CIO-Interview: «Wir wollen eine wertschöpfende Einheit für die Firma sein»

Swiss IT Magazine: Auf der Website Ihres Arbeitgebers Farner Consulting beschreiben Sie sich selbst als Tech-Nerd. Zeigt sich das teilweise auch in der IT, die Sie verantworten? Können Sie Ihre Passion ausleben?
Flurin Stucki: Das kann ich, ja. Ich bin eine Person, die gerne in Problemstellungen eintaucht, lerne entsprechend viel über die Gegebenheiten eines Problems und finde so heraus, was die passendste Lösung ist. Wenn es beispielsweise darum geht, eine Video-Conferencing-Lösung anzuschaffen, dann hilft ein gewisses Interesse respektive Verständnis zu Themen wie Raumakustik und Halleffekten. Ein Nerd zu sein, ist dann hilfreich bei der Auswahl der besten Lösung.

Ich gehe davon aus, dass es sich bei der IT von Farner als Kommunikationsagentur weitgehend um eine Standard-­Office-Umgebung handelt. Gibt es nichtsdestotrotz Bereiche, in denen die IT von Farner vom Standard abweicht? Gibt es Besonderheiten in der IT, die Sie verantworten?
Eine Besonderheit ist sicherlich die Tatsache, dass unsere Infrastruktur sehr schlank aufgebaut ist. Obwohl es unsere Firma bereits seit mehr als 70 Jahren gibt, unterhalten wir ein sehr überschaubares Portfolio an Tools und betreiben sehr wenige Legacy-Services, die betreut werden wollen. Das hilft uns, sehr schnell und agil neue Tools einzuführen, wenn Bedarf für solche vorhanden ist. Ausserdem setzen wir stark auf die Cloud und treiben die Automatisierung voran. Ein Beispiel hierbei ist unser Bestreben Richtung Zero-Touch-Deployment, das wir beim Roll-out von neuen Geräten zum Standard machen wollen, um den Aufwand für den Bereich Operations so gering wie möglich zu halten.


Können Sie ganz grundsätzlich die Eckpfeiler dieser schlanken Infrastruktur und Ihre IT-Strategie als solche umschreiben?
Wir haben eine No-Ops- oder Cloud-only-­Strategie, die stark auf Skalierung ausgelegt ist. Farner hat sich zum Ziel gesetzt, innerhalb der kommenden Jahre stark zu wachsen – entsprechend muss die Infrastruktur auf dieses Wachstum vorbereitet sein. Wir möchten mit unserer IT alle Stufen – von der Stufe Operator bis zu Stufe Business Enabler – abdecken können. Bezüglich Operator ist uns wichtig, dass alle Services stabil laufen. Und als Business Enabler wollen wir eine wertschöpfende Einheit für die Firma sein, die zusätzliche Berührungspunkte mit unseren Kunden generiert und die unsere Kommunikationsdienstleistungen mit Technologie unterstützt.

Können Sie die Cloud-only-Infrastruktur, die Sie angesprochen haben, noch etwas ausführen?
Cloud-only heisst, dass wir keine Services On-Premises betreiben. Denn wir vertreten die Ansicht, dass das Thema Hosting und das Betreiben von Servern nicht zu unseren Kernkompetenzen gehört – das können grosse, spezialisierte Anbieter besser, schneller und flexibler. Darum haben wir uns entschieden, mit grossen Anbietern zusammenzuarbeiten, von denen wir die benötigten Services aus der Cloud beziehen, und uns auf die Bewirtschaftung dieser Services fokussieren.

Sie haben vorhin erklärt, dass Sie versuchen, eine wertschöpfende IT bereitzustellen. Wo kann IT denn wertschöpfend sein in einer Kommunikationsagentur?
In der Kommunikation ist es oftmals so, dass es Schnittstellen zu Technologien gibt – intern wie extern. Wir können hier als Sparring-Partner unseren Teil dazu beitragen, bessere Kommunikationslösungen zu entwickeln, um die Zusammenarbeit zu verbessern oder um auf Basis von Daten bessere Entscheidungen zu fällen. Ausserdem können wir durch Evaluation und Einführung der passendsten Tools, zum Beispiel den für Medienversand oder im Digital-Bereich, dem Kunden eine qualitativ hochstehende und insbesondere sichere Lösung bieten, die alle Datenschutz- und Sicherheitsanforderungen erfüllt.


Kommunikation und Kollaboration sind das Herz des Geschäfts von Farner. Auf welche Lösungen setzen Sie hierbei?
Wir setzen hauptsächlich auf Microsoft 365 als zentralen Hub für unsere interne Arbeit und die Kommunikation. Gleichzeitig bleiben wir möglichst offen für andere Kommunikationslösungen, um so flexibel wie möglich mit unseren Kunden arbeiten zu können, ohne dass für die Kunden Aufwand generiert wird. Der Kunde soll in der Zusammenarbeit mit uns mit den Lösungen arbeiten können, mit denen er ohnehin vertraut ist.

Farner unterhält sechs Standorte in der Schweiz. Bringt das IT-technisch Herausforderungen mit sich?
Die Standorte sind mittels eines MPLS-Netzwerks miteinander verbunden, aber Herausforderungen bringen die Standorte dadurch, dass wir stark auf die Cloud setzen, eigentlich keine mit sich. On-Site-Support-Einsätze braucht es kaum, und das Gros der Services wird zentral verwaltet – IT-Personal vor Ort ist somit nicht nötig.

IT-Personal ist ein gutes Stichwort: Wie viele Leute kümmern sich bei Farner um die IT?
Wir sind als Dreierteam unterwegs – mich eingeschlossen – und gemeinsam mit den Abteilungen HR und Finance Teil der Management Services. Management Services bildet quasi den Backbone der Firma. Zum Teil setzen wir in der IT auch auf externe Partner. Aber dadurch, dass wir wie erwähnt sehr schlank unterwegs sind und auf Cloud-Services fokussieren, können wir vieles auch selbst machen.

Können Sie etwas zu aktuellen oder kürzlich abgeschlossenen Projekten erzählen?
Ein grosses Projekt, das wir im letzten Jahr abgeschlossen haben, ist die Zertifizierung nach ISO 27001 und ISO 27701. Ebenfalls kürzlich abgeschlossen haben wir eine Cyber-Awareness-Kampagne. Dann sind wir daran, eine Zero-Trust-­IAM-Architektur zu implementieren – also nicht nur unsere Netzwerke zu schützen, sondern dafür zu sorgen, dass sich die Nutzer auch an den einzelnen Applikationen authentifizieren müssen. Ein weiteres aktuelles Projekt betrifft die Komplettmigration auf Microsoft Teams als Kollaborations-Hub – sprich für Chat, Telefonie und Video-Calls wie auch für das Projektmanagement.


Warum hat sich Farner entschlossen, die ISO-Zertifizierungen 27001 und 27701 zu absolvieren? Und wie ist die Zertifizierung in groben Zügen abgelaufen?
Als führende Agentur möchten wir Vorreiter in der Kommunikationsbranche sein und unseren Kunden zeigen, dass wir die Themen Datenschutz und Datensicherheit ernst nehmen, dass wir in der Lage sind, ihre Daten zu managen, und dass sie uns ihr Vertrauen schenken können. Wir haben im Vorfeld mit einem externen Partner eine Gap-Analyse durchgeführt und danach die Handlungsfelder definiert. Innerhalb eines Jahres haben wir die komplette Farner-Gruppe zertifiziert und dabei unter anderem ein Risk Management, Business Continuity Management und Datenschutzrichtlinien erstellt sowie Prozesse vollständig dokumentiert. Dabei wurden wir in der Vorbereitung von der Swiss Infosec unterstützt. Im Verlauf des Prozesses wurden wir immer wieder mit Strategie-Entscheidungen konfrontiert – etwa dazu, wie unser ­Authentifizierungskonzept ausschaut, unser Backup-Konzept oder unser Change­Management-Konzept. Solche Punkte mit einem ISO-Framework zu definieren hilft, die IT und letztlich die ganze Firma auf ein solides Fundament zu stellen.

Wie aufwendig war die ISO-Zertifizierung?
Ich muss schon sagen, dass die Zertifizierung recht aufwendig war, auch wenn man Fokuspunkte setzen kann und gerade als kleinere Firma nicht jedes Detail zu 100 Prozent umsetzen kann und muss, um die Zertifizierung zu erreichen. Aber das Ganze hat uns rund ein Jahr lang beschäftigt.

Sie haben das Thema Datenschutz als einen der Gründe für die ISO-Zertifizierung genannt. Gleichzeitig setzt Farner auf grosse Cloud-Anbieter, was bezüglich Datenschutz unter Umständen schwierig sein kann. Gibt es Bereiche, wo Farner aus Datenschutzgründen auf lokale Schweizer Cloud-Anbieter setzen muss?
Als zertifiziertes Unternehmen legen wir grossen Wert darauf, dass wir uns innerhalb der Schweizer Datenschutzrichtlinien bewegen und international innerhalb der DSGVO agieren. Dabei kann es durchaus vorkommen, dass wir gewisse Cloud-Dienste und Tools aus Datenschutzgründen nicht einsetzen können. Gleichzeitig haben gerade auch grosse Cloud-Anbieter in den letzten Jahren Anstrengungen unternommen, damit die Daten in der Schweiz gehostet werden und dass so die Datenhoheit Schweiz gegeben ist.


Sie haben auch erwähnt, kürzlich eine Cyber-Awareness-Kampagne abgeschlossen zu haben. Sehen Sie bezüglich Security den Faktor Mensch als grösstes Risiko und wenn ja, wie adressieren Sie dieses Risiko?
Es ist grundsätzlich zu begrüssen, dass die Cybersecurity-Bemühungen in den letzten Jahren stark zugenommen haben. Auch haben immer mehr Firmen Awareness-­Trainings mit ihren Mitarbeitenden durchgeführt. Diese beschränken sich jedoch meist auf Phishing-Mail-Attacken oder Online-Quizzes und auf Schulungen. Was mir dabei fehlt, ist der kommunikative Aspekt einer Awareness-­Kampagne. Wir bei Farner sind uns dessen naturgemäss besonders bewusst, und wir haben aus verschiedenen Bereichen auch viel Erfahrung, was das Thema Awareness-Kampagnen und das Sensibilisieren von Menschen angeht. Um Cyber Awareness nachhaltig ins Bewusstsein zu rufen, muss der Mensch auf seiner Reise begleitet werden – es reicht nicht, nur ein Training durchzuführen, und dann ist gut. Cyber Awareness beginnt bei der initialen Aufmerksamkeit, geht hin zu ersten Wissensinformationen über das Schaffen von Verständnis für das Thema bis hin zur Änderung der Einstellung und das Übergehen in ein nachhaltiges Verhalten.

Können Sie hierzu ein, zwei Beispiele nennen, wie Sie vorgehen?
Für die initiale Aufmerksamkeit beispielsweise arbeiten wir stark mit visueller Kommunikation – mit Bildern. Oder wir schaffen Awareness für Cybersecurity, indem wir das Thema mit Bereichen des Lebens verknüpfen, wo der Sinn für Sicherheit stärker ausgeprägt ist. Beispielsweise schliesst praktisch jeder Mensch, wenn er aus dem Haus geht, die Türe ab. Jeder versteht das. Wenn es aber darum geht, den PC zu sperren, sobald man den Arbeitsplatz verlässt, fehlt es oft am Bewusstsein. Wenn man diese beiden Situationen aber verknüpfen und kommunikativ begleiten kann, dann ist die Chance höher, ein nachhaltiges Bewusstsein für Cybersecurity zu schaffen.

Farner berät andere Unternehmen, wenn es zu einer Cyberattacke ­gekommen ist. Werden Sie als CTO bei solchen Vorfällen beratend hinzugezogen?
Farner beschäftigt ein sehr gut ausgebildetes Technologie-Team mit sehr viel Erfahrung und viel Verständnis für das Thema. Mit dem Cyber Incident Hub haben wir gemeinsam mit Partnern zudem das erste interdisziplinäre Beratungspaket lanciert, das im Falle eines Cyberangriffs die Kompetenzen der beteiligten Partner aus IT-Security, Recht und Kommunikation bündelt. Ebenfalls unterhalten wir eine Partnerschaft mit der Anwaltskanzlei Härting Rechtsanwälte sowie Infoguard, in deren Rahmen wir «Databreach Notification as a Service» anbieten, um betroffenen Unternehmen mit rechtlicher, technischer und kommunikativer Unterstützung im Fall von Datenschutzrechtsverletzungen zur Seite zu stehen. Es ist also viel spezialisierte Kompetenz vorhanden, weshalb sich mein Beitrag darauf beschränkt, das Team bei Technologiefragen zu unterstützen.


Welche Aufgaben gehören nebst der IT-Verantwortung denn sonst noch zu Ihrer Rolle als CTO?
Sicher die erwähnte Rolle als Berater und Sparring-Partner für unsere Kommunikationsspezialisten und Kunden, wenn es um Technologiethemen geht. Daneben bin ich im Tech-Scouting aktiv – sprich: ich suche nach Lösungen, damit wir im Unternehmen besser zusammenarbeiten können. Zusätzlich bin ich als CTO auch verantwortlich für die Themen Infrastruktur und Räumlichkeiten, was durchaus Sinn macht. Denn sobald IT-Hardware beschafft werden muss, hat das Auswirkungen auf Räumlichkeiten und umgekehrt.

Wo liegen die grössten Herausforderungen in Ihrer täglichen Arbeit?
Eine konstante Herausforderung ist mit Sicherheit das stetige Balancieren zwischen dem Wunsch seitens IT nach Standardisierung, nach Homogenisierung, nach Sicherheit und nach Skalierbarkeit, und dem Wunsch der Belegschaft nach Individualisierung, nach Freiheit und nach neuesten Tools und den coolsten Gadgets. Ich denke, mit dieser Herausforderung bin nicht nur ich konfrontiert, sondern viele andere CTOs und CIOs.

Können Sie zum Abschluss noch etwas zu anstehenden Projekten erzählen – Projekten, die in den kommenden Monaten in Angriff genommen werden sollen?
Ich absolviere aktuell einen EMBA-Studiengang, und in diesem Rahmen bin ich daran, ein New-Work-Konzept für Farner Consulting zu schreiben. Dabei geht es um die Optimierung des Zusammenspiels von IT und von Menschen – also unserer Belegschaft – und um die Frage, wie wir in den kommenden fünf Jahren arbeiten werden. Welche Technologien wollen wir verwenden, wie soll die Zusammenarbeit funktionieren, welche Räumlichkeiten nutzen wir und wie wirkt sich all das auf die Führung aus? Nach Abschluss dieses Konzepts werde ich dem Management verschiedene Handlungsempfehlungen vorlegen, und dann wird entschieden, was umgesetzt wird.


Gibt es denn auch Projekte oder Wünsche, die Sie und Ihr Team seitens IT bereits jetzt gerne umsetzen und realisieren würden, aus etwelchen Gründen aber nicht können?
Da gibt es verschiedene Dinge. Ein Beispiel sind die diversen coolen Tools auf dem Markt, die von Start-ups entwickelt wurden und die wir unseren Nutzern gerne zur Verfügung stellen würden, aber aus Datenschutzgründen, aufgrund Bedenken bezüglich Skalierungsfähigkeit oder wegen Restriktionen bezüglich Integration nicht dürfen. Denn letztlich ist es halt schon so, dass wir nur dann schlank und agil bleiben, wenn wir es auch weiterhin schaffen, uns zu fokussieren, und eine möglichst homogene Infrastruktur bereitstellen – trotz all der Möglichkeiten, die es gibt. Doch der Fokus hilft uns ungemein, denn der Aufwand für Wartung und Weiterentwicklung steigt mit der Anzahl eingesetzter Tools sehr rasch exponentiell an.

Flurin Stucki

Flurin Stucki hat bei der Swica eine Lehre als Systemtechniker gemacht, später ein Studium in Wirtschaftsinformatik absolviert und ist aktuell in den letzten Zügen eines Executive MBA im Bereich Digitale Transformation. Seine beruf­liche Laufbahn führte ihn nach der Lehre zur ETH Zürich und danach zur Edelweiss Air, bevor er für rund fünfeinhalb Jahre beim Unternehmen Generis im Bereich IT-Projektleitung tätig wurde und dabei auch die Verantwortung für die IT übernahm. Seit knapp zwei Jahren ist der heute 31-Jährige als Chief Technology Officer (CTO) bei der Kommunika­tions­agentur Farner beschäftigt.

Zum Unternehmen

Farner Consulting gehört mit zu den grössten Kommunikationsagenturen in der Schweiz und ist laut dem Verband Leading Swiss Agencies seit vergangenem Jahr die ertragsstärkste Agentur des Landes. Das Unternehmen wurde 1951 gegründet, beschäftigt heute mehr als 200 Mitarbeitende und unterhält sechs Standorte in der Schweiz – in Zürich, St. Gallen, Basel, Bern, Lausanne sowie im Tessin.