- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Scrum: Agil arbeiten mit klaren Verantwortlichkeiten und prüfbaren Ergebnissen
Scrum ist ein Rahmenwerk, das für die agile Entwicklung Entscheidungsrechte und Kontrollpunkte festlegt: Ein Product Owner verantwortet die Prioritäten, ein Team liefert in Sprints von höchstens einem Monat geprüfte Inkremente, und jedes Inkrement muss eine vorab festgelegte Definition of Done erfüllen. Massgeblich ist der Scrum Guide 2020 von Ken Schwaber und Jeff Sutherland.
In Organisationen mit hohen Kontrollanforderungen wird «agil» oft mit «wenig Dokumentation» gleichgesetzt. Das greift zu kurz. Das Agile Manifest von 2001 stellt funktionierende Software zwar über umfassende Dokumentation, hält aber ausdrücklich fest, dass auch diese ihren Wert hat. Scrum verlangt Transparenz über Ziele, Arbeitsstand und Qualität. Was wegfällt, sind umfangreiche Vorabfreigaben. An ihre Stelle treten kurze Prüfzyklen mit sichtbaren Ergebnissen.
Für Banken, Versicherungen, Spitäler und die öffentliche Verwaltung lautet die Frage deshalb weniger, ob Scrum zulässig ist, sondern wie sich agile Lieferung mit Funktionstrennung, Änderungsmanagement und Datenschutz verbinden lässt.
Das Wichtigste in Kürze
- Verantwortlichkeiten: Product Owner für Wert und Prioritäten, Scrum Master für die Wirksamkeit des Teams, Developers für die Qualität des Inkrements.
- Kontrollpunkte: Sprint-Ziel, Sprint Review und Definition of Done machen Fortschritt und Qualität in kurzen Abständen überprüfbar.
- Regulierung: Für Banken verlangt das FINMA-Rundschreiben 2023/1 ein Änderungsmanagement. Releases aus Scrum Teams brauchen deshalb einen kontrollierten Weg in die Produktion.
- Öffentliche Hand: Die Projektmanagementmethode HERMES 2022 der Bundeskanzlei lässt neben der klassischen ausdrücklich eine agile Umsetzung zu.
Stand: November 2026 · Abgeglichen mit dem Scrum Guide 2020, dem FINMA-Rundschreiben 2023/1, dem DSG und HERMES 2022 (Quellen am Ende des Artikels)
Verantwortlichkeiten und Entscheidungsrechte im Scrum Team
Seit der Fassung von 2020 spricht der Scrum Guide nicht mehr von Rollen, sondern von Verantwortlichkeiten (Accountabilities). Für die Governance ist das hilfreich: Für jede wesentliche Entscheidung ist festgelegt, wer sie trifft und wer dafür Rechenschaft ablegt.
Product Owner: eine Person, kein Gremium
Der Product Owner ist dafür verantwortlich, den Wert des Produkts zu maximieren. Er entwickelt das Produkt-Ziel, ordnet das Product Backlog und macht es für alle sichtbar. Der Guide hält fest, dass diese Aufgabe bei einer einzelnen Person liegt und die Organisation ihre Entscheidungen respektieren muss. Wer eine andere Priorität will, muss den Product Owner überzeugen. Für eine Revision ist damit eindeutig, wer eine Priorisierung verantwortet.
Developers: verantwortlich für die Qualität
Die Developers erstellen den Plan für den Sprint und sind dafür verantwortlich, die Definition of Done einzuhalten. Das Scrum Team ist selbstmanagend: Es entscheidet intern, wer was wann und wie erledigt. Übergeordnete Vorgaben hebt das nicht auf. Ist die Definition of Done Teil der Standards einer Organisation, gilt sie für alle Scrum Teams als Mindestanforderung.
Scrum Master: verantwortlich für die Wirksamkeit
Der Scrum Master stellt sicher, dass Scrum so verstanden und angewendet wird, wie der Guide es beschreibt. Er verteilt keine Aufgaben, unterstützt aber Team, Product Owner und Organisation, etwa bei der Planung der Einführung oder beim Beseitigen von Hindernissen.
Transparenz als Grundlage
Scrum beruht auf drei Säulen: Transparenz, Überprüfung und Anpassung. Die Artefakte Product Backlog, Sprint Backlog und Inkrement sind so angelegt, dass alle Beteiligten denselben Informationsstand haben. Werden sie in einem Werkzeug geführt, das Änderungen protokolliert, entsteht nebenbei eine nachvollziehbare Entscheidungshistorie. Mehr zu den Artefakten im Glossar unter Backlog und Sprint.
Scrum und klassisches Vorgehen: Steuerung im Vergleich
Klassische Projektmethoden steuern über Phasen und Freigaben, Scrum über kurze Zyklen mit überprüfbaren Ergebnissen. Für Aufsicht und Revision ändert sich damit vor allem, wann und woran Kontrolle stattfindet.
| Klassisch (Phasen) | Scrum |
|---|---|
| Planung | |
| Umfang zu Beginn festgelegt, Änderungen per Antrag | Produkt-Ziel fest, Umfang wird je Sprint geplant |
| Freigabe | |
| Phasenfreigabe durch ein Projektgremium | Sprint Review mit Stakeholdern, Release über den Change-Prozess |
| Qualität | |
| Abnahme gegen Ende des Projekts | Definition of Done für jedes Inkrement |
| Dokumentation | |
| Pflichtenheft, Phasenberichte | Backlog, Sprint-Ziele, Review-Ergebnisse |
| Risikosteuerung | |
| Risikoanalyse zu Beginn, regelmässige Statusberichte | Höchstens ein Monat bis zur nächsten Überprüfung |
| Verantwortung | |
| Projektleitung | Verteilt auf Product Owner, Scrum Master und Developers |
Scrum allein ersetzt keine Projektgovernance. Auftrag, Budget und übergeordnete Risiken regelt die Organisation weiterhin ausserhalb des Scrum Teams.
HERMES 2022 und Scrum
Die Projektmanagementmethode HERMES der Bundeskanzlei sieht in der Version 2022 für Vorhaben eine klassische oder eine agile Umsetzung vor und lässt sich über Szenarien an Grösse und Komplexität anpassen. Damit steht für öffentliche Vorhaben ein Rahmen bereit, in dem die Steuerung des Vorhabens und agile Lieferung zusammengehen. Wie die agile Umsetzung im Detail eingebettet wird, beschreibt die Methode selbst.
Wo Scrum und ITIL zusammentreffen, erläutert der Glossarartikel ITIL.
Scrum in regulierten Umgebungen: Funktionstrennung, Change und Datenschutz
Scrum beschreibt, wie ein Team arbeitet. Wie seine Ergebnisse in die produktive Umgebung gelangen, regelt der Guide nicht. Genau dort setzen regulatorische Anforderungen an.
Änderungsmanagement nach FINMA-RS 2023/1
Das Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» enthält einen eigenen Abschnitt zum Änderungsmanagement (Rz 50–52). Es gilt seit dem 1. Januar 2024 unter anderem für Banken und Wertpapierhäuser. Ein Scrum Team, das in jedem Sprint fertige Inkremente liefert, braucht deshalb einen Weg in die Produktion, der diesen Anforderungen genügt.
Ein mögliches Muster: Das Inkrement durchläuft eine automatisierte Prüfstrecke, die Freigabe für die Produktion erteilt eine Stelle ausserhalb des Teams oder ein vorab genehmigter Standard-Change mit klaren Kriterien. So bleibt die Funktionstrennung gewahrt, ohne dass jedes Deployment einzeln vor ein Gremium muss. Wie ein solcher Prozess aufgebaut ist, zeigt der Glossarartikel Change Management.
Funktionstrennung im selbstmanagenden Team
Selbstmanagement bedeutet, dass das Team intern entscheidet, wer was wann und wie erledigt. Es bedeutet nicht, dass dieselbe Person Code schreibt, prüft und produktiv setzt. Das Vier-Augen-Prinzip lässt sich in der Definition of Done verankern, zum Beispiel mit den Kriterien «Jede Änderung ist von einer zweiten Person geprüft» und «Produktive Zugriffe erfolgen nur über das Deployment-Verfahren».
Datenschutz durch Technik in der Definition of Done
Das Datenschutzgesetz verpflichtet in Art. 7 dazu, die Datenbearbeitung technisch und organisatorisch datenschutzkonform auszugestalten, und zwar ab der Planung. Für ein Scrum Team heisst das: Fragen zu Personendaten gehören ins Refinement und in die Definition of Done, nicht in eine nachträgliche Prüfung vor dem Go-live. Ein mögliches Kriterium lautet: «Neue Felder mit Personendaten sind im Verzeichnis der Bearbeitungstätigkeiten berücksichtigt».
Wo ky2help unterstützt
Die Übergänge zwischen Entwicklung und Betrieb, also Fehlermeldungen, Change-Anträge und Freigaben, bildet ky2help® als Workflows im BPMN-2.0-Prozessdesigner ab. Automatische Historisierung und das integrierte Daten-Audit unterstützen die Nachvollziehbarkeit. Für die Anbindung von Entwicklungsteams bietet ky2help® im Standard eine Schnittstelle zu Jira. Auf Wunsch läuft die Lösung in einer eigenen Instanz in einem Rechenzentrum in der Schweiz.
Risiken und Kontrollen bei agiler Entwicklung
Die folgenden Punkte sollten Verantwortliche für Risiko, Informationssicherheit und Compliance bei Scrum-Vorhaben im Blick behalten. Zu jedem Risiko ist eine passende Kontrolle genannt.
- Entscheidungen ohne Spur: Werden Prioritäten mündlich geändert, lässt sich später nicht rekonstruieren, warum eine Anforderung verschoben wurde. Kontrolle: das Product Backlog in einem Werkzeug mit Änderungsprotokoll führen.
- Aufgeweichte Definition of Done: Unter Termindruck werden Kriterien übersprungen. Der Guide ist hier eindeutig: Was die Definition of Done nicht erfüllt, darf weder ausgeliefert noch im Sprint Review gezeigt werden und geht zurück ins Product Backlog. Kontrolle: Stichproben durch eine vom Team unabhängige Stelle.
- Zwei Verantwortlichkeiten in einer Hand: Wer zugleich Product Owner und Scrum Master ist, setzt Prioritäten und beurteilt die Wirksamkeit des Teams, das sie umsetzt. Kontrolle: beide Verantwortlichkeiten verschiedenen Personen zuweisen.
- Externe Developers: Arbeiten Mitarbeitende eines Dienstleisters im Team mit, bleiben die vertraglichen Pflichten bestehen. Handelt es sich um eine Auslagerung im aufsichtsrechtlichen Sinn, gelten zusätzlich deren Anforderungen, etwa zu Zugriffs- und Prüfrechten. Kontrolle: Product Owner und Produktionsfreigabe im eigenen Haus belassen.
- Fehlende Verbindung zum Betrieb: Ein Team, das die Störungen seiner Software nicht sieht, kann nicht aus ihnen lernen. Kontrolle: Probleme mit Softwareursache als Einträge ins Product Backlog übernehmen und im Sprint Review offenlegen.
Sicherheitsvorfälle warten nicht auf den nächsten Sprint
Für Betreiberinnen und Betreiber kritischer Infrastrukturen gilt seit dem 1. April 2025 eine Meldepflicht für Cyberangriffe an das Bundesamt für Cybersicherheit (BACS), innert 24 Stunden nach Entdeckung. Ein Cyberangriff über eine Schwachstelle in der Software eines Scrum Teams gehört deshalb sofort in den Incident-Prozess und nicht erst in die nächste Priorisierung des Product Backlogs. Mehr zum Rahmen bietet der Glossarartikel ISO 27001.
Häufige Fragen zu Scrum und Governance
Was ist Scrum?
Scrum ist ein leichtgewichtiges Rahmenwerk für komplexe Vorhaben, deren Anforderungen sich erst während der Arbeit klären. Es legt drei Verantwortlichkeiten, fünf Events und drei Artefakte fest. Massgeblich ist der Scrum Guide 2020 von Ken Schwaber und Jeff Sutherland.
Ist Scrum mit regulatorischen Anforderungen vereinbar?
Ja, wenn die Lieferung in die Produktion über ein kontrolliertes Änderungsmanagement läuft und Kontrollen wie das Vier-Augen-Prinzip in der Definition of Done verankert sind. Scrum selbst regelt den Weg in die Produktion nicht.
Wer trägt in Scrum die Verantwortung für Prioritäten?
Der Product Owner. Der Scrum Guide verlangt, dass diese Verantwortung bei einer einzelnen Person liegt und die Organisation ihre Entscheidungen respektiert.
Wie wird in Scrum dokumentiert?
Über die Artefakte: Product Backlog mit Produkt-Ziel, Sprint Backlog mit Sprint-Ziel und Inkrement mit Definition of Done. Ergänzende Nachweise wie Testprotokolle oder Freigaben legt die Organisation in der Definition of Done fest.
Was ist der Unterschied zwischen Scrum und HERMES?
HERMES ist die Projektmanagementmethode der Bundeskanzlei und steuert ein Vorhaben als Ganzes. Scrum organisiert die Arbeit eines Entwicklungsteams. HERMES 2022 lässt eine agile Umsetzung ausdrücklich zu, beide lassen sich daher kombinieren.
Wie unterstützt ky2help die Nachvollziehbarkeit agiler Vorhaben?
ky2help® historisiert Bearbeitungen automatisch, bietet ein integriertes Daten-Audit und bildet Freigaben als Workflow im Prozessdesigner ab. Über die Standardschnittstelle zu Jira lassen sich Entwicklungsteams anbinden. Details zeigen wir in einer Live-Demo.
Quellen und weiterführende Artikel
Quellen
- Ken Schwaber, Jeff Sutherland: The Scrum Guide (November 2020)
- Scrum Guides: Änderungen zwischen 2017 und 2020
- Manifest für Agile Softwareentwicklung
- FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» (PDF)
- Fedlex: Bundesgesetz über den Datenschutz (DSG), Art. 7
- Bundeskanzlei: HERMES Online
- BACS: Meldepflicht für Cyberangriffe
Weiterlesen
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
