6. Thales, Tool-Vielfalt und die Scanner-Illusion

Otto

Wenn du in eine Stellenanzeige von Thales in Carquefou schaust, findest du da... tja, GitLab CI, Jenkins, CircleCI, Azure DevOps, GCP, AWS, Azure. Alles bunt gemischt in einer einzigen Ausschreibung.

Leonie

Und der typische Plattform Berater schlägt sofort die Hände über dem Kopf zusammen und ruft: Chaos! Wildwuchs! Wir müssen alles sofort auf ein einziges Werkzeug glattziehen!

Otto

Genau dieser Reflex ruiniert bei Rüstungs und Raumfahrtkunden innerhalb von drei Minuten jede Glaubwürdigkeit. Weil es die Realität von Defence schlicht ignoriert.

Leonie

Weil Vielfalt da oft gar kein Unfall ist, sondern... na ja, schlichte Pflicht.

Otto

Absolut. Man muss da, um das kaufmännisch sauber zu verstehen, drei Stufen ganz sauber trennen. Die erste Stufe ist die erzwungene Vielfalt. Wenn ein Verteidigungsministerium sagt: Ihr baut dieses Funkgerät oder diese Satellitensteuerung ausschließlich mit exakt diesem zertifizierten Toolstack auf unserer eigenen Infrastruktur, dann diskutiert bei Thales niemand über Tool Sprawl. Dann machst du das genau so. ITAR Exportkontrollen, nationale Geheimhaltungsstufen, Souveränitätsregeln.

Leonie

Da kann das zentrale Plattformteam noch so laut rufen, dass es auf GitLab viel eleganter ginge. Das Gesetz sticht die Eleganz.

Otto

Immer. Und Stufe zwei ist gewollte Autonomie: Ein Geschäftsbereich entscheidet sich aus guten Gründen für eine spezifische Pipelinearchitektur. Erst Stufe drei, Leonie, erst Stufe drei ist die wirklich vermeidbare Fragmentierung. Da, wo Teams nebeneinander exakt dasselbe Rad neu erfinden, eigene Runner Farmen hochziehen, doppelte Lizenzkosten erzeugen oder manuelle Übergaben bauen.

Leonie

Und genau das steht ja sogar schwarz auf weiß in den aktuellen Stellenprofilen. Ein Engineering Delivery Manager bei Thales definiert Entwicklungszyklus, Prozesse und Werkzeuge ausdrücklich unter Berücksichtigung von Projektvorgaben und vom Kunden vorgeschriebenen Tools. Die Projektleiter haben buchstäblich den Auftrag, abzuweichen, wenn der Auftraggeber das verlangt!

Otto

Deshalb ist die Frage an einen Konzern wie Thales nie: Warum habt ihr nicht alles vereinheitlicht? Das ist die Frage eines Amateurs. Die echte Frage lautet: Wo ist eure Vielfalt eine notwendige Vorschrift, und wo kostet sie euch vermeidbare Zeit, Plattformaufwand oder Sicherheitsrisiken?

Leonie

Diese Konzern Romantik von der einen, makellosen Single Source of Truth, die überall von Paris bis Melbourne gleich aussieht... das funktioniert vielleicht bei einem hippen Webshop. Aber bei militärischer Avionik zerschlägt die Realität diesen Traum am ersten Tag.

Otto

Schau dir mal den Kontrast an zwischen Cannes und Gennevilliers. Das zeigt das Dilemma perfekt.

Leonie

Cannes, also Thales Alenia Space, richtig?

Otto

Genau. Die schreiben ganz konkret eine Stelle für DevOps Transformation aus, mit der expliziten Aufgabe: Transkription und Optimierung von Jenkins Pipelines hin zu GitLab CI. Da siehst du aktive Konsolidierung. Man holt Altlasten ab und führt sie auf den Standard.

Leonie

Während du gleichzeitig in Gennevilliers, bei den strategischen Verteidigungsprogrammen, Stellen hast, wo Jenkins und GitLab CI ganz bewusst parallel gefordert werden. Nicht weil die in Gennevilliers hinterm Mond leben, sondern weil hochsensible Programmlinien isoliert bleiben müssen.

Otto

Und genau an der Schnittstelle entsteht ein Denkfehler, den ich ständig sehe: die Scanner Illusion.

Leonie

Was meinst du mit Scanner Illusion?

Otto

Viele Verkäufer sagen: Hey Thales, ihr nutzt GitLab, da habt ihr doch SAST, Secret Detection und SCA schon drin. Werft doch all eure separaten Sicherheitsscanner raus, dann spart ihr Lizenzkosten! Aber Thales nutzt diese Spezialtools ganz bewusst weiter. Weil bestimmte Kunden oder Sicherheitsaudits hochspezialisierte Regeln verlangen.

Leonie

Das eigentliche Millionengrab sind doch gar nicht die zweihunderttausend Euro für separate Tool Lizenzen, oder?

Otto

Nein! Überhaupt nicht. Das Millionengrab ist der arme Ingenieur, der vor einem Audit drei Wochen lang manuelle Screenshots aus vier verschiedenen Dashboards in eine Excel Tabelle kopieren muss, um der Flugsicherheitsbehörde zu beweisen, dass die Compliance Kriterien erfüllt sind. Der Schmerz liegt in den manuellen Nachweisen und gebrochenen Workflows, nicht im Tool an sich.

Leonie

Das verändert die gesamte Fragestellung. Man fragt nicht: Wann schaltet ihr Jenkins oder Tool X ab? Man fragt: Wo zwingt euch die Vielfalt dazu, Audit Nachweise händisch zusammenzukratzen? Und wo müssen eure Teams identische Sicherheitsrichtlinien an fünf Stellen parallel pflegen?

Otto

Ganz genau. Reife Enterprise Architektur zwingt Ingenieure in regulierten Einheiten nicht in ein starres Einheitskorsett. Sie baut ein starkes, gemeinsames Rückgrat. Ein verlässliches Fundament aus Identitätsmanagement, Policy Vorlagen und gemeinsamen Registries. Selbst wenn ein Team in Cannes eine moderne Cloud Pipeline fährt und ein Team in Gennevilliers eine abgeschottete Sonderlösung betreiben muss: Das Fundament für Nachvollziehbarkeit und Governance bleibt dasselbe.

Leonie

Autonomie an den Rändern, aber ein unerschütterliches Rückgrat in der Mitte. Das ist der Unterschied zwischen echtem Plattformverständnis und naiver Gleichmacherei.

Otto

Schöner hätte man es nicht zusammenfassen können.