- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Change Management: Veränderungen steuern, belegen und verantworten
Change Management ist das Verfahren, mit dem eine Organisation Veränderungen kontrolliert einführt: Jede Änderung wird begründet, bewertet, von einer befugten Stelle freigegeben und so dokumentiert, dass sie später nachvollziehbar bleibt.
Der Begriff hat zwei Ebenen. Auf der technischen Ebene geht es um Änderungen an IT-Systemen, Anwendungen und Konfigurationen. ITIL 4 nennt diese Disziplin Change Enablement. Auf der organisationalen Ebene geht es um Strukturen, Rollen und Arbeitsweisen und um die Frage, wie Mitarbeitende einen Wandel mittragen.
Für Banken, Versicherungen, Spitäler oder die öffentliche Verwaltung ist vor allem die technische Ebene eine Frage der Governance. Wer hat eine Änderung an einem produktiven System genehmigt? Wurde sie vorher getestet? Lässt sich das bei einer Prüfung belegen? In mehreren Regelwerken ist ein dokumentiertes Änderungsmanagement deshalb ausdrücklich verlangt.
Das Wichtigste in Kürze
- Kontrollpunkt: IT-Change-Management stellt sicher, dass keine Änderung ohne Bewertung, Freigabe und Nachweis in die Produktion gelangt.
- Regulatorik: Das FINMA-Rundschreiben 2023/1 verlangt von Banken ein Änderungsmanagement mit Verfahren, Prozessen und Kontrollen. Auch ISO/IEC 27001 und ISO/IEC 20000-1 enthalten entsprechende Anforderungen.
- Funktionstrennung: Entwicklung, Test und Produktion werden getrennt, und wer einen Change umsetzt, gibt ihn nicht selbst frei.
- Menschliche Seite: Modelle wie Kotter, Lewin oder ADKAR helfen, organisatorische Veränderungen so zu führen, dass Verantwortung und Akzeptanz zusammenpassen.
Stand: November 2026 · Fachlich abgeglichen mit dem FINMA-Rundschreiben 2023/1, Fedlex, PeopleCert (ITIL 4) und den Originalquellen der Modelle (Quellen am Ende des Artikels)
Change Management als Kontrollprozess
In ITIL 4 ist ein Change jede Hinzufügung, Änderung oder Entfernung von etwas, das sich direkt oder indirekt auf einen Service auswirken kann. Die Practice Change Enablement soll möglichst viele solcher Änderungen erfolgreich machen, indem Risiken bewertet, Freigaben erteilt und der Change-Kalender gesteuert werden. Aus Sicht der Governance lassen sich daraus vier Kontrollen ableiten.
Aufgaben, Kompetenzen und Verantwortung
Für jede Art von Änderung ist festgelegt, wer sie beantragen, bewerten, freigeben und umsetzen darf. In Schweizer Organisationen wird das oft als AKV-Regelung (Aufgaben, Kompetenzen, Verantwortung) beschrieben. Die Freigabestelle heisst in ITIL 4 Change Authority. Das kann eine einzelne Person sein, ein Team oder für risikoreiche Changes ein Gremium wie das Change Advisory Board.
Funktionstrennung
Wer eine Änderung entwickelt oder umsetzt, gibt sie nicht selbst frei. Ebenso werden die Umgebungen für Entwicklung und Test von der Produktion getrennt, und die Zugriffsrechte folgen dieser Trennung.
Risikobasierte Bewertung
Nicht jede Änderung braucht dieselbe Prüftiefe. ITIL 4 unterscheidet Standard-Changes (risikoarm, vorab genehmigt), normale Changes (einzeln bewertet und freigegeben) und Notfall-Changes (sofort umzusetzen, mit verkürzter Freigabe). Wichtig ist, dass auch der verkürzte Weg dokumentiert ist und Notfall-Changes nachträglich geprüft werden.
Nachweis
Antrag, Bewertung, Freigabe, Umsetzung und Ergebnis werden mit Datum und Person festgehalten. Erst damit lässt sich bei einer Prüfung oder nach einem Vorfall zeigen, dass der Prozess eingehalten wurde.
Anforderungen aus Aufsicht und Normen
Mehrere Regelwerke, die für Schweizer Organisationen relevant sind, verlangen ein Änderungsmanagement. Die wichtigsten im Überblick:
| Regelwerk | Anforderung |
|---|---|
| FINMA-RS 2023/1 (Banken) | |
| Rz 50–52 (Change Management) | Verfahren, Prozesse und Kontrollen für alle Phasen, Trennung von Test und Produktion |
| DSG (SR 235.1) | |
| Art. 8 (Datensicherheit) | Dem Risiko angemessene technische und organisatorische Massnahmen |
| ISO/IEC 27001:2022 | |
| Anhang A, Control 8.32 | Änderungen an Systemen und Anwendungen unterliegen festgelegten Verfahren |
| ISO/IEC 20000-1:2018 | |
| Abschnitt 8.5.1 | Änderungen werden bewertet, genehmigt, geplant und überprüft |
Was die FINMA konkret verlangt
Das Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» gilt seit dem 1. Januar 2024. Es verpflichtet die Geschäftsleitung, für das Änderungsmanagement Verfahren, Prozesse und Kontrollen sowie AKV zu implementieren und zu dokumentieren. Das Änderungsmanagement berücksichtigt in jeder Phase der Entwicklung oder Beschaffung von IKT die Auswirkungen auf die IKT-Risiken, insbesondere auf Vertraulichkeit, Integrität und Verfügbarkeit. Entwicklungs- und Testumgebungen sind von der Produktion zu trennen, Anforderungen werden definiert, genehmigt und nach Kritikalität getestet.
Das Rundschreiben richtet sich an Banken, Personen nach Art. 1b BankG, Wertpapierhäuser sowie Finanzgruppen und Finanzkonglomerate. Für andere Branchen ist es nicht verbindlich, kann aber als Orientierung dienen, weil es die Erwartungen an ein kontrolliertes Änderungsmanagement klar formuliert.
Datenschutz
Das revidierte Datenschutzgesetz nennt kein Change Management. Art. 8 DSG verlangt aber eine dem Risiko angemessene Datensicherheit. Werden Systeme mit Personendaten geändert, gehört die Frage, ob die Änderung den Schutz der Daten beeinträchtigt, deshalb in die Bewertung.
Nachvollziehbare Changes in der Praxis
Ein prüffähiges Änderungsmanagement entsteht nicht durch ein Formular, sondern durch einen Ablauf, der für alle Changes gleich gilt und keine Lücken lässt.
Was jeder Change belegen sollte
- Antrag: Begründung, betroffene Systeme und Services, gewünschter Termin.
- Bewertung: Risiko, Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, Abhängigkeiten aus der CMDB, Rückfallplan.
- Freigabe: Wer hat wann entschieden, und war diese Stelle dazu befugt?
- Test: In welcher Umgebung wurde getestet, mit welchem Ergebnis?
- Umsetzung und Abschluss: Wer hat wann umgesetzt? Wurde das Ziel erreicht? Gab es Folgestörungen?
Notfall-Changes kontrolliert zulassen
Auch eine regulierte Organisation muss eine kritische Sicherheitslücke innert Stunden schliessen können. Ein guter Prozess sieht dafür einen eigenen Weg vor: Freigabe durch eine kleine, vorab bestimmte Gruppe, Umsetzung sofort, vollständige Dokumentation und Nachprüfung innert weniger Tage. Steigt der Anteil der Notfall-Changes dauerhaft, ist das ein Befund für das interne Kontrollsystem.
Nachvollziehbarkeit aus der Praxis
Wie wichtig lückenlose Abläufe sind, zeigt sich nicht nur in der IT. Das Personalamt des Kantons Thurgau bildet seine HR-Prozesse für rund 6'000 Mitarbeitende in ky2help® ab. Nach Angaben des Personalamts sind sämtliche Aktivitäten seither lückenlos nachvollziehbar, dokumentiert und archiviert.
In ky2help® gehört Change Enablement zu den 13 von PeopleCert zertifizierten ITIL®-Practices. Changes werden über flexible Genehmigungsprozesse bewertet und freigegeben, Bearbeitungen automatisch historisiert, und ein integriertes Daten-Audit unterstützt die Nachvollziehbarkeit. Betrieben wird ky2help® als SaaS mit eigener Instanz in einem Rechenzentrum in der Schweiz oder On-Premises.
Die organisationale Seite
Viele Veränderungen sind keine reinen IT-Changes: eine neue Organisationsstruktur, eine neue Fachanwendung, ein neuer Freigabeprozess. Hier hilft das organisationale Change Management. Aus Sicht der Governance geht es dabei vor allem um klare Verantwortung.
Drei Modelle, drei Blickwinkel
- Kurt Lewin beschrieb in den 1940er-Jahren Veränderung als Auftauen, Verändern und Einfrieren. Das «Einfrieren» ist für regulierte Organisationen der entscheidende Teil: Erst wenn das Neue in Weisungen, Rollen und Kontrollen verankert ist, ist die Veränderung abgeschlossen.
- John P. Kotter beschreibt acht Schritte für grosse Transformationen. Für die Governance ist vor allem der zweite wichtig, die Führungskoalition: Eine Veränderung braucht Auftraggebende, die Entscheide treffen und Konflikte zwischen Bereichen lösen.
- ADKAR von Prosci betrachtet jede einzelne Person: Awareness, Desire, Knowledge, Ability, Reinforcement. Für eine Prüfung ist das relevant, weil eine Regel, die niemand kennt oder anwenden kann, kein wirksames Kontrollelement ist.
Beispiel: ein ITSM-Tool einführen
Die Libera AG, ein Schweizer Vorsorgeexperte, hatte vor der Einführung von ky2help® kein ITSM-Tool im Einsatz, der IT-Support lief über E-Mail und Telefon. Laut dem Praxisbericht war zunächst Überzeugungsarbeit bei der Geschäftsführung nötig, bevor die Anschaffung freigegeben wurde. Nach einer Evaluation gegen 25 Anbieter laufen Anfragen heute über ein Self-Service-Portal, und den On- und Offboarding-Prozess für das HR hat die IT mit dem Prozessdesigner in Eigenregie gebaut. Das Beispiel zeigt, dass auch die Einführung eines Werkzeugs für kontrollierte Prozesse selbst ein Change ist, der Begründung, Auftraggebende und Begleitung braucht.
Woran sich Wirksamkeit messen lässt
Für die Steuerung durch Geschäftsleitung, Risikomanagement oder interne Revision eignen sich wenige, klare Kennzahlen: Anteil der Changes mit vollständiger Dokumentation, Anteil der Notfall-Changes, Changes mit Folgestörungen und Changes, die ohne Freigabe umgesetzt wurden. Der letzte Wert sollte null sein. Ist er es nicht, liegt eine Kontrolllücke vor.
Häufige Fragen zu Change Management
Was ist Change Management?
Change Management ist das Verfahren, mit dem eine Organisation Veränderungen kontrolliert einführt. In der IT werden Änderungen an Systemen und Services begründet, bewertet, freigegeben und dokumentiert. Im organisationalen Sinn geht es darum, Mitarbeitende durch einen Wandel zu führen.
Was verlangt die FINMA zum Change Management?
Das FINMA-Rundschreiben 2023/1 verlangt in den Randziffern 50 bis 52, dass für das Änderungsmanagement Verfahren, Prozesse und Kontrollen definiert sind, dass die Auswirkungen auf die IKT-Risiken in jeder Phase berücksichtigt werden und dass Entwicklungs- und Testumgebungen von der Produktion getrennt sind.
Was ist ein Notfall-Change?
Ein Notfall-Change ist eine Änderung, die sofort umgesetzt werden muss, etwa um eine kritische Sicherheitslücke zu schliessen. Er durchläuft eine verkürzte Freigabe durch eine vorab bestimmte Stelle. Dokumentation und Nachprüfung werden zeitnah nachgeholt.
Warum müssen Test- und Produktivumgebung getrennt sein?
Damit ungeprüfte Änderungen den Betrieb nicht beeinträchtigen und damit nachvollziehbar bleibt, welche Version wann in die Produktion übernommen wurde. Die Trennung gehört auch zu den ausdrücklichen Anforderungen des FINMA-Rundschreibens 2023/1.
Wie unterscheiden sich IT- und organisationales Change Management?
IT-Change-Management steuert Änderungen an Systemen, Anwendungen und Konfigurationen. Organisationales Change Management begleitet Veränderungen an Strukturen, Rollen und Arbeitsweisen. Bei grösseren Vorhaben wie der Einführung einer neuen Fachanwendung braucht es beides.
Wo werden die Daten von ky2help® gespeichert?
ky2help® lässt sich als SaaS mit eigener Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland betreiben oder On-Premises in der eigenen Infrastruktur. Welche Variante passt, besprechen wir gern in einem Beratungsgespräch.
Quellen und weiterführende Artikel
Quellen
- FINMA: Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» (PDF)
- Fedlex: Bundesgesetz über den Datenschutz (DSG), SR 235.1
- PeopleCert: ITIL 4 Practitioner: Change Enablement
- Kotter: The 8 Steps for Leading Change
- Prosci: The Prosci ADKAR Model
- ISO/IEC 27001:2022, Anhang A 8.32, und ISO/IEC 20000-1:2018, Abschnitt 8.5.1 (kostenpflichtige Normen)
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
