Citizen Development sicher skalieren: Aufbau eines Power Platform Center of Excellence

Von Mirko Peters · 2026-08-13

Willkommen zurück in der Sendung, Datenfans, Low-Code-Enthusiasten und Enterprise-Architekten! Wenn Sie unsere letzte Podcastfolge gehört haben, wissen Sie, dass wir uns intensiv mit der faszinierenden und manchmal chaotischen Welt der Citizen Development beschäftigt haben. Heute bauen wir darauf auf. Wir zeigen Ihnen den umfassenden Bauplan, mit dem Sie die Einführung von Low-Code skalieren, ohne

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Titelbild: Scaling Citizen Development Safely: Building a Power Platform Center of Excellence

Jahrelang waren IT-Abteilungen die alleinigen Wächter der Softwareentwicklung. Brauchte eine Fachabteilung eine individuelle App oder einen automatisierten Workflow, reichte sie ein Ticket ein und wartete Monate, manchmal Jahre, bis die Entwicklung abgeschlossen war. Heute sieht das anders aus. Werkzeuge wie Microsoft Power Platform haben die Softwareerstellung grundlegend demokratisiert. Finanzmanager entwickeln inzwischen komplexe Canvas-Apps, HR-Spezialisten automatisieren Onboarding-Prozesse mit Cloud-Flows, und Operations-Teams nutzen Power BI, um Bestandskennzahlen in Echtzeit zu visualisieren. Das ist das Zeitalter der Citizen Developer. Doch mit dieser enormen Befähigung kommt ein gewaltiger administrativer Kopfschmerz: Governance, Sicherheit und Wildwuchs.

In diesem Beitrag zeigen wir Ihnen die konkreten Strategien, mit denen Sie ein Power Platform CoE aufbauen, das Ihre Entwickler stärkt und gleichzeitig Ihre Organisation sicher, compliant und effizient hält.

Was ist ein Power Platform Center of Excellence (CoE)?

Bevor wir uns den operativen Mechanismen widmen, klären wir zunächst, was ein Center of Excellence in diesem Kontext eigentlich ist. Kurz gesagt: Ein Power Platform CoE ist ein zentrales Team, ein Rahmenwerk und eine Sammlung von Praktiken, die Low-Code-Entwicklung im gesamten Unternehmen vorantreiben, fördern und steuern.

Betrachten Sie das CoE nicht als traditionellen, bürokratischen IT-Wächter, der jede Anfrage mit „Nein“ beantwortet. Verstehen Sie es vielmehr als Ermöglicher, als Lotse und als Förderer von Innovation. Ein erfolgreiches CoE stellt die Leitplanken, Schulungen und Architekturstandards bereit, mit denen Citizen Developer großartige Lösungen sicher entwickeln können. Es schließt die Kommunikationslücke zwischen Fachbereichen, die den operativen Bedarf verstehen, und IT-Abteilungen, die für Sicherheit, Compliance und die Gesundheit der Infrastruktur verantwortlich sind.

Ohne ein CoE geraten Organisationen schnell in isolierte Entwicklungssilos, redundante Apps, stark steigende Lizenzkosten und gravierende Sicherheitslücken. Mit einem CoE verwandeln Sie Low-Code von einem unkontrollierten Risiko in ein strategisches Unternehmensgut.

Governance und Innovation in Balance bringen

Eine der heikelsten Gratwanderungen für IT-Verantwortliche ist die Balance zwischen Governance und Innovation. Ist Ihre Governance zu restriktiv und verlangt für jeden noch so kleinen Workflow umfangreiche Sicherheitsprüfungen, lange Genehmigungen und gesperrte Umgebungen, zerstören Sie genau die Agilität, die Low-Code überhaupt attraktiv macht. Anwender umgehen die IT dann einfach und landen im gefährlichen Terrain der Schatten-IT.

Umgekehrt gilt: Ohne jede Governance laden Sie das Desaster geradezu ein. Am Ende existieren Tausende verwaiste Apps, die mit sensiblen Produktivdatenbanken verbunden sind, fest codierte API-Schlüssel im Klartext und keinerlei Transparenz darüber, wer was besitzt. Ein reifes CoE findet den Mittelweg.

Ziel ist eine Kultur der „geführten Autonomie“. Sie stellen Entwicklern die Werkzeuge, Vorlagen und vorab genehmigten Umgebungen bereit, die sie für schnelles Arbeiten brauchen, während im Hintergrund die Automatisierung ihre Lösungen unauffällig auf Compliance, Sicherheitsrisiken und Nutzungskennzahlen überwacht. So wechseln Sie von reaktivem Feuerlöschen zu proaktiver Verantwortung.

Umgebungsstrategie und Verwaltung strukturieren

Das Fundament jeder gesunden Power-Platform-Bereitstellung ist eine belastbare Umgebungsstrategie. Wenn Sie allen Mitarbeitenden in Ihrer Organisation erlauben, Apps und Flows in der Standardumgebung zu erstellen, spielen Sie mit dem Feuer. Die Standardumgebung ist für alle lizenzierten Benutzer zugänglich. Dadurch ist sie ein gefährlicher Ort, um produktionsreife Unternehmensanwendungen mit experimentellen Schulungsprojekten zu vermischen.

Umgebungsstufen (Tiering) entwerfen

Ein reifes CoE richtet klar getrennte Umgebungen ein, die auf die verschiedenen Phasen des Anwendungslebenszyklus zugeschnitten sind. Ihre Architektur sollte mindestens Folgendes umfassen:

Die Standardumgebung: Eignet sich am besten für persönliche Produktivität, Lernzwecke und kleinere Experimente. Strikte Richtlinien sollten hier einschränken, was angebunden werden kann.
Sandbox-Umgebungen: Isolierte Bereiche, in denen Citizen Developer ebenso wie professionelle Entwickler neue Lösungen, Integrationen und komplexe Geschäftslogik testen können, ohne Produktivdaten zu gefährden.
Produktionsumgebungen: Dedizierte, streng kontrollierte Bereiche, in denen vollständig geprüfte, geschäftskritische Anwendungen laufen. Der Zugriff auf diese Umgebungen sollte strikt verwaltet werden.

Wenn Sie diese Segmentierung konsequent umsetzen, verhindern Sie, dass ein fehlerhafter Testablauf in einer Trainingsumgebung ein kritisches Finanzberichtswerkzeug lahmlegt, das die Geschäftsleitung nutzt.

Schatten-IT erkennen und sichtbar machen

Schatten-IT ist der Schrecken vieler IT-Abteilungen in Unternehmen. Gemeint sind Software, Anwendungen und Systeme, die von Fachbereichen ohne formelle Genehmigung oder Wissen der IT-Organisation eingesetzt werden. Im Umfeld von Power Apps und Power Automate passiert das täglich, wenn ein engagierter Mitarbeitender einen privaten Mandanten anbindet oder einen nicht genehmigten automatisierten Workflow mit Unternehmensdaten erstellt.

Was Sie nicht sehen, können Sie auch nicht governen. Deshalb ist das Microsoft Power Platform CoE Starter Kit – ein Paket aus Vorlagen, Dashboards und automatisierten Flows, das Microsoft bereitstellt – ein echter Game-Changer.

Mit dem Einsatz des CoE Starter Kit erhält Ihr Administrationsteam eine umfassende Inventarübersicht. Das Starter Kit führt im Hintergrund Prüfungen über Ihren gesamten Mandanten aus und erfasst automatisch jede App, jeden Flow, jede Umgebung und jeden benutzerdefinierten Connector, die aktuell vorhanden sind. Es zeigt Ihnen, wer die Ressource erstellt hat, wann sie zuletzt geändert wurde, wie viele Benutzer sie gemeinsam nutzen und auf welche Datenquellen sie zugreift.

Mit diesen Informationen können Sie den Wandel vollziehen: Statt Schatten-IT zu jagen, binden Sie die Macher in die Governance ein. Wenn Sie eine nicht genehmigte, geschäftskritische App entdecken, sperren Sie den Benutzer nicht. Nehmen Sie stattdessen Kontakt auf, würdigen Sie den Einfallsreichtum und helfen Sie dabei, die Lösung in eine ordnungsgemäß verwaltete Umgebung mit der passenden Sicherheitsstruktur zu überführen.

Wirksame Richtlinien zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) umsetzen

Datenabfluss gehört zu den größten Risiken bei Low-Code-Entwicklung. Plattformen wie Power Platform machen es außerordentlich einfach, unterschiedliche Systeme miteinander zu verbinden – etwa Daten aus einer gesicherten SQL-Datenbank herauszulesen und in einen öffentlich zugänglichen Twitter-Feed oder einen nicht genehmigten externen Cloudspeicher-Anbieter zu übertragen. Deshalb müssen Sie strikte DLP-Richtlinien implementieren.

DLP-Richtlinien wirken wie Zäune um Ihre Daten. Sie legen fest, welche Connectors innerhalb einer einzelnen App oder eines Flows gemeinsam verwendet werden dürfen. Power Platform ermöglicht Administratoren, Connectors in verschiedene Gruppen einzuteilen:

Connector-Klassifizierungsgruppen

Gruppe „Geschäftsdaten“: Connectors, die organisationsbezogene, vertrauliche oder proprietäre Daten verarbeiten. Connectors in dieser Gruppe können frei mit anderen Geschäfts-Connectors kombiniert werden.
Gruppe „Nicht-Geschäftsdaten“: Connectors für persönliche Produktivität oder öffentlich zugängliche Plattformen. Connectors in dieser Gruppe dürfen keine Daten mit Connectors der Geschäftsgruppe austauschen.
Gruppe „Blockiert“: Connectors, deren Verwendung in einer bestimmten Umgebung aufgrund gravierender Sicherheits- oder Compliance-Risiken vollständig untersagt ist.

Ein gut konfiguriertes CoE setzt granulare DLP-Richtlinien auf Umgebungsebene um. Beispielsweise können die Umgebungen für Forschung und Entwicklung oder Personal deutlich strengeren DLP-Vorgaben unterliegen als eine allgemeine Innovationsumgebung für das Marketing. Wenn Sie diese Richtlinien korrekt einrichten, bleiben Unternehmensdaten im Unternehmensumfeld.

Schulung und Community-Unterstützung etablieren

Governance- und Sicherheitsrichtlinien sind nur die halbe Miete. Wenn Sie das System lediglich abschotten und starre Regeln durchsetzen, ohne Ihre Benutzer zu schulen, bremsen Sie die Akzeptanz aus und erzeugen Frust. Ein erfolgreiches CoE agiert als Lehrender und als Aufbauer einer Community.

Entwicklung zu demokratisieren erfordert, auch Wissen zu demokratisieren. Ihr CoE sollte interne Schulungsprogramme, Zertifizierungswege und Enablement-Workshops vorantreiben. Vermitteln Sie Ihren Citizen Developern nicht nur, wie man eine App baut, sondern vor allem, wie man sie richtig baut. Behandeln Sie insbesondere grundlegende Themen wie:

Fehlerbehandlung und Ausnahmemanagement in Cloud-Flows.
Delegierungsgrenzen und Performance-Optimierung in Power Apps.
Grundlegende UX/UI-Designprinzipien für Geschäftsanwendungen.
Best Practices für Sicherheit und saubere Berechtigungsverwaltung.

Eine interne Maker-Community aufbauen

Ergänzend zur formalen Schulung sollten Sie eine interne Community of Practice etablieren. Richten Sie dafür einen internen Microsoft Teams-Kanal oder eine Yammer-Community ein, in der Ersteller Fragen stellen, Tipps austauschen, ihre individuellen Lösungen vorstellen und sich gegenseitig bei Problemen helfen können. Veranstalten Sie regelmäßig „App in a Day“-Workshops oder monatliche Hackathons, in denen Fachbereiche unter Anleitung Ihrer IT-Experten reale Probleme mit Low-Code-Tools lösen.

Wenn Sie eine unterstützende Community aufbauen, werden Ihre Citizen Developer zu Ihren wichtigsten Verbündeten. Sie helfen organisch dabei, die Plattform im Blick zu behalten, teilen wiederverwendbare Komponenten und entlasten Ihren zentralen IT-Support.

Fazit: Nachhaltige Skalierung für die Zukunft

Citizen Development zu skalieren bedeutet nicht, Hürden aufzubauen. Es geht darum, Schnellstraßen mit klaren Geschwindigkeitsbegrenzungen, Leitplanken und Raststätten zu bauen. Mit einem soliden Power Platform Center of Excellence können Sie die enorme kreative Energie Ihrer gesamten Organisation nutzen, ohne Sicherheit, Compliance oder Datenintegrität zu gefährden.

Denken Sie daran: Der Weg zu einem ausgereiften CoE gelingt nicht über Nacht. Fangen Sie klein an. Stellen Sie das CoE Starter Kit bereit, überprüfen Sie Ihre Standardumgebung, richten Sie erste DLP-Richtlinien ein und eröffnen Sie Kommunikationswege zu Ihren Fachbereichs-Erstellern. Hören Sie auf deren Bedürfnisse, lenken Sie deren Begeisterung und beobachten Sie, wie sich Ihre Organisation zu einer agilen, innovativen Powerhouse entwickelt.

Vielen Dank, dass Sie diesen erweiterten Blogbeitrag gelesen haben. Abonnieren Sie den Podcast, hinterlassen Sie eine Bewertung und teilen Sie diese Folge mit Ihren IT-Verantwortlichen und Citizen Developern. Bis zum nächsten Mal: Bauen Sie klug, bleiben Sie sicher und innovieren Sie weiter!