Der Flughafen Köln/Bonn ist einer der größten Verkehrsflughäfen Deutschlands und ein zentraler Knotenpunkt für Passagiere und Fracht. Anfang 2025 übernahm er die Steuerung der Passagier- und Gepäckkontrollen – eine strategisch wichtige Aufgabe, die zuvor bei der Bundespolizei lag. Damit begann eine neue Phase mit mehr Verantwortung und Steuerungskompetenz. Die zentrale Herausforderung bestand darin, die neue Steuerungsverantwortung strukturiert, transparent und wirksam vorzubereiten und umzusetzen.
Im Mittelpunkt stand der Aufbau einer leistungsfähigen Steuerungs- und Organisationsstruktur für die reibungslose Durchführung der Passagier- und Gepäckkontrollen. Dazu mussten klare Planungs-, Reporting- und Risikoprozesse etabliert, Verantwortlichkeiten neu definiert und die Zusammenarbeit zwischen Betrieb, Technik, Sicherheit, Verwaltung, Bundespolizei und Dienstleistern neu organisiert werden. Zudem galt es, den Change-Prozess aktiv zu gestalten und den Übergang in den operativen Regelbetrieb – bei laufendem Flugbetrieb und mit nur acht Monaten Vorlauf – erfolgreich zu begleiten.
Consileon stellte die Leitung des Projektmanagement Office (PMO) und unterstützte den Flughafen mit Struktur, Methodik und Kommunikationsstärke. In enger Abstimmung mit dem Kunden wurden Rollen, Entscheidungswege und Kommunikationsstrukturen festgelegt. Das PMO implementierte einheitliche Standards für Berichterstattung, Risiko- und Meilensteinmanagement. Dabei kam ein hybrides Projektvorgehen zum Einsatz, eine pragmatische Kombination aus klassischem Projektmanagement und agilen Werkzeugen. Ein besonderer Fokus lag auf den Menschen: Durch gezielte Workshops, Moderation und transparente Kommunikation gelang es, alle Stakeholder auf gemeinsame Ziele auszurichten und den Übergang in den neuen Regelbetrieb reibungslos zu gestalten.
Der Fokus liegt nun auf der Prozessoptimierung und der Verankerung bewährter Projektmanagement-Elemente in der Linienorganisation. Zudem werden Reporting und Kommunikation weiter digitalisiert und Kompetenzen im Projektund Change-Management gezielt ausgebaut. Die neue operative Souveränität bildet den Grundstein für mehr Effizienz, Servicequalität und Resilienz im laufenden Betrieb und stärkt die Wettbewerbsfähigkeit des Flughafens im nationalen und internationalen Vergleich.
Stellen Sie sich vor, Sie möchten ein Unternehmen kaufen. Die Zahlen stimmen, das Geschäftsmodell überzeugt, doch wie sieht es unter der Oberfläche aus? Funktioniert die IT wirklich so gut, wie sie auf den ersten Blick wirkt? Oder verbergen sich dort Risiken, die später teuer werden?
Die IT entscheidet heute maßgeblich über den Erfolg von Investitionen, Transformationen und Geschäftsmodellen. Trotzdem fehlt vielen Unternehmen und Investoren ein klarer Blick auf den tatsächlichen Zustand der IT. Im Interview erklärt Alexander Finke, warum Digital Due Diligence immer wichtiger wird, welche Risiken häufig unterschätzt werden und wie Unternehmen fundierte Entscheidungen treffen können.
Weil die IT heute ein zentraler Werttreiber ist, oder eben ein Risiko. Gerade bei technologiegetriebenen Geschäftsmodellen reicht es nicht mehr, sie nur betriebswirtschaftlich zu bewerten. Investoren wollen verstehen: Ist die IT skalierbar? Wie hoch ist der zukünftige Investitionsbedarf? Gibt es Sicherheitsrisiken oder technische Altlasten? Genau hier setzt die Digital Due Diligence an. In einem kompakten Zeitraum, analysieren wir strukturiert die IT-Landschaft und schaffen eine belastbare Grundlage für die Investitionsentscheidung.
Wir betrachten die IT entlang mehrerer Dimensionen. Dazu gehören unter anderem die digitale Strategie, die technologische Substanz, Governance und Organisation sowie die finanzielle Perspektive der IT. Das Ziel ist immer, ein Gesamtbild zu bekommen: Unterstützt die IT das Geschäftsmodell oder bremst sie es aus? Welche Risiken gibt es und wie lassen sie sich mitigieren? Am Ende können wir sehr klar sagen: Hier liegen die kritischen Punkte, hier besteht Handlungsbedarf und so kann man damit umgehen.
Ein klassisches Beispiel sind historisch gewachsene Systemlandschaften. Auf den ersten Blick funktionieren sie, aber im Detail zeigen sich technische Schulden, mangelnde Skalierbarkeit oder Sicherheitslücken. Oft fehlt auch die Verbindung zwischen IT und Business. Die entscheidende Frage ist: Passt die IT überhaupt zur zukünftigen Strategie? Ein weiterer Punkt ist die Datenlandschaft. Fragmentierte Daten, unklare Verantwortlichkeiten oder schlechte Datenqualität wirken sich direkt auf Effizienz und Innovationsfähigkeit aus.
Eine Digital Due Diligence ist deutlich mehr als ein reines Audit. Es geht nicht nur darum, einzelne Schwachstellen zu identifizieren, sondern die IT ganzheitlich zu bewerten – technisch, organisatorisch und strategisch. Wir analysieren Strukturen, Prozesse und Zusammenhänge. Man kann sagen: Es ist ein methodisches, strukturiertes Verständnis der IT als Gesamtsystem, nicht nur eine punktuelle Prüfung.
Zum einen natürlich für Investoren oder Käufer im M&A-Kontext. Hier geht es darum, Risiken frühzeitig zu erkennen und den Unternehmenswert realistisch einzuschätzen. Zum anderen aber auch für Unternehmen selbst. Viele nutzen die Digital Due Diligence, um sich bewusst auf den Prüfstand zu stellen, etwa vor einer Transformation oder beim Einstieg in eine neue IT-Verantwortung. Im Kern geht es immer um Transparenz: Wo stehen wir wirklich?
Der zukünftige Investitionsbedarf wird sehr häufig unterschätzt. Systeme laufen zwar, aber nur mit hohem Wartungsaufwand oder begrenzter Erweiterbarkeit. Der Code ist dann meist fragmentiert und durch Altlasten schwer wartbar. Auch Themen wie IT-Security oder Compliance werden oft erst dann kritisch, wenn es bereits Probleme gibt. Und nicht zuletzt sehen wir häufig organisatorische Themen: fehlende Verantwortlichkeiten, ineffiziente Prozesse oder mangelnde Governance. Diese Faktoren sind oft genauso kritisch wie technische Defizite.
Eine zunehmend wichtige. Wir schauen uns zum Beispiel an, inwieweit KI bereits genutzt wird – sei es in Geschäftsprozessen oder in der Softwareentwicklung. Gleichzeitig bewerten wir, ob die Voraussetzungen dafür überhaupt gegeben sind, etwa hinsichtlich der Datenqualität oder der Architektur. Wenn hier noch wenig passiert ist, ist das nicht automatisch negativ. Im Gegenteil: Es kann auch ein Potenzial sein, das gezielt gehoben werden kann. In solchen Fällen unterstützen wir auch dabei, entsprechende Use Cases und Strategien zu entwickeln.
Vor allem Klarheit und Geschwindigkeit. Intern ist die Sicht oft fragmentiert: Jeder kennt seinen Bereich, aber das Gesamtbild fehlt. Eine externe Analyse bringt diese Perspektiven zusammen und schafft eine belastbare Entscheidungsgrundlage. Das hilft nicht nur bei Investitionsentscheidungen, sondern auch dabei, Prioritäten richtig zu setzen und Transformationen strukturiert anzugehen.
Nicht zu spät anfangen. Der größte Fehler ist, IT erst dann zu analysieren, wenn bereits Zeitdruck besteht – etwa kurz vor einem Deal. Wer früh Transparenz schafft, kann Risiken aktiv steuern und Chancen gezielt nutzen. Eine Digital Due Diligence ist kein reines Prüfwerkzeug, sondern ein strategisches Instrument für bessere Entscheidungen.
Ob im Rahmen von M&A, zur Standortbestimmung oder als Grundlage für Transformationen – Consileon unterstützt Unternehmen dabei, ihre digitale Substanz strukturiert zu bewerten und konkrete Maßnahmen abzuleiten.
Viele Unternehmen haben inzwischen erste Erfahrungen damit gemacht, Dokumente in ein KI-Tool hochzuladen und sich eine Einschätzung geben zu lassen. Das funktioniert erstaunlich gut und weckt deshalb eine naheliegende Frage: Brauche ich dann überhaupt noch eine spezialisierte Lösung für die Vertragsprüfung? Sebastian Wagmann hat den Consileon Compliance Manager als Product Owner von Anfang an mitentwickelt. Er kennt diese Frage aus unzähligen Gesprächen mit Compliance-Teams und erklärt, wo die entscheidenden Unterschiede liegen.
Gar nichts, ehrlich gesagt. Das sage ich bewusst so, weil ich verstehe, warum das verlockend ist. Für eine erste Orientierung oder ein schnelles Stimmungsbild ist das durchaus nützlich. Wer wissen will, ob ein Vertrag grundsätzlich vernünftig aufgebaut ist oder ob eine bestimmte Klausel auf den ersten Blick problematisch erscheint, bekommt da hilfreiche Hinweise. Das Problem beginnt, wenn man das mit einer belastbaren Compliance-Prüfung verwechselt. Und das passiert öfter, als man denkt.
Der fundamentale Unterschied ist: Ein generatives KI-Tool weiß, wie Verträge im Allgemeinen aussehen. Es kennt aber nicht die regulatorischen Anforderungen, die konkret für Ihr Unternehmen gelten, und es kennt schon gar nicht Ihre internen Vorgaben. Eine Vertragsprüfung im Compliance-Kontext ist keine allgemeine Qualitätskontrolle. Sie ist ein Abgleich gegen ein definiertes Soll. Dieses Soll muss irgendwo hinterlegt sein.
Selbst wenn man ein Large-Language-Modell mit einem konkreten regulatorischen Soll füttern würde, bleibt das Problem bestehen: Die Prüfung ist weder konsistent noch reproduzierbar. Unterschiedliche Dokumentversionen, mehrere Verträge, regelmäßige Wiederholungen, das lässt sich mit einem generischen Chat-Interface schlicht nicht zuverlässig und skalierbar abbilden. Was einmal gut klingt, ist noch lange kein Prozess.
Nehmen Sie als Beispiel die schriftlich fixierte Ordnung einer Bank. Das ist die Gesamtheit aller internen Regelwerke: Richtlinien, Arbeitsanweisungen, Prozessdokumentationen. Wenn ich prüfen will, ob ein IT-Dienstleistervertrag wirklich compliant ist, muss ich ihn nicht nur gegen die einschlägigen regulatorischen Anforderungen halten, sondern auch gegen das, was mein eigenes Haus dazu festgelegt hat. Ein generisches KI-Tool hat keinen Zugang zu dieser internen Welt. Es kann sie nicht kennen, weil sie nirgends öffentlich verfügbar ist. Das ist kein Vorwurf an die Technologie, das ist schlicht die Realität. Der Compliance Manager hingegen kann genau auf diese unternehmensspezifischen Anforderungen ausgerichtet werden und prüft dann beides parallel: externe Regulatorik und interne Vorgaben.
Es gibt mehrere. Ein häufig unterschätztes Thema ist die Vollständigkeit. Wenn ich in einem Chat-Interface einen Vertrag hochlade und frage: „Was fehlt hier?“, erhalte ich einen Hinweis darauf, was die KI als relevant einschätzt. Ob alle verpflichtenden Klauseln, die ein bestimmtes Regelwerk vorschreibt, etwa Auditrechte, Exit-Regelungen, Meldepflichten oder Eskalationsmechanismen, wirklich systematisch geprüft wurden, lässt sich im Nachhinein nicht rekonstruieren. Es gibt keine Prüfliste, kein Protokoll, keinen Nachweis. Für eine Aufsichtsbehörde ist das nicht ausreichend.
Jede Prüfung ist vollständig dokumentiert und nachvollziehbar: Welche regulatorischen Anforderungen wurden geprüft? Gegen welche Version des Regelwerks? Was war das Ergebnis für jede einzelne Anforderung? Wo genau im Dokument liegt eine Lücke? Und: Wann wurde diese Anforderung zuletzt geprüft? Der Compliance Manager historisiert Prüfergebnisse über Dokumentversionen hinweg, sodass Veränderungen zwischen älteren und neueren Versionen direkt sichtbar werden. Das alles ist revisionssicher hinterlegt. Ein Audit-Trail, der im Ernstfall vor der Aufsicht standhält. Das ist bei einem Chat-basierten Ansatz strukturell nicht möglich, nicht weil die KI schlechter wäre, sondern weil das Werkzeug für diesen Zweck schlicht nicht gebaut wurde.
Das ist ein ernstes Thema, das zu selten offen diskutiert wird. Wenn ich einen Vertrag mit sensiblen Geschäftsdaten, Namen von Dienstleistern, Konditionen oder internen Prozessinformationen in ein Consumer-KI-Tool hochlade, muss ich genau wissen, was mit diesen Daten passiert. Werden sie für das Training verwendet? Wo werden sie verarbeitet? Gibt es einen Auftragsverarbeitungsvertrag? Ich erlebe in Gesprächen immer wieder, dass diese Fragen erst gar nicht gestellt werden. Dabei sind sie nicht optional. Der Consileon Compliance Manager kann auf Wunsch vollständig on-premises betrieben werden. Die Daten verlassen die eigene Infrastruktur nicht. Für regulierte Unternehmen unter Aufsicht ist das oft keine Wahlmöglichkeit, sondern eine Pflicht.
Genau das ist ein Punkt, der in der Diskussion oft fehlt. Compliance ist kein einmaliges Ereignis. Verträge haben Laufzeiten, Regelwerke werden aktualisiert, neue Regulatorik kommt hinzu. Der Compliance Manager ist so konzipiert, dass er sich in bestehende Prozesse integriert: als Teil des Contract Lifecycle Managements, mit definierten Workflows, Benutzerrollen und Eskalationspfaden. Wenn sich regulatorische Anforderungen ändern, wird das entsprechende Modul aktualisiert, und alle betroffenen Verträge können systematisch neu bewertet werden. In einem Chat-basierten Szenario müsste jemand aktiv daran denken, das manuell zu wiederholen. Das passiert in der Realität nicht zuverlässig.
Für alle, die sich schnell einen ersten Eindruck verschaffen wollen und das Ergebnis entsprechend einordnen. Als Vorarbeit für eine strukturierte Prüfung, als Einstieg in ein Thema, als interne Diskussionsgrundlage, das alles ist vollkommen legitim. Was es nicht ersetzt, ist die systematische, nachweisbare, regulatorisch verankerte Prüfung. Wer Verträge prüft, weil er es muss, gegenüber Aufsehern, gegenüber Vorstand, gegenüber Vertragspartnern, braucht mehr als einen Chat. Er braucht ein System. Und er braucht den Nachweis, dass dieses System funktioniert hat.
Die Automobilzulieferkette steht unter Druck. OEMs fordern ihre Zulieferer zunehmend aktiv zur Anbindung an standardisierte Datenräume auf. Mit Catena-X hat sich in der Branche ein Ökosystem etabliert, das genau diesen strukturierten, sicheren und standardisierten Datenaustausch ermöglicht. Acht der zehn größten Automobilzulieferer weltweit tauschen bereits Daten darüber aus.
Für viele kleine und mittelständische Zulieferer blieb Catena-X bislang ein Thema, das zwar bekannt war, jedoch nicht konsequent angegangen wurde. Manche Unternehmen haben bereits davon gehört, andere haben konkrete Anforderungen eines Automobilherstellers erhalten. In der Praxis wurden diese Signale häufig vertagt, nach dem Minimalprinzip beantwortet oder als reine Pflichtaufgabe behandelt. Genau hier entsteht das Problem: Catena-X wird vor allem als zusätzlicher Kostenblock wahrgenommen, nicht als Chance, Datenprozesse zu verbessern, manuelle Aufwände zu reduzieren und die eigene Position gegenüber OEMs zu stärken.
Der Data Space Accelerator hat diese Herausforderung zuletzt greifbarer gemacht. Das von IDSA, Catena-X und Cofinity-X initiierte Programm rückte die Frage in den Mittelpunkt, wie mittelständische Automobilzulieferer strukturiert in Catena-X eingeführt werden können. Die Förderung war dabei ein sichtbarer Impuls. Der eigentliche Handlungsdruck liegt jedoch tiefer: Unternehmen müssen entscheiden, ob sie Catena-X nur als kurzfristige Compliance-Anforderung behandeln oder als Anlass nutzen, Datenprozesse, Verantwortlichkeiten und interne Kompetenzen nachhaltig aufzubauen.
Gleichzeitig darf der Einstieg nicht unterschätzt werden. Die Implementierung von Catena-X ist kein reines Plug-and-play-Projekt, sondern erfordert Zeit, interne Kapazitäten und klare Verantwortlichkeiten. Unternehmen müssen prüfen, welche Daten benötigt werden, wo sie liegen, in welcher Qualität sie verfügbar sind und wie sie künftig automatisiert bereitgestellt werden können. Hinzu kommen technische Fragen zu Connectoren, Schnittstellen und geeigneten Business-Apps. Wer diesen Aufwand realistisch einordnet und frühzeitig Fachbereich, IT, Management und Compliance einbindet, schafft die Grundlage dafür, dass Catena-X nicht zusätzlichen manuellen Aufwand erzeugt, sondern langfristig Prozesse vereinfacht.
Leon Seelbach begleitet bei Consileon Unternehmen auf diesem Weg. Im Interview erklärt er, warum das Thema auch nach der ersten Bewerbungsfrist relevant bleibt, welche Nutzenpotenziale Zulieferer realistisch erwarten können und warum Catena-X nicht allein in der IT verankert werden darf.
Der Data Space Accelerator war für viele Unternehmen ein konkreter Anlass, sich erstmals ernsthaft mit Catena-X auseinanderzusetzen. Die Förderung von 15.000 bis 30.000 EUR ist dabei natürlich attraktiv, aber nicht der eigentliche Kern. Viel wichtiger ist die Frage, ob ein Unternehmen grundsätzlich bereit ist, den standardisierten Datenaustausch mit OEMs und Partnern professionell aufzusetzen.
In einem Gespräch mit einem IT-Leiter eines mittelständischen Zulieferers wurde das sehr deutlich. Er sagte sinngemäß: „Wir bekommen heute immer mehr Datenanfragen von Kundenseite, aber intern ist jedes Mal unklar, wer die Daten liefern kann, aus welchem System sie stammen und ob sie wirklich aktuell sind.“ Genau an diesem Punkt wird Catena-X relevant. Es geht nicht nur um die Erfüllung einer externen Vorgabe, sondern darum, aus wiederkehrenden Einzelabfragen einen belastbaren, skalierbaren Prozess zu entwickeln und vor allem Vertrauen in diesen souveränen Datenaustausch zu schaffen.
Wer jetzt nicht handelt, verliert daher nicht nur eine Fördermöglichkeit. Er schwächt auch seine eigene Argumentation gegenüber Kunden. Wenn ein geförderter Einstieg möglich war und ein Unternehmen dennoch nicht aktiv wurde, wird es künftig schwerer sein zu erklären, warum Catena-X intern noch nicht vorbereitet ist. OEMs erwarten zunehmend belastbare Antworten darauf, wie Daten bereitgestellt, gepflegt und sicher ausgetauscht werden können.
Für viele Zulieferer geht es zunächst um Vertrauen beim Datenaustausch. Heute werden Daten häufig manuell, uneinheitlich oder über individuelle Kundenprozesse bereitgestellt. Das verursacht Aufwand, Fehlerquellen und Abhängigkeiten von einzelnen Personen. Catena-X schafft die Möglichkeit, diesen Austausch standardisierter, nachvollziehbarer und skalierbarer aufzusetzen. Die Daten liegen trotzdem beim Zulieferer und können nur nach digitaler Vertragsverhandlung abgerufen werden, ähnlich wie die AGB-Akzeptierung bei einem Onlinekauf.
Der operative Nutzen entsteht genau dort, wo heute Reibung herrscht: bei manuellen Datenabfragen, Excel-Listen, E-Mail-Schleifen, wiederholten Rückfragen und uneinheitlichen Nachweisen. Wenn ein Use Case sauber eingerichtet ist, müssen Daten nicht bei jeder Anfrage neu zusammengesucht werden. Sie können strukturierter bereitgestellt, besser geprüft und schneller ausgetauscht werden. Das spart Zeit in den Fachbereichen, reduziert den Abstimmungsaufwand und schafft mehr Sicherheit gegenüber Kunden. Durch die kontinuierliche Nutzung von Catena-X wächst dann auch das Vertrauen gegenüber der Technologie und den Prozessen, denn ein Zulieferer macht sich nicht, wie so oft gedacht, dem OEM gegenüber gläsern.
Hinzu kommt ein strategischer Nutzen. Ein Catena-X-fähiger Zulieferer kann gegenüber OEMs und Tier-1-Kunden anders auftreten. Er zeigt, dass er Datenanforderungen nicht nur irgendwie erfüllt, sondern professionell, wiederholbar und anschlussfähig abbilden kann. Das kann bei Vergaben, Folgeaufträgen und strategischen Partnerschaften ein relevanter Vorteil sein.
Das Programm bleibt als Signal wichtig. Es hat sehr deutlich gezeigt, wohin sich der Markt bewegt, und eine Teilnahme ist nicht ausgeschlossen. Die Branche erwartet nicht mehr nur punktuelle Datenlieferungen, sondern anschlussfähige Datenprozesse. Die Förderung war ein Anstoß, aber keine langfristige Strategie.
Neulich wurde dieser Druck auch in einem Kundengespräch spürbar, als es um künftige OEM-Anforderungen ging. Die eigentliche Frage des Kunden war nicht: „Wie kommen wir möglichst günstig in ein Förderprogramm?“, sondern: „Wie verhindern wir, dass wir bei jeder neuen Datenanforderung wieder bei Null anfangen?“ Genau das ist der entscheidende Perspektivwechsel. Catena-X sollte nicht als einmaliges Projekt verstanden werden, sondern als der Aufbau einer Fähigkeit, die künftig immer wieder gebraucht wird. Der ROI bei der Skalierung von Prozessen und mehreren Use Cases in Catena-X kann in mittelständisch agierenden Unternehmen die Förderungssumme weit übersteigen.
Unternehmen sollten deshalb jetzt nicht sagen: Die erste Frist ist vorbei, also ist das Thema erledigt. Im Gegenteil. Jetzt beginnt die eigentliche Arbeit und das Programm läuft weiter. Es geht darum, die eigenen Voraussetzungen zu prüfen, Stakeholder zusammenzubringen und zu entscheiden, wie Catena-X sinnvoll in bestehende Prozesse, Systeme und Verantwortlichkeiten integriert werden kann.
Die erste Frage lautet: Welche Daten müssen wir künftig gegenüber Kunden, OEMs oder Partnern bereitstellen können? Danach folgt direkt die Frage, wo diese Daten heute liegen, wer dafür verantwortlich ist und in welcher Qualität sie verfügbar sind.
Viele Unternehmen stellen dann fest, dass das eigentliche Problem nicht der technische Anschluss an Catena-X ist. Die größere Herausforderung liegt häufig im Datenmanagement. Daten sind vorhanden, aber nicht ausreichend strukturiert, nicht eindeutig zugeordnet oder nur mit hohem manuellen Aufwand nutzbar. Genau hier entscheidet sich, ob Catena-X später entlastet oder zusätzlichen Aufwand verursacht.
Ein Geschäftsführer brachte es in einem Termin einmal sehr pragmatisch auf den Punkt: „Wir wollen nicht noch ein Tool, das am Ende nur Arbeit macht. Wir wollen weniger Rückfragen und mehr Klarheit darüber, welche Daten wir unseren Kunden bereitstellen können.“ Das ist aus meiner Sicht die richtige Haltung. Catena-X entfaltet seinen Wert erst dann, wenn es operative Prozesse vereinfacht und nicht nur eine zusätzliche Nachweispflicht erfüllt.
Catena-X darf nicht ausschließlich als IT-Projekt verstanden werden. Natürlich braucht es technische Ansprechpersonen, Application Management sowie eine passende Lösung. Aber genauso wichtig sind das Management, die Fachbereiche, die Compliance und die Datenverantwortlichen.
Ein Unternehmen muss klären, wer Entscheidungen trifft, wer Daten bereitstellt, wer die Qualität sichert und wer langfristig Wissen im Unternehmen aufbaut. Wenn diese Rollen fehlen, entsteht schnell Abhängigkeit von externen Dienstleistern oder einzelnen internen Experten. Nachhaltig ist Catena-X nur dann, wenn internes Know-how entsteht und die Organisation versteht, wie der Datenaustausch funktioniert.
Aus der Praxis wissen wir: Sobald Fachbereiche, IT und Management gemeinsam auf die Datenprozesse schauen, verändert sich die Diskussion. Dann geht es nicht mehr nur darum, einen Connector (EDC) anzubinden. Dann geht es um Fragen wie: Welche Datenprodukte benötigen wir künftig? Welche Prozesse können automatisiert werden? Wo vermeiden wir manuelle Arbeit? Und wie stellen wir sicher, dass Wissen nicht bei einzelnen Personen hängen bleibt?
Ein häufiger Fehler ist, Catena-X als kurzfristiges Compliance-Projekt zu behandeln. Dann wird versucht, eine einzelne Anforderung möglichst schnell zu erfüllen, oft mithilfe manueller Workarounds. Das funktioniert vielleicht für den ersten Nachweis, skaliert aber nicht.
Ein zweiter Fehler ist, den Nutzen zu spät zu berücksichtigen. Viele Unternehmen fragen zuerst: Was kostet uns das? Sie sollten aber auch fragen: Welche Prozesskosten können wir reduzieren? Wie kann ich einen Business Case aufbauen, den ich berechnen und optimieren kann? Wo schaffen wir eine bessere Basis für Kundenbeziehungen und zukünftige Ausschreibungen?
Gerade bei wiederkehrenden Kundenabfragen kann der Nutzen sehr konkret werden. Wenn Zertifikate, CO₂-Daten oder Rückverfolgbarkeitsinformationen standardisiert und automatisiert verfügbar sind, müssen Mitarbeiter nicht jedes Mal Daten zusammensuchen, prüfen und manuell versenden. Das reduziert nicht nur den Aufwand, sondern erhöht auch die Reaktionsgeschwindigkeit gegenüber Kunden. In einem zunehmend datengetriebenen Lieferantennetzwerk kann genau diese Geschwindigkeit zum Geschäftsvorteil werden.
Und ein dritter Fehler ist, die interne Abstimmung zu spät zu beginnen und unter Druck vorschnell zu reagieren. Wenn Fachbereiche, IT und Management erst eingebunden werden, sobald eine konkrete Kundenanforderung auf dem Tisch liegt, ist der Zeitdruck meist schon hoch. Deshalb sollte verhindert werden, das gesamte Thema auf die Personaldienstleistungen abzuladen und unüberlegte Lösungen und Applikationen einzukaufen. Catena-X sollte unternehmensintern an ein leichtgewichtiges Governance-Modell geknüpft werden und Entscheidungswege zu Kommunikation, Prozessen und Applikationsauswahl sollten vorab skizziert werden.
Ein sinnvoller Einstieg ist häufig das Company Certificate Management. Der Use Case adressiert grundlegende Anforderungen an Identität, Nachweise und strukturierte Datenbereitstellung. In der Praxis hilft er dabei, Zertifikate und Unternehmensnachweise schneller, konsistenter und nachvollziehbarer bereitzustellen. Das reduziert manuelle Nachfragen, vermeidet Versionsunklarheiten und schafft eine gute Grundlage für weitere Catena-X-Anwendungsfälle.
Ein weiterer Fokus: Der CO₂-Fußabdruck wird durch regulatorische Anforderungen und steigende Kundenerwartungen immer wichtiger. Für Zulieferer kann ein sauber aufgesetzter Product Carbon Footprint zur Geschäftschance werden: Wer belastbare CO₂-Daten schneller und verlässlicher liefern kann als der Wettbewerb, verbessert seine Position in Kundengesprächen und bei nachhaltigkeitsbezogenen Vergaben.
Auch der Digital Product Passport gewinnt regulatorisch an Bedeutung. Besonders deutlich wird das beim Battery Pass: Ab Februar 2027 müssen bestimmte Batteriegruppen, darunter Elektrofahrzeugbatterien und Industriebatterien, über einen digitalen Batteriepass verfügen. Für betroffene Unternehmen bedeutet das, produkt- und lebenszyklusbezogene Daten frühzeitig strukturiert, aktuell und nachvollziehbar bereitstellen zu können.
Traceability sowie Demand and Capacity Management zeigen zusätzlich, dass Catena-X nicht nur Compliance ist. Wenn Qualitäts-, Kapazitäts- und Bedarfssignale standardisiert ausgetauscht werden, können Unternehmen früher auf Engpässe oder Mängel reagieren, Planungsprozesse verbessern und Abstimmungen mit Kunden verlässlicher gestalten. Das wirkt sich direkt auf Lieferfähigkeit, Produktionsplanung und Kundenbindung aus.
Die meisten Engpässe entstehen nicht beim ersten technischen Setup, sondern bei der Datenbereitstellung und der Prozessintegration. Unternehmen unterschätzen häufig, wie viel Abstimmung notwendig ist, bis Daten in der richtigen Qualität, Struktur und Aktualität vorliegen. Effizienzen können nur durch entsprechende Prozessautomatisierung gesteigert werden.
Ein weiterer Engpass ist die Auswahl der Lösung. Am Markt gibt es verschiedene Connectoren, Plattformen und Business-Apps. Für Unternehmen ist es nicht immer leicht zu beurteilen, welche Lösung zum eigenen Reifegrad, zur bestehenden Systemlandschaft und zu den erwarteten Kundenanforderungen passt. Hier ist unabhängige Beratung wichtig, damit nicht vorschnell eine Lösung gewählt wird, die später zusätzlichen Aufwand verursacht. Beispielsweise reicht ein EDC, also der Connector für Catena-X, nicht aus, um einen Use Case End-to-End umzusetzen.
In Kundengesprächen erleben wir häufig, dass die technische Frage zunächst sehr dominant ist. Nach den ersten Workshops zeigt sich aber oft: Die wichtigere Frage ist nicht „Welche App kaufen wir?“, sondern „Wie kommen unsere Daten verlässlich, automatisiert und ohne manuelle Umwege in diesen Prozess?“ Genau deshalb müssen technische Lösungen, Datenmanagement und operative Prozesse gemeinsam betrachtet werden.
Wir unterstützen Unternehmen dabei, Catena-X strukturiert, nutzenorientiert und nachhaltig umzusetzen, und übernehmen auf Wunsch auch die Verantwortung für die konkrete Anbindung und Umsetzung. Das beginnt neben strukturiertem Wissensaufbau und der Entwicklung eines Governance-Rahmens mit einer realistischen Bestandsaufnahme: Welche Daten sind vorhanden? Welche Systeme sind relevant? Welche Anforderungen kommen von OEMs oder Tier-1-Kunden? Welche internen Rollen und Kapazitäten werden benötigt?
Darauf aufbauend begleiten wir die Auswahl geeigneter Use Cases und technischer Lösungen. Wir bringen Fachbereich, IT und Management zusammen, unterstützen beim Aufbau von Data Management und helfen mit ETL-Prozessen, automatisierte Datenpipelines statt manueller Einzelprozesse aufzusetzen. Unser Ziel ist nicht nur, einen Anschluss herzustellen, sondern auch die Umsetzung so zu gestalten, dass Unternehmen dauerhaft handlungsfähig werden und internes Wissen aufbauen.
Zusätzlich bieten wir bewusst keine eigene Softwarelösung an, um Catena-X umzusetzen. Wir arbeiten mit verschiedenen Lösungsanbietern zusammen und finden gemeinsam mit dem Kunden die passgenaue Lösung für seine Anforderungen. Dies kann sowohl in einer Eigenentwicklung als auch in der Beschaffung einzelner Infrastrukturkomponenten oder beim Einkauf einer SaaS-Applikation münden.
Ein wichtiger Teil unserer Arbeit ist dabei die Übersetzung zwischen den Perspektiven. Das Management möchte wissen, welchen Beitrag Catena-X zu Kundenfähigkeit, Vergabechancen und Zukunftssicherheit leistet. Die Fachbereiche wollen weniger manuelle Arbeit und klarere Prozesse. Die IT braucht eine Lösung, die zur Systemlandschaft passt und nicht dauerhaft Sonderaufwand verursacht. Unsere Aufgabe ist es, diese Perspektiven zusammenzuführen und daraus eine belastbare Umsetzungsroadmap zu entwickeln – bis hin zur verantwortlichen Umsetzung der Anbindung, gemeinsam mit den relevanten Teams auf Kundenseite.
Der größte Nutzen liegt in der Kombination aus Compliance, Effizienz und Geschäftschance. Unternehmen erfüllen Kundenanforderungen nicht mehr reaktiv, sondern schaffen eine belastbare Grundlage für den wiederkehrenden Datenaustausch. Sie reduzieren manuellen Aufwand, verbessern die Datenqualität und stärken ihre Position gegenüber OEMs und Partnern.
Ein eingerichteter Use Case kann sehr konkrete Effekte haben: weniger E-Mail-basierte Datenabfragen, weniger manuelle Nachweiserstellung, schnellere Reaktionszeiten gegenüber Kunden, bessere Transparenz über verfügbare Daten und eine höhere Anschlussfähigkeit an künftige OEM-Anforderungen. Das ist nicht nur interne Effizienz. Es kann auch beeinflussen, wie professionell ein Zulieferer in Ausschreibungen, Audits und strategischen Kundengesprächen wahrgenommen wird.
Catena-X kann damit vom Pflichtprogramm zum Wettbewerbsvorteil werden. Voraussetzung ist aber, dass Unternehmen das Thema ernsthaft angehen und nicht nur auf kurzfristige Förderung oder einzelne Nachweise schauen.
Starten Sie mit einer ehrlichen Bestandsaufnahme. Prüfen Sie, welche Kundenanforderungen bereits bestehen oder in naher Zukunft eintreten. Klären Sie, welche Daten dafür benötigt werden und wie diese heute erzeugt, gepflegt und ausgetauscht werden. Bringen Sie die relevanten Stakeholder an den Tisch und entwickeln Sie Vertrauen für das so sensible Thema Datenaustausch on demand über eine Technologie, wie Catena-X sie offeriert.
Danach sollten Unternehmen entscheiden, welche Use Cases fachlich und strategisch sinnvoll sind. Nicht jeder Anwendungsfall ist für jedes Unternehmen gleich relevant: Unternehmen, die mit energieintensiven Prozessen und Produkten arbeiten, können sich mit dem PCF-Use-Case auseinandersetzen; Batterieproduzenten sollten sich eher mit der kommenden EU-Regulierung und dem Batterie- bzw. Digitalen Produktpass beschäftigen. Die Grundlage für den Einstieg bildet jedoch stets der Zertifikatemanagement-Use-Case. Wichtig ist, mit einem klaren Zielbild zu starten und Catena-X nicht isoliert, sondern als Teil der eigenen Datenstrategie zu betrachten.
Wer jetzt strukturiert vorgeht, kann den Druck durch OEM-Anforderungen in einen echten Entwicklungsschritt verwandeln: weniger manuelle Prozesse, mehr interne Kompetenz, bessere Kundenfähigkeit und eine stärkere Position im automobilen Datenökosystem.
Consileon begleitet mittelständische Automobilzulieferer bei der strukturierten Umsetzung von Catena-X. Von der Reifegradanalyse über die Use-Case-Auswahl und unabhängige Lösungsberatung bis zum Aufbau belastbarer Datenprozesse unterstützt Consileon Unternehmen dabei, Compliance-Anforderungen zu erfüllen, internes Know-how aufzubauen und Datenaustausch dauerhaft effizient zu gestalten.
Im Mittelpunkt steht dabei nicht die kurzfristige Erfüllung einer Einzelanforderung, sondern der nachhaltige Aufbau von Datenfähigkeit: mit klaren Verantwortlichkeiten, automatisierten Pipelines, passenden Lösungen und einer Organisation, die Catena-X als Geschäftschance versteht.
Stellen Sie sich einen Kunden vor, nennen wir ihn Markus, 38, verheiratet, zwei Kinder, neue Stelle als Abteilungsleiter verbunden mit einem Wohnungswechsel. Markus hat einen KI-Assistenten, der seine Finanzen und Absicherungen im Blick behält. Markus muss nichts aktiv tun. Sein Assistent erkennt, dass der Jobwechsel Konsequenzen hat: Alle Versicherer benötigen die neue Adresse, für die neue Wohnung muss die Hausratversicherung umgestellt werden. Die Haftpflicht wurde zuletzt vor acht Jahren abgeschlossen, die Deckungssumme liegt weit unter dem heute marktüblichen Schutzniveau. Ob der bestehende Rechtsschutz eine berufliche Komponente enthält und für die neue Führungsposition ausreicht, hat Markus nie geprüft. Und seine BU-Versicherung läuft weiter, das versicherte Monatsgehalt spiegelt aber noch das alte Einkommensniveau. Mit der neuen Stelle und dem höheren Gehalt ist die Absicherungslücke größer geworden.
Der Agent handelt. Er fragt Konditionen an, vergleicht, priorisiert. Und er landet dabei irgendwo. Die Frage, wo er landet, ist die wichtigste Frage, die die Versicherungsbranche gerade nicht stellt. Stattdessen diskutiert sie über KI im Schadenmanagement, über Chatbots im Kundenservice, über automatisierte Underwriting-Prozesse. Das sind sinnvolle Themen. Aber sie alle setzen voraus, dass der Kunde noch selbst initiiert. Was passiert, wenn er das nicht mehr tut?
Vergleichsportale sind für das KI-Agenten-Zeitalter strukturell besser aufgestellt als jeder andere Marktteilnehmer. Ihre gesamte Architektur basiert darauf, maschinenlesbare Daten bereitzustellen und algorithmisch zu vergleichen. Ein Kundenagent, der Konditionen abrufen will, findet dort sofort Antworten. Keine Wartezeit, keine menschliche Schleife, keine unstrukturierten PDFs. Das ist ein echter Vorteil. Und wer ihn unterschätzt, unterschätzt, wie schnell sich Marktanteile verschieben können, wenn die Reibung auf einer Seite gegen null geht.
Das Grundproblem von Vergleichsportalen ist aber kein technisches. Es ist ein strukturelles: Sie können vergleichen, aber sie kennen den Kunden nicht. Sie wissen nicht, dass Markus vor drei Jahren eine Rückenoperation hatte und seine BU-Versicherung deshalb mit einem Risikoausschluss versehen wurde und dass die neue, höher versicherte BU deshalb einer ärztlichen Prüfung bedarf, die kein Portal automatisch anstoßen würde. Sie wissen nicht, dass seine Frau selbstständig ist und die gemeinsame private Haftpflicht ihre berufliche Tätigkeit nicht abdeckt – ein klassischer blinder Fleck, der in der Beratungspraxis häufig übersehen wird. Sie optimieren auf Preis und Standardmerkmale. Für einfache, standardisierbare Produkte funktioniert das. Für komplexe Absicherungsfragen ist es gefährlich.
Ein Kundenagent, der wirklich im Interesse seines Nutzers handelt, wird das merken. Und er wird lernen, dass billiger nicht dasselbe ist wie richtig.
Direktversicherer mit eingeschränktem Produktportfolio haben in den letzten Jahren in digitale Infrastruktur investiert. Viele sind grundsätzlich in der Lage, maschinenlesbare Schnittstellen zu schaffen, über die Agenten Produkte anfragen können. Das ist kein unlösbares Problem.
Ihr strukturelles Limit liegt woanders: Ein Direktversicherer kann Kfz versichern oder Haftpflicht oder Hausrat. Selten alles gleichzeitig, fast nie mit der Tiefe, die komplexe Kundenbiografien erfordern. Ein Agent, der für Markus BU, Kfz, Haftpflicht, Hausrat und Rechtsschutz optimieren soll, braucht bei einem reinen Direktversicherer immer noch mehrere Anbieter. Das bedeutet mehrere Schnittstellen, mehrere Authentifizierungsprozesse, mehrere Datenquellen. Für einen Agenten, der auf Verlässlichkeit und Effizienz optimiert, ist das keine attraktive Lösung.
Direktversicherer können im KI-Agenten-Zeitalter eine Rolle spielen. Aber wahrscheinlich nur in klar definierten Produktsegmenten, wo Standardisierung und Preis dominieren.
Ein unabhängiger Makler oder ein Allfinanzanbieter hat strukturell genau das, was ein KI-Agent für seinen Kunden braucht: einen einzigen Ansprechpartner, der den vollständigen Versicherungs- und Vorsorgebedarf kennt, der produktunabhängig beraten kann und der die Kundenbiografie über Jahre begleitet. Der Kontext, den ein guter Makler über seinen Kunden hat, ist für einen Agenten Gold wert. Er macht den Unterschied zwischen einem Ergebnis, das stimmt, und einem, das nur günstig aussieht.
Dazu kommt: Ein Kundenagent, der für Markus alles über eine einzige verlässliche Verbindung lösen kann, wird diese Verbindung bevorzugen. Nicht aus Loyalität, sondern aus Logik. Fünf Schnittstellen zu fünf Spezialanbietern bedeuten fünf Fehlerquellen. Das ist kein gutes Ergebnis für jemanden, der im Interesse seines Nutzers handelt.
Die kritische Lücke ist: Die meisten Makler und Allfinanzanbieter sind digital unsichtbar. Sie sind persönlich präsent, empfehlenswert, vertrauenswürdig. Aber für einen KI-Agenten, der im Auftrag eines Kunden fragt, existieren sie schlicht nicht. Keine standardisierte Schnittstelle, über die Konditionen abgerufen werden können. Kein API-Gateway. Keine maschinenlesbare Antwort auf eine Agenten-Anfrage. Das ist die Lücke, die über Marktanteile entscheiden wird.
Der Markt wird sich aufteilen, und zwar nicht entlang der alten Linien von Online und Offline, sondern entlang einer neuen: agentenkompatibel und nicht agentenkompatibel.
Standardisierbare Produkte, Kfz, einfache Haftpflicht, Reiseversicherung, wandern zu Vergleichsportalen. Nicht weil die Portale besser beraten, sondern weil sie erreichbar sind, wenn ein Agent fragt. Der Preiswettbewerb dort wird noch härter als heute.
Komplexe Bedarfe, BU, Altersvorsorge, gewerbliche Absicherung, biometrische Risiken, könnten zum Makler gehen. Aber nur, wenn der Makler eine Antwort hat, wenn der Agent anklopft. Wenn nicht, landet auch diese Anfrage beim Vergleichsportal, mit allen Konsequenzen für die Beratungsqualität des Ergebnisses.
Der Direktversicherer verliert in beiden Szenarien: zu teuer für den Preiswettbewerb, zu schmal aufgestellt für komplexe Bedarfe.
Wir verwenden den Begriff Agent Relationship Management für das, was Unternehmen jetzt aufbauen müssen: die Fähigkeit, nicht nur mit menschlichen Kunden zu kommunizieren, sondern auch mit deren digitalen Stellvertretern.
Das beginnt mit Erreichbarkeit: standardisierte Protokolle, über die ein Kundenagent Anfragen stellen und Antworten erhalten kann. Ohne das ist alles andere Theorie.
Es geht weiter mit Kontext: der Fähigkeit, einem Agenten nicht nur Tarife zu liefern, sondern die Informationen, die eine sinnvolle Empfehlung erst möglich machen. Ein Makler, der seinen Kunden kennt, hat diesen Kontext. Er muss ihn nur digital verfügbar machen.
Und es endet mit Governance: der Entscheidung, was ein Agent im Namen des Unternehmens automatisch zusagen darf und was ein Mensch freigeben muss. Das ist keine IT-Frage. Das ist eine Führungsentscheidung.
Markus braucht keinen Berater, der ihm erklärt, was eine BU-Versicherung ist. Das weiß sein Agent. Markus braucht jemanden, der erkennt, dass die Erhöhung der BU-Rente wegen der Rückenoperation eine ärztliche Risikoprüfung erfordert, und der weiß, wie man das richtig angeht. Der ihm erklärt, was ein Rechtsschutz für Führungskräfte wirklich abdecken muss und was die meisten Standardverträge eben nicht tun.
Der Makler, der das leisten kann und gleichzeitig agentenfähig ist, gewinnt. Er bekommt die Routinen von seinem eigenen digitalen Assistenten abgenommen, der im Hintergrund Statusabfragen erledigt, Kündigungsfristen überwacht und Anpassungsbedarfe erkennt. Und er hat Zeit für das, was kein Agent kann: das Gespräch, das zählt.
Der Makler, der wartet, bis sein Kundenstamm von Agenten übernommen wird, die ihn nicht kennen, verliert zuerst die einfachen Fälle. Und dann die anderen auch. Die Frage ist nicht, ob KI-Agenten den Versicherungsvertrieb verändern. Die Frage ist, wer dabei sitzt, wenn sie es tun.
Stadtwerke versorgen Millionen Bürgerinnen und Bürger mit Strom, Gas, Wasser, Wärme und zunehmend auch mit digitaler Infrastruktur. Gleichzeitig geraten sie zunehmend in den Fokus von Cyberkriminellen und daher auch von Regulierungsbehörden. Mit NIS-2 steigen die Anforderungen an Cybersicherheit, Governance und Risikomanagement deutlich. Im Interview erklären Gilles Schneider und Andreas Grau, warum nahezu alle Stadtwerke jetzt handeln müssen, welche Herausforderungen die Umsetzung mit sich bringt und wie sich Compliance wirtschaftlich und nachhaltig gestalten lässt.
Gilles Schneider: Stadtwerke nehmen eine besondere Rolle ein, da sie für mehrere kritische Versorgungsbereiche gleichzeitig verantwortlich sind. Strom, Gas, Trinkwasser, Fernwärme oder Telekommunikation sind essenzielle Leistungen für Bürgerinnen und Bürger. Kommt es auch nur zu einer partiellen Unterbrechung, sind die Folgen für die öffentliche Versorgung unmittelbar spürbar. Genau deshalb stehen Stadtwerke zunehmend im Fokus der Cyberkriminalität.
Andreas Grau: Gleichzeitig hat sich die regulatorische Perspektive verändert. Während bislang nur ein Teil der Versorgungsunternehmen unter KRITIS oder NIS-1 fiel, erweitert NIS-2 den Kreis der betroffenen Unternehmen deutlich. Für viele Stadtwerke bedeutet dies eine grundlegende Veränderung ihrer regulatorischen Anforderungen. Cybersicherheit wird von einer IT-Aufgabe zu einem strategischen Managementthema.
Andreas Grau: Die Anforderungen gehen deutlich weiter als bisher. NIS-2 betrachtet nicht nur technische Schutzmaßnahmen, sondern die gesamte Organisation. Dazu gehören Risikomanagement, Incident Handling, Notfallmanagement, Lieferketten, Schulungen und Governance-Strukturen.
Besonders relevant ist die Verantwortung der Geschäftsleitung. NIS-2 macht ausdrücklich klar, dass die Einhaltung der Anforderungen nicht delegiert werden kann. Geschäftsführungen müssen sich mit dem Thema aktiv auseinandersetzen, selbst schulen, Maßnahmen überwachen und deren Wirksamkeit nachvollziehen können.
Gilles Schneider: Genau diese Frage hören wir sehr häufig. Tatsächlich unterschätzen viele Stadtwerke ihre Betroffenheit. Durch die erweiterten Kriterien fallen heute deutlich mehr Unternehmen unter die Regulierung als früher. Relevant sind unter anderem Unternehmensgröße, Umsatz und die Zugehörigkeit zu kritischen Sektoren wie Energie, Wasser oder Telekommunikation. Für viele Stadtwerke lautet die Antwort deshalb: Ja, sie sind betroffen.
Deshalb empfehlen wir immer, zunächst eine strukturierte Betroffenheitsanalyse durchzuführen. Consileon führt diese stets in enger Kooperation mit spezialisierter Rechtsberatung durch, denn erst wenn klar ist, welche Einstufung vorliegt und welche Anforderungen konkret gelten, können die richtigen Prioritäten gesetzt werden.
Andreas Grau: Stellen wir uns ein mittelgroßes Stadtwerk vor. Die IT läuft stabil, es gab bislang keine größeren Sicherheitsvorfälle und man geht davon aus, grundsätzlich gut aufgestellt zu sein.
Bei einer näheren Analyse zeigt sich dann häufig ein anderes Bild: Es gibt zwar technische Sicherheitsmaßnahmen, aber keine dokumentierten Risikoanalysen. Lieferanten werden nicht systematisch bewertet und es bestehen ggf. riskante Abhängigkeiten zu einzelnen Dienstleistern. Interne Meldeprozesse für Sicherheitsvorfälle sind nicht definiert, was dazu führt, dass im Ernstfall die NIS-2-Meldepflicht nicht eingehalten werden kann. Die Geschäftsleitung erhält keine regelmäßigen Reports zum Sicherheitsstatus und kann die Wirksamkeit nicht, wie erwähnt, nachvollziehen.
Technisch funktioniert vieles, regulatorisch entstehen jedoch erhebliche Lücken. Genau diese Diskrepanz wird durch NIS-2 sichtbar.
Andreas Grau: OT-Landschaften wie Leitstellen sowie Steuerungs- und Netzsysteme sind häufig historisch gewachsen und wurden ursprünglich nicht für die heutigen Bedrohungsszenarien entwickelt. Gleichzeitig müssen sie hochverfügbar bleiben. Das macht Veränderungen deutlich anspruchsvoller als in klassischen Office-IT-Umgebungen.
Gilles Schneider: Das ist einer der Punkte, der aktuell die größte Aufmerksamkeit erzeugt. Viele Geschäftsführer stellen erstmals fest, dass sie persönlich Verantwortung tragen.
Wichtig ist dabei: NIS-2 verlangt nicht, dass die Geschäftsleitung selbst technische Sicherheitsmaßnahmen umsetzt. Sie muss jedoch sicherstellen können, dass Risiken bekannt sind, geeignete Maßnahmen beschlossen wurden und deren Umsetzung regelmäßig überwacht wird.
Cybersicherheit wird damit zu einem festen Bestandteil der Unternehmenssteuerung und der Corporate Governance.
Gilles Schneider: Genau hier stoßen klassische Ansätze häufig an ihre Grenzen. Die manuelle Prüfung von Richtlinien, Prozessen, Sicherheitskonzepten und Nachweisen verursacht erheblichen Aufwand.
Deshalb setzen wir zunehmend auf KI-gestützte Verfahren. Moderne Analysewerkzeuge können große Dokumentenmengen wie Richtlinien und Verträge systematisch prüfen, regulatorische Anforderungen mit vorhandenen Nachweisen abgleichen und potenzielle Lücken identifizieren. Dadurch lassen sich Ressourcen gezielter einsetzen und Compliance-Prozesse deutlich effizienter gestalten.
Andreas Grau: Viele Organisationen betrachten Compliance noch immer als einmaliges Projekt. Genau das funktioniert bei NIS-2 und der Cybersicherheit im Allgemeinen nicht.
Die Anforderungen verändern sich, Systeme entwickeln sich weiter, neue Risiken entstehen. Deshalb braucht es einen kontinuierlichen Prozess. Compliance muss dauerhaft überwacht, dokumentiert und regelmäßig bewertet werden. Nur so bleibt die Organisation langfristig handlungsfähig.
Gilles Schneider: Nicht auf die perfekte Lösung warten. Der wichtigste Schritt ist, Transparenz zu schaffen. Wo stehen wir heute? Welche Anforderungen gelten für uns? Wo bestehen Risiken und Handlungsbedarfe?
Andreas Grau: Wer früh beginnt, kann die Umsetzung strukturiert planen und in bestehende Prozesse integrieren. Wer wartet, riskiert Zeitdruck, höhere Kosten und unnötige Unsicherheit. Das BSI hat die Lage inzwischen verschärft: Die gesetzliche Registrierungsfrist ist bereits im März abgelaufen, und das BSI überwacht den Stand der Anmeldungen aktiv. Mit einer Nachfrist bis zum 31. Juli 2026 bietet die Behörde erneut die Gelegenheit, die Registrierung nachzuholen. Danach sind empfindliche Bußgelder realistisch. NIS-2 sollte nicht als regulatorische Pflichtübung verstanden werden, sondern als Chance, Cybersicherheit nachhaltig zu stärken und die eigene Resilienz zu erhöhen.
Consileon unterstützt Stadtwerke entlang des gesamten NIS-2-Lebenszyklus. Von der Betroffenheitsanalyse über Audits, Registrierungsberatung und Geschäftsleitungsschulungen bis hin zur Umsetzungsbegleitung und zum Continuous Compliance Management entsteht ein ganzheitlicher Ansatz für regulatorische Sicherheit und nachhaltige Cyberresilienz.
Am 12. Juni 2026 hat die US-Regierung Anthropic per Exportkontrolldirektive angewiesen, die Modelle Claude Fable 5 und Mythos 5 für alle Nutzer weltweit zu deaktivieren. Vier Tage nach dem offiziellen Launch. Unternehmen, die diese Modelle bereits in produktive Prozesse integriert hatten, standen von einer Stunde auf die andere vor einem leeren Endpunkt. Das KI-Modell-Risiko, das viele Unternehmen bislang für theoretisch hielten, ist damit erstmals real geworden. Gerrit Verse, Senior Specialist und KI-Experte bei Consileon, ordnet ein, was das bedeutet und was Unternehmen daraus lernen müssen.
Anthropic hat am 9. Juni 2026 Claude Fable 5 gelauncht, ein leistungsstarkes Modell der sogenannten Mythos-Klasse, das für komplexe, langfristige Aufgaben konzipiert war. Drei Tage später hat die US-Regierung, gestützt auf nationale Sicherheitsbehörden, eine Exportkontrolldirektive erlassen. Die Begründung: Ein Jailbreak-Verfahren soll es ermöglichen, bestimmte Sicherheitsmechanismen des Modells zu umgehen. Anthropic war daraufhin gezwungen, beide Modelle für alle Kunden weltweit abzuschalten. Nicht nur für ausländische Nutzer. Für alle. Eine selektive Sperrung nach Nationalität war technisch nicht kurzfristig umsetzbar.
Das Entscheidende daran: Das ist kein Ausfall. Kein Bug. Kein Infrastrukturproblem. Das ist ein regulatorisches Eingreifen in ein kommerziell verfügbares Produkt, über Nacht, ohne Vorankündigung, ohne Übergangsfrist.
Als Warnsignal. Wer KI-Modelle von US-Anbietern in kritische Geschäftsprozesse integriert, ohne eine Governance-Strategie dahinter zu haben, sitzt auf einem KI-Modell-Risiko, das er selbst nicht kontrollieren kann. Die meisten Unternehmen haben sich bislang Gedanken gemacht über Datenschutz, über DSGVO-Konformität, über Kosten. Das ist richtig und wichtig. Aber die Frage „Was passiert, wenn dieses Modell morgen nicht mehr verfügbar ist?“ haben die wenigsten wirklich durchdacht.
Der Fable-5-Vorfall ist in dieser Hinsicht ein Präzedenzfall. Zum ersten Mal wurde ein bereits allgemein verfügbares Frontier-Modell durch eine Regierungsmaßnahme abgeschaltet. Das wird nicht das letzte Mal sein.
Es gibt aber noch ein zweites, langfristigeres Risiko, das bislang kaum diskutiert wird: den strukturellen Wettbewerbsnachteil. Wenn europäische Unternehmen dauerhaft keinen oder nur eingeschränkten Zugang zu den leistungsstärksten KI-Modellen bekommen, während amerikanische Wettbewerber ungehindert damit arbeiten, entsteht eine Schere, die sich nicht mehr einfach schließen lässt. Wer mit deutlich besseren Modellen Software entwickelt, Prozesse optimiert oder Entscheidungen trifft, arbeitet schlicht schneller und mit besseren Ergebnissen. KI könnte damit zu einer geopolitisch geschützten Ressource werden, ähnlich wie Halbleiter oder Militärtechnologie. Das ist keine Dystopie, das ist eine reale strategische Weichenstellung, die gerade stattfindet.
Besonders exponiert sind Unternehmen, die Automatisierungsworkflows oder KI-Agenten produktiv betreiben, also nicht nur experimentell nutzen, sondern fest in Geschäftsprozesse eingebettet haben. Dokumentenanalyse, Vertragsprüfung, automatisierter Kundensupport, Code-Generierung im Entwicklungsprozess: Überall dort, wo Menschen und KI in einem definierten Ablauf zusammenarbeiten, entsteht eine operative Abhängigkeit.
Wenn der Endpunkt plötzlich wegfällt, bricht der Prozess zusammen. Retry-Logik im Code hilft nicht. Ein anderes Modell einzuwechseln ist kurzfristig möglich, aber selten nahtlos, weil Modelle unterschiedlich reagieren, unterschiedliche Kontextlängen haben und unterschiedliche Stärken mitbringen. Das erfordert Anpassung, Tests, im schlimmsten Fall eine komplette Neukalibrierung der Prompts und Workflows.
Es gibt europäische Alternativen und sie sind ernstzunehmen. Mistral AI aus Paris ist heute der prominenteste europäische Anbieter mit einem Frontier-fähigen Modell. Die Infrastruktur liegt in Europa, das Unternehmen unterliegt europäischem Recht, ein DSGVO-konformer Auftragsverarbeitungsvertrag ist verfügbar. Für viele Anwendungsfälle reicht die Leistung von Mistral Large inzwischen vollständig aus, insbesondere für deutschsprachige Dokumente, strukturierte Analysen oder regelbasierte Workflows.
Die ehrliche Antwort lautet aber: Wer heute ausschließlich auf europäische Modelle setzt, nimmt bei bestimmten Aufgaben Leistungseinbußen in Kauf. Bei hochkomplexen Reasoning-Aufgaben, bei multimodalen Anwendungen oder bei sehr langen Kontextfenstern sind US-Modelle wie GPT oder Claude aktuell noch führend. Das ist kein Argument gegen europäische Anbieter, aber ein Argument dafür, differenziert vorzugehen.
Eine vollständige Unabhängigkeit ist eine Illusion, das sollten wir nicht versprechen. Aber es gibt erhebliche Unterschiede zwischen einer ungeplanten Abhängigkeit und einer bewusst gestalteten. Wer heute eine KI-Strategie aufbaut, sollte drei Ebenen unterscheiden.
Die Leistungsfähigkeit lokaler Modelle hat sich in den letzten zwei Jahren fundamental verändert. Was früher nur auf teurer Serverinfrastruktur lief, läuft heute auf einem modernen Arbeitsrechner oder einem aktuellen MacBook. Tools wie Ollama machen den Einstieg technisch trivial: Modelle wie Llama 3.3, Mistral Small oder Phi-4 lassen sich in wenigen Minuten lokal installieren und über eine standardisierte API ansprechen, ganz ohne Cloudanbindung, ganz ohne dass ein einziges Zeichen der Anfrage das Unternehmensnetz verlässt.
Für Aufgaben wie Textzusammenfassungen, Dokumentenklassifizierung, einfache Datenextraktion oder interne Suchfunktionen reicht die Qualität dieser Modelle heute vollständig aus. Selbst auf Consumer-Hardware erreichen quantisierte 8-Milliarden-Parameter-Modelle Benchmark-Werte, die vor zwei Jahren noch GPT-4-Niveau entsprachen. Die Grenzen liegen bei sehr langen Dokumenten, komplexen Mehrschritt-Analysen und multimodalen Aufgaben.
Interessant ist, was Apple hier gerade auf Endgerätebene vorantreibt. Apple Intelligence läuft auf neueren iPhones und Macs direkt auf dem Gerät, ohne Serveranbindung, für einfache Aufgaben wie Textkorrekturen, Zusammenfassungen oder Kalendereinträge. Das ist kein Frontier-Modell, aber für genau diese Alltagsaufgaben ist es gut genug. Apple zeigt damit ein Prinzip, das für Unternehmen verallgemeinerbar ist: Routineaufgaben gehören auf die lokale Ebene. Nur was wirklich komplexer Reasoning-Kapazität bedarf, sollte nach außen gehen.
Mistral AI aus Paris ist heute der relevanteste europäische Anbieter mit Frontier-naher Leistung. Die Modelle sind über europäische Infrastruktur verfügbar, DSGVO-konforme Auftragsverarbeitungsverträge existieren, und die Leistung bei deutschsprachigen Texten, strukturierten Analysen und regelbasierten Workflows ist solide. Für viele Unternehmensanwendungen in regulierten Branchen ist das ausreichend.
Die ehrliche Einschränkung bleibt: Wer ein Frontier-Modell für komplexe juristische Analysen oder multimodale Aufgaben braucht, stößt mit Mistral heute noch an Grenzen. Das ist aber kein Argument gegen den Einsatz europäischer Modelle, sondern ein Argument für eine differenzierte Strategie.
Für hochkomplexe Reasoning-Aufgaben, für autonome Agenten, die über mehrere Schritte und Werkzeuge hinweg arbeiten, für die Analyse sehr langer Dokumente oder für multimodale Anwendungen sind US-Modelle wie Claude oder GPT aktuell noch führend. Das wird sich verschieben, aber es ist die ehrliche Bestandsaufnahme für heute.
DeepSeek aus China ist eine Open-Source-Alternative, die bei bestimmten Aufgaben, insbesondere bei Code und strukturierten Analysen, überraschend stark abschneidet und sich lokal betreiben lässt. Wer DeepSeek nutzt, sollte allerdings die datenschutzrechtliche Situation sorgfältig prüfen. Der Fable-5-Vorfall hat gezeigt, dass geopolitische Risiken nicht nur bei US-Anbietern existieren.
Die Kunst liegt darin, diese drei Ebenen bewusst zu kombinieren, statt blind auf eine einzige Plattform zu setzen. Und die Grundregel dabei lautet: So lokal wie möglich, so extern wie nötig.
Kurzfristig sind die Kosten für Inferenz, also das tatsächliche Abfragen von Modellen, gesunken. Frontier-Modelle wie Sonnet oder Opus 4.8 kosten heute einen Bruchteil dessen, was vergleichbare Leistung vor zwei Jahren gekostet hätte. Dieser Trend wird sich fortsetzen, weil der Wettbewerb zwischen Anbietern intensiv ist und weil Modelle effizienter werden.
Was aber steigen wird: der Gesamtaufwand für KI-Governance. Unternehmen, die KI ernsthaft und sicher einsetzen wollen, müssen in Kompetenz investieren, in die Fähigkeit, Modelle zu evaluieren, Risiken zu beurteilen, Fallback-Szenarien zu definieren und Compliance sicherzustellen. Das ist kein einmaliges Projekt, sondern eine dauerhafte Aufgabe. Wer das unterschätzt, wird feststellen, dass die scheinbar günstigen Modellkosten nur ein Teil der Rechnung sind.
Hinzu kommt: Geopolitische Risiken wie der Fable-5-Vorfall zeigen, dass Modellverfügbarkeit kein selbstverständliches Gut ist. Unternehmen, die das in ihre Planung einbeziehen, mit Redundanz, mit Alternativen und mit Abstraktionsschichten zwischen Anwendung und Modell, werden langfristig resilienter und damit auch wirtschaftlich im Vorteil sein.
Drei Dinge, die sofort umsetzbar sind:
Der Fable-5-Vorfall ist ein unangenehmer, aber lehrreicher Moment. Er zeigt, dass das KI-Modell-Risiko kein abstraktes Zukunftsszenario ist, sondern heute in der Produktionsumgebung ankommen kann. Wer KI-Strategie und IT-Governance jetzt zusammendenkt, hat einen echten Vorsprung.
Die Consileon Business Consultancy GmbH und die Hochschule Neu-Ulm vereinbaren eine Kooperation im Bereich Gesundheitsmanagement. Ziel der Zusammenarbeit ist es, den Austausch zwischen Wissenschaft, Beratung und Praxis zu stärken und aktuelle Herausforderungen im Gesundheitswesen gemeinsam aufzugreifen.
Im Mittelpunkt der Kooperation stehen Themen, die Krankenhäuser und Gesundheitseinrichtungen derzeit besonders beschäftigen: digitale Transformation, regulatorische Anforderungen, IT-Sicherheit, Künstliche Intelligenz (KI) und die Weiterentwicklung effizienter Versorgungsprozesse. Die Zusammenarbeit soll dazu beitragen, wissenschaftliche Perspektiven, praktische Anforderungen aus dem Klinikalltag und technologische Lösungskompetenz enger miteinander zu verbinden.
Ein Schwerpunkt liegt auf praxisnahen Fragestellungen rund um den Einsatz von KI im Krankenhaus. Angedacht ist unter anderem eine gemeinsame Masterarbeit zum Thema KI im Einkauf. Dabei soll untersucht werden, wie KI-gestützte Lösungen, etwa der Consileon Compliance Manager, im Vergleich zu konventionellen Vorgehensweisen bei Lieferketten- und Compliance-Anforderungen im Umfeld von Medizinprodukten unterstützen können. Auch gemeinsame Veranstaltungen, beispielsweise zum Thema „IT-Sicherheit im Krankenhaus“, sind Teil der geplanten Zusammenarbeit.
Die Kooperation knüpft an die strategische Weiterentwicklung des Consileon-Geschäftsbereichs Healthcare an. Consileon begleitet Krankenhäuser, Labore sowie Unternehmen der Pharma- und Medtech-Industrie bei zentralen Management-, Digitalisierungs- und Transformationsvorhaben. Schwerpunkte liegen unter anderem auf der sicheren und wirtschaftlichen Nutzung von Daten und KI, der Umsetzung regulatorischer Anforderungen wie NIS-2 sowie der Optimierung klinischer, administrativer und IT-getriebener Prozesse.
„Zukunftsfähige Gesundheitsversorgung entsteht dort, wo Hochschulen, Unternehmen und Praktiker gemeinsam Lösungen entwickeln“, sagt Dr. med. Michael Ullmann, Geschäftsbereichsleiter Healthcare bei Consileon. „Mit der Hochschule Neu-Ulm möchten wir praxisnahe Impulse für KI, Compliance und digitale Transformation im Krankenhaus setzen und Studierende frühzeitig mit realen Herausforderungen des Gesundheitswesens vertraut machen.“
Für Dr. Michael Ullmann hat die Zusammenarbeit auch einen persönlichen Bezug: Er absolvierte sein berufsbegleitendes MBA-Studium Krankenhausmanagement an der Hochschule Neu-Ulm und ist dort seit 2023 als Dozent für KI im Gesundheitswesen im Zentrum für Weiterbildung tätig. Auf Seiten der Hochschule Neu-Ulm ist Prof. Dr. Patrick Da-Cruz zentraler Ansprechpartner für die Kooperation.
Neben gemeinsamen wissenschaftlichen Arbeiten und Veranstaltungen sind weitere Formate geplant, die den Wissenstransfer zwischen Hochschule, Beratung und Gesundheitsversorgung fördern. Dazu zählt auch die Idee eines von Consileon gestifteten Preises für herausragende wissenschaftliche Arbeiten zu Themen des Gesundheitsmanagements.
Mehr über Consileons Leistungsangebot im Bereich Healthcare.
Frank Westendorf ist seit über 30 Jahren in der SAP-Welt zuhause, zunächst als Entwickler und Teamleiter beim Hersteller selbst, später als Berater und seit 2019 als Geschäftsführer der Consileon Applied Business GmbH. Im Interview spricht er offen über die häufigsten Fehler bei SAP S/4HANA-Migrationsprojekten, warum Transformationen trotz jahrelanger Ankündigung immer noch scheitern und was Unternehmen tun können, um es besser zu machen.
Das Gefühl kann ich gut verstehen, und ich höre es regelmäßig. SAP hat die Deadlines tatsächlich mehrfach nach hinten geschoben: erst 2025, dann 2027, inzwischen gibt es mit der Extended Maintenance eine Option bis 2030. Das hat viele Unternehmen in eine gefährliche Komfortzone gewiegt.
Aber die Situation hat sich fundamental verändert. Der Mainstream-Support für SAP ECC endet Ende 2027. Das ist ein harter Schnitt. Danach gibt es keine Sicherheits-Updates mehr, keine neuen gesetzlichen Anforderungen werden eingespielt, keine regulatorischen Anpassungen. Wer bis 2030 weitermachen will, zahlt für die Extended Maintenance extra und läuft trotzdem auf einer Plattform ohne Weiterentwicklung.
Hinzu kommt ein praktisches Problem, das viele unterschätzen: SAP S/4HANA Migrationsprojekte dauern in der Realität deutlich länger als geplant. Die Horváth-Studie aus dem ersten Quartal 2025, für die 200 SAP-Anwenderunternehmen befragt wurden, zeigt: Im Durchschnitt dauern Projekte 30 Prozent länger als geplant. Nur 8 Prozent der Unternehmen, die die Migration abgeschlossen haben, lagen im Zeitplan. Wer 2026 noch nicht ernsthaft mit der Planung begonnen hat, hat ein reales Fristproblem.
Beides ist wahr, aber ich würde die Reihenfolge umdrehen. Das Support-Ende erzeugt natürlich Druck. Aber wer die SAP S/4HANA Migration nur als Compliance-Übung betrachtet, weil SAP es verlangt, macht einen grundlegenden Fehler. Er wird viel Geld ausgeben und wenig zurückbekommen.
S/4HANA ist eine fundamental andere Architektur. Das Universal Journal zum Beispiel: Statt vieler getrennter Nebenbücher gibt es eine einzige Datentabelle für alle Finanztransaktionen. Das klingt technisch, hat aber konkrete Auswirkungen. Periodenabschlüsse, die früher Tage gedauert haben, können in Stunden erledigt werden. Echtzeit-Auswertungen, die bisher einen separaten BI-Stack erforderten, laufen direkt im System.
Was mich in der Beratung wirklich begeistert: S/4HANA öffnet die Tür für KI-Anwendungen, die auf SAP ECC schlicht nicht möglich waren. Automatisierte Rechnungsprüfung, prädiktive Cashflow-Analysen, intelligente Abweichungserkennung in der Kreditorenbuchhaltung: Das sind keine Zukunftsvisionen, das setzen wir heute in Projekten um. Wer die SAP S/4HANA Migration nur als Pflichtübung abarbeitet und seine Prozesse eins zu eins kopiert, verspielt diese Chance.
Die ehrliche Antwort ist: Es kommt darauf an, wie man die SAP S/4HANA Migration angeht. Wer einen reinen Lift-and-Shift macht, also das alte System technisch umzieht, ohne Prozesse anzufassen, wird keinen überzeugenden ROI nachweisen können. Die Kosten sind real, der Nutzen bleibt gering.
Wer die Migration aber als Transformationsprojekt begreift, sieht ein anderes Bild. Konkret: Viele unserer Kunden im FiBu-Umfeld haben nach der SAP S/4HANA Migration ihren Periodenabschluss um 40 bis 60 Prozent beschleunigt. Manuelle Abstimmungsaufwände in der Hauptbuchhaltung sinken erheblich, weil das Universal Journal viele der alten Übertragungs- und Abstimmungsschritte überflüssig macht. Die Integration von KI in Folgeprozesse, etwa in der Rechnungsverarbeitung, bringt weitere Effizienzgewinne.
Für den CFO ist noch ein anderer Aspekt relevant: Ein ECC-System, das nicht mehr gewartet wird, ist ein operatives Risiko. Fehlende Sicherheitsupdates, keine Unterstützung bei gesetzlichen Änderungen: Das kann teuer werden. Die Alternative „nichts tun“ hat also auch einen Preis, der in der ROI-Berechnung oft vergessen wird.
Das ist wahrscheinlich die Frage, mit der ich am häufigsten konfrontiert bin, und bei der ich am direktesten antworten kann, weil ich die Muster über viele Projekte hinweg kenne.
Der größte Fehler: Die SAP S/4HANA Migration wird als IT-Projekt behandelt. Der CIO ist verantwortlich, die Fachabteilungen sind Zulieferer. Das scheitert regelmäßig. S/4HANA-Migrationen sind Transformationsprojekte. Sie verändern, wie Finanzbuchhaltung, Controlling, Einkauf und Logistik arbeiten. Wenn der CFO nicht aktiv mitgestaltet und die Fachabteilungen nicht von Beginn an eingebunden sind, entstehen Lösungen, die technisch funktionieren, aber operativ nicht funktionieren.
Der zweite klassische Fehler: unterschätzte Datenkomplexität. Viele Unternehmen haben über 15 oder 20 Jahre ihr SAP-System individuell angepasst: eigene Transaktionen, eigene Reports, gewachsene Schnittstellen. Diese technische Schuld verschwindet nicht durch eine Migration. Sie muss bewusst aufgelöst oder bewusst übernommen werden. Wer das nicht vorher analysiert, erlebt böse Überraschungen in der Testphase.
Und dann ist da die Governance. ISG hat in einer Studie festgestellt, dass viele Projekte an unklaren Entscheidungsrechten scheitern: zu viele Beteiligte, zu wenig klare Verantwortung, Entscheidungen werden verschleppt. Das ist kein technisches Problem, das ist ein Führungsproblem.
Ich fange mit dem Offensichtlichsten an: Ich bin seit 1994 in der SAP-Welt, davon 12 Jahre beim Hersteller selbst, zunächst als Entwickler, dann als Teamleiter. Das bedeutet, ich verstehe SAP nicht nur als Berater von außen, sondern kenne die Architektur, die Designentscheidungen und die Schwachstellen von innen. Das ist ein echter Unterschied in der Projektkommunikation, mit SAP und auch mit dem Kunden.
Was uns darüber hinaus unterscheidet: Wir kommen bei vielen Kunden über den laufenden Betrieb. Wir übernehmen erst die Wartung und Administration des bestehenden Systems, lernen es wirklich kennen: die individuellen Anpassungen, die gewachsenen Prozesse, die neuralgischen Punkte. Wenn wir dann in eine SAP S/4HANA Migrationsdiskussion einsteigen, reden wir nicht über ein System, das wir aus Dokumenten kennen, sondern eines, das wir von innen kennen. Das reduziert Überraschungen erheblich.
Und wir machen Prozessmodellierung vor der Migration zur Pflicht, nicht zur Option. Bevor wir ein einziges Byte migrieren, verstehen wir gemeinsam mit dem Kunden, wie seine FiBu- und Controlling-Prozesse heute laufen und wie sie nach der SAP S/4HANA Migration laufen sollen. Das kostet am Anfang Zeit, spart sie aber vielfach später.
Drei Dinge, die ich immer wieder erlebe.
Erstens der Umfang des Customizings. Deutsche Unternehmen haben historisch stark in individuelle SAP-Anpassungen investiert: steuerrechtliche Besonderheiten, branchenspezifische Anforderungen, interne Prozesslogiken. Im Krankenhaus kommt beispielsweise die KHBV hinzu, die eigene Buchführungsanforderungen mitbringt, die sich von handelsrechtlichen Regelungen teils erheblich unterscheiden. All das muss analysiert, bewertet und in der SAP S/4HANA Migration berücksichtigt werden.
Zweitens: Datenmigration und Datenqualität. Das wird systematisch unterschätzt. Ein Migrationstool, das die Datenbank technisch überführt, gibt es. Aber saubere, konsistente, vollständige Stammdaten sind Vorarbeit, die Monate dauern kann und intensive Zusammenarbeit zwischen IT und Fachbereich erfordert.
Drittens: Change Management. Menschen müssen mit einem neuen System arbeiten, anders als bisher. Wenn die Anwenderseite nicht mitgenommen wird, passiert Folgendes: Das System ist technisch live, aber die Mitarbeiter arbeiten mit Workarounds, pflegen Excel-Listen parallel und rufen im Helpdesk an. Das ist teuer und frustrierend. Wir investieren deshalb bewusst in Schulung und Begleitung der Anwender, nicht als Pflichtprogramm am Ende, sondern als Teil des Projekts von Beginn an.
Die entscheidende Erkenntnis zuerst: Eine SAP S/4HANA Migration kann nicht allein von der IT geführt werden. Es braucht zwingend Führung aus den Fachbereichen und Rückendeckung von ganz oben.
Auf Kundenseite brauche ich einen Projektleiter, der Mandat hat und Entscheidungen treffen kann, ohne sechs Eskalationsstufen durchlaufen zu müssen. Ich brauche Key User aus FiBu und Controlling, die den Ist-Prozess wirklich kennen und die Soll-Prozesse mitgestalten. Und ich brauche IT-Kompetenz, die versteht, welche Systemlandschaft vorhanden ist und wohin wir wollen.
Auf unserer Seite stellen wir gemischte Teams auf: Fachberater mit tiefer FICO-Kenntnis, technische Berater für Systemkonversion und Datenmigration sowie einen Projektmanager, der die Steuerung übernimmt. Was wir nicht machen: ein riesiges Team aufstellen, das Kapazität signalisiert, aber in dem keiner das Projekt wirklich durch und durch kennt. Wir arbeiten mit überschaubaren, verantwortlichen Teams.
Und ein Punkt, der oft unterschätzt wird: Der Übergang von der Testphase zum Go-live. Genau in dieser Phase muss das Gesamtteam aus Kunde und Berater wirklich funktionieren. Das ist kein Moment für Zuständigkeitsdebatten.
Ich gebe Ihnen eine ehrliche Antwort, keine Marketing-Antwort.
Für ein mittelständisches Unternehmen mit einer überschaubaren SAP-Landschaft, wenig individuellem Customizing und gut vorbereiteten Daten: 12 bis 18 Monate von der Prozessmodellierung bis zum Go-live. Das ist das untere Ende, und es setzt voraus, dass die Entscheidungen auf Kundenseite zügig getroffen werden.
Für Organisationen mit komplexeren Systemlandschaften, etwa Krankenhausverbünde, die mehrere Häuser zusammenführen, oder Industrieunternehmen mit vielen individuellen Anpassungen und Schnittstellen, können das 24 bis 36 Monate sein, manchmal mehr. SAP S/4HANA Migrationsprojekte in diesem Umfang laufen oft in Wellen: erst ein Kernprozess oder Standort, dann weitere.
Was die Horváth-Studie zeigt und was ich aus der Praxis bestätigen kann: Die meisten Projekte planen zu optimistisch. Der realistische Puffer liegt bei 20 bis 30 Prozent auf der Gesamtlaufzeit. Wer das nicht einrechnet, gerät unter Druck und trifft in der Endphase schlechte Entscheidungen.
Deshalb mein klarer Rat: Wer bis Ende 2027 fertig sein will, muss jetzt starten. Nicht in sechs Monaten, jetzt.
Das Risiko ist real. Ich wäre nicht ehrlich, wenn ich das kleinreden würde. Die Zahlen sprechen eine klare Sprache: Laut Horváth-Studie 2025 haben mehr als 60 Prozent der Unternehmen bei ihrer SAP S/4HANA Migration Budget, Zeitplan oder Qualitätsziele verfehlt. 65 Prozent stellen nach der Migration erhebliche Qualitätsmängel fest.
Aber diese Risiken sind nicht schicksalhaft. Sie entstehen aus bekannten, vermeidbaren Fehlern. Und wer das weiß, kann gegensteuern.
Was Risiko bei der SAP S/4HANA Migration wirklich reduziert: Erstens eine ehrliche Bestandsaufnahme vor Projektstart. Wie komplex ist die aktuelle Systemlandschaft wirklich? Wie sauber sind die Daten? Welche individuellen Anpassungen gibt es, und welche davon werden tatsächlich noch gebraucht? Zweitens klare Projektsteuerung mit echten Entscheidungskompetenzen, nicht Komitees, die Empfehlungen aussprechen, sondern Menschen, die entscheiden können. Drittens ausreichend Zeit für Test und Datenmigration: Das ist der am häufigsten unterschätzte Teil des gesamten Projekts.
Was wir bei Consileon explizit tun: Wir machen vor der eigentlichen SAP S/4HANA Migration eine Prozess- und Systemanalyse. Wir wissen, worauf wir uns einlassen, bevor wir starten. Und wir empfehlen lieber einen phasenweisen Ansatz, erst den Kernprozess, dann ausbauen, als den Big-Bang, der alles auf einmal umstellt. Das Risiko ist beherrschbarer, die Lernkurve steiler, und der erste Go-live-Erfolg motiviert das gesamte Team für das, was noch kommt.
Ich sage das ohne Überheblichkeit: Die großen Integratoren haben ihre Stärken. Wenn Sie ein Konzernprojekt mit 50 Standorten weltweit stemmen müssen, brauchen Sie entsprechende Kapazitäten.
Aber was ich in der Praxis immer wieder erlebe: Große Teams sind keine Garantie für gute Ergebnisse. Im Gegenteil: Je mehr Beteiligte, desto diffuser wird oft die Verantwortung. Die ISG-Studie hat das auf den Punkt gebracht: Viele SAP S/4HANA Migrationsprojekte scheitern nicht an fehlender Kompetenz, sondern an unklaren Entscheidungsrechten und fehlenden Verantwortlichkeiten zwischen zu vielen Beteiligten.
Was wir bieten: Tiefe statt Breite. Ein überschaubares, erfahrenes Team, das Ihr Projekt wirklich kennt, von der Prozessanalyse bis zum Go-live. Direkte Kommunikation, kurze Entscheidungswege. Und einen Berater, der Ihre SAP-Landschaft nicht nur aus der Projektdokumentation kennt, sondern im besten Fall schon aus dem laufenden Betrieb.
Dazu kommt: Wir sind SAP Silver Partner mit zertifizierter Kompetenz, aber wir sind kein verlängerter Arm von SAP. Wir sagen Ihnen auch, wo der SAP-Standard sinnvoll ist und wo individuelle Lösungen mehr bringen. Dieses unabhängige Urteil ist in einer SAP S/4HANA Migration, die viele Jahre Ihres Unternehmens prägen wird, viel wert.
Viele Unternehmen glauben, sie hätten ihre Kundendaten unter Kontrolle. Die Verträge sind DSGVO-konform, die Rechenzentren stehen in Frankfurt oder Dublin, der Datenschutzbeauftragte hat abgenickt. Was dabei oft übersehen wird: Der Serverstandort allein entscheidet nicht darüber, wer im Zweifelsfall auf Ihre Daten zugreifen kann.
Der entscheidende Faktor ist die Unternehmenszugehörigkeit des Cloud-Anbieters. Und die führt bei den marktbeherrschenden CRM-Plattformen fast ausnahmslos in die USA.
Das ist kein abstraktes Rechtsproblem. Es ist eine operative Realität, die Vorstandsetagen und Compliance-Abteilungen gleichermaßen betrifft. In regulierten Branchen wird Datensouveränität im CRM zunehmend zum entscheidenden Auswahlkriterium.
Der Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, wurde 2018 in den USA verabschiedet. Er verpflichtet US-amerikanische Unternehmen, auf Anfrage von US-Behörden Zugang zu Daten zu gewähren, die sie weltweit verwalten. Unabhängig davon, wo diese Daten physisch gespeichert sind.
Das betrifft Salesforce, HubSpot, Microsoft und andere US-Anbieter, auch dann, wenn deren Rechenzentren in Europa stehen. Microsoft hat das im Juni 2025 bei einer Anhörung im französischen Senat unter Eid bestätigt: Auf die Frage, ob garantiert werden könne, dass die Daten europäischer Bürger niemals ohne Zustimmung der nationalen Behörden an US-Stellen weitergegeben würden, lautete die Antwort des Chefjustiziars von Microsoft France klar „Nein“. 1 2
Selbst die als souverän vermarkteten europäischen Angebote können demnach keinen vollständigen Schutz vor US-behördlichem Zugriff garantieren, solange die Muttergesellschaft US-amerikanischem Recht unterliegt.
Das Tückische: Viele Unternehmen verwechseln Datenhaltung in Europa mit echter Datensouveränität. Data Residency und Data Sovereignty sind zwei verschiedene Konzepte. Ein europäischer Serverstandort allein schützt nicht vor dem Zugriff unter fremdem Recht. Datenschutzaufsichten und Branchenberichte verweisen seit Jahren auf steigende Bußgeldrisiken bei grenzüberschreitenden Datentransfers; der häufigste Auslöser ist die irrige Annahme, ein EU-Standort genüge.
An dieser Stelle wird ein informierter Leser einwenden: Seit Juli 2023 gibt es doch den EU-US Data Privacy Framework, den Angemessenheitsbeschluss der EU-Kommission, der Datentransfers in die USA wieder auf eine rechtssichere Grundlage stellt. Das stimmt, und genau hier liegt ein Missverständnis, das in beide Richtungen läuft.
Zunächst zur Unterscheidung: Der Data Privacy Framework regelt die Zulässigkeit des Datentransfers in die USA nach DSGVO. Der CLOUD Act regelt den behördlichen Zugriff, unabhängig davon, ob ein Transfer stattgefunden hat oder wo die Daten liegen. Anders gesagt: Selbst mit einem gültigen Data Privacy Framework bleibt das Zugriffsrisiko durch US-Behörden bestehen.
Hinzu kommt, dass die Stabilität des Rahmens selbst fraglich ist. Es ist bereits der dritte Anlauf: Die Vorgänger Safe Harbor und Privacy Shield wurden beide vom Europäischen Gerichtshof gekippt. Anfang 2025 verlor das für die Aufsicht zuständige US-Gremium PCLOB durch die Abberufung mehrerer Mitglieder seine Beschlussfähigkeit, ein Umstand, der genau jene Kontrollmechanismen schwächt, auf die sich der Angemessenheitsbeschluss stützt. Eine erste Klage gegen den Rahmen wies das EU-Gericht im September 2025 zwar ab, eine Berufung zum Europäischen Gerichtshof steht aber weiterhin im Raum. Wer seine CRM-Strategie auf den Fortbestand des Data Privacy Framework gründet, baut auf einem Fundament, das in den vergangenen zehn Jahren bereits zweimal eingestürzt ist.
Das Risiko war bekannt, aber bequem zu ignorieren. Viele Anbieter bieten ausgereifte Funktionen, tiefe Integrationen und eine weltweite Entwickler-Community. Der Wechselaufwand ist erheblich. Und solange es keine konkreten Vorfälle gab, fehlte der Druck für eine Kurskorrektur.
Das hat sich verändert. Die geopolitische Unsicherheit seit 2025, veränderte US-Außenpolitik, neue Handelsstreitigkeiten und wachsende Skepsis gegenüber transatlantischen Abhängigkeiten haben das Thema von der IT-Abteilung in den Vorstand befördert. EU AI Act, DORA und NIS2 verschärfen die regulatorischen Anforderungen. Europäische Datenschutzbehörden urteilen zunehmend konsequent: Österreich, Frankreich und Italien haben bereits festgestellt, dass der Einsatz bestimmter US-basierter Dienste für die Verarbeitung personenbezogener Daten grundsätzlich DSGVO-problematisch ist.
Für Unternehmen, die bislang auf das Sowohl-als-auch gesetzt haben, nämlich DSGVO-Konformität auf dem Papier und US-Hyperscaler in der Praxis, wird der Spielraum enger.
Banken, Versicherungen und Energieversorger sind am weitesten. Regulierungsrahmen wie DORA und NIS2 zwingen diese Branchen, Datenzugriffe lückenlos dokumentieren und erklären zu können. Wer nicht nachweisen kann, wo seine Kundendaten liegen und wer theoretisch darauf zugreifen könnte, hat ein Compliance-Problem.
Der Gesundheitssektor zieht nach. Patientendaten in CRM-Systemen, etwa für Pharmavertrieb, Klinikmanagement oder Laborkommunikation, sind hochsensibel. Die Kombination aus ärztlicher Schweigepflicht und regulatorischen Anforderungen macht US-Abhängigkeiten hier besonders riskant.
Im Handel, in der Industrie und im Mittelstand insgesamt ist das Bewusstsein dagegen noch unterentwickelt. Viele Unternehmen wählen ihr CRM primär nach Funktionsumfang und Preis. Datensouveränität taucht in den Auswahlkriterien selten auf. Das wird sich ändern, sobald erste Bußgeldverfahren oder Aufsichtsprüfungen konkrete Namen und Zahlen produzieren.
Wer nach europäischen CRM-Lösungen sucht, findet ein differenzierteres Bild als gemeinhin angenommen. Wenn die Unternehmenszugehörigkeit entscheidet, dann ist ein deutscher Anbieter wie SAP nicht in derselben Weise dem US CLOUD Act ausgesetzt wie ein US-Konzern. Das ist ein Punkt zu seinen Gunsten. Die relevante Frage verschiebt sich in diesem Fall auf die nächste Ebene: Auf welcher Infrastruktur läuft die Lösung, welche Subprozessoren sind eingebunden, und liegen diese ihrerseits außerhalb US-amerikanischer Jurisdiktion? Eine europäische Konzernzentrale nützt wenig, wenn der darunterliegende Cloud-Betrieb bei einem US-Hyperscaler liegt.
Genau hier trennt sich die Spreu vom Weizen. HubSpot und Pipedrive etwa bieten EU-Rechenzentren, unterliegen als US-Unternehmen aber strukturell dem US-Mutterrecht. Andere Anbieter werben mit europäischem Hosting, ohne dass die gesamte Verarbeitungskette nachweisbar europäisch wäre. Wirkliche Datensouveränität erfordert, dass sowohl der Anbieter als auch der Cloud-Betrieb außerhalb US-amerikanischer Jurisdiktion liegen. Eine Kombination, die das Feld der großen, vollintegrierten CRM-Plattformen spürbar verkleinert.
BSI Software aus der Schweiz hat im ersten Quartal 2026 eine Kooperation mit T-Systems geschlossen, die genau an diesem Punkt ansetzt. Kunden der BSI Customer Suite können dank der cloudagnostischen Architektur von BSI auf eine rein europäische SaaS-Lösung wechseln: Die Daten verbleiben vollständig in Europa, der Cloud-Betrieb erfolgt über die T Cloud der Deutschen Telekom, und BSI als Schweizer Unternehmen unterliegt nicht dem US CLOUD Act. Anbieter und Infrastruktur außerhalb der US-Jurisdiktion: Diese Kombination ist es, die den Unterschied ausmacht.
Dabei ist der oft zitierte Leistungsverzicht gegenüber US-Hyperscalern kein zwangsläufiges Argument mehr. Die Plattform arbeitet im KI-Bereich modell-agnostisch: Unternehmen entscheiden selbst, welche KI-Modelle sie einsetzen, und können diese austauschen, ohne die Plattform zu wechseln. Moderne KI-Funktionen und europäische Datenhaltung schließen sich damit nicht länger aus.
BSI hat seine Plattform zuletzt durch die Übernahme von Sikom weiter ausgebaut und bietet damit eine vollintegrierte europäische Lösung für CRM, Customer Experience und Contact Center.
>>> Mehr dazu lesen Sie in unserem Beitrag BSI übernimmt Sikom.
Datensouveränität beginnt nicht beim IT-Dienstleister. Sie beginnt mit der Frage, welche Daten im CRM verarbeitet werden und welches Risiko damit verbunden ist.
Ein sinnvoller erster Schritt ist eine ehrliche Bestandsaufnahme: Unter welchem Recht operiert mein CRM-Anbieter? Auf welcher Infrastruktur läuft die Lösung tatsächlich? Kann ich nachweisen, wer unter welchen Umständen auf meine Kundendaten zugreifen könnte? Und: Würde mein Unternehmen eine aufsichtliche Prüfung dazu bestehen?
Wer feststellt, dass hier Lücken bestehen, sollte das nicht als rein technisches Problem behandeln. Es geht um strategische Abhängigkeiten, um regulatorisches Risiko und, mit Blick auf das wachsende Datenschutzbewusstsein der Endkunden, zunehmend auch um Vertrauen und Wettbewerbsposition. Ein Wechsel des CRM-Anbieters ist keine leichte Entscheidung. Aber er muss auch keine überstürzte sein. Sorgfältige Beratung, klare Migrationspfade und die richtigen Partner machen ihn beherrschbar.
Digitale Souveränität ist kein IT-Hype und kein regulatorisches Pflichtprogramm. Sie ist eine unternehmerische Grundsatzentscheidung: Wem vertraue ich die Daten meiner Kunden an, und unter welchem Recht?
Entscheidend ist, die beiden Ebenen sauber zu trennen. Der Data Privacy Framework mag den Transfer in die USA aktuell legalisieren: Das Zugriffsrisiko unter dem CLOUD Act beseitigt er nicht, und seine eigene Bestandsgarantie ist brüchig. Die Kooperation von BSI Software und T-Systems zeigt, dass eine vollständig europäische CRM-Lösung mit modernen KI-Funktionen heute keinen Kompromiss mehr bedeutet. Die Frage ist nicht länger, ob eine Alternative existiert. Die Frage ist, wie lange Unternehmen noch warten wollen.
Mehr zu unseren Beratungsleistungen rund um CRM und Customer Experience finden Sie auf unserer Seite zur Vertrieb-, Service- und Marketing-Beratung. Einen Überblick über die BSI Customer Suite als europäische CRM-Plattform finden Sie in unserem Lösungsbereich. Wie wir Unternehmen bei der IT-strategischen Bewertung und Auswahl von Softwarelösungen unterstützen, erfahren Sie in unserem Bereich IT-Beratung.
Quellenverzeichnis