nirgends dokumentiert stehen. Eine Kopfmonopol-Landkarte erfasst systematisch, welches Wissen an welche Person gebunden ist, und macht sichtbar, was seine Dokumentation oder Vertretung kostet.

Deutlich vor der ersten Käuferansprache oder Nachfolgeregelung, damit sich Investitionsstau und Kopfmonopole noch beheben statt nur noch offenlegen lassen. Auch ohne konkreten Verkaufsplan lohnt sich das Lagebild, sobald eine Nachfolge absehbar wird.

Architektur und Zustand der Systeme, Sicherheit und Zugriffe, laufende Kosten und Vertragslaufzeiten, Abhängigkeiten von Personen und Dienstleistern, der Lizenzbestand und seine Übertragbarkeit sowie die Frage, ob die vorhandene Dokumentation für ein neues Team überhaupt ausreicht.

Investitionsstau ist Technik, die längst hätte erneuert oder abgelöst werden müssen, aber weiterläuft, weil niemand die Investition freigegeben hat. Er lässt sich nicht auf den Franken genau beziffern, wohl aber als Bandbreite mit Begründung je Position, damit Käufer und Verkäufer eine gemeinsame Grundlage für die Verhandlung haben.

Nicht direkt. NIS2 ist eine EU-Richtlinie. Schweizer Unternehmen trifft sie über eine Niederlassung in der EU, weil EU-Kunden die Sicherheit ihrer Lieferkette nachweisen müssen und diese Anforderung vertraglich weitergeben, oder wenn sie bestimmte digitale Dienste wie Cloud oder Managed Services in der EU anbieten. Dann ist ein Vertreter in der EU zu benennen.

Seit dem 1. September 2023. Es gilt für alle Unternehmen, die in der Schweiz Personendaten bearbeiten. Wer Kunden in der EU bedient, muss zusätzlich die DSGVO beachten.

Ja, wenn sie KI-Systeme in der EU in Verkehr bringen oder die Ergebnisse ihrer KI-Systeme in der EU verwendet werden. Die Pflichten gelten gestaffelt seit Februar 2025. Die Pflichten für Hochrisiko-Systeme gelten ab Dezember 2027, für KI in regulierten Produkten ab August 2028.

ISO 27001 ist eine internationale Norm für Informationssicherheits-Managementsysteme, mit Zertifikat. TISAX ist ein Prüfverfahren der Automobilindustrie auf Basis des VDA-ISA-Katalogs, mit einem Label statt eines Zertifikats, und wird von Automobilherstellern vertraglich verlangt.

In der Schweiz gilt die Medizinprodukteverordnung (MepV) mit Swissmedic als Aufsicht. Für den Zugang zum EU-Markt gilt die EU-MDR. Seit 26. Mai 2021 behandelt die EU die Schweiz bei Medizinprodukten als Drittstaat, Schweizer Hersteller brauchen deshalb einen Bevollmächtigten in der EU.

Gesetzlich nicht. Aber Konzernkunden, Ausschreibungen und Investoren fragen oft danach. Sinnvoll ist, die Abläufe früh so aufzubauen, dass eine Zertifizierung später ein kleiner Schritt ist und kein Umbau.

Ein Fractional CTO übernimmt die technische Leitung eines Unternehmens in Teilzeit oder auf Zeit. Er verantwortet Architektur, Technologieentscheidungen, Sicherheit und den Aufbau des Teams, ohne dass das Unternehmen sofort eine Vollzeit-Führungskraft einstellen muss.

Typisch sind vier Lagen: Es gibt noch keinen CTO, der bisherige CTO geht, eine Finanzierungsrunde oder Due Diligence steht an, oder die Plattform trägt das Wachstum nicht mehr. In allen vier Fällen braucht es schnell technische Führung, aber nicht zwingend auf Dauer.

Das richtet sich nach der Lage. Üblich sind ein bis drei Tage pro Woche oder ein Monatsmandat mit festem Umfang. Der Rahmen wird im Erstgespräch festgelegt.

Ein Interim CTO ersetzt eine fehlende Führungskraft meist in Vollzeit für eine Übergangszeit. Ein Fractional CTO arbeitet in Teilzeit, oft über längere Zeit. Ivo Schönberner übernimmt beide Formen, je nachdem, was die Lage verlangt.

Ja. Er bereitet Architektur, Sicherheit, Dokumentation und Team so auf, dass Investoren prüfen können, was sie prüfen wollen, und begleitet die Gespräche mit den Prüfern.

Vor allem für Unternehmen mit etwa 50 bis 1’000 Mitarbeitenden, oft KMU und Unternehmen in regulierten Branchen. In dieser Grösse ist die IT zu komplex für Improvisation, aber meist ohne eigene Architekturabteilung.

Eine Zielarchitektur beschreibt, wie die IT eines Unternehmens in zwölf bis 36 Monaten aussehen soll: Identitäten, Arbeitsplätze, Anwendungen, Daten, Betrieb und Sicherheit, abgeleitet aus den Abläufen und Zielen des Geschäfts, mit einer Roadmap dorthin.

Ja. Er plant Arbeitsplätze mit Mac und Windows gleichberechtigt, inklusive Geräteverwaltung, Identität und Sicherheit, so dass beide Welten dieselben Regeln erfüllen.

Wenn Daten vertraulich, personenbezogen oder reguliert sind und nicht an Dritte gehen sollen oder dürfen. Dann kann ein lokal betriebenes Modell die sinnvollere Wahl sein. Die Entscheidung hängt von Daten, Kosten und Anforderungen ab und wird im Entscheidungslog begründet.

Compliance by Design heisst, dass Anforderungen wie ISO 27001, das Schweizer Datenschutzgesetz (DSG), die DSGVO oder Branchenauflagen von Anfang an in die Architektur eingebaut werden, statt sie später aufzusetzen. Das spart Nacharbeit und macht Audits planbar.

Mit IT am Main unter anderem den IT-Aufbau von Discover Airlines von 2021 bis 2026 mit vorbereiteter Übergabe an die Konzern-IT der Lufthansa Group und den IT-Aufbau für FraAlliance, das Joint Venture von Fraport und Lufthansa, in unter vier Monaten.

Zwei oder mehr Gesellschafter bringen eigene IT-Standards, Sicherheitsregeln und Freigabewege mit. Die Projektleitung muss diese Welten verbinden, ohne eine davon zu verletzen, und jede Entscheidung gegenüber beiden Seiten nachweisen können.

Ja. Herauslösen einer Einheit aus einem Konzern (Carve-out) oder Integration in einen Konzern (Carve-in) sind Lagen, in denen Situational Awareness besonders wirkt, weil Geschäft und IT gleichzeitig in Bewegung sind.

Mit Nachweis statt Statusfolie: Entscheidungen im Entscheidungslog, Fortschritt an überprüfbaren Ergebnissen, Risiken mit Verantwortlichen und Terminen.

Ja. Zwei seiner grössten Mandate liefen im Umfeld der Lufthansa Group, darunter Discover Airlines mit der Netzanbindung des Operations Control Centers und FraAlliance in Frankfurt.