# DevOps Anforderungen im Team

Version: 4 | Last modified: 2025-08-25T13:59:47.059+02:00
Source: confluence page ID 474095243

---

Rollen & VerantwortlichkeitenRolle | Beschreibung | 
AG (Auftraggeber) | Fachliche Anforderungen, Budget, Abnahme von Leistungen | 
ART-Trio | Kombination aus Release Train Engineer, Product Manager und System Architect im SAFe-Kontext | 
DevOps-Team | Entwicklung, Betrieb und Automatisierung (CI/CD, Monitoring, Deployments, Cloud-Ressourcen) | 
PM (Projektmanager) | Koordination des Projektes, Zeit- und Ressourcenplanung | 
PO (Product Owner) | Fachliche Priorisierung, Abstimmung mit Auftraggeber, Sicherstellung der Anforderungen | 
Release Train Architect | Verantwortlich fÃ¼r die Ã¼bergreifende Architektur im gesamten Release Train, Schnittstelle zwischen Teams und Systemarchitekten | 
Scrum Master | Prozessbegleitung im agilen Vorgehen, UnterstÃ¼tzung bei Hindernissen | 
Security-Beauftragter (Team) | Vom Team ernannte Person, koordiniert Sicherheitsthemen, fÃ¼hrt regelmÃ¤Ãige Security-Checks durch und arbeitet eng mit dem System Architect zusammen | 
Systemarchitekt | Verantwortlich fÃ¼r die Systemarchitektur, Schutzbedarfsfeststellung, Netzwerksegmentierung; Zusammenarbeit mit Security-Beauftragtem bei Sicherheitsfragen | 
Checkliste / Self-AssessmentBereich | Anforderung | Status | ToDo / NÃ¤chste Schritte | Verantwortlich | 
1. Verantwortlichkeiten und Rollen | Sind alle relevanten Rollen (Betreiber, AG = Auftraggeber, IT-Asset-Owner, PO, Remediation Manager) klar benannt und dokumentiert? | 🔴 Offen | Rollenliste erstellen und in Confluence dokumentieren. Remediation Manager = alle Mitgleider des DevOps Team (auÃer Asset-Owner)? SIT Team â CNP | PO | 

 | Ist geregelt, welche Verantwortlichkeiten im Team, beim AG und bei Dienstleistern liegen? | 🟡 In Arbeit | Team (DevOps-Team): Codeentwicklung, CI/CD-Betrieb, Monitoring, Deployments (via CNP/ArgoCD) â Welche Entscheidungen/Freihaben haben wir bezÃ¼glich technischer Anforderungen
AG (im SAFe-Kontext: ART-Trio = PM, RTE, System Architect): Fachliche Anforderungen (PM), Budgetfreigaben (RTE), technische Anforderungen/UnterstÃ¼tzungen (System Architect)
Dienstleister: Betrieb der Cloud Native Platform (SIT Team) inkl. ArgoCD-Basisbetrieb und AWS-Infrastruktur
 | Team | 
2. Datenschutz | Liegt eine aktuelle Abstimmung mit dem AG fÃ¼r die Verarbeitung personenbezogener Daten vor? | 🔴 Offen | RÃ¼cksprache mit AG & Datenschutzbeauftragtem, ob aktuelle Freigabe vorliegt | Team /Â Datenschutzbeauftragter | 

 | Gibt es Prozesse zum schnellen Umsetzen der Betroffenenrechte (LÃ¶schung, Auskunft, Berichtigung)? | 🔴 Offen | PrÃ¼fen, ob personenbezogene Daten verarbeitet werden; falls ja: Prozess definieren und abstimmen | Team /Â Datenschutzbeauftragter | 

 | Werden personenbezogene Daten ausschlieÃlich verschlÃ¼sselt gespeichert und Ã¼bertragen? | 🟢 Erledigt | Dokumentation der eingesetzten VerschlÃ¼sselung (AWS + DocumentDB, TLS in Transit, Encryption at Rest) ergÃ¤nzen | Team / CNP | 

 | Sind alle Test- und Schulungssysteme frei von echten personenbezogenen Daten? | 🔴 Offen | PrÃ¼fen, ob in Test-/Schulungssystemen echte Namen/IDs vorkommen; falls ja: Anonymisierung/Pseudonymisierung umsetzen | Team /Â Datenschutzbeauftragter | 

 | Existieren dokumentierte technische und organisatorische MaÃnahmen (TOM)? | 🟢 Erledigt | TOM-Dokumentation jÃ¤hrlich prÃ¼fen und aktualisieren | Team / Datenschutzbeauftragter | 

 | Gibt es ein Verfahren zur sofortigen Meldung von DatenschutzvorfÃ¤llen? | 🔴 Offen | ZustÃ¤ndige Datenschutzbeauftragte identifizieren und Ablaufplan dokumentieren | ART-Trio / Datenschutzstelle | 

 | Ist festgehalten, wie personenbezogene Daten in Logs, Fehlerbeschreibungen oder beim Einsatz von Dienstleistern behandelt werden? | 🟢 Erledigt | Links zu relevanten Richtlinien im Confluence-Bereich hinterlegen | Team | 
3. IT-Sicherheit | Wie ist das Team Ã¼ber aktuelle Schwachstellen, PatchstÃ¤nde und verfÃ¼gbare Scans/Pentests informiert? | 🟢 Erledigt | Dokumentation der eingesetzten Security-Checks in Confluence aktuell halten | Team | 

 | Gibt es regelmÃ¤Ãige Security-Checks (Scans, Pentests, Compliance-Check/CSA)? | 🟡 In Arbeit | PrÃ¼fen, ob ergÃ¤nzende periodische Tests notwendig sind | Team / Systemarchitekt | 

 | Werden technische Benutzerkonten nach Genehmigung und nach dem Minimalprinzip genutzt? | 🟢 Erledigt | Aktuelle Rollen- und Berechtigungsliste im Confluence hinterlegen | Team | 

 | Sind gesicherte Admin-ZugÃ¤nge und Multi-Faktor-Authentifizierung (wo notwendig) umgesetzt? | 🟢 Erledigt | RegelmÃ¤Ãige ÃberprÃ¼fung der Zugriffsrechte auf Secrets & KeyPass-EintrÃ¤ge | Team | 

 | Existiert ein vollstÃ¤ndiger Wiederherstellungsplan (Business-Continuity)? | 🟢 Erledigt | Plan jÃ¤hrlich Ã¼berprÃ¼fen und mit aktuellen Plattform-Ãnderungen abgleichen | Team | 

 | Ist eine Trennung zwischen Entwicklungs-, Test- und Produktionsumgebung implementiert? | 🟢 Erledigt | Sicherstellen, dass keine produktiven Daten in nicht-prod-Umgebungen genutzt werden | Team | 
4. Prozesse & Betriebsmanagement | Sind alle Service-, Change-, Incident- und Problem-Management-Prozesse bekannt und dokumentiert? | 🔴 Offen | Links zu den aktuellen Prozessdokus im Team hinterlegen | Team | 

 | Werden Operations-Dokumentationen (Runbooks, Incident-Anleitungen) gepflegt? | 🟡 In Arbeit | Review aller Runbooks; fehlende Szenarien ergÃ¤nzen | Team | 

 | Sind SLAs mit AG und Dienstleistern regelmÃ¤Ãig Ã¼berprÃ¼ft und dokumentiert? | 🔴 Offen | Mit AG/Dienstleistern abstimmen, ob SLAs existieren und wie die Einhaltung dokumentiert wird | AG / ART-Trio | 

 | Existiert ein Konfigurationsmanagement und ist jede Ãnderung nachvollziehbar? | 🟢 Erledigt | Sicherstellen, dass Doku zu Helm-/ArgoCD-Prozessen aktuell ist | Team | 

 | Werden regelmÃ¤Ãig Konten und Berechtigungen Ã¼berprÃ¼ft? | 🟡 In Arbeit | Quartalsweise Access Review etablieren | Team / Scrum Master | 
5. Cloud & Architektur | Ist der Schutzbedarf und die Netzwerksegmentierung dokumentiert? | 🟢 Erledigt | JÃ¤hrliche ÃberprÃ¼fung/Aktualisierung der Doku | Team /Â Systemarchitekt | 

 | Erfolgt die VerschlÃ¼sselung (auch BYOK) und SchlÃ¼sselrotation aktiv? | 🟡 In Arbeit | Option fÃ¼r automatische Rotation evaluieren | Team | 

 | Ist festgelegt, wie Zugriffsrechte und Vertrauensstellungen zu externen Partnern geregelt sind? | 🟢 Erledigt | Falls externe Partner dazukommen: formale Regelung ergÃ¤nzen | Team + beteiligte Teams | 

 | Sind die Cloud-spezifischen Vorgaben (Trennung Prod/Dev/IAT, EinschrÃ¤nkung technischer Benutzer) umgesetzt? | 🟢 Erledigt | Quartalsweises Berechtigungs-Review pro Environment | Team | 
6. Kontrolle & Verbesserung | Werden Compliance-Checks/CSAs regelmÃ¤Ãig durchgefÃ¼hrt? | 🔴 Offen | KlÃ¤ren, ob durch ART-Trio/Systemarchitekt durchgefÃ¼hrt wird | Systemarchitekt / ART-Trio | 

 | Gibt es dokumentierte MaÃnahmen zu gefundenen Schwachstellen und Risiken? | 🟢 Erledigt | Schulung im Team zur Nutzung der Schwachstellenmanagement-Seite | Team | 

 | Wird die eigene Prozess- und DokumentationsqualitÃ¤t Ã¼berprÃ¼ft und kontinuierlich verbessert? | 🟢 Erledigt | Lessons Learned aus Retros auch in Prozess-/DokumentationsÃ¤nderungen einflieÃen lassen | Team / Scrum Master | 
7. Betriebsrat & Organisation | Sind alle Vorgaben der GBVen eingehalten (z. B. Rufbereitschaft, Arbeiten auÃerhalb Regelarbeitszeit, Dokumentationspflichten)? | 🔴 Offen | Mit Betriebsrat oder HR abstimmen, ob Vorgaben erfÃ¼llt sind | 
 | 

 | Sind Beteiligungspflichten und die Kommunikation an den Betriebsrat berÃ¼cksichtigt? | 🟡 In Arbeit | BestÃ¤tigung durch ART-Trio einholen und Informationsfluss ins Team sicherstellen | ART-Trio |
