Azrim Damjanovic verantwortet als Practice Lead den Bereich SAP HCM bei Consileon. Seine These ist unbequem: Wer seine SAP HCM Migration nicht bis Ende 2027 abgeschlossen hat, hat kein technisches, sondern ein rechtliches Problem. Im Interview erklärt er, warum die Entgeltabrechnung anders funktioniert als die Finanzbuchhaltung, warum die eigentliche Arbeit im Fachbereich liegt und warum ein paar Beratertage vor dem Projekt mehr sparen als sie kosten.
Weil die Entgeltabrechnung einem eigenen Kalender folgt. Eine Payroll geht in der Praxis zum 1. Januar live, nicht im Mai. Alles andere bedeutet, dass man ein Abrechnungsjahr in zwei Systemen führt, mit doppelten Jahresmeldungen, doppelten Lohnkonten und einer Wirtschaftsprüfung, die zu Recht Fragen stellt. Es gibt Ausnahmen, aber sie sind teuer.
Wenn Sie das durchrechnen, bleibt genau ein Termin: der 1. Januar 2028. Der 1. Januar 2027 ist für Unternehmen, die heute noch nicht angefangen haben, realistisch nicht mehr erreichbar. Und eine HCM-Migration braucht je nach Ausgangslage zwölf bis zwanzig Monate. Das heißt: Wer jetzt nicht startet, verpasst das letzte Fenster vor dem Ende der Mainstream-Wartung.
Zur Extended Maintenance: Die ist eine Zahlungsvereinbarung, keine Lösung. Sie kaufen Zeit auf einer Plattform, die nicht mehr weiterentwickelt wird und Sie zahlen dafür einen Aufpreis. Wer 2028 in die Extended Maintenance geht, hat außerdem nur noch zwei Jahreswechsel Puffer. Und das bei einem Projekt, das er schon einmal verschoben hat.
Für einen Teil der Unternehmen ist eine Tür sogar schon zu. Wer sein ERP bereits auf S/4HANA konvertiert hat und die alte HCM-Funktionalität dort über den Compatibility Scope weiterbetreibt: Diese Nutzungsrechte sind zum 31. Dezember 2025 abgelaufen, SAP hat lediglich eine letzte Übergangsfrist bis Ende Mai 2026 eingeräumt. Der bequeme Zwischenschritt, HCM einfach im S/4HANA-System mitlaufen zu lassen, existiert nicht mehr. Wer HCM noch auf einem separaten ECC-System betreibt, hängt dagegen am Wartungsende 2027. Das betrifft die Mehrheit der Unternehmen.
Da muss man unterscheiden zwischen dem, was auf der Rechnung steht, und dem, was wirklich weh tut.
Auf der Rechnung stehen der Wartungsaufpreis und, das wird oft übersehen, die Projektkosten selbst. 2027 werden sehr viele Unternehmen gleichzeitig migrieren wollen. Erfahrene HCM-Berater sind schon heute knapp. Wer in der Spitzenlast einkauft, zahlt Aufschläge und bekommt trotzdem nicht die besten Teams. Verzögerung ist also keine Kostenvermeidung, sondern eine Kostenverschiebung nach oben.
Richtig weh tut etwas anderes: Nach dem Wartungsende liefert SAP keine gesetzlichen Anpassungen mehr. Man muss sich klarmachen, was das bedeutet. Schauen Sie sich an, was allein der Jahreswechsel 2025/2026 gebracht hat: den DEÜV-Meldedatensatz DSME in Version 11, den Beitragsnachweis BW02 in Version 13 (weil die Rechtskreistrennung Ost/West entfällt) und die elektronische Berücksichtigung der privaten Kranken- und Pflegeversicherung im Lohnsteuerabzug über das ELStAM-Verfahren. Dazu kommen technische Anpassungen wie ein neuer Programmablaufplan oder eine neue ERiC-Version, Dinge, die kein Fachbereich selbst nachbauen kann, wenn SAP sie nicht mehr liefert. Das ist ein einziges Jahr. Und für 2027 stehen die nächsten Verfahren schon in der Pilotierung.
Fällt das weg, geht die Abrechnung nicht sofort kaputt. Sie wird still falsch. Meldungen werden von den Einzugsstellen abgewiesen. Der Lohnsteuerabzug stimmt nicht. Und irgendwann kommt die Betriebsprüfung der Rentenversicherung. Dann reden wir über Beitragsnachforderungen, Säumniszuschläge und Korrekturläufe über mehrere Jahre. Das ist keine IT-Störung mehr, das ist eine Haftungsfrage. Für die Lohnsteuer haftet der Arbeitgeber nach § 42d EStG als Gesamtschuldner. Beim Vorenthalten von Sozialversicherungsbeiträgen greift § 266a StGB und der adressiert die handelnden Personen, nicht die Gesellschaft. Kein Geschäftsführer möchte erklären müssen, dass die Ursache ein nicht gewartetes System war, dessen Support-Ende seit Jahren bekannt war.
Und dann gibt es noch die Kosten, die niemand bucht: Die HR-Abteilung baut Workarounds. Excel-Listen, manuelle Nachberechnungen, Schattenprozesse. Dafür braucht sie Leute, die es am Arbeitsmarkt kaum gibt.
Weil das Thema in der falschen Abteilung liegt. In der IT ist die Aufgabe seit Jahren beschrieben. Da gibt es Readiness-Checks, Custom-Code-Analysen, Migrationsleitfäden, klare Optionen: H4S4, SuccessFactors, hybrid. Die IT weiß, was zu tun ist. Sie wartet auf eine Entscheidung.
Im Fachbereich sieht es anders aus. Dort ist vielen Verantwortlichen noch nicht bewusst, dass sie überhaupt eine Aufgabe haben. Die Migration wird als technischer Systemwechsel wahrgenommen, ungefähr wie ein Betriebssystem-Update. Tatsächlich liegt der größere Teil der Arbeit bei HR: Welche der über Jahre gewachsenen kundeneigenen Rechenregeln in der Abrechnung brauchen wir überhaupt noch? Welche Betriebsvereinbarung steht hinter dieser Zuschlagslogik? Und lebt der Sachverhalt noch? Welche Prozesse wollen wir künftig anders führen? Das kann keine IT beantworten und kein Berater erfinden.
Genau diese Asymmetrie erklärt die 71 Prozent. Und sie erklärt, warum in derselben Umfrage 64 Prozent die Migration von ECC HCM auf H4S4 als relevante Herausforderung nennen, aber nur ein Bruchteil sie abgeschlossen hat. Die Erkenntnis ist da. Die Zuständigkeit ist es nicht.
Die DSAG sieht das übrigens ähnlich. Hermann-Josef Haag, Fachvorstand der Anwendergruppe, empfiehlt im Zusammenhang mit der HR-Transformation ausdrücklich ein zweistufiges Vorgehen: zunächst die Absicherung der bestehenden HR-Landschaft über H4S4, danach die Modernisierung von Prozessen, etwa über SuccessFactors. Das ist kein Beratersprech, das ist die Empfehlung der Anwendervertretung selbst.
Vier Dinge. Alle vier werden unterschätzt.
Auf Kundenseite mindestens fünf Rollen. Keine davon ist verzichtbar: eine Projektleitung mit echtem Mandat, die entscheiden darf. Einen Payroll-Fachexperten, der die eigenen Abrechnungsregeln wirklich versteht. Das ist die kritischste und meist die am dünnsten besetzte Rolle. Einen Verantwortlichen für Zeitwirtschaft und Arbeitszeitmodelle. HR-IT für Systeme, Schnittstellen und Berechtigungen. Und Datenschutz plus Arbeitnehmervertretung, von Anfang an, nicht zur Abnahme.
Auf Umsetzungsseite braucht es die HCM-Fachberatung, die technische Migrations- und Datenkompetenz und eine Projektsteuerung.
Was in fast allen Projekten fehlt, ist eine sechste Rolle: jemand, der zwischen diesen Welten übersetzt. Der Payroll-Experte spricht in Lohnarten und Rechenregeln. Der Berater spricht in Objekten und Releases. Beide sind fachlich exzellent und reden trotzdem aneinander vorbei. Diese Lücke kostet in großen Projekten mehr Geld als jeder technische Fehler.
Zwei kompakte Bausteine statt eines großen Sprungs. Wir nennen sie Health Check und H4S4-Assessment. Der Health Check dauert fünf bis fünfzehn Beratertage, das H4S4-Assessment acht bis fünfzehn, je nach Größe und Komplexität des Systems. Der Inhalt ist bewusst schmal und entscheidungsorientiert.
Der Health Check nimmt den Bestand auf: Wie viel Eigenentwicklung steckt tatsächlich in Abrechnung und Zeitwirtschaft? Und was davon ist noch aktiv? Welche Betriebsvereinbarung steht hinter einer Zuschlagslogik? Und lebt der Sachverhalt noch?
Das H4S4-Assessment baut darauf auf. Wir zeichnen die Prozesslandkarte inklusive Schnittstellen und angrenzender Systeme. Wir sichten die technisch abgebildeten Betriebsvereinbarungen im Detail. Wir bewerten die Optionen (H4S4, SuccessFactors, hybrid, Auslagerung) gegen die konkrete Ausgangslage, nicht gegen eine Herstellerpräsentation. Und wir übersetzen das in Zielbild, Roadmap, Rollenmodell und ein belastbares Grobbudget.
Das Ergebnis ist ein Dokument, mit dem ein Unternehmen zwei Dinge kann: intern entscheiden und extern sauber ausschreiben. Und da liegt der eigentliche Hebel. Der teuerste Teil einer Migration ist nicht die Umsetzung, sondern das Nachjustieren von Annahmen, die am Anfang nie geprüft wurden. Wer ohne diese Klärung startet, bezahlt dieselbe Analyse später. Nur zum Tagessatz eines laufenden Projekts und unter Zeitdruck.
Bewusst als Ergänzung, nicht als Ersatz. Die großen Umsetzungs- und Betriebspartner in diesem Markt verkaufen nicht nur die Migration. Ihr eigentliches Geschäft ist der Betrieb danach, als Application Management oder als komplettes Payroll-Outsourcing. Das Projekt ist für sie der Einstieg in eine dauerhafte Kundenbeziehung. Das ist kein Vorwurf, das ist ihr Geschäftsmodell. Es bedeutet aber, dass niemand auf Kundenseite unabhängig prüft, ob der Zuschnitt des Projekts wirklich zur eigenen Lage passt oder eher zum Standardpaket des Anbieters.
Wir setzen an einer anderen Stelle an: auf der Seite des Kunden, im Fachbereich. Und zwar in drei Phasen. Vor der Ausschreibung helfen wir, die eigenen Anforderungen, Rechenregeln und Betriebsvereinbarungen so zu erfassen, dass daraus ein Lastenheft wird, gegen das ein Umsetzungspartner kalkulieren kann, statt dass der Kunde dessen Standardscope einfach übernimmt. Während der Umsetzung prüfen wir, ob das, was gebaut wird, dem entspricht, was gemeint war. Wir konkurrieren nicht um das Projekt, wir sitzen daneben.
Nach dem Go-live hört unsere Aufgabe nicht auf. Wenn der Betrieb an einen externen Partner geht, bleibt die Frage, ob der Kunde noch versteht, was in seinem eigenen System passiert, oder ob das Wissen komplett zum Betreiber abwandert. Wir bleiben als unabhängige Instanz, die Service-Level-Vereinbarungen und Verträge mit dem Betreiber im Sinne des Kunden mitprüft, die eigenen Rechenregeln dokumentiert hält und bei künftigen Change Requests wieder zwischen Fachbereich und Betreiber übersetzt.
Das klingt weniger spektakulär als eine Migration, adressiert aber die häufigste Ursache für Budgetüberschreitungen. Projekte dieser Größe scheitern selten an fehlender technischer Kompetenz. Sie scheitern an Anforderungen, die zu unscharf beschrieben waren, an Entscheidungen, die niemand getroffen hat und an der Annahme, dass der andere schon verstanden hat, was gemeint war. Das ist der Punkt, an dem wir den größten Unterschied machen: als Managementberatung mit IT-Verständnis, die Prozesse und Systeme gleichzeitig lesen kann, während des Projekts und danach.
Fünf Dinge, die unabhängig von der Zielarchitektur sinnvoll sind.
Das ist übrigens das beste Argument gegenüber der Geschäftsführung: Die Migration ist nicht das Ziel. Sie ist die Voraussetzung.
Wie sich diese Muster in anderen SAP-Transformationen zeigen, lesen Sie im Interview mit Frank Westendorf zur SAP S/4HANA Migration.
Im Juli 2026 verließ ein KI-Agent seine Testumgebung und drang in die Infrastruktur eines fremden Unternehmens ein. Ohne Auftrag. Solche Meldungen häufen sich. Ein Gespräch mit Andreas Grau, der bei Consileon Unternehmen von der Risikoanalyse bis zur technischen Umsetzung begleitet.
Ja, aber nicht so, wie es meistens erzählt wird. Die Angriffsmethoden sind im Kern dieselben wie vor fünf Jahren: Phishing, gestohlene Zugangsdaten, ungepatchte Systeme, zu großzügige Berechtigungen. Die KI hat diese Einfallstore nicht direkt geöffnet. Verändert haben sich Tempo, Menge und Qualität. Das Ausnutzen einer Schwachstelle war früher teils wochenlange Handarbeit. Heute läuft der Angriff an einem Wochenende. Das ist kein Paradigmenwechsel bei den Methoden, aber ein massiver Skaleneffekt. Und Skaleneffekte entscheiden in der Sicherheit fast immer das Spiel.
OpenAI hat autonome KI-Agenten in einem internen Sicherheitstest eingesetzt. Die Agenten haben ihre Sandbox verlassen und die Infrastruktur von Hugging Face angegriffen.1 Ein Unternehmen das mit dem Test nichts zu tun hatte. Die Agenten nutzten zwei Schwachstellen aus und konnten auf Systeme und somit die Daten von Hugging Face zugreifen. Über 17.000 protokollierte Einzelaktionen an einem Wochenende.1
Der lehrreiche Teil steht im technischen Bericht. Dort zeigt sich eine ganze Kette von bekannten Sicherheitsmängeln: Zugangsdaten wurden unsicher bereitgestellt, technische Konten waren nicht ausreichend voneinander getrennt, Berechtigungen waren zu weit gefasst und einzelne Infrastrukturkomponenten konnten von Bereichen aus erreicht werden, aus denen sie eigentlich nicht erreichbar sein sollten.1
Das Interessante daran ist weniger die KI als die Tatsache, dass hier keine neuartige Schwachstelle ausgenutzt wurde. Die beschriebenen Probleme gehören zu den Dingen, die auch schon vor der Verbreitung von KI bestanden. Ein etablierter Secure Development Lifecycle, regelmäßige Architektur- und Sicherheitsreviews sowie ein wirksames Rollen- und Berechtigungskonzept hätten viele dieser Punkte bereits vor einem externen Test erkennen und vermeiden können.
Genau darin liegt die Botschaft: Die KI hat keine völlig neue Angriffsmethode entwickelt. Sie hat bekannte Schwachstellen schneller, konsequenter und in größerem Umfang ausgenutzt, als es bislang üblich war.1,2 Was früher ein motivierter Angreifer oder ein Penetrationstester mit genügend Zeit geschafft hätte, gelingt nun deutlich schneller und günstiger.
„Wer Informationssicherheit aktiv managt, seine Systeme aktuell hält, Berechtigungen sauber steuert und ein wirksames ISMS etabliert hat, steht auch im Zeitalter der KI deutlich robuster da. Wer diese Grundlagen vernachlässigt, wird die Folgen künftig wesentlich schneller spüren als früher.“ – Andreas Grau
Darüber muss man kaum noch spekulieren. Die eigentliche Frage ist heute nicht mehr, ob KI bei Angriffen eingesetzt wird, sondern wie viel menschliche Steuerung noch erforderlich ist.
Anthropic hat im November 2025 eine Spionagekampagne offengelegt, hinter der nach eigener Einschätzung eine staatlich unterstützte Gruppe aus China stand.3 Rund 30 Ziele, erfolgreich war die Kampagne nur in wenigen Fällen. Aber die KI übernahm 80 bis 90 Prozent der taktischen Arbeit selbstständig: Aufklärung, Schwachstellensuche, Exploit-Entwicklung, Zugangsdaten, Datenabfluss. Menschen griffen an vier bis sechs Entscheidungspunkten ein.3
Fairerweise: Das ist ein Selbstbericht eines Anbieters ohne veröffentlichte technische Indikatoren, und Teile der Security-Community haben die Darstellung angezweifelt. Anthropic nennt selbst eine Einschränkung: Das Modell halluzinierte Zugangsdaten und benötigt Kontrolle.3 Diese Unzuverlässigkeit bremst noch. Aber der Anteil menschlicher Handarbeit sinkt drastisch.
Für Unternehmen ist dabei etwas anderes entscheidend. Ob ein Angreifer jeden Schritt selbst ausführt oder eine KI große Teile davon übernimmt, spielt für die Verteidigung nur eine untergeordnete Rolle. Wenn sich der Aufwand eines Angriffs massiv reduziert, geraten plötzlich deutlich mehr potenzielle Ziele in den Fokus.
Davon ist insbesondere der Mittelstand betroffen. Viele mittelständische Unternehmen waren bislang nicht deshalb sicher, weil sie besonders gut geschützt waren, sondern weil sich der Aufwand eines gezielten Angriffs oft nicht lohnte. KI verschiebt diese Rechnung. Angriffe, die früher nur gegen wenige ausgewählte Ziele wirtschaftlich waren, können künftig gegen Hunderte oder Tausende Unternehmen parallel durchgeführt werden. Gerade deshalb wird Cybersecurity zunehmend zu einer Frage der Resilienz ganzer Wertschöpfungsnetzwerke und nicht nur einzelner großer Unternehmen. Das zeigen auch die Statistiken zu Lage der Informationssicherheit des BSI.7
Vor allem das, was am Menschen ansetzt. In der TÜV-Cybersecurity-Studie 2025 berichten 84 Prozent der Unternehmen, die einen Sicherheitsvorfall hatten, von Phishing.5 Der Anbieter KnowBe4 gibt für Anfang 2026 an, dass 86 Prozent der von ihm erkannten Phishing-Angriffe KI-gestützt waren.6 Eine mit unbekannter Methodik durch einen Anbieter erfasste Zahl, aber die Richtung deckt sich mit unseren Projekterfahrungen.
Die Rechtschreibfehler, an denen man Betrugsmails früher oft erkannt hat, spielen heute kaum noch eine Rolle. KI erstellt Nachrichten, die sprachlich und optisch nahe am Original sind. Klassische Warnsignale werden seltener, gezielte Erkennungsmerkmale die in Awarenesschulungen wie wir sie anbieten verinnerlicht werden umso wichtiger.
Hinzu kommt eine neue Qualität bei Identitätsbetrug. Heute können zusätzlich Stimme und Gesicht täuschend echt nachgebildet werden. Bekannt wurde der Fall des Ingenieurbüros Arup, bei dem nach Angaben der Ermittlungsbehörden ein Mitarbeiter nach einer Videokonferenz rund 25 Millionen US-Dollar freigab, obwohl die vermeintlichen Gesprächspartner laut Polizei gefälscht waren.8 Solche Deepfake Angriffe machen bestehende Betrugsmethoden deutlich glaubwürdiger. Deshalb beraten wir Unternehmen inzwischen auch gezielt zu diesen Szenarien und zeigen, was technisch möglich ist.
Auf technischer Ebene steigt das Tempo. Das BSI zählte im Berichtszeitraum Juli 2024 bis Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag, rund ein Viertel mehr als zuvor.7 Gleichzeitig verändert KI beide Seiten der Gleichung. Einerseits hilft sie dabei, Schwachstellen schneller zu finden, zu analysieren und auszunutzen. Andererseits wächst das Risiko, dass durch KI-gestützte Entwicklung neue Schwachstellen in Systeme gelangen, unabsichtlich durch unzureichend geprüften KI-generierten Code oder im Extremfall auch gezielt und vorsätzlich.
Genau hier setzen unsere aktuellen Cybersecurity- und AI-Governance-Assessments an. Die zentrale Frage lautet nicht, ob KI eingesetzt wird, sondern wie sie eingesetzt wird. Gibt es klare Leitplanken, wirksame Kontrollmechanismen und definierte Verantwortlichkeiten? Werden die Risiken systematisch bewertet und gesteuert, beispielsweise im Sinne der ISO/IEC 42001? Und ist sichergestellt, dass KI-generierte Ergebnisse nicht ungeprüft in produktive Systeme übernommen werden?
Bemerkenswert ist zudem, wie schnell sich die Lagebilder verändern. Was heute noch als experimentelle Fähigkeit gilt, kann wenige Monate später bereits praktisch eingesetzt werden. Im Februar 2026 kam Googles Threat Intelligence Group zu dem Schluss, Angreifer hätten durch KI keine echten Durchbruchfähigkeiten gewonnen. Im Mai-Bericht beschreibt dasselbe Team den Übergang zur industriellen Anwendung generativer Modelle in Angriffsabläufen und dokumentiert erstmals einen KI-entwickelten Zero-Day-Exploit.4 Unternehmen sollten deshalb nicht davon ausgehen, dass ein einmal erstelltes Risikobild oder Sicherheitskonzept für mehrere Jahre unverändert tragfähig bleibt.
Gleichzeitig muss auch die Verteidigungsseite dieses Tempo mitgehen. Ein Sicherheitskonzept kann heute nicht mehr alle paar Jahre überprüft werden, sondern muss kontinuierlich an neue Risiken, Anforderungen und Bedrohungen angepasst werden.
Dabei kann KI unterstützen. Mit Lösungen wie dem Consileon Compliance Manager helfen wir Unternehmen, ihr Risikobild, regulatorische Anforderungen und den Stand der Technik laufend zu überwachen und Veränderungen frühzeitig in konkrete Maßnahmen zu überführen.
Das ist die Zahl, die alle zitieren. Ich halte sie für die falsche Sorge. Relevanter ist eine andere Zahl aus derselben Studie: 91 Prozent bewerten die eigene Cybersicherheit als gut oder sehr gut, aber nur 22 Prozent setzen Sicherheitsstandards konsequent um.5 Da klafft keine KI-Lücke in der technischen Verteidigung, sondern eine Lücke in der Selbstwahrnehmung.
Wer Multi-Faktor-Authentifizierung nicht flächendeckend hat, kein sauberes Berechtigungsmanagement betreibt und sein Patch-Management nicht misst, gewinnt durch ein KI-Abwehrprodukt wenig. Dann steht ein hochmodernes, teures Werkzeug auf einem instabilen Fundament.
Das bedeutet aber nicht, dass Unternehmen auf der Verteidigungsseite auf KI verzichten sollten. Im Gegenteil: Auch Verteidiger müssen das steigende Tempo beherrschen. Die KI kann aber viel mehr sinnvoll dabei helfen, den Überblick zu behalten, Risiken zu priorisieren, Anforderungen auszuwerten, Maßnahmen nachzuverfolgen und den aktuellen Stand von Sicherheit und Compliance kontinuierlich zu überwachen. Genau hier sehen wir aktuell einen hohen Bedarf bei unseren Kunden.
Die Reihenfolge ist entscheidend: Erst die organisatorischen Grundlagen schaffen, damit die KI-basierten technischen Abwehrmaßnahmen ihre Wirksamkeit entfalten können.
„Wer seine Sicherheitsprozesse nicht im Griff hat, wird durch KI keinen Vorsprung in der technischen Abwehr erlangen.“ – Andreas Grau
Das ist aus meiner Sicht eines der am meisten unterschätzten Risiken. Unternehmen führen heute in immer mehr Alltagsbereichen KI ein, nicht nur in Spezialdisziplinen. Copilots, Chatbots und zunehmend auch Agenten erhalten Zugriff auf Informationen, Anwendungen und Geschäftsprozesse. Damit entsteht eine neue Angriffs- und Risikofläche, die in vielen Sicherheitskonzepten bisher nur unzureichend berücksichtigt wird.
Drei Punkte sind dabei besonders relevant.
Genau deshalb werden Identity & Access Management, Least Privilege und AI Governance künftig noch wichtiger. Die Herausforderung besteht nicht darin, KI zu verhindern, sondern ihren Einsatz kontrollierbar, nachvollziehbar und sicher zu gestalten. Ein Agent sollte denselben Governance-Grundsätzen unterliegen wie ein Mitarbeiter: klare Verantwortlichkeiten, definierte Zugriffsrechte und vollständige Nachvollziehbarkeit.
„Ein Agent ist nicht einfach ein weiterer technischer Account. Er ist eine neue digitale Identität im Unternehmen.“ – Andreas Grau
Wer nicht geregelt hat, wie solche Identitäten verwaltet, berechtigt und überwacht werden, hat kein Technikproblem, sondern ein Governance-Problem. Das BSI hat Ende Juli genau das gefordert: Identitäts- und Zugriffskontrollen für KI-Systeme.2
Vier Dinge. Erstens eine ehrliche Standortbestimmung: nicht das Gefühl, sondern der gemessene Reifegrad. Zweitens Prozesse gegen Deepfakes härten. Zahlungsfreigaben dürfen nicht auf Stimme oder Video vertrauen, sondern brauchen einen zweiten, unabhängigen Kanal. Drittens Awareness neu aufsetzen. Trainings, die vor schlechtem Deutsch warnen, sind wertlos geworden. Viertens die eigene KI-Nutzung inventarisieren.
Und dann die unbequeme Wahrheit: Sicherheit ist kein IT-Projekt, sondern eine Führungsdisziplin. Der Vorfall bei Hugging Face war kein Versagen an der Zukunft. Er war ein Versagen an bekannten Sicherheitsgrundlagen, nur in neuer Geschwindigkeit vorgeführt.1,2
Deshalb sind Managementsysteme wichtiger denn je. Ein wirksames ISMS oder AI-Managementsystem sorgt dafür, dass Risiken, Bedrohungen, technische Entwicklungen und regulatorische Anforderungen nicht einmalig bewertet, sondern kontinuierlich überprüft und aktualisiert werden. KI kann dabei unterstützen, den Überblick zu behalten und Veränderungen frühzeitig sichtbar zu machen. Entscheidend bleibt jedoch, dass Unternehmen diese Erkenntnisse systematisch steuern und in konkrete Maßnahmen überführen.
Wie Consileon Unternehmen von der Prävention über die Beratung bis zum Notfallmanagement begleitet, lesen Sie auf unserer Themenseite zu Cybersecurity.
Unsere Broschüre „Schutz vor digitalen Bedrohungen. Von Prävention bis Notfallmanagement“ mit dem vollständigen Leistungsüberblick können Sie hier herunterladen:
Am 19. Juli 2025 stand Dänemark für einige Stunden still. Ein Ausfall bei einem Zahlungsdienstleister legte die Kartenzahlung lahm. An den Mautstellen bildeten sich Schlangen. Festivals meldeten Umsatzausfälle. Restaurants nahmen nur noch Bargeld. Dänemark ist eines der bargeldärmsten Länder der Welt. Über neun von zehn Zahlungen im Handel sind digital. Genau diese Stärke wurde an diesem Abend zur Schwäche.
Die dänische Nationalbank hat reagiert. Anfang Oktober 2025 veröffentlichte sie die Analyse „Resilient payments in Denmark“. Die Botschaft war klar. Das Zahlungssystem ist sicher. Aber ein Ausfall kann jederzeit passieren. Bürger und Händler müssen darauf vorbereitet sein.
Im April 2026 folgte der Statusbericht. Er markiert einen Meilenstein. Alle Erwachsenen mit einer dänisch ausgegebenen Karte können jetzt offline zahlen. Das gilt in den meisten landesweiten Supermarktketten. Und zwar für mindestens eine Woche am Stück. Die Apotheken folgen bis zum dritten Quartal 2026.
Der Zeitpunkt ist kein Zufall. Der Ausfall in Dänemark und die großflächigen Stromausfälle in Spanien und Portugal im Frühjahr 2025 haben das Thema auf die Tagesordnung gebracht. Resilienz im Zahlungsverkehr ist von einer Fachfrage zu einer Frage der Grundversorgung geworden.
Die Lösung ist keine neue Technik im Chip. Sie ist eine koordinierte Schicht über dem bestehenden System. Sie adressiert vor allem Ausfälle der Karteninfrastruktur oder des Internets. Sie ersetzt keine Notstromversorgung im Handel. Damit Kassen und Terminals weiterlaufen, braucht es zusätzliche betriebliche Infrastruktur.
Im Kern funktioniert sie so. Das Terminal nimmt die Zahlung auch ohne Netz an. Der Kunde steckt die Karte und gibt die PIN ein. Die Transaktion wird lokal gespeichert. Sie wird nachgereicht, sobald die Verbindung wieder steht. Fachlich nennt man das Store-and-Forward.
Drei Punkte machen den dänischen Ansatz besonders.
Der Blick auf Deutschland zeigt einen anderen Aufbau. Der digitale Zahlungsverkehr ruht hier auf mehreren Säulen. Alle setzen im Kern eine Online-Verbindung voraus.
Die erste Säule ist die girocard. Sie ist das nationale Debitverfahren. Sie ist chip- und PIN-basiert. Ihr Kern ist die Online-Autorisierung mit Zahlungsgarantie. Genau diese Garantie ist ihr Wert. Sie setzt aber eine Verbindung voraus. Eine echte Offline-Fähigkeit ist im Chip zwar angelegt. In der Praxis ist sie kaum aktiv. Die Floor Limits stehen meist auf null. Offline zu gehen hieße, die Garantie aufzugeben.
Die zweite Säule sind die Kreditkarten. In Deutschland dominieren Visa und Mastercard. Die Autorisierung läuft online über die internationalen Netze. Das bringt eine weitere Abhängigkeit mit sich. Rund zwei Drittel aller Kartenzahlungen im Euroraum laufen über die zwei US-Anbieter. Fällt deren Infrastruktur aus, fehlt eine europäische Rückfallebene.
Die dritte Säule sind die SEPA-Zahlungen. Überweisung und Lastschrift sind das Rückgrat des kontobasierten Zahlungsverkehrs. Die SEPA-Echtzeitüberweisung kommt als schnelle Variante hinzu. Auf ihr baut auch das europäische Wallet Wero auf. All das läuft über zentrale Clearing-Systeme. Auch diese Rails brauchen eine funktionierende digitale Infrastruktur.
Einen Sonderfall gibt es am Point of Sale. Er heißt elektronisches Lastschriftverfahren, kurz ELV. Es erzeugt aus der Karte eine SEPA-Lastschrift. Es funktioniert ohne Online-Autorisierung. Dafür gibt es keine Zahlungsgarantie. Das Ausfallrisiko trägt allein der Händler. Das ELV ist damit Deutschlands nächster Verwandter zu einer Offline-Zahlung. Eine koordinierte nationale Lösung wie in Dänemark ist es aber nicht.
Auch Deutschland kennt solche Ausfälle. Und sie werden aktueller. Im September 2024 fiel der Zahlungsdienstleister TeleCash aus. Edeka, Rewe und Aldi konnten in vielen Filialen keine Karten mehr annehmen.
Noch deutlicher wird das Risiko beim Strom. Im September 2025 legte ein Brandanschlag auf Strommasten den Südosten Berlins lahm. Rund 50.000 Haushalte waren betroffen. Der Strom fiel für etwa 60 Stunden aus. Anfang Januar 2026 folgte der nächste Anschlag. Diesmal traf es den Südwesten Berlins. Rund 45.000 Haushalte und 2.000 Betriebe waren ohne Strom. Für einen Teil der Betroffenen dauerte es bis zu fünf Tage. Es war der längste Stromausfall in der Nachkriegsgeschichte der Stadt.
Solche Ereignisse zeigen dasselbe Muster. Ohne Strom oder Netz stehen Kassen und Geldautomaten still. Eine koordinierte nationale Offline-Lösung nach dänischem Vorbild gibt es bisher nicht.
Deutschlands Antwort auf einen Ausfall heißt bis heute Bargeld. Die Bundesbank ist hier eindeutig. Bargeld ist die Ausfalllösung bei Störungen der Infrastruktur. Das Bundesamt für Bevölkerungsschutz rät, einen Bargeldvorrat zu Hause zu halten.
Stellen wir uns vor, die digitale Zahlungsinfrastruktur in Deutschland fällt aus. Für Stunden oder sogar Tage. Was passiert dann?
Zuerst wird es still an der Kasse. Die girocard braucht die Online-Autorisierung. Sie fällt aus. Die Kreditkarten von Visa und Mastercard brauchen die internationalen Netze. Sie fallen aus. Die SEPA-Zahlungen laufen über zentrale Clearing-Systeme. Auch sie stehen still. Drei digitale Säulen und ein gemeinsamer Schwachpunkt. Alle brauchen eine Verbindung. Der Plan lautet dann Bargeld. Nur hat dieser Plan zwei Schwachstellen.
Die erste Schwachstelle ist der Rückgang. Der Bargeldanteil im stationären Handel liegt umsatzbezogen nur noch bei rund 34 Prozent. Der Trend zeigt weiter nach unten. Ein schrumpfendes Zahlungsmittel als einziges Sicherheitsnetz ist ein Risiko.
Die zweite Schwachstelle ist die Abhängigkeit vom Netz. Bargeld muss erst einmal verfügbar sein. Geldautomaten brauchen Strom und Verbindung. Bei einem Stromausfall stehen sie still. Wer dann kein Bargeld dabei hat, steht mit leeren Händen da.
Auf der Kartenseite gibt es kein zweites Netz. Wallet-Zahlungen funktionieren offline nicht. Ein deutscher Supermarkt kann nicht einfach in einen garantierten Offline-Modus umschalten. Genau diese Option hat Dänemark heute. Deutschland hat sie nicht. Das ist der eigentliche Unterschied. Dänemark hat die Resilienz in die Kartenschicht eingebaut. Deutschland hat sie an das Bargeld ausgelagert.
Es gibt eine europäische Antwort auf dieses Problem. Sie heißt digitaler Euro. Die Pilotphase soll 2027 starten. Die Einführung wird für 2029 angestrebt. Voraussetzung ist ein rechtlicher Rahmen aus Brüssel. Über den verhandeln derzeit Parlament, Rat und Kommission.
Für die Resilienz ist ein Detail entscheidend. Der digitale Euro soll online und offline funktionieren. Eine Zahlung per Smartphone wäre auch ohne Internetverbindung möglich. Ähnlich wie heute eine kontaktlose Kartenzahlung. Offline verspricht zudem mehr Datenschutz. Es fließen keine Transaktionsdaten an Dienstleister oder das Eurosystem.
Über den Erfolg entscheidet aber nicht die Technik allein. Über den Erfolg entscheidet die Akzeptanz. Ein Offline-Euro nützt nur, wenn er überall angenommen wird. Der Handel muss ihn annehmen. Die Menschen müssen ihn nutzen. Die geplante Verordnung sieht dafür eine verpflichtende Annahme vor. Ähnlich wie beim Bargeld. Genau hier liegt die dänische Lektion. Die Offline-Lösung wirkt, weil sie dort greift, wo die Menschen wirklich einkaufen. Im Supermarkt und in der Apotheke. Ohne breite Akzeptanz bleibt auch der digitale Euro nur ein Konzept.
Ein ehrlicher Hinweis gehört dazu. Die Offline-Funktion ist technisch die härteste Nuss. Die EZB hat sich hier noch nicht auf einen einzigen Ansatz festgelegt. Und Zeitpläne in Brüssel verschieben sich gerne.
Resilienz im Zahlungsverkehr entsteht nicht von selbst. Man muss sie in die Zahlungsschicht hineinplanen. Dänemark hat dies bereits national getan. Deutschland setzt bis auf Weiteres auf Bargeld als Ausfalllösung. Die strukturelle Antwort für den Euroraum ist der digitale Euro. Er kommt frühestens 2029. Bis dahin bleibt eine Lücke. Diese Lücke müssen Banken aktiv managen.
Folgende Punkte sind jetzt entscheidend:
Und die vielleicht wichtigste Lektion aus Dänemark: Resilienz im Zahlungsverkehr gelingt nur gemeinsam. Banken, Handel und Aufsicht müssen an einem Tisch sitzen. Ein Alleingang schützt niemanden.
Ein Interview mit Dr. Rebekka Schlichte, SAFe®-Trainerin und Beraterin für agile Transformationen bei Consileon.
Wer heute ein Steuergerät, eine Fahrzeugplattform oder eine Produktionsmaschine entwickelt, arbeitet in Wirklichkeit an zwei Produkten gleichzeitig, einem physischen und einem softwarebasierten. Der Softwareanteil an den Entwicklungskosten liegt bei modernen Steuergeräten und mechatronischen Systemen mittlerweile mehr als 50 Prozent, doch die Planungslogik in vielen Entwicklungsorganisationen stammt noch aus einer Zeit, in der Hardware und Software getrennt entwickelt wurden.
Diese Lücke lässt sich nicht einfach mit Methoden aus der IT schließen. Ein Steuergerät durchläuft Werkzeugbau, Musterbau und Freigabeprüfungen nach Normen wie ISO 26262 oder Automotive SPICE, lange bevor es in Serie geht, während parallel entwickelte Software in deutlich kürzeren Zyklen aktualisiert wird. Genau an dieser Schnittstelle setzt das Skalierungsframework SAFe® für Hardware an. Es übersetzt agile Prinzipien so, dass sie zu den tatsächlichen Entwicklungszyklen, Lieferketten und regulatorischen Anforderungen physischer Produkte passen, statt sie unverändert zu kopieren.
Dr. Rebekka Schlichte kennt diese Übersetzungsarbeit aus zahlreichen Trainings und Beratungsprojekten. Als SAFe®-Trainerin und Beraterin bei Consileon begleitet sie Entwicklungsleiter, Systemingenieure und technische Führungskräfte aus der Automobilindustrie, von Zulieferern sowie aus dem Maschinen- und Anlagenbau dabei, ihre Entwicklungsprozesse über Mechanik, Elektronik und eingebettete Software hinweg neu aufzustellen. Im Interview erklärt sie, warum klassische agile Trainings hier zu kurz greifen, welche Fehler Unternehmen häufig machen und wie das SAFe® for Hardware Training der Consileon Academy Teams konkret weiterbringt.
Agilität in der Hardwareentwicklung ist jetzt so drängend, weil sich alles beschleunigt. Der Softwareanteil ist enorm gestiegen, Kunden erwarten Updates in schnellen Zyklen, während die Hardwareentwicklung weiterhin längere Entwicklungs- und Absicherungsphasen durchläuft. Gleichzeitig drängen softwaregetriebene Wettbewerber mit viel kürzeren Innovationszyklen auf den Markt. Viele dieser Unternehmen starten mit weniger historisch gewachsenen Prozessen und können deshalb Veränderungen schneller umsetzen. Hinzu kommt, dass KI die Produktentwicklung zusätzlich beschleunigt. Unternehmen stehen vor der Herausforderung, neue KI-gestützte Möglichkeiten sinnvoll in bestehende Entwicklungsprozesse zu integrieren, ohne dabei Qualitäts- und Compliance-Anforderungen zu vernachlässigen.
Wer heute Hardware- und Softwareentwicklung nicht synchronisiert, verliert an Geschwindigkeit und damit langfristig auch an Wettbewerbsfähigkeit. Qualitäts- und Compliance-Anforderungen wie ISO-Normen ändern daran nichts. Sie sind feste Rahmenbedingungen der Entwicklung und müssen von Anfang an berücksichtigt werden. Agilität steht dazu nicht im Widerspruch, sondern hilft dabei, diese Anforderungen effizienter in den Entwicklungsprozess zu integrieren.
Der größte Unterschied ist, dass die Hardwareentwicklung deutlich längere physische Entwicklungszyklen hat. Von diesen darf man sich aber nicht ausbremsen lassen. Entscheidend ist, in allen Planungshorizonten möglichst früh Zwischenstufen-Tests und Feedbackschleifen einzubauen. Digitale Zwillinge, Software-in-the-Loop oder Hardware-in-the-Loop helfen dabei, Rückmeldungen und Risiken sichtbar zu machen, bevor sie im physischen Produkt auftreten. Zunehmend kommen dabei auch KI-gestützte Analysen zum Einsatz. Diese können unterstützen, große Mengen von Test- und Sensordaten auszuwerten, Auffälligkeiten früher zu erkennen und helfen so, fundiertere Entwicklungsentscheidungen zu treffen.
Gleichzeitig müssen Mechanik, Elektronik und Embedded Software enger zusammenarbeiten als in vielen klassischen Organisationen. Deshalb geht es nicht darum, eine Methode aus der Softwareentwicklung einfach zu kopieren, sondern agile Prinzipien so an die Entwicklungsrealität anzupassen, dass sie für physische Produkte funktionieren.
Unternehmen kommen mit ähnlichen Herausforderungen auf uns zu. Die Entwicklungszyklen sind lang, der Wettbewerbsdruck steigt und die Qualitätssicherung führt häufig zu späten Erkenntnissen und aufwendigen Nacharbeiten. Besonders langwierige Änderungsprozesse und die Abstimmung zwischen unterschiedlichen Fachbereichen werden oft als Bremsfaktoren wahrgenommen.
Gleichzeitig herrscht die Sorge, dass eine agile Transformation zunächst Produktivität kostet. Hinzu kommt, dass die Zusammenarbeit zwischen Mechanik, Elektronik und Embedded Software häufig bereits heute herausfordernd ist. Viele Unternehmen fragen sich, wie bestehende Silos aufgebrochen werden können, ohne weitere Reibungsverluste zu erzeugen.
Außerdem wird oft ein Verlust von Struktur und Kontrolle befürchtet oder versucht, Methoden aus der Softwareentwicklung 1:1 unverändert zu übernehmen. Erfolgreich wird eine Transformation aber dann, wenn sie mit Augenmaß an die jeweilige Entwicklungsumgebung angepasst wird.
Der häufigste Fehler ist, dass agile Methoden lediglich über bestehende Prozesse gelegt werden. Teams führen zusätzliche Meetings ein und sprechen plötzlich von Sprints oder Reviews, arbeiten inhaltlich aber genauso weiter wie zuvor. Die bisherigen Abstimmungs- und Freigaberunden bleiben bestehen, sodass häufig mehr Reibung entsteht als vorher.
Ein weiteres Problem ist, dass bestehende Silos zwischen Mechanik, Elektronik und Embedded Software unangetastet bleiben. Die Fachbereiche optimieren weiterhin lokal, anstatt gemeinsam auf den Systemerfolg hinzuarbeiten. Erfolgreiche Produktentwicklung erfordert jedoch gemeinsame Planungshorizonte und eine enge Abstimmung über Disziplingrenzen hinweg. Die Fachbereiche sollten nicht nur parallel arbeiten, sondern gemeinsam planen, priorisieren und Entscheidungen treffen. Bleiben die Silos bestehen, wird häufig weiterhin lokal optimiert, anstatt den Gesamterfolg des Systems in den Mittelpunkt zu stellen.
Außerdem wird häufig unterschätzt, wie viel Veränderungsbegleitung notwendig ist. Führungskräfte müssen verstehen, wie sich ihre Rolle verändert, und Mitarbeitende benötigen Zeit, um neue Arbeitsweisen auszuprobieren und Sicherheit darin aufzubauen. Es reicht leider nicht, ein Training durchzuführen. Die eigentliche Arbeit beginnt erst danach, wenn die neuen Arbeitsweisen im Alltag verankert werden sollen.
Ein erfolgreicher Ansatz beginnt damit, agile Prinzipien an die konkrete Entwicklungsrealität anzupassen.
Wichtig ist außerdem, möglichst früh Feedbackschleifen einzubauen und digitale Möglichkeiten wie Digitale Zwillinge oder Hardware-in-the-Loop zu nutzen. Dadurch werden Risiken früher sichtbar und notwendige Anpassungen können deutlich früher vorgenommen werden. Daneben lohnt es sich, den Einsatz von Künstlicher Intelligenz früh mitzudenken. KI kann Entwicklungsorganisationen beispielsweise bei Dokumentation, Analyseaufgaben oder der Auswertung großer Datenmengen unterstützen und so Freiräume für Innovation und technische Entscheidungen schaffen.
Gleichzeitig müssen feste Rahmenbedingungen wie Qualitäts- und Compliance-Anforderungen von Anfang an berücksichtigt werden. Agilität bedeutet nicht, diese Vorgaben zu umgehen, sondern sie wirksam in die Entwicklung zu integrieren.
Ebenso wichtig ist die kulturelle Seite. Teams müssen lernen, früh Erfahrungen zu sammeln, schnell zu lernen und Fehler als Erkenntnisquelle zu nutzen. Nicht das Vermeiden von Fehlern führt zum Erfolg, sondern das frühe Erkennen und Beheben von Problemen.
Wir unterstützen Unternehmen von der ersten Standortbestimmung bis zur nachhaltigen Verankerung neuer Arbeitsweisen. Häufig starten wir mit einem Executive Workshop, um gemeinsam die Ausgangssituation zu analysieren und die relevanten Handlungsfelder zu identifizieren.
Anschließend begleiten wir die Einführung und Weiterentwicklung agiler Arbeitsweisen, unterstützen beim Aufbau von Agile Release Trains und passen die Frameworks an die konkrete Entwicklungsumgebung des Unternehmens an.
Unsere Zertifizierungstrainings, beispielsweise SAFe® for Hardware, bieten wir bewusst in kleinen Gruppen an, um ausreichend Raum für die individuellen Herausforderungen der Teilnehmer zu schaffen. Ergänzt wird dies durch Coaching, Sparring und die Begleitung von Führungskräften und Teams bei der praktischen Umsetzung.
Das Training ist meist der Einstieg, aber bei weitem nicht das Ende. Die eigentliche Veränderung beginnt erst nach dem Training, wenn neue Arbeitsweisen im Projektalltag angewendet, angepasst und kontinuierlich verbessert werden. Deshalb begleiten wir Unternehmen häufig bei der praktischen Umsetzung, beim Aufbau und der Skalierung von Agile Release Trains sowie durch Coaching und Sparring für Teams und Führungskräfte.
Darüber hinaus unterstützen wir Unternehmen dabei, Künstliche Intelligenz sinnvoll in ihre Entwicklungsorganisation zu integrieren. Nachdem viele Unternehmen erste Anwendungsfälle erfolgreich umgesetzt haben, steht heute zunehmend die Frage im Mittelpunkt, wie KI dauerhaft in Prozesse, Zusammenarbeit und Entscheidungsabläufe eingebunden werden kann. Weiterhin übernehmen wir bei Bedarf auch punktuell einzelne Rollen, bis das Unternehmen diese selbstständig ausfüllen kann.
Mein wichtigster Rat ist, nicht mit dem Framework zu starten, sondern mit der eigenen Entwicklungsrealität. Bevor man über Rollen, Meetings oder Planungsrhythmen spricht, sollte man verstehen, wo die größten Reibungsverluste entstehen. Sind es lange Freigabeprozesse, späte Testerkenntnisse, fehlende Abstimmung zwischen Fachbereichen oder aufwendige Änderungsprozesse? Außerdem würde ich empfehlen, nicht die gesamte Organisation auf einmal umzustellen.
Entscheidend ist, mit Augenmaß vorzugehen und den Ansatz passend zur jeweiligen Entwicklungsumgebung auszuwählen. Erfolgreiche Veränderungen beginnen meist in einem überschaubaren Bereich, in dem Erfahrungen gesammelt und neue Arbeitsweisen erprobt werden können. Und schließlich sollte man akzeptieren, dass Lernen und somit Fehler machen zum Veränderungsprozess gehört. Frühe Tests und häufige Feedbackschleifen machen Probleme sichtbarer. Das kann am Anfang ungewohnt sein. Langfristig ist genau das aber der Schlüssel, um schneller zu lernen, Risiken früher zu erkennen und die Entwicklungsleistung nachhaltig zu verbessern.
Consileon begleitet Automobilhersteller, Zulieferer sowie Maschinen- und Anlagenbauer dabei, agile Prinzipien wirksam auf die physische Produktentwicklung zu übertragen. Das Leistungsportfolio reicht von der zertifizierten Qualifizierung im SAFe® for Hardware Training über die Synchronisierung von Hardware- und Softwareentwicklung bis zur KI-gestützten Entlastung von administrativen Aufgaben in der Entwicklungsorganisation. Ergänzt wird dieses Angebot durch strategische Beratung, agiles Coaching und die Besetzung agiler Rollen für Automotive und Industrie.
Ein kaufmännischer Direktor eines Krankenhauses hat gerade ein KI-Projekt durchgerechnet, das Dokumentationszeit spart und sich innerhalb weniger Monate amortisieren würde. Die Wirtschaftlichkeit stimmt, die Fachabteilung ist überzeugt. Dann meldet der Datenschutzbeauftragte Bedenken an und die Investitionsentscheidung landet auf unbestimmte Zeit in der Warteschleife. Genau in dieser Situation zeigt lokale KI im Krankenhaus ihren Wert: Sie löst das Datenschutzproblem an der Wurzel, bevor es zum Investitionsrisiko wird.
Der Grund ist fast immer derselbe: Die KI läuft in der Cloud. Und sobald Gesundheitsdaten das Krankenhaus verlassen, greifen Art. 9 DSGVO und die ärztliche Schweigepflicht nach § 203 StGB in voller Härte. Es braucht einen Auftragsverarbeitungsvertrag, ein C5-Testat für den Cloud-Anbieter und Klarheit über den Serverstandort. [1] Für viele IT-Abteilungen im Krankenhaus ist genau das der Punkt, an dem ein eigentlich vielversprechendes Projekt scheitert. Der Grund ist nicht die Qualität oder Verfügbarkeit der Technologie, sondern der administrative und rechtliche Rahmen.
Im Gesundheitswesen kommt ein Faktor hinzu, der sich nicht in Paragrafen fassen lässt: ein grundsätzlich sensibler Umgang mit Patientendaten, der tief in der Berufskultur verankert ist. Selbst wenn Auftragsverarbeitungsvertrag, C5-Testat und Serverstandort formal geklärt sind, bleibt bei vielen Ärzten ein ungutes Gefühl zurück, sobald Patientendaten das eigene Haus verlassen. Dieses Unbehagen ist kein Zeichen von Überängstlichkeit, sondern Ausdruck eines Vertrauensverhältnisses, das der Beruf seit jeher verlangt. Eine Lösung, bei der Daten das Krankenhaus erst gar nicht verlassen, nimmt genau dieses Gefühl ernst, unabhängig davon, wie wasserdicht die vertragliche Absicherung einer Cloud-Lösung im Zweifel wäre.
Das Problem liegt nicht bei einzelnen Anbietern oder schlechten Verträgen, sondern in der Architektur selbst. Cloud-KI schickt Anfragen an Rechenzentren, die meist von US-amerikanischen Konzernen betrieben werden. [3] Damit entsteht automatisch eine Kette von Abhängigkeiten: von einer stabilen Internetverbindung, von der Cloud-Verfügbarkeit des Anbieters, von dessen Preisgestaltung pro Anfrage und nicht zuletzt von dessen Entscheidungen über Modellversionen und Updates, auf die das Krankenhaus keinen Einfluss hat.
Für Gesundheitsdaten kommt erschwerend hinzu, dass jede Cloud-Anbindung eine zusätzliche Angriffsfläche für Cyberattacken darstellt. Gerade Krankenhäuser sind für Angreifer ein besonders lohnendes Ziel, weil Patientendaten hochsensibel und Systeme oft unter chronischem IT-Ressourcenmangel betrieben werden. Jede zusätzliche Schnittstelle nach außen vergrößert dieses Risiko.
Hinzu kommt der EU AI-Act. Er verlangt von Krankenhäusern als Betreiber von KI-Systemen Nachweise über Trainingsdaten, Entscheidungslogik und Monitoring, gestaffelt nach der Risikoklasse des jeweiligen Systems. [7] Bei einer Cloud-Lösung, deren Innenleben man nicht kontrolliert, ist das deutlich schwerer zu belegen als bei einem System, das vollständig im eigenen Haus läuft. Das strukturelle Dilemma lautet also: Genau die leistungsstarken KI-Modelle, die den größten Mehrwert versprechen, sind aus regulatorischer Sicht am schwersten zu rechtfertigen.
Für die Verwaltungsleitung kommt eine persönliche Dimension hinzu. Setzt ein Krankenhaus eine unzureichend geprüfte KI-Lösung ein, kann das als Organisationsverschulden gewertet werden, mit Haftungsfolgen für die Geschäftsführung selbst. [2] Auch die NIS-2-Richtlinie verschärft diese persönliche Verantwortung zusätzlich. Eine Lösung, die Daten von vornherein im Haus hält und deren Funktionsweise vollständig dokumentierbar ist, reduziert dieses Haftungsrisiko spürbar, nicht nur das Risiko für die Patientendaten selbst.
Lokale KI im Krankenhaus bedeutet, dass ein KI-Modell direkt auf einem Gerät in der Klinik läuft, ohne Anbindung an ein externes Rechenzentrum. Der entscheidende Unterschied zur Cloud-KI liegt dabei nicht in der Geschwindigkeit, sondern in der regulatorischen Eleganz: Läuft das Modell direkt auf einem Gerät im Krankenhaus, verlassen die Daten das Haus schlichtweg nicht. Damit entschärfen sich die Anforderungen aus Art. 9 DSGVO und § 203 StGB von selbst, weil der Grund für ihre Verschärfung, die Datenweitergabe an Dritte, gar nicht erst entsteht. Ein Auftragsverarbeitungsvertrag wird überflüssig, ein C5-Testat ebenso, die Frage nach dem Serverstandort stellt sich nicht mehr.
Möglich wird das durch eine neue Generation von Prozessoren, die CPU, Grafikeinheit und einen dedizierten KI-Beschleuniger auf einem Chip vereinen und dabei auf einen gemeinsamen Arbeitsspeicher von bis zu 128 Gigabyte zugreifen können. [4] Diese Architektur ermöglicht es, Sprachmodelle mit bis zu 200 Milliarden Parametern vollständig lokal und in Echtzeit zu betreiben, ganz ohne Cloud-Anbindung. [5] Seit 2025/26 ist diese Technik serienreif und findet sich bereits in Business-Notebooks und kompakten Desktop-Geräten führender Hersteller.
Ein offenes Modell wie GPT-OSS-120B zeigt, was damit möglich ist: Im medizinischen Testverfahren HealthBench erreicht es Werte nahe an denen deutlich größerer, ausschließlich cloudbasierter Modelle und liegt spürbar vor älteren Generationen wie GPT-4o. [6] Für hochspezialisierte Forschungsfragen mögen die größten Cloud-Modelle noch die Nase vorn haben. Für die konkreten Anwendungsfälle im Krankenhausalltag reicht die Leistungsfähigkeit lokaler Modelle heute in aller Regel völlig aus.
Im direkten Vergleich wird der Unterschied zwischen beiden Ansätzen greifbar:
| Dimension | Cloud-KI | Lokale KI |
|---|---|---|
| Datenschutz | Art. 9 DSGVO und § 203 StGB greifen voll, AV-Vertrag und C5-Testat nötig | Daten verlassen das Haus nicht, Anforderungen entschärfen sich strukturell |
| Haftung der Geschäftsführung | Organisationsverschulden möglich, wenn Prüfung unzureichend war | Geringeres Haftungsrisiko durch volle Kontrolle und Dokumentierbarkeit |
| Regulatorik (EU AI-Act) | Nachweise über Trainingsdaten und Monitoring schwer belegbar | Transparenz- und Dokumentationspflichten leichter erfüllbar |
| Kosten | Laufende Cloud- und Token-Kosten pro Anfrage | Einmalige, klar kalkulierbare Investition |
| Verfügbarkeit | Abhängig von stabiler Internetverbindung und Anbieter-Verfügbarkeit | Läuft offline, unabhängig von externer Anbindung |
| Kontrolle über Modell | Keine Kontrolle über Modellversion und Updates des Anbieters | Volle Kontrolle über Modell, Version und Update-Zeitpunkt |
| Angriffsfläche | Zusätzliche Angriffsvektoren durch Cloud-Anbindung | Reduzierte Angriffsfläche durch Kapselung im Haus |
| Ausfallsicherheit | Internetzugang, Provider-Risiko | Lokale Verfügbarkeit ist sichergestellt |
Wo lohnt sich der Umstieg auf lokale KI konkret? Fünf Anwendungsfälle stechen hervor:
Der Umstieg auf lokale KI ist kein Alles-oder-Nichts-Entscheid und lässt sich als planbare Investition steuern. Sinnvoll ist ein gestufter Einstieg: Zunächst ein oder zwei der oben genannten Anwendungsfälle in einer Abteilung pilotieren, Erfahrungen sammeln und anschließend mit überschaubarem Budgetrisiko skalieren. Anders als bei Cloud-Lösungen mit laufenden Kosten pro Anfrage lässt sich der Invest bei lokaler KI als einmalige, klar kalkulierbare Ausgabe planen, ein Vorteil, der sich in jeder Wirtschaftlichkeitsrechnung bemerkbar macht. Wichtig ist dabei, die IT-Abteilung von Anfang an einzubinden, damit keine unkontrollierte Schatten-KI entsteht, die dieselben Haftungsrisiken durch die Hintertür wieder hereinholt, die man mit der lokalen Lösung eigentlich vermeiden wollte.
Ebenso wichtig ist eine ehrliche Erwartungssteuerung im Personalbereich. Lokale KI ersetzt keine ärztliche Entscheidung, sie entlastet bei Dokumentation, Übersetzung und Recherche. Wer das von Anfang an klar kommuniziert, vermeidet Enttäuschungen und erhöht die Akzeptanz im Team.
Cloud-KI und Gesundheitsdatenschutz passen strukturell nicht gut zusammen, das zeigt sich immer wieder in der Praxis. Lokale KI-Systeme lösen genau dieses Dilemma auf, ohne auf die Vorteile moderner Sprachmodelle verzichten zu müssen. Für die zentralen Anwendungsfälle im Krankenhausalltag, von der Dokumentation bis zur Pseudonymisierung, ist die Technologie heute bereits ausgereift genug, um echten Mehrwert zu schaffen und gleichzeitig regulatorisch auf der sicheren Seite zu bleiben.
Welcher dieser Anwendungsfälle für Ihr Haus den größten Hebel bietet, hängt von der individuellen Ausgangslage ab, von der IT-Infrastruktur bis zur Belastung einzelner Abteilungen. Lassen Sie uns gemeinsam herausfinden, wo Ihr Krankenhaus am dringendsten entlastet werden muss, und wie sich lokale KI dort konkret einsetzen lässt.
[2] datenschutz notizen (24.03.2026): KI-Systeme im Krankenhaus – Betreiberpflichten und Haftungsfragen.
[3] Kiteworks (Mai 2026): Herausforderungen bei KI-Datengovernance im Gesundheitswesen.
[4] AMD: Ryzen AI Halo – Produktspezifikationen (NPU-Leistung, Unified Memory).
[5] StorageReview: AMD Ryzen AI Halo Review – A Dual-OS, 200B-Parameter Desktop.
[6] OpenAI: gpt-oss-120b & gpt-oss-20b Model Card, Abschnitt HealthBench.
Ein Krankenhausaufenthalt oder ein Rettungseinsatz gehören zu den Momenten, die Kindern besonders viel abverlangen: unbekannte Räume, fremde Gesichter, ungewohnte Geräusche. Genau in solchen Situationen möchten wir da sein, mit etwas ganz Einfachem, das trotzdem viel bewirken kann: einem Teddybären zum Festhalten. Deshalb engagieren wir uns auch in diesem Jahr wieder gemeinsam mit der Kinderhilfe Diekholzen und unterstützen mit unserer Teddybärenspende Kinder und Familien in herausfordernden Situationen.
Im Rahmen unserer Teddybärenspende spenden wir insgesamt 200 Trösteteddys. Die Plüschtiere wurden speziell für den Einsatz im Klinik- und Rettungsalltag entwickelt. Sie sind fusselfrei, ungiftig, technisch geprüft und aus hygienischen Gründen einzeln in Folie verpackt. In ungewohnten Situationen können sie Kindern Sicherheit geben und den ersten Kontakt mit Pflege- und Rettungskräften erleichtern.
Besonders freut es uns, dass wir in diesem Jahr gleich zwei Partner unterstützen konnten: Insgesamt haben wir 200 Trösteteddys übergeben:
Auf der Kinderstation werden sie künftig an junge Patienten ausgegeben; beim DRK begleiten sie Einsätze mit Kindern und helfen dabei, den ersten Moment in einer ungewohnten Situation ein Stück leichter zu machen.
Für uns ist diese Spende weit mehr als eine einmalige Aktion: Mit ihr setzen wir unser soziales Engagement in der Region auch in diesem Jahr bewusst fort. Gemeinsam mit unseren Partnern vor Ort möchten wir dazu beitragen, dass sich Kinder in schwierigen Momenten ein wenig weniger allein fühlen.
Wir bedanken uns herzlich bei der Kinderhilfe Diekholzen für diese tolle Aktion und die Verleihung der Spendenurkunde.
Karlsruhe, 15. Juli 2026. Das Handelsblatt Research Institute (HRI) hat Consileon erneut im Ranking „Beste Unternehmensberater“ ausgezeichnet. Die Management- und IT-Beratung erhielt die Auszeichnung 2026 in den Kategorien Automobilindustrie, Banken & Finanzdienstleister, Cybersecurity, Digitalisierung, Öffentlicher Sektor & Infrastruktur sowie Versicherungen.
Ebenfalls ausgezeichnet wurde Q-SOFT, ein Unternehmen der Consileon-Gruppe, das sich auf ERP-Lösungen für die Abfallwirtschaft und Cybersecurity fokussiert. Q-SOFT erhielt die Auszeichnung in den Kategorien Cybersecurity sowie Öffentlicher Sektor & Infrastruktur.
Grundlage des Rankings ist eine Befragung des Handelsblatt Research Institute unter mehr als 16.500 Beratern aus rund 500 Beratungsunternehmen. Die Befragten bewerten, welche Consultingfirmen sie in den jeweiligen Beratungsbereichen und Branchen für die renommiertesten halten. Eigenbewertungen und Stimmenkartelle sind methodisch ausgeschlossen. Die Auszeichnung beruht damit auf der Einschätzung von Branchenkennern und Wettbewerbern.
Die ausgezeichneten Kategorien spiegeln die Beratungsschwerpunkte der Consileon-Gruppe wider. Als Management- und IT-Beratung begleitet Consileon Kunden aus der Finanzwirtschaft, der Automobilindustrie und dem öffentlichen Sektor bei Digitalisierungs- und Transformationsvorhaben, von der Strategieentwicklung bis zur technischen Umsetzung. Cybersecurity und die Digitalisierung des öffentlichen Sektors gehören zu den Kernfeldern von Q-SOFT.
Über das Handelsblatt Research Institute: Das Handelsblatt Research Institute (HRI) ist ein unabhängiges wirtschaftswissenschaftliches Forschungsinstitut unter dem Dach der Handelsblatt Media Group mit Sitz in Düsseldorf. Seit 2013 verbindet das Institut ökonomische Kompetenz und journalistisches Themenverständnis und erstellt Studien, Reports und Rankings, darunter das jährliche Ranking der besten Unternehmensberatungen.
Rosenberger-OSI ist ein international tätiger Experte für glasfaserbasierte Verbindungstechnik, Verkabelungslösungen und Infrastruktur-Services in den Bereichen Rechenzentren, Lokale Netzwerke, Mobilfunknetze und Industrielle Anwendungen.
Das eingesetzte CRM-System aurea.CRM erfüllte technisch seinen Zweck, doch im Alltag blieb es weitgehend ungenutzt. Vertrieb, Backoffice und Marketing arbeiteten überwiegend an ihm vorbei. Die Konsequenz waren fehlende Datenbasis, ineffiziente Prozesse und kein gemeinsames Bild vom Kunden. Ein Neustart musste her.
Rosenberger-OSI wollte aurea.CRM durch eine zukunftsfähige Lösung ablösen, die von den Mitarbeitern auch wirklich angenommen wird. Ziel war die Einführung von Microsoft Dynamics 365 Sales als gemeinsame Plattform für Vertrieb, Backoffice und Marketing. Dabei sollte die neue Lösung nahtlos in die bestehende ERP-Lösung sowie das Lead-Management-Tool integriert werden, um Datensilos dauerhaft zu überwinden und eine einheitliche Sicht auf Kunden und Interessenten zu schaffen. Auf dieser Grundlage sollten Prozesse vereinheitlicht, die Zusammenarbeit zwischen den Bereichen verbessert und die Voraussetzungen für ein proaktives, datengetriebenes Vertriebsmanagement geschaffen werden.
Im Fokus stand nicht nur die technische Migration, sondern die Verschlankung und Vereinfachung der CRM-Prozesse. Das Projekt wurde agil in zwei Phasen umgesetzt. In der POC-Phase wurden das Grundgerüst aufgebaut, Anforderungen frühzeitig validiert und Risiken gezielt minimiert. So konnte das Team ein gemeinsames Verständnis der Lösung entwickeln. In der anschließenden Ausbau- und Migrationsphase wurden die Funktionalitäten schrittweise erweitert, die Daten vollständig aus aurea.CRM migriert und der Go-Live erfolgreich durchgeführt.
Trotz der Komplexität der Migration lag die kombinierte Entwicklungs- und Implementierungszeit bei unter drei Monaten. Nach dem Go-Live konnte die Nutzungsrate des CRM-Systems deutlich gesteigert werden und die Benutzerzufriedenheit verbesserte sich messbar gegenüber dem abgelösten System – ein klarer Indikator für die hohe Akzeptanz der neuen Lösung. Dank dem neuen Lead-Management-Tool steht dem Vertrieb erstmals eine durchgängige Datenbasis vom Lead bis zum Abschluss zur Verfügung. Damit wurde die Grundlage für ein effizientes und proaktives Vertriebsmanagement geschaffen.
Entscheidend für den Projekterfolg war die konsequente Einbindung der Fachabteilungen von Beginn an. So konnten Anforderungen aus Vertrieb, Backoffice und Marketing praxisnah erfasst und zügig umgesetzt werden. Ebenso ausschlaggebend war das tiefe Vorwissen von Consileon über aurea.CRM: Bestehende Prozesse wurden gezielt auf die neue Plattform übertragen, ohne Wissensverlust und mit deutlich verkürzter Einarbeitungszeit.
Mit der erfolgreichen Einführung von Microsoft Dynamics 365 Sales ist für Rosenberger-OSI der Grundstein für eine moderne, zukunftsfähige Vertriebsarbeit gelegt. Das Unternehmen plant, die Plattform schrittweise um weitere Funktionen auszubauen. Ein besonderer Fokus liegt dabei auf der Einführung von KI-Agents, die den Vertrieb künftig gezielt unterstützen und die Effizienz im Tagesgeschäft weiter steigern sollen.
Auch 2026 war die Tour Eucor wieder ein besonderes Erlebnis: Vom 22. bis 27. Juni machten sich rund 120 Teilnehmer aus Deutschland, Frankreich und der Schweiz auf den Weg, um die Oberrheinregion auf zwei Rädern zu erkunden. Die Tour verband sportliche Herausforderung mit interkulturellem Austausch und zeigte einmal mehr, wie lebendig europäische Zusammenarbeit sein kann.
Studenten, Absolventen, Lehrkräfte, Universitätsmitarbeiter sowie Alumni der fünf Eucor-Universitäten traten gemeinsam in die Pedale. Dabei standen nicht nur Kilometer und Höhenmeter im Mittelpunkt, sondern vor allem Begegnungen, Gespräche und neue Freundschaften über Ländergrenzen hinweg.
Die Route führte auch in diesem Jahr von Karlsruhe über Straßburg, Mulhouse, Basel und Freiburg zurück nach Karlsruhe. Damit verband die Tour erneut alle fünf Eucor Städte auf eindrucksvolle Weise. Je nach gewählter Etappe legten die Teilnehmer zwischen 600 und 900 Kilometern zurück.
Die Etappen verliefen entlang des malerischen Rheins, durch Städte sowie über anspruchsvolle Anstiege in den Vogesen, im Jura und im Schwarzwald. Besonders ambitionierte Teilnehmer konnten sich an bekannten Bergen wie dem Grand Ballon oder dem Schauinsland messen. Gleichzeitig boten die verschiedenen Streckenvarianten die Möglichkeit, ein gemäßigteres Tempo zu wählen und die Landschaft sowie die besondere Atmosphäre entlang der Route zu genießen.
Ein besonderes Merkmal der Tour ist die Möglichkeit, täglich zwischen verschiedenen Gruppen und Schwierigkeitsgraden zu wählen. So kann jeden Morgen die Gruppe gewählt werden, die am besten zur eigenen Kondition und zum persönlichen Anspruch passt. Denn im Vordergrund steht vor allem eines: Die Tour soll Menschen zusammenbringen, unabhängig von ihrer sportlichen Leistung und ihren individuellen Voraussetzungen, egal ob mit Rennrad, Mountainbike oder Trekkingrad.
Ein gemeinsames Mittagessen und organisierte Verpflegungsstopps entlang der Strecke gehören als fester Bestandteil dazu und bieten auch abseits des Sports Raum für wertvollen Austausch.
Als langjähriger Förderer war Consileon auch 2026 wieder mit Stolz als Sponsor der Tour Eucor vertreten. Wir unterstützen diese Initiative mit Überzeugung, weil sie für das steht, was uns ausmacht: Austausch, Vielfalt, Zusammenhalt und grenzüberschreitendes Miteinander. Nicht zuletzt verbindet uns mit der Tour die Begeisterung fürs Radfahren, denn in der Consileon-Familie gibt es ebenfalls einige ambitionierte Radsportler.
Über Eucor – The European Campus
Die Eucor vereint Hochschulen aus Deutschland, Frankreich und der Schweiz: das Karlsruher Institut für Technologie (KIT), die Universitäten Basel, Freiburg, Haute-Alsace und Strasbourg. Bei der Tour treffen Menschen aus verschiedenen Ländern, Disziplinen und Altersgruppen aufeinander – vereint durch ihre Begeisterung fürs Radfahren und ihren Wunsch, Europa aktiv zu erfahren. Mehr erfahren
Bildquelle: KIT – Karlsruher Institut für Technologie
Wer den digitalen Euro bislang als abstraktes EZB-Projekt abgetan hat, sollte den Kalender aufmachen. Im März 2026 veröffentlichte die Europäische Zentralbank den Call for Expression of Interest, die formelle Einladung an Zahlungsdienstleister, am Pilotprojekt teilzunehmen. Ab dem zweiten Halbjahr 2027 sollen erste echte Transaktionen unter realen Bedingungen stattfinden. Und sofern das EU-Gesetzgebungsverfahren noch in diesem Jahr abgeschlossen wird – was der Wirtschafts- und Währungsausschuss des Europäischen Parlaments im Juni 2026 mit seiner Zustimmung zum Trilog deutlich wahrscheinlicher gemacht hat – ist die mögliche Erstausgabe für 2029 keine Prognose mehr, sondern ein realistischer Fahrplan.
Das bedeutet: Wer am Pilotprojekt teilnehmen will, muss spätestens Anfang 2027 technisch und organisatorisch bereit sein. Und wer das nicht will, sollte diese Entscheidung bewusst und begründet treffen, nicht durch Abwarten.
Der digitale Euro ist kein statisches Projekt. Wer den letzten EZB-Bericht vor zwei Jahren gelesen hat, kennt eine andere Welt. Die wichtigsten Entwicklungen der jüngsten Zeit:
Vorbereitungsphase abgeschlossen. Von November 2023 bis Oktober 2025 hat das Eurosystem ein Regelwerk entwickelt, Anbieter für die fünf Kernkomponenten der Digital Euro Service Platform (DESP) ausgewählt und über 70 Marktteilnehmer auf einer Innovationsplattform getestet. G+D, Nexi und Capgemini wurden für Offline-Zahlungen ausgewählt, equensWorldline für den Alias-Lookup. Das sind keine Konzepte mehr, das ist Infrastruktur.
Die DESP ist der neue Schlüsselbegriff. Die Digital Euro Service Platform stellt die zentralen Funktionen des digitalen Euro bereit: Tokenisierung, Alias-Lookup, Settlement-Layer und eine Referenz-App. Banken und Zahlungsdienstleister liefern Front- und Backend. Wer die DESP nicht kennt, kann keine sinnvolle Integrationsstrategie entwickeln.
Der Pilot wird konkret. Vier Use Cases stehen fest: P2P-Zahlungen per Alias (online), NFC-basierte Offline-Zahlungen, SoftPOS im stationären Handel und E-/M-Commerce. Geplant sind 15 bis 25 Händler und bis zu 10.000 Endnutzer – ein echtes System unter echten Bedingungen.
Die Kosten sind bezifferbar. Branchenstudien schätzen die Integrationskosten für den europäischen Bankensektor auf 4,0 bis 5,8 Milliarden Euro über vier Jahre. Das ist keine Zahl, die man mit Abwarten kleiner macht.
Die gute Nachricht zuerst: Geschäftsbanken bleiben zentrale Intermediäre. Kunden werden ihre digitalen Euro-Wallets nicht bei der EZB führen, sondern bei ihren Banken. Das schafft echte Chancen für Kontoführung, Mehrwertdienste, Kundenbindung und neue Produktangebote. Institute, die früh dabei sind, können diese Rolle gestalten. Wer zu spät kommt, übernimmt eine fertige Infrastruktur zu Bedingungen, die andere verhandelt haben.
Die Herausforderungen sind real. Die Einführung des digitalen Euro betrifft nicht nur die Zahlungsverkehrsabteilung. Kontenstruktur und Buchungslogiken im Core Banking müssen angepasst werden. Asset-Liability-Management und Intraday-Liquiditätssteuerung sind betroffen, weil Gelder schneller fließen. Compliance und Reporting brauchen neue Datenmodelle. Und die Wallet-Integration in Mobile- und Corporate-Banking-Kanäle ist eine eigenständige technische Aufgabe.
Und dann ist da der geopolitische Kontext. Mit dem Genius Act hat die USA im Juli 2025 Stablecoins reguliert und damit ihren globalen Einsatz erleichtert. Der digitale Euro ist Europas Antwort auf die wachsende Marktmacht von Visa, Mastercard, PayPal und künftig von US-Dollar-Stablecoins im europäischen Zahlungsverkehr.
Erfahrungen aus früheren Zahlungsverkehrstransformationen wie SEPA, ISO 20022, Instant Payments, zeigen ein wiederkehrendes Muster: Institute, die früh analysieren, verschaffen sich messbaren Vorsprung. Nicht nur bei der Compliance, sondern bei der Produktpositionierung und bei der Sicherung knapper Implementierungskapazitäten. Vier Handlungsfelder sind jetzt prioritär:
Rollenentscheidung treffen. Distributing PSP, Acquiring PSP oder beides? Diese Entscheidung bestimmt, welche DESP-Komponenten integriert werden müssen, wie der Business Case aussieht und welche Ressourcen benötigt werden. Sie sollte nicht im Herbst 2026 unter Zeitdruck fallen.
Impact-Analyse starten. Welche Systeme sind betroffen? Wo entstehen Integrationslücken zwischen interner Systemlandschaft und DESP? Welche regulatorischen Anforderungen aus dem Rulebook sind bereits planbar? Diese Fragen lassen sich nur mit strukturierter Analyse beantworten.
Pilotteilnahme bewusst entscheiden. Der Call for Expression of Interest läuft. Wer teilnehmen will, muss Zulassungskriterien erfüllen: Lizenzierung, technische und operationelle Voraussetzungen, geografische Abdeckung. Wer nicht teilnimmt, sollte diese Entscheidung aktiv kommunizieren – intern wie extern.
Kundenkommunikation vorbereiten. Studien zeigen anhaltende Skepsis in der Bevölkerung: Datenschutzbedenken, Angst vor Bargeldabschaffung, Misstrauen gegenüber staatlicher Kontrolle. Banken, die früh und transparent kommunizieren, können diese Narrative sachlich einordnen und Vertrauen aufbauen, bevor der Wettbewerb das Thema besetzt.
Der digitale Euro wird kommen. Die Frage ist nicht mehr ob, sondern unter welchen Bedingungen und mit welchem Vorsprung das eigene Institut dabei ist. 2027 ist das Testjahr. Wer in diesem Jahr zum ersten Mal ernsthaft über Integration nachdenkt, wird Mühe haben, die Kurve noch zu kriegen.
Die Transformation ist beherrschbar. Aber sie braucht Struktur, Priorisierung und den Mut, jetzt zu starten – auch wenn das Gesetzgebungsverfahren noch läuft und nicht alle Details final sind. Denn das war bei SEPA und ISO 20022 genauso. Und die Institute, die damals früh dabei waren, haben es nicht bereut.
