Experten-Talk – Power Pages – Enterprise-Portale ohne Kostenfallen

00:00:00: Stell dir vor, du kommst einem ganz normalen Montagmorgen ins Büro und deine Fachabteilung präsentiert ihr voller Stolz ein brandneues richtig glänzendes Kundenpartal.

00:00:13: Und sie sagen dir ja das haben wir einfach mal so übers Wochenende gebaut.

00:00:18: keine endlosen IT Meetings keine monatelangen Entwicklungszyklen.

00:00:22: der absolute Traum für die digitale Transformation

00:00:25: genau Ein riesiger Erfolg, oder?

00:00:28: Du denkst dir in dem Moment sicher.

00:00:29: Wahnsinn!

00:00:30: Das ist die Zukunft.

00:00:31: Ja… bis man dann mal genauer hinschaut.

00:00:34: Richtig

00:00:34: – denn unter dieser bunten Oberfläche tickt oft eine Zeitbombe.

00:00:39: Eine Bombe aus versteckten Kosten, unkontrollierbarer Schatten-IT und was am schlimmsten ist potenziellen DSGVO-Verstößen.

00:00:54: Genau, dieses Eisberg-Phänomen nehmen wir uns heute vor.

00:00:58: Wir stützen uns dabei auf sehr detaillierte Leitferden zur Plattform.

00:01:02: und unsere Mission heute – wir wollen verstehen wie man die Balance zwischen dieser enormen Geschwindigkeit von Low Code und der zwingend notwendigen Kontrolle durch die IT meistert!

00:01:13: Über der Wasseroberfläche sehen wir halt dieses Versprechen der grenzenlosen Agilität.

00:01:18: Aber was unter Wasser liegt, also die fehlende Architektur das kann ein ganzes Schiff zum sinken bringen.

00:01:25: Okay lass uns das mal aufschlüsseln.

00:01:27: wie wird ein Portal dass technisch in wenigen Tagen steht nicht zur absoluten organisatorischen Belastung?

00:01:33: Naja der eigentliche Hebel bei Power Pages liegt gar nicht in der Technologie selbst

00:01:37: sondern

00:01:38: In der strategischen Führung der Plattform, ohne die droht ihr ganz schnell eine chaotische Landschaft aus extrem teuren Altlasten.

00:01:45: Also bevor wir über irgendwelche IT-Regeln und Governance sprechen müssen wir über das reden was am Ende jeden Geschäftsführer interessiert?

00:01:54: Das Budget!

00:01:55: Oh ja – das Budget!

00:01:56: Weil wenn man die Leute auf dieser Plattform einfach machen lässt gibt es bei der nächsten Abrechnung oft ne richtig böse Überraschung.

00:02:04: Fangen wir doch mal beim Lizenzmodell an.

00:02:07: Das funktioniert hier ja fundamental anders.

00:02:09: Absolut!

00:02:10: Der Denkfieler, den fast alle Unternehmen am Anfang machen ist dieses Festhalten am klassischen Seed-Modell

00:02:16: Also Lizenzen pro Mitarbeiter.

00:02:18: Genau

00:02:19: Bei einem internen ERP System weißt du ich habe hundert Mitarbeiter also kaufe ich Hundert Lizencen Power Pages ist aber oft nach außen gerichtet.

00:02:28: Du baust dir ein Portal für deine Kunden oder Lieferanten.

00:02:32: Da kann ich ja unmöglich für jedem potenziellen Besucher auf der ganzen Welt vorab eine Lizenz kaufen.

00:02:37: Richtig!

00:02:38: Deshalb rechnet Microsoft hier nach Interaktion ab und da gibt es eine strategisch sehr, sehr wichtige Unterscheidung haben wir authentifizierte Nutzer oder anonyme Nutzer?

00:02:49: das heißt ein Lock-in Bereich verhält sich preislich völlig anders als sagen wir mal eine offene Informationswebseite

00:02:56: komplett anders weil der Wert für das Unternehmen ein anderer ist.

00:03:01: Bei den authentifizierten Benutzern, also wenn sich ein spezifischer Partner einloggt zahlst du pro eindeutigem Benutzer pro Monat.

00:03:09: Okay das ist dann dieses per User Month Modell?

00:03:12: Der Hintergrund ist einfach dass Du hier hochgradig personalisierte Daten sicher zur Verfügung stellst.

00:03:18: Das machst Du wenn Du eine hohe Kundenbindung hast aber die absolute Zahl der Nutzer eher überschaubar ist.

00:03:23: Verstehe und was es mit den Anonymenutzern?

00:03:26: Wenn du eine öffentliche Antragsstrecke baust, auf die Zehntausende Bürger zugreifen sollen ohne sich ein Konto anzulegen dann wechselst Du in das Modell für Anonyme Benutzer.

00:03:36: Da kaufst Du Kontingente für die gesamte Website.

00:03:39: Und wo passiert denn der Fehler in der Praxis?

00:03:42: Der Fehler passiert wenn eine Fachabteilung einen Portal für hunderttausend Nutzer plant und versehentlich das teurere Modell für authentifizierte Nutzer einkalkuliert, nur weil man halt ein Lock-in einbauen wollte.

00:03:54: Obwohl ein anonymer Prozester völlig gereicht hätte?

00:03:58: Krass!

00:03:59: Aber die reinen Nutzalizenzen sind ja noch gar nicht die eigentliche Falle

00:04:03: oder?!

00:04:03: Ne, der wirkliche Schmerzpunkt liegt woanders – beim sogenannten DataWurstspeicher.

00:04:08: Ah, das Dataverse-Monster!

00:04:10: Jede Interaktion mit dem Portal schreibt Daten in dieses Dataverse.

00:04:15: Um das mal für unsere Zuhörer greifbar zu machen, stell dir vor du mietest ein extrem teures Hochsicherheitspenthaus.

00:04:23: Beste Innenstadtlage, Klimaanlage, absolute Sicherheit?

00:04:27: Und anstatt dort zu wohnen nutzt du dieses Penthouse um alte Umzugskartons voller PDFs von Kundenanträgen zu lagern.

00:04:37: Genau, anstatt diese Kisten einfach in einen günstigen Lagerraum im Keller zu stellen.

00:04:41: In der IT-Welt wäre dieser Keller dann ein Azure Blob Storage?

00:04:45: Was hier echt faszinierend ist.

00:04:47: dein Penthouse Bild verdeutlicht das Kernproblem perfekt.

00:04:50: Das Dataverse ist eben keine banale Dateiablage

00:04:53: Auch wenn es sich für den Anwender vielleicht so anfühlt.

00:04:56: Richtig Es ist eine hochperformante Datenbank.

00:04:59: Wenn dort ein Datensatz angelegt wird passieren im Hintergrund Zichtdinge Indizes werden aktualisiert Workflows werden getriggert.

00:05:07: Das kostet immense Rechenleistung!

00:05:09: Und wenn eine Fachabteilung jetzt ein Portal baut, bei dem Kunden massenhaft hochauflösende Fotos hochladen und

00:05:16: all das landet ungefiltert im Dataverse?

00:05:19: Dann explodiert die Speicherkonsumption...

00:05:21: ...und die Rechnungen am Monatsende explodieren gleich mit

00:05:24: Ja leider.

00:05:26: Dateien gehören in den Azure Blob Storage.

00:05:29: Das Dataverse sollte nur den Link zu dieser Datei speichern.

00:05:33: Okay Wir haben das Penthouse aufgeräumt.

00:05:36: Wenn wir diese Architektur im Griff haben, stellt sich noch die Frage nach dem Bezahlmodell – wie minimiere ich das Risiko in einer Pilotphase?

00:05:44: Dafür gibt es den Pay As You Go Ansatz!

00:05:47: Du zahlst exakt das was in dem Monat an Logins passiert ist.

00:05:50: Ist wahrscheinlich etwas teurer pro Login

00:05:52: oder?!

00:05:53: Ja der Grundpreis ist höher… aber es ist ideal für den Staat ….

00:05:58: wenn sich die Zahlen dann stabilisieren wechselts du auf Capacity Add-ons also Prepaid Pakete.

00:06:04: Sehr smart, also zusammenfassend weg vom Seeddenken die PDFs aus dem Penthouse in den Keller schaffen und bei der Abrechnung clever wechseln.

00:06:14: Aber wenn unkontrollierte Portale uns derart in die Kostenfalle treiben können wie verhindern wir dann diesen Wildwuchs?

00:06:22: Da sind wir beim Lieblingsthema jedes agilen Teams – Governance!

00:06:26: Oh ja, Governance.

00:06:27: es ist der Moment in dem die Schatten-IT plötzlich sichtbar wird.

00:06:31: Ohne Governance hast du plötzlich fünfzig verschiedene Portale im Unternehmen, oder?

00:06:35: Und keines ist dokumentiert.

00:06:37: Die ursprünglichen Ersteller haben das Unternehmen längst verlassen und die IT hat keine Ahnung welche Daten da eigentlich ins Netz fließen.

00:06:45: Die Best Practice sagt hier ganz klar – niemals die Default-Umgebung für produktive Portale nutzen!

00:06:51: Niemals.

00:06:52: ja es braucht eine strikte Trennung in drei Instanzen.

00:06:56: Erstens die Entwicklungsumgebung zum Experimentieren Zweitens die Test- und QA Umgebung zur Validierung.

00:07:04: Und drittens die Produktionsumgebung, genau wie extrem streng reglementiert ist.

00:07:09: Dazu kommen dann Managed Environments und Dataloss Prevention Richtlinie kurz DLP.

00:07:15: Und ein Center of Excellence oder ein zentrales Register?

00:07:20: Richtig!

00:07:21: Hier wird es wirklich interessant.

00:07:24: aber Moment mal da muss ich kritisch nachfragen.

00:07:27: Klar schießlos.

00:07:28: Zerstören wir mit drei Instanzen und einem zentralen Register nicht genau die Schnelligkeit, die Powerpages eigentlich verspricht?

00:07:36: Das klingt für mich nach typischer IT-Bürokratie.

00:07:39: Verstehe

00:07:39: ich aber wenn wir das mit dem großen Ganzen verbinden ist Governance kein Hindernis es ist der Enabler.

00:07:46: Ich nenne das gerne Innovation mit Leitplanken.

00:07:49: Leitplanken okay erklär mir das mal.

00:07:52: wie macht mich das schneller?

00:07:54: Wenn du keine klaren Regeln hast hast du bei jedem Klick Angst.

00:07:57: Du denkst dir, oh Gott wenn ich hier den falschen Workflow baue schicke ich vielleicht versehentlich Kundendaten an soziale Medien.

00:08:04: Und das bremst mich weil ich ständig die IT um Erlaubnis fragen muss?

00:08:08: Exakt!

00:08:09: Die DLP-Richtlinien nehmen Dir diese Angst.

00:08:12: Die IT definiert im Vorfeld dass der Konnektor für das CRM niemals Daten an X oder Dropbox übergeben darf.

00:08:20: Ah...das System blockt das also von vornherein ab.

00:08:23: Auf Plattformebene ja Du kannst in deiner Sandbox experimentieren, wie du willst.

00:08:28: Du kannst das System nicht kaputt machen.

00:08:30: Das ist ja wie beim Bowling für Kinder wo diese Banden hochgefahren sind.

00:08:33: Schönes Bild!

00:08:35: Du kannst die Kugel mit voller Wucht werfen.

00:08:37: sie räumt vielleicht nicht jeden Pin ab aber sie landet auf jeden Fall auf der Bahn und nicht im Publikum.

00:08:42: Und dass automatische Archivieren durch das Center of Excellence ist dann der Mechanismus.

00:08:46: Der liegengebliebene Kugeln wegräumt Nach X Monaten Inaktivität wird archiviert.

00:08:51: So die internen Regeln stehen.

00:08:53: Aber Was passiert, wenn Angreifer von außen kommen oder Datenschutzbehörden anklopfen?

00:09:00: Wir müssen über Fort Knox in der Cloud sprechen.

00:09:03: Ein Portal ins öffentliche Internet zu stellen bedeutet heute dass es in Minuten abgetastet und angegriffen wird.

00:09:10: Für die externe Abwehr haben wir Premiere Azure Front Door Und die Web Application Firewall Die WAV.

00:09:18: Was machen sie konkret bei einer DDOS-Attacke?

00:09:20: Stell dir vor Zehntausend falsche Kunden quetschen sich gleichzeitig durch die Eingangstür deines Ladens.

00:09:26: Die echten Kunden kommen nicht mehr durch...

00:09:28: ...und der Laden bricht zusammen!

00:09:29: Genau, Azure Front Door und die WAF erkennen diese falschen Kunden und lassen sie durch eine Falltür verschwinden.

00:09:36: Und was ist mit SQL Injections?

00:09:39: Da gibt jemand in einen Suchfeld keinen Namen ein sondern einen Datenbankbefehl.

00:09:44: zum Beispiel lösche alle Benutzer-Tabellen.

00:09:47: Die WAF analysiert jeden Text.

00:09:49: Sobald sie merkt, dass das Code ist, blockt sie die Anfrage

00:09:52: ab.

00:09:53: Okay der äußere Ring steht bei der Identitätskontrolle.

00:09:57: nutzen wir EntraID mit Multifaktor-Authentifizierung?

00:10:01: Aber das krasseste ist ja das Dataverse Sicherheitsmodell.

00:10:05: Das arbeitet nach dem Prinzip der geringsten Berechtigung Least Privilege!

00:10:09: Das heißt ein Nutzer darf standardmäßig erstmal absolut gar nichts.

00:10:13: Ich habe das mal bildlich zusammengefasst Das System ist wie ein elitärer VIP-Club.

00:10:19: Okay?

00:10:19: DeFirewall ist der Türsteher, der Randallierer Abwert.

00:10:23: EntraID prüft den Ausweis Aber das Dataverse Sicherheitsmodell setzt dir drinnen eine magische Brille auf so dass du wirklich nur deinen eigenen Tisch sehen kannst und der Rest des Clubs für dich unsichtbar isst.

00:10:35: Das Bild ist hervorragend weil es dem geschäftlichen Mehrwert auf den Punkt bringt.

00:10:40: Inwiefern?

00:10:41: Diese Zeilen basierten Rechte passieren tief in der Datenbank.

00:10:44: Die Datenbank liefert Kunde A physisch nur die Rechnungen von Kunde a aus.

00:10:49: Kunde B existiert in der Antwort gar nicht!

00:10:51: Genau und dazu kommt die Spalten-Sicherheit, du siehst ein Supportfall aber die Spalte mit den internen Kommentaren der Mitarbeiter bleibt für dich unsichtbar

00:11:00: Wahnsinn wenn eine Firma dieses Level an Sicherheit selbst programmieren müsste?

00:11:05: Das würde unbezahlbare Ressourcen binden.

00:11:08: Microsoft nimmt dir die Infrastruktur ab.

00:11:10: Du musst nur das Berechtigungskonzept sauber definieren

00:11:13: Und wir dürfen die DSGVO nicht vergessen.

00:11:16: Ein extrem wichtiges Thema, die regionale Datensouveränität.

00:11:19: Früher war das ja ein harter Blocker für die Cloud Aber

00:11:22: bei Powerpages wählst du die Rechenzentren gezielt aus Frankfurt für Deutschland Zürich für die Schweiz.

00:11:28: Die Daten bleiben auf nationalem Territorium inklusive Audit-Locks für die Revision.

00:11:33: Wir kennen jetzt die Kostenfallen, die internen Regeln und die externen Mauern.

00:11:38: Wie baut man das nun in der Praxis auf ohne Aufhalberstrecke zu scheitern?

00:11:42: Es gibt da diesen fünf Punkte-Fahrplan.

00:11:45: Ein Projekt scheitert nämlich selten an der Technik, sondern an einer unklaren Roadmap.

00:11:50: Phase eins ist die Definitionsphase

00:11:53: Zielgruppe, Datenminimierung und AoI-Metriken.

00:11:56: Genau!

00:11:57: Du musst wissen was du einspaßt.

00:11:59: Sonst stampft das Management das Projekt ein wenn die Lizenzkosten kommen.

00:12:03: Also was bedeutet das für dich als Zuhörer?

00:12:06: Besonders wichtig finde ich Phase zwei Den Proof of Concept

00:12:10: Failfast oder Scalefast.

00:12:11: Ja Wir müssen der Versuchung des Big Bang Launches widerstehen.

00:12:16: Lieber in zwei bis vier Wochen eine Kernfunktion testen!

00:12:19: Absolut,

00:12:20: du validierst deine Kosten-Nutzenrechnungen mit echten Daten.

00:12:23: Wie hoch ist die Dataverse Consumption wirklich?

00:12:26: Und dann kommt Phase drei – Der Governance und Security Check DLP WAF PEN Tests.

00:12:32: Das Fundament wird gehärtet, skaliere erst auf einem festen Fundament.

00:12:37: Dann Phase Vier das Rollout-Szenario Phasenweise.

00:12:41: Also erst interner Beta-Test, dann Friendly User, dann globaler Go Live.

00:12:46: Und Phase Fünf ist schließlich der Betrieb und die Optimierung.

00:12:49: Logins überwachen, Updates prüfen.

00:12:53: Puh da haben wir heute echt tief gegraben.

00:12:55: Ja

00:12:55: war ein ziemlicher Ritt.

00:12:56: Also fassen wir das mal kurz und knackig zusammen.

00:12:59: Powerpages ist nicht nur ein nettes Web-Tool Es ist eine integrierte Datenstrategie.

00:13:05: Ganz genau

00:13:06: Wir haben Sicherheit durch die Architektur, die Kosten als Stellschraube, Governance als Beschleuniger und Compliance ohne Grenzen.

00:13:14: Das bringt es perfekt auf den Punkt wobei das wirft abschließend noch eine wichtige Frage

00:13:20: auf.

00:13:20: Oh jetzt bin ich gespannt!

00:13:22: In den Quellen war am Rande auch vom Co-Pilot Studio und autonomen Prozessen die Rede wenn wir sehen wie KI die Power Platform durchdringt.

00:13:31: Wie lange wird es wohl noch dauern bis wir gar keine manuellen Governance regeln?

00:13:35: oder Center of Excellence mehr

00:13:37: brauchen.

00:13:38: Weil eine KI das übernimmt?

00:13:39: Genau!

00:13:40: Stell dir vor, eine KI fungiert im Hintergrund als unsichtbare IT-Leiter.

00:13:45: Sie korrigiert Architekturfehler DSGVO Risiken und Kostenfallen völlig autonom in Echtzeit noch während der Mitarbeiter das Portal baut.

00:13:54: Wow!

00:13:54: Denk mal darüber nach was das für die Zukunft bedeutet.

00:13:57: Ein wirklich faszinierender Gedanke.

00:13:59: zum Schluss also wenn dir morgen jemand erzählt erbaut schnell mal ein Portal.

00:14:03: denk an den Eisberg und an die magische Brille im VIP-Club.

00:14:07: Vielen Dank fürs Einschalten zu dieser tiefgehenden Analyse, bis zum nächsten Mal!