Der Anruf klingt jedes Mal ähnlich. Die Zusammenarbeit mit der Agentur läuft aus, die Software soll ins Haus, und dann stellt sich heraus: Niemand im Unternehmen hat je in das Repository gesehen. Manchmal kennt niemand die Adresse.
Was jetzt kommt, wird meistens als Rechtsfrage behandelt, und ein Teil davon ist es auch. Der größere Teil ist eine Frage der Vollständigkeit: Software zurückzubekommen heißt nicht, ein Archiv zu bekommen. Es heißt, alles zu bekommen, was nötig ist, um sie ohne den bisherigen Dienstleister zu betreiben und zu ändern.
Dieser Artikel beschreibt, was dazugehört, in welcher Reihenfolge man es anfordert, und was zu tun ist, wenn es stockt. Er ist keine Rechtsberatung: Ob und in welchem Umfang ein Anspruch besteht, steht im Vertrag und im eingeräumten Nutzungsrecht, und das gehört einer Anwältin vorgelegt.
Was auf die Liste gehört
Die übliche Forderung lautet „wir hätten gern den Quellcode", und sie ist zu klein. Der Code allein ist der Teil, mit dem man am wenigsten anfangen kann.
Die Historie, nicht nur der Stand. Ein Archiv mit dem heutigen Stand nimmt Ihnen jede Antwort auf die Frage, warum eine Stelle so aussieht. Gefordert wird das Repository mit seiner Geschichte, und zwar so, dass es sich klonen lässt.
Alles, was nicht Code ist. Die Beschreibung der Umgebung, die Werte der Konfiguration, die Schemaänderungen, die Aufträge, die zeitgesteuert laufen, und die Zertifikate. Ein Projekt ohne diese Dinge lässt sich lesen und nicht betreiben.
Die Zugänge. Server und Datenbank, das Konto beim Cloud-Anbieter, die Registrierung der Domain, das Zertifikat, die Konten bei Zahlungsanbieter, Mailversand und Fehlerberichten, der Zugang zum Paketverzeichnis, unter dem interne Pakete veröffentlicht werden, und die App-Store-Konten, falls es eine mobile Anwendung gibt.
Die Daten. Ein aktueller Datenbankabzug und die Dateien, die die Anwendung abgelegt hat. Das ist der Punkt, an dem Datenschutz zu klären ist, bevor irgendetwas kopiert wird.
Und das, was nur in Köpfen ist. Wie wird ausgeliefert, was geht nachts schief, welche Stellen sind Absprachen mit einzelnen Kunden. Dafür gibt es keinen Übergabeordner, nur Termine.
Die Reihenfolge ist nicht beliebig
Wer alles gleichzeitig anfordert, bekommt eine Antwort mit Rückfragen und verliert zwei Wochen. Die Reihenfolge, die funktioniert, sortiert nach dem, was ohne den anderen später gar nicht mehr geht.
Zuerst die Konten, die auf Personen laufen. Domain, Zertifikat, Cloud-Konto, Zahlungsanbieter. Diese Dinge kosten später einen Support-Fall mit Identitätsnachweis, wenn der Ansprechpartner nicht mehr erreichbar ist. Solange die Zusammenarbeit noch läuft, sind es Minuten.
Dann das Repository mit Historie, und zwar in Ihr eigenes Konto geschoben, nicht als Archivdatei per Mail. Ein Klon in Ihrem Konto ist ein Zustand, ein Archiv ist ein Foto.
Dann die Umgebung, und der Prüfstein dafür ist hart: Jemand aus Ihrem Haus startet die Anwendung auf einem leeren Rechner. Was dabei fehlt, ist die Liste der Dinge, die noch nicht übergeben sind.
Zuletzt die Daten, weil sie am schnellsten veralten und am meisten Vorsicht brauchen.
Was mit dem Code zu tun ist, sobald er da ist, steht in Technische Due Diligence.
Der Tag, an dem der Code da ist
Der Code im eigenen Konto ist nicht das Ende, sondern der Anfang. Drei Dinge gehören in die erste Woche, und sie haben mit dem Dienstleister nichts mehr zu tun.
Ein eigener Bau. Baut das Projekt auf Ihrer Seite, ohne Zugriff auf etwas, das dem anderen gehört? Ein privates Paketverzeichnis, ein Schlüssel in einer Pipeline, ein Abbild aus einer fremden Registry: Jeder dieser Fäden reißt an dem Tag, an dem das Konto geschlossen wird.
Eine eigene Auslieferung. Nicht die vorhandene übernehmen, sondern einmal selbst von vorn aufsetzen. Erst dann ist bewiesen, dass Sie ohne fremde Hilfe in Produktion kommen.
Eine Bestandsaufnahme. Was steckt drin, was ist veraltet, was ist Eigenbau. Die Übergabe ist der einzige Moment, in dem noch jemand da ist, den man fragen kann.
Hinterlegung hilft nur, wenn jemand sie prüft
In Verträgen, die diesen Fall vorsehen, steht oft eine Quellcodehinterlegung: Ein Dritter verwahrt den Stand und gibt ihn heraus, wenn bestimmte Dinge eintreten. Die rechtliche Seite davon ist eine Vertragsfrage. Die technische Seite ist eine Frage, die selten jemand stellt.
Was hinterlegt wurde, ist fast nie vollständig. Hinterlegt wird der Code. Nicht hinterlegt werden die Werte der Konfiguration, die Zugänge zu Diensten Dritter, das private Paketverzeichnis, an dem der Bau hängt, und der Ablauf, mit dem daraus eine laufende Anwendung wird. Im Ernstfall hat man ein Archiv und keine Software.
Die Abhilfe ist unspektakulär und wird trotzdem fast nie gemacht: Einmal im Jahr wird der hinterlegte Stand herausgegeben und von jemandem gebaut, der ihn nicht geschrieben hat. Was dabei fehlt, kommt in die Hinterlegung. Ohne diese Probe ist die Klausel eine Beruhigung, und sie wirkt genau an dem Tag nicht, an dem sie gebraucht wird.
Dasselbe gilt für den milderen Fall, in dem die Zusammenarbeit gut läuft: Ein jährlicher Bau auf einem leeren Rechner beantwortet die Frage, ob Sie könnten, wenn Sie müssten.
Wenn es stockt
Manchmal kommt nichts oder nur ein Teil. Dafür gibt es eine technische Antwort, und sie kommt vor der rechtlichen, weil sie schneller ist.
Zuerst wird festgehalten, was fehlt, und zwar als Liste mit Datum statt als Stimmung. Eine Aufstellung, in der bei jedem Punkt steht, wann er angefordert wurde und was kam, ist die Grundlage für jedes weitere Gespräch, und sie ist nebenbei das, was eine Anwältin zuerst sehen will.
Parallel dazu wird gesichert, was erreichbar ist. Ein Abzug der laufenden Anwendung vom Server, die Konfiguration aus der Umgebung, ein Datenbankabzug: Das ist keine Rekonstruktion des Quellcodes, aber es hält den Betrieb am Leben, während die Herausgabe geklärt wird.
Und dann kommt die unangenehme Rechnung: Was würde es kosten, den Teil neu zu bauen, um den gestritten wird? In einer überraschenden Zahl von Fällen ist das kleiner als der Streit, besonders wenn es um ein Stück geht, das ohnehin abgelöst werden sollte. Diese Zahl zu kennen, verändert das Gespräch, auch wenn man sie nicht braucht.
Wie dieselbe Lage von der anderen Seite aussieht, steht in Der Übergabetag.
Damit es nicht wieder passiert
Der Zustand entsteht nicht aus bösem Willen, sondern aus einer Abkürzung am Anfang: Es ging schneller, wenn die Agentur das Konto anlegt. Fünf Jahre später ist daraus eine Abhängigkeit geworden, die niemand entschieden hat.
Dagegen hilft eine einzige Regel, und sie kostet am ersten Tag zehn Minuten: Konten gehören dem Unternehmen, Zugriff bekommen Dienstleister. Die Domain, das Cloud-Konto, das Repository und die Konten bei Dritten laufen auf das Unternehmen, und der Dienstleister wird eingeladen. Beim nächsten Wechsel ist das ein Entzug von Rechten statt einer Herausgabe.
Die zweite Regel ist eine Probe: Einmal im Jahr baut jemand aus dem Haus das Projekt auf einem leeren Rechner. Das ist derselbe Prüfstein wie oben, nur bevor er gebraucht wird, und er ist der einzige, der ehrlich antwortet.
Wie eine Übernahme danach abläuft, von der ersten Woche bis zu dem Punkt, an dem das Team allein weiterarbeitet, steht auf einer eigenen Seite.
Dieser Artikel setzt eine Reihe über Systeme fort, die es schon gibt. Der Rückblick über die ersten drei Monate ordnet ihre Artikel nach Anlass.
