Für Laien mag das wie ein Märchen klingen, aber: Das Gesicht eines Menschen ist wie ein offenes Buch. Es erzählt von Charaktereigenschaften, Denkmustern und natürlich auch vom Führungsstil. Die Wurzeln dieser Wissenschaft der Psychophysiognomie reichen Jahrtausende zurück und werden heute in vielen Bereichen genutzt, von der Kriminalistik bis zur Persönlichkeitsentwicklung. 

 

Das Bewegungsnaturell

Die Formensprache eines Gesichts gibt wertvolle Hinweise. Markante, eckige Formen wie ein breiter Kiefer und dominante Wangenknochen deuten auf das Bewegungsnaturell hin. Solche Chefs sind „Macher“, lieben Herausforderungen und handeln zielstrebig. Ihr Führungsstil ist dynamisch und durchsetzungsstark. 

Doch es gibt eine Kehrseite: Diese Persönlichkeiten können dominant wirken und wenig Geduld aufbringen. Ihre direkte Art fordert klare Kommunikation und schnelle Ergebnisse. 

Umgangstipp: Begegnen Sie solchen Chefs mit gut strukturierten Vorschlägen, ohne lange Erklärungen. Struktur und Fakten statt Emotionen sind hier der Schlüssel. Respektieren Sie seine Entscheidungsfreude, aber zeigen Sie, dass Sie selbst eine starke Position vertreten können. 

 

Das Empfindungsnaturell

Chefs mit feinen, zarten Gesichtszügen und großen Augen sind dem Empfindungsnaturell zuzuordnen. Diese Persönlichkeiten sind kreativ, emphatisch und feinfühlig. Sie legen Wert auf ein harmonisches Arbeitsumfeld, lieben den Dialog und entwickeln kreative Lösungen gemeinsam mit ihrem Umfeld. 

Aber aufgepasst: Ihre hohe Sensibilität macht sie empfänglich für Konflikte oder Spannungen. Kritik sollte stets diplomatisch formuliert werden, da sie schnell als persönliche Ablehnung wahrgenommen werden kann. 

Umgangstipp: Bauen Sie Vertrauen auf, zeigen Sie Wertschätzung und Respekt und präsentieren Sie Ideen als Teil eines gemeinsamen Prozesses. 

 

Das Ernährungsnaturell

Schließlich gibt es Chefs, deren Gesichtszüge durch runde Formen geprägt sind – typische Zeichen des Ernährungsnaturells. Sie schätzen Stabilität, Behaglichkeit und klare Strukturen. Ihr Führungsstil ist pragmatisch und auf langfristige Sicherheit ausgerichtet. Sie sind ausgezeichnete Netzwerker und lieben es, Ressourcen zu planen und zu verteilen.  

Achtung: Ihre Komfortzone kann manchmal eine gewisse Trägheit mit sich bringen und sie neigen dazu, Veränderungen nur sehr langsam zu akzeptieren. Sie schätzen bewährte Lösungen und haben eine Vorliebe für Traditionen. 

Umgangstipp: Argumentieren Sie pragmatisch und betonen Sie die Vorteile von Stabilität und Sicherheit. Geben Sie ihnen die Zeit, neue Ideen zu durchdenken und zeigen Sie vor allem klar auf, wie einfach und sinnhaft die Umstellung zum langfristigen Erfolg beiträgt. 

 

Die Mischung macht’s: Kombinierte Naturelle und ihre Ansprechbarkeit

In der Realität sind die wenigsten Menschen einem einzigen Naturell klar zuzuordnen. Häufig vereinen Gesichter Merkmale von zwei – manchmal sogar drei – Naturellen. So treffen beispielsweise die Zielstrebigkeit des Bewegungsnaturells und die Empathie des Empfindungsnaturells aufeinander oder die Stabilität des Ernährungsnaturells wird durch kreative Aspekte des Empfindungsnaturells ergänzt. 

Viele Führungspersönlichkeiten sind übrigens klare Bewegungs-Ernährungs-Naturelle, da der ihnen innewohnende Pragmatismus und die Zielorientiertheit durch die Dynamik des Bewegungsnaturells angeschoben wird. 

Tipp: Achten Sie darauf, welche Merkmale stärker ausgeprägt sind, und gestalten Sie Ihr Verhalten und Ihre Kommunikation entsprechend, das eröffnet ganz neue Möglichkeiten der Zusammenarbeit. 

 

„Du“-Denken oder „Ich“-Denken: Welcher Typ ist Ihr Chef? 

Ein weiterer Aspekt der Gesichtsdeutung ist, ob jemand im „Ich-“ oder „Du-Modus“ agiert. Eingefallene Wangen und eine große Nase deuten auf ein „Ich“-Denken hin – ergebnisorientiert und zielgerichtet, aber weniger mitarbeiterbezogen. Eine hohe Stirn, volle Wangen und offene Augen signalisieren dagegen den „Du-Modus“. Solche Chefs schätzen Teamgeist und gemeinsame Lösungen. 

Tipp: Stimmen Sie Ihre Kommunikation darauf ab. „Ich“-Denker schätzen klare Ergebnisse, während „Du“-Denker einen wertschätzenden Dialog bevorzugen. 

 

Nutzen statt Urteilen: Wie Gesichtslesen Ihre Arbeitsbeziehung verbessert

Die Psychophysiognomie ist keine Wahrsagerei, sondern eine klare Methode, um Menschen besser zu verstehen. Indem Sie die Gesichtsstruktur Ihres Chefs analysieren, erkennen Sie, was ihn antreibt und wie Sie Konflikte vermeiden können. Dieses Wissen hilft, Vertrauen aufzubauen und effektiver zu agieren. 

Fakt ist, das Gesichtslesen schärft den Blick für die Einzigartigkeit jedes Menschen, reduziert Missverständnisse und verbessert die Zusammenarbeit. In einer Welt, die stark von zwischenmenschlichen Verbindungen abhängt, ist dies ein unschätzbarer Vorteil. 

Enterprise Architecture (EA) Tools unterstützen Unternehmen und Organisationen dabei, mit ihren IT-Strategien die Geschäftsziele optimal zu unterstützen. Sie sorgen ebenfalls dafür, dass Unternehmen ihre Roadmaps für die digitale Transformation geordnet vorantreiben können. EA Tools bieten dafür unter anderem Collaboration-, Reporting-, Testing- und Simulationsfunktionen. Mit deren Hilfe lassen sich Modelle implementieren, die Geschäfts- und IT-Prozesse gezielt verbessern.

Um die beste Lösung für Ihr Unternehmen zu finden, sollten Sie zuerst prüfen, ob sich das jeweilige Tool mit Ihrem Technologie-Stack integrieren lässt. Anschließend gilt es abzuwägen, ob die Informationen, Diagramme und Tabellen, die die Software zur Verfügung stellt, für das Unternehmen auch einen echten Nutzwert haben.

Empfehlenswerte Enterprise-Architecture-Tools

Nachfolgend finden Sie einen Überblick über die wichtigsten Enterprise-Architecture-Tools – in alphabetischer Reihenfolge. Sie stellen einen Mix aus Visualisierungs-, Collaboration- und Project-Management-Funktionen bereit und unterstützen eine Vielzahl von Enterprise Architecture Frameworks.

Ardoq

Nachdem zuerst über einfache Formulare Informationen von Usern, Entwicklern und sonstigen Stakeholdern im Unternehmen eingesammelt wurden, lässt sich mithilfe von Ardoq ein digitaler Zwilling der gesamten Organisation erstellen. Der Ansatz setzt also darauf, die Menschen, die in ihren Rollen mit den verschiedensten Systemen arbeiten, realistisch in ihrer Arbeitswelt abzubilden.

Jede Mitarbeiterin und jeder Mitarbeiter im Unternehmen kann später von den Netzwerkvisualisierungen und Datenfluss-Diagrammen profitieren, um seine eigene Rolle optimal zu unterstützen und den Arbeitsplatz immer wieder anzupassen und zu modernisieren. Das Tool lässt sich mit den wichtigsten Cloud-Plattformen integrieren. Es bietet eine API, die individuelle Anpassungen in allen wichtigen Programmiersprachen (Python, C#, Java, etc.) ermöglicht.

Wichtigste Use Cases:

• “Architektonischen Stress” bei Lastspitzen simulieren, falls größere Veränderungen bevorstehen;

• Verstehen, wie verändertes Nutzerverhalten neue Anforderungen generiert;

• Application Portfolio Management, um besser strategisch zu planen.

Atoll Group SAMU

Das EA-Tool SAMU macht die Enterprise Architecture sichtbar, indem es tiefe Verknüpfungen zwischen On-Premises-Systemen, dem Cloud-Layer und Tools für das Business Process Management aufzeigt. Das Tool der Atoll Group bietet vielfältige Integrationsmöglichkeiten, zum Beispiel mit Monitoring-Tools (etwa Tivoli, ServiceNow), Configuration-Management-Datenbanken (zum Beispiel CA, BMC) oder Service-Organisations-Tools (BMC, HPE). Alle Informationen fließen in ein zentrales Datenmodell ein, das um den zusätzlichen Input der Stakeholder weiter angereichert wird.

Wichtigste Use Cases:

• Enterprise-Architektur visualisieren;

• strategische Planungsprozesse und Architektur-Reviews mit Informationen unterfüttern;

• mithilfe einer visuellen Verständnisgrundlage die Kommunikation verbessern.

Avolution Abacus

Dieses Tool erfasst die Breite und den Umfang der Unternehmensarchitektur mit Hilfe eines auf Diagrammen basierenden Dashboards. Die Integration mit gängigen Tools wie SharePoint, Excel, Visio, Google Sheets, Technopedia oder ServiceNow vereinfacht die Nutzung. Abacus wurde inzwischen auch um einen Machine-Learning-Layer ergänzt, der es Anwendern ermöglicht, ein Modell zu trainieren, das ihnen beispielsweise hilft zu erkennen, wer im Unternehmen für welches System verantwortlich ist.

Wichtigste Use Cases:

• die IT für das gesamte Unternehmen “öffnen”, um ein allgemeines Verständnis der Datenflüsse zu erzeugen;

• umfassendes Enterprise Modeling, um eine Roadmap für künftige Entwicklungen zu erstellen;

• Business-Metriken tracken, die mit der Unternehmens-Performance zusammenhängen.

BOC Group ADOIT

ADOIT soll Teams dabei unterstützen, Ressourcen zu verwalten, Bedarfe vorherzusagen und Assets zu tracken. Dazu mappt das Tool jedes System oder Softwarepaket mit einem Objekt. Die Datenflüsse zwischen den Systemen werden in Beziehungen umgewandelt, die von diesen Objekten mithilfe eines anpassbaren Metamodells erfasst werden. Geschäftsprozesse können auf ähnliche Weise über ein gut integriertes Begleitprodukt namens ADONIS modelliert werden. ADOIT ist Web-basiert und lässt sich auch mit Tools wie Atlassian Confluence integrieren, um die Datenerfassung und -entwicklung zu beschleunigen.

Wichtigste Use Cases:

• ein unternehmensweites Modell erstellen, das bei sämtlichen Teammitgliedern ein Verständnis über den Stack schafft – und wie man diesen verbessern kann;

• vollständiger Zugriff auf EA-Daten über eine Mobile-Anwendung;

• bei Fusionen und Übernahmen den Tech-Bereich durch genaues Asset-Mapping orchestrieren.

Bizzdesign Hopex

Nach der Übernahme von Mega International zählt die Hopex-Plattform zum Portfolio von Bizzdesign. Sie soll dabei unterstützen, Unternehmensanwendungen zu modellieren und dabei ein Verständnis der von ihnen unterstützten Geschäfts-Workflows schaffen. Dabei liegt ein Schwerpunkt auf den Bereichen Data Governance und Risikomanagement. Hopex basiert auf Microsoft Azure und stützt sich auf eine Reihe offener Standards wie GraphQL und REST Queries, um Informationen aus Komponentensystemen zu sammeln. Das Reporting ist mit den Office-Tools von Microsoft sowie mit grafischen Lösungen wie Tableau und Qlik integriert.

Wichtigste Use Cases:

• datengestützte Erkenntnisse herbeiführen, um Cloud- und Anwendungsbereitstellung zu steuern;

• akkurate Nutzungsmodelle erstellen, um Architekturanforderungen zu verstehen;

• eine Bedarfsschätzung mit Umfragen und anderen Tools vornehmen, um für die Zukunft zu planen.

Bizzdesign Horizzon

Das Tool dient dazu, Business Workflows und den zugrundeliegenden Tech-Stack zu modellieren. Dazu bietet Horizzon ein Graph-basiertes Modell, das Daten von sämtlichen Stakeholdern einsammelt und diese an eine Analytics-Engine weitergibt. Im Ergebnis entstehen Diagramme, die den aktuellen Systemzustand widerspiegeln. Wichtige Schwerpunkte dieses Tools sind Change Management und Zukunftsplanung: Horizzon ist nicht zuletzt dafür konzipiert worden, die Risiken eines Redesigns zu minimieren. Das Toolset unterstützt die wichtigsten Frameworks ArchiMate, TOGAF und BPMN. Neben Mega hat Bizzdesign im Januar 2025 auch den EA-Geschäftsbereich der Software AG – Alfabet – übernommen.

Wichtigste Use Cases:

• Vorhersage zukünftiger Anforderungen durch Predictive Modeling;

• Orchestrieren von Workflows auf der Basis der technischen und der Business-Architektur;

• Antizipieren von Risiken sowie Security- und Governance-Problemen durch die Modellierung von Datensicherheitsanforderungen.

Capstera

Das Tool von Capstera fokussiert darauf, die Business Architecture selbst abzubilden. Value und Process Maps helfen dabei, die Rollen der verschiedenen Unternehmensbereiche zu definieren und nachzuverfolgen. Dabei können im laufenden Prozess Verknüpfungen mit den zugrundeliegenden Softwarprodukten und Tools hinzugefügt werden.

Wichtigste Use Cases:

• Reports erstellen, die sich erst einmal mit der Business-Architektur selbst beschäftigen;

• Beziehungen zwischen Menschen, Abteilungen und Rollen analysieren;

• die langfristige strategische Planung vorantreiben.

Clausmark Bee360

Teammitglieder, die Clausmarks Flaggschiffprodukt Bee360 (früher Bee4IT) verwenden, wollen eine einfache “Single Source of Truth” über die Workflows im Unternehmen. Ziel ist es, verschiedenen betrieblichen Rollen intelligentere Entscheidungen zu ermöglichen. Das Modul Bee360 FM (Finanzmanagement) bietet etwa die Möglichkeit, Kosten nachzuvollziehen und zuzuordnen. Die Anwender können verschiedene solcher Module miteinander verknüpfen, um EAM, Finanzmanagement, Portfolio Management und Agile Planning nahtlos zu integrieren – bei maximaler Transparenz.

Wichtigste Use Cases:

• C-Suite-Ebene befähigen, Projekte zu managen und Assets zuzuweisen;

• präzise digitale Zwillinge entwickeln, um ein Verständnis über Datenflüsse zu schaffen und künftige Erweiterungen zu planen;

• integrierte Wissensdatenbank aufbauen, um alle digitalen Workflows zu tracken.

EAS

Das Essential-Paket von EAS (Enterprise Architecture Solutions) nahm als Open-Source-Projekt seinen Anfang und hat sich inzwischen zu einer kommerziell verfügbaren Cloud-Lösung weiterentwickelt. Das Tool erstellt ein Metamodell, das die Interaktionen zwischen Systemen und Geschäftsprozessen beschreibt. Ebenfalls enthalten sind Pakete, um gängige Business Workflows wie Datenmanagement oder DSGVO-Compliance zu tracken.

Wichtigste Use Cases:

• den technischen Reifegrad der eigenen Architektur evaluieren;

• Sicherheit und Governance durch besseres Asset Tracking optimieren;

• wachsende Systemkomplexität kontrollieren und managen.

OrbusInfinity

Orbus Software hat Anfang 2025 die Akquisition seines Konkurrenten Capsifi abgeschlossen. Der Anbieter stellt mit OrbusInfinity eine Enterprise-Transformation-Plattform auf KI-Basis zur Verfügung, die schnellere, bessere Entscheidungen, Kosteinesparungen und Risikominimierung verspricht. Architecture-Teams sollen mit Hifle von OrbusInfinity mit einer Vielzahl von Stakeholdern interagieren können, um eine “digitale Blaupause” ihres Unternehmens zu generieren, die eine einheitliche Sicht auf das aktuelle und künftige Geschäft realisieren soll. Diverse Drittanbieter-Tools lassen sich außerdem mit der Plattform integrieren, darunter etwa von Microsoft, Flexera, ManageEngine oder ServiceNow.

Wichtigste Use Cases:

• Stakeholder-Management;

• Enterprise-Landschaften visualisieren;

• Entscheidungsfindung und Datenanalyse automatisieren.

Planview Enterprise One

Planview bietet eine ganze Reihe von Produkten, mit denen Unternehmen Teamwork, Prozesse und die Enterprise Architecture nachvollziehen können. Die Enterprise Tools sind in drei Kategorien unterteilt: strategisches Portfolio-Management, Produktportfolio-Management und Projektportfolio-Management. Im Zusammenspiel entstehen hardware- und Software-übergreifende Layer, die rollenbasierte Perspektiven für Führungskräfte und Teammitglieder eröffnen. Das Toolset integriert mit gängigen Ticket-Tracking-Systemen wie Jira, um Workflow-Analysen und Reports zu erstellen. Inzwischen hat Planview nach einer Übernahme neue Tools in sein Portfolio integriert, die früher unter den Namen Daptiv, Barometer und Projectplace bekannt waren.

Wichtigste Use Cases:

• eine langfristige, strategische Vision für die Architekturentwicklung aufbauen;

• Entwicklungsarbeit auf Projektebene tracken und in eine beliebige Strategie integrieren;

• mit Fokus auf die Customer Experience und die Produktstruktur den Change vorantreiben.

QualiWare Enterprise Architecture

Das Enterprise Architecture Tool von QualiWare ist Teil einer größeren Sammlung von Modellierungswerkzeugen, die darauf abzielt, sämtliche Geschäftsprozesse zu erfassen. Beispielsweise ist es möglich, einen digitalen Zwillinge zu bauen, mit dem sich Customer Journeys nachvollziehen lassen. Qualiware hat diverse KI-Algorithmen integriert, um Dokumentation und Process Discovery zu optimieren.

Wichtigste Use Cases:

• ein kollaboratives Ökosystem für Business Manager aufbauen, das ein Verständnis von der Enterprise Architecture vermittelt;

• architektonische Designelemente erfassen, um ein Wissens-Ökosystem rund um den Stack aufzubauen;

• eine breite Beteiligung in Sachen Dokumentationserstellung und -überprüfung fördern.

Quest Erwin Evolve

Das Erwin Evolve Tool von Quest hat sich von einem Datenmodellierungs-Tool zu einem System für Enterprise-Architecture- und Geschäftsprozess-Modellierung weiterentwickelt. Um die Komplexität moderner, ineinandergreifender Softwaresysteme und der von ihnen gemanagten Geschäftsprozesse zu durchdringen, können Anwender auf benutzerdefinierte Datenstrukturen zurückgreifen. Das Web-Tool erstellt Modelle, rollenbasierte Diagramme und andere Visualisierungen, die in allgemein zugängliche Dashboards einfließen. Zum Paket gehört ein KI-basiertes Modellierungs-Tool, das Whiteboard-Skizzen integrieren kann.

Wichtigste Use Cases:

• einen digitalen Zwilling für die strategische Modellierung der Enterprise Data Architecture erstellen;

• Customer Journeys verstehen;

• Services und Systeme mit Application Portfolio Management tracken.

SAP LeanIX Enterprise Architecture Suite

Die Tool-Sammlung von LeanIX umfasst unter anderem Enterprise Architecture Management und andere Bereiche, die für Aufgaben wie SaaS– und Value-Stream-Management wichtig sind – etwa um Cloud-Deployments und darauf laufende Services zu tracken. Die Daten die dabei über die IT-Infrastruktur gesammelt werden, fließen in ein grafisches Dashboard ein. Das Tool ist eng mit wichtigen Cloud-Workflow-Tools wie Confluence, Jira, Signavio und Lucidchart integriert. Das ist für Teams von Vorteil, die diese Tools bereits nutzen, um ihre Entwicklungsstrategien zu planen und umzusetzen. Seit November 2023 ist LeanIX Teil von SAP.

Wichtigste Use Cases:

• Anwendungsmodernisierung und Cloud-Migration managen;

• Obsoleszenz von Software-Services evaluieren;

• Kosten kontrollieren und managen.

ServiceNow

Die Tool-Sammlung von ServiceNow lässt sich auf verschiedene Architekturtypen herunterbrechen, darunter Assets, DevOps, Security und Service. Die Tools katalogisieren die unterschiedlichen Hardware- und Softwareplattformen, um Workflows und Datenflüsse im Unternehmen abzubilden und zu verstehen. Ausführliche Reportings und detaillierte Dashboards ermöglichen Analysen, auf deren Grundlage Risiken minimiert und die Ausfallsicherheit der Systeme erhöht werden können.

Wichtigste Use Cases:

• Tracken von Assets, Services und Systemen, die das Unternehmen ausmachen;

• Governance-Themen, Risikobegrenzung, IT-Management und Security Operations werden in einer Plattform zusammengeführt;

• durch die Integration von CRM-Tools lassen sich auch kundenorientierte Services managen.

Sparx Systems

Um Teams und Projekte verschiedener Größe und Komplexität zu unterstützen, hat Sparx vier Versionen seines EA-Tools entwickelt. Allen gemeinsam ist eine UML-basierte Modellierung, mit der sich die Komponenten komplexer Systeme tracken lassen. Eine Simulations-Engine ermöglicht “War Gaming” und vermittelt ein Verständnis darüber, wie sich Fehler ausbreiten und kaskadieren können. Sparx stellt zudem eine Vielzahl von vorgefertigten Design Patterns bereit, um Teams bei der Modellierung zu unterstützen.

Wichtigste Use Cases:

• Nachfrage- und Lastveränderungen zur Prognose künftiger Anforderungen simulieren;

• (potenzielle) Probleme durch eine Verbindungs-Matrix im Auge behalten;

• Dokumentation erstellen.

Unicom System Architect

System Architect ist eines der Angebote aus Unicoms Team Blue. Es handelt sich um ein Tool, das ein Metamodell verwendet, um automatisiert so viele Daten wie möglich über die laufenden Systeme zu sammeln – manchmal auch durch ein Reverse Engineering von Datenflüssen. Dieses systemweite Datenmodell kann über benutzerdefinierte Dashboards Teammitgliedern aller Rollen zugänglich gemacht werden. Ein weiteres erwähnenswertes Feature: Die Ressourcenzuweisung lässt sich mit Hilfe von Simulationen optimieren.

Wichtigste Use Cases:

• Was-wäre-wenn-Fragen zum Architekturmodell stellen;

• ein Metamodell von Daten und Systemen aufbauen;

• Migrations- und Transformationspläne erstellen.

ValueBlue BlueDolphin

Dieses EA-Tool sammelt Daten auf dreierlei Art:

1. Es importiert Basisdaten auf der Grundlage standardgesteuerter Automatisierung (ITSM, SAM).

2. Es arbeitet mit den Dateiformaten von Architekten und Systemdesignern – etwa ArchiMate oder BPMN.

3. Es gibt Fragebögen an andere Stakeholder heraus, die auf anpassbaren Vorlagen basieren.

Die aufbereiteten Informationen werden in einer visuellen Umgebung bereitgestellt, die Auskunft über die historische Entwicklung von Systemen gibt.

Wichtigste Use Cases:

• systemweite Daten von internen und externen Stakeholdern automatisiert und formularbasiert erfassen;

• zukunftsorientierte Reportings erzeugen, um den Change zu überwachen und voranzutreiben;

• Kooperation und Zusammenarbeit durch offenes Data Reporting fördern.

(fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation CIO.com erschienen.

Auf einen Blick

Pro

• Wunderschönes, schlankes Design
• Große, helle Displays
• Hervorragende Kameras
• Coole Software-Funktionen

Kontra

• Hoher Preis
• MagicOS kann gelegentlich frustrierend sein

Fazit

Das Honor Magic V6 ist ein Falt-Smartphone, das einfach alles kann. Es ist schlank, robust, leistungsstark und sieht gut aus. Die Kameras gehören zu den besten, die Software bietet einige raffinierte Funktionen und die Akkulaufzeit ist außergewöhnlich. Besitzer eines Magic V5 werden wahrscheinlich kaum einen Grund für ein Upgrade sehen, aber für alle anderen ist es eine gute Wahl – sofern Sie es sich leisten können.

Das Honor Magic V6 wurde ursprünglich bereits im März in China vorgestellt, doch es dauerte eine Weile, bis es den Weg nach Europa fand. Nun ist es endlich in Europa erhältlich und strebt den Titel des bislang besten Falt-Smartphones an.

Leider ist die Konkurrenz für Honor stärker denn je, und sie wird noch härter werden, sobald Apples seit Langem gemunkeltes Foldable auf den Markt kommt. Bietet dieses schlanke Kraftpaket genug, um weiterhin überzeugend zu bleiben?

Es sieht auf jeden Fall vielversprechend aus, verfügt über einen der größten Akkus aller jemals erschienenen Falt-Smartphones, ist das erste mit IP69-Zertifizierung und gehört dennoch zu den dünnsten Modellen. Das ist schon mal ein guter Anfang. Ich habe es in den vergangenen Wochen auf Herz und Nieren geprüft, und hier ist mein Fazit.

Design & Verarbeitung

• Aluminiumrahmen, Rückseite aus Verbundfasermaterial
• 219 g, NanoCrystal Shield-Glas
• IP69-zertifiziert

Das Honor Magic V6 sieht dem Magic V5 sehr ähnlich, wobei der auffälligste Unterschied in der Form des Kamerarahmens liegt. Dieser ist nun kantiger und weist eine achteckige Form auf. Auch neue Farbvarianten tragen dazu bei, es von der Vorgängergeneration abzugrenzen.

Die rote Version ist wahrscheinlich die auffälligste; sie verfügt über eine tiefrote, fast blutrote Rückseite mit strukturierter Oberfläche. Ich besitze die goldene Version, die ebenfalls sehr auffällig ist. Freunde haben bemerkt, dass es wie ein Smartphone aussieht, das ein saudischer Prinz oder Kim Kardashian benutzen würde.

Die Farbe schimmert leicht, wenn Licht darauf fällt; sowohl am Scharnier als auch auf der Rückseite ist ein dezentes, sich wiederholendes Dreiecksmuster zu erkennen, und es bleibt irgendwie frei von Fingerabdrücken, obwohl es ziemlich glänzend ist. Das sieht wirklich cool aus. Auch die mitgelieferte Hülle ist von höchster Qualität, mit einem cremefarbenen Kunstlederbezug und einem roségoldenen Kamerarahmen, der gleichzeitig als ausklappbarer Ständer dient.

Wenn Sie etwas suchen, das etwas weniger Aufmerksamkeit auf sich zieht, gibt es natürlich auch traditionellere Modelle in Schwarz und Weiß. Letzteres hat zudem einen versteckten Vorteil: Mit nur 8,75 Millimetern im geschlossenen Zustand ist es das dünnste Modell der Reihe, und Honor geht davon aus, dass es derzeit das dünnste Falt-Smartphone auf dem Markt ist.

Ich habe das weiße Modell nicht ausprobiert, und vielleicht ist es tatsächlich spürbar schlanker, aber meiner Meinung nach sieht die goldene Version definitiv etwas dicker aus und fühlt sich auch so wie mein 8,9 Millimeter dickes Galaxy Z Fold 7 an.

Das ist allerdings Haarspalterei, denn dieses Smartphone ist immer noch dünner als viele Flaggschiff-Smartphones im Barrenformat. Ob es nun das dünnste ist oder nicht – es ist auf jeden Fall dünn genug, um sich in der Hosentasche angenehm anzufühlen.

Erwähnenswert ist auch, dass das Cover-Display nun flach ist und eine symmetrischere Form aufweist. Dadurch sieht das Smartphone im zusammengeklappten Zustand noch mehr wie ein herkömmliches Barren-Handy aus, doch die unvermeidliche, eckige Kante am Scharnier verrät es ein wenig.

So wichtig die Abmessungen eines Klapphandys auch sind, ebenso entscheidend ist die Robustheit. Und glücklicherweise ist das Honor Magic V6 robust wie ein Panzer gebaut.

Es verfügt über die Schutzklasse IP69 – die höchste aller faltbaren Smartphones. Das bedeutet, dass es praktisch staubdicht ist und sowohl das Eintauchen in Süßwasser als auch den Strahl von heißem Wasser problemlos aushält. Die Technologie der faltbaren Smartphones hat große Fortschritte gemacht.

Es ist zudem besonders robust konstruiert, mit kratzfestem „NanoCrystal Shield“-Glas auf der Vorderseite und einem „Super Steel“-Scharnier, das die Stoßfestigkeit verbessert.

SGS-Zertifizierungen untermauern diese Angaben ebenfalls, da das Smartphone für seine Fallfestigkeit mit 5 Sternen ausgezeichnet wurde. Ich habe mein Testgerät nicht allzu grob behandelt, aber es ist beruhigend zu wissen, dass es unversehrt bleiben dürfte, sollte mir einmal ein Ausrutscher unterlaufen.

Bildschirm & Lautsprecher

• Außen: 6,52 Zoll, 1.080 x 2.420, OLED, 120 Hertz
• Innen: 7,95 Zoll, 2.172 × 2.352, OLED, 120 Hertz
• Stereolautsprecher

Bei Falt-Smartphones dreht sich alles um den Bildschirm. Beginnen wir also mit dem Star der Show: dem inneren Display. Mit einer Diagonale von knapp unter 8 Zoll gehört es zu den größten Falt-Smartphones im Buchformat auf dem Markt.

Es ist nahezu perfekt quadratisch, was sich hervorragend für die parallele Nutzung zweier Apps eignet.

Dieses flexible Display verfügt über eine Bildwiederholfrequenz von 120 Hertz und erreicht eine beeindruckende Spitzenhelligkeit von 5.000 Nits. Solche Helligkeitsangaben sollten Sie zwar stets mit einer gehörigen Portion Skepsis betrachten, doch unabhängig davon handelt es sich um ein sehr helles Display, das auch im Freien gut ablesbar ist.

Der innere Bildschirm ist mit einer glänzenden Schutzfolie versehen (wenn auch mit einer Antireflexbeschichtung), was sowohl Vor- als auch Nachteile mit sich bringt. Wie ich bereits in anderen Testberichten zu Falt-Smartphones erwähnt habe, kaschieren mattierte Schutzfolien die Falz zwar besser, ziehen aber auch Fingerabdrücke an. Diese hier verschmiert nicht so leicht, doch trotz aller Bemühungen von Honor treten entlang der Falz einige unerwünschte Reflexionen auf.

Apropos: Die Falz ist bewundernswert flach, und noch vor nicht allzu langer Zeit wäre sie die beste gewesen, die mir je begegnet wäre. Allerdings nutze ich das Oppo Find N6 seit seiner Markteinführung fast täglich, und leider kann dieses Modell da nicht ganz mithalten.

Es ist dennoch äußerst beeindruckend und um Längen besser als das Pixel 10 Pro Fold. Auch im Vergleich zum Galaxy Z Fold 7 fällt die Falz etwas weniger auf.

Was das Außendisplay betrifft, so ist es fast nicht von dem Bildschirm eines Flaggschiff-Handys im Barren-Format zu unterscheiden, abgesehen davon, dass es ganz leicht schmaler ist als üblich. Es verfügt über schöne, schmale Einfassungen an allen Seiten, eine flinke Bildwiederholfrequenz von 120 Hertz und eine noch höhere Spitzenhelligkeit von 6.000 Nits.

Wie bereits bei den letzten Generationen der faltbaren Honor-Modelle gibt es keine nennenswerten Nachteile bei der Nutzung des zusammengeklappten Telefons; es fühlt sich einfach wie ein normales Smartphone an. Wenn Sie dann einen größeren Bildschirm für Ihre Inhalte, Spiele oder Multitasking benötigen, klappen Sie es einfach auf.

Wie üblich hat Honor einiges in Funktionen zum Augenschutz investiert, und beide Bildschirme unterstützen eine PWM-Dimmung mit 4.320 Hertz. Das werden Sie besonders zu schätzen wissen, wenn Sie empfindlich auf Flackern reagieren. Beide Bildschirme unterstützen zudem die Eingabe per Stylus, allerdings hatte ich leider keinen Honor-Stylus zur Hand, um dies auszuprobieren.

Die luxuriösen Displays werden durch ein ordentliches Lautsprecherset ergänzt. Das Stereopaar erzeugt eine schöne, breite Klangbühne, kann mehr als laut genug werden und bietet eine ordentliche Basswiedergabe. Sie können zwar nicht mit den bassbetonten Lautsprechern des Magic 8 Pro mithalten, aber bei einem so schlanken Gehäuse sind die Möglichkeiten nun einmal begrenzt.

Technische Daten & Leistung

• Qualcomm Snapdragon 8 Elite Gen 5
• 16 GB RAM
• 512 GB Speicher

Das Magic V6 verfügt über den leistungsstärksten Chip von Qualcomm, den Snapdragon 8 Elite Gen 5, und das globale Modell ist mit 16 GB RAM und 512 GB Speicher ausgestattet. Bei einem so schlanken Falt-Smartphone stellt die Wärmeableitung stets eine Herausforderung dar, doch Honor hat hier eine großzügig dimensionierte Vapor-Chamber verbaut, um eine optimale Leistung zu gewährleisten.

Das V6 hat meine täglichen Leistungsanforderungen problemlos erfüllt. Bei einem Falt-Smartphone habe ich oft drei Apps gleichzeitig geöffnet, wechsle zwischen ihnen hin und her und spiele häufig gleichzeitig Musik ab oder streame Videos. Selbst dann kam das Smartphone kaum ins Schwitzen.

Man muss schon ein ziemlich anspruchsvolles Spiel starten, um dieses Smartphone ein wenig ins Schwitzen zu bringen, und wie es der Zufall so will, bin ich ziemlich süchtig nach NTE: Neverness to Everness (ein Open-World-Spiel mit atemberaubender Grafik und einer riesigen Stadtkarte, mit deren Darstellung die meisten Smartphones zu kämpfen haben). Doch das Magic V6 hatte damit kaum Probleme.

Das Spiel lief bei der Grafikvoreinstellung „Extreme“ flüssig mit 60 FPS, und obwohl es sich ziemlich stark erwärmte – insbesondere im Bereich der Kamera –, schien die Leistung darunter nicht zu leiden. Die beste Erfahrung machte ich mit einem GameSir-Clamp-Controller, der die Wärme von meinen Handflächen fernhielt.

Honor Magic V6 – Benchmark-Ergebnisse

Was die Benchmark-Ergebnisse angeht, wird es recht interessant. Während die meisten Ergebnisse hervorragend waren, hatte das Smartphone erhebliche Schwierigkeiten, den 3DMark Wildlife Extreme Stress Test abzuschließen. Normalerweise führe ich diesen Test bei aufgeklapptem Smartphone durch, doch es überhitzte sich und brach den Benchmark jedes Mal ab, wenn ich es versuchte.

Zugegebenermaßen war es in letzter Zeit recht warm, doch so etwas ist mir bisher noch nie passiert. Bei der Durchführung des Tests auf dem Cover-Display konnte es den Test mit einem ordentlichen Ergebnis abschließen, auf dem klappbaren Bildschirm war dies jedoch nicht möglich. Im alltäglichen Gebrauch hatte ich jedoch nie derartige Probleme.

Kameras

• 50-MP-Hauptkamera mit f/1,6
• 64 MP, f/2,5, 3-fach-Tele
• 50 MP, f/2,2 Ultraweitwinkel
• 20 MP, f/2,2 Selfie-Kamera

Das Honor Magic V6 verfügt über dieselbe Kamera-Hardware wie die Vorgängergeneration, was bedeutet, dass es keine nennenswerten Neuerungen gibt.

Allerdings verfügte das V5 bereits über eine der beeindruckendsten Kameraausstattungen unter allen faltbaren Smartphones, und die Konkurrenz hat sich in dieser Hinsicht nicht sonderlich ins Zeug gelegt – daher gehört es nach wie vor zu den Besten.

Auf der Rückseite befindet sich eine 50-MP-Hauptkamera mit einem Sensor von ansehnlicher Größe (1/1,56 Zoll) und einem lichtstarken f/1,6-Objektiv. Hinzu kommen eine 50-MP-Ultraweitwinkelkamera mit einem extrem weiten Sichtfeld (entspricht 13 mm) sowie ein ausgezeichnetes 64-MP-Teleobjektiv. Außerdem gibt es zwei 20-MP-Selfie-Kameras, von denen jeweils eine durch das jeweilige Display ragt.

Dies ist eine äußerst vielseitige Objektivausstattung, mit der Sie alles aufnehmen können – von weitläufigen Landschaften bis zu intimen Porträts. Wie üblich hat mir die Verwendung des Teleobjektivs am meisten Spaß gemacht, und dies könnte die beste Tele-Kamera sein, die jemals in einem faltbaren Smartphone verbaut wurde.

Es verfügt über einen recht großen 1/2-Zoll-Sensor und kann aus sehr kurzer Entfernung fokussieren. Ihr Motiv muss sich lediglich etwa 20 Zentimeter vom Objektiv entfernt befinden, und in Kombination mit der Brennweite von 70 mm (äquivalent) entsteht so eine schöne perspektivische Kompression und ein natürliches Bokeh.

Natürlich können Sie mit einem digitalen Ausschnitt noch weiter zoomen, und die Kamera-App ermöglicht Ihnen auf Wunsch eine bis zu 100-fache Vergrößerung. Bei einer Vergrößerung von mehr als 10-fach können Sie generative KI nutzen, um die Bilder zu bereinigen, doch auch ohne diese Funktion erhalten Sie bereits bei etwa 20-facher Vergrößerung brauchbare Bilder.

Ich habe bereits erwähnt, wie weitwinklig das Ultraweitwinkelobjektiv ist, und das gefällt mir besonders gut daran; ansonsten ist es jedoch im Vergleich zu den anderen Objektiven definitiv ein Qualitätsverlust.

Nachts ist es zudem am wenigsten überzeugend, da Bewegungsunschärfe dort nur schwer zu bewältigen ist. Bei den richtigen Lichtverhältnissen ist es jedoch zu wirklich beeindruckenden Aufnahmen fähig.

Die Hauptkamera ist wie immer die zuverlässigste des Trios. Dank des größeren Sensors schneidet sie bei schlechten Lichtverhältnissen am besten ab und liefert tagsüber etwas schärfere Bilder als die anderen Kameras.

Die Selfie-Kameras sind nichts Besonderes. Sie erfüllen ihren Zweck und eignen sich für Zoom-Anrufe, doch wenn man auf der Rückseite so beeindruckende Kameras hat, lohnt es sich wirklich, das Smartphone umzudrehen und den Bildschirm auf der Rückseite zu nutzen, um wirklich beeindruckende Fotos zu machen.

Die Bildverarbeitung von Honor kann etwas unbeständig sein, aber ich habe den Eindruck, dass sie immer konsistenter wird, und wenn sie funktioniert, lassen sich wirklich atemberaubende Bilder erzielen.

Mein größter Kritikpunkt ist die Bewegungsunschärfe im Porträtmodus. Ich bin mir nicht sicher, woran es liegt, aber ich erhalte viele unscharfe Aufnahmen, wenn die künstliche Hintergrundunschärfe aktiviert ist – selbst bei guten Lichtverhältnissen.

Ansonsten bin ich mit den Bildern, die ich mit dem Magic V6 aufgenommen habe, sehr zufrieden. Die Harcourt-Porträtmodi sind so beeindruckend wie eh und je, und mit den übrigen Filtern lässt sich der Look Ihrer Fotos ziemlich drastisch verändern. Besonders gut gefällt mir der Filter „Nostalgic Negative“, der einen schönen, kontrastreichen Cross-Entwicklungs-Look mit blauen Schatten erzeugt.

Was die Videoaufnahmen angeht, ist das Angebot etwas weniger umfangreich. Das soll nicht heißen, dass es schlecht ist, aber nachdem ich viel Zeit mit dem Oppo Find N6 verbracht habe, habe ich mich an ein ordentliches Log-Profil, 4K-120-Aufnahmen und Dolby Vision gewöhnt. Nichts davon ist hier vorhanden. Es gibt zwar ein Log-Profil, dieses funktioniert jedoch nur mit dem Hauptsensor und erzeugt ungewöhnlich körnige Schatten.

Wenn Sie jedoch keine ganz so professionellen Ansprüche haben, werden Sie mit der Videoleistung wahrscheinlich sehr zufrieden sein. Sie können mit jeder Kamera bis zu 4K bei 60 FPS aufnehmen, mit Ausnahme der Selfie-Kamera, die maximal 4K bei 30 FPS erreicht. Die Bildstabilisierung ist gut, und auch die Mikrofone sind ordentlich.

Akkulaufzeit & Aufladen

• 6.660-mAh-Akku
• 80-Watt-Laden über Kabel
• 66 Watt kabelloses Laden

Das Honor Magic V6 verfügt über den größten Akku aller faltbaren Smartphones, die ich bisher getestet habe. Irgendwie ist es Honor gelungen, einen 6660-mAh-Akku in dieses hauchdünne Gehäuse zu integrieren. Samsun wird hoffentlich davon lernen.

Diese Kapazität verblasst zwar im Vergleich zur chinesischen 1-TB-Version dieses Smartphones, die über einen erstaunlichen 7.150-mAh-Akku verfügt, doch wie wir in letzter Zeit oft gesehen haben, bedeuten die EU-Vorschriften, dass wir im Westen keinen ganz so massiven Akku erhalten können.

Das spielt jedoch keine allzu große Rolle, denn dieser Akku ist mehr als gut genug. Obwohl ich den großen internen Bildschirm häufig nutzte und unzählige Fotos machte, reichte die Akkulaufzeit dieses Smartphones während des Großteils meiner Tests für eineinhalb Tage. Natürlich verkürzt intensives Gaming die Laufzeit etwas, aber Sie werden das Gerät selten, wenn überhaupt, vor dem Schlafengehen aufladen müssen.

Auch das Aufladen erfolgt schnell, vorausgesetzt, Sie verfügen über ein ausreichend leistungsstarkes Netzteil (im Lieferumfang ist lediglich ein USB-C-Kabel enthalten), um die 80-Watt-Geschwindigkeit nutzen zu können. Ich konnte das Gerät in nur einer halben Stunde von leer auf fast 70 Prozent aufladen; mehr kann man sich kaum wünschen.

Wenn Sie kabelloses Laden bevorzugen, ist dies ohne nennenswerte Einbußen bei der Geschwindigkeit möglich. Das Honor Magic V6 lässt sich mit einem offiziellen kabellosen Ladepad von Honor mit bis zu 66 Watt aufladen.

Software & Apps

• MagicOS 10, basierend auf Android 16
• Zahlreiche KI-Funktionen
• Kompatibilität mit dem Apple-Ökosystem

Auf dem Magic V6 läuft MagicOS 10, Honors eigene Variante von Android 16. Es handelt sich im Wesentlichen um dieselbe Software, die wir bereits von den letzten Honor-Flaggschiffmodellen kennen. Wenn Sie also bereits eines dieser Modelle ausprobiert haben, werden Sie kaum Überraschungen erleben.

Die Software von Honor kann die Meinungen spalten. Sie weicht ziemlich stark vom typischen Android-Erlebnis ab; stattdessen erinnert sie zunehmend an iOS. Ob das nun gut ist oder nicht, hängt ganz von Ihren Vorlieben ab.

Allerdings lässt sich die Benutzeroberfläche extrem gut anpassen – wenn Ihnen also das Design oder das Layout einer Funktion nicht gefällt, können Sie es höchstwahrscheinlich ändern.

Insgesamt gefällt sie mir recht gut. Sie wirkt schnell und reaktionsfreudig, sieht standardmäßig ansprechend aus und bietet zahlreiche Werkzeuge zur weiteren Anpassung. Wie bereits erwähnt, gibt es zahlreiche Anlehnungen an iOS, darunter einige „Liquid Glass“-ähnliche Elemente, einen „Dynamic Island“-Klon, geteilte Benachrichtigungen/Schnelleinstellungen sowie die Möglichkeit, die App-Übersicht zu deaktivieren.

Das sind zwar nicht die originellsten Entscheidungen, aber sie funktionieren gut, und die meisten sind vollkommen optional.

Honor bietet Ihnen eine Vielzahl von KI-Funktionen, darunter die üblichen Tools für Transkription, Übersetzung und Zusammenfassung sowie einige sehr fortschrittliche Funktionen zur Fotobearbeitung.

Auch das Multitasking ist hervorragend. Sie können Apps im Split-View nebeneinander anzeigen und dann eine dritte hinzufügen, die nur am Rand des Bildschirms hervorblitzt und bei Bedarf sofort einsatzbereit ist. Oder, wenn Sie es vorziehen, können Sie schwebende Fenster nutzen und so noch mehr Inhalte gleichzeitig auf dem Bildschirm anzeigen.

Am spannendsten finde ich jedoch die Art und Weise, wie sich das Magic V6 in Apple-Produkte integrieren lässt. Insbesondere, wie gut es mit meinem Macbook zusammenarbeitet. Wenn Sie die Honor Workstation-App aus dem Mac App Store installieren, können Sie Dateien austauschen, zwischen Geräten kopieren und einfügen, Ihr Smartphone fernsteuern und das V6 sogar als drahtlosen zweiten Bildschirm nutzen.

Doch damit ist der Spaß noch lange nicht vorbei. Das Honor Magic V6 kann auch nativ Dateien in Ihrem iCloud-Konto durchsuchen und verwalten, und mit Honor Connect können Sie Dateien auch per AirDrop zu und von iPhones übertragen. Das ist großartig, wenn Sie ständig zwischen verschiedenen Ökosystemen hin- und herwechseln (wie ich es oft tue).

Insgesamt ist es also ein solides Software-Erlebnis, das jedoch nicht ganz ohne Nachteile ist. Meine größte Kritik an Honor-Smartphones ist seit einigen Jahren unberücksichtigt geblieben. Das Akkumanagement ist extrem aggressiv und beendet standardmäßig Hintergrund-Apps mit rücksichtsloser Härte.

Das bedeutet, dass Sie häufig unter stark verzögerten Benachrichtigungen leiden, bis Sie einige Einstellungen anpassen und sicherstellen, dass diese Apps geöffnet bleiben.

Das lässt sich zwar leicht beheben, und ich kann die Logik dahinter nachvollziehen – schließlich bieten Honor-Smartphones stets eine hervorragende Akkulaufzeit –, doch es ist äußerst ärgerlich, und ich würde mich sehr freuen, wenn dieses Problem behoben würde.

Honor verspricht sieben Jahre lang Software-Updates und Sicherheitspatches für seine Flaggschiff-Geräte und liegt damit auf einer Stufe mit Samsung und Apple. Viel besser geht es kaum, auch wenn Sie möglicherweise eine Weile auf das auf Android 17 basierende MagicOS 11 warten müssen.

Preis & Verfügbarkeit

Das Honor Magic V6 kann ab sofort in Deutschland und den meisten anderen Ländern der Welt bestellt werden, wobei die USA wie üblich ausgeschlossen sind. Hierzulande liegt der Preis bei stolzen 2.299 Euro, wobei es bis zum 31. Juli noch einen Rabatt von 600 Euro gibt (Endpreis: 1.699,90 Euro).

Als besonderes Einführungsangebot legt Honor auch eine Reihe kostenloser Extras wie ein Tablet, einen Stift und ein Set Earbuds bei. Das macht eine Beurteilung des Preises ziemlich schwierig. Auf dem Papier ist das Magic V6 deutlich teurer als das V5, das im vergangenen Jahr für 1.999 Euro auf den Markt kam. Und das schmerzt, insbesondere wenn man bedenkt, dass es seinem Vorgänger so ähnlich ist. Mit dem Rabatt ist es jedoch günstiger.

Preislich bewegt es sich trotzdem noch in einem ähnlichen Rahmen wie viele andere Falt-Smartphones, die wir getestet haben. Darunter das Motorola Razr Fold, das Samsung Galaxy Z Fold 7 und das Google Pixel 10 Pro Fold.

Sollten Sie das Honor Magic V6 kaufen?

Das Magic V6 ist zweifellos eines der attraktivsten faltbaren Smartphones, die derzeit auf dem Markt erhältlich sind. Die Hardware ist hervorragend, die Bildschirme sind beeindruckend, es ist leistungsstark und die Kameras sind erstklassig. Wenn Sie ein faltbares Smartphone mit großem Bildschirm suchen, aber bei den Kameras keine allzu großen Abstriche machen möchten, ist dies eine hervorragende Wahl.

Allerdings könnten versierte Käufer sich für das Vorjahresmodell entscheiden und für deutlich weniger Geld ein sehr ähnliches Gesamterlebnis erhalten. Es ist nach wie vor extrem leistungsstark und verfügt über dieselben Kameras. Es wird jedoch nicht ewig vorrätig sein.

Man sollte auch bedenken, dass das Galaxy Z Fold 8 und das Z Fold 8 Ultra voraussichtlich im Juli 2026 erscheinen werden, während Apples lang erwartetes faltbares iPhone wahrscheinlich im September vorgestellt wird. Ich persönlich würde mir daher erst einmal ansehen, was diese Modelle zu bieten haben, bevor ich den Sprung wage.

Wenn Sie nicht warten können, ist das Honor Magic V6 eine hervorragende Wahl und wird dies wahrscheinlich auch bleiben. Ich kann mir nicht vorstellen, dass Samsung die Akkukapazität übertreffen wird, und ich bezweifle sehr, dass es in puncto Kameraleistung übertroffen wird. Abgesehen von ein paar kleinen Software-Mängeln ist es ein brillantes Smartphone.

Technische Daten

• MagicOS 10, basierend auf Android 16
• Außen: 6,52 Zoll, 1.080 x 2.420, OLED, 120 Hz
• Innen: 7,95 Zoll, 2172 × 2352, OLED, 120 Hz
• Fingerabdrucksensor im Ein-/Aus-Schalter
• Qualcomm Snapdragon 8 Elite Gen 5
• 16 GB RAM
• 512 GB Speicher
• Kamera:
• 50 MP, f/1,6 Hauptkamera
• 64 MP, f/2,5, 3-fach-Teleobjektiv
• 50 MP, f/2,2 Ultraweitwinkel
• Doppelte 20-MP-Selfie-Kamera mit f/2,2
• Videoaufnahmen mit bis zu 4K bei 60 fps (Rückkamera)
• Stereolautsprecher
• Dual-SIM
• WLAN 802.11 a/b/g/n/ac/6e/7
• Bluetooth 6.0
• 6660-mAh-Akku
• 80-W-Laden über Kabel
• 66 W kabelloses Laden
• 156,7 × 74,5 × 8,8 mm (zusammengeklappt)
• IP69-zertifiziert
• 219 g
• Farben: Gold, Rot, Weiß, Schwarz

(PC-Welt)

Die Debatte über (generative) künstliche Intelligenz (KI) fokussiert sich meist auf die Produktivität des Einzelnen – und die Zahlen hierzu sind bemerkenswert. So zeigte ein großangelegtes Feldexperiment der Harvard Business School in Zusammenarbeit mit der Boston Consulting Group, dass der Einsatz generativer KI bei Wissensaufgaben sowohl die Ergebnisqualität als auch die Bearbeitungsgeschwindigkeit signifikant verbessert. Dabei ist der Nivellierungseffekt besonders beachtlich:

• Während erfahrene Fachkräfte ihre Leistung um rund 17 Prozent steigerten,
• lagen die Verbesserungen bei den schwächeren Teilnehmern bei über 40 Prozent.

Diese individuellen Produktivitätsgewinne übertragen sich jedoch nicht automatisch in gleichem Maße auf die Organisationsebene. Unternehmen schaffen nicht bloß durch die isolierte Performance Einzelner Wert, sondern vor allem durch die Fähigkeit, Wissen zu bündeln, komplexe Entscheidungen zu treffen und gemeinsam Innovationen hervorzubringen.

Wenn jedes Teammitglied zunehmend mit seinem eigenen KI-Assistenten interagiert, kann dies die Kernmechanismen erfolgreicher Zusammenarbeit beeinträchtigen. Die entscheidende Herausforderung besteht somit darin, den Zuwachs an individueller Produktivität in eine echte organisatorische Leistungssteigerung zu übersetzen.

3 Produktivitäts-Bruchstellen im KI-Zeitalter

Ob aus temporären Effizienzgewinnen nachhaltige Wettbewerbsvorteile entstehen, hängt deshalb maßgeblich davon ab, wie Führungskräfte die folgenden drei Bruchstellen gestalten, die aufeinander aufbauen. Diese repräsentieren jene organisatorischen Übergänge, an denen individuelle Produktivitätsgewinne durch KI in kollektive Leistungsnachteile umschlagen können – wenn sie nicht aktiv gestaltet werden.

1. Bruchstelle: Wissenssicherung

Der Weg zur Seniorität folgte lange einer stabilen Logik: Operative Erfahrung führte zu Expertise, diese wiederum zu Einfluss. Wer über mehr Wissen verfügte, übernahm komplexere Aufgaben und wurde zur zentralen Orientierungsperson im Team. Generative KI bricht diese Logik auf, da weniger erfahrene Mitarbeitende mithilfe von KI-Tools heute Analysen, Konzepte und Problemlösungen in hoher Qualität erstellen können. Ein Teil des traditionellen Wissensvorsprungs erfahrener Kräfte verliert dadurch seine Exklusivität.

Auf diese Weise gerät ein impliziter Erfolgsfaktor von Organisationen ins Wanken: der organische Wissenstransfer. Bislang floss Wissen primär über erfahrene Kräfte, was Mentoring und kollektives Lernen quasi „nebenbei“ sicherstellte. Fällt dieser Austausch weg, weil Aufgaben isoliert im Dialog mit der KI gelöst werden, besteht das Risiko eines doppelten Kompetenzverlusts:

• Beschäftigte in Junior-Rollen können mithilfe von KI überzeugende Ergebnisse liefern, ohne den zugrundeliegenden Lösungsweg vollständig verstehen zu müssen. Der Lerneffekt wird dadurch reduziert und die Fähigkeit zur eigenständigen Problemlösung sowie zur kritischen Validierung der KI-Ergebnisse eingeschränkt. Die Folge ist eine wachsende, unkritische Abhängigkeit von der Technologie.
• Erfahrene Fachkräfte laufen Gefahr, zur rein reaktiven Korrekturinstanz von KI-Ergebnissen zu werden. Ihre Erfahrung fließt dann nicht mehr aktiv in die Gestaltung ein, sondern beschränkt sich zunehmend auf die nachträgliche Qualitätskontrolle. Mögliche Folgen sind Motivationsverlust, mentaler Rückzug der Leistungsträger und der schleichende Verlust des in der Organisation vorhandenen Erfahrungswissens.

Um diesen doppelten Kompetenzverlust zu verhindern, müssen Führungskräfte den Rollenwandel der Seniorität aktiv gestalten. Künftig sollte sich diese nicht mehr primär über exklusives Fachwissen definieren, sondern über die Fähigkeit, die richtigen Fragen zu stellen, Zusammenhänge einzuordnen und Teams bei der kritischen Bewertung von KI-Ergebnissen anzuleiten. Diese Begleitung kann nicht erst im Rahmen der abschließenden Qualitätskontrolle erfolgen, sondern muss bereits während der Arbeit mit KI ansetzen.

Ziel ist es, Wissen, Erfahrungswerte und Kontext kontinuierlich zu vermitteln, die Urteilskraft der Junioren gezielt zu entwickeln und sie schrittweise zu einer eigenständigen Validierung und reflektierten Nutzung von KI-Ergebnissen zu befähigen.Gelingt dieser Rollenwandel nicht, können Teams zwar kurzfristig ihre individuelle Produktivität steigern, verlieren jedoch zunehmend das gemeinsame Verständnis für fachliche Zusammenhänge und den organisatorischen Kontext.

Die durch KI erzielten Produktivitätsgewinne können dann durch Fehlentscheidungen, steigenden Korrekturaufwand und einen schleichenden Qualitätsverlust auf Teamebene wieder aufgezehrt werden. Ohne die systematische Sicherung von Erfahrungswissen zu agieren, heißt, teure Fehler zu produzieren – nur deutlich schneller.

2. Bruchstelle: Qualitätssicherung

Die Herausforderung endet jedoch nicht bei der Wissenssicherung. Sie betrifft im nächsten Schritt auch die Art und Weise, wie Teams die Qualität ihrer Entscheidungen absichern, wenn ein wachsender Teil der Analyse-, Bewertungs- und Wissensarbeit durch KI unterstützt wird. Je mehr Vorarbeit KI übernimmt, desto stärker hängt die Qualität organisatorischer Entscheidungen davon ab, die generierten Ergebnisse kritisch zu überprüfen und einzuordnen.

Eine Besonderheit generativer KI besteht darin, dass ihre Leistungsfähigkeit keiner intuitiven Logik folgt. Die eingangs zitierte Studie beschreibt dieses Phänomen als „Jagged Technological Frontier“: KI-Systeme können bei bestimmten Aufgaben eine Performance auf Expertenniveau erreichen, während sie bei scheinbar ähnlichen Fragestellungen überraschend große Schwächen aufweisen. Die Grenzen dieser Leistungsfähigkeit sind jedoch nicht für jeden Nutzer ohne weiteres erkennbar.

Genau daraus entstehen neue Herausforderungen für Führungskräfte: Mit der Integration von KI in den Arbeitsalltag steigt das Risiko des sogenannten “Automation Bias” (PDF), also der Tendenz, algorithmischen Empfehlungen unkritisch zu vertrauen. Die Gefahr liegt dabei selten in offensichtlichen Fehlern, sondern in plausiblen (aber falschen) Antworten, die überzeugend formuliert sind und deshalb ungeprüft übernommen werden.

Zudem greift ein Beschleunigungseffekt: KI verkürzt den Weg von der Fragestellung bis zum Ergebnis erheblich und damit auch jene Diskussionen, mit denen Teams bislang die Qualität ihrer Entscheidungen abgesichert haben. Wo früher Analysen debattiert und Annahmen abgewogen wurden, liegt heute in Sekunden ein Resultat vor. Das eigentliche Risiko liegt dabei darin, dass Ergebnisse schneller entstehen als sie kritisch überprüft werden können. So ist es möglich, dass Produktivitätsgewinne mit einem Verlust an Ergebnisqualität einhergehen.

Führungskräfte sollten daher Strukturen schaffen, die den Einsatz von KI transparent gestalten und Ergebnisse offen zur Diskussion stellen. KI-generierte Inhalte müssen denselben kritischen Maßstäben unterworfen werden wie die Arbeit eines erfahrenen Teammitglieds. Dazu benötigen Teams Validierungskompetenz, eine Verantwortungskultur und etablierte Prüfprozesse. Die entscheidende Frage sollte daher nicht sein, ob ein Ergebnis vom Menschen oder der Maschine stammt. Sondern, wer dieses auf fachliche Korrektheit überprüft und die Verantwortung für die darauf basierende Entscheidung übernimmt.

KI steigert zwar die Geschwindigkeit – das wird jedoch erst dann zum echten Wettbewerbsvorteil, wenn es mit Urteilskraft und gelebter Accountability einhergeht.

3. Bruchstelle: Innovationssicherung

Wie zuvor beschrieben, kann der Einsatz generativer KI gemeinsame Diskussionen verkürzen, was wiederum die Innovationskraft des Unternehmens belasten kann. KI liefert dabei nicht nur einen ersten Lösungsvorschlag, sondern erhöht zugleich die Wahrscheinlichkeit, dass sich Teams früh auf eine gemeinsame Richtung festlegen. Echte Innovationen entstehen jedoch selten durch schnelle Einigkeit: Sie entstehen durch produktive Reibung, tiefgehende Debatten und dadurch, etablierte Denkmuster zu hinterfragen.

Ein wesentlicher psychologischer Mechanismus dieser frühen Konvergenz ist der sogenannte Ankereffekt: Da KI in Sekundenschnelle plausible Ergebnisse liefert, wirkt dieser erste Entwurf als kognitiver Anker. Das menschliche Gehirn orientiert sich somit unbewusst an diesem Startpunkt, was den Suchraum für alternative Lösungen vorzeitig verengt und so die Innovationsfähigkeit schwächen kann.

Führungskräfte stehen deshalb vor der zusätzlichen Aufgabe, produktiven Widerspruch bewusst zu organisieren. Kritische Rückfragen und konträre Sichtweisen sind das notwendige Gegengewicht zur KI-generierten Konvergenz. Und: Organisationen verlieren selten ihre Innovationskraft, weil ihnen Antworten fehlen. Vielmehr, weil sie aufhören, Alternativen ernsthaft zu diskutieren. Eine höhere Geschwindigkeit im Lösungsprozess führt daher nicht automatisch zu höherer Innovationsfähigkeit.

Entscheidend ist, dass Organisationen weiterhin Räume schaffen, in denen unterschiedliche Perspektiven aufeinandertreffen, bestehende Annahmen hinterfragt werden und neue Ideen entstehen können. Mit anderen Worten: KI erzeugt Konvergenz, Innovation braucht Divergenz.

KI schafft eine neue Realität

Diese drei Bruchstellen verdeutlichen, dass generative KI nicht nur Arbeitsprozesse, sondern auch die Grundlagen organisationaler Leistungsfähigkeit grundlegend verändern kann. Wissen entsteht anders, Entscheidungen werden anders getroffen und Innovation entwickelt sich unter veränderten Voraussetzungen.

Je stärker KI in den Arbeitsalltag integriert wird, desto entscheidender wird es, die genannten Bruchstellen bewusst zu gestalten. Der nachhaltige Nutzen von KI entsteht nicht allein durch den Einsatz der Technologie, sondern durch die Fähigkeit einer Organisation, ihre Strukturen, Lernprozesse und Entscheidungsmechanismen an diese neue Realität anzupassen. (fm)

Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!

Quantencomputer versprechen, einige der schwierigsten Rechenprobleme unserer Zeit zu lösen. Doch dabei ist es bereits eine Herausforderung, die Funktion eines Quantenrechners zu verstehen. Umso besser, dass Yuval Boger, CCO beim Quantum-Computing-Spezialisten QuEra, das für uns künftig einmal pro Monat übernimmt. Und zwar in etwas unkonventioneller, aber verständlicher und unterhaltsamer Form – mit Comics.

Mit seinem Comicbuch „Quantum Bits“ zeigt der Manager, dass sich selbst anspruchsvolle Physik mit Humor, alltäglichen Vergleichen und klarer Sprache verständlich vermitteln lässt. In Teil 1 dieser Serie widmet Boger sich der wohl berühmtesten Katze der Wissenschaft.

Die Katze, die Quantenmechanik erklärt

1935 entwickelte der österreichische Physiker Erwin Schrödinger ein Gedankenexperiment. Eine Katze sitzt in einer geschlossenen Box. Ebenfalls darin befinden sich ein radioaktives Atom, ein Detektor und ein Giftfläschchen. Zerfällt das Atom, löst der Detektor das Gift aus und die Katze stirbt. Zerfällt es nicht, bleibt sie am Leben.

Der Clou an der Sache: Der Zerfall eines einzelnen Atoms ist ein Quantenprozess. Solange niemand das Ergebnis misst, beschreibt die Quantenmechanik das Atom als Überlagerung verschiedener Möglichkeiten. Daraus entstand die bis heute populäre Vorstellung, Schrödingers Katze sei gleichzeitig lebendig und tot.

Genau das wollte Schrödinger jedoch nicht sagen. Im Gegenteil. Sein Gedankenexperiment sollte zeigen, wie befremdlich die Gesetze der Quantenmechanik wirken, wenn man sie auf unsere Alltagswelt überträgt. Für einzelne Atome bestätigt die Physik diese Regeln seit Jahrzehnten experimentell. Eine Katze hingegen erleben wir immer in einem eindeutigen Zustand – entweder lebendig oder tot.

Die Quantenwelt im Alltag

Wo also endet die Quantenwelt und wo beginnt die Welt des Alltags? Diese Frage beschäftigt Physiker bis heute. Für das Verständnis von Quantencomputern ist sie jedoch ein idealer Ausgangspunkt. Denn, bevor wir über Qubits sprechen können, müssen wir verstehen, warum die Natur im Kleinsten nach anderen Regeln spielt als im Großen.

Der Comic übersetzt dieses Prinzip in eine Alltagssituation. Solange die Rückmeldung auf die Bewerbung aussteht, sind mehrere Ausgänge denkbar. Erst mit der Antwort wird klar, welche Realität gilt. Physikalisch ist das natürlich nur eine Analogie – aber sie macht anschaulich, worum es bei Schrödingers Katze geht: um den Unterschied zwischen möglichen Zuständen und einem gemessenen Ergebnis.

Ein Cyber Risk Assessment unterstützt dabei, potenzielle Bedrohungen und Schwachstellen für wichtige digitale und physische Unternehmens-Assets zu identifizieren, zu bewerten und zu priorisieren. Trotzdem stolpern in diesem Zusammenhang immer noch viele CISOs und Sicherheitsentscheider über Fallstricke, die sie daran hindern, ihre Risk-Assessment-Ziele vollumfänglich zu erreichen.

Welche das konkret sind und wie man sie gewissenhaft meidet, haben wir im Gespräch mit Security-Experten herausgefunden.

1. Einfach nur abhaken

Die wohl größte Falle im Zusammenhang mit Risk Assessments besteht darin, diese als Checkliste zu behandeln – statt als Entscheidungshilfe, die mit realem Business Impact oder Threat-Szenarien verknüpft ist. Shirsendu Mondal, Security-Forscher an der University of North Carolina, klärt auf: „Wenn sich Ihre Risikobewertung nur noch darum dreht, irgendwelche Kästchen abzuhaken, verlieren Sie die Fähigkeit, die tatsächlichen Risiken einer Umgebung zu Tage zu fördern. Das Ziel eines solchen Assessments sollte jedoch sein, aufzudecken, an welchen Stellen tatsächlich eine Gefährdungslage besteht.“ 

Der beste Weg, diese „Selbstzufriedenheits“-Falle zu umgehen, besteht laut dem Forscher darin, einen kontextorientierten Ansatz zu fahren: „Fragen Sie konkret danach, wo sich die betreffende Ressource befindet, wer darauf zugreifen kann, welche Daten sie berührt, wie wichtig sie für den Betrieb ist und was passiert, wenn sie ausfällt. Risiken sollten stets mit den geschäftlichen Auswirkungen korreliert werden – nicht bloß mit technischen Erkenntnissen.“

Eben, weil Risiken seiner Ansicht nach mehr sind als nur technische Probleme, empfiehlt Mondal Security-Entscheidern, andere Führungskräfte aus dem Unternehmen in das Security-Gefüge zu integrieren – etwa aus der IT und dem Betrieb.

2. Ergebnisse schönreden

Besonders in schwierigen Zeiten ist es das A und O, den Stakeholdern (und sich selbst) gegenüber ehrlich zu sein. Diese Auffassung vertritt auch Pablo Riboldi, CISO beim Softwareunternehmen BairesDev: „Wenn die Ergebnisse entmutigend sind, sollte man einfach zugeben, dass sich die Bedrohungslage deutlich schneller entwickelt hat, als über das bisherige Bewertungs-Framework abzusehen war.“

Anstatt einfach nur Schwachstellen-Listen zu übergeben, rät Riboldi dazu, konkrete Angriffsszenarien abzubilden: „Zum Beispiel, indem Sie die drei kritischsten Assets priorisieren und ein eingehendes Risk Assessment durchführen. So lässt sich auch ein unmittelbarer Mehrwert demonstrieren.“

3. Scope falsch einschätzen

Nicht wenige CISOs sichern Dokumentenkontrollen ab, haken Compliance-Checkboxen ab und erstellen ein Risikoregister, das den Eindruck vermittelt, dass alles in Ordnung ist. Der Schein trügt jedoch des Öfteren, wie Denis Calderone, CTO beim Sicherheitsdienstleister Suzu Labs, aus eigener Erfahrung weiß: „In solchen Fällen kommt es nicht selten vor, dass sich niemand die Mühe gemacht hat, zu testen, ob diese Kontrollen tatsächlich funktionieren. Oder, ob der Scope der Risikobewertung auch das abdeckt, worauf es wirklich ankommt.“

Der Technologieentscheider hat dazu auch ein Beispiel aus der Praxis auf Lager: „Wenn das Risk Assessment die Produktionsserver und das Unternehmensnetzwerk umfasst, der alte Dev-Rechner, ein Drittanbieter-Portal oder ein verwaister API-Endpunkt dabei aber außen vor bleiben, ist das ungünstig. Angreifer betrachten die gesamte Umgebung und finden genau den Einstiegspunkt, der zuvor als nicht bewertungswürdig erachtet wurde.“

Künstliche Intelligenz (KI) verschlimmere die Situation laut Calderone noch: Unternehmen setzten vielfach KI-Tools ein, verknüpften diese mit internen Systemen und gewährten ihnen Zugriff auf sensible Daten – ohne dass das in die Risikobewertung einfließe. Der Experte warnt: „Wenn Ihr Risk Assessment aufgesetzt wurde, bevor Ihr Unternehmen damit begonnen hat, KI in Workflows zu integrieren, ist es bereits veraltet.“

4. Annahmen nicht hinterfragen

Wenn sich die Zielsetzung einer Risikobewertung in Richtung „Hauptsache bestanden“ verschiebt, stellt das vielleicht Auditoren zufrieden. Die Unternehmensleitung könnte dadurch jedoch in die Irre geführt werden, wie Amit Basu, CIO und CISO beim Schifffahrtsunternehmen International Seaways, erklärt: „Führungskräfte und Vorstandsmitglieder sehen ein fertiges Risikoregister und gehen davon aus, dass das Unternehmen geschützt ist. Unterdessen bleiben echte Bedrohungen unberücksichtigt, weil sie nicht nahtlos in den Bewertungsrahmen passten. Dieser Fallstrick ist unsichtbar – er verbirgt sich hinter einem Dashboard.“

Nach Ansicht von Basu ist ein Risk Assessment nur so gut, wie die ihm zugrundeliegenden Annahmen: „Diese sollten Sie explizit dokumentieren und immer dann überprüfen, wenn sich das Business verändert, eine Bedrohungslage verschiebt oder ein Sicherheitsvorfall eine Lücke zu Tage fördert.“

Ein Risk Assessment, so der CISO, sei nicht als fertiges Produkt zu betrachten, sondern als lebendiger Beitrag zu einem fortlaufenden Dialog zwischen Security-Abteilung und Unternehmen.

5. Risiken nicht mit Impact verknüpfen

Probleme in den Hintergrund zu rücken oder herunterzuspielen, fällt deutlich leichter, wenn man den Zusammenhang zwischen Risiko und Business einfach ausblendet. Das erkennt auch Dan Moore, Senior Director of Strategy and Identity Standards beim CIAM-Spezialisten FusionAuth, an. Er warnt jedoch vor den Folgen dieses Gebarens: „So wird es sich diffizil gestalten, tatsächliche Risiken zu kommunizieren. Schlimmer noch: Es liefert den Mitgliedern des Security-Teams einen Vorwand, sich darüber zu beschweren, dass sie missverstanden oder nicht wertgeschätzt werden – und das beeinträchtigt die Effektivität des Teams.“

Der Manager erachtet es als wichtig, stattdessen konkret zu sein und zielgerichtet vorzugehen: „Verzichten Sie auf Angaben wie eine Patch-Compliance von 95 Prozent. Sprechen Sie stattdessen über das Risiko, das nicht gepatchte Systeme für das Unternehmen darstellen.“

Dabei seien manchen Systemen – etwa Legacy-Konstrukten, die nicht mit dem Internet verbunden sind – geringere Risiken inhärent als anderen, selbst wenn sie dieselben Patch-Probleme aufwiesen, meint Moore und empfiehlt, diese Tatsache anzuerkennen und die Reaktion entsprechend abzuwägen.  

6. Compliance mit Security verwechseln

„Compliance allein ist weder ein Garant für robuste Security, noch erfüllt sie die Mindestanforderungen für einen wirksamen Schutz“, hält Adriel Desautels, CEO der Security-Beratung Netragard, fest.

Unternehmen gerieten demnach besonders oft in diese Falle, wenn sie für Penetrationstests externe Firmen beauftragten, die sich auf Compliance konzentrieren und gleichzeitig „erstklassige Dienstleistungen“ versprechen. „In Wahrheit liefern diese oft automatisierte Scans, die als manuelle Tests getarnt sind“, meint Desautels.

Das Ergebnis sei ein falsches Sicherheitsgefühl, warnt der Manager: „Vergegenwärtigen Sie sich einfach, dass bei jedem größeren Sicherheitsvorfall der letzten zehn Jahre eine Organisation beteiligt war, die zum Zeitpunkt des Angriffs alle Compliance-Vorgaben erfüllt hatte.“

7. Risiken nicht vollständig verstehen

Unternehmen betrachten Risk Assessments oft als eine Art „Schwachstellenkatalogisierung“, bei der es darum geht, Lücken zu finden, Schweregrade zu erfassen und Audits zu bestehen. Letzteres heißt allerdings nicht, dass die Risiken auch verstanden wurden.

Geht es nach Safi Raza, Senior Director for Cybersecurity bei Fusion Risk Management, sollten sich CISOs darauf konzentrieren, technische Risikosignale mit betrieblichen Folgen zu verknüpfen: „Dazu muss man verstehen, welche Services betroffen sind, wie sich Störungen ausbreiten und was das für den Umsatz, die Kunden oder regulatorische Verpflichtungen bedeutet.“

Der Experte rät in diesem Zusammenhang dazu, zunächst von statischen Bewertungen zu einer kontinuierlichen, kontextbezogenen Risikotransparenz überzugehen, um sicherzustellen, dass Risiken nicht nur technisch verstanden werden.“ (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Die margenschwache europäische Automobilzulieferindustrie, für die Roland Berger und Lazard eine EBIT-Marge von im Schnitt 3,6 Prozent ermittelten, steht von mehreren Seiten unter Druck. Die Transformation zur E-Mobilität bindet Kapital, Produkt- und Modellzyklen verkürzen sich, und seit der Corona-Pandemie sind Lieferketten volatiler geworden sowie Energie-, Material- und Finanzierungskosten gestiegen.

Großen Druck üben auch die Automobilhersteller (OEMs) durch enge Preisvorgaben und die regelmäßige Anpassung vereinbarter Preise (Preis-Updates) aus. Zugleich fordern sie zwei bis drei Prozent Produktivitätssteigerung pro Jahr, die Zulieferer meist in Form einer Preissenkung weitergeben. Ein fehlerfreies Preismanagement ist für Zulieferer daher eine wichtige Voraussetzung, um Margen-Killer wie Nachbelastungen und Vertragsstrafen der OEMs oder im schlimmsten Fall einen Auftragsverlust zu vermeiden.

Lücken im SAP-Standard führen zu manuellen Prozessen

Genau hier liegt das Problem, speziell für Zulieferer, die Preise, Rabatte und Konditionen in SAP S/4HANA oder SAP ERP verwalten. Da der SAP-SD-Standard Funktionslücken bei Preisanpassungen und beim Import von Preis-Updates aufweist, werden viele Prozessschritte manuell ausgeführt, häufig in Excel.

Daten zwischen Excel und SAP einzugeben und hin- und her zu kopieren, ist zeitraubend und fehleranfällig. Zugleich geht es zulasten der Datenqualität, weil Preisdaten nicht einheitlich und auch häufig mit großem Zeitverzug in SAP eingepflegt werden. Oft vergehen Tage oder sogar Wochen, bis die getätigten Lieferungen mit den neuen Preisen abgerechnet werden können.

Das alles sind oft unterschätzte Kostentreiber. Besonders deutlich wird das bei Preisanpassungen. Schon ein mittelständischer Zulieferer verwaltet oft mehrere tausend Konditionssätze, vom Grundpreis über Rohstoffzuschläge bis zu kundenindividuellen Rabatten. Da jeder Preisbestandteil in SAP als eigener Konditionssatz geführt wird und der Standard keine Massenänderungen erlaubt, müssen die Sätze einzeln geöffnet, geprüft und bearbeitet werden. Das summiert sich rasch auf tausende manuelle Eingriffe, wobei jeder Vorgang abhängig von der Komplexität drei bis 15 Minuten dauert. Es fehlt zudem eine konsolidierte Sicht auf Preisstrukturen und die Möglichkeit, Preisänderungen vorab zu simulieren.

Auch der Import von Preis-Updates, die OEMs wahlweise als Excel-, XML- und CSV-Datei oder per IDoc übermitteln, erfolgt wegen Lücken im SAP-Standard von Hand und dauert etwa zwei bis vier Minuten pro Datensatz. Da automatische Plausibilitäts-, Toleranz- und Kollisionsprüfungen fehlen, führen Mitarbeitende diese ebenfalls manuell durch, was die Bearbeitungszeit zusätzlich verlängert und das Fehlerrisiko erhöht.

Was die manuellen Preisprozesse in SAP wirklich kosten

Weil sich dieser Aufwand und damit die Kosten auf zahlreiche Mitarbeitende, Dutzende von Konditionsarten und tausende Einzelbuchungen verteilt, taucht er im Controlling meist nicht als eigener Posten auf. Zulieferer tappen somit im Dunkeln, was manuelle Preisprozesse sie wirklich kosten. Diese Intransparenz kann sich in einer Branche mit derart knappen Margen kaum ein Unternehmen leisten.

Ein Berechnungsbeispiel aus der Praxis macht die Größenordnung deutlich. Ein mittelgroßer Zulieferer mit 500 bis 1.500 Beschäftigten, der pro Jahr 5.500 Konditionssätze für Preisanpassungen und 4.500 Datensätze für Preis-Updates bearbeitet und je Satz im Schnitt neun beziehungsweise drei Minuten benötigt, kommt in Summe auf 1.050 Arbeitsstunden jährlich. Bei Arbeitskosten von 62 Euro pro Stunde (Stand: 2023), wie sie laut dem Verband der Automobilindustrie (VDA) in Deutschland branchenüblich sind, entstehen direkte Kosten von etwas mehr als 65.000 Euro.

Die direkten Kosten sind jedoch nur ein Teil der Belastung. Nicht zu unterschätzen sind auch indirekte Kosten, die durch Fehler beim Preismanagement entstehen. Sie erfordern aufwendige Nacharbeit, interne Abstimmungen oder Gespräche mit OEM-Kunden, und führen oft zu teuren Nachbelastungen. Bei einer Fehlerquote, die in der Praxis beim manuellen Preisdatenimport zwei bis vier Prozent und bei Preisanpassungen zwei bis drei Prozent beträgt, schlagen diese Folgekosten mit 20.000 bis 30.000 Euro zu Buche. Damit liegt die wirtschaftliche Gesamtbelastung bei rund 85.000 bis 95.000 Euro im Jahr.

Drei Optionen: Customizing, Eigenentwicklung und Add-on

Der Aufwand und die Folgekosten manueller Prozesse bei Preisanpassungen und Preis-Updates durch Lücken im SAP-Standard sind also hoch. Abteilungs- und Teamleiter im Vertriebsinnendienst und in der Fakturierung sollten daher nach Wegen suchen, diese Lücken ohne den Einsatz einer Third-Party-Lösung zu schließen. Innerhalb der SAP-Welt bleiben drei Optionen.

1. Optimierung des SAP-Standards durch Customizing und ein stärkerer Batch-Einsatz: Sie bringt nur einen Effizienzgewinn von zehn bis 20 Prozent und spart 8.000 bis 15.000 Euro pro Jahr, auch weil Funktionen für Massenänderungen und Simulationen weiterhin fehlen.

• Individuelle SAP-Erweiterung: Sie bietet Flexibilität, ist aber durch Entwicklungskosten bis in den sechsstelligen Euro-Bereich, Projektlaufzeiten von sechs bis 24 Monaten, den hohen Wartungsaufwand und die Abhängigkeit von einzelnen Entwicklern selten wirtschaftlich.

• Einsatz SAP-basierter Add-ons und Partnerlösungen: Sie fügen sich in das vorhandene SAP-System ein, nutzen SAP-Standardtabellen, schließen Prozesslücken modifikationsfrei und bieten meist das beste Kosten-Nutzen-Verhältnis. Empirische Werte zeigen, dass ein spezielles Preispflege-Add-on mit einer zentralen Sicht auf alle Preisbestandteile und What-if-Simulationen die Bearbeitung von drei bis 15 Minuten auf wenige Sekunden verkürzt. Die dadurch möglichen Einsparungen in Bezug auf Prozess- und Arbeitskosten liegen im Schnitt zwischen 50.000 und 85.000 Euro pro Jahr. Bei einer Implementierungszeit von in der Regel vier bis acht Wochen und Investitionskosten von 30.000 bis 60.000 Euro, amortisiert sich der Einsatz eines solchen Add-ons dann erfahrungsgemäß meist binnen eines Jahres.

Vom Kostentreiber zum Wettbewerbsfaktor

Zulieferer, die Prozesslücken im SAP-Preismanagement schließen, profitieren somit gleich mehrfach.

• Der Wegfall von Kostentreibern und ein schneller ROI erhöhen die Liquidität und schaffen Spielraum für strategische Investitionen, etwa in Forschung und Entwicklung oder den Kundenservice.

• Durch straffere, nahezu fehlerfreie Abläufe gewinnen Mitarbeitende in Vertriebsinnendienst und Fakturierung mehr Zeit für wertschöpfende Tätigkeiten wie Konditionsverhandlungen, Preisanalysen oder die Sicherung der Datenqualität. Zugleich können sie auf neue OEM-Anforderungen zeitnah reagieren.

In einer margenschwachen Branche mit anhaltendem Preisdruck wird daraus ein Wettbewerbsfaktor. So entscheidet ein im Tagesgeschäft zunächst unterschätzter Kostentreiber am Ende über die strategische Position eines Zulieferers. (mb)

Während öffentliche Bauprojekte im Schwabenland gerne mal bis zu 20 Jahre dauern, wie etwa Stuttgart 21, sind die schwäbischen Unternehmer dagegen fixer und zukunftsorientiert. Knapp fünf Jahre benötigte die Schwarz Gruppe vom ersten Spatenstich bis zur Eröffnung ihres neuen Campus für 5.500 Mitarbeiter der IT-Sparte Schwarz Digits.

Im schwäbischen Unterland, nördlich von Heilbronn in Bad Friedrichshall,  bündelt das Unternehmen nun auf einer Fläche von 15,5 Hektar in fünf terrassenartig gestaffelten Gebäuden seine digitalen Aktivitäten. Ein Engagement, das auch die Politik zur Eröffnung würdigte.

Nur ein Tropfen auf den heißen Stein?

So sparte Nicole Hoffmeister-Kraut, Wirtschaftsministerin von Baden-Württemberg, nicht mit Lob: Mit diesem High-Tech-Campus werde das Land zum „digitalen Herzschlag Europas“. Das Projekt beweise eindrucksvoll, dass im Südwesten die digitale Infrastruktur für ein freies und souveränes Europa maßgeblich mitgestaltet werde.

Die Sache hat allerdings einen Haken, so sehr das Engagement der Schwarz Gruppe in Sachen Digitaler Souveränität und technologischer Unabhängigkeit zu begrüßen ist: Im globalen Vergleich ist das nur der berühmte Tropfen auf dem heißen Stein.  So beschäftigt AWS weltweit etwa 225.000 Mitarbeiter und Google Cloud kommt auf zirka 54.000 Beschäftigte.

Unabhängigkeit leben

Ob Schwarz Digits mit der Großinvestition nun wirklich den  Grundstein für die technologische Unabhängigkeit eines ganzen Kontinents gelegt hat, mag dahingestellt bleiben. Sicher ist zumindest, dass die Schwarz Gruppe auf dem neuen Campus ihr Technologie-Ökosystem für sich selbst und Kunden entwickeln will. Schwarz-Digits-Kunden sind beispielsweise Bosch und die Polizei Baden-Württemberg.

Im Zentrum der Bestrebungen steht der sogenannte souveräne Technologie-Stack. Hier werden Lösungen in den Bereichen Cloud, Cyber Security, Data, KI sowie Communication und Workspace entwickelt. „Am neuen Campus wird technologische Unabhängigkeit zur gelebten Realität“, erklärte Christian Müller, CEO von Schwarz Digits, während der Eröffnung. Man wolle Unternehmen und öffentlichen Institutionen die uneingeschränkte Datenhoheit zurückgeben. So werde man digitale Souveränität nicht mehr nur verwalten, sondern aktiv aus dem europäischen Rechtsraum heraus mitbestimmen.

Activity-based Working

Dazu soll auf dem Campus an europäischen Alternativen zu den US-Tech-Riesen gearbeitet – egal, ob eigene Cloud, Cybersicherheit für Medizin und Militär oder KI Made in Germany. So hat Müller denn auch ehrgeizige Ziele: „Stack-It wird der führende, souveräne Hyperscaler Europas werden. Das ist das Ziel, was wir haben. Und ein ganz klares Signal nicht nur in der Region, sondern nach Deutschland und Europa.“

Doch auch in anderer Hinsicht setzt der Campus Maßstäbe. Das architektonische Konzept setzt konsequent auf „Activity-based Working“. Lichtdurchflutete Arbeitswelten und über 500 spezialisierte Besprechungs- und Kreativräume sollen die Zusammenarbeit fördern.

Beruf und Familie

Für die Vereinbarkeit von Beruf und Familie sorgt eine betriebseigene Kindertagesstätte mit rund 280 Plätzen. Hinzu kommen Wäscheservice und Postcenter. Und im Campus-Restaurant mit rund 1.000 Sitzplätzen im Innen- und 400 im Außenbereich (Terrasse) stehen täglich 18 Menülinien zur Auswahl. Zudem zeigt ein Kochroboter sein Können. Neben klassischen Kaffeeküchen gibt es auf dem Campus noch 20 Marktplätze. Sie verfügen jeweils über individuelle Landesthemen und sind als erweiterte Begegnungs- und Verweilzone gestaltet.

Auch ökologisch muss sich der Standort nicht verstecken. Fast die Hälfte des Geländes besteht aus Grünflächen, die als „grüne Mitte“ das Herzstück des Campus bilden. Über 3.000 Bäume und Sträucher wurden hier gepflanzt. Die Energieversorgung erfolgt ressourcenschonend über Photovoltaikanlagen und Blockheizkraftwerke. Zudem wurde in Zusammenarbeit mit der Deutschen Bahn und dem Land ein eigenes Verkehrskonzept entwickelt, das auf umweltfreundliche ÖPNV-Verbindungen sowie Rad- und Gehwege setzt.

Dazu, was der High-Tech-Hotspot gekostet hat, macht die Schwarz Gruppe keine Angaben.

Das Onlinezugangsgesetz (OZG) hat 2017 den Anspruch formuliert, Verwaltungsleistungen digital und medienbruchfrei nach dem Once-Only-Prinzip (OOP) zu machen und sie damit auf Reifegrad 4 zu bringen. Fast ein Jahrzehnt danach sind jedoch erst 28 Prozent der Verwaltungsleistungen vollständig digitalisiert, 34 Prozent existieren noch offline. Den Reifegrad 4 erreichen sogar nur 14 Prozent der Behörden, fast zwei Drittel (65 Prozent) haben keinen verbindlichen Termin dafür. So lautet das zentrale Ergebnis der Studie „Digitalisierung in der öffentlichen Verwaltung 2026“, die CIO und COMPUTERWOCHE mit den Partnern UiPath und Materna durchgeführt haben und an der 316 Entscheiderinnen und Entscheider aus deutschen Behörden teilnahmen.

Kaum Erfolgskontrolle bei Digitalisierungsprojekten

Das Automatisierungspotenzial der Verwaltungsaufgaben liegt im Schnitt bei 49 Prozent, tatsächlich automatisiert sind bislang nur 23 Prozent. Diese Lücke von 26 Prozentpunkten deutet darauf hin, dass die Bereitschaft zur Digitalisierung vorhanden ist, es an der Umsetzung jedoch hapert. End-to-End digitalisiert sind 32 Prozent der Prozesse, mit Dunkelverarbeitung laufen erst 17 Prozent.

Für Dirk Moeller, Regional Vice President Public Sector bei UiPath, zeigt dieses Ergebnis, dass „die öffentliche Verwaltung kein Erkenntnisproblem, sondern ein Umsetzungsproblem hat. Fast die Hälfte der Verwaltungsaufgaben könnte automatisiert werden, tatsächlich ist es aber erst knapp ein Viertel. Der nächste Digitalisierungsschub entsteht daher nicht durch weitere Einzellösungen, sondern durch orchestrierte End-to-End-Prozesse, in denen Menschen, Fachverfahren, Daten, Roboter und KI-Agenten kontrolliert zusammenarbeiten.“

Immerhin ein Drittel der Behörden führt 2026 aktiv Digitalisierungsprojekte durch, weitere 29 Prozent planen die nächste Welle für 2027. Die Vorhaben sind breit angelegt, in knapp drei Viertel der Fälle hierarchieübergreifend (74 Prozent) und mit externer Begleitung (73 Prozent). Doch es gibt ein Gefälle nach Behördengröße: Während 40 Prozent der Häuser mit 1000 und mehr Beschäftigten Projekte aktiv realisieren, sind es nur 19 Prozent der kleineren Behörden mit weniger als 250 Beschäftigten.

Ob die Projekte tatsächlich Wirkung entfalten, weiß häufig niemand, da nur elf Prozent den Digitalisierungserfolg systematisch und weitere 29 Prozent gelegentlich messen. Über ein Viertel der Befragten (26 Prozent) verzichtet auf eine Erfolgskontrolle. Dabei zeigt sich: Wer die Digitalisierung verantwortet, misst sie häufiger: Kontrollieren 58 Prozent der IT- und Digitalisierungsverantwortlichen den Fortschritt, sind es bei der Fachverwaltung nur 42 Prozent.

IT-Infrastruktur-APIs und Register als Reifegrad-4-Verhinderer

Der langsame Fortschritt auf dem Weg zu Reifegrad 4 ist vor allem auf Defizite in der IT-Infrastruktur zurückzuführen: Die Hälfte der Behörden bewertet diese im Hinblick auf OOP und Reifegrad 4 als „schlecht“ oder „sehr schlecht“, nur 21 Prozent als „gut“ oder „sehr gut“. APIs haben ebenfalls erst 49 Prozent, und Interoperabilität mit anderen Behörden besteht nur in 44 Prozent der Fälle. Gerade einmal sieben Prozent nutzen zudem standardisierte Datenmodelle wie XÖV; lediglich 17 Prozent können Datensätze systemübergreifend eindeutig identifizieren.

Dramatisch ist die Lage bei den Registern, von denen nur acht Prozent Once-Only-fähig sind. Über ein Viertel der Behörden (27 Prozent) führt ihre wichtigsten Register auf Papier, 38 Prozent verwalten sie in Excel. Als größte Hürden nennen 36 Prozent der Befragten technische Defizite und ein Drittel den Personalmangel.

EfA und Cloud: Akzeptanz hoch, Umsetzung ausbaufähig

Der „Einer für alle“-Ansatz (EfA) soll die Verwaltung von Mehrfacharbeit befreien: Hat eine Behörde eine funktionsfähige Lösung entwickelt, stellt sie diese anderen zur Nachnutzung bereit. 86 Prozent der Behörden bewerten das Modell prinzipiell positiv, doch die Bilanz bei der Umsetzung ist ernüchternd. Erst magere 19 Prozent nutzen EfA-Lösungen oder stellen sie bereit. Lediglich 18 Prozent derjenigen mit EfA-Praxiserfahrung beurteilen die Gebrauchsfähigkeit als „gut“ oder „sehr gut“, 14 Prozent dagegen als „schlecht“ oder „sehr schlecht“ und 37 Prozent als „eher schlecht“. Als größte Bremsen werden rechtliche Unsicherheiten (39 Prozent), fehlende Standards (37 Prozent) und föderale Unterschiede (35 Prozent) genannt.

Weniger zäh verläuft die Cloud-Adaption. Immerhin 39 Prozent der Behörden nutzen inzwischen Cloud-Dienste, weitere 22 Prozent planen dies. Die mit Abstand größte Hürde für den Cloud-Einsatz sind Datenschutzanforderungen wie die DSGVO (59 Prozent), gefolgt von Unsicherheiten bei der Datenhoheit (43 Prozent) und der Informationssicherheit (41 Prozent). Auffallend ist, dass Behördenleitende (78 Prozent) und IT-Verantwortliche (76 Prozent) deutlich häufiger angeben, Cloud-Dienste zu nutzen oder den Einsatz zu planen, als die Leitungsebene (63 Prozent) und die Fachverwaltung (64 Prozent).

Deutsche Verwaltungscloud mit Zufriedenheitsdefizit

Die 2025 gestartete Deutsche Verwaltungscloud (DVC) soll bei der Modernisierung der IT-Infrastruktur eine Schlüsselrolle spielen. Doch was die DVC konkret leisten soll, bleibt unklar. 37 Prozent der Befragten sehen sie eher als Ergänzung, 22 Prozent als Ersatz vorhandener Infrastrukturen.

Dabei sind die Erwartungen verhalten. Nur sechs Prozent rechnen mit einer deutlichen Verbesserung, weitere 22 Prozent mit einer Verbesserung, 28 Prozent gehen von einer eher positiven Entwicklung aus. Auffallend ist hier der hohe Anteil von 29 Prozent „Weiß nicht“-Antworten, der möglicherweise darauf zurückzuführen ist, dass sich 52 Prozent nur schlecht bis sehr schlecht mit der DVC auskennen. Auch die Zufriedenheit mit der DVC bleibt überschaubar: Lediglich 18 Prozent bewerten den Standardisierungsgrad positiv, 16 Prozent die Interoperabilität und 23 Prozent den DVC-Marktplatz. Einzig die digitale Souveränität schneidet mit 25 Prozent etwas besser ab.

Johannes Rosenboom, SVP Sales, Marketing, BDM für Public-/KRITIS-Branchen bei Materna, ist jedoch davon überzeugt, dass „die Deutsche Verwaltungscloud ein wichtiger Baustein für eine souveräne, leistungsfähige und anschlussfähige Verwaltungs-IT werden kann. Entscheidend ist, dass sie nicht als isolierte Infrastruktur gedacht wird, sondern als Teil eines offenen Ökosystems mit klaren Standards, interoperablen Plattformen und hoher Wechselfähigkeit.“

KI-Einstieg gemacht, Kompetenzlücken bremsen

Neben der Infrastruktur und der Cloud rückt Künstliche Intelligenz (KI) zunehmend in den Fokus. Erfreulich ist, dass 29 Prozent der Behörden entsprechende Werkzeuge bereits nutzen und 17 Prozent die Einführung in den nächsten zwei Jahren planen. Häuser mit 1000 und mehr Beschäftigten (35 Prozent) liegen beim KI-Einsatz klar vor kleineren Verwaltungen unter 250 Beschäftigten (22 Prozent). Dominant sind generative KI und Large Language Models (LLMs) mit 55 Prozent, gefolgt von intelligenter Dokumentenverarbeitung (35 Prozent). Eingesetzt werden die KI-Tools vorrangig für das Dokumenten- und Aktenmanagement (41 Prozent), im Bürgerservice (36 Prozent) und zur Antragsbearbeitung (35 Prozent).

Auch KI-Agenten kommen gut an. Acht von zehn Behörden, die KI nutzen, bewerten ihren Einsatz positiv. „KI-Agenten können in der Verwaltung zum Produktivitätssprung werden, aber nur, wenn sie nachvollziehbar, sicher und steuerbar eingesetzt werden. Gerade in den Bereichen Antragsprüfung, Fallvorbereitung, Dokumentenverarbeitung und Bürgerkommunikation liegt enormes Potenzial. Entscheidend ist, dass KI-Agenten nicht als Black Box arbeiten, sondern in klare Governance, menschliche Entscheidungen und revisionssichere Prozesse eingebettet sind“, verdeutlicht UiPath-Manager Moeller. Ähnlich argumentiert Rosenboom: „KI entfaltet in den Behörden besonders dort ihre Wirkung, wo Wissen, Dokumente und Prozesse zusammengeführt werden. Der nächste Schritt ist, KI sicher, nachvollziehbar und souverän in bestehende Fachlichkeit zu integrieren, mit klaren Leitplanken und spürbarem Nutzen im Verwaltungsalltag.“

Wie berechtigt diese Forderungen sind, belegen konkrete Hemmnisse. Als größtes gilt wie schon bei der Cloud der Datenschutz (48 Prozent), gefolgt von Halluzinationen (35 Prozent) und Haftungsrisiken (32 Prozent). Das größte Problem ist jedoch, dass nur 31 Prozent der Behörden nach eigener Einschätzung in ausreichendem Maß über die notwendigen Daten- und KI-Kompetenzen verfügen und somit KI-Initiativen ohne gezielte Qualifizierungsoffensive zu versanden drohen.

Digitale Portale als Frage staatlicher Handlungsfähigkeit

Die Studie lenkt den Blick auch auf eine gesellschaftspolitisch brisante Zukunft. Sollte der demografische Wandel dazu führen, dass kleine Kommunen ihr Bürgeramt in fünf bis zehn Jahren nicht mehr betreiben können, müssen digitale Portale rechtzeitig als Ersatz bereitstehen. Falls nicht droht ein Staatsversagen im digitalen Raum. 69 Prozent der Behörden halten diese Gefahr für real, davon 36 Prozent für groß bis sehr groß. Kleine Verwaltungen unter 250 Beschäftigten schätzen dabei das Risiko mit 46 Prozent deutlich höher ein als große Häuser (30 Prozent). Am meisten alarmiert sind die IT-Verantwortlichen (46 Prozent), am wenigsten die Leitungsebene (30 Prozent) Das zeigt: Die Digitalisierung der Verwaltung entscheidet über die Handlungsfähigkeit des Staates.

Studiensteckbrief

Herausgeber: CIO und COMPUTERWOCHE

Studienpartner:  UiPath GmbH; Materna Information & Communications SE

Grundgesamtheit: Oberste (IT-)Verantwortliche in Unternehmen der DACH-Region: Beteiligte an strategischen (IT-)Entscheidungsprozessen im C-Level-Bereich und in den Fachbereichen (LoBs); Entscheidungsbefugte sowie Experten und Expertinnen aus dem IT-Bereich

Teilnehmergenerierung: Persönliche E-Mail-Einladung über die Entscheiderdatenbank von CIO und COMPUTERWOCHE sowie – zur Erfüllung von Quotenvorgaben – über externe Online-Access-Panels

Gesamtstichprobe: 316 abgeschlossene und qualifizierte Interviews

Untersuchungszeitraum: 12. bis 21. März 2026

Methode: Online-Umfrage (CAWI) Fragebogenentwicklung & Durchführung: Custom Research Team von CIO und Computerwoche in Abstimmung mit den Studienpartnern

Regelmäßige Netzwerk-Scans reichen für eine gehärtete Angriffsfläche nicht mehr aus. Um die Sicherheit von Unternehmensressourcen und Kundendaten zu gewährleisten, ist eine kontinuierliche Überwachung auf neue Ressourcen und Konfigurationsabweichungen erforderlich. Werkzeuge aus den Bereichen Cyber Asset Attack Surface Management (CAASM) sowie External Attack Surface Management (EASM) sind darauf ausgelegt, die Angriffsfläche von Unternehmen:

• zu quantifizieren,

• zu minimieren, und

• zu härten.

Das Ziel besteht dabei darin, den Angreifern möglichst wenig Informationen über das Security-Niveau des Unternehmens zu geben und gleichzeitig kritische Business Services aufrechtzuerhalten. Dabei spielt inzwischen auch Agentic AI eine immer größere Rolle.

12 Attack-Surface-Management-Tools

Die folgenden zwölf Lösungen unterstützen Sie dabei, Risiken zu identifizieren und zu managen.

Axonius Cyber Asset Attack Surface Management

Diese CAASM-Suite von Axonius deckt alle wichtigen Aspekte ab, wenn es um Attack Surface Monitoring geht. Das Tool erstellt zunächst ein Asset-Inventar, das automatisch aktualisiert und mit Kontext aus internen Datenquellen und Ressourcen angereichert wird.

Dabei ist es auch möglich, Monitoring-Prozesse aufzusetzen, die auf Grundlage von Richtlinien wie PCI oder HIPAA ablaufen. So lassen sich Konfigurationen oder Schwachstellen identifizieren, die diesen zuwiderlaufen und entsprechende Maßnahmen ergreifen.

Bugcrowd EASM

Bugcrowd hat im Mai 2024 Informer.io übernommen und dessen EASM-Angebot in seine Security-Plattform integriert. Diese automatisiert die Asset Discovery über Webapplikationen, APIs und andere “public facing”-Komponenten des IT-Stacks hinweg.

Assets überwacht die Lösung kontinuierlich, wobei identifizierte Risiken in Echtzeit priorisiert werden. Darüber hinaus stehen auch Zusatz-Services wie manuelle Risikoprüfungen oder Penetrationstests zur Verfügung. Das Workflow-basierte Response-System der Lösung verspricht eine einfachere Einbindung mehrerer Teams, indem existierende Ticketing- und Kommunikations-Tools integriert werden. Praktisch ist auch die Möglichkeit, Konfigurationsänderungen oder System Updates zu validieren, um sicherzustellen, dass identifizierte Bedrohungen tatsächlich bereinigt wurden.  

CrowdStrike Falcon Exposure Management

Crowdstrike hat sein Falcon-Surface-Angebot von einem Standalone EASM-Tool zu einem Kernbestandteil von Falcon Exposure Management ausgebaut. Die Lösung wird nun auch durch KI-nativen Code dabei unterstützt, Risiken zu identifizieren und auszuschalten. Darüber hinaus kommt die Technologie auch für Adversarial-AI-Szenarien zum Einsatz.

Die Crowdstrike-Lösung kann außerdem:

• Risiken mit dem Business-Kontext korrelieren,
• die Ausnutzbarkeit validieren und
• direkte Abhilfemaßnahmen über die Falcon-Plattform einleiten.

Unternehmen sollen sich mit dem Tool einen nachhaltigen Überblick über ihre Angriffsfläche verschaffen und Risiken oder Bedrohungen mit einer Vielzahl von Techniken aufspüren können. Dazu gehören etwa aktive, passive und API-basierte Scans, um mit dem Internet verbundene Ressourcen zu identifizieren.

Falcon Exposure Management ist nicht Teil des Enterprise-Softwarepakets von Crowdstrike. Es kann als Abonnementlizenz auf Basis der gemanagten Endpunkte erworben werden.

CyCognito Attack Surface Management

Das CAASM-Produkt von CyCognito bietet eine kontinuierliche Überwachung und Inventarisierung von Assets. Dabei spielt es keine Rolle, ob diese On-Premises, in der Cloud, bei einem Drittanbieter oder einer Tochtergesellschaft vorliegen.

Um den Triage-Prozess und die Risiko-Priorisierung zu erleichtern, kann auch Business-Kontext hinzugefügt werden (beispielsweise Beziehungen zwischen einzelnen Assets). Das hilft dabei, sich auf die wichtigsten Netzwerkrisiken zu konzentrieren. CyCognitos Tool verfolgt darüber hinaus auch Konfigurationsänderungen und ermöglicht so, neue Risiken für die Unternehmensinfrastruktur schnell zu identifizieren.

JupiterOne Cyber Asset Attack Surface Management

JupiterOne preist seine CAASM-Lösung als eine Möglichkeit an, “Cyber-Asset-Daten nahtlos in einer einheitlichen Ansicht zu aggregieren”. Der Kontext wird bei Bedarf automatisch hinzugefügt, und die Beziehungen zwischen den Assets können definiert und optimiert werden, um Schwachstellenanalyse und Incident-Response-Fähigkeiten zu verbessern.

Benutzerdefinierte Abfragen ermöglichen es Cybersecurity-Teams, komplexe Fragen zu beantworten, während der Asset-Bestand über eine interaktive Map durchsucht werden kann. Die Security-Tools, in die Sie bereits investiert haben, können Sie integrieren – was eine ganzheitliche, zentralisierte Perspektive auf das Security-Niveau zulässt.

Microsoft Defender External Attack Surface Management

Microsoft Defender EASM erkennt nicht verwaltete Assets und Ressourcen, die per Schatten-IT bereitgestellt werden oder sich auf anderen Cloud-Plattformen befinden. Sobald die Assets und Ressourcen identifiziert sind, sucht das Tool nach Schwachstellen auf jeder Ebene des Technologie-Stacks, einschließlich der zugrunde liegenden Plattform, App-Frameworks, Webanwendungen, Komponenten und des Kerncodes.

Defender EASM ermöglicht es IT-Profis, Schwachstellen in neu entdeckten Ressourcen schnell zu beheben, indem diese nach Entdeckung in Echtzeit kategorisiert und priorisiert werden. Naturgemäß lässt sich Defender EASM eng mit anderen Microsoft-Lösungen wie Security Copilot integrieren.

Outpost24 EASM

Der schwedische Anbieter Outpost24 hat 2023 den belgischen EASM-Anbieter Sweepatic übernommen und dessen Tool in seine Modul-Kollektion für Threat Intelligence, Data Leakage und Pentesting integriert. Diese EASM-Lösung ist sowohl Standalone, als auch als Managed Service erhältlich und kann Daten entweder passiv über DNS und andere TCP/IP-Details oder über direkte Verbindungen zu Cloud-Anbietern wie AWS und Azure sowie den Lösungen großer Softwareanbieter (etwa ServiceNow, Slack oder Atlassian) erfassen.

Palo Alto Networks Cortex Xpanse

Xpanse ist Teil der XSIAM-Produktsuite von Palo Alto, kann jedoch auch separat erworben werden. Das Standalone-Produkt hat allerdings einen etwas geringeren Funktionsumfang.

Das Palo-Alto-Tool unterstützt auch die Integration mit Tools von Drittanbietern wie Qualys, Jira und ServiceNow. Zudem verfügt das Produkt über eine beeindruckende Auswahl an vorgefertigten Detection-Regeln, Widgets, um Queries und Discovery-Routinen zu erstellen und anpassbare Daten-Dashboards aufzusetzen.

Rapid7 Surface Command

Surface Command ist nur eines von zahlreichen Modulen, das Rapid7 im Angebot hat (unter anderem Vulnerability und Incident Management sowie Cloud-Native Security). Das Tool bringt Threat Exposure, Detection und Response unter einen Nenner und verspricht eine kontinuierliche „Vogelperspektive“ über sämtliche Schwachstellen – vom Endpunkt bis hin zur Cloud.

Das Rapid-7-Tool ist darauf konzipiert, blinde Flecken in der Security aufzuspüren sowie Reaktion und Behebung zu beschleunigen. Für letzteres sind zudem auch agentenbasierte KI-Funktionen enthalten.

RiskProfiler EASM

Über die RiskProfiler-Plattform lassen sich sämtliche externen Bedrohungen managen. Das Tool ermöglicht beispielsweise Dark-Web-Monitoring, digitales Monitoring sowie Hacking-Kampagnen, Schwachstellen und Supply-Chain-Angriffe zu tracken. Die hieraus gewonnenen Bedrohungsinformationen werden von KI-Agenten zu einem einheitlichen Korpus verdichtet.

Bestandteil des Tools sind zudem mehr als 13.000 vorinstallierte Regeln, die sowohl Open-Source- als auch eigene proprietäre Algorithmen miteinander verbinden. Auch die Risikobewertungen von Drittanbietern werden analysiert. Ein anpassbares Management-Dashboard visualisiert die Daten in diversen Ansichten. 

SOCRadar AttackMapper

Mit AttackMapper (ein Teil der Tool-Suite für SOC-Teams), will SOCRadar, den Anwendern die Sicht der Angreifer auf die Assets ermöglichen. Das Tool überwacht Assets mithilfe von Agentic AI dynamisch in Echtzeit, identifiziert neue oder veränderte und analysiert sie auf potenzielle Schwachstellen.

Die Ergebnisse werden mit bekannten Angriffsmethoden korreliert, um den Entscheidungsfindungs- und Triageprozess zu unterstützen. Dabei überwacht AttackMapper nicht nur Endpunkte und Software Vulnerabilities, sondern auch SSL-Schwachstellen, abgelaufene Zertifikate, DNS-Einträge und Konfigurationen. Das Tool erkennt selbst Website-Defacement-Angriffe, was entscheidend sein kann, um die Markenreputation zu schützen.

Tenable Attack Surface Management

Tenable hat schon seit einigen Jahren Tools im Angebot, um Schwachstellen aufzuspüren – und auch die aktuelle Tool-Suite wird modernen IT-Sicherheitsanforderungen gerecht. Bei Tenable Attack Surface Management handelt es sich um das EASM-Modul des Unternehmens, das in dessen Exposure-Management-Plattform „One“ integriert ist.

Tenable Attack Surface Management liefert Kontext und Details zu Assets und Schwachstellen, allerdings nicht nur aus technischer Sicht, sondern auch auf Business-Ebene, was für eine umfassende Priorisierung der Maßnahmen erforderlich ist.

7 Fragen vor dem ASM-Invest

Die folgenden Fragen sollten Sie sich und potenziellen Anbietern von Attack-Surface-Management-Lösungen stellen, bevor Sie einen Vertrag unterzeichnen.

• Benötigt unser Unternehmen eine EASM- oder eine CAASM-Lösung? Die Antwort darauf hängt davon ab, ob Sie nach internen oder externen Angreifern suchen – und wie groß der Anteil Ihrer lokalen Infrastruktur ist.
• Wie umfangreich – und effektiv – ist das Tool automatisiert? Erkennt es zuverlässig alle anfälligen Ressoucren, einschließlich digitaler Zertifikate, offengelegter Anmeldedaten und mit dem Netz verbundene Server und Services? Welche Metadaten und weiteren Details liefert die Lösung?  
• Wie behebt die Lösung Schwachstellen, wenn sie welche findet? Läuft das automatisiert ab oder sind manuelle Eingriffe erforderlich?
• Unterstützt das Tool Continuous Monitoring? Und falls ja: Wie werden Veränderungen nachgehalten?
• Welche Schwachstellen werden wie mit anderen SOC-Tools geteilt oder integriert?
• Gibt es unterschiedliche Dashboards für Management- und andere Zwecke? Beziehungsweise: Wie lässt sich das Tool auf unterschiedliche Benutzergruppen anpassen?
• Wie sieht ihre Preisgestaltung im Detail aus? Stellen Sie sicher, dass Sie das Preisgefüge des Anbieters Ihrer Wahl wirklich verstehen. In den meisten Fällen sind Sie dabei mit komplexen, nutzungsabhängigen Abrechnungsmodellen konfrontiert.

(fm)

Dieser Beitrag ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

In vielen Unternehmen stoßen IT-Sicherheitsrichtlinien auf Widerstand, da Mitarbeitende sie als hinderlich oder praxisfern empfinden. Dies erschwert die Umsetzung, untergräbt die Wirksamkeit und belastet die Zusammenarbeit zwischen der Sicherheitsabteilung und den Fachbereichen. Statt als Partner wird Cybersecurity oft als Bremser wahrgenommen – ein fatales Sicherheitsrisiko. Für CISOs (Chief Security Information Officer) bedeutet das, dass neben technisch korrekten Richtlinien vor allem die Akzeptanz im Alltag entscheidend ist. Ein neuer Ansatz mit empathischem Policy-Engineering und strategischer Sicherheitskommunikation fördert eine nachhaltige Sicherheitskultur.

IT-Sicherheit: Arbeitsdruck und soziale Einflussfaktoren

In vielen IT-Abteilungen herrscht die Ansicht, dass Anwender wenig motiviert sind, Sicherheitsvorgaben einzuhalten. Unternehmen setzen auf Sanktionen und Schulungen, um regelkonformes Verhalten zu erzwingen. Ein zwei-tägiges Experiment, das untersucht, wie sich Sicherheitsdesigns auf richtlinienkonformes Nutzerverhalten auswirken, zeigte jedoch: Hatten Teilnehmende anfänglich noch eine positive Einstellung gegenüber Sicherheitsrichtlinien, wurden diese unter steigendem Arbeitsdruck zunehmend als hinderlich empfunden, was vermehrt zu Regelverstößen führte. Stress und situative Faktoren hatten einen spürbaren Einfluss auf das sicherheitsrelevante Verhalten der Teilnehmenden.

Sicheres Verhalten entsteht also nicht allein durch Wissensvermittlung, sondern hängt stark von der individuelle Risikoeinschätzung und den konkreten Alltagssituationen ab. Nutzer handeln nicht immer so, wie es die Richtlinien vorsehen. Oft nicht aus Unwillen, sondern weil andere Faktoren überwiegen oder als wichtiger eingeschätzt werden. Ambitionierte Ziele, Zeitdruck und das Bedürfnis nach reibungsloser Zusammenarbeit stehen häufig im Widerspruch zu abstrakten Sicherheitsvorgaben. Diese Interessenkonflikte führen schnell zu Spannungen zwischen Security, IT und den anderen Fachbereichen. Das gefährdet letztlich die Sicherheitskultur.

Sicherheitsverantwortliche können an drei Punkten ansetzen, um dem entgegenzuwirken.

1. Die Anwender verstehen

CISOs sollten sich zunächst die Frage stellen, warum sich Nutzer nicht sicher verhalten. Eine Vielzahl von Faktoren spielen hier eine Rolle: Beispielsweise sind sich Anwender der Bedrohung nicht bewusst, sehen den Nutzen von sicherem Verhalten nicht oder empfinden Sicherheitsmaßnahmen als hinderlich für ihre Arbeit. Eventuell besteht auch ein Interessenkonflikt mit den Zielen der Nutzer oder sie stehen unter Zeitdruck. Oft fehlen schlicht die Mittel – beispielsweise, wenn Vorschriften einen sicheren Datenaustausch mit Zulieferern und Kunden fordern, aber den Mitarbeitenden keine Plattform für einen solchen Datenaustausch zur Verfügung gestellt wird – oder auch Vorbilder im Umfeld.

Vor der Implementierung von Sicherheitsmaßnahmen ist es wichtig, widersprüchliche Ziele und Prioritäten der verschiedenen Interessensgruppen (IT-Abteilung, technische Abteilungen, Management, Verwaltung, Mitarbeitende in der Produktion) zu identifizieren und auszugleichen. Dies ist beispielsweise im Rahmen einer Stakeholder-Analyse möglich – einer Methode aus der Wirtschaftsinformatik, um die Präferenzen aller beteiligten Stakeholder zu erheben. Je mehr Sicherheitsverantwortliche über die Arbeitswirklichkeit und die Ziele der verschiedenen Bereiche wissen, desto besser gelingt es ihnen, Sicherheitsmaßnahmen dazu passend zu gestalten – was zu mehr Akzeptanz und am Ende einer erfolgreichen Umsetzung führt.

2. Sicherheitsrichtlinien mit Blick auf den Anwender gestalten

Unsicheres Verhalten wird häufig den Nutzern angelastet, dabei liegt das Problem oft in der Maßnahme selbst. In der IT-Sicherheitsforschung liegt der Fokus häufig auf dem individuellen Verhalten der Nutzer – beispielsweise auf der Frage, ob sicheres Verhalten von Persönlichkeitsmerkmalen abhängt. Vernachlässigt wird dabei die Frage, wie gut Sicherheitsmaßnahmen überhaupt zur Arbeitsrealität passen – sprich, wie wahrscheinlich es ist, dass sie im Alltag akzeptiert werden.

Für jede Bedrohung gibt es meist mehrere verfügbare Sicherheitsmaßnahmen. Doch Unterschiede in Aufwand, Akzeptanz, Kompatibilität oder Komplexität werden in der Praxis oft nicht berücksichtigt. Stattdessen treffen Sicherheits- oder IT-Abteilungen Entscheidungen häufig ausschließlich auf Grundlage technischer Aspekte.

Um wirksame IT-Sicherheitsrichtlinien zu etablieren, müssen diese nicht nur technisch korrekt sein – sie müssen auch aus Mitarbeitersicht sinnvoll und praktikabel sein. Der Schlüssel dazu liegt im empathischen Policy Engineering: Sicherheitsvorgaben sollten so gestaltet sein, dass sie verständlich sind, akzeptiert werden und mit den alltäglichen Arbeitszielen vereinbar sind. Das gelingt am besten, wenn Mitarbeitende frühzeitig in die Entwicklung eingebunden werden – inklusive ihrer Zielkonflikte und praktischen Herausforderungen.

Ein anschließender Pilotversuch hilft dabei, potenzielle Stolpersteine und Hindernisse frühzeitig zu erkennen und die Maßnahmen entsprechend nach zu justieren. Es hat sich bewährt, dabei mit den “Early Adopters” zu starten – also der Gruppe an Anwendern, die Neuerungen gegenüber aufgeschlossen ist und im Anschluss konstruktives Feedback geben kann. Dieses sollte vor dem großen Roll-out berücksichtig werden. So kann eine Sicherheitskultur entstehen, die wirkt – und im Alltag tatsächlich gelebt wird.

3. Sinnvoll kommunizieren: Der RESPECT-Ansatz

Aktuell werden Sicherheitsmaßnahmen und -richtlinien häufig in einer Art und Weise kommuniziert, die Anwender nicht in ihrer Arbeitsrealität abholen, weil sie gar nicht darauf abzielen, dass Mitarbeitende sich damit beschäftigen und motiviert werden: Etwa über Anweisungen, Standard-Online-Trainings oder zu verspielte Formate wie Comics, die Mitarbeitende nicht ernst nehmen. Besser funktioniert das mit dem RESPECT-Ansatz: Er setzt auf Kommunikation auf Augenhöhe, statt auf Verbote und Strafen.

Der entscheidende Unterschied: Mitarbeitende werden als kompetente, verantwortungsvolle Erwachsene behandelt. Im Zentrum steht ein empathischer Blick auf ihre Bedürfnisse und Arbeitsrealitäten – ohne die Sicherheitsziele aus den Augen zu verlieren.

Es gibt mehrere Techniken, um die Kommunikation von Sicherheitsrichtlinien erfolgreich zu gestalten und Konflikte zu vermeiden:

Taktische Empathie: Diese schafft Anerkennung, stärkt Vertrauen und sorgt so dafür, dass sich Mitarbeitende gehört fühlen und bereit sind, sicherheitsrelevante Informationen anzunehmen.

„Help me to help you“ anstelle von „Nein“: Statt Sicherheitsvorgeben durchzusetzen, können CISOs mit gezielten „Wie“-Fragen Anwender dazu anregen, über die vorgeschlagenen Lösungen nachzudenken. Wenn Anwender Änderungswünsche zu den Sicherheitsvorgaben haben, sollte die Security nicht einfach nur ‘Nein’ sagen. Eine Rückfrage dazu, was die Mitarbeitenden selbst vorschlagen, um sowohl die Sicherheitsvorgaben einzuhalten als auch effizientes Arbeiten zu ermöglichen, ist sinnvoll. So entsteht ein Dialog und es ist leichter, einen für alle Beteiligten tragbaren Kompromiss zu finden.

Praxiserfahrung statt grauer Theorie: Ein Trainingskonzept, das auf direkte Erfahrung setzt, konfrontiert Teilnehmende mit realistischen Szenarien – etwa Cyberangriffe wie Phishing, Ransomware oder USB-Angriffe. Sie erleben hautnah in einer realitätsnahen Umgebung, die typische Arbeitsplätze in kleinen und mittleren Unternehmen abbildet, wie Cyberangriffe ablaufen. So entsteht ein tiefes, nachhaltiges Verständnis für IT-Sicherheit. Statt Belehrungen stehen der Mensch und das Erleben im Mittelpunkt.

Fazit: CISOs als Gestalter wirksamer Sicherheitskultur

Der geringe Erfolg vieler Sicherheitsmaßnahmen liegt nicht allein an den Nutzenden – oft sind es unrealistische Vorgaben, fehlende Einbindung und unzureichende Kommunikation. Für Sicherheitschefs bedeutet das: Statt auf Erziehung und Sanktionen zu setzen, braucht es einen strategischen Paradigmenwechsel. Sie sollten zu einer Art Emphatic Policy Architekt werden, dessen Sicherheitsstrategie nicht nur technisch funktioniert, sondern auch menschlich überzeugt. Er gestaltet Rahmenbedingungen, in denen sich sichere Entscheidungen selbstverständlich in den Arbeitsalltag einfügen. Dafür braucht es ein gutes Gespür für Zielkonflikte, Kommunikation auf Augenhöhe – und die Fähigkeit, Sicherheit als gemeinsamen Wert im Unternehmen zu verankern. (jm)

Lesetipp: So erfüllen Sie Ihre Compliance-Anforderungen

---

 

Im Dev-Umfeld verschwimmt die Grenze zwischen Programmieren und Prompten schon seit einigen Jahren. Auf die Spitze getrieben wird diese Entwicklung vom Vibe-Coding-Trend: Frühe KI-Entwickler-Tools wie GitHub Copilot waren vornehmlich darauf ausgelegt, Devs zu unterstützen. Etwa, indem sie Funktionen und Syntax ergänzten oder Boilerplate-Code aus Kommentaren generierten. Kommt ein Vibe-Coding-Ansatz zum Zug, beginnen menschliche Entwickler hingegen gar nicht erst damit, Code zu schreiben.

Dieses Konzept führt nicht nur zu veränderten Workflows, sondern erfordert auch, ein neues Mindset. Schließlich wird die Programmierarbeit mit Vibe Coding eher zu einer Art Live-Prototyping. In diesem Artikel lesen Sie:

• warum Vibe Coding Vibe Coding heißt,
• inwieweit sich dieser Ansatz für Unternehmen eignet,
• wie Vibe-Coding-Workflows konkret aussehen (können),
• welche Tools in diesem Bereich zu empfehlen sind,
• welche Risiken Sie dabei auf dem Schirm haben sollten, sowie
• Tipps dazu, wie Sie Vibe Coding effektiv in der Praxis umsetzen.

Vibe Coding – Begriffsdefinition

Der Begriff Vibe Coding wurde Anfang 2025 vom OpenAI-Mitbegründer Andrej Karpathy geprägt. Der KI-Experte trat den Trend mit einem Post auf dem Kurznachrichtendienst X los.

There's a new kind of coding I call "vibe coding", where you fully give in to the vibes, embrace exponentials, and forget that the code even exists. It's possible because the LLMs (e.g. Cursor Composer w Sonnet) are getting too good. Also I just talk to Composer with SuperWhisper…

— Andrej Karpathy (@karpathy) February 2, 2025

In diesem beschreibt Karpathy die Vibe-Coding-Methodik als eine neue Coding-Form, bei der man sich ganz den “Vibes” hingibt und vergisst, dass der Code überhaupt existiert. Amy Mortlock, Vice President of Marketing beim OSINT-Spezialisten ShadowDragon, erklärt das Konzept etwas weniger kryptisch: “Beim Vibe Coding beschreibt man in natürlicher Sprache, was man möchte, und die KI generiert dann die gesamte Anwendung und kümmert sich um alle technischen Details.”

Vibe Coding setzt also darauf, die traditionelle Programmierarbeit durch dialogorientierte Anweisungen und Kooperation mit einem KI-Assistenten zu ersetzen. Statt detaillierte Spezifikationen zu entwerfen und diese an die Engineers weiterzugeben, können Produktmanager, Fachexperten – oder jeder andere, der eine Idee hat – in einfacher Sprache beschreiben, wie das Ergebnis aussehen soll. Die KI-Software erledigt dem Rest in Echtzeit. Allerdings geht es dabei weniger darum, die Softwareentwicklung durchgängig zu automatisieren.

Vielmehr stehen Mindset-Veränderungen im Fokus: Warum sollte man nicht der KI die Mechanik überlassen und sich stattdessen auf die Ausrichtung, das Feedback, den Flow und die “Vibes” konzentrieren? Schließlich werden die Modelle, die Tools wie Cursor oder GitHub Copilot zugrunde liegen, immer performanter. Deswegen sehen auch viele Developer ihre Arbeit inzwischen vorwiegend als einen Dialog mit der KI – statt sich zeilenweise selbst durch Syntax zu wühlen.

Und obwohl auch bei einem Vibe-Coding-Ansatz diverse Probleme und Herausforderungen auf den Plan treten können (dazu später mehr): Die Technik gewinnt zunehmend an Popularität – auch im Unternehmensumfeld.

Vibe Coding im Unternehmen

Wie das in der Praxis konkret aussieht, beschreibt Charles Ma, Softwareentwickler beim Observability-Spezialisten Chronosphere: “Viele unserer Entwickler nutzen Tools wie Cursor und Claude Code. Wir fördern deren Einsatz sogar über ein Nutzungs-Leaderboard. Dabei betrachten wir die Tools jedoch als Assistenten, nicht als Dev-Ersatz. Unser Code-Review-Prozess ist weiterhin Pflicht für jeden Produktionscode – und wir sehen eher davon ab, viele unserer oder gar externe Tools mit KI zu verbinden.”

In der Perspektive von Achint Agarwal, Vice President of Product beim KI-Anbieter Pramata, hat Vibe Coding vor allem die Art und Weise verändert, wie Teams vom Konzept zum Prototyp gelangen: “Früher mussten UI/UX-Designer und Entwickler zusammenarbeiten, um eine Idee in etwas zu verwandeln, mit dem Kunden interagieren konnten. Dieser Prozess konnte leicht mehrere Wochen dauern und diverse Überarbeitungsrunden umfassen.”

Heute, so Agarwal, könne ein Produktmanager oder Fachexperte einfach in natürlicher Sprache formulieren, was er sich vorstellt, und die KI generiere funktionierenden Code in Prototyp-Qualität. “Bei dieser Veränderung geht es um mehr als nur Geschwindigkeit: Auch die Qualität der Ergebnisse ist besser, weil die Person, die den Anforderungen am nächsten steht, während des gesamten Prozesses die Kontrolle behält und es keine Reibungsverluste durch Übergaben gibt”, fügt der Manager hinzu.

Auch Agarwal sieht in Vibe Coding kein Substitut für die traditionelle Softwareentwicklung, sondern vor allem ein Explorations- und Validierungs-Tool: “Dev-Teams ist es damit möglich, in kurzer Zeit funktionierende Prototypen zu erstellen, diese mit Kunden zu testen und zu überprüfen, ob die Idee sinnvoll ist. Fällt diese Prüfung positiv aus, kann der Prototyp an die Engineers gehen, die ihn mit Blick auf Skalierbarkeit, Sicherheit und langfristige Integrationen weiter ausbauen.”

Wie sieht ein Vibe-Coding-Workflow aus?

Es gibt keine allgemeingültige Blaupause für Vibe Coding. Entsprechend gehen auch die Ansichten darüber auseinander, wie ein typischer Vibe-Coding-Workflow aussieht. Kostas Pardalis, Data Infrastructure Engineer beim KI-Lösungsanbieter Typedef, beschreibt diesen als agilen, vierstufigen Prozess:

• die Erkundungsphase, in der der “Vibe”, der Zweck und die Einschränkungen definiert werden.
• die Gestaltungsphase, in der ein funktionierender Prototyp erstellt und verfeinert wird.
• die Grounding-Phase, die genutzt wird, um Struktur und Datenintegrität hinzuzufügen.
• die Operationalisierungsphase, in der Versionierung, Evaluierung und Governance hinzukommen.

Steve Croce, Field CTO beim Open-Source-Unternehmen Anaconda, steht hingegen auf dem Standpunkt, dass der Vibe-Coding-Workflow davon abhängig ist, ob ein Prototyp, eine Zwischenlösung oder eine vollständige Produktionsapplikation entwickelt werden soll. Basierend darauf, orientiert sich der Vibe-Coding-Workflow in der Vision des Technologieentscheiders eher am traditionellen Software Development Lifecycle – fußt jedoch ebenfalls auf vier Stufen:

• In der Phase der Planungs- und Anforderungsanalyse könnten Produktmanager und UX-Teams demnach voll und ganz auf Vibe Coding setzen und so vor der formellen Entwicklung klickbare Prototypen und Machbarkeitstests erstellen.
• Im Rahmen der Design-Phase kann KI laut Croce dabei unterstützen, Architekturen und Dokumentationen zu erstellen. Der Manager weist allerdings darauf hin, dass es in dieser Phase auch hilfreich sein könne, erfahrene Engineers oder Architekten hinzuziehen, um die Einhaltung von Standards und die Reusability interner Systeme zu gewährleisten.
• Als Kernbereich der Vibe-Coding-Experience sieht Croce die Implementierungs- und Testphase: Ein KI-Agent könne an dieser Stelle die gesamte Anwendung erstellen und darüber hinaus auch Repositories strukturieren und Tests durchführen. Der Experte rät Unternehmens-Teams jedoch mit Blick auf die Testabdeckung und Konformitätsprüfungen auch in dieser Phase dazu, menschliche Profis hinzuzuziehen.
• In der Bereitstellungs- und Wartungsphase könne KI laut dem CTO dazu genutzt werden, Apps bereitzustellen und zu warten. Dieser Part könne jedoch auch vollständig außerhalb der Vibe-Coding-Erfahrung abgewickelt werden, um den Unternehmensanforderungen zu entsprechen, so Croce.

Empfehlenswerte Vibe-Coding-Tools

Vibe-Coding-Tools decken ein breites Spektrum ab: Vom leicht zugänglichen, dialogorientierten Builder für nicht-technische Teams, bis hin zu integrierten Entwicklungsumgebungen (IDEs), die Engineers umfassende Kontrollmöglichkeiten bieten und zuverlässige Anwendungen gewährleisten. Die Wahl des richtigen Tools hängt von den Fähigkeiten des Teams, dem Projektziel und dem benötigten Maß an Governance ab.

Eine kleine Auswahl empfehlenswerter Tools für Vibe-Coding-Zwecke:

• Cursor ist eine KI-integrierte IDE, mit der sich mehrere Dateien bearbeiten lassen.
• Replit ist eine gute Wahl für Browser-basierte Entwicklungsarbeit.
• Bolt und Lovable sind Builder, eignen sich vor allem für schnelles Brainstorming und zeichnen sich durch überschaubaren technischen Aufwand aus. Diese Tools sind daher auch für Einsteiger geeignet.
• Windsurf und Zed sind vollständige IDEs, die darauf ausgelegt sind, Vibe-Coding-Funktionen in traditionelle Dev-Umgebungen zu integrieren.

Diese Risiken birgt Vibe Coding

Trotz der genannten Vorteile birgt der Vibe-Coding-Ansatz auch diverse Risiken mit Blick auf die Wartbarkeit und Anfälligkeit der generierten Logik. So warnt etwa ShadowDragon-Managerin Mortlock: “Sicherheitslücken und technische Schulden sind die Hauptprobleme in Zusammenhang mit Vibe Coding. KI kann manchmal unsichere Pattern oder auch veraltete Bibliotheken einbinden.”

Zudem sei KI-generierter Code in den meisten Fällen auch länger, was das Debugging langwierig und mühsam gestalten könne, erklärt Mortlock. Sie fügt hinzu: “KI verweist unter Umständen auch auf nicht existierende Packages, was auch böswillige Akteure ausnutzen könnten. Was wie funktionierender Code aussieht, kann versteckte Fallen bergen.”

Charles Ma, Software Engineer beim Observability-Spezialisten Chronosphere, sieht ein weiteres Problem, das die Angriffsfläche potenziell vergrößert: “Selbst erfahrene Engineers können selbstzufrieden werden und dann Probleme übersehen, die ihnen sonst nicht entgangen wären. Sobald KI-Tools mit externen Systemen verbunden sind oder Websuchen durchführen, besteht außerdem das Risiko von Prompt Injections und Toolchain-Exploits.”

Infrastruktur-Profi Pardalis fokussiert mit Blick auf die Risiken von Vibe Coding vor allem die Bereiche Volatilität und Sichtbarkeit: Weil dieser Ansatz für schnelle Iterationen und Modellautonomie förderlich sei, bestünden die Hauptrisiken in unkontrollierter Variabilität und undurchsichtigen Quellen. Um diese Probleme zu bekämpfen, appelliert Pardalis für:

• Lineage Tracking: Jede Version wird committet und verwendet Frameworks mit integrierter Traceability.
• Evaluierungsschleifen: Qualitäts- und Regressionsprüfungen werden automatisiert durchgeführt.
• Governance-Layer: Prompt-Historien werden auditiert und sensible Daten gefiltert.

Der Engineering-Profi ist der Ansicht, dass eine expressive, modellgesteuerte Softwareentwicklung und eine deterministische Infrastruktur unter disziplinierten Rahmenbedingungen koexistieren können: “Letztendlich verspricht Vibe Coding kein Chaos, sondern strukturierte Kreativität. Sie entwickeln Ideen schnell, setzen sie aber sicher um. Mit anderen Worten: Freiheit am Anfang, Disziplin im weiteren Verlauf – so kann Vibe Coding tatsächlich in Produktionsumgebungen skaliert werden.”

6 Tipps für effektives Vibe Coding

Da Sie nun umfassend über alle Aspekte des Vibe-Coding-Ansatzes informiert sind, geben wir Ihnen abschließend noch ein paar Tipps an die Hand, um Ihre eigene Initiative erfolgreich umzusetzen. Diese haben wir aus unseren Gesprächen mit den im Artikel zitierten Spezialisten zum Thema extrahiert

• Beginnen Sie mit Zielen, nicht mit Funktionen: Beschreiben Sie zunächst die gewünschte User Experience und die wesentlichen Geschäftsprobleme, die mit der Initiative gelöst werden sollen. Dabei müssen Sie es nicht übertreiben und jeden Button oder Screen definieren – für relevante Lösungen ist es entscheidend, der KI so genau wie möglich zu beschreiben, was erreicht werden soll.
• Planen Sie voraus: Vibe Coding ist nicht in der Lage, eine gute Architektur zu ersetzen. Bevor Sie KI hinzuziehen, sollten Sie deshalb sicherstellen, dass Design und Spezifikationen stimmen. Das erleichtert es der KI, “Intent” in kohärente Systeme zu übersetzen.  
• Verstehen Sie KI als Partner: Es gilt, mit Vibe-Coding-Tools zu kollaborieren. Diese Werkzeuge brauchen Anleitung und ihre Ergebnisse müssen überprüft werden. Blindes Vertrauen kann an dieser Stelle kontraproduktiv sein. Sie sollten deshalb nicht zögern, die KI-generierte Logik in Frage zu stellen.
• Nutzen Sie Frameworks, Kontext und Beispiele: Etablierte Frameworks zu nutzen, erspart es Ihnen alles von Grund auf neu zu entwickeln. Die KI mit Beispielanwendungen zu füttern oder (vertrauenswürdige) MCP-Server hinzuzuziehen, um Kontext in größeren Projekten zu managen, kann ihre Fähigkeiten erweitern.  
• Halten Sie Menschen – und Security – im Loop: Setzen Sie auch bei Vibe- respektive KI-Coding-Tools auf das Least-Privilege-Prinzip – und Review-Prozesse. Engineering Best Practices anzuwenden, empfiehlt sich ebenfalls: Generieren Sie Tests, verifizieren Sie Funktionalitäten. Und betrachten Sie die Tools als Kreativitäts- und Produktivitäts-Support. Nicht als Substitut für Skills und Knowhow.
• Iterieren und verfeinern Sie: Nehmen Sie mit Blick auf Vibe Coding Abstand vom Streben nach Perfektion (auch wenn es Ihnen widerstrebt) und finden Sie sich möglichst frühzeitig mit unvollkommenen Ergebnissen ab. Tracken Sie Prompts, cachen Sie Checkpoints und verfeinern Sie die Ergebnisse – solange, bis der “Flow” zu einer zuverlässigen Funktionalität wird.

(fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Infoworld.com erschienen.

In einem Profiling-Gespräch sagte mir eine Mitarbeiterin, die sich auf eine Führungsposition beworben hatte, dass sie mit ihrer Chefin überhaupt nicht zurecht kommt. “Ich habe sieben Jahre für eine narzisstische Chefin gearbeitet – anschließend war ich sechs Monate in Therapie”, erzählte die Mitarbeiterin.

Was mir die Mitarbeitende dann berichtete, klang eher nach einem Psycho-Thriller, als nach einem Arbeitsalltag. Da wurden Vorgesetzte manipuliert, Aussagen bewusst falsch wiedergegeben, Geschichten erfunden zum Schaden unterschiedlicher Menschen in der Organisation und erfolgreiche Führungskräfte lächerlich gemacht. Nach außen verhielt sie sich charmant und korrekt – vor allem in Richtung Unternehmensleitung. Dass ständig Menschen in diesem Bereich gekündigt hatten und der Krankenstand hoch war, fiel vorerst niemandem auf.

Die Königin der Menschenverachtung

Der Rede ist hier von der Herzkönigin – bekannt aus dem Märchen ” Alice im Wunderland”. Die Herzkönigin ist die Schwester von Alice und aufgrund einiger Traumata entwickelt sie sich zu einer Königin der Menschenverachtung.

“Ab mit dem Kopf!” – ist wohl der bekannteste Satz aus diesem Märchen, und bei der genannten Chefin war das die Ansage zum Krieg. “Ich habe mich so geschämt, wenn ich davon mitbekam, welche Intrigen sie gesponnen hat, um Kollegen ganz bewusst Schaden zuzufügen”, so die leidtragende Mitarbeiterin.

Oft ist Narzissmus schwer zu erkennen

Und weiter: “Wenn jemand nicht ihrer Meinung war, war er ihr Feind und sein Bild musste zerstört werden, und das so lange, bis dieser Mensch aufgegeben hat oder das Unternehmen verlassen musste. Abgesehen hatte sie es auf Menschen, die entweder besonders kompetent oder sehr beliebt bei den Mächtigen waren. Irgendwie war es ihr immer möglich verdeckt zu regieren.”

Das, was sich hier als typische Verhaltensweisen des weiblichen Narzissmus zeigt, ist manchmal in der Praxis schwer zu erkennen. Es gibt immer wieder Menschen, die glauben, Narzissmus sei ausschließlich ein männliches Phänomen. Fakt ist: Narzisstische Frauen leben ihre Nöte nur anders aus als narzisstische Männer.

Unfähig eigenes Verhalten zu reflektieren

Von dem Mangel an Empathie und den Schwierigkeiten, sich in andere Menschen hineinzuversetzen und eine liebevolle Beziehung zu führen, ist es ihnen nahezu unmöglich, die eigenen Verhaltensweisen zu reflektieren und zu verändern.

Die übertriebene Selbstbezogenheit macht sie manchmal zum Sklaven ihres eigenen Äußeren und so manche “Störung im Essverhalten” deutet auf eine tiefe narzisstische Not hin. Narzissmus ist eine Persönlichkeitsstörung und braucht eine Therapie.

Oft sind andere Frauen das Opfer …

Ihr manipulatives Verhalten dynamisiert sich besonders bei Frauen, die im engen Umfeld mit ihr arbeiten. Hat diese Frau tiefliegende Unsicherheiten, sei es eine unverarbeitete Störung in der Beziehung zu ihrer Mutter und ist ihr Selbstwert nur gering ausgeprägt oder ihre Mutter selbst ein Mensch mit vielen narzisstischen Anteilen: Ist sie für die Herzkönigin ein gefundenes Opfer.

Werden die Bedürfnisse und Wünsche der Herzkönigin nicht erfüllt wird es schwierig. Dann finden täglich Übergriffe, Machtmissbrauch, Bashing und Mobbing und andere Verhaltensweisen statt. “Manchmal habe ich gedacht, ich sei verrückt und mit mir stimmt etwas nicht”, so die betroffene Mitarbeiterin.

… und oft schaut das Team weg

Häufig sind ihre Opfer nicht in der Lage sich abzugrenzen, sei es aus Angst, Ohnmacht oder Schuldgefühlen. Diese Menschen haben häufig gelernt, alles auf sich zu beziehen und sich in unterschiedlichen Situationen angesprochen und schuldig zu fühlen. Das bedeutet auch, dass alle sich im Team so verhalten, als gäbe es kein Problem, aus Angst ihr nächstes Opfer zu sein.

Doch was kann eine Mitarbeitende unternehmen, wenn sie mit einer Chefin dieser Art zusammenarbeiten muss? Wichtig sind ein paar Punkte zu wissen, auch wenn schon vieles in Betracht gezogen wurde:

• Diese Frau braucht einen Therapeuten, keinen Coach!

• Eigenreflexion und Selbsterkenntnis gehören nicht zu ihren Charaktereigenschaften, deshalb ist jede Wartezeit auf eine authentische Wiedergutmachung vertan.

• Sie spürt keine Reue, auch wenn ihre Tränen täuschend echt aussehen. (Vorsicht, Männer!) Es ist lediglich eine Affekt-Regulierung, wenn es “eng” wird und ihr Spiel droht aufzufliegen. Hier heißt der Klassiker des Dramatischen-Theaters: Attacke ist die beste Verteidigung.

• Wichtig ist, Vorfälle und Konflikte zu dokumentieren und gegebenenfalls Zeitzeugen hinzuzufügen. Unterstützung innerhalb der Organisation ist wichtig und hilft später maßgeblich bei der eigenen Verarbeitung.

Unternehmen sollten besonders Führungskräfte darin unterstützen, sei es durch Schulungen oder Weiterbildung, schwierige Persönlichkeiten zu verstehen und zu führen und unter bestimmten Umständen aus dem Arbeitsverhältnis zu lassen.

Detection Engineering war einst ein Nischenbereich, der vor allem für Großunternehmen relevant war. Inzwischen wird die Methodologie allerdings in diversen Branchen als unverzichtbar für den Security-Betrieb angesehen.

In diesem Beitrag erfahren Sie:

• was Detection Engineering ist,
• wie es sich von Threat Detection unterscheidet,
• welche Aspekte die Adoption treiben,
• welche Voraussetzungen dabei erfüllt sein sollten, und
• welche Rolle KI und Automatisierung dabei spielen können.

Was ist Detection Engineering?

Beim Detection Engineering geht es darum, Systeme zu entwickeln und zu implementieren, mit denen potenzielle Sicherheitsbedrohungen innerhalb der spezifischen Technologieumgebung eines Unternehmens identifiziert werden können – ohne dabei in einer Flut von Fehlalarmen unterzugehen. Dazu werden intelligente Regeln erstellt, um potenziell verdächtige oder schadhafte Vorgänge in den Netzwerken oder Systemen eines Unternehmens zu identifizieren und entsprechend aussagekräftige Warnmeldungen darüber zu generieren.

Der Detection-Engineering-Prozess umfasst in der Regel:

• Bedrohungen zu modellieren,
• die TTPs der Angreifer zu analysieren,
• Detection-Regeln zu schreiben, zu testen und zu validieren, sowie
• sich an neue Bedrohungen oder Angriffstechniken anzupassen.

Laut dem vom SANS Institute und Anvilogic veröffentlichten „State of Detection Engineering Report 2026“ (Download gegen Daten) investieren 80 Prozent der befragten Organisationen (und 85 Prozent der Großunternehmen) inzwischen aktiv in Detection Engineering. Von diesen verfügen mittlerweile 60 Prozent über eigene, dedizierte Teams in diesem Bereich. Und: 67 Prozent der Befragten geben an, dass Detection Engineering ausgeprägten Support durch das Management genießt.

Die Ergebnisse des Reports deuten darauf hin, dass viele Unternehmen Detection-Engineering-Praktiken nicht nur eingeführt, sondern zu einem strategischen Fokuspunkt ihrer Cybersecurity-Bemühungen gemacht haben. Oder, wie die Studienautoren es ausdrücken: „Noch vor einem Jahrzehnt war Detection Engineering relativ unbekannt. Heute ist es essenziell für die Security Operations.“

Der Report beschreibt zudem, wie sich die Detection-Engineering-Praktiken im Laufe der letzten Jahre weiterentwickelt haben. Waren diese zunächst übermäßig abhängig von herstellerspezifischen Konsolen und proprietären Sprachen, hielten dann nach und nach Softwareentwicklungsprinzipien wie CI/CD Einzug.

Detection Engineering vs. Threat Detection

Laut den Verfechtern des Ansatzes unterscheidet sich Detection Engineering wesentlich von herkömmlicher Threat Detection – mit Blick auf Ansatz, Methodik und die Integration in den Development Lifecycle:

• So sind traditionelle Threat-Detection-Prozesse in der Regel reaktiv und stützen sich auf vordefinierte Regeln und Anbietersignaturen – die Anpassungsmöglichkeiten für die Anwender sind limitiert.
• Im Gegensatz dazu kommen beim Detection Engineering Prinzipien der Softwareentwicklung zum Einsatz, um eine benutzerdefinierte Detection-Logik für eine spezifische Unternehmensumgebung und ihre Bedrohungslandschaft zu erstellen und zu pflegen. Das Ziel besteht darin, maßgeschneiderte Mechanismen zu entwickeln, um unternehmensspezifische Bedrohungen erkennen zu können.

Deshalb geht Detection Engineering oft mit einem stärkeren Fokus auf verhaltensbasierte Erkennungsmethoden einher, wie Heath Renfrow, CISO und Mitbegründer des Cyber-Recovery-Anbieters Fenix24, erklärt: „Detection Engineering ist verhaltensgesteuert, kontextsensitiv und auf die einzigartige Bedrohungslandschaft eines einzelnen Unternehmens zugeschnitten. Es ist ein Mix aus Security Operations, Threat Intelligence und Data Science.“

Warum Detection Engineering eingeführt wird

Die Einführung von Detection Engineering wird von einer ganzen Reihe von Faktoren vorangetrieben. Der wichtigste ist die Tatsache, dass Standard-Detection-Mechanismen nicht ausreichen: „Diese erfassen keine Baseline für die Umgebung, reduzieren die Anzahl der Fehlalarme nicht und – was besonders beunruhigend ist – warnen nicht immer vor den wirklich wichtigen Ereignissen“, konstatiert Johnathon Miller, Vice President of Security Operations beim Plattformanbieter Lumifi Cyber.

Generische Warnmeldungen, die den organisatorischen Kontext nicht berücksichtigen, haben sich vielerorts zum Problem entwickelt und fördern die „False Positive Fatigue“ – wie auch die vorab zitierte Studie belegt:

• 64 Prozent der Befragten geben an, unter hohen Fehlalarmraten zu leiden,
• 61 Prozent haben mit unpräzisen Detection-Mechanismen zu kämpfen, und
• 34 Prozent berichten von zeitlich verzögerten Updates und Optimierungen.

„Herkömmliche Methoden zur Bedrohungserkennung waren in der Vergangenheit statisch: Wenn a gleich a ist, wird eine Warnmeldung ausgelöst“, erklärt Kevin Gonzalez, Vice President of Security, Operations and Data bei Anvilogic. Laut dem Experten handle es sich oft um starre Black-Box-Mechanismen, denen es an Flexibilität bei der Anpassung mangele. Diese Ansätze seien laut Gonzalez zwar bis zu einem gewissen Grad nützlich, würden im Zuge einer Skalierung aber unüberschaubar – insbesondere bei hybriden Umgebungen.

Ein weiteres Problem ist das wachsende Ausmaß und die zunehmende Raffinesse der Sicherheitsbedrohungen. Angreifer setzen immer ausgefeiltere und schwerer zu erkennende Techniken ein – darunter Fileless Malware, Zero-Day-Exploits sowie „Living off the Land“- und Supply-Chain-Attacken. Die zunehmende Nutzung der Cloud hat darüber hinaus neue Schwachstellen eröffnet und blinde Flecken geschaffen, die mit herkömmlichen Detection-Methoden oft nur schwer abzudecken sind.

„Unternehmen erkennen mittlerweile, dass proaktive Erkennungstechniken die Verweildauer der Angreifer verkürzen, die Reaktionsfähigkeit verbessern und die allgemeine Cyberresilienz stärken. Zudem legen Compliance-Frameworks und auch Cyberversicherer zunehmend gesteigerten Wert auf robuste Detection-Strategien“, meint Sicherheitsentscheider Renfrow.

Detection Engineering – die Voraussetzungen

Zu den Unternehmen, die auf Detection Engineering setzen, zählen Firmen aus dem Bankensektor, der Tech- und Cybersecurity-Branche sowie dem Healthcare-Bereich. Also hauptsächlich Branchen, die strengen regulatorischen Anforderungen unterliegen oder regelmäßig zum Ziel raffinierter Angreifer werden.  

Tatsächlich können jedoch die meisten Unternehmen mit einer komplexen IT-Infrastruktur von Detection Engineering profitieren – zum Beispiel auch mit Blick auf Security Operations Center (SOCs), wie Michael Mumcuoglu, CEO beim Detection-Engineering-Anbieter CardinalOps, erklärt: „Nicht nur die Bedrohungslandschaft verändert sich, sondern auch die eigene interne IT-Infrastruktur. Das kann zu Abweichungen bei der Detection führen, so dass die Regeln nicht mehr eingehalten und somit auch keine Warnmeldungen mehr ausgelöst werden.“

Als zentrale Voraussetzungen für den Aufbau von Detection-Engineering-Fähigkeiten gelten unter Sicherheitsexperten:

• Daten: Detection-Engineering-Teams benötigen Zugriff auf Protokolle und Security-Event-Daten von Endgeräten, Netzwerken, Cloud-Umgebungen und Sicherheits-Tools sowie auf eine zentralisierte SIEM– oder Log-Management-Plattform, um diese zu aggregieren und zu normalisieren.
• Qualifiziertes Personal: Detection Engineers, Security-Analysten und Threat Researcher sind nötig, um Detection-Regeln zu entwickeln und zu verfeinern.
• Formalisierte Prozesse: Diese sind essenziell, um Bedrohungen zu modellieren, zu testen und Threat-Daten in die Incident Response zu integrieren.

CISO Renfrow empfiehlt Detection-Engineering-Interessierten zudem, Frameworks wie MITRE ATT&CK zu nutzen, um sicherzustellen, dass bekannte Adversary-Techniken abgedeckt werden. Zusätzlich rät der Sicherheitsentscheider Anwenderunternehmen dazu, Adversary-Emulation-Tools einzusetzen, um die Effektivität ihrer Bemühungen zu validieren.

Automatisiertes Detection Engineering

Bei der Optimierung und Automatisierung von Detection-Regeln können auch künstliche Intelligenz (KI) und Machine Learning (ML) unterstützen, wie ein weiterer Blick auf den Report von SANS und Anvilogic deutlich macht. Demnach:

• setzen 45 Prozent der Studienteilnehmer in ihren Detection-Engineering-Programmen KI ein, um Anomalien zu erkennen sowie Regeln zu generieren und Warnmeldungen zu triagieren.
• sind 88 Prozent davon überzeugt, dass KI in den nächsten drei Jahren erheblichen Einfluss auf ihre Detection-Engineering-Programme haben wird.
• nutzen 93 Prozent der Befragten aktuell eine Form der Automatisierung in ihrem Detection-Engineering-Workflow ein – oder planen damit.

„Einer der stärksten Anwendungsfälle für KI ist es, riesige Datenmengen zu analysieren, um Anomalien zu identifizieren. Insbesondere, wenn es um KI-Modelle geht, die auf benutzerdefinierten Datensätzen trainiert wurden“, meint auch Glenn Thorpe, Senior Director of Security Research and Detection Engineering beim Plattformanbieter GreyNoise Intelligence.

Geht es darum, Detection-Engineering-Prozesse zu automatisieren, nehmen Anwender vor allem drei Bereiche in den Fokus. Sie:

• mappen ihre Detection-Abdeckung mit dem MITRE-ATT&CK-Framework,
• identifizieren fehlerhafte oder falsch konfigurierte Detection-Regeln, und
• operationalisieren Threat-Informationen in umsetzbare Erkennungsregeln.

Security-Experte Thorpe warnt Unternehmen allerdings davor, nach einer Einheitslösung zu suchen, um Detection-Engineering-Kapazitäten aufzubauen: „Um ein effektives Team in diesem Bereich aufzubauen, sind vor allem eine kreative, vielschichtige Denkweise und Neugierde gefragt.“

Ein guter Ausgangspunkt wäre laut dem Manager, die Kerndaten des eigenen Unternehmens zu identifizieren und Menschen zu finden, die diese aus unterschiedlichen Perspektiven analysieren können: „Verschaffen Sie sich ein realistisches Bild davon, was Sie nicht wissen – und schließen sie dann diese Informationslücken. Dabei werden Sie wahrscheinlich feststellen, dass schon kleinere Veränderungen mehr Transparenz schaffen und es erleichtern, den Netzwerk-Traffic zu verstehen.“ (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Data Products tragen dazu bei, die Art und Weise zu standardisieren, wie Rohdaten, Data-Warehouse-, sowie logische Data-Lake-Ansichten kombiniert und genutzt werden, um Analyse- und KI-Funktionen bereitzustellen. Indem sie Datenprodukte entwickeln, können Teams in Unternehmen einen Großteil der im Vorfeld erforderlichen Daten-Pipelines sowie Governance- und Management-Tasks optimieren. Darüber hinaus gewährleisten diese auch, dass Mensch und KI auf vertrauenswürdige Datenressourcen zugreifen.  

Kochen bietet an dieser Stelle eine hilfreiche Analogie: Sie könnten sich dazu entscheiden, für Ihr Lieblingsgericht ausschließlich auf frische Zutaten zu setzen. Dieser Ansatz funktioniert gut, wenn Sie sowohl die Zeit als auch die nötigen Fähigkeiten dafür mitbringen. Wenn nicht, setzen Sie eventuell lieber auf Convenience-Bestandteile – insbesondere unter Zeitdruck. Datenprodukte bieten eine vergleichbare Zeitersparnis – Analytics- und KI-Funktionen bauen in diesem Fall auf konsistenten, (vor)optimierten „Zutaten“ auf.

Die folgenden fünf Tipps sollten Sie bei Ihrer Data-Product-Initiative unbedingt verinnerlichen.

1. Data Products strategisch nutzen

Die meisten Unternehmen können es sich nicht leisten, für jede Datenvisualisierung, jedes Machine-Learning-Modell oder jeden KI-Agenten eigene Datenprodukte zu entwickeln. Schließlich ist das mit Kosten und Zeitaufwand verbunden. Dazu kommt: Sobald ein Data Product bereitgestellt ist, müssen die Produktmanager für fortlaufenden Support und ein entsprechendes Lifecycle-Management sorgen. Die erste entscheidende Frage ist also, in welchen Fällen es für agile Daten-Teams Sinn macht, Datenprodukte zu entwickeln – und wie dabei priorisiert werden sollte.   

Ein Ansatzpunkt besteht darin, das Data Product auf einen einzelnen Datensatz herunterzubrechen und sich zu überlegen, was es bedeutet, diesen zum Produkt zu machen. Danielle Ben-Gera, Vice President of Engineering bei Crunchbase, erklärt: „Ein Datensatz sollte erst dann zu einem Datenprodukt werden, wenn sich mehrere Teams bei Entscheidungen – oder zum Support von Anwendungen – darauf verlassen.“

Dabei seien eine angemessene Governance, klare Zuständigkeiten, Versionierungen und ein kontrollierter Lebenszyklus für Änderungen essenziell, warnt die Managerin: „Ansonsten liefert man nur instabile Pipelines aus, die die nachgelagerten Workflows zum Erliegen bringen.“

Eine andere Überlegung, die zu Data Products führt, ist die Nutzung von Daten außerhalb der Governance. An dieser Stelle kann ein Datenprodukt einen taktischen Ansatz darstellen, wie Yaad Oren, Global Head of Research and Innovation bei SAP, nahelegt: „Wenn Datensätze teamübergreifend ohne strenge Governance, klar definierte Prozesse oder eindeutige Zuständigkeiten genutzt werden, ist Unternehmen zu empfehlen, ein Data Product zu entwickeln. Datenprodukte, die in einer einheitlichen Datenbasis verankert sind, beseitigen Silos, schaffen ein gemeinsames Verständnis über die Daten und etablieren einen sicheren, standardisierten Zugriff auf diese.“

Eine dritte Möglichkeit, Datenprodukte strategisch zu nutzen, ist, diese für definierte Kunden in wiederverwendbarer Form zu entwickeln, um Effizienzgewinne einzufahren. Wenn ein solches Data Product erfordert, mehrere Datenquellen miteinander zu kombinieren, ist das Vision Statement und qualifizierter Business Value besonders wichtig. Christopher Zangrilli, Vice President of Technology Strategy beim Compliance-Dienstleister Vertex, erklärt: „Führungskräfte sollten sich fragen, ob die Daten die Cycle Times optimieren, die Entscheidungsgenauigkeit verbessern oder Compliance-Risiken mindern, um den Business Impact einzuordnen. Wenn Governance, Change Management, Qualität und Messverfahren von Beginn an integriert sind, wandeln sich Datenprodukte von experimentellen Tools zu strategischen Ressourcen.“

2. Datenprodukte standardisieren

Produkte im Supermarkt sind mit einer Verpackung versehen, auf der eine detaillierte Liste der Inhaltsstoffe, ein Verfallsdatum und ein Preis angegeben sind. Ganz ähnlich sollten Data-Governance-Verantwortliche vorgehen – und standardisieren, wie Data Products definiert, katalogisiert und gemanagt werden. Wie und warum, erklärt Abhi Sharma, Mitbegründer und CEO des KI-Anbieters Relyance AI: „Jedes moderne Datenprodukt sollte vier Fragen klar beantworten: Woher stammen die Daten, wie werden sie systemübergreifend transformiert, wer oder was nutzt sie und welche Governance-Verpflichtungen fallen dabei an? Ohne diesen durchgängigen Kontext entwickeln Teams Funktionen auf der Grundlage von Daten, die sie nicht vollständig verstehen.“

Obwohl Lebensmittelhersteller ihre Inhaltsstoffe veröffentlichen und mit Blick auf Gefahren wie allergische Reaktionen kennzeichnen, dokumentieren nur wenige die Herkunft ihrer Rohstoffe und welchen Weg diese vom Erzeuger zum Händler nehmen. Geht es darum, Data Products in streng regulierten Branchen zu entwickeln, kann es allerdings erforderlich sein, genau das zu tun – und die Data Lineage zu erfassen. Besonders wichtig ist das, wenn es darum geht, Datenquellen für KI-Applikationen zu standardisieren.

Carter Page, Executive Vice President of Research and Development beim Dev-Spezialisten Astronomer, weiß, was anderenfalls droht: „Ohne Data Lineage arbeiten Teams im Blindflug und Governance verkommt zu reaktiver Fehlerbehebung. Wenn Teams dagegen nachvollziehen können, woher die Daten stammen, wie sie transformiert wurden und welche Systeme darauf angewiesen sind, werden Aktualisierungen vorhersehbar, die richtigen Pipelines getestet, die betroffenen Stakeholder benachrichtigt und grundlegende Änderungen dokumentiert. Bevor es dadurch zu Incidents kommt.“

3. Data Products nachhaltig managen

Lebenszyklusmanagement erfordert bei APIs, Anwendungen oder KI-Modellen, einen Release-Plan für Optimierungen, Fehlerbehebungen und andere notwendige Updates festzulegen. Geht es hingegen um Datenprodukte, kommen mehrere, verwandte Disziplinen zusammen, wie Ulf Viney, EVP of Engineering beim KI-Datenspezialisten Precisely, erklärt: „Um den Lebenszyklus von Data Products zu managen, braucht es Versionierung, Testing, strukturierte Deployments und Stakeolder-Kommunikation.“

Ein weiterer grundlegender Unterschied bei Datenprodukten: Ihr Lifecycle Management ist eng damit verbunden, wie die zugrundeliegenden Datensätze wachsen – beziehungsweise, welche strukturelle Veränderungen diese durchlaufen. Ein Data Product, das zwar funktioniert, aber nicht veränderungsresistent ist oder keine Warnmeldungen ausgibt, wenn Fehlerbehebungen erforderlich sind, kann nachgelagerte Anwendungsfälle beeinträchtigen und das Vertrauen der Stakeholder und Nutzer in die Daten untergraben. Insbesondere letzteres gilt es zu verhindern. Wie, weiß Bethany Sehon, Senior Director of Enterprise Data bei Capital One: „Ein nachhaltiges und skalierbares Governance-Framework kann sicherstellen, dass Daten leicht zu finden, zu verstehen und zu nutzen sind.“

Teams, die geschäftskritische Echtzeit-Datenprodukte managen, die mehrere nachgelagerte Analytics- und KI-Anwendungsfälle unterfüttern, sind die folgenden DevOps- und Data-Governance-Praktiken zu empfehlen:

• Legen Sie unverhandelbare Data-Governance-Kriterien fest – insbesondere, wenn es darum geht, Datenqualitäts-Benchmarks zu setzen, etwaige Verzerrungen zu identifizieren und Datenschutzrichtlinien einzuhalten.
• Nutzen Sie fortschrittliche CI/CD-Pipelines, Continuous Deployment sowie Continuous Testing und automatisieren Sie Produktions-Deployments.
• Stellen Sie sicher, dass sämtliche Datenintegrationen über „observable“ DataOps verfügen, Datenqualitätsprobleme überprüft werden und Alerts ausgesendet werden, wenn die Pipelines zum Erliegen kommen. Um Requests und Incidents zu bearbeiten, sollten IT-Services zudem entsprechend definiert werden.
• Stützen Sie sich auf Plattform-Strategien wenn es um Datenmanagement geht – zum Beispiel im Hinblick auf Data Fabrics, DSPM, Dokumentenverarbeitung und Vektordatenbanken.

4. Datenprodukte verargumentieren

Ein Data Product auf die Beine zu stellen, ist leider kein Garant dafür, dass dieses auch angenommen wird. Das verdeutlichen auch die Beispiele von Reusable Code, API-Nutzung oder DevOps-Tools: Sie alle zielten darauf ab, Entwicklern das Arbeitsleben leichter zu machen und die Qualität zu verbessern. Trotzdem nahmen viele Teams lieber eine „Not invented here“-Haltung ein und setzten lieber auf Eigenentwicklungen statt die Standards anderer.

Datenprodukte stehen allerdings vor noch größeren Herausforderungen. Ganz besonders, wenn sie darauf abzielen, Datensilos zu konsolidieren oder Tabellenkalkulationen zu eliminieren. Um die Akzetanz zu fördern (und Feedback einzuholen), sollten die für die jeweiligen Data Products verantwortlichen Produktmanager deshalb ein Change-Management-Programm entwickeln. Förderlich ist dabei, darzulegen, wie das Datenprodukt auf den kulturellen Change und die KI-Strategie des Unternehmens einzahlt – etwa indem es die Demokratisierung von KI vorantreibt und die Kompetenz im Umgang mit der Technologie optimiert.

5. Data Products richtig evaluieren

Der Geschäftswert eines kundenorientierten Produkts wird häufig gemessen anhand der Auswirkungen auf den Umsatz, der Nutzungs-Metriken sowie der Kundenzufriedenheit. Interne, mitarbeiterorientierte Produkte lassen sich hingegen anhand ihrer Workflow-Effizienz, ihrem Potenzial für Produktivitätssteigerungen und der Mitarbeiterzufriedenheit evaluieren.

„Zu viele Unternehmen behandeln Datenprodukte immer noch als technische Outputs und nicht als strategische Assets“, kritisiert Daniel Ziv, Global Vice President of AI and Analytics beim KI-Anbieter Verint. Der wahre Wert von Data Products lasse sich daran ablesen, wie einzigartig die generierten Daten sind, wie viel messbaren Einfluss sie auf Entscheidungen nehmen, meint der Manager: „Wenn jedes Unternehmen Zugang zu denselben KI-Modellen hat, ergibt sich der Wettbewerbsvorteil aus ‚uniquen‘ Daten und der Geschwindigkeit, mit der diese in Maßnahmen umgesetzt werden können.“

Eine Best Practice auf die IT-Entscheider in diesem Zusammenhang zurückgreifen können, ist es, Metriken heranzuziehen, die Aufschluss über die Geschwindigkeit digitaler Transformationsvorhaben geben. Dazu gehören etwa:  

• „Time to Data“,
• „Time to Decision“,
• „Time to Innovation“, und
• „Time to Value“.

(fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Infoworld.com erschienen.

Unternehmen stehen derzeit vor zwei gleichzeitigen Herausforderungen: Die Risiken rund um KI entwickeln sich schneller als die Governance, während sich der geschäftliche Nutzen oft nur schwer messen lässt.

Das ist eines der Kernergebnisse von „The Value of AI“, einer Studie, die SAP in Zusammenarbeit mit Oxford Economics in diesem Jahr zum zweiten Mal erstellt hat. Für die Studie wurden weltweit 2.600 Führungskräfte aus 13 Ländern befragt, darunter 200 Entscheiderinnen und Entscheider aus Deutschland.

Hohe Erwartungen, geringe Vorbereitung

Im Durchschnitt wollen deutsche Unternehmen in diesem Jahr rund 35 Millionen Euro in KI investieren und rechnen mit einem ROI von 24 Prozent (Vorjahr: 17 Prozent). Besonders hoch sind die Erwartungen an KI-Agenten: Ihr wirtschaftlicher Nutzen soll innerhalb von zwei Jahren auf rund 18 Millionen Euro steigen. Und: 90 Prozent der befragten Unternehmen schreiben Agentic AI das Potenzial zu, ihre Organisation grundlegend zu verändern. Andererseits fühlen sich nur vier Prozent der Unternehmen vollständig auf den Einsatz von KI-Agenten vorbereitet.

Insbesondere beim Thema Governance bestehen Lücken:

• Nur elf Prozent der Befragten halten die Steuerungsfähigkeiten in ihrem Unternehmen für ausreichend,
• mehr als 50 Prozent verfügen nicht über Prozesse zur menschlichen Kontrolle von KI-Agenten, und
• lediglich 30 Prozent haben Berechtigungs- oder Agentenverzeichnisse eingerichtet.

Gleichzeitig befürchten oder akzeptieren viele Unternehmen, KI-Agenten schneller einzuführen, als sie diese kontrollieren können. Weitere Bremsklötze sind Schwächen in der Organisation des KI-Einsatzes, mangelhafte Datenqualität, unzureichende Qualifizierung der Beschäftigten sowie die weit verbreitete Nutzung von Schatten-KI.

Im CW-Gespräch nimmt Sean Kask, Chief AI Strategy Officer bei SAP, zu den wichtigsten Ergebnissen der Studie Stellung.

“Die Governance-Frage ist aktuell die größere Herausforderung”

Herr Kask, im Vorwort der Studie schreiben Sie, dass Unternehmen derzeit vor zwei Herausforderungen gleichzeitig stehen: Die Risiken rund um KI entwickeln sich schneller als die Governance, während sich der geschäftliche Nutzen oft nur schwer messen lässt. Was bereitet Unternehmen die größeren Probleme?

Sean Kask: Den geschäftlichen Nutzen von IT-Investitionen zu messen, war nie einfach. Das gilt auch für KI. Deshalb halte ich die Governance-Frage aktuell für die größere Herausforderung. Klassische Governance-Prinzipien und bewährte Verfahren für sichere Softwareentwicklung bleiben zwar auch im Zeitalter großer Sprachmodelle und agentischer KI wichtig. Gleichzeitig entstehen aber völlig neue Risiken.

Sobald Unternehmen KI breit ausrollen, entdecken sie beispielsweise plötzlich Hunderte oder sogar Tausende sogenannter „Shadow Agents“, die Mitarbeitende ohne zentrale Kontrolle einsetzen. Oder sie stellen fest, dass ein erheblicher Teil der Belegschaft Inhalte in private ChatGPT-Konten kopiert. Solche Risiken werden häufig erst sichtbar, wenn KI bereits produktiv genutzt wird.

Deutsche Unternehmen investieren laut Ihrer Studie mit durchschnittlich fast 40 Millionen Dollar mehr in KI als Unternehmen in allen anderen untersuchten Ländern. Woran liegt das?

Kask: Mich hat weniger die Höhe der Investitionen überrascht als vielmehr die Tatsache, dass sich Investitionsniveau und erzielter Return on Investment über die verschiedenen Länder hinweg insgesamt sehr ähnlich entwickelt haben. Warum Deutschland mehr investiert, lässt sich nicht eindeutig beantworten. Teilweise dürfte es schlicht daran liegen, dass die Kosten hier höher sind als beispielsweise in Indien.

Wir sehen aber auch eine hohe KI-Adoption bei deutschen Unternehmen. SAP verfügt über ein Dashboard, mit dem wir nachvollziehen können, wie unsere Kunden KI-Funktionen einsetzen. Deutschland gehört dabei zu den Ländern mit einer besonders hohen Nutzung. Hinzu kommen die starke industrielle Basis und die politischen Impulse aus Europa, die den Einsatz von KI vorantreiben. Entsprechend investieren Unternehmen hier gezielt in den Aufbau entsprechender Kompetenzen.

Laut Studie sind 47 Prozent der deutschen Unternehmen mit dem Return on Investment ihrer KI-Investitionen zufrieden. Gleichzeitig sagen 77 Prozent, dass sie das Potenzial von KI noch längst nicht ausschöpfen. Ist das nicht ein Widerspruch?

Kask: Nein, dieses Muster sehen wir weltweit. Unternehmen investieren zunächst in einige wenige KI-Anwendungsfälle und stellen fest: Das funktioniert, wir erzielen einen Mehrwert. Entsprechend sind sie mit ihrer Investition zufrieden.

Doch genau dadurch erkennen sie auch weitere Einsatzszenarien. Sie beschäftigen sich mit KI-Agenten und möchten diese ebenfalls nutzen. Genau an diesem Punkt stoßen viele jedoch auf neue Herausforderungen bei der Einführung und Skalierung.

Die Studie zeigt deshalb vor allem eine Lernkurve: Je mehr Erfahrungen Unternehmen mit KI sammeln, desto größer wird ihr Bewusstsein für das bislang ungenutzte Potenzial.

Der Studie zufolge verfügen nur 35 Prozent der deutschen Unternehmen über KPIs auf Vorstandsebene, die direkt an die Einführung von KI gekoppelt sind. Welche Kennzahlen sollten Aufsichtsgremien und CEOs aus Ihrer Sicht unbedingt messen?

Kask: Ein zentraler Indikator ist für uns das Enablement der Mitarbeitenden. Wie viele Beschäftigte haben bereits Schulungs- oder Upskilling-Programme rund um KI erfolgreich absolviert? Ohne entsprechende Kompetenzen bleibt auch die KI-Adoption hinter ihren Möglichkeiten zurück.

Ebenso wichtig ist Transparenz. Unternehmen sollten wissen, welche KI-Agenten in ihrer Landschaft tatsächlich im Einsatz sind. SAP bietet hierfür den SAP AI Agent Hub an, der der Agenten aus SAP- und Drittanbieter-Umgebungen automatisch entdeckt und inventarisiert. Kunden konnten so bereits Tausende Agenten identifiziert, was den Bedarf an zentraler Governance und Transparenz deutlich macht.

Außerdem sollten Unternehmen einen vollständigen Überblick über alle KI-Anwendungsfälle haben. Für jeden Use Case sollte ein belastbarer Business Case vorliegen. Häufig erleben wir zwei Extreme: Entweder steht der Vorstand unter Druck, möglichst schnell KI einzuführen und stellt dafür pauschal Budget bereit. Oder das Management hält sich zunächst zurück. Dann entstehen überall im Unternehmen eigenständig Pilotprojekte, einzelne Fachbereiche beschaffen eigene Werkzeuge und schließen eigene Verträge ab.

Bei SAP verfolgen wir deshalb einen klar strukturierten Auswahlprozess. Jede Idee durchläuft zunächst eine Bewertung des zu erwarteten Geschäftswerts. Danach prüfen wir die technische Machbarkeit, die Datenverfügbarkeit sowie ethische und Governance-Aspekte. Aus Sicht des Managements ist entscheidend, jederzeit Transparenz über alle laufenden KI-Projekte zu haben und diese konsequent nach ihrem Geschäftswert zu priorisieren.

“Auch Agenten brauchen einen ‘Hire-to-Retire’-Lebenszyklus”

Auch mit der Einführung von Dutzenden oder sogar Hunderten KI-Agenten wird die Governance immer komplexer. Welche Funktionen benötigen Enterprise-Plattformen, um KI-Agenten sicher und kontrolliert im großen Maßstab zu verwalten?

Kask: Wir versuchen bewusst, KI nicht zu stark zu vermenschlichen. Dennoch hilft die Analogie: Für Agenten braucht es einen vollständigen „Hire-to-Retire“-Lebenszyklus. Das beginnt mit der Erkennung und Registrierung eines Agenten. Anschließend wird er in die Unternehmensumgebung integriert, erhält die notwendigen Berechtigungen und Zugriff auf die Datenquellen, die er für seine Aufgaben benötigt.

Ebenso wichtig ist die Observability. Unternehmen müssen jederzeit nachvollziehen können, was ein Agent im System tatsächlich macht. Darüber hinaus sollten sie Leistungskennzahlen erfassen: Erreicht der Agent die gewünschten Ergebnisse? Wie effizient arbeitet er? Wie viele Tokens verbraucht er? Wie viele Verarbeitungsschritte benötigt er für eine Aufgabe?

Letztlich geht es um mehrere Bausteine: ein vollständiges Inventar aller Agenten, geeignete Governance-, Risk- und Compliance-Mechanismen (GRC), Transparenz über das Verhalten der Agenten sowie eine kontinuierliche Überwachung. Nur so lässt sich sicherstellen, dass KI-Agenten dauerhaft innerhalb der definierten Leitplanken arbeiten und den gewünschten Geschäftswert liefern.

Welche Geschäftsprozesse werden Unternehmen Ihrer Einschätzung nach in den nächsten zwei bis drei Jahren tatsächlich vollständig an KI-Agenten delegieren?

Kask: Derzeit funktionieren solche Agenten vor allem in klar abgegrenzten Anwendungsfällen besonders gut. SAP wird mehr als 50 (aktuell 34) spezialisierte KI-Agenten veröffentlichen.

Ein Beispiel ist die periodische Rechnungslegung. Dort müssen Buchungen anhand zahlreicher Regeln erfolgen, die in Dokumenten, E-Mails oder früheren Transaktionen hinterlegt sind. Der Agent analysiert diese verschiedenen Informationsquellen, leitet daraus eine Empfehlung ab und schlägt dem Sachbearbeiter die passende Buchung vor.

Nach dem, was wir aus Kundenprojekten hören, verbringen Mitarbeitende mittelgroßer Unternehmen heute oft rund zwölf Stunden pro Monat mit diesen Aufgaben. Mithilfe eines KI-Agenten lässt sich dieser Aufwand auf zwei bis drei Stunden reduzieren.

Ein weiteres Einsatzfeld ist die Produktionsplanung. Ändern sich Liefertermine oder gehen kurzfristig neue Aufträge ein, muss der gesamte Produktionsplan angepasst werden. Genau solche komplexen Optimierungsaufgaben eignen sich hervorragend für KI-Agenten.

Grundsätzlich gibt es kaum Grenzen dafür, in welchen eng umrissenen Geschäftsprozessen Agenten eingesetzt werden können. Vollständig autonom werden sie allerdings zunächst nicht agieren.

“Vertrauen in KI beginnt mit einer stabilen Basis”

Viele Unternehmen tun sich noch schwer, KI-Agenten zu vertrauen. Schließlich arbeiten große Sprachmodelle probabilistisch und können halluzinieren. Gerade bei Finanzprozessen ist das problematisch. Wie schaffen Sie Vertrauen?

Kask: Vertrauen beginnt mit einer stabilen Basis. Die ERP-Systeme bleiben das verlässliche „System of Record“. Sie arbeiten deterministisch, enthalten die Geschäftslogik und die relevanten Unternehmensdaten. KI-Agenten bauen auf dieser Basis auf – sie ersetzen sie nicht.

Ebenso wichtig ist das „Human in the Loop“-Prinzip. Mitarbeitende müssen nachvollziehen können, was der Agent macht, seine Ergebnisse überprüfen und bei Bedarf eingreifen. Deshalb spielt auch die Qualifizierung der Beschäftigten eine entscheidende Rolle. Sie müssen verstehen, wie generative KI funktioniert und wo ihre Grenzen liegen.

Natürlich können Sprachmodelle halluzinieren. Gleichzeitig darf man nicht vergessen, dass auch Menschen nicht fehlerfrei arbeiten. Entscheidend ist das Zusammenspiel von Mensch und KI. So lassen sich sowohl die Effizienz als auch die Qualität vieler Geschäftsprozesse verbessern.

Ein weiterer wichtiger Baustein ist Transparenz. Unsere globale KI-Ethikrichtlinie schreibt beispielsweise vor, dass Nutzer immer erkennen können müssen, wenn KI beteiligt ist. In Joule lässt sich nachvollziehen, welche Datenquellen der Agent genutzt hat und welche Schritte er bei seiner Entscheidung durchlaufen hat. Diese Nachvollziehbarkeit ist eine wesentliche Voraussetzung für Vertrauen.

Was unterscheidet einen SAP-Agenten von einem allgemeinen KI-Agenten, der lediglich auf ein ERP-System zugreift?

Kask: Der entscheidende Unterschied liegt darin, dass Joule und die SAP-Agenten direkt im ERP-System verankert sind. Dort haben wir beispielsweise einen „Knowledge Graph“ aufgebaut, der die semantischen Beziehungen zwischen sämtlichen Tabellen, Geschäftsobjekten und Datenfeldern beschreibt.

Um die Größenordnung zu verdeutlichen: Der SAP S/4HANA Knowledge Graph basiert auf rund 452.000 ABAP-Tabellen, 7,3 Millionen Datenfelder und Tausenden analytischen Sichten. Die semantischen Beziehungen zwischen diesen Artefakten werden im Knowledge Graph modelliert und für KI-Anwendungen nutzbar gemacht.

Wenn ein Anwender beispielsweise sämtliche offenen Bestellungen einsehen möchte, muss der Agent nicht erst mühsam nach den relevanten Informationen suchen. Er weiß sofort, welche Tabellen und Objekte relevant sind und kennt auch die Beziehungen zwischen einer Bestellung, einer Bestellanforderung, den zuständigen Genehmigern und weiteren Geschäftsobjekten. Dadurch arbeitet der Agent nicht nur deutlich präziser, sondern benötigt auch erheblich weniger Tokens, weil er den Suchraum stark eingrenzen kann.

Versucht man stattdessen, KI lediglich auf ein bestehendes System aufzusetzen oder Daten aus einem relationalen ERP-System herauszulösen, gehen viele dieser Beziehungen verloren. Man zerstört gewissermaßen den semantischen Kontext, der für präzise Antworten entscheidend ist.

Deshalb betrachten wir das ERP-System als einen enormen strategischen Vorteil. Es ist seit Jahrzehnten das System of Record und enthält rund 50 Jahre kodiertes Geschäfts- und Prozesswissen. Dieses Wissen bildet die Grundlage für das, was wir als „Autonomous Enterprise“ bezeichnen. Die Agenten bauen auf diesem Wissen auf und entwickeln es weiter.

Künftig werden SAP-Agenten zudem über Standards wie Agent-to-Agent (A2A) bidirektional mit Agenten anderer Anbieter kommunizieren.

Laut Ihrer Studie schafft KI derzeit den größten Mehrwert bei der Entscheidungsfindung, der Kundeninteraktion und der Gewinnung neuer Erkenntnisse – weniger bei klassischen Produktivitätssteigerungen. Wird sich dadurch die Art verändern, wie Unternehmen KI-Investitionen künftig begründen?

Kask: Die Produktivität wurde in unserer Studie lediglich etwas niedriger bewertet als beispielsweise die Gewinnung neuer Erkenntnisse. Langfristig bleibt Produktivität aber das eigentliche Ziel. Gerade Europa leidet seit Jahren unter einem vergleichsweise schwachen Produktivitätswachstum.

Bei SAP bewerten wir deshalb jede neue KI-Funktion zunächst anhand ihres konkreten Geschäftsnutzens. Für alle Agenten und KI-Funktionen, die wir in unserem „AI Feature Catalog“ erfassen, erstellen wir zunächst eine Wertanalyse. Wir fragen: Welchen Nutzen hat die Funktion für den Anwender? Trägt sie zu mehr Umsatz bei? Steigert sie die Produktivität? Erst dann wird sie weiterentwickelt.

Im Moment liegt der größte Mehrwert häufig noch darin, Informationen aus strukturierten und unstrukturierten Datenquellen zusammenzuführen und per natürlicher Sprache zugänglich zu machen. Der nächste Schritt besteht aber darin, diese Erkenntnisse direkt in effizientere Geschäftsprozesse zu überführen. Genau dort werden sich die größten Produktivitätsgewinne künftig realisieren.

“Der größte Fehler wäre, gleich das gesamte Unternehmen zu transformieren”

Wenn Sie CIOs nur einen oder zwei Ratschläge für den Übergang von generativer KI zu KI-Agenten geben könnten – welche wären das?

Kask: Der größte Fehler wäre aus meiner Sicht, gleich das gesamte Unternehmen transformieren oder zunächst sämtliche Daten perfekt aufbereiten zu wollen.

Stattdessen sollte man überlegen, welche Art von Agent einen hohen Mehrwert schaffen kann – und diesen dann umsetzen. Natürlich braucht dieser Agent Zugriff auf konsistente und kontextreiche Unternehmensdaten. Genau daran arbeiten wir bei SAP mit Technologien wie dem „Knowledge Graph“, der die semantischen Zusammenhänge der Unternehmensdaten abbildet.

Darüber hinaus stellen wir mit „Data Products“ und der „SAP Business Data Cloud“ Werkzeuge bereit, die Daten aus unterschiedlichen Quellen für KI-Agenten nutzbar machen. Dank Zero-Copy- und Data-Fabric-Ansätzen können Informationen aus Altsystemen, Snowflake oder ERP-Systemen zusammengeführt werden, ohne dass Daten dafür zunächst umfangreich repliziert werden müssen. Für einen Einkaufsagenten lassen sich so genau die relevanten Daten für den jeweiligen Anwendungsfall bereitstellen.

Der entscheidende Punkt ist: Unternehmen müssen nicht warten, bis sie vollständig in die Cloud migriert oder ihre gesamte Datenlandschaft konsolidiert haben. Mit den heute verfügbaren Technologien lassen sich Daten bereits jetzt für konkrete KI-Agenten nutzbar machen, kontrolliert verwalten und auf dieser Basis schnell erste geschäftliche Mehrwerte erzielen. Wer dagegen erst auf die perfekte Ausgangslage wartet, läuft Gefahr, den Anschluss zu verlieren.

---

Eine aktuelle Workday-Studie mit Daten aus Deutschland und Europa zeigt ein überraschendes Paradox: Obwohl viele Beschäftigte ihre Produktivität und ihr Engagement hoch einschätzen, verbringen sie einen erheblichen Teil ihrer Arbeitszeit mit Aufgaben, die moderne Unternehmenssysteme längst automatisieren könnten. Nicht mangelnde Technologie oder fehlende Akzeptanz der Mitarbeitenden bremsen laut der Studie den Einsatz von KI, sondern fragmentierte Prozesse und Insellösungen.

Die Ergebnisse stellen verbreitete Annahmen über den Einsatz von Enterprise AI infrage und unterstreichen zugleich, warum Governance, Vertrauen und Datensouveränität – gerade in Deutschland und Europa – entscheidende Voraussetzungen für eine erfolgreiche KI-Transformation sind.

Darüber sprachen wir mit Gerrit Kazmaier, President Product & Technology bei Workday. Vor seinem Wechsel zu Workday leitete er bei Google das Data-Analytics- und BI-Geschäft und verantwortete unter anderem Google BigQuery, Looker, Pub/Sub, Dataflow und Dataplex. Im Laufe seiner Karriere war der Wirtschaftsinformatiker außerdem mehr als elf Jahre bei SAP tätig, zuletzt als President für die Bereiche Database (SAP HANA und Sybase), Analytics, Business Intelligence (Business Objects) und Enterprise Performance Management.

„Zwischen Demo und Produktiveinsatz liegen Welten“

Herr Kazmaier, wo stehen die Unternehmen aus Ihrer Sicht aktuell beim Thema KI?

Gerrit Kazmaier: Wir hatten vor kurzem einen exklusiven Austausch mit CHROs und CEOs aus unserer Kunden- und Interessentenlandschaft. KI war tatsächlich an jedem Tisch das dominierende Thema. Was mich besonders beeindruckt hat, war die positive Grundhaltung. Die Diskussion dreht sich inzwischen nicht mehr darum, ob man KI einsetzen sollte, sondern darum, wie man sie sinnvoll nutzt und welche Anwendungsfälle tatsächlich einen messbaren Geschäftsnutzen liefern. Viele Unternehmen haben ihre ersten Experimente hinter sich und stehen jetzt an der Schwelle, KI in ihre Kernprozesse zu integrieren.

Genau das scheint derzeit die entscheidende Herausforderung zu sein: Vom Experiment zum produktiven Einsatz.

Kazmaier: Absolut. Die erste Frage lautet: Wie integriert man KI so in Geschäftsprozesse, dass sie zuverlässig arbeitet und echten Mehrwert schafft? Die zweite: Wie verändert KI eigentlich die Struktur von Unternehmen? Wenn Aufgaben zunehmend von KI-Systemen übernommen oder unterstützt werden, verändert das zwangsläufig Rollenbilder, Teams und Organisationsstrukturen. Diese beiden Entwicklungen laufen parallel.

Viele Unternehmen sind von den Möglichkeiten generativer KI fasziniert. Reicht diese Begeisterung aus?

Kazmaier: Die Faszination ist absolut nachvollziehbar. Es ist heute erstaunlich einfach geworden, mit generativer KI beeindruckende Ergebnisse zu erzielen. Gleichzeitig ist es erstaunlich schwierig, daraus nachhaltigen wirtschaftlichen Nutzen zu generieren. Zwischen einer überzeugenden Demo und einem produktiven Unternehmenseinsatz liegen Welten.

Woran liegt das?

Kazmaier: Geschäftsprozesse stellen völlig andere Anforderungen als ein Chatbot. Dort geht es um Zuverlässigkeit und Korrektheit. Nehmen Sie die Gehaltsabrechnung. Sie muss zu hundert Prozent stimmen. Oder den Finanzabschluss. Auch der muss rechtlich und fachlich korrekt sein. Niemand würde einen Geschäftsbericht akzeptieren, der zu 80 Prozent richtig ist – aber es nicht klar ist, welche 80 Prozent.

„Mit KI existiert erstmals ein weiterer ‘Intelligenzträger’“

Generative KI arbeitet aber grundsätzlich probabilistisch, also mit Wahrscheinlichkeiten. Wie lässt sich dieses Problem lösen?

Kazmaier: Der Schlüssel liegt darin, die Stärken der KI mit deterministischen Prozessen zu kombinieren. KI bringt Fähigkeiten wie Schlussfolgern, Priorisieren oder das Verstehen komplexer Zusammenhänge mit. Gleichzeitig braucht es klare Geschäftsregeln, Richtlinien und kontrollierte Prozessabläufe. Erst das Zusammenspiel beider Welten ermöglicht den zuverlässigen Einsatz in Unternehmensprozessen.

Wo sehen Sie dabei den größten Mehrwert?

Kazmaier: Wir verfolgen im Grunde zwei Innovationsrichtungen gleichzeitig. Zum einen automatisieren wir möglichst viele Backend-Prozesse – Recruiting, Payroll, Benefits oder Finanzprozesse. Zum anderen schaffen wir eine deutlich stärkere Personalisierung für den einzelnen Anwender. Das klingt zunächst widersprüchlich. Normalerweise bedeutet Standardisierung weniger Individualität. KI ermöglicht aber genau diesen Spagat: Im Hintergrund werden Prozesse stärker standardisiert und automatisiert, während die Interaktion mit dem Nutzer persönlicher und kontextbezogener wird.

KI verändert also nicht nur Prozesse, sondern auch Organisationen?

Kazmaier: Davon bin ich überzeugt. Bislang war der Mensch der einzige Träger von Intelligenz im Unternehmen. Mit KI existiert erstmals ein weiterer “Intelligenzträger”. Das führt dazu, dass wir klassische Stellenbeschreibungen und Organisationsmodelle neu denken müssen. Viele Jobs bestehen heute aus einem Bündel unterschiedlichster Aufgaben. Wenn KI einzelne dieser Aufgaben übernimmt, verändert sich automatisch die Definition eines Jobs. Dasselbe gilt für Teams und letztlich für ganze Organisationen. Die traditionellen Hierarchien sind für relativ statische Arbeitswelten entstanden. KI schafft jetzt die Voraussetzungen für wesentlich dynamischere Organisationsformen.

Bedeutet das das Ende klassischer Stellenprofile?

Kazmaier: Ich glaube, dass wir uns langfristig von einer rein rollenorientierten Organisation hin zu einer stärker auf Fähigkeiten und Aufgaben ausgerichteten Organisation bewegen. Unternehmen werden künftig sehr viel flexibler entscheiden können, welche Aufgaben von Menschen übernommen werden, welche von KI und welche im Zusammenspiel beider. Genau diese Transformation erleben wir derzeit – und sie wird Unternehmen weit stärker verändern als der reine Einsatz einer neuen Technologie.

„KI bedeutet eine Transformation des gesamten Unternehmens“

Unternehmen nähern sich KI auf unterschiedliche Weise. Manche starten in der IT, andere in einzelnen Fachbereichen. Ist Human Resources aus Ihrer Sicht ein besonders geeigneter Einstiegspunkt?

Kazmaier: Ich denke schon. Zum einen, weil KI nicht nur eine technologische Veränderung ist, sondern eine Transformation des gesamten Unternehmens. HR beschäftigt sich zwangsläufig mit Fragen wie: Welche Kompetenzen brauchen wir künftig? Welche Aufgaben übernimmt KI? Welche bleiben dauerhaft beim Menschen? Wie verändern sich Recruiting, Weiterbildung und Karrierepfade? All diese Fragen landen zuerst im Personalbereich.

Gleichzeitig ist HR eng mit den Finanzprozessen verbunden.

Kazmaier: Genau. An der Schnittstelle zwischen HR und Finance wird KI sehr schnell zur wirtschaftlichen Realität. Unternehmen müssen künftig nicht nur Personalkosten planen, sondern auch den Einsatz von KI-Systemen und deren Betriebskosten berücksichtigen. Das verändert letztlich auch die Steuerung eines Unternehmens.

Gleichzeitig betrifft HR jeden einzelnen Mitarbeiter.

Kazmaier: Und genau deshalb bietet KI dort enormes Potenzial. Jeder kennt aus eigener Erfahrung, was gute Arbeit ausmacht: faire Beurteilungen, gute Führung, individuelle Entwicklungsmöglichkeiten und passende Weiterbildung. In der Realität scheitert vieles aber an begrenzten personellen Ressourcen. Nicht jeder Bewerber kann einen persönlichen Recruiter bekommen. Nicht jeder Mitarbeiter einen individuellen Karrierecoach oder Mentor.

KI könnte diese Lücke schließen?

Kazmaier: Genau das ist die große Chance. KI ermöglicht erstmals, sehr viele Mitarbeitende individuell zu begleiten und zu unterstützen. Sie kann Bewerber persönlicher durch den Recruiting-Prozess führen, Beschäftigten individuelle Entwicklungsempfehlungen geben oder Führungskräfte im Alltag unterstützen. Dadurch entsteht eine deutlich stärker personalisierte Employee Experience – und zwar in einer Größenordnung, die rein menschlich kaum realisierbar wäre.

Wie zeigt sich das in der Praxis?

Kazmaier: Nehmen wir klassische HR-Prozesse. Unternehmen sparen durch die Automatisierung Zeit und Kosten. Gleichzeitig steigt die Zufriedenheit der Mitarbeitenden, weil sie viel schneller Unterstützung erhalten. Früher wurde beispielsweise ein HR-Ticket an ein Shared Service Center weitergeleitet und die Antwort kam vielleicht erst Tage später. Heute kann ein KI-Assistent viele Anliegen sofort beantworten – rund um die Uhr.

Das gilt auch für Bewerbungsprozesse?

Kazmaier: Absolut. Bewerber schreiben ihre Bewerbungen häufig nach Feierabend oder am Wochenende – also genau dann, wenn kein Recruiter mehr arbeitet. Mit KI können sie trotzdem unmittelbar Rückmeldung erhalten, Fragen stellen oder durch den Bewerbungsprozess geführt werden. Das verbessert die Candidate Experience erheblich und macht den gesamten Prozess deutlich effizienter.

Sie sehen HR also als einen der Bereiche, in denen KI ihren Nutzen besonders schnell unter Beweis stellen kann?

Kazmaier: Ja, weil hier zwei Effekte zusammenkommen: Unternehmen profitieren von einer deutlich höheren Automatisierung, während Mitarbeitende und Bewerber gleichzeitig eine individuellere Betreuung erleben. Diese Kombination gab es in dieser Form bisher nicht. Deshalb halte ich HR für einen der natürlichsten Anwendungsbereiche für KI.

Herr Kazmaier, vielen Dank für das Gespräch.

Kazmaier: Jederzeit für die Computerwoche.

Die Menschen bei Veränderungen mitzunehmen, ist eine der anspruchsvollsten Aufgaben jeder Transformation. Entsprechend professionell sind die Instrumente geworden: Roadshows, Townhalls und Intranet-Kampagnen zählen heute zum Standardrepertoire größerer Change-Programme. Die Kommunikationsintensität ist hoch, doch die Erfolgsquote strategischer Transformationen bleibt dennoch gering.

Der „Change Management Compass” von Porsche Consulting (PDF) verdeutlicht diese Diskrepanz: Rund 70 Prozent aller Transformationsvorhaben verfehlen demnach ihre Ziele aufgrund eines unzureichenden Change Managements. Die Studie zeigt außerdem, dass 83 Prozent der befragten CEOs auf eine intensive Change-Kommunikation über mehrere Kanäle setzen und dieser eine zentrale Rolle für den Erfolg von Veränderungsinitiativen zuschreiben.

Was Transformationen ausbremst

Auf den ersten Blick wirken diese Ergebnisse widersprüchlich. Wenn Kommunikation als ein entscheidender Hebel gilt und Unternehmen diesen entsprechend professionalisiert haben, warum bleiben die Ergebnisse dennoch so häufig hinter den Erwartungen zurück? Ein wesentlicher Grund liegt in der „Information-Action-Gap“: der Lücke zwischen dem Verstehen einer Veränderung und ihrer tatsächlichen Umsetzung im Alltag. Diese Lücke entsteht, wenn neue strategische Zielbilder auf bestehende Strukturen, Verantwortlichkeiten und Interessen treffen.

In der Praxis zeigt sich dieses Defizit als Reibung im Arbeitsalltag. Was auf strategischer Ebene klar erscheint, muss mit dem operativen Betrieb und seinen bestehenden Routinen, Zuständigkeiten und Prioritäten in Einklang gebracht werden. Transformationen führen deshalb in der Regel zunächst zu einer reduzierten Leistungskraft der Organisation, bevor sich die neu geschaffenen Strukturen und die Leistungsstärke auf einem neuen Niveau stabilisieren. In dieser Übergangsphase entstehen Spannungen, die den Umsetzungstakt verlangsamen.

Genau hier stößt die klassische Change-Kommunikation an ihre Grenzen. Sie kann das “Warum” erklären, Akzeptanz schaffen, Orientierung bieten und motivieren. Aber sie kann kaum effektiv die Spannungen bearbeiten, die Veränderungen zwangsläufig erzeugen. Um diese Reibungsverluste zu begrenzen und die Organisation schneller wieder auf ein stabiles Leistungsniveau zu bringen, lohnt sich ein erweiterter Blick auf die Business-Mediation – nicht als reaktives Instrument zur reinen Konfliktlösung, sondern als strategisches Instrument zur Beschleunigung organisationaler Umsetzungsgeschwindigkeit.

Die „Information-Action-Gap“ in der Praxis

Wie sich solche Spannungen im Transformationsalltag auswirken, zeigt das folgende Beispiel: Im Rahmen der strategischen Neuausrichtung eines Versicherungsunternehmens wurde eine neue Digitaleinheit aufgebaut. Ihre Aufgabe: neue Technologien schneller als bisher in die bestehende IT-Landschaft zu integrieren. Parallel blieb die etablierte IT-Abteilung weiterhin für den stabilen Betrieb verantwortlich.

Die strategische Zielsetzung der Veränderung war eindeutig kommuniziert. Das Management hatte den Handlungsdruck erläutert, die Vorteile der neuen Ausrichtung beschrieben und die Erwartungen an beide Bereiche klar formuliert. Weder die neue Digitaleinheit noch das etablierte IT-Team stellten die Transformation grundsätzlich infrage. Dennoch geriet die Zusammenarbeit nach wenigen Monaten zunehmend ins Stocken.

Entscheidungen wurden getroffen und kurze Zeit später wieder infrage gestellt. Abstimmungen zogen sich über Wochen, Projekte verloren an Geschwindigkeit. Die Verantwortlichkeiten waren formal zwar definiert, wurden in der täglichen Zusammenarbeit jedoch unterschiedlich interpretiert – nicht zuletzt, weil frühere Rollenverständnisse fortwirkten. Die neue Einheit empfand die Prozesse der etablierten IT-Abteilung als übermäßig bürokratisch und innovationshemmend. Umgekehrt entstanden in der IT Zweifel, ob die neuen Lösungen ausreichend durchdacht und regulatorisch belastbar waren.

Aus Sicht des Managements lag die Ursache zunächst auf der Hand: mangelnde Veränderungsbereitschaft der etablierten Einheit. Erst die Mediation zeigte ein anderes Bild. Niemand war gegen die Veränderung. Die eigentlichen Reibungsverluste entstanden aus drei strukturellen Spannungsfeldern:

• Innovationsdruck trifft Stabilitätsauftrag: Die neue Einheit wurde an Umsetzungsgeschwindigkeit gemessen, die etablierte IT an Stabilität und Risikominimierung. Beide Seiten handelten somit rational und entsprechend ihrer unterschiedlichen Zielvorgaben.
• Bedeutungsgewinn erzeugt Bedeutungsverlust: Mit der neuen Organisationsstruktur verschob sich die Aufmerksamkeit. Die Digitaleinheit rückte vermehrt in den Mittelpunkt des Zukunfts-Narrativs. Die etablierte IT-Abteilung nahm dies als Verlust ihrer organisationalen Bedeutung wahr. Mitarbeiter, die über Jahre den Unternehmenserfolg gesichert hatten, fühlten sich plötzlich weniger gefragt.
• Zukunftschancen sind ungleich verteilt: Im Mediationsprozess wurde sichtbar, dass auch Mitarbeiter der etablierten Einheit großes Interesse an neuen Technologien hatten. Während die neue Einheit als Innovationstreiber gefeiert wurde, verblieb die Kernmannschaft im vermeintlich „grauen“ Bestandsgeschäft. Die organisatorische Trennung wurde deshalb nicht nur als neue Struktur verstanden, sondern auch als Signal dafür, wo die Zukunft des Unternehmens gesehen wurde.
  
  

Das Beispiel zeigt: Die Beteiligten verstanden die Notwendigkeit der Veränderung und unterstützten sie grundsätzlich. Die eigentlichen Reibungsverluste entstanden jedoch an den Schnittstellen unterschiedlicher Zielsysteme, Rollen und Zukunftserwartungen. Diese Spannungen bleiben bei Transformationen häufig unbearbeitet, obwohl sie maßgeblich darüber entscheiden, wie schnell diese umgesetzt werden können.

Was Mediation tatsächlich leistet

Mediation sucht keinen Kompromiss, sondern schafft operative Klarheit. Ihr Beitrag bestand im vorherigen Beispiel darin, jene strukturellen Spannungen zu bearbeiten, die die Umsetzung der Transformation verlangsamten. Im eben beschriebenen Praxisbeispiel zeigte sich ihre Wirkung auf drei Ebenen:

1. Widersprüchliche Ziele ausbalancieren: Was zunächst als mangelnde Veränderungsbereitschaft erschien, erwies sich als Folge der widersprüchlichen Zielsetzungen der beiden Abteilungen (Geschwindigkeit vs. Systemstabilität). Mediation half dabei, den Konflikt von der persönlichen auf die Sachebene zu verlagern und gemeinsame Entscheidungsprinzipien für den Umgang mit diesem Zielkonflikt zu erarbeiten.

2. Verdeckte Relevanzverluste ansprechbar machen: Die Restrukturierung veränderte nicht nur die Prozesse, sondern auch die Wahrnehmung von Bedeutung und Zukunftsperspektiven innerhalb der Organisation. Erst als die impliziten Relevanzverluste der etablierten Einheit offen thematisiert wurden, verloren sie ihren destruktiven Einfluss auf die operative Zusammenarbeit. Mediation schuf dafür einen strukturierten Rahmen, ohne die Diskussion auf persönliche Befindlichkeiten zu reduzieren.

3. Zusammenarbeit verbindlich neu organisieren: Erst nachdem die zugrundeliegenden Spannungen geklärt waren, konnten Rollen, Verantwortlichkeiten und Entscheidungswege feinjustiert werden, um Interpretationsspielräume zu schließen und ein gemeinsames Zielbild der täglichen Zusammenarbeit zu erlangen. Mediation übersetzte die strategische Einigung in konkrete Spielregeln für den Arbeitsalltag.

Die Wirkung zeigte sich unmittelbar: Entscheidungen wurden schneller getroffen, Abstimmungen verkürzten sich und Projekte gewannen wieder an Umsetzungsgeschwindigkeit. Business-Mediation erwies sich damit als Hebel, um die organisationalen Reibungsverluste während des Veränderungsprozesses zu reduzieren.

Change-Erfolg braucht Spannungsmanagement

Business-Mediation ersetzt weder Führung noch Change-Kommunikation. Sie ergänzt beide dort, wo strukturelle Spannungen die Umsetzung einer Transformation verlangsamen. Nicht jeder Konflikt erfordert dabei ein Mediationsverfahren. Viele Reibungspunkte lassen sich durch klare Prioritäten, eindeutige Führungsentscheidungen oder präzisere Kommunikation lösen. Relevant wird Mediation erst dann, wenn die Umsetzung trotz klarer Ziele, Kommunikation und wiederholter Führungsinterventionen ins Stocken gerät.

In solchen Situationen fehlt meist nicht die nächste Ansage von oben, sondern ein strukturierter Prozess, um widersprüchliche Interessen, Rollen und Zielsysteme im Dialog mit allen Beteiligten gewinnbringend aufeinander abzustimmen. Der Grund für das Scheitern von Transformationen liegt also selten im fehlenden „Warum“, sondern meist im stockenden „Wie“. Reine Kommunikation reicht in diesen Fällen selten aus. Während die klassische Change-Kommunikation das nötige Verständnis schafft, baut die Business-Mediation die blockierenden Spannungen ab. Erst die Kombination beider Disziplinen lässt Transformationen spürbar an Fahrt gewinnen. (fm)

Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!

Fast 200 Ökonomen, Forschende und Vertreter der Technologiebranche haben den gemeinsamen Appell „We must act now“ unterzeichnet. In ihm fordern sie die Politik auf, schneller zu handeln, um die wirtschaftlichen Auswirkungen durch Künstliche Intelligenz (KI) zu verstehen und zu bewältigen. Koordiniert und veröffentlicht wurde das Ganze vom Stanford Digital Economy Lab.

Zu den Unterzeichnenden gehören 15 Nobelpreisträger darunter Daron Acemoglu und Simon Johnson, Professoren am Massachusetts Institute of Technology, die 2024 den Nobelpreis für Wirtschaftswissenschaften erhielten. Weitere Unterzeichnende sind unter anderem die Chefökonomen der KI-Unternehmen OpenAI und Anthropic sowie der Anthropic-Mitbegründer Jack Clark und der ehemalige Google-CEO Eric Schmidt.

In ihrem Appell warnen sie davor, dass sich KI schneller als jede frühere Technologie entwickeln und größere wirtschaftliche Auswirkungen als die Industrielle Revolution haben könnte. Als Zeitraum für ihre Prognose geben die Experten die nächsten zehn Jahre an. Sie weisen hierbei insbesondere auf das Risiko eines massiven Verlusts von Arbeitsplätzen hin.

KI als Chance, aber auch Belastung

„Dampfmaschine, Elektrizität und Computer gaben Gesellschaften jeweils Jahrzehnte Zeit, sich anzupassen. Künstliche Intelligenz könnte uns dafür nur wenige Jahre lassen. Wir können unsere Strategie und unsere Institutionen nicht erst mitten im Wandel improvisieren. Wer auf Gewissheit wartet, kommt zu spät“, erklärt Anton Korinek, Professor an der University of Virginia, der derzeit beurlaubt bei Anthropic tätig ist.

Sein Kollege und Mitunterzeichner Ajay Agrawal, Professor an der Rotman School of Management der University of Toronto, stimmt ihm zu: „Ob der rasante Fortschritt der KI den globalen Lebensstandard breit anhebt oder Wohlstand in den Händen weniger konzentriert, ist nicht vorbestimmt. Es hängt davon ab, wie wir unsere politischen und wirtschaftlichen Systeme heute neu gestalten. Wir können es uns nicht leisten, abzuwarten, bis die Transformation vollständig eingetreten ist, und uns in der Zwischenzeit auf institutionelle Strukturen zu verlassen, die für eine Welt vor hochpräziser KI optimiert wurden.“

Der Appell enthält keine konkreten politischen Vorschläge, dafür aber eine Forderung an Ökonomen, Politiker und Technologieunternehmen. Sie sollen:

• rasch bessere Methoden entwickeln, um die Auswirkungen von KI auf den Arbeitsmarkt zu messen; und
• politische Maßnahmen formulieren, die die Entwicklung so steuern, dass sie sowohl den Menschen als auch der Gesellschaft zugutekommt.
  (tf)

Ein Freund von mir spielte einmal in der Laeiszhalle in Hamburg. Der Saal war ausverkauft, die Herren sahen elegant aus in ihren Zweireihern und an den Hälsen der Damen hingen Erbstücke, die nur für besondere Anlässe getragen werden. Von meinem Platz aus hatte ich einen guten Blick auf meinen Freund, der weit vorne im Orchester saß und virtuos die Geige spielte. Er sah angestrengt aus, Pizzicato, der Dirigent hob seinen Taktstock, Vibrato.

Nach der Vorstellung traf ich ihn, als er gerade sein Instrument verstaute. Ich teilte ihm mit, wie sehr mir das Musikstück gefallen hat, lobte ihn für sein versiertes Geigenspiel und fragte ihn, wie er selbst seinen Auftritt einschätzte. Ich war überrascht, als er meinte, er habe sich ein paarmal verspielt. Auf meinen fragenden Blick erwiderte er nur: „Zum Glück hat unser Dirigent mich schnell wieder eingefangen – er hat uns alle im Blick.“

Als Musiklaie hatte ich die Rolle des Dirigenten bis dahin nicht richtig verstanden. Schließlich hat dieser über vierzig Musiker vor sich, die ihre Instrumente allesamt besser beherrschen als er selbst. Nun war mir klar: Ohne ihn würde das Stück nicht halb so gut harmonieren. Denn so technisch versiert die einzelnen Musiker auch sein mögen: Es braucht jemanden, der das große Ganze im Blick hat. Der nicht bloß weiß, wie ein einzelnes Instrument zu klingen hat, sondern wie alles zusammenwirken soll. Eine weitere Erkenntnis: Ein Orchester und ein Data-Science-Team haben deutlich viel mehr gemeinsam, als es auf den ersten Blick scheint.

Der Tag des Dirigenten

Heutzutage nutzt jeder Data Scientist Large Language Models (LLMs), um schneller und besser Code zu schreiben. In der Prä-GPT-Ära kostete es mich meist ein bis zwei Wochen, einen (bei Stakeholdern vorzeigbaren) Prototypen zu entwickeln. Jetzt brauche ich dafür weniger als zwei Tage. Die Produktivitätsgewinne sind also enorm. Doch das ist nur eine oberflächliche Veränderung. Wer genauer hinsieht, erkennt einen viel fundamentaleren Wandel.

Das Data-Science-Team von InnoGames, dem ich angehöre, besteht aus sieben Menschen. Vor etwa einem Jahr entschieden wir uns, den Großteil der Programmierarbeit von Claude Code übernehmen zu lassen. Damit traten wir bei uns etwas los, was über kurz oder lang auf jeden Data Scientist zukommen wird: Wir wurden zu Dirigenten. Bislang hatten wir uns eher als Musiker gesehen: Wir wussten genau, wie unsere Instrumente zu spielen waren. Wir kannten unseren Code und unsere Pipelines in- und auswendig – und wussten, welche Techniken für welche Anwendungsfälle zu nutzen waren.

Heute treten wir einen Schritt zurück, um das große Ganze besser im Blick zu haben. Wir koordinieren KI-Agenten, die für uns Teile des Gesamten bauen. Dabei müssen wir sicherstellen, dass dieses große Ganze so aussieht, wie es aussehen soll: Mehr und mehr stehen Architektur und Design Patterns im Fokus.

Während ich über unser neues Selbstbild reflektiert habe, fragte ich mich einmal, ob ich jemals auch nur etwas so Simples wie einen Decision Tree komplett in purem Python geschrieben hatte. Die Antwort lautete nein. Das ist unserer Rolle allerdings überhaupt nicht fremd: Datenwissenschaftler importieren seit jeher den Code den Andere geschrieben haben, um ihn in ihrem eigenen Code zu verwenden.

Die agentische Erlahmung

Der von unserem Team neu eingeschlagene Weg hatte die Idee dahinter nur auf das nächste Level gehoben. Ein knappes Jahr nach dem Umstieg auf „fully agentic“ fühlt sich meine Rolle als Data Scientist immer mehr so an, wie ich mir das ursprünglich einmal vorgestellt hatte. Was wirklich im Kern des Aufgabenfeldes eines Data Scientists steht, ist die Iteration: Wir bauen Modelle, überprüfen die Ergebnisse, wägen ab, überlegen, was wir anpassen können (oder ob wir einen anderen Ansatz ausprobieren sollten) und starten dann die nächste Iteration. Solange, bis wir mit dem Ergebnis zufrieden sind. Indem wir Programmier-Tasks delegieren, können wir schneller und mehr iterieren. Zudem fällt es uns auch leichter, einen wahrscheinlich hoffnungslosen Ansatz zu verwerfen und komplett neu zu starten.

Angesichts einer solchen Veränderung der Rolle des Data Scientists ist es mit einer überarbeiteten Berufsbeschreibung nicht getan. Denn dieser Wandelt geht auch mit einer Änderung der Arbeitsweisen einher. Im Kern dieser neuen Art zu arbeiten, stand für uns, Claude Code eher als Infrastruktur – oder sogar als Mitarbeiter – anzusehen, statt als ein Programm, das man morgens öffnet und abends wieder schließt.

KI-Agenten brauchen Kontext – das implizite Wissen, das wir über Jahre hinweg angehäuft haben – und Coding Guidelines. Sie brauchen kleinere Aufgaben, die von ihnen perfekt ausgeführt werden können und insgesamt gesehen das große Ganze bilden. Vieles von unserer Arbeitsweise findet jetzt in der Konzeptphase statt – und wenn es um die Architektur geht. Sprich, bevor überhaupt Code geschrieben wird. Man muss verstehen, dass es nicht nur darum geht, bessere Prompts zu schreiben. Essenziell ist, sich eine Umgebung aufzubauen, in der die Agenten als integraler Teil funktionieren.

Nachdem wir unseren neuen Weg eingeschlagen hatten, fiel uns jedoch sehr schnell etwas auf, das sich kontraintuitiv anfühlte: Wir wurden langsamer – die Produktivitätsgewinne waren weg. Aus heutiger Perspektive lässt sich dieses scheinbare Paradox einfach erklären: Wir mussten die Agenten trainieren. Ihnen fehlte der Kontext, deswegen war der generierte Code fehlerhaft – und man musste überall ganz genau hinsehen.

Doch mit der Zeit und besserem Kontext wurden die Agenten immer besser. Nach etwa drei Monaten waren wir auf dem Produktivitätslevel von vor der Umstellung angekommen und wurden immer sicherer in unserer neuen Rolle. Nicht zuletzt hatten wir dabei auch Glück: Unsere Chefin gab uns die Zeit, die wir brauchten. Es wurde nicht erwartet, dass uns die Umstellung sofort produktiver machen würde. Und das war auch gut so.

KI-Verlockungen entgegenwirken

Ist knapp ein Jahr nach der Umstellung alles besser geworden? Nein. Es tauchen immer wieder neue Probleme auf, die frische Lösungsansätze benötigen. Mit neueren LLMs und mehr Kontext werden die Agenten zwar besser. Aber das führt dazu, dass man sehr schnell in eine Haltung kommt, in der die Coding-Vorschläge der Agenten vorschnell angenommen werden. Darunter leiden nicht nur die eigenen Programmier-Fähigkeiten: Man kann sich lebhaft ausmalen, welche Probleme entstehen, wenn nur noch die KI-Agenten den Code verstehen.

Berufseinsteiger (nicht nur) im Bereich Data Science haben es dabei besonders schwer: Zum einen, weil Junior-Rollen nun weniger gesucht werden. Zum anderen, weil Einsteigern noch das tiefere Verständnis fehlt und es gleichzeitig sehr verlockend ist, jegliche Bugs an Claude Code zu übergeben. Der löst diese zwar – aber eben ohne, dass es beim Data Scientist zu einem Lernprozess gekommen ist. Dagegen sind auch erfahrene Team-Mitglieder nicht immun. Darum versuchen wir bei Innogames, diesen Verlockungen mit kreativen Ideen entgegenzuwirken. So haben wir etwa einen monatlichen „No AI“-Tag und gemeinsame Pair-Programming-Sessions eingeführt. Ob das ausreichend ist oder sich andere Methoden als sinnvoller erweisen, wird die Zukunft zeigen.

Als ich meinem Musikerfreund kürzlich von meiner Entwicklung zum Dirigenten berichtete, musste er schmunzeln und verriet mir, dass hinter dem Rücken des Dirigenten auch viel über diesen gelacht wird. Und wer weiß, vielleicht sprechen die KI-Agenten ja auch untereinander über mich? Falls ja, würde ich mir wünschen, dass dabei folgender Satz fällt: „Zum Glück hat unser Dirigent mich schnell wieder eingefangen, der hat uns alle im Blick.“ (fm)

Für viele Geschäftsprozesse ist Technologie inzwischen unverzichtbar. Deshalb zählt diese auch zu den wertvollsten Assets eines Unternehmens. Leider stellt sie gleichzeitig jedoch auch eines der größten Risiken dar – was Risk-Assessment-Frameworks auf den Plan ruft.

IT-Risiken formal zu bewerten, ermöglicht es Organisationen, besser einzuschätzen, zu welchem Grad ihre Systeme, Devices und Daten schädlichen Einflüssen ausgesetzt sind. Etwa in Form von Cyberbedrohungen, Compliance-Verfehlungen oder Ausfällen. Zudem können IT- und Sicherheitsentscheider deren Folgen mit Hilfe von entsprechenden Rahmenwerken auch besser abzuschätzen. Das Ziel besteht am Ende darin, sämtliche identifizierten Risiken – und ihren Impact – zu minimieren.

In diesem Artikel stellen wir Ihnen (in aller Kürze) sechs populäre Risk-Assessment-Frameworks vor, die jeweils auf spezifische Risikobereiche abgestimmt sind.

1. COBIT

Das ist es: Hinter COBIT (Control Objectives for Information and Related Technology) steht der internationale IT-Berufsverband ISACA, der sich auf IT Governance fokussiert hat. Dieses sehr umfassende und breit angelegte Framework wurde entwickelt, um dabei zu unterstützen, Enterprise IT:

• zu verstehen,
• zu designen,
• zu implementieren,
• zu managen und
• zu steuern.

Das kann es: Laut ISACA definiert COBIT die Komponenten und Designfaktoren, ein optimales Governance-System aufzubauen und aufrechtzuerhalten. Die aktuelle Version, COBIT 2019, fußt auf einem Governance-Prinzipien-Sextett:

1. Value für Stakeholder liefern
2. ganzheitlichen Ansatz realisieren
3. Governance-System dynamisch gestalten
4. Management von Governance trennen
5. auf individuelle Unternehmensanforderungen abstimmen
6. Ende-zu-Ende-Governance-System realisieren

So funktioniert es: Das COBIT-Framework ist auf Business-Fokus konzipiert und definiert eine Reihe generischer Prozesse, um IT-Komponenten zu managen. Dabei werden außerdem auch Inputs und Outputs, Schlüsselaktivitäten, Zielsetzungen, Performance-Metriken und ein grundlegendes Reifegradmodell festgelegt.

Gut zu wissen: Laut ISACA ist COBIT flexibel zu implementieren und ermöglicht Unternehmen, ihre Governance-Strategie anzupassen.

2. FAIR

Das ist es: Das Framework FAIR (Factor Analysis of Information Risk) bildet eine Methodik ab, um unternehmensbezogene Risiken zu quantifizieren und zu managen. Dahinter steht das Fair Institute, eine wissenschaftlich ausgerichtete Non-Profit-Organisation, die sich dem Management von betrieblichen und sicherheitstechnischen Risiken verschrieben hat. Laut den Machern ist FAIR das einzige, quantitative Standardmodell auf internationaler Ebene, um diese Art von Risiken zu erfassen.

Das kann es: FAIR bietet ein Modell, um die genannten Risiken in finanzieller Hinsicht zu verstehen, zu analysieren und zu quantifizieren. Laut dem Fair Institute unterscheidet es sich dabei insofern von anderen Risk-Assessment-Frameworks, als dass es seinen Fokus nicht auf qualitative Farbdiagramme oder numerisch gewichtete Skalen legt. Stattdessen will FAIR eine Grundlage liefern, um einen robusten Risikomanagement-Ansatz auszubilden.

So funktioniert es: FAIR ermittelt in erster Linie Wahrscheinlichkeiten mit Blick auf die Frequenz und das Ausmaß von Data-Loss-Ereignissen. Es handelt sich hierbei nicht um eine Methodik, um individuelle Risikobewertungen durchzuführen. Vielmehr will das Framework Unternehmen in die Lage versetzen, IT-Risiken zu verstehen, zu analysieren und zu messen.

Zu den Komponenten des FAIR-Frameworks gehören:

• eine Taxonomie für IT-Risiken,
• eine standardisierte Nomenklatur für Risiken,
• eine Methode um Datenerfassungskriterien zu definieren,
• Messskalen für Risikofaktoren,
• eine Engine für Risikoberechnungen, sowie
• ein Modell, um komplexe Risikoszenarien zu analysieren.

Gut zu wissen: Die quantitative Risk-Assessment-Ansatz von FAIR ist branchenübergreifend anwendbar.

3. ISO/IEC 27001

Das ist es: Bei ISO/IEC 27001 handelt es sich um einen internationalen Standard, der mit Leitlinien in Sachen IT-Security-Management unterstützt. Ursprünglich wurde er im Jahr 2005 gemeinschaftlich von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) veröffentlicht – und wird seither sukzessive überarbeitet.

Das kann es: ISO/IEC 27001 ist laut den Verantwortlichen ein Guide für Unternehmen jeder Größe und aus sämtlichen Branchen, um ein Information Security Management System (ISMS) aufzusetzen, zu implementieren, zu warten und fortlaufend zu verbessern.

So funktioniert es: ISO/IEC 27001 fördert einen ganzheitlichen Cybersicherheitsansatz, der Menschen, Richtlinien und Technologie auf den Prüfstand stellt. Ein auf dieser Grundlage erstelltes ISMS ist laut ISO ein Tool für Risikomanagement, Cyberresilienz und Operational Excellence.

Gut zu wissen: ISO/IEC-27001-konform zu sein bedeutet, einem weltweit eingesetzten Standard zu genügen und Datensicherheitsrisiken aktiv zu managen.

4. NIST Risk Management Framework

Das ist es: Das Risk Management Framework (RMF) wurde von der US-Behörde NIST (National Institute of Standards and Technology) entwickelt. Dieses Framework stellt einen umfassenden, wiederverwend- und messbaren, siebenstufigen Prozess in den Mittelpunkt, um IT- und Datenschutzrisiken zu managen. Dabei kommt eine ganze Reihe von NIST-eigenen Standards und Guidelines zur Anwendung, um die Implementierung von Risikomanagement-Initiativen zu unterstützen.

Das kann es: Laut NIST realisiert das RMF einen Prozess, der die Risikomanagementaktivitäten in den Bereichen Sicherheit, Datenschutz und Supply Chain in den Lebenszyklus der Systementwicklung integriert. Dabei berücksichtigt der Ansatz Effektivität, Effizienz und Einschränkungen durch geltende Gesetze, Direktiven, Anordnungen, Richtlinien, Standards oder Vorschriften.

So funktioniert es: Der siebenstufige Prozess des NIST RMF gliedert sich in.

1. wesentliche Aktivitäten, um die Organisation auf den Umgang mit Sicherheits- und Datenschutzrisiken vorzubereiten.
2. Systeme und Daten, die verarbeitet, gespeichert und übertragen werden, auf der Grundlage einer Impact-Analyse kategorisieren.
3. eine Reihe von Kontrollmaßnahmen auswählen, um Systeme auf der Grundlage einer Risikobewertung zu schützen.
4. Kontrollmaßnahmen implementieren – und dokumentieren, wie das vonstattengeht.
5. Kontrollmaßnahmen überprüfen und bewerten, ob diese wie gewünscht funktionieren.
6. Systembetrieb auf Grundlage einer risikobasierten Entscheidung autorisieren.
7. Implementierung und Systemrisiken kontinuierlich überwachen.

Gut zu wissen: Das RMF bietet einen verfahrenstechnischen und geordneten Prozess, um Organisation dabei zu unterstützen, Security in ihre allgemeinen Risikomanagement-Prozesse einzubetten.

5. OCTAVE

Das ist es: OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation (PDF)) ist ein Framework, um Risiken im Bereich der Cybersicherheit zu identifizieren und zu managen. Es wurde vom CERT-Team der Carnegie Mellon University in den USA entwickelt.

Das kann es: Dieses Risk-Assessment-Framework definiert eine umfassende Evaluierungsmethode. Diese ermöglicht Unternehmen nicht nur, missionskritische IT-Assets zu identifizieren, sondern auch die Bedrohungen, die mit diesen in Zusammenhang stehen und die Schwachstellen, die das erst ermöglichen.

So funktioniert es: Laut den Verantwortlichen ermöglicht die Zusammenstellung von IT-Assets, -Bedrohungen und –Schwachstellen Unternehmen, zu durchdringen, welche Daten wirklich bedroht sind. Mit diesem Verständnis ausgestattet, können die Anwender eine Schutzstrategie entwickeln und implementieren, um diese nachhaltig zu schützen.

Gut zu wissen: Das OCTAVE-Framework ist in zwei Versionen erhältlich.

• OCTAVE-S bietet eine vereinfachte Methodik, die auf kleinere Unternehmen mit flachen hierarchischen Strukturen ausgerichtet ist.
• OCTAVE Allegro ist hingegen ein umfassenderes Framework, das sich in erster Linie für große Unternehmen oder solche mit komplexen Strukturen eignet.

6. TARA

Das ist es: TARA (Threat Assessment and Remediation Analysis) stellt eine Engineering-Methodik dar, mit deren Hilfe, Sicherheitslücken identifiziert, bewertet und behoben werden können. Dieses Framework wurde von der Non-Profit-Organisation MITRE entwickelt.

Das kann es: Das Framework ist Teil des MITRE-Systemportfolios, das darauf ausgerichtet ist, die Cybersicherheitshygiene sowie die Resilienz von IT-Systemen in einem möglichst frühen Stadium (innerhalb des Beschaffungsprozesses) zu adressieren.

So funktioniert es: Das TARA-Framework nutzt einen Datenkatalog, um Angriffsvektoren zu identifizieren, die genutzt werden könnten, um Systemschwachstellen auszunutzen sowie potenzielle Gegenmaßnahmen einzuleiten.

Gut zu wissen: TARA wurde ursprünglich im Jahr 2010 entwickelt und kam bereits in mehr als 30 Cyber-Risk-Assessments zum Einsatz. Dieses Framework eignet sich in besonderem Maße für Risikostudien, die sich auf Sicherheitsbedrohungen konzentrieren. (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Astronaut, Model, Polizist, Koch, Schuhverkäufer, Jet-Pilot, manchmal sogar Bundeskanzler – Jeder Mensch hat Berufe, von denen er in jungen Jahren geträumt hat. Auch wenn nur die Allerwenigsten ihre Kindheitsträume verwirklicht haben und sie heute rückblickend manchmal sogar belächeln, sind sie doch wertvolle Schätze, die helfen können, mehr Erfüllung im Job zu finden. “Die Geschichte jedes Menschen beginnt naturgemäß in der Kindheit”, erläutert die Münchner Karriereberaterin und Diplom-Psychologin Madeleine Leitner. “Darum bieten gerade die Kindheitsträume eine wertvolle Hilfe, wenn es darum geht herauszufinden, warum Menschen heute beruflich unzufrieden sind. So helfen sie sogar bei der Karriereplanung.”

Wilde Kerle, traurige Realität

Traumjobs aus der Kindheit verdeutlichen oft verblüffend das Problem in der heutigen Realität: Ein braver Familienvater, der auch im Job folgsam seinem dominanten Vorgesetzten assistiert, wollte als Kind eigentlich immer Raubritter werden und war im Gegensatz zu heute tatsächlich ein “wilder Kerl”. Oder: Eine in heftige Machtkämpfe im Management verstrickte Führungskraft war schon als Kind der Überzeugung, dass ihr Name später einmal auf einem Hochhaus stehen würde. Ein beruflich aufs Abstellgleis geratener Mitarbeiter im mittleren Management wollte als Kind zwar Matrose werden, hatte damals aber schon festgestellt, dass nur Kapitäne wirklich etwas zu sagen haben.

Schon Kinder haben eine Persönlichkeit mit Vorlieben und Abneigungen. Viele Menschen verlören aber im Laufe ihres Lebens aus den unterschiedlichsten Gründen ihren eigentlichen Wesenskern, weiß die Psychologin aus ihrer Erfahrung in der Beratung von Menschen in beruflichen Umbruchsituationen. “Die Erinnerungen an frühere Traumjobs in der Kindheit geben in der Zusammenarbeit oft wertvolle Hinweise auf des Pudels sprichwörtlichen Kern: Wer bin ich eigentlich? Was macht mir wirklich Spaß, was bringt mir Erfüllung?”

Ursachen kennen, Veränderungen anstoßen

Dabei warnt Leitner jedoch davor, bei der Interpretation der Ideen allzu schnelle und oberflächliche Schlussfolgerungen zu ziehen. Traumjobs können ganz unterschiedliche Vorstellungen und Motivationen zu Grunde liegen. Ein Pilot kann Touristen an ihr Urlaubsziel bringen und ihnen damit eine Freude machen, er kann als Kampfpilot das Böse bekämpfen oder als Kunstflieger kreative Showflüge entwickeln. Ein Förster kann etwas Gutes für Pflanzen und die Natur tun, Beute machen oder den Wald zu einem wirtschaftlichen Erfolgsmodell gestalten. Ein Arzt kann vor allem Menschen helfen wollen, aber auch Prestige und Wohlstand als Motivation sehen oder einfach nur ein perfekter Handwerker in seinem Spezialgebiet sein.

Der amerikanische Autor John Holland unterschied sechs unterschiedliche Motive, mit denen man die Vorstellung der Menschen von ihren Traumjobs kategorisieren kann:

1. R(ealistic): körperlich arbeiten

2. I(nvestigative): analysieren

3. A(rtistic): kreativ sein

4. S(ocial): helfen, unterstützen

5. E(nterprising): etwas managen

6. C(onventional): verwalten

Diese Kategorien erweisen sich selbst bei auf den ersten Blick sehr unterschiedlichen früheren Traumjobs eines Menschen als erstaunlich homogen. “Wenn man die daraus resultierenden Muster dann mit der aktuellen Tätigkeit und den dabei geforderten Elementen vergleicht, erkennt man zumeist sehr schnell, wo die Ursachen für Unzufriedenheit liegen”, so Leitner. Typische und besonders problematische Kombinationen sind zum Beispiel: ein “A”- lastiger, kreativer Mensch, der einen “C”-Verwaltungsjob ausübt. Auch eine “S”-Person, die primär helfen will, in ihrem Job aber vor allem Geschäfte und Umsatz generieren soll, wird in ihrem Wesenskern verletzt. Hier liegt ein wichtiger Schlüssel zum Verständnis des Veränderungsbedarfs.

Feintuning statt radikalem Wechsel

Dabei warnt die Psychologin jedoch ausdrücklich vor radikalen Berufswechseln. Oft reiche ein Feintuning. Mehr oder auch weniger Verantwortung, mehr oder weniger Kreativität, verwaltende oder gestaltende Tätigkeiten könne man oftmals auch im bestehenden Job übernehmen. Es komme auf die Details an, um wieder mehr Zufriedenheit im Beruf zu finden oder mehr Erfolg zu haben. Auch wenn manche Menschen ihren Kindheitsträumen bis heute nachtrauern, seien diese selten noch wirklich relevant. Wenn sie nämlich die Vorstellung von ihren früheren Traumjobs bewusst mit der Realität abglichen, führe das nicht selten schnell zur Ernüchterung.

“Das sollte man aber wirklich einmal ganz bewusst tun”, rät Leitner. “Am schlimmsten ist es nämlich, ein Leben lang einem Traum nachzutrauern, der sich in Wirklichkeit als Albtraum erwiesen hätte.”

Mit der einsteiger- und benutzerfreundlichen Programmiersprache Python können Sie nahezu jede erdenkliche Applikation coden. Aber es ist eben auch nur eine Software wie jede andere – Installation und Management können mitunter komplex ausfallen. Wir verraten Ihnen, wie Sie Python aufsetzen, die richtige Version für Ihre Zwecke ermitteln und mögliche Fallstricke bei der Installation unter Windows, Linux und MacOS vermeiden.

Die richtige Python-Version ermitteln

Um die Kompatibilität mit Drittanbieter-Modulen gewährleisten zu können, sollten Sie nicht auf die neueste Python-Version setzen. Stattdessen empfiehlt sich die letzte große Versionierung. Aktuell (Stand: Juni 2026) ist Python 3.14.6 die neueste Version. Um sicherzugehen, dass alles läuft, sollten Sie sich also für die letzte Revision von Python 3.13 entscheiden. Natürlich können Sie die neueste Python-Version jederzeit in einer geschützten Umgebung – etwa einer virtuellen Maschine – austesten.

Von Python existieren darüber hinaus auch verschiedene Distributionen – ganz ähnlich wie das bei Linux der Fall ist. Allerdings ist die Programmiersprache, im Gegensatz zu Linux, auch in einer offiziellen Version erhältlich, die Sie als Fallback-Option nutzen können: CPython wird von der Python Software Foundation zur Verfügung gestellt und ist die sicherste und kompatibelste Distribution. Mit anderen Python-Distributionen für spezifische Use Cases können Sie zu einem späteren Zeitpunkt jederzeit experimentieren.

Ein wesentlicher Punkt bei der Wahl der Python-Distribution – insbesondere unter Windows – ist die Entscheidung zwischen der 32-Bit- und der 64-Bit-Version. Sehr wahrscheinlich werden Sie sich für letztere entscheiden, denn:

• die meisten modernen Betriebssysteme arbeiten standardmäßig mit der 64-Bit-Version von Python. Windows-Nutzer können die 32-Bit-Versionen der Coding-Sprache auch mit einem 64-Bit-Windows betreiben, müssen sich aber auf leichte Performance-Einbußen einstellen.

• 32-Bit-Applikationen – auch Python – können zeitgleich auf maximal 4 GB Arbeitsspeicher zugreifen. Dieses Limit kennen 64-Bit-Apps nicht. Hinzu kommt, dass viele Datenanalyse- und Machine-Learning-Tools innerhalb einer 64-bit-Umgebung am besten laufen.

Für die 32-Bit-Version von Python sollten Sie sich lediglich dann entscheiden, wenn Sie auch ein 32-Bit-Windows oder ein Drittanbieter-Modul nutzen (müssen), welches lediglich als 32-Bit-Version vorliegt.

Python unter Windows installieren

Wie bei nahezu jeder Applikation unter Windows läuft auch die Installation von Python über einen Installer ab, der Sie durch den Setup-Prozess geleitet. Standardmäßig legt der Python-Installer .exe-Dateien unter Windows im App-Data-Verzeichnis des jeweiligen Nutzers ab – so dass keine Administratorrechte für die Installation benötigt werden.

Den richtige Python Installer für Windows finden

Python.org stellt mehrere verschiedene Windows Installer zur Verfügung. Neben der 32-Bit- (x86) und der 64-Bit-Version (x86-64) auch eine Version für Windows-ARM-Systeme, ein embeddable Zip File, eine .exe-Datei sowie einen webbasierten Installer. Diese unterscheiden sich wie folgt:

• Der .exe Installer ist lediglich eine ausführbare Datei, die den Installationsprozess von Python startet – das ist die gängigste und simpelste Lösung.

• Der webbasierte Installer ist im Grunde identisch zu seinem .exe-Pendant, mit dem Unterschied, dass es die Dateien, die für die Installation nötig sind, separat herunterlädt. Dadurch reduziert sich die Größe des Installers drastisch, allerdings ist eine Netzwerkverbindung zwingend erforderlich.

• Das embeddable Zip File ist eine in sich geschlossene, auf das Minimum reduzierte Kopie der Python-Laufzeitumgebung. Das ist nützlich, wenn Sie eine Python-Applikation manuell verteilen oder schnell etwas testen wollen. Allerdings enthält dieser Installer keines der nützlichen Tools, die die anderen Versionen an Bord haben.

Python mit einem Package Manager unter Windows installieren

Eine weitere Option unter Windows ist die Nutzung des betriebssystemeigenen Package-Management-Systems NuGet. Der Package Manager für .NET hat auch Python im Angebot, allerdings als Komponente für .NET-Applikationen und nicht, um als Installer für eine Standalone-Version von Python zum Einsatz zu kommen. Das Management Ihrer Python-Instanz dürfte sich deshalb mit einer regulären Installation einfacher gestalten.

Auch das Windows Package Management System Chocolatey stellt Python zur Verfügung. Das ist im Vergleich zu NuGet in der Regel die bessere Option, weil Ihr System dabei auf eine vorhandene Python-Laufzeitumgebung überprüft wird. Allerdings sollten Sie vermeiden, reguläre Installationen und solche mit Chocolatey auf einem System zu vermischen.

Python unter Linux installieren

Weil Linux-Distributionen teilweise erhebliche Unterschiede aufweisen, sollten Sie bei der Installation von Python unter dem Open-Source-Betriebssystem auch auf den Package Manager der jeweiligen Distribution zurückgreifen. Die Vorgehensweise bei der Installation unterscheidet sich beispielsweise im Fall von Ubuntu und Fedora grundlegend. Das Installations-Zielverzeichnis orientiert sich dabei im Regelfall an der Python-Versionsnummer (/usr/bin/python3.x).

Ein Weg, die Komplexität im Umgang mit Linux-Package-Managern zu umgehen ist die Nutzung einer Container-basierten Python-Laufzeitumgebung. Container sind vom Rest des Systems isoliert – Sie müssen sich also auch keine Gedanken darüber machen, dass unterschiedliche Python-Laufzeitumgebungen Konflikte verursachen. Falls Sie keine Erfahrungen im Umgang mit Containern haben, müssen Sie allerdings ein wenig Zeit und Mühe einplanen, um sich mit der Materie vertraut zu machen.

Das Tool asdf-vm ist hilfreich, um mehrere Python-Laufzeitumgebungen auf Unix-basierten Systemen (Linux und MacOS) zu managen. Dabei beschränkt sich das Tool nicht auf Python: auch mehrere Laufzeitumgebungen für Node.js, Ruby, Elixir und viele weitere Programmiersprachen können mit asdf-vm unter einen Hut gebracht werden.

Python unter MacOS installieren

Apples MacOS wurde lange mit einer vorinstallierten Python-Version ausgeliefert – allerdings kam dabei keine Version zum Einsatz, die neuer als 2.7 war. Das führte mit der Veröffentlichung von Python 3.0 des Öfteren zu Problemen beziehungsweise Konflikten. Die offizielle Python-Dokumentation geht am Rande auf dieses Problem ein, stellt als Lösungsansatz allerdings nur die Empfehlung bereit, den richtigen Pfad für die entsprechende Python-Instanz zu wählen.

Die Nutzung des Homebrew Package Managers stellt einen gängigen Weg dar, um Python-Laufzeitumgebungen unter MacOS zu managen. Dieser stellt ein konsistentes Interface für Download, (De-)Installation und Management von Python zur Verfügung.

Python Packages installieren

Wenn Sie die Grundinstallation von Python abgeschlossen haben, sollten Sie im nächsten Schritt nicht direkt mit Pip (der Python Package Manager) die Packages installieren – selbst, wenn Sie Python nur für ein einzelnes Projekt nutzen wollen. Stattdessen empfiehlt es sich, virtuelle Python-Umgebungen aufzusetzen und die Packages innerhalb dieser Umgebungen zu installieren. So bleibt die Basis-Installation “clean”.

Eine Vielzahl von Projekten mit virtuellen Umgebungen zu managen, kann sich anspruchsvoll gestalten. Hier empfiehlt sich ein Blick auf das Kommandozeilen-Tool Poetry.

Mehrere Python-Versionen parallel installieren

Richtig knifflig wird es, wenn mehrere verschiedene Versionen der Programmiersprache parallel installiert werden sollen. Hier sollten Sie insbesondere zwei Dinge beachten:

• Installieren Sie jede Python-Version immer in einem eigenen Verzeichnis.

• Stellen Sie sicher, dass die Systempfade zuerst auf die Python-Version verweisen, die standardmäßig zum Einsatz kommen soll.

Die Einrichtung virtueller Umgebungen für jedes einzelne Projekt ist wärmstens zu empfehlen, wenn unterschiedliche Python-Versionen parallel zum Einsatz kommen sollen: So stellen Sie sicher, dass bei Aktivierung der entsprechenden virtuellen Umgebung immer automatisch die richtige Version der Coding-Sprache zum Einsatz kommt. Windows-Nutzern steht in diesem Zusammenhang mit der Py Launcher App eine weitere Option zur Verfügung. Diese kann im Rahmen des Installationsprozesses hinzugefügt werden und ermöglicht Ihnen, über Kommandozeilen-Flags auszuwählen, welche Python-Version für das jeweilige Script zum Einsatz kommen soll.

Mehrere Python-Versionen unter Windows managen

Bislang war es nicht wirklich möglich, unter Windows installierte Python-Versionen zu managen. Das ändert sich ab Version 3.14 mit einem Tool, das das Python-Kernteam neu entwickelt hat. Der Python Installation Manager for Windows ist soll künftig das Mittel der Wahl darstellen, um Installationen unter Windows zu verwalten. Weil der neue Installation Manager selbst nur eine normale Windows-App ist, gibt es mehrere Möglichkeiten, diesen zu installieren. Das funktioniert über:  

• den Microsoft Store,
• die offizielle Python-Website per Direkt-Download, oder
• den WinGet-Paketmanager (winget install 9NQ7512CXL7T).

Das bisherige py-Tool soll künftig durch den Installation Manager ersetzt werden, wobei das neue Tool das alte in Sachen Funktionalität deutlich übertrifft. Die Befehle, die zuvor funktioniert haben, können weiterhin verwendet werden. Einen nützlichen Überblick über alle wichtigen Kommandos rufen Sie mit py help auf:

Um einzusehen, welche Python-Versionen bereits auf Ihrem Windows-System vorhanden sind, nutzen Sie den Befehl py list:

Wenn Sie an bereits installierten Python-Instanzen Änderungen vornehmen möchten, müssen Sie diese manuell entfernen und anschließend mit dem Installation Manager neu installieren. Das ist denkbar einfach:

• Python-Versionen fügen Sie mit py install hinzu,
• rufen diese nach der Installation mit py - auf, und
• nutzen py uninstall für die Deinstallation.

Um zu sehen, welche Python-Versionen über den Manager verfügbar sind, nutzen Sie py list --online. Die hier gelisteten Python-Installationen lassen sich zudem mit dem Befehl py list -f=json im JSON-Format exportieren (CSV und JSONL sind ebenfalls verfügbar). Die standardmäßige Python-Version wird in der Auflistung durch ein Sternchen markiert:

Sobald Sie den Befehl py eingeben, wird diese Standard-Version aufgerufen. Falls Sie das ändern möchten, können Sie eine Umgebungsvariable definieren. Um etwa Python 3.12 als Standardversion festzulegen, würden Sie Powershell mit folgendem Kommando füttern:  

$Env:PYTHON_MANAGER_DEFAULT=„3.12“

Ein Befehl wie py install könnte allerdings leicht mit vorkonfigurierten Befehlen in virtuellen Umgebungen oder mit einem anderen Alias kollidieren. Um das zu vermeiden, können Sie pymanager als eindeutigen Namen für den Installation Manager nutzen. Alle Befehle bleiben dabei unverändert, lediglich der Name der Executable ändert sich.

Darüber hinaus ist es auch möglich, die Windows App Execution Aliases für Befehle wie python und python3 anzupassen. Dazu geben Sie lediglich py install --configure ein. Sie werden dann aufgefordert, die Aliase Ihres Systems zu ändern:

Python richtig upgraden

Weniger umfangreiche Python-Revisionen (etwa von 3.7.2 auf 3.7.3) stellen im Regelfall kein Problem dar: Unter Windows erkennt der Installer automatisch die installierte Version und stößt das entsprechende Upgrade an – unter Linux und MacOS in der Regel ebenso. Allerdings müssen auch alle virtuellen Umgebungen, die Sie erstellt haben, mit einem Upgrade versehen werden – das geschieht nicht automatisch.

Bei großen Revisionen (etwa von 3.12 auf 3.13) sollten Sie hingegen neue virtuelle Umgebungen innerhalb der einzelnen Projektverzeichnisse erstellen. Die meisten IDEs die Python unterstützen (zum Beispiel Microsoft Visual Studio Code), erkennen das automatisch und ermöglichen Ihnen, zwischen den verschiedenen virtuellen Umgebungen hin- und her zu wechseln.

Dieser Artikel ist im Original bei unserer Schwesterpublikation Infoworld.com erschienen.

Auf einen Blick

Pro

• Altbekannter Surface Laptop
• Der neue Blickschutz funktioniert oft gut
• Die “Voice Focus”-Funktion ist ziemlich nützlich

Kontra

• Unangemessen hoher Preis
• Die gleiche alte Bauweise

Fazit

Der Surface Laptop 8 for Business von Microsoft kommt einem sofort bekannt vor. Herzstück ist ein leistungsstarker Intel Core Ultra Series 300 (Panther Lake)-Prozessor. Doch leider ist das Gerät derart teuer, dass sich ein Kauf angesichts der wenigen neuen Funktionen kaum rechtfertigen lässt.

Zum ersten Mal seit Jahren war ich nicht begeistert, ein neues Surface-Modell zu testen. Und auch nach dem ausführlichen Test bin ich eher enttäuscht.

Dabei hat der Surface Laptop 8th Edition (oder Surface Laptop 8) for Business zwei echte Pluspunkte vorzuweisen: ein Upgrade auf Intels hervorragende Prozessoren der Core Ultra 300-Serie (Panther Lake) und einen einigermaßen nützlichen Sichtschutz.

Letzterer kann den Bildschirm auf Knopfdruck abdunkeln und unkenntlich machen. Leider hat Microsoft aber am traditionellen Aufschlag für Surface-Geräte festgehalten. Diese Preisgestaltung treibt die Kosten des Laptops in unattraktive Höhen.

Fairerweise muss man sagen, dass es sich hierbei um einen Laptop der Business-Klasse handelt. Eine Consumer-Version dieses Surface Laptops wird noch in diesem Jahr folgen, ausgestattet mit einem Qualcomm Snapdragon X2 Elite Extreme-Chip.

Basierend auf meinen eigenen Tests beider Chips lässt sich sagen, dass der hier verbaute Intel Core Ultra 300-Prozessor den Snapdragon leicht übertreffen wird. Dies gilt zumindest für die Grafikleistung und möglicherweise auch für die Akkulaufzeit.

Einige Surface-Fans könnten einwenden, dass Microsoft das Design des Laptops bereits optimiert hat. Andere könnten die Optik als altbacken kritisieren. Ich gehöre definitiv zur zweiten Gruppe. Ich muss mittlerweile auf Klebezettel zurückgreifen, die ich an der Unterseite der von mir getesteten Surface-Laptops anbringe. Warum? Sie sind im Alltag sonst praktisch nicht voneinander zu unterscheiden.

Modell-Chaos

Der Microsoft Surface Laptop 8 ist mit Bildschirmdiagonalen von 13,8 Zoll und 15 Zoll erhältlich. Microsoft vertreibt das Modell offiziell als “Surface Laptop for Business (8. Generation)” oder “Surface Laptop 8 for Business”.

Sie können den Surface Laptop for Business auch mit einem 13-Zoll-Display kaufen. Microsoft hat den Surface Laptop bisher noch nie mit einer solchen Bildschirmgröße angeboten, weshalb er schlicht als Surface Laptop for Business 13 Zoll bezeichnet wird.

Durch den Kauf des kleineren Surface Laptops sparen Sie mehrere hundert Euro (die Preise beginnen bei 1.549 Euro, im Vergleich zu 2.119 Euro für den 13,8-Zoll-Surface Laptop 8). Die Auswahl der Komponenten beschränkt sich dann jedoch auf einen Core Ultra 5 325-Prozessor, bis zu 24 Gigabyte RAM und bis zu einem Terabyte SSD-Speicher.

Auf dem Papier und in der Hand ist der Surface Laptop 8 for Business im Wesentlichen identisch mit dem Surface Laptop 7 aus dem Jahr 2024, der ab 1.199 Euro angeboten wurde. Zugegeben, dabei handelte es sich um eine Consumer-Version des Surface Laptop mit einem Snapdragon X1 Elite. Das ändert jedoch nichts daran, dass sich der Einstiegspreis im Vergleich zu vor zwei Jahren fast verdoppelt hat. Das macht das neue Gerät deutlich unattraktiver.

Kombination aus Alt und Neu

Das Design des Surface Laptop hat sich seit Jahren kaum verändert. Direkt nach dem Auspacken liegt der Laptop angenehm in der Hand, während das glänzende Aluminiumgehäuse nun aus bis zu 64 Prozent recyceltem Material besteht. Da es jedoch leicht Fingerabdrücke anzieht, sollten Sie ein Mikrofasertuch immer griffbereit halten. Ich empfinde das Gewicht von 1,35 Kilogramm weder in der Hand noch in meinem Rucksack als unangenehm. Hier kann ich Entwarnung geben.

In einigen Aspekten unterscheidet sich der Surface Laptop 8 for Business von seinen Vorgängern. Da wäre zunächst der Prozessor: eine Leistungssteigerung durch den Intel Core Ultra Series 3-Chip, bekannt als Panther Lake.

Zu den verfügbaren Ausführungen gehören sowohl die Basis-Konfigurationen mit Core Ultra 5 und 7 als auch der Core Ultra X7 368, der über Intels leistungsstarke integrierte GPU verfügt. Lassen Sie sich davon jedoch nicht allzu sehr verunsichern. Bei längerem Betrieb wird die Grafikeinheit durch die begrenzte Kühlung im Laptop thermisch erheblich gedrosselt.

Zudem gibt es eine merkwürdige Auslassung: Die Surface-App, mit der sich die Ladeoptionen des Akkus sowie einige weitere Einstellungen verwalten lassen, fehlt. Ich musste sie von Hand aus dem Microsoft Store herunterladen.

Außerdem bietet Microsoft als Option die “Privacy Screen”-Technologie an, die exklusiv für die 13,8-Zoll-Version verfügbar ist.

Im Wesentlichen funktioniert die “Privacy Screen”-Technologie des Surface Laptops, ähnlich wie die “Privacy Display” getaufte Funktion auf dem neuen Galaxy S26 Ultra von Samsung.

Sie wird über eine neue Taste auf der Tastatur aktiviert, die als F1-Taste neben der Esc-Taste in der obersten Reihe angeordnet ist. Drückt man diese Taste, wird das Display dunkler und passt sich so an, dass es von den Seiten her schwerer lesbar ist. Microsoft erklärt an dieser Stelle, wie der Blickschutz funktioniert, ohne dabei die genaue Funktionsweise zu erläutern.

Die Datenschutztechnologie nutzt die Fähigkeit des Laptops, die Helligkeit des Displays sowohl entsprechend den Präferenzen des Benutzers als auch in Abhängigkeit vom Umgebungslicht anzupassen. Je dunkler das Display, desto schwieriger wird es für neugierige Passanten, etwas auf dem Bildschirm zu erkennen.

In meinen Tests waren die Ergebnisse nicht eindeutig. In einem abgedunkelten Raum, wurde das Display aus einer Entfernung von einem Meter ab einem seitlichen Winkel von etwa 15 Grad zur Displayachse so dunkel, dass es fast nicht mehr zu erkennen war.

In einem helleren Raum blieb ein größerer Teil des Bildschirminhalts erkennbar. Ich konnte jedoch immer gut erkennen, um welche Art von Inhalt es sich auf dem Bildschirm handelte, auch wenn ich den eigentlichen Text nicht mehr lesen konnte. Ein Teil des Bildschirms blieb immer relativ gut sichtbar, es sei denn, ich saß sehr weit entfernt.

Es ist schwer zu beurteilen, wie effektiv der Blickschutz wirklich ist. Die Wirksamkeit schwankte im selben Raum unter den gleichen Bedingungen einfach zu sehr. Schauen Sie sich einfach mal die folgenden Vergleiche an. Im ersten Beispiel musste ich die Perspektive leicht verändern.

Aus dieser Perspektive scheint der Blickschutz kaum eine Wirkung zu entfalten. Ich habe mir dabei vorgestellt, wie es aus dem Blickwinkel einer Person aussehen würde, die auf einem Gangplatz im Flugzeug sitzt und beiläufig zu meinem Sitz über den Gang hinweg blickt. Aus dieser Perspektive glaube ich nicht wirklich, dass der Blickschutz von Microsoft wirklich funktioniert.

Aus einem anderen Blickwinkel betrachtet sind die Ergebnisse aber gar nicht so schlecht. Es wäre hilfreich gewesen, wenn Microsoft genau mitgeteilt hätte, in welchen Situationen der Blickschutz am wirksamsten arbeitet. In einem abgedunkelten Flugzeug, bei eingeschalteter Deckenbeleuchtung? In einem relativ hellen Raum wie meinem Büro?

In einem schlechter beleuchteten Raum schien der Blickschutz wirksamer zu arbeiten. Aber sollten Sie wirklich Ihre Arbeitsbedingungen anpassen müssen, um von dieser Funktion zu profitieren?

Zudem ist mir eine leichte Fleckbildung auf dem Display aufgefallen, die aussieht wie ein schwacher, staubiger Schleier im Displayglas. Ich vermute, dass dies an der Beschaffenheit des Sichtschutzglases selbst liegt.

Vielleicht wurden hierfür einige der Pixel leicht versetzt? Das Ergebnis ist jedoch deutlich sichtbar: Eine weiße Webseite wirkt bei direkter Betrachtung leicht staubig. Dies ist nicht störend oder ablenkend, aber es war auffällig.

Was die Ein- und Ausgänge betrifft, ist die Ausstattung des Surface Laptop 8 for Business recht übersichtlich: An der linken Seite befinden sich zwei Thunderbolt-4-/USB-C-Anschlüsse, über die mit dem entsprechenden Dock drei 4K-Displays mit 60 Hertz betrieben werden können.

Die Anordnung sorgt jedoch dafür, dass ein Nutzer, der die Maus mit der linken Hand bedient, sich den Platz mit den Displaykabeln teilen muss. Außerdem gibt es einen USB-A-Anschluss und eine Kopfhörerbuchse.

Auf der rechten Seite befindet sich der Surface Connect-Anschluss, der beim kleineren Surface Laptop und beim neuen Surface Pro weggefallen ist. Das bedeutet, dass Sie das Gerät entweder mit so gut wie jedem handelsüblichen USB-C-Ladegerät oder mit dem mitgelieferten winzigen 60-Watt-Surface-Ladegerät wieder aufladen können.

Insgesamt wirkt das Design des Surface Laptop 8 for Business robust und gut verarbeitet. Es ist jedoch erwähnenswert, dass das Kühlsystem im Vergleich zu früheren Generationen gänzlich unverändert geblieben ist: Die Luft strömt durch Lüftungsgitter im Scharnier nach außen.

Selbst bei der Standardeinstellung des Laptops (Beste Energieeffizienz) musste ich nicht viel am Rechner tun, damit sich der Lüfter einschaltete. Unter Last war das Lüftergeräusch jedoch meist unauffällig.

Bildschirm

Kurzum, mir gefällt der Bildschirm des Surface Laptop 8 for Business einfach nicht.

Auf dem Papier macht das Display noch einen guten Eindruck: Das HDR-Display bietet Dolby Vision IQ-Unterstützung mit adaptiver Farb- und Kontrastanpassung von bis zu 1300:1. Microsoft bietet zwei Anzeigemodi an: sRGB und „Vivid“. Der Hersteller gibt an, dass eine Helligkeit von bis zu 600 Nits erreicht werden kann. Ich habe insgesamt eine Leuchtdichte von 491 Nits gemessen, die jedoch bei aktiviertem Sichtschutz auf 163 Nits sank.

Der Farbraum ist recht gut und blieb sowohl bei aktiviertem als auch bei deaktiviertem Sichtschutz unverändert.

Der Surface Laptop 8 for Business bietet ein Touch-Display. Dieses ist jedoch nur für die Bedienung mit dem Finger ausgelegt. Eine Eingabe per Stift wird nicht unterstützt. Das Display lässt sich ohnehin nicht vollständig zurückklappen, was die Verwendung eines Stifts schwer machen würde.

Was ich am Bildschirm besonders schätze, ist eine oft unterschätzte Funktion: Die variable Bildwiederholfrequenz reicht von 120 Hertz bis hinunter auf 24 Hertz. Das ist großartig. Das 120-Hertz-Display erhöht die Bildwiederholfrequenz, wenn Sie es aktiv nutzen. Dadurch werden Mausbewegungen oder Spiele mit einer höheren Bildwiederholfrequenz dargestellt, was zu flüssigeren Bewegungen führt.

Wenn Sie auf einen statischen Bildschirm schauen, sinkt die Bildwiederholfrequenz auf 24 Hertz – weniger als die herkömmlichen 60 Hertz. Das senkt den Stromverbrauch, ohne dass Sie es wirklich bemerken. Der Akku hält entsprechend länger durch.

Der Bildschirm wirkt allerdings etwas trüb, und es gibt eine leichte Fleckenbildung, die durch den Sichtschutz verursacht wird. Dies sorgt dafür, dass die Auflösung niedriger wirkt, als sie tatsächlich ist. Mit einer Kamera lässt sich dieses Manko nicht wirklich einfangen. Vielleicht bin ich durch die neue Generation von OLED-Displays auch einfach zu verwöhnt. Doch aus meiner Sicht lässt dieser Bildschirm einfach zu viele Wünsche offen.

Ton und Mikrofone

Microsofts Surface-Geräte gehörten zu den ersten Laptops, die mit ihrer Audioqualität überzeugen konnten. Daran hat sich nichts geändert. Die integrierten Omnisonic-Lautsprecher unterstützen Dolby Atmos und bieten mehr Lautstärke, als für einen kleinen Raum nötig wäre. Der Sound klang zwar etwas flacher, als ich ihn in Erinnerung hatte.

Dennoch benötigen Sie für diesen Laptop nicht unbedingt Kopfhörer. Die Audioqualität der verbauten Lautsprecher ist über den gesamten Frequenzbereich hinweg recht gut.

Die beiden Studio-Mikrofone sorgen für eine neue Funktion namens “Voice Focus“. Diese soll in bestimmten, aber nicht näher genannten Anwendungen unterstützt werden. Der Algorithmus konzentriert sich dabei auf Ihre Stimme und nicht auf Geräusche im Hintergrund. Um diese Funktion auszuprobieren, nahm ich meine Stimme mit der Windows-App “Sound Recorder” auf, während ich im Hintergrund Musik und weißes Rauschen abspielte.

Beide Hintergrundgeräusche blieben noch etwas hörbar. Das weiße Rauschen wurde deutlich besser herausgefiltert als der Gesang im Hintergrund. Hier wusste die Software einfach nicht, ob sie die abgespielte Musik beibehalten oder ausblenden sollte. Die meisten neuen Asus-Laptops bieten eine noch bessere Geräuschfilterung.

Tastatur und Touchpad

Die Tastatur gehörte einst auch zu den Aspekten, die ein Surface-Gerät ausgezeichnet haben. Mittlerweile haben die anderen Hersteller jedoch aufgeholt. Mir sind dennoch keine Mängel an der Tastatur des Surface Laptop 8 for Business aufgefallen. Sie ist nicht deutlich besser oder schlechter als andere gute Laptop-Tastaturen.

Der neue Surface Laptop verfügt über die haptischen Touchpads, die Microsoft vor einigen Jahren eingeführt hat. Diese lassen sich über die gesamte Fläche anklicken. Dies ist im Vergleich zu herkömmlichen Touchpads ein echter Pluspunkt. Microsoft arbeitet zudem daran, ein subtiles haptisches Feedback auszulösen, wenn der Mauszeiger über bestimmte Bildschirmelemente bewegt wird, wie das “X” zum Schließen eines Fensters. Der Effekt ist sehr unauffällig, aber dennoch ein nettes kleines Detail.

Das Touchpad lässt sich zudem über die Surface-App anpassen. Diese war auf meinem Testgerät jedoch nicht vorinstalliert. Die App kann jedoch kostenlos aus dem Microsoft Store heruntergeladen werden. Mit der Software können Sie festlegen, welcher Bereich des Surface-Touchpads auf Rechts- und Linksklicks reagiert.

Webcam

Der Surface Laptop 8 for Business verfügt über eine 1080p-Kamera, die die Windows Studio-Effekte wie Hintergrundunschärfe, Bildausschnitt, Blickkontakt und mehr unterstützt. Außerdem bietet sie die Gesichtserkennung, einen wesentlichen Bestandteil der Windows Hello-Technologie. Während des Testzeitraums hatte ich keinerlei Probleme mit der Anmeldung über die Kamera.

Da es sich um eine “Business”-Kamera handelt, erwartet man von der Webcam eine professionelle Darstellung unter verschiedenen Lichtverhältnissen. Und unter der hellen LED-Beleuchtung meines Büros funktioniert dies auch gut.

Hier habe ich die Webcam sowohl im hellen Licht unseres Büros als auch bei natürlicherer Beleuchtung in meiner Wohnung getestet.

Offen gestanden war ich von den Ergebnissen nicht sonderlich beeindruckt. Bei natürlicher Beleuchtung (der Himmel war an diesem Tag bewölkt) schnitt die Webcam recht gut ab, obwohl das Bild körniger war, als ich es erwartet hätte. Im Büro wirkte das Bild der Kamera jedoch etwas blass.

Leistung

Derzeit zählt der Intel Core Ultra 300 (Panther Lake) zu den besten Premium-Laptop-Prozessoren, die Sie im Jahr 2026 kaufen können. Den kürzlich vorgestellten AMD Ryzen AI 400-Prozessor konnten wir noch nicht in einem marktreifen Laptop finden.

Bislang durften wir Panther Lake jedoch nur in größeren Produktivitäts-Laptops mit überlegenen Kühlungslösungen wie dem Asus ZenBook Duo ausprobieren. Zum besseren Verständnis: Läuft ein Laptop über einen längeren Zeitraum unter hoher Last, kann sich die Performance durch Drosselung reduzieren. Auf diese Weise soll eine gefährliche Überhitzung verhindert werden. Im Fall des Surface Laptop 8 ist dies ein Punkt, auf den Sie besonders achten sollten.

Der Cinebench-2024-CPU-Benchmark umfasst einen “Thermal-Throttling”-Test. Dabei wird der Benchmark wiederholt über einen Zeitraum von zehn Minuten ausgeführt. In diesem Szenario ist eine verminderte Leistung ein Hinweis auf thermische Drosselung. Sie können dann einen einzelnen Durchlauf mit dem Langzeittest vergleichen. So kann festgestellt werden, ob eine Drosselung auftritt. In unserem Fall sank die CPU-Leistung bei einem Vergleich von 773 auf 689 Punkte.

Mit dem 3DMark-Grafiktest lässt sich ebenfalls ein Langzeittest durchführen – in diesem Fall zwanzig Benchmark-Durchläufe – und die Leistung im Verlauf des Tests vergleichen. Hier war der Unterschied noch größer.

Der Benchmark erzielte beim ersten Durchlauf die höchste Punktzahl, fiel dann bei den nachfolgenden Durchläufen auf etwa die Hälfte der Leistung ab und verblieb während der folgenden Testläufe auf diesem Niveau.

Was sagt uns das? In gewisser Weise sind Leistungswerte oft irreführend. Der Surface Laptop 8 funktioniert am zuverlässigsten in kurzen, intensiven Phasen, zumindest was das Gaming betrifft.

Für längere Sitzungen ist das Gerät weniger gut geeignet. Andererseits scheint die Kühlung für CPU-intensive Aufgaben auszureichen. Zu diesen Aufgaben zählen unter anderem das Betriebssystem, das Komprimieren und Dekomprimieren von Dateien sowie allgemeine Anwendungen ohne viele visuelle Elemente. Beachten Sie, dass wir zwar die NPU-Fähigkeiten des Laptops nicht testen, er sich mit seinen 50 TOPS jedoch als Copilot-PC qualifiziert.

Ich habe den Surface Laptop 8 for Business mit mehreren 14-Zoll-Laptops der jüngsten Generation verglichen: dem Acer Swift X 14 AI und dem verwandten Modell Acer Swift Edge 14 AI.

Hinzu kamen zwei Panther-Lake-Laptops: der Dell XPS 14 und der MSI Prestige Flip 14 AI. Schließlich habe ich noch zwei Snapdragon-Laptops hinzugefügt: den Surface Laptop 7 (2024) mit einem Snapdragon X1 Elite-Chip der ersten Generation sowie den Lenovo Yoga Slim 7x Gen 11, der mit einem Snapdragon X2 Elite Extreme-Chip der zweiten Generation ausgestattet ist.

Der PCMark-10-Test deckt ein breites Spektrum ab, das von Videoanrufen über das Surfen im Internet hin zu CAD-Anwendungen und einigen weniger anspruchsvollen Spielen reicht.

Aufgrund der Vielfalt der getesteten Anwendungen ist dieser Benchmark nach wie vor relevant. Der Surface Laptop profitiert ein wenig von seiner leistungsstarken integrierten GPU, obwohl es sich hierbei in erster Linie um CPU-orientierte Tests handelt.

Für andere Tests, die sich nicht mit PCMark messen lassen, verwenden wir stattdessen Cinebench 2024. Obwohl es eine Version für 2026 gibt, nutzen wir aus Kompatibilitätsgründen weiterhin Cinebench 2024. Auch hier gilt: Panther Lake ist eine leistungsstarke CPU, die bei kurzer Spitzenlast eine hohe Leistung bietet.

Dieser ausgedehnte Cinebench-Stresstest verdeutlicht jedoch, dass Sie bei längerer Nutzung mit einer geringeren CPU-Leistung rechnen müssen.

Handbrake war ursprünglich der Test, mit dem wir bewerteten, wie gut sich der Laptop und sein Prozessor über einen längeren Zeitraum behaupten können. Die App selbst ist nützlich, auch wenn sie schon älter ist.

Sie transkodiert lediglich eine Videodatei in ein Format, das für die Speicherung auf einem Tablet verwendet wird. Angesichts der Verbreitung von Streaming-Apps findet diese Transkodierung mittlerweile meist im Hintergrund statt. Dennoch ist sie ein wirksames Maß für die dauerhafte CPU-Leistung.

Unser traditioneller Maßstab für die 3D-Leistung ist der “Time Spy”-Benchmark von 3DMark. Dieser misst die 3D-Leistung auf eine Weise, die ein echtes 3D-Spiel simuliert. Auch hier würde ich erwarten, dass der Surface Laptop recht gut abschneidet – und das tut er auch.

Allerdings sind mir bei den von diesem Laptop gemeldeten Ergebnissen einige übermäßige Schwankungen aufgefallen. Nach einem Kaltstart stiegen die Benchmark-Ergebnisse auf einen Höchstwert von 7.063. Im niedrigsten Fall sank das Ergebnis auf 4.601. Nach jedem Durchlauf ließ ich den Laptop zehn Minuten lang abkühlen.

Bei diesem Gerät zeigen die Ergebnisse jedoch einen deutlichen Unterschied zwischen der Durchführung des Benchmarks zu Beginn des Tages und der Durchführung nach einer Abkühlphase von zehn Minuten im Anschluss an eine Reihe anderer Benchmarks. Dies ist ein ungewöhnliches Verhalten und ein echter Minuspunkt. Ich gehe einfach immer davon aus, dass ein hochwertiger Laptop eine konstante Leistung abliefern kann.

Da es sich beim Surface Laptop 8 um ein Produktivitätsgerät handelt, habe ich ihn im Hinblick auf Gaming nicht ausgiebig getestet. Allerdings machen Intels XeSS-Upscaling und die Frame-Generierung einen enormen Unterschied.

“Cyberpunk: 2077”, getestet bei einer Auflösung von 1.920 × 1.080 Pixeln und der Einstellung „Low“, erzielte mit der reinen Render-Engine des Spiels eine durchschnittliche Bildrate von 50 Bildern pro Sekunde. Das ist ein schon relativ gut spielbares Ergebnis. Mit aktivierten Zusatzfunktionen stieg die Bildrate jedoch auf 133 Bilder pro Sekunde – was mehr als spielbar ist.

Bitte beachten Sie, dass der Benchmark nur etwa eine Minute lang läuft. Daher ist bei längerem Spielen mit einem Rückgang der Bildrate zu rechnen.

Bei einem Produktivitäts-Laptop lege ich Wert auf außergewöhnliche Leistung. Aber die Akkulaufzeit ist ebenso wichtig. Einige der ersten Panther-Lake-Laptops, die ich getestet habe, verfügten über riesige 99-Wattstunden-Akkus – das zulässige Maximum in Flugzeugen.

Um das Gewicht gering zu halten, lieferte Microsoft den Surface Laptop 8 for Business mit einem 52-Wattstunden-Akku aus. Das wirkt sich natürlich auf die Akkulaufzeit aus, wenn auch nicht dramatisch. Es macht mir keine Sorgen, dass ich für eine Akkulaufzeit von 17,3 Stunden etwas weniger Gewicht mit mir herumschleppen muss. Bei produktiver Arbeit könnte die Laufzeit aber etwas niedriger ausfallen als in unseren Tests.

Preis und Verfügbarkeit

Zum Zeitpunkt der Veröffentlichung ist der Surface Laptop 8 for Business nur bei Microsoft selbst und wenigen anderen Händlern erhältlich. Der Einstiegspreis für das 13,8-Zoll-Modell liegt beim Hersteller bei 2.119 Euro. Dafür gibt es 16 Gigabyte RAM und 256 Gigabyte Speicherplatz. Mit 512-Gigabyte-SSD klettert der Preis auf 2.239 Euro.

Optional ist für ausgewählte 13,8-Zoll-Konfigurationen der integrierte Privacy Screen erhältlich. Ob diese Variante in Deutschland verfügbar ist, geht aus dem Microsoft Store derzeit nicht eindeutig hervor. Als Option steht der Blickschutz bei der Konfiguration noch nicht zur Verfügung.

Fazit

Würde man den Preis um etwa 1.000 Euro senken, dann ließe sich der Kauf des aktuellen Surface Laptop 8 for Business eher rechtfertigen. So ist dieser Laptop aber einfach viel zu teuer, um ihn zu empfehlen – selbst für die geschäftliche Nutzung.

Es ist erwähnenswert, dass die Laptops, mit denen wir den Surface Laptop primär vergleichen, auch erst kürzlich ausgeliefert wurden. Dadurch sind auch diese Geräte ebenfalls von den Kostensteigerungen bei Arbeitsspeicher und SSD-Speicher betroffen.

Bietet der Surface Laptop ansonsten etwas Überzeugendes? Abgesehen vom Blickschutzbildschirm eigentlich nicht wirklich. Was Leistung und Akkulaufzeit angeht, so gibt es viele Laptops, die diese Werte bei deutlich geringeren Anschaffungskosten sogar übertreffen.

Tatsächlich wirkt diese Generation der Surface-Laptops etwas unentschlossen. Privatkunden würden wahrscheinlich eine etwas leistungsstärkere Grafikeinheit für Spiele bevorzugen, während Geschäftsreisende eher auf eine starke CPU-Leistung Wert legen dürften. Das werden wir wahrscheinlich beim kommenden Surface Laptop für Privatkunden sehen, der vermutlich mit einem Qualcomm Snapdragon X2 Elite-Chip ausgestattet sein wird. Die Akkulaufzeit dürfte in etwa gleich bleiben.

Ich habe das Gefühl, dass ich bereits ausreichend Worte über diesen Laptop verloren habe. Er ist überteuert. Kaufen Sie ihn nicht.

Technische Daten

• Prozessor: Core Ultra 5 335, Core Ultra 7 366H, Core Ultra X7 368H (getestet: 368H)
• Display: 13,8 Zoll (2.304 × 1.536 Pixel) PixelSense Flow, 24–120 Hertz, Dolby Vision, entspiegelt nach ISO-9241 oder blendfrei mit integriertem Blickschutz (getestet)
• Arbeitsspeicher: 16 Gigabyte/32 Gigabyte/64 Gigabyte LPDDR5X (getestet: 16 Gigabyte)
• Speicher: 256 Gigabyte/512 Gigabyte/1 Terabyte PCIe Gen 4 M.2 NVMe SSD (getestet: 512 Gigabyte)
• Grafikkarte: Iris Arc B390
• NPU: 50 TOPS
• Anschlüsse: 2 × USB-C/Thunderbolt 4, USB-A, 3,5-Millimeter-Kopfhöreranschluss, Surface Connect-Anschluss
• Sicherheit: Windows Hello-Kamera
• Kamera: 1080p (zum Benutzer gerichtet, Windows Hello)
• Akku: Nennkapazität: 52,3 Wattstunden, tatsächliche Kapazität laut Test: 54,1 Wattstunden
• Drahtlos: Wi-Fi 7, Bluetooth Core 5.4
• Audio: Zwei Studio-Mikrofone, Omnisonic-Lautsprecher mit Dolby Atmos
• Betriebssystem: Windows 11 Pro
• Abmessungen: 301 Millimeter x 220 Millimeter x 17,5 Millimeter
• Gewicht: 1,35 Kilogramm
• Farben: Platin und Mattschwarz
• Preise: ab 2.119 Euro (Testmodell: 2.239 Euro)

(PC-Welt)

Python ist zweifelsohne ein essenzieller Bestandteil der modernen Datenwissenschaft. Die Programmiersprache gibt Data Scientists und Softwareentwicklern eine ganze Reihe praktischer und performanter Tools an die Hand. Diese erfordern in vielen Fällen aber auch ein gewisses Maß an Assembler-Knowhow. Zudem ist die Art und Weise, wie Python verpackt und bereitgestellt wird, nicht spezifisch auf Datenwissenschaftler zugeschnitten.

Um diese Lücke zu füllen und Assembler dennoch außenvorzulassen, existieren verschiedene Projekte. Zum Beispiel Anaconda.

Was ist Anaconda Python?

Anaconda ist eine Python-Distribution – also quasi eine Neupaketierung von Python – die sich speziell an Entwickler richtet, die die Programmiersprache für Data-Science-Zwecke verwenden möchten. Dazu bietet Anaconda eine ganze Reihe von Tools und Features, die speziell die Datenverarbeitung mit Python vereinfachen.

Anaconda-Editionen im Überblick

Anaconda besteht aus zwei Hauptkomponenten – der Anaconda-Distribution und den dazugehörigen Services. Die Anaconda-Distribution lässt sich auch ohne die Dienste downloaden und nutzen – und steht in zwei unterschiedlichen Editionen zur Verfügung, nämlich:

• der regulären Version und

• einer abgespeckten Variante namens Miniconda.

Letztere ist eine gute Wahl für Einsteiger, denn sie ist auf die grundlegenden Funktionen beschränkt. Auf die Einzelheiten zu Miniconda kommen wir im Verlauf des Artikels noch einmal zu sprechen. Die Anaconda-Distribution ist in beiden Fällen kostenlos nutzbar.

Die Anaconda Services stehen mit unterschiedlichen Preisplänen für Einzelnutzer sowie Unternehmen (ab 50 Dollar pro Monat) zur Verfügung. Für erstgenannte ist auch eine kostenlose Version verfügbar. Zu den verfügbaren Enterprise-Features zählen beispielsweise:

• Repository-Kontrollmaßnahmen,

• Versionskontrolle,

• Job Scheduling und

• SLAs für die Uptime.

Anaconda-Python-Komponenten

Die Referenzversion von Python – Cpython – enthält einige hilfreiche Komponenten, etwa die Standardbibliothek und eine IDE. Data-Science-Tools gibt es dabei aber lediglich als Add-on. Nicht so bei Anaconda – hier ist eine hochwertige Auswahl entsprechender Tools standardmäßig mit an Bord. Anaconda enthält:

• Python Interpreter,

• Anaconda Navigator und

• Conda Package Manager.

Python Interpreter

Hierbei handelt es sich nicht um den Standard-CPython-Build der Python Software Foundation, sondern um eine eigenständige Variante von Anaconda Inc., die speziell für die Python-Distribution erstellt wurde. Er soll im Vergleich (auf einigen Plattformen) sicherere Compiler Flags und bessere Performance-Optimierungen aufweisen.

Anaconda Navigator

Die auffälligste Neuerung, um die Anaconda die Arbeit mit Python ergänzt, ist eine grafische Benutzeroberfläche (GUI) – der Anaconda Navigator. Der ist keine IDE und versucht auch nicht, eine zu sein: Die meisten Python-fähigen IDEs sind in der Lage, die Anaconda Python Runtime zu registrieren und zu verwenden. Der Anaconda Navigator stellt vielmehr ein Organisationssystem für die größeren Parts der Distribution dar. Mit dem Navigator können Sie:

• High-Level-Anwendungen wie RStudio oder Jupyterlab hinzufügen und nutzen;

• virtuelle Umgebungen und Packages managen;

• “Projects” einrichten (dazu später mehr), um die Arbeit in Anaconda zu verwalten;

• auf diverse administrative Funktionen zugreifen.

Obwohl der Navigator den Komfort einer grafischen Benutzeroberfläche bietet, ersetzt er nicht die Befehlszeilenfunktionalitäten in Anaconda oder Python im Allgemeinen. Sie können Packages beispielsweise über die grafische Benutzeroberfläche verwalten, das aber auch über die Kommandozeile erledigen.

CPython hingegen weist keine formale GUI auf. Die Distribution wird zwar mit IDLE geliefert – einer Mini-IDE, die sich für schnelle, einmalige Aufgaben eignet. Geht es darum, Python selbst zu managen, sind Sie allerdings auf Drittanbieter angewiesen. Deswegen bieten einige IDEs GUI-Schnittstellen für CPython-Komponenten. Microsoft Visual Studio hat zum Beispiel eine grafische Benutzeroberfläche für das Pip-Paketverwaltungssystem von Python an Bord, die der GUI ähnelt, die Anaconda für seinen eigenen Paketmanager bereitstellt.

Conda Package Manager

Um Drittanbieter-Bibliotheken zu managen und zu installieren, wird Python mit dem pip Package Manager ausgeliefert. Dieser ist allerdings – trotz jahrelanger Weiterentwicklungen – eher limitiert, denn er verwaltet nur Packages für Python selbst. Weist eine Bibliothek eine Abhängigkeit zu einem externen Package auf, muss dieses manuell vom Entwickler separat installiert und gemanagt werden.

Weil damit auch die Entwickler von Anaconda zu kämpfen hatten, beschlossen sie, ihre eigene Lösung zu entwickeln: Conda. Dieser Package Manager verwaltet nicht nur Packages, sondern auch Abhängigkeiten außerhalb des Python-Ökosystems.

Haben Sie es zum Beispiel mit mehreren Packages zu tun, die auf einen Compiler wie GCC oder LLVM angewiesen sind, stellt das für Conda kein Problem dar: Die Lösung ist in der Lage, eine einzige Instanz einer bestimmten GCC-Version für alle Conda-Pakete, die es benötigen, zu installieren. Mit pip müssten Sie hingegen eine Kopie von GCC mit jedem Paket, das es verwendet, bündeln. Im Klartext: eine ineffiziente und umständliche Lösung.

Conda und pip verwenden davon abgesehen auch nicht das gleiche Paketformat, weswegen Pakete, die für pip erstellt wurden, für Conda neu erstellt werden müssen. Die gute Nachricht: Nahezu jede für das Python-Ökosystem wichtige Bibliothek ist über Conda verfügbar.

Anacondas Data-Science-Optimierungen

Die Verbesserungen, die Anaconda einführt, kommen ganz allgemein jedem Python-Nutzer zugute. Die wichtigsten Benefits hält die Distribution aber für Data-Science-Anwender bereit – die des Öfteren mit ihren Python-Umgebungen in Konflikt geraten.

Conda Environments

Python Packages kommen – selbst wenn sie mit Conda verwaltet werden – nicht immer gut miteinander “klar”. Bestimmte Projekte benötigen manchmal unterschiedliche Package-Versionen. Um das Problem zu lösen, wurde zwar das Python-Feature für virtuelle Umgebungen – auch bekannt als venv – entwickelt, aber Conda geht noch einen Schritt weiter.

Conda Environments sind funktional ähnlich aufgebaut wie virtuelle Umgebungen im venv-Stil. Wenn Sie bestimmte Versionen von Bibliotheken oder auch des Python-Interpreters verwenden wollen, können Sie die in einer Conda-Umgebung unterbringen – und isoliert nutzen. venv-Umgebungen können zwar verschoben werden, enthalten aber nicht unbedingt detaillierte Informationen darüber, wie sie erstellt wurden. Wenn Sie für Ihre Arbeit eine reproduzierbare Umgebung benötigen, kann das ein Problem darstellen. Conda Environments sind hingegen auf Reproduzierbarkeit konzipiert.

Wollen Sie Kollegen ermöglichen, Ihre Conda-Umgebung zu benutzen, stellen Sie ihnen eine Kopie des entsprechenden Definitions-Files zur Verfügung. Diese beschreibt, wie man die Umgebung auf einem anderen System neu erstellt. Das funktioniert nicht uneingeschränkt plattformübergreifend: Alle Unterschiede hinsichtlich der Funktionsweise von Paketen auf verschiedenen Plattformen (etwa macOS versus Linux) müssen manuell ausgebügelt werden.

Anaconda Project

Ein Environment exakt zu reproduzieren, ist allgemein ein gängiges Problem – sowohl für Datenwissenschaftler als auch für Softwareentwickler. Selbst Conda-Umgebungen bieten nur eine Teillösung für dieses Problem, weil venv-Umgebungen Dinge wie Umgebungsvariablen nicht reproduzieren können.

An dieser Stelle kommt Anaconda Project ins Spiel: Das Tool verwandelt ganze Ordner mit Web-Apps, Skripten, Jupyter Notebooks und Files in eine reproduzierbare Ressource um. Sobald dieses Verzeichnis über Anaconda Project gemanagt wird, läuft es überall konsistent – insofern eine Kopie von Anaconda vorhanden ist.

Die größte Einschränkung: Anaconda Project befindet sich derzeit in der Betaphase und läuft noch nicht stabil. Solange das nicht der Fall ist, sollte es nicht für die gemeinsame Arbeit in Umgebungen verwendet werden. Bis es soweit ist, können Conda Environments zumindest eine verlässliche Teilmenge der gleichen Funktionalität bieten.

Apps in Anaconda Python

Anaconda Python macht Datenwissenschaftlern auch das Leben leichter, indem es verschiedene gängige Projekte für die interaktive Arbeit mit Daten bündelt. Zwei der gängigsten sind Jupyter Notebook und JupyterLab, die Live-Umgebungen bereitstellen, um Python Code zu schreiben, Daten zu importieren und Ergebnisse zu visualisieren. Anaconda richtet die entsprechenden Instanzen für Sie ein und managt diese – die Arbeit wird so auf einen Mausklick reduziert.

Weitere, enthaltene Anwendungen sind:

• Qtconsole – eine grafische Benutzeroberfläche für Jupyter, die die Qt Interface Library verwendet. Sie ist nützlich, wenn Sie mit Jupyter Notebooks lieber über eine plattformeigene Oberfläche als über einen Webbrowser arbeiten wollen.

• Spyder – eine in Python geschriebene Mini-IDE, die sich hauptsächlich an Entwickler richtet, die mit IPython/Jupyter Notebooks arbeiten. Es kann auch als Bibliothek für Python-Anwendungen verwendet werden, die eine IDE-ähnliche Schnittstelle benötigen.

• RStudio – ein Toolset, um mit der Programmiersprache R zu arbeiten, die in diversen Bereichen für Datenanalysezwecke verwendet wird. RStudio bietet Möglichkeiten, sowohl mit Python als auch mit R zu arbeiten.

• Visual Studio Code – Microsofts Editor ist dank seiner enormen Auswahl an Erweiterungen extrem wandelbar. Für die Arbeit mit Python stellt es eine der besten Entwicklungsumgebungen dar. Da kommt es gelegen, dass Anaconda-Nutzer direkt in Visual Studio Code einsteigen können, ohne es separat installieren zu müssen.

Wann Miniconda die bessere Option ist

Wenn Sie sich lieber schrittweise mit Anaconda Python vertraut machen wollen, empfiehlt sich der Einstieg mit der abgespeckten Version Miniconda. Die installiert nur das absolute Minimum, um mit Anaconda loszulegen: Interpreter, Package Manager und ein paar andere grundlegende Dinge. Sie können zwar weitere Komponenten hinzufügen oder mit Conda über die Kommandozeile Umgebungen erstellen.

Allerdings sollten Sie drei wesentliche Dinge im Hinterkopf behalten, wenn Sie mit Miniconda arbeiten wollen:

1. Die Anaconda Navigator GUI ist nicht standardmäßig installiert. Wenn Sie diese benötigen, können Sie diese mit dem Befehl conda install anaconda-navigator hinzufügen.

2. Miniconda wird standardmäßig in ein Verzeichnis namens Miniconda3 und nicht Anaconda installiert. Ein Umstand der potenziell Verwirrung stiften kann. Das Installationsverzeichnis kann jedoch nach Bedarf angepasst werden.

3. Conda kann nur verwendet werden, um Pakete aus Condas eigenem Repository in Miniconda zu installieren. Sie können pip verwenden, um PyPI-Bibliotheken in Miniconda zu installieren. Diese können jedoch nicht mit Conda gemanagt werden, sondern nur mit pip. Zudem sind weitere Schritte nötig, damit pip und Conda koexistieren können. Wenn Sie wollen, dass Conda alles managt, besteht die Möglichkeit, PyPI- in Conda-Packages “umzupacken”.

(fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Infoworld.com erschienen.

Für Microsoft Teams sind Hunderte von Apps verfügbar, die Ihnen und Ihren Kollegen den Arbeitsalltag erleichtern – ohne dazu die Teams-Oberfläche verlassen zu müssen. Teams-Apps stehen (sowohl von Microsoft selbst als auch von Drittanbietern) für nahezu jeden Business-Zweck zur Verfügung – einige sind sogar auf bestimmte Branchen zugeschnitten.

In diesem Artikel stellen wir Ihnen 19 beliebte Apps für Microsoft Teams vor, die die Zusammenarbeit an Dokumenten, Notizen, Projekten und anderen Inhalten optimieren können.

Teams-Apps finden, hinzufügen und entfernen

Um das zu bewerkstelligen, ist nicht viel Vorarbeit nötig:

• Öffnen Sie einen Teams-Kanal oder -Chat und klicken Sie auf das +-Symbol (“Registerkarte hinzufügen”).

• Es öffnet sich ein Fenster, in dem Sie eine App Ihrer Wahl hinzufügen oder auch nach einer bestimmten Anwendung suchen können.

• Nachdem Sie den Nutzungsbedingungen zugestimmt haben, fügen Sie die App mit “Speichern” als Registerkarte dem Kanal oder Chat hinzu.

Eine andere Möglichkeit, Microsoft-Teams-Apps zu finden und hinzuzufügen, führt über den Navigationsbereich links – beziehungsweise den Punkt “Apps“. Wenn Sie diesen Weg wählen, dürfen Sie am Ende wählen, welchem Kanal oder Chat die Anwendung hinzugefügt werden soll.

Wenn Sie Apps aus Microsoft Teams entfernen möchten, klicken Sie auf das +-Symbol in einem Channel oder Chat und wählen Sie anschließend im Menü den Punkt “Apps verwalten“. Im folgenden Menü gelangen Sie über die drei Punkte rechts neben der App zur Option “Entfernen“. Alle Registerkarten für die betreffende App werden anschließend aus dem Chat oder Kanal entfernt.

19 Apps für Microsoft Teams

Wir haben 19 empfehlenswerte Apps für Microsoft Teams für Sie zusammengestellt. Der Übersichtlichkeit halber haben wir die Anwendungen in fünf Kategorien gegliedert:

• Document Collaboration Apps,

• Content Management Apps,

• Notizen-Apps,

• Whiteboard Apps sowie

• Projektmanagement-Apps.

Document Collaboration Apps

Geht es um Dokumente, Tabellenkalkulationen und Präsentationen, empfehlen sich Word, Excel und PowerPoint. Die Microsoft-Apps sind bereits standardmäßig in Teams integriert und können ebenfalls Chats oder Kanälen hinzugefügt werden – als Instanz der jeweiligen Anwendung mit Registerkarte, in der ein Dokument angezeigt wird.

Installieren Sie zum Beispiel die PowerPoint-App, können Sie eine Präsentation innerhalb eines Kanals oder Chats per Registerkarte integrieren. Die Chat- oder Kanal-Mitglieder können die Datei anschließend gemeinsam bearbeiten. Das funktioniert sowohl mit Dateien, die über Ihr Microsoft-365-Konto auf OneDrive gespeichert sind als auch mit lokal gespeicherten Files.

Im Fall von PDFs ermöglichen Adobe Acrobat und Foxit PDF Editor entsprechende Dateien innerhalb einer Teams-Registerkarte zu erstellen und gemeinsam zu bearbeiten. Letztgenannte App steht für einen Zeitraum von sieben Tagen kostenlos zur Verfügung – anschließend müssen Sie ein kostenpflichtiges Abo abschließen (ab 180 Dollar pro Benutzer und Jahr). Adobe Acrobat ist hingegen kostenlos nutzbar, dann allerdings ohne Premium-Funktionen wie Seiten neu anzuordnen oder Kennwortschutz.

Content-Management-Apps

Wenn Sie und Ihre Kollegen im Kreativbereich tätig sind und auf die Tool-Welt von Adobe (Illustrator, Photoshop, etc.) setzen, empfiehlt es sich, auch die App Adobe Creative Cloud in Teams einzubinden.

Geht es generell darum, Inhalte mit Teams zu managen, spielen Microsoft OneDrive und SharePoint eine zentrale Rolle – dort werden Ihre Dateien gespeichert, wenn Sie sie in einen Kanal oder Chat hochladen.

Geht es um Cloud-Speicherlösungen von Drittanbietern, ist für Microsoft Teams vor allem Box relevant. Der Anbieter ist schon lange im Geschäft und fokussiert dabei seit je her vor allem Unternehmen. Box ist (mit 10 GB Speicherplatz) auch kostenlos nutzbar – wer mehr Platz und weitere Funktionen braucht, muss einen kostenpflichtigen Plan buchen. Die Preise beginnen ab 13,50 Euro pro Benutzer und Monat (bei jährlicher Zahlweise).

Notiz-Apps

Notizen und Notizbücher lassen sich in Microsoft Teams gemeinsam erstellen und bearbeiten – inklusive aller damit verbundenen Vorzüge wie Checklisten, einbettbaren Diagrammen und Medien oder Data Snippets. Anwendungen dieser Art bieten eine gute Möglichkeit, alle möglichen Informationen für Teamprojekte zu sammeln und zu speichern.

Microsofts vorinstallierte Lösung ist OneNote für Teams. Sie ermöglicht Ihnen, lokal oder in OneDrive abgespeicherte Notizbücher entweder komplett oder auch abschnittsweise über Registerkarten in Chats und Kanäle einzubinden.

Whiteboard-Apps

Wenn Sie gemeinsam mit Ihren Kollegen in Microsoft Teams Ideen entwickeln und ausarbeiten möchten, bietet sich eine digitale Whiteboard-Lösung an. Auch an dieser Stelle bietet Microsoft mit Whiteboard eine bereits integrierte Applikation. Eine praktische Funktion: Sie können damit erstellte Whiteboards bei Bedarf auch in Teams-Meetings oder -Calls einbinden. Das ermöglicht, dass die Meeting-Teilnehmer in Echtzeit kollaborieren können.

Wenn Ihnen Microsofts integriertes Whiteboard-Tool zu simpel ist, gibt es diverse Alternativen mit weiterführenden Funktionen, die als Microsoft-Teams-App zur Verfügung stehen. Die drei Anwendungen mit den besten Bewertungen sind dabei:

• Figma,

• Miro und

• Mural.

Projektmanagement

Ähnlich wie im Bereich Whiteboards gibt es auch in der Kategorie Projektmanagement-Apps eine große Auswahl für Microsoft Teams. Dabei empfiehlt es sich, sich an die bekannten und populären Anwendungen zu halten – etwa:

• Asana,

• Monday.com,

• Trello oder

• Wrike.

Alle vier Apps ermöglichen es Ihnen, Projekte aufzusetzen und zu managen, Tasks zuzuweisen und zu tracken, Projektinformationen freizugeben sowie übersichtliche Visualisierungen in Teams einzubinden, um Ihre Workflows zu optimieren. Jedes dieser Tools ist (mit funktionalen Einschränkungen) kostenlos nutzbar.

Sollten Sie noch keine bevorzugte Projektmanagement-App haben, könnte sich auch ein Blick auf Microsofts integriertes Angebot mit dem etwas sperrigen Namen Tasks by Planner and To Do lohnen. Dabei handelt es sich um ein relativ simples Tool, das mit Task-Listen arbeitet und den Fortschritt von Projekten mit Hilfe von Diagrammen visualisiert. (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Computerworld.com erschienen.

Während die Investitionen in künstliche Intelligenz steigen, nimmt auch die Zahl der Entlassungen in der Technologiebranche weiter zu. Allein Microsoft streicht in dieser Woche rund 4.800 Stellen, was etwa 2,1 Prozent der Belegschaft entspricht.

Die jüngsten Kürzungen betreffen vor allem die Bereiche Commercial Sales und Xbox. Sie folgen auf zwei weitere Entlassungsrunden im Jahr 2025, von denen insgesamt rund 15.000 Beschäftigte beziehungsweise etwa vier Prozent der Belegschaft betroffen waren. Vor den aktuellen Stellenstreichungen beschäftigte Microsoft mehr als 220.000 Mitarbeiter.

Die Reduzierung der Belegschaft erfolgt zudem nur wenige Tage nach der Ankündigung von Microsoft Frontier Company, einer Initiative, die Kunden bei der Einführung von KI-Projekten mit fest eingebundenen Experten unterstützt – ähnlich wie klassische Angebote von Systemintegratoren (SIs).

Insgesamt scheinen diese Schritte darauf hinzudeuten, dass Microsoft eher auf sein technisches Know-how als auf traditionelles Kundenmanagement setzt, um Unternehmen beim Einsatz von KI erfolgreich zu machen.

„Microsoft hatte sein kommerzielles Geschäft bereits rund um KI neu organisiert“, erklärt Thomas Randall, Research Director bei der Info-Tech Research Group, dazu. „Die jüngsten Entlassungen sind Teil dieser laufenden Neuausrichtung.“

Microsofts Mitteilung an die Belegschaft

In einem Memo an die Mitarbeiter, das Business Insider vorliegt, erklärt Amy Coleman, Executive Vice President und Chief People Officer bei Microsoft, die Entlassungen spiegelten den grundlegenden Wandel wider, den KI derzeit auslöse.

„Unser Geschäft verändert sich, weil sich die Welt um uns herum verändert“, schreibt sie. „Unternehmen können sich nicht aussuchen, ob sich ihre Branche verändert. Sie können nur entscheiden, ob sie sich mit ihr verändern.“

Die Kundenbedürfnisse und die Geschäftsmodelle, die diesen gerecht werden, verschöben sich, so Coleman. Deshalb müssten Anbieter Ressourcen und Rollen anpassen, um ihre Kunden bestmöglich unterstützen zu können.

„Wann immer möglich, hat es für uns Priorität, Mitarbeitende in neue Rollen zu versetzen, die den wichtigsten Prioritäten und größten Chancen des Unternehmens entsprechen“, betont die Managerin. Und diese Priorität laute derzeit: KI.

Abschließend erklärt sie, Microsoft werde Strukturen und Prioritäten im gesamten Unternehmen „mit Bedacht“ weiterentwickeln. „Wir arbeiten an Alternativen zu Stellenstreichungen und werden weiterhin in die Weiterbildung unserer Mitarbeitenden investieren – auch im Bereich KI.“

Was Kunden erwarten können

Microsoft ist nicht das einzige große Technologieunternehmen, das angesichts des KI-Booms Personal abbaut. Während die Branche Milliarden in KI investiert und strategische Partnerschaften mit führenden KI-Laboren eingeht, müssen diese Ausgaben teilweise durch Einsparungen ausgeglichen werden, da sich der wirtschaftliche Nutzen vieler Investitionen bislang noch nicht klar nachweisen lässt.

Amazon hat seit dem vergangenen Herbst beispielsweise 30.000 Stellen abgebaut. Google soll Gerüchten zufolge Mitarbeiter in seiner Cloud-Sparte entlassen. Meta strich allein im Mai rund 8.000 Stellen – etwa zehn Prozent der gesamten Belegschaft – und Oracle reduzierte seine Belegschaft kürzlich um 21.000 Mitarbeiter.

Für Kunden könnten diese Entwicklungen jedoch ebenfalls Folgen haben. Nach Einschätzung von Info-Tech-Analyst Randall müssen einige Microsoft-Kunden aufgrund der Stellenkürzungen künftig mit längeren Reaktionszeiten bei nicht strategischen Anfragen rechnen, insbesondere weil mehrere Kundenkonten künftig von weniger Ansprechpartnern betreut würden.

Gleichzeitig könnten wichtige Kunden mit umfangreichen Investitionen in KI, Daten, Sicherheit und Cloud angesichts der Investitionen in „Frontier Companies“ von einer intensiveren technischen Betreuung profitieren. Standardprozesse rund um Lizenzen und Support dürften dagegen schlanker organisiert werden, so Randall.

Darüber hinaus sollten Kunden mit einer stärkeren Einbindung von Partnern rechnen. Bereits seit Beginn des Geschäftsjahr 2027 (Anfang: 1. Juli 2026) lenke Microsoft Kunden verstärkt zu seinen Partnern – insbesondere bei Themen wie KI, Sicherheit, Cloud-Modernisierung, Copilot, KI-Agenten und Managed Services, so Randall. Zudem biete Microsoft seinen Partnern höhere Margen für Wachstum bei bestimmten KI-Workloads.

„Um sich auf diese Veränderungen vorzubereiten, sollten Kunden ihre Microsoft-Ansprechpartner und Support-Strukturen überprüfen und dokumentieren“, empfiehlt der Info-Tech-Analyst. Dazu gehöre, Support-Kontakte, Ansprechpartner bei Partnerunternehmen und Eskalationswege vollständig zu erfassen und diese Informationen intern zugänglich zu machen. Dasselbe gelte für alle Vereinbarungen mit Microsoft, etwa zu Preisannahmen, Abhängigkeiten in der Roadmap oder Meilensteinen bei Implementierungsprojekten.

„Auf diese Weise lässt sich der Übergang zu einem neuen Kundenbetreuer deutlich reibungsloser gestalten, da bereits festgelegte Vereinbarungen für das Unternehmen nachvollziehbar dokumentiert sind“, so Randall.

Die Lücke zwischen KI-Investitionen und ROI schließen

In der vergangenen Woche stellte Microsoft die 2,5 Milliarden Dollar schwere Initiative Frontier Company vor. Nach Angaben des Unternehmens geht sie über klassische Systemintegratoren und sogenannte Forward Deployed Engineers (FDEs) hinaus. Tausende Microsoft-Ingenieure sollen direkt in Kundenprojekten mitarbeiten, um gemeinsam KI-Lösungen zu entwickeln und zugleich das notwendige Know-how zu vermitteln, damit Unternehmen diese Projekte künftig eigenständig umsetzen können.

Kunden sollten diese Initiative allerdings nicht als klassische, beratungsintensive Projekte im McKinsey-Stil verstehen, betont Randall. Der Presales-Bereich werde sich wahrscheinlich stärker darauf konzentrieren, die konkreten Geschäftsprozesse eines Unternehmens für laufende KI-Implementierungen zu bewerten, anstatt umfassende Change-Management-Projekte zu begleiten.

Ähnlich wie andere Hyperscaler, beispielsweise AWS, setze Microsoft verstärkt auf ein besonders enges Betreuungsmodell, um zu verhindern, dass die Lücke zwischen KI-Investitionen und dem tatsächlichen KI-Mehrwert weiterwächst, erklärt der Analyst.

„Microsoft wird seine besten technischen Experten daher wahrscheinlich für Kunden reservieren, die klare Absichten für den produktiven Einsatz, ein belastbares Budget, nutzbare Daten und eine eindeutige Unterstützung durch das Top-Management vorweisen können“, prognostiziert Randall. (mb)

Dieser Artikel basiert auf einem Beitrag von CIO.com.

ISO-Zertifizierungen, aber auch die Einführung eines Informationssicherheits-Managementsystems (ISMS) nach IT-Grundschutz, werden von vielen Unternehmen als Beweis für ihre Qualität und ihren professionellen Ansatz bei der Durchführung ihrer Geschäftstätigkeit angesehen. Obwohl das ein wichtiger Grundstein für jedes Unternehmen ist, läuft in einigen Fällen nicht immer alles wie geplant. Im Folgenden werden die häufigsten Fallstricke bei der ISO-/ISMS-Einführung und deren Zertifizierung sowie Lösungsansätze aufgeführt.

1. Fehlende Verbindlichkeit der Geschäftsleitung

Allen voran geht die Geschäftsleitung. Egal, ob als Einzelperson oder zu mehreren. Einer der maßgeblichen Faktoren, der dazu führt, dass ISO-/ISMS-Einführungen in Unternehmen nicht funktionieren, ist das fehlende Commitment der Geschäftsführer. Diese muss die Bedeutung der ISO-/ISMS-Einführungen verstehen und sich aktiv für ihre Umsetzung und Aufrechterhaltung einsetzen. Ohne das Engagement der Geschäftsleitung ist es oft schwierig, alle Mitarbeiter für den Prozess zu gewinnen und sicherzustellen, dass die ISO-Standards oder auch die Standards nach IT-Grundschutz in den täglichen Geschäftsablauf integriert werden.

Deshalb sollten Unternehmen auf jeden Fall klarstellen, wie wichtig das Thema ist – auch, wenn die Umsetzung mit hohem Aufwand und Unannehmlichkeiten verbunden sein kann. “Aufräumen” ist nicht immer schön. Das Ergebnis dafür aber umso lohnender. Wenn die Geschäftsleitung die ISO-/ISMS-Einführungen unterstützt und fördert, kann dies zu einem erfolgreichen Abschluss und einem besseren Unternehmensimage führen.

2. Dran vorbei statt mittendrin

Einer der häufigsten Gründe, warum ISO-/ISMS-Einführungen in Unternehmen nicht funktionieren, ist, dass sie nicht tatsächlich in den täglichen Geschäftsablauf integriert werden. Viele betrachten die ISO-/ISMS-Einführungen als eine einmalige Aktivität, die einmal durchgeführt wurde, um das Zertifikat zu erhalten. Dabei achten sie jedoch nicht darauf, die geschaffenen Abläufe in ihre täglichen Geschäftspraktiken zu integrieren. Ohne eine tatsächliche Einbindung in den täglichen Geschäftsablauf wird das Zertifikat nutzlos und die Vorteile, die es bietet, werden nicht realisiert. Im schlimmsten Fall zahlen Organisationen sogar drauf, lassen dabei jedoch in jedem Fall wertvolles Entwicklungspotential liegen.

Bei der Integration gilt es zu beachten, dass man sich nicht zu sehr in Details verliert. Die (arbeits-)lebensnahe Umsetzung des Managementsystems ist maßgeblich für dessen Erfolg. Anstatt komplizierte Prosa zu schreiben, tut es vielleicht auch eine Grafik. Frei nach dem Motto “Ein Bild sagt mehr als tausend Worte!”. Sind Abläufe leicht und intuitiv zu erfassen und klar umzusetzen, werden sie auch gelebt. Hier kann es auch hilfreich sein, Prozesse zu automatisieren. Auch der Blick von außen durch einen erfahrenen Berater kann von Vorteil sein.

3. Mitarbeiter nicht umfassend beteiligen

Ein weiteres Problem, das bei ISO-/ISMS-Einführungen häufig vorkommt, ist die fehlende Beteiligung aller Mitarbeiter. Wenn nur ein kleiner Teil des Unternehmens für die Umsetzung der ISO-/ISMS-Einführungen verantwortlich ist, kann es zu einer Desynchronisation zwischen den Abteilungen kommen, die nicht Teil des Prozesses sind. Dies führt dazu, dass bestimmte Abteilungen nicht an den vorgesehenen Verfahren teilnehmen und dass die ISO-/ISMS-Einführungen letztendlich nicht funktioniert.

Die Lösung hierzu? Erfahren Sie im nächsten Punkt.

4. Mitarbeiteridentifikation nicht fördern

Ein weiterer Faktor, der die Funktionalität von ISO-/ISMS-Einführungen in Unternehmen erschwert, ist die fehlende Identifikation der Mitarbeitenden mit der Einführung und dem daraus resultierenden Managementsystem. Die Mitarbeiter müssen verstehen, warum die Einführung wichtig ist, wie sie in ihre täglichen Arbeitsabläufe integriert werden soll und wie das ihnen die Arbeit erleichtert. Ist das nicht der Fall, wird es schwierig , die Einführung umzusetzen und eine daraus etwaig resultierende Zertifizierung aufrechtzuerhalten.

Eine Lösung dafür bilden zum Beispiel Schulungen und Weiterbildungsprogramme. Diese tragen dazu bei, dass die Mitarbeitenden frühzeitig in den Zertifizierungsprozess einbezogen werden. Dadurch wird sichergestellt, dass alle Mitarbeitenden die Bedeutung der Zertifizierung verstehen und wie diese in ihre täglichen Arbeitsabläufe integriert werden kann.

Die Schulung und Einbindung der Mitarbeitenden stellt zudem sicher, dass das Managementsystem effektiv umgesetzt wird. Die Angestellten tragen dadurch aktiv zu dessen Verbesserung bei.

5. Vernachlässigen von Kompetenzbildung

Schulungen für Mitarbeitende im Kontext der ISO-/ISMS-Einführungen sind in vielerlei Hinsicht wichtig. Fehlende Kompetenz bei den Verantwortlichen trägt oftmals dazu bei, dass Zertifizierungsvorhaben spätestens im Audit scheitern. Schulungen und das Bilden von Bewusstsein aller Mitarbeitenden für die Bedeutung der ISO-/ISMS-Einführungen und ihre Rolle bei der Umsetzung sind deshalb essentiell.

Ein gut ausgebildetes Team findet gute und effiziente Lösungen für den Aufbau und die Umsetzung eines Managementsystems. So kann Bürokratisierung vermieden werden. Damit ist Kompetenzbildung von Anfang an ein entscheidender Faktor für den Erfolg einer ISO-/ISMS-Einführungen.

6. Umsetzen ohne Plan

Ein weiteres Hindernis bei der Implementierung von ISO-/ISMS-Einführungen, ist das Fehlen eines klaren Plans zum Vorgehen. Viele Organisationen beginnen den Prozess ohne, dass sie eine genaue Vorstellung davon haben, was für eine erfolgreiche Einführung oder eine Zertifizierung benötigt wird. Dadurch verschwenden sie Zeit und Ressourcen. Ohne einen genauen Plan konzentrieren sich Firmen auf Bereiche, die nicht relevant sind oder die Anforderungen der ISO-/IT-Grundschutz Standards nicht erfüllen. Dauert die Umsetzung für den Aufbau eines Managementsystems zu lange, kann es außerdem dazu kommen, dass die reguläre Unternehmensentwicklung den Prozess selbst überflügelt und Arbeit mehrfach anfällt, um Änderungen zu folgen.

Eine mögliche Lösung besteht darin, einen klaren Plan zu erstellen, der die Schritte zur Implementierung der Standards festlegt. Dieser Plan sollte die spezifischen Anforderungen der gewählten Standards, die benötigte Zeit und die Ressourcen für die Einführung/Zertifizierung, sowie die Verantwortlichkeiten und Aufgaben der beteiligten Mitarbeiter und Abteilungen berücksichtigen. Durch eine klare Definition einer Deadline für den primären Aufbau des Managementsystems können Unternehmen sicherstellen, dass sie sich auf die wichtigsten Bereiche konzentrieren. Somit sind sie in der Lage, Zeit und Ressourcen effektiver zu nutzen. Eine vorgelagerte Soll-Ist-Stand- oder GAP-Analyse ist dabei ein erprobtes Mittel, um Klarheit zu schaffen und die Basis für eine konkrete Planung zu erhalten.

7. Das passt schon so oder währt ehrlich doch länger?

Wenn Unternehmen sich selbst belügen, funktioniert die ISO-/ISMS-Einführungen ebenfalls nicht. Oftmals werden Schwachstellen- und Risikoanalysen nicht objektiv betrachtet oder eigentlich relevante Themen schlicht nicht erfasst. So nach dem Motto: “Was der Auditor nicht weiß, macht ihn nicht heiß.”

Dies führt dazu, dass Unternehmen ihre Risiken nur unzulänglich behandeln oder erst gar nicht wahrnehmen und somit die Wirksamkeit des Managementsystems beeinträchtigen. Der Aufschrei, wenn ein Risiko nach einer zuvor positiven Bewertung eintritt und immense Kosten zu dessen Behebung anfallen, ist im Nachhinein oft groß.

Eine unehrliche Betrachtung sorgt dafür, dass die Implementierung der gewählten Standards oberflächlich und unvollständig erfolgt, was die Einführung und gegebenenfalls auch die Zertifizierung letztendlich sinnlos macht.

Eine Lösung hierfür besteht darin, dass Unternehmen schonungslos ehrlich zu sich selbst sind und sich gegebenenfalls auch Hilfe zur Selbsthilfe holen. Ein unvoreingenommener und erfahrener Berater kann helfen, Risiken richtig einzuschätzen. Außerdem ist er in der Lage, potentielle Szenarien aufzeigen, die aufgrund von Betriebsblindheit sonst nicht gesehen werden. So kann das Unternehmen eine ehrliche Risikoanalyse durchführen und Schwachstellen im Unternehmen identifizieren, um eine effektive Implementierung der gewählten Standards zu gewährleisten.

8. Die Einführung/Zertifizierung als abgeschlossenen Prozess betrachten

Ein weiteres häufiges Problem bei ISO-/ISMS-Einführungen ist das Fehlen eines kontinuierlichen Überwachungs- und Verbesserungsprozesses. Viele Unternehmen sehen die ISO-/ISMS-Einführungen als einen abgeschlossenen Prozess. Werden jedoch keine kontinuierlichen Bemühungen unternommen, um die Umsetzung der gewählten Standards aufrechtzuerhalten und zu verbessern, droht das Unternehmen schnell hinter den neuesten Trends und Anforderungen zurückzufallen. Im schlimmsten Fall kann es sogar passieren, dass das Unternehmen seine Zertifizierung verliert. Im Anschluß ist es entsprechend schwer, diese erneut zu erlangen.

Um diese Probleme zu vermeiden, müssen Unternehmen die ISO-/ISMS-Einführungen als einen kontinuierlichen Prozess ansehen, der ständig überwacht und verbessert wird. Alle Mitarbeiter sollten in den Prozess einbezogen werden, um eine reibungslose Umsetzung und eine tatsächliche Integration in den täglichen Geschäftsablauf zu gewährleisten. Zudem ist es wichtig, dass regelmäßig Überprüfungen und Audits durchgeführt werden. Dadurch sorgen Organisationen dafür, dass sie immer den neuesten Standards entsprechen.

9. Einsatz von Billiglösungen

Eine ISO-/ISMS-Einführung und Zertifizierung ist nichts für Unternehmen, die auf Billiglösungen aus sind. Viele Unternehmen versuchen, Kosten zu sparen, indem sie sich für günstigere Lösungen entscheiden oder versuchen, die Standards auf eigene Faust und ohne angemessene Ressourcen zu implementieren.

Dies führt regelmäßig dazu, dass Unternehmen wichtige Bereiche übersehen oder mangelhafte Lösungen implementieren, die die Standards nicht vollständig erfüllen oder nur Mehrarbeit schaffen, ohne die eigentlich möglichen Vorteile eines Managementsystems zu erschließen. Es ist wichtig zu verstehen, dass die Implementierung von ISO/IT-Grundschutz-Standards ein wichtiger und langfristiger Prozess ist. Dieser erfordert eine angemessene Investition, um sicherzustellen, dass alle Anforderungen erfüllt werden und das Managementsystem effizient umgesetzt wird. Was bringt es, am Anfang zu sparen und dann auf Dauer mehr Kosten zu haben, um die Fehler in der Basis auszugleichen?

Lösen lässt sich dieses Dilemma durch eine klare und ausführliche Bestandsaufnahme in Kombination mit einem Soll-Abgleich. Auf Basis eines klaren Bildes, was zu tun ist, lässt sich ein angemessenes Budget für die Implementierung der gewählten Standards bereitstellen und auf qualitativ hochwertige Lösungen setzen, die den Anforderungen entsprechen.

So kommen auch langfristige Vorteile von Managementsystemen zum Tragen, wie eine verbesserte Effizienz, Qualität und Kundenzufriedenheit, was letztendlich zu höheren Umsätzen und Gewinnen führen kann. Ein angemessener Mehraufwand schon bei Implementierung des Systems rechnet sich also langfristig gesehen. (jm)

Lesetipp: Gut zertifiziert ist halb gewonnen

In den letzten Jahren wurden in der Computerwissenschaft und bei der künstlichen Intelligenz (KI) unglaubliche Fortschritte erzielt. Watson, Siri oder Deep Learning zeigen, dass KI-Systeme inzwischen Leistungen vollbringen, die als intelligent und kreativ eingestuft werden müssen. Und es gibt heute immer weniger Unternehmen, die auf KI verzichten können, wenn sie ihr Business optimieren oder Kosten sparen möchten.

KI-Systeme sind zweifellos sehr nützlich. In dem Maße wie die Welt komplexer wird, müssen wir unsere menschlichen Ressourcen klug nutzen, und qualitativ hochwertige Computersysteme helfen dabei. Dies gilt auch für Anwendungen, die Intelligenz erfordern. Die andere Seite der KI-Medaille ist: Die Möglichkeit, dass eine Maschine Intelligenz besitzen könnte, erschreckt viele. Die meisten Menschen sind der Ansicht, dass Intelligenz etwas einzigartiges ist, was den Homo sapiens auszeichnet. Wenn Intelligenz aber mechanisiert werden kann, was ist dann noch einzigartig am Menschen und was unterscheidet ihn von der Maschine?

Das Streben nach einer künstlichen Kopie des Menschen und der damit verbundene Fragenkomplex sind nicht neu. Die Reproduktion und Imitation des Denkens beschäftigte schon unsere Vorfahren. Vom 16. Jahrhundert an wimmelte es in Legenden und in der Realität von künstlichen Geschöpfen. Homunculi, mechanische Automaten, der Golem, der Mälzel’sche Schachautomat oder Frankenstein waren in den vergangenen Jahrhunderten alles phantasievolle oder reale Versuche, künstlich Intelligenzen herzustellen – und das zu nachzuahmen, was uns Wesentlich ist.

Künstliche Intelligenz – die Vorarbeiten

Allein, es fehlten die formalen und materiellen Möglichkeiten, in denen sich Intelligenz realisieren konnte. Dazu sind zumindest zwei Dinge notwendig. Auf der einen Seite braucht es eine formale Sprache, in die sich kognitive Prozesse abbilden lassen und in der sich rein formal – zum Beispiel durch Regelanwendungen – neues Wissen generieren lässt. Ein solcher formaler Apparat zeichnete sich Ende des 19. Jahrhunderts mit der Logik ab.

Die Philosophen und Mathematiker Gottfried Wilhelm Leibniz, George Boole und Gottlob Frege haben die alte aristotelische Logik entscheidend weiterentwickelt, und in den 30er Jahren des letzten Jahrhunderts zeigte der Österreicher Kurt Gödel mit dem Vollständigkeitssatz die Möglichkeiten – und mit den Unvollständigkeitssätzen die Grenzen – der Logik auf.

Auf der anderen Seite war – analog dem menschlichen Gehirn – ein “Behältnis” oder Medium notwendig, in dem dieser Formalismus “ablaufen” konnte und in dem sich die künstliche Intelligenz realisieren lässt. Mechanische Apparate waren hierfür nicht geeignet, erst mit der Erfindung der Rechenmaschine eröffnete sich eine aussichtsreiche Möglichkeit. In den dreißiger Jahren des 20. Jahrhunderts wurde die Idee einer Rechenmaschine, die früher schon Blaise Pascal und Charles Babbage hatten, wiederbelebt. Während Pascal und Babbage lediglich am Rechner als Zahlenmaschine interessiert waren, die praktischen Zwecken dienen sollte, entstanden zu Beginn des 20. Jahrhunderts konkrete Visionen einer universellen Rechenmaschine.

Einer der wichtigsten Visionäre und Theoretiker war Alan Turing (1912-1954): 1936 bewies der britische Mathematiker, dass eine universelle Rechenmaschine – heute als Turing-Maschine bekannt – möglich ist. Turings zentrale Erkenntnis ist: Eine solche Maschine ist fähig, jedes Problem zu lösen, sofern es durch einen Algorithmus darstellbar und lösbar ist. Übertragen auf menschliche Intelligenz bedeutet das: Sind kognitive Prozesse algorithmisierbar – also in endliche wohldefinierte Einzelschritte zerlegbar – können diese auf einer Maschine ausgeführt werden. Ein paar Jahrzehnte später wurden dann tatsächlich die ersten praktisch verwendbaren Digitalcomputer gebaut. Damit war die “physische Trägersubstanz” für künstliche Intelligenz verfügbar.

Der Turing-Test: 1950

Turing ist noch wegen einer anderen Idee wichtig für die KI: In seinem berühmten Artikel “Computing Machinery and Intelligence” aus dem Jahr 1950 schildert er folgendes Szenario: Angenommen, jemand behauptet, er hätte einen Computer auf dem Intelligenzniveau eines Menschen programmiert. Wie können wir diese Aussage überprüfen? Die naheliegende Möglichkeit, ein IQ-Test, ist wenig sinnvoll. Denn dieser misst lediglich den Grad der Intelligenz, setzt aber eine bestimmte Intelligenz bereits voraus. Bei Computern stellt sich aber gerade die Frage, ob ihnen überhaupt Intelligenz zugesprochen werden kann.

Turing war sich des Problems bei der Definition von intelligentem menschlichem Verhalten im Vergleich zur Maschine bewusst. Um philosophische Diskussionen über die Natur menschlichen Denkens zu umgehen, schlug Turing einen operationalen Test für diese Frage vor.

Ein Computer, sagt Turing, sollte dann als intelligent bezeichnet werden, wenn Menschen bei einem beliebigen Frage-und-Antwort-Spiel, das über eine elektrische Verbindung durchgeführt wird, nicht unterscheiden können, ob am anderen Ende der Leitung dieser Computer oder ein anderer Mensch sitzt. Damit die Stimme und andere menschliche Attribute nichts verraten, solle die Unterhaltung, so Turing, über eine Fernschreiberverbindung – heute würde man sagen: ein Terminal mit Tastatur – erfolgen.

Turings Test zeigt, wie Intelligenz ohne Bezugnahme auf eine physikalische Trägersubstanz geprüft werden kann. Intelligenz ist nicht an die biologische Trägermasse Gehirn gebunden und es würde nichts bringen, eine Denkmaschine durch Einbettung in künstliches Fleisch menschlicher zu machen. Unwichtige physische Eigenschaften – Aussehen, Stimme – werden durch die Versuchsanordnung ausgeschaltet, erfasst wird das reine Denken. Turings Gedankenspiele mündeten später in die Auseinandersetzung zwischen starker und schwacher KI.

Big Bang in Dartmouth: Das erste KI-Programm – 1956

Drei Jahre nach Turings Tod, im Jahr 1956, beginnt die eigentliche Geschichte der Künstlichen Intelligenz. Als KI-Urknall gilt das “Summer Research Project on Artificial Intelligence” in Dartmouth im US-Bundesstaat New Hampshire. Unter den Teilnehmern befanden sich der Lisp-Erfinder John McCarthy (1927-2011), KI-Forscher Marvin Minsky (1927-2016), IBM-Mitarbeiter Nathaniel Rochester (1919-2001), der Informationstheoretiker Claude Shannon (1916-2001) sowie der Kognitionspsychologe Alan Newell (1927-1992) und der spätere Ökonomie-Nobelpreisträger Herbert Simon (1916-2001).

Projekte zur maschinellen Sprachübersetzung wurden in Millionenhöhe von der amerikanischen Regierung gefördert. Sätze wurden Wort für Wort übersetzt, zusammengestellt und an die jeweilige Zielsprache angepasst. Die Probleme reduzierten sich darauf, umfangreiche Wörterbücher anzulegen und effizient abzusuchen. Man verkannte in dieser Phase der KI-Forschung, dass Sprache vage und mehrdeutig ist und für automatisches Übersetzen vor allen Dingen umfangreiches Weltwissen erforderlich ist.

Künstliche Intelligenz im Elfenbeinturm: 1965 bis 1975

Die zweite Ära der KI lässt sich etwa zwischen 1965 und 1975 ansiedeln und mit dem Schlagwort KI-Winter und Forschung im Elfenbeinturm umschreiben. Weil nicht genügend Fortschritte erkennbar waren, wurde die Finanzierung der US-Regierung für KI-Projekte gekürzt. KI-Forscher zogen sich daraufhin in den Elfenbeinturm zurück und agierten in Spielzeugwelten ohne praktischen Nutzen.

Frustriert von der Komplexität der natürlichen Welt bauten die Forscher in dieser Phase Systeme, die auf künstliche Mikrowelten beschränkt waren. Die Wissenschaftler hofften damit, sich auf das Wesentliche konzentrieren zu können und durch Erweiterung der Mikrowelt-Systeme nach und nach natürliche Umgebungen in den Griff zu bekommen. In dieser Phase erkannten die KI-Forscher die Bedeutung von Wissen für intelligente Systeme.

Ein typisches Programm dieser Periode mit einigem Aufmerksamkeitswert ist SHRDLU von Terry Winograd (1972). Das natürlichsprachliche System agiert in einer überschaubaren Klötzchenwelt, beantwortet Fragen nach der Lage von Klötzchen und stellt Klötzchen auf Anfrage symbolisch um. SHRDLU gilt als das erste Programm, das Sprachverständnis und die Simulation planvoller Tätigkeiten miteinander verbindet.

Ebenfalls in einer überdimensionalen Klötzchenwelt lebte der Ende der sechziger Jahre in Stanford entwickelte erste autonome Roboter – aufgrund seiner ruckartigen Bewegungen SHAKEY genannt. Der Kopf ist eine drehbare Kamera, der Körper ein riesiger Computer. Man konnte ihm Anweisungen geben, wie etwa einen Block von einem Zimmer in ein anderes Zimmer zu bringen. Das dauerte allerdings ziemlich lange. SHAKEY funktionierte leider nur in dieser Laufstall-Umwelt, in der realen Welt war er zum Scheitern verurteilt.

Ende der 1960er Jahre war die Geburtsstunde des ersten Chatbots: Der KI-Pionier und spätere KI-Kritiker Joseph Weizenbaum (1923-2008) vom MIT entwickelte mit einem relativ simplen Verfahren das “sprachverstehende” Programm ELIZA. Simuliert wird dabei der Dialog eines Psychotherapeuten mit einem Klienten. Das Programm übernahm den Part des Therapeuten, der Nutzer konnte sich mit ihm per Tastatur unterhalten. Weizenbaum selbst war überrascht, auf welch einfache Weise man Menschen die Illusion eines Partners aus Fleisch und Blut vermitteln kann. Er berichtete, seine Sekretärin hätte sich nur in seiner Abwesenheit mit ELIZA unterhalten, was er so interpretierte, dass sie mit dem Computer über ganz persönliche Dinge sprach.

Denkende KI-Maschinen? – Starke und schwache KI

In den siebziger Jahren begann ein heftig ausgefochtener Streit um den ontologischen Status von KI-Maschinen. Bezugnehmend auf die Arbeiten von Alan Turing formulierten Allen Newell und Herbert Simon von der Carnegie Mellon University die “Physical Symbol System Hypothesis”. Ihr zufolge ist Denken nicht anderes als Informationsverarbeitung, und Informationsverarbeitung ein Rechenvorgang, bei dem Symbole manipuliert werden. Auf das Gehirn als solches komme es beim Denken nicht an.

Diese Auffassung griff der Philosoph John Searle vehement an. Als Ergebnis dieser Auseinandersetzung stehen sich bis heute mit der schwachen und starken KI zwei konträre Positionen gegenüber. Die schwache KI im Sinne von John Searle behauptet, dass KI-Maschinen menschliche kognitive Funktionen zwar simulieren und nachahmen können. KI-Maschinen erscheinen aber nur intelligent, sie sind es nicht wirklich.

Ein zentrales Argument der schwachen KI lautet: Menschliches Denken ist gebunden an den menschlichen Körper und insbesondere das Gehirn. Kognitive Prozesse haben sich historisch im Zuge der evolutionären Entwicklung von Körper und Gehirn entwickelt. Damit ist Denken notwendigerweise eng verknüpft mit der Biologie des Menschen und kann nicht von dieser getrennt werden. Computer können zwar diese Denkprozesse imitieren, aber das ist etwas ganz anderes als das, wie Menschen denken. Sowenig, wie ein simuliertes Unwetter nass macht, sowenig ist ein simulierter Denkprozess dasselbe wie menschliches Denken.

Im Gegensatz dazu sagen die Anhänger der von Newell und Simon inspirierten starken KI, dass KI-Maschinen in demselben Sinn intelligent sind und denken können wie Menschen. Das ist nicht metaphorisch, sondern wörtlich gemeint. Für die starke KI spricht: So wie Computer aus Hardware bestehen, so bestehen auch Menschen aus Hardware. Im ersten Fall ist es Hardware auf Silizium-Basis, im zweiten Fall biologische “Wetware”. Es spricht grundsätzlich nichts dagegen, dass sich Denken nur auf einer spezifischen Form von Hardware realisieren lässt. Nach allem was man bislang aus der Gehirn- und Bewusstseinsforschung weiß ist eine gewisse Komplexität der Trägersubstanz eine notwendige (und vielleicht auch hinreichende) Bedingung für Denkprozesse. Sind KI-Maschinen also hinreichend komplex, denken sie in der gleichen Weise wie Sie und ich.

Expertensysteme – die KI wird praktisch: 1975 bis 1985

In der dritten Ära ab Mitte der 70er Jahre löste man sich von den Spielzeugwelten und versuchte praktisch einsetzbare Systeme zu bauen, wobei Methoden der Wissensrepräsentation im Vordergrund standen. Die KI verließ ihren Elfenbeinturm und KI-Forschung wurde auch einer breiteren Öffentlichkeit bekannt.

Die von dem US-Informatiker Edward Feigenbaum initiierte Expertensystem-Technologie beschränkt sich zunächst auf den universitären Bereich. Nach und nach entwickelten sich Expertensysteme jedoch zu einem kleinen kommerziellen Erfolg und waren für viele identisch mit der ganzen KI-Forschung – so wie heute für vieleMachine Learning identisch mit KI ist.

In einem Expertensystem wird das Wissen eines bestimmten Fachgebiets in Form von Regeln und großen Wissensbasen repräsentiert. Das bekannteste Expertensystem war das von T. Shortliffe an der Stanford University entwickelten MYCIN. Es diente zur Unterstützung von Diagnose- und Therapieentscheidungen bei Blutinfektionskrankheiten und Meningitis. Ihm wurde durch eine Evaluation attestiert, dass seine Entscheidungen so gut sind wie die eines Experten in dem betreffenden Bereich und besser als die eines Nicht-Experten.

Ausgehend von MYCIN wurden eine Vielzahl weiterer Expertensysteme mit komplexerer Architektur und umfangreichen Regeln entwickelt und in verschiedensten Bereichen eingesetzt. In der Medizin etwa PUFF (Dateninterpretation von Lungentests), CADUCEUS (Diagnostik in der inneren Medizin), in der Chemie DENDRAL (Analyse der Molekularstruktur), in der Geologie PROSPECTOR (Analyse von Gesteinsformationen) oder im Bereich der Informatik das System R1 zur Konfigurierung von Computern, das der Digital Equipment Corporation (DEC) 40 Millionen Dollar pro Jahr einsparte.

Auch das im Schatten der Expertensystem-Euphorie stehende Gebiet der Sprachverarbeitung orientierte sich an praktischen Problemstellungen. Ein typisches Beispiel ist das Dialogsystem HAM-ANS, mit dem ein Dialog in verschiedenen Anwendungsbereichen geführt werden kann. Natürlichsprachliche Schnittstellen zu Datenbanken und Betriebssystemen drangen in den kommerziellen Markt vor wie INTELLECT, F&A oder DOS-MAN.

Die Renaissance neuronaler Netze: 1985 bis 1990

Anfang der 80er Jahre kündigte Japan das ehrgeizige “Fifth Generation Project” an, mit dem unter anderem geplant war, praktisch anwendbare KI-Spitzenforschung zu betreiben. Für die KI-Entwicklung favorisierten die Japaner die Programmiersprache PROLOG, die in den siebziger Jahren als europäisches Gegenstück zum US-dominierten LISP vorgestellt worden war. In PROLOG lässt sich eine bestimmte Form der Prädikatenlogik direkt als Programmiersprache verwenden. Japan und Europa waren in der Folge weitgehend PROLOG-dominiert, in den USA setzte man weiterhin auf LISP.

Mitte der 80er bekam die symbolische KI Konkurrenz durch die wieder auferstandenen neuronalen Netze. Basierend auf Ergebnissen der Hirnforschung wurden schon in den vierziger Jahren durch McCulloch, Pitts und Hebb erste mathematische Modelle für künstliche neuronale Netze entworfen. Doch damals fehlten leistungsfähige Computer. Nun in den Achtzigern erlebte das McCulloch-Pitts-Neuron eine Renaissance in Form des sogenannten Konnektionismus.

Der Konnektionismus orientiert sich anders als die symbolverarbeitende KI stärker am biologischen Vorbild des Gehirns. Seine Grundidee ist, dass Informationsverarbeitung auf der Interaktion vieler einfacher, uniformer Verarbeitungselemente basiert und in hohem Maße parallel erfolgt. Neuronale Netze boten beeindruckende Leistungen vor allem auf dem Gebiet des Lernens. Das Programm Netttalk konnte anhand von Beispielsätzen das Sprechen lernen: Durch Eingabe einer begrenzten Menge von geschriebenen Wörtern mit der entsprechenden Aussprache als Phonemketten konnte ein solches Netz zum Beispiel lernen, wie man englische Wörter richtig ausspricht und das gelernte auf unbekannte Wörter richtig anwendet.

Doch selbst dieser zweite Anlauf kam zu früh für neuronale Netze. Zwar boomten die Fördermittel, aber es wurden auch die Grenzen deutlich. Es gab nicht genügend Trainingsdaten, es fehlten Lösungen zur Strukturierung und Modularisierung der Netze und auch die Computer vor der Jahrtausendwende waren immer noch zu langsam.

Verteilte KI und Robotik: Künstliche Intelligenz zwischen 1990 und 2010

Ab etwa 1990 entstand mit der Verteilten KI ein weiterer, neuer Ansatz, der auf Marvin Minsky zurückgeht. In seinem Buch “Society of Mind” beschreibt er den menschlichen Geist als eine Art Gesellschaft: Intelligenz, so Minsky, setzt sich zusammen aus kleinen Einheiten, die primitive Aufgaben erledigen und deren Zusammenwirken erst intelligentes Verhalten erzeugt. Minsky forderte die KI-Gemeinde auf, die individualistische Sackgasse zu überwinden und ganz andere, sozial inspirierte Algorithmen für Parallelrechner zu entwerfen.

Sein Schüler Carl Hewitt setzte ein erstes handfestes Modell um, in dem primitive Einheiten – er nannte sie Actoren – miteinander Botschaften austauschten und parallel arbeiteten. Der Gedanke des sozial interagierenden KI-Systems war damit konkret geboren – und Carl Hewitt zum Vater des neuen Ansatzes der Verteilten KI bzw. Distributed AI geworden. Im Rückblick erweisen sich Minsky’s und Hewitt’s Ideen als der Beginn der Agententechnologie, bei der die Zusammenarbeit vieler verschiedener Agenten – sogenannte Multi-Agenten-Systeme -ein enormes Potenzial entfaltet.

Ein KI-Meilenstein in den 90er Jahren war der erste Sieg einer KI-Schachmaschine über den Schachweltmeister. 1997 bezwang der IBM-Rechner Deep Blue in einem offiziellen Turnier den damals amtierenden Schachweltmeister Garry Kasparov. Dieses Ereignis galt als historischer Sieg der Maschine über den Menschen in einem Bereich, in dem der Mensch bislang die Oberhand hatte. Das Event sorgte weltweit für Furore und brachte IBM viel Aufmerksamkeit und Renommee. Heute gelten Computer im Schach als unschlagbar. Dennoch fiel auf den Sieg des Computers auch ein Schatten, weil Deep Blue seinen Erfolg weniger seiner künstlichen, kognitiven Intelligenz verdankte, sondern mit roher Gewalt (“Brute Force”) alle nur denkbaren Züge soweit wie möglich durchrechnete.

In dieser Zeit bekam auch die bis dahin eher dahindümpelnde Robotik neuen Auftrieb. Der ab 1997 jährlich ausgetragene RoboCup demonstrierte eindrucksvoll, was KI und Robotik leisten können. Wissenschaftler und Studenten aus der ganzen Welt treffen sich seitdem regelmässig, um ihre Roboter-Teams gegeneinander im Fußball antreten zu lassen. Inzwischen fechten die mobilen Roboter auch andere Wettkämpfe aus als Fußball. Ab etwa 2005 entwickeln sich Serviceroboter zu einem dominanten Forschungsgebiet der KI und um 2010 beginnen autonome Roboter, ihr Verhalten durch maschinelles Lernen zu verbessern.

Die kommerzielle Wende: KI ab 2010

Die aktuelle KI-Phase startete etwa um 2010 mit der beginnenden Kommerzialisierung. KI-Anwendungen verließen die Forschungslabors und machten sich in Alltagsanwendungen breit. Insbesondere die KI-Gebiete maschinelles Lernen und Natural Language Processing boomen. Hinzu kommen neuronale Netze, die ihre zweite, diesmal sehr erfolgreiche Wiedergeburt erleben.

Die Hauptursachen für die kommerzielle Wende waren verbesserte KI-Verfahren und leistungsfähigere Software und Hardware: Softwareseitig erwiesen sich die weiter entwickelten neuronalen Netze und vor allem eine Variante – Deep Learning – als sehr robust und vielseitig einsetzbar. Weitere Trends wie Multi-Core-Architekturen, verbesserte Algorithmen und superschnelle In-Memory-Datenbanken machten KI-Anwendungen gerade auch für den Unternehmensbereich attraktiv. Ein zusätzlicher Faktor ist auch die zunehmende Verfügbarkeit großer Mengen strukturierter und unstrukturierter Daten aus einer Vielzahl von Quellen wie Sensoren oder digitalisierten Dokumenten und Bildern, mit denen sich die Lernalgorithmen “trainieren” lassen.

Im Zuge dieser verbesserten technischen und ökonomischen Möglichkeiten entdeckten auch die großen IT-Konzerne die KI: Den Grundstein legte 2011 IBM mit Watson. Watson kann natürliche Sprache verstehen und schwierige Fragen sehr schnell beantworten. 2011 konnte Watson in einem US-amerikanischen TV-Quiz zwei menschliche Kandidaten beeindruckend schlagen. In der Folge baute IBM Watson zu einem kognitiven System aus, das Algorithmen der natürlichen Sprachverarbeitung und des Information Retrieval, Methoden des maschinellen Lernens, der Wissensrepräsentation und der automatischen Inferenz vereinte. Inzwischen wurde Watson in verschiedenen Gebieten wie Medizin und Finanzwesen erfolgreich angewendet und IBM hat einen Großteil seines Business auf Watson ausgerichtet.

Andere Big Player zogen nach. Google, Microsoft, Facebook, Amazon und Apple investieren viele Millionen in KI und stellen KI-Anwendungen und -Services bereit. Ein weiteres großes Event der KI-Geschichte ereignete sich im Januar 2016: Damals konnte Googles AlphaGo den vermutlich weltbesten Go-Spieler mit 4 zu 1 besiegen. Wegen der größeren Komplexität von Go im Vergleich zu Schach ist das japanische Brettspiel mit traditionellen Brute-Force-Algorithmen, wie sie noch Deep Blue verwendete, praktisch nicht bezwingbar. Deep Learning und andere aktuelle KI-Verfahren führten hier zum Erfolg.

Heute sind KI- und Machine-Learning-Verfahren in unterschiedlichsten Ausprägungen nicht nur bei den großen IT-Konzernen im Einsatz. Vor allem große und mittelständische Anwenderunternehmen aus fast allen Branchen nutzen KI-basierte Systeme, um Prozesse zu verbessern, Kundenschnittstellen zu optimieren oder ganz neue Produkte und Märkte zu entwickeln. Die Vielzahl an einschlägigen Cloud-basierten Services hat den Einsatz auch für kleinere Organisationen ohne große Entwicklungsbudgets erschwinglich gemacht.

Auf in den Mainstream: ChatGPT & Generative AI ab 2022

Seit OpenAI im November 2022 seinen KI-Chatbot ChatGPT öffentlich verfügbar gemacht hat, hat sich ein Hype entfaltet, der innerhalb der IT-Branche am ehesten mit dem großen Run auf die Cloud vergleichbar ist. Allerdings schaffte ChatGPT etwas, das anderen KI-Tools bis dahin kaum gelungen war – nämlich künstliche Intelligenz auch zum Dauergesprächsthema in den Mainstream-Medien zu machen.

ChatGPT rückte auch andere Tools wie DALL-E oder Stable Diffusion ins Rampenlicht und befeuerte die berufliche wie private Nutzung der Tools. Die werden häufig als Modelle bezeichnet, weil sie versuchen, einen Aspekt der realen Welt auf der Grundlage einer (manchmal sehr großen) Teilmenge von Informationen zu simulieren oder zu modellieren. Die Ergebnisse können Erstaunen hervorrufen, werfen aber auch Fragen auf. Abseits des Hypes geht unter der glänzenden Oberfläche der Systeme weniger Revolutionäres vor sich als man glaubt: Im Grunde geht es bei Generative AI darum, mit Hilfe von Machine Learning große Datenmengen zu verarbeiten, die in vielen Fällen aus dem Netz zusammengesammelt und anschließend als Grundlage für Vorhersagen genutzt werden.

Wie ChatGPT sich selbst definiert, lesen Sie im COMPUTERWOCHE-Interview mit der KI-Instanz. Mehr Informationen zur Funktionsweise, Anwendungsfällen sowie den Limitationen von Generative AI erfahren Sie in unserem Grundlagenartikel zum Thema sowie diesem weiterführenden Beitrag zum Thema Large Language Models (LLMs).

Microsoft-CEO Satya Nadella sorgte kürzlich für Aufsehen, als er prognostizierte, dass traditionelle Enterprise-Anwendungen im Zeitalter der agentischen KI „kollabieren” würden. Die Befürchtungen vieler Anleger, dass AI-Agenten den Markt für Unternehmenssoftware erschüttern werden, spitzten sich Anfang Februar zu, als die Veröffentlichung von Anthropic Cowork einen massiven Ausverkauf von Software-Aktien auslöste.

Ist die „SaaS-pocalypse“ lediglich ein Phänomen der Wall Street, oder hat sie auch Auswirkungen auf CIOs? Ist die Rhetorik „SaaS ist tot“ realistisch, oder ist sie maßlos übertrieben? Wir haben Branchenbeobachter befragt, womit sie rechnen.

Etablierte Lieferanten sind im Vorteil

Branchenausblick: Die aktuellen Marktführer werden ihre Dominanz auf absehbare Zeit ausüben, indem sie KI-Agenten in ihre Plattformen integrieren.

Forrester-Analystin Kate Leggett hat eine klare Meinung zur Zukunft des Softwaremarktes: „Es gibt einmal die Bewertungen von Investoren und dann gibt es die Realität, was in großen Unternehmen tatsächlich geschieht und in welchem Zeitrahmen Veränderungen stattfinden werden.“ Kernanwendungen würden so schnell nicht verschwinden, erklärt sie gegenüber unserer US-Schwesterpublikation CIO.com, auch wenn es an den Rändern zur Erosion komme. In welchem Zeitrahmen? „Es könnte Jahrzehnte dauern, bis alle Ausgaben vollständig von KI-Agenten übernommen werden.“

Abonnieren Sie unserer CIO-Newsletter für mehr Analysen, Hintergründe und Deep Dives für die CIO-Community.

IT-Experte William Flaiz fügt hinzu: „Auf Führungsebene werden keine Entscheidungen getroffen, CRM-Systeme komplett abzuschaffen.“ Allerdings hätten CIOs in Unternehmen einen starken Anreiz, agentische KI in bestehende Plattformen zu integrieren, um mehr Wert aus ihren Investitionen herauszuholen. „Sie suchen nach Möglichkeiten, mit den ihnen zur Verfügung stehenden Tools bessere Ergebnisse zu erzielen“, sagt Flaiz.

„Hinsichtlich des Ausmaßes der Umwälzungen gibt es viel Schwarz-Weiß-Denken“, berichtet Alex Demeule, Senior Analyst bei Technology Business Review Inc. (TBRI). „Natürlich wird KI einen großen Einfluss auf Softwareanbieter haben. Aber in den kommenden fünf bis zehn Jahren sind sie viel besser positioniert für den Sprung ins KI-Zeitalter, als es der Aktienkurs vermuten lässt.“ Seine Prognose lautet, dass Agentic AI nur langsam eingeführt wird und Menschen noch viele Jahre lang eine Rolle spielen werden.

Agentic AI wird Preismodelle revolutionieren

Branchenausblick: Agentische KI wird einen grundlegenden Wandel von Abo-basierenden hin zu verbrauchs- oder ergebnisorientierten Preismodellen auslösen.

Dana Gardner, Präsident und Chefanalyst bei Interarbor Solutions, ist der Ansicht, dass es kurz- bis mittelfristig weniger darum geht, bestehende Software-Systeme komplett zu ersetzen. Vielmehr stehe das Ende der Preismacht ihrer Lieferanten bevor. „Versierte CIOs werden KI nutzen, um die Gesamtkosten der IT zu senken.” Schließlich seien KI-Agenten in der Lage, Verbrauchs- und Nutzungsmuster von Business-Applikationen zu verstehen. CIOs können diese Erkenntnisse in günstigere Verträge umsetzen.

In einem Bericht über die Auswirkungen von KI auf den SaaS-Markt schreibt die Unternehmensberatung Bain & Co.: „Wenn ein AI Agent eine menschliche Aufgabe ersetzt, erwarten Kunden, dass sie auf Basis der Ergebnisse bezahlen und nicht nach der Anzahl der Anmeldungen. Marktführer wie Intercom und Salesforce bewegen sich bereits in diese Richtung. Der grundlegende Wandel besteht darin, nicht mehr für den Zugriff, sondern für die geleistete Arbeit zu berechnen.“

Auch die Marktbeobachter von IDC stellen im Report „FutureScape: Worldwide Agentic AI 2026 Predictions“ fest, dass eine rein auf Nutzerlizenzen basierende Preisgestaltung bis 2028 überholt sein wird. So würden 70 Prozent der Softwareanbieter demnach ihre Preisstrategien auf neue Wertkennzahlen wie Verbrauch, Ergebnisse oder organisatorische Fähigkeiten umstellen.

Laut Forrester-Analystin Leggett werde sich die Abkehr von Abo-Preisen auf verschiedene Weise vollziehen. So könnte ein CIO, der ein Abonnement für 100 Lizenzen hat, beispielsweise 10 oder 20 dieser Lizenzen gegen eine nutzungs- oder ergebnisbasierte Abrechnung umtauschen. Lieferanten würden voraussichtlich Lizenzstufen oder flexible Optionen mit einer Art agentenbasierter Preisgestaltung anbieten.

Softwareplattformen werden fusionieren und neue Rivalitäten schaffen

Branchenausblick: Da KI-Agenten nicht unterscheiden, woher die Daten stammen, werden die Grenzen zwischen traditionellen Kategorien der Unternehmenssoftware wie CRM und ERP verschwimmen.

Um effektiv zu arbeiten, benötigen KI-Agenten Zugriff auf Daten, unabhängig davon, wo diese gespeichert sind. SaaS-Anbieter haben das erkannt und heben die Grenzen zwischen CRM, ERP, IT-Service-Management und anderen Kategorien auf. Leggett weist beispielsweise darauf hin, dass Lieferanten wie Oracle und Microsoft einheitliche Datenplattformen aufbauen. Diese lassen sich via Model Context Protocol (MCP) integrieren, um komplexe KI-basierte Workflows zu unterstützen.

• Oracle bietet eine integrierte Suite aus cloudbasierten ERP- und CRM-Anwendungen sowie eine vollständig verwaltete agentenbasierte Plattform an.
• Microsoft offeriert unter dem Dach von Dynamics 365 sowohl ERP- als auch CRM-Funktionalitäten, ebenso wie branchenspezifische Lösungen auf Basis kleiner Sprachmodelle (SLMs), die schlanker und kostengünstiger sind als LLMs.
• SAP integriert seine Signavio-Suite für Geschäftsprozess-Management, sein LeanIX-SaaS-Tool für Unternehmensarchitektur-Management sowie seinen Joule-AI-Agenten zu einem einheitlichen System.
• Salesforce führt sein Mulesoft-Angebot für Integration und Automatisierung als Platform-as-a-Service mit seiner Data360-Kundendatenplattform und seiner Agentforce-AI-Plattform zusammen.
• Das IT-Service-Management-Schwergewicht ServiceNow hat die Übernahme des Anbieters der agentischen KI-Plattform Moveworks abgeschlossen und Salesforce im CRM-Bereich herausgefordert.

Gewinner und Verlierer im Software-Sektor

Branchenausblick: Agentic AI wird erhebliche Auswirkungen auf Anbieter von Einzelprodukten haben. Anbieter mit generischen Apps müssen kämpfen, während Lieferanten beispielsweise branchenspezifischer Tools besser aufgestellt sind.

Laut Analystin Leggett von Forrester werden Einzelprodukte wie Workflow-, Tabellenkalkulations- oder einfache Projektmanagement-Apps „in relativ kurzer Zeit verschwinden“, da sie leicht nachzubilden sind. Stark vertikalisierte Apps seien besser vor Disruption geschützt, da sie tiefgreifendes Fachwissen und Integrationen mit angrenzenden Systemen, beispielsweise aus den Bereichen CAD oder medizinische Bildgebung, bieten. Beispiele hierfür sind Epic und Cerner für das Management elektronischer Patientenakten (EHR), IQVIA für Pharmazie und Biowissenschaften oder Procore im Bauwesen.

Laut Leggett verfügen die großen Anbieter von CRM-Plattformen über eingebaute Vorteile: einen Schutzwall um ihre Daten, branchenspezifisches Wissen und Workflows, tiefe Partnernetzwerke, bewährte Branchen-Practices sowie Fachwissen in regulatorischen Feldern. Demeule von TBRI weist zudem darauf hin, dass etablierte Anbieter gerade deshalb langfristig Bestand haben, weil sie sich bei jeder Disruptionswelle erfolgreich neu ausrichten konnten – sei es beim Übergang von On-Premises-Lösungen zur Cloud oder bei der Umstellung von unbefristeten Lizenzen auf Abonnements.

Vibe-Coding als Disruptor spezifischer Segmente

Branchenausblick: Vibe-Coding könnte die Vormachtstellung der SaaS-Anbieter ins Wanken bringen und Endnutzern die Möglichkeit geben, ihre eigenen Agenten zu erstellen.

Vibe-Coding, also KI-Agenten zu verwenden, um Software auf Basis einfacher Eingaben in natürlicher Sprache zu erstellen, hebt die Low-Code- und No-Code-Bewegung auf eine neue Stufe. Mithilfe von Vibe-Coding können Software-Anwender KI-Dienste nutzen, um eine Produktivitäts-App zu erstellen, die über die Grenzen einer traditionellen CRM- oder ERP-Plattform hinausgeht.

Laut Leggett stellt Vibe-Coding eine echte Bedrohung dar, da es Arbeitnehmern potenziell ermöglicht, produktiver zu sein. So ließen sich traditionelle Plattformen für Enterprise-Software umgehen, auch weil sie von vielen Nutzern als aufgebläht und kompliziert angesehen werden.

Unternehmen, die technologisch rückständig sind, verfügen möglicherweise nicht über die Fähigkeiten oder das Selbstvertrauen, eigene Agenten zu entwickeln und einzusetzen, die geschäftskritische Arbeitsabläufe beeinflussen. „Vibe-Coding als punktuelle Lösung betrachten wir als disruptiv”, sagt Demeule. „Geschäftsmodelle für kleine, isolierte Lösungen geraten durch AI-Agenten in große Gefahr. Wer aber komplexe, unternehmenskritische Infrastrukturen managt, der ist aktuell sicher, weil KI diese Komplexität noch nicht beherrscht.“

Eine agentische Orchestrierungsschicht entsteht

Branchenausblick: Es wird weiterhin herkömmliche SaaS-Anwendungen geben, doch diese werden voraussichtlich hinter einer agentischen Orchestrierungsschicht verborgen sein.

Analysten sind sich einig, dass die Benutzeroberfläche der Zukunft nicht die herkömmliche SaaS-Lösung, sondern agentisch sein wird, während das CRM- oder ERP-System in den Hintergrund tritt. IDC-Analyst Bo Lykkegaard erläutert den Trend: „Komplexität ist die Achillesferse des SaaS-Modells. Jede SaaS-Anwendung erfordert eine eigene Lernkurve und Benutzeroberfläche, was bei sporadischer Nutzung schnell zu Ineffizienzen führt.“

KI biete hier eine überzeugende Lösung: Anstatt durch mehrere Dashboards zu navigieren, könnten Nutzer mit agentengesteuerten, dialogorientierten Schnittstellen interagieren, die systemübergreifend Aufgaben ausführen. Das Ergebnis? „KI als eine neue Schnittstellenschicht, die Komplexität abstrahiert, repetitive Prozesse automatisiert und neu definiert, wie Menschen Software nutzen.“ Die entscheidende Frage für die kommenden Jahre: Werden CIOs diese Funktionalität von ihren aktuellen Software-Lieferanten oder von Disruptoren wie OpenAI, Anthropic und Palantir beziehen? (ajf/jd)

Jedes vierte Unternehmen in Deutschland hat die Umstellung auf die E-Rechnung abgeschlossen. Jedes dritte hat noch nicht einmal damit angefangen. Das zeigt eine repräsentative YouGov-Befragung im Auftrag von easybill, erhoben im Juni 2026 unter 502 deutschen Unternehmen. Die interessante Frage ist dabei allerdings nicht, was die 29 Prozent ohne Plan tun werden, sondern, was die 47 Prozent, die „gerade dabei sind”, darunter eigentlich verstehen.

Denn viele IT-Abteilungen haben bereits einen Haken gemacht:

• Das ERP-System nimmt XML-Dateien an.
• ZUGFeRD-Anhänge landen im Posteingang.
• Jemand hat ein Plug-in installiert.

Vorgang also abgeschlossen? Nicht ganz. Das Bundesfinanzministerium hat in seinem zweiten Anwendungsschreiben (PDF) vom 15. Oktober 2025 eine Unterscheidung eingeführt, die in vielen Projektstatus-Gesprächen noch nicht angekommen ist: Empfangspflicht und GoBD-konforme Verarbeitungsfähigkeit sind zwei verschiedene Dinge. Nur wer letztere nachweisen kann, sichert sich den Vorsteuerabzug.

Was das BMF-Schreiben tatsächlich aussagt

Das zweite BMF-Schreiben zur obligatorischen E-Rechnung definiert drei Fehlerklassen mit jeweils unterschiedlichen steuerrechtlichen Konsequenzen.

• Formatfehler liegen vor, wenn eine Rechnung gegen die EN-16931-Syntax verstößt (etwa wegen eines fehlerhaften XSD-Schemas, oder einer unvollständigen CII-Struktur). In diesen Fällen gilt das Dokument nach Ablauf der Übergangsfrist rechtlich nicht als E-Rechnung. Ein Vorsteuerabzug ist deshalb ebenfalls nicht möglich, egal wie ordentlich der Buchhalter den Beleg abgeheftet hat.
• Geschäftsregelfehler stellen Verstöße gegen die BR- und BR-DE-Regeln des XRechnung-Standards dar, zum Beispiel fehlende Buyer Reference (BT-10) oder widersprüchliche Betragsfelder. Hier kommt es auf den konkreten Fall an: Ein fehlendes BT-10 allein blockiert den Vorsteuerabzug nicht automatisch – solange alle steuerrechtlich relevanten Pflichtangaben korrekt vorhanden sind.
• Inhaltsfehler ist die gefährlichste Klasse. Dabei besteht die Rechnung die technische Validierung und der KoSIT-Validator zeigt grün, enthält aber falsche Angaben – etwa mit Blick auf den Steuersatz, die Leistungsbeschreibung oder das Leistungsdatum. Solche Fehler blockieren den Vorsteuerabzug sofort, trotz einwandfreier XML-Struktur.

Das Schreiben verknüpft außerdem aktive Validierung mit Gutglaubensschutz: Unternehmen, die eingehende Rechnungen systematisch gegen alle drei Ebenen prüfen, erwerben bei nachträglich entdeckten Fehlern einen Vertrauensschutz beim Vorsteuerabzug. Wer lediglich den Empfang sicherstellt, erwirbt diesen Schutz nicht. Das ist der rechtliche Kern, den viele Plug-in-Installationen schlicht nicht abbilden.

Wo das ERP an seine Grenzen stößt

Kein Standard-ERP löst diese dreigeteilte Prüfpflicht automatisch. Das ist keine Kritik an den Herstellern – vielmehr ist das eine technische Realität, die viele Projekte zu spät adressieren.

• SAP S/4HANA bietet mit Document and Reporting Compliance (DRC) eine native Lösung. SAP ECC, das noch in einem erheblichen Teil der deutschen Mittelstandslandschaft läuft, bietet das nicht. Dort braucht es Add-ons oder externe Middleware.
• Microsoft Dynamics 365 Business Central enthält keine standardmäßige automatische Schematron-Validierung für eingehende Rechnungen. Das übernehmen Drittanbieter wie BELWARE Validator oder mseDoc365.
• Datev hat seine Schnittstelle für Fremdsoftware-Anbindung an die eigene E-Rechnungsplattform erst ab Mitte 2026 verfügbar gemacht. Wer davor als Kanzlei-Mandant auf eine nahtlose Integration gehofft hatte, war zunächst auf Zwischenlösungen angewiesen.

Der gemeinsame Nenner dieser Systeme: Sie empfangen, aber sie validieren nicht vollständig nach allen drei Fehlerklassen. Sie öffnen ZUGFeRD-Anhänge, aber archivieren häufig die PDF-Ansicht statt den Original-XML. Und sie protokollieren keinen unveränderlichen Eingangszeitstempel.

Genau das umfasst seit dem 14. Juli 2025 allerdings die GoBD-Pflicht (PDF). Das BMF hat die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern dahingehend aktualisiert, dass der strukturierte XML-Bestandteil im Original archiviert werden muss – unverändert, mit nachweisbarem Eingangszeitstempel, in einem revisionssicheren System. Ein PDF-Ausdruck einer ZUGFeRD-Rechnung genügt dieser Anforderung nicht, auch wenn die Zahlen lesbar sind. Als freundliche Ergänzung wurde die Aufbewahrungsfrist gleichzeitig von zehn auf acht Jahre verkürzt.

Das sollten IT-Entscheider jetzt tun

Die gute Nachricht: IT-Manager und -Entscheider können konkrete Maßnahmen ergreifen, um entgegenzuwirken. Insbesondere die folgenden fünf.

1. ERP-Lückenanalyse fahren

Klären Sie konkret zwei Fragen. Erstens: Validiert Ihr System eingehende Rechnungen automatisch gegen XSD-Schema, BR-Regeln und BR-DE-Regeln, mit Protokoll und ohne manuelle Zwischenschritte? Zweitens: Was archiviert Ihr System tatsächlich: den XML-Bestandteil im Original oder eine generierte PDF-Darstellung?

Für viele bestehende Installationen ergeben sich aus diesen Fragen überraschende Antworten. Am schnellsten klärt sich das im direkten Gespräch mit dem ERP-Hersteller – oder durch einen Test, bei dem Sie den Output des KoSIT-Validators in der eigenen Buchungsmaske nachverfolgen.

2. Vorgelagerten Validierungs-Workflow einziehen

Das Bundesfinanzministerium bindet den Gutglaubensschutz ausdrücklich an aktive Validierung. Der KoSIT-Validator ist das offizielle Referenz-Tool: Er ist kostenfrei nutzbar, API-fähig und erzeugt strukturierte Prüfberichte, die als Dokument archiviert werden können.

Kommerzielle Lösungen wie Xvalidator oder Rechnex setzen denselben Kern ein und ergänzen ihn um Reporting-Funktionen. Der Validierungsschritt gehört als dokumentierter Prozessschritt vor den Buchungsvorgang — nicht als nachgelagerter Audit.

3. Empfangskanal und Archivierungslogik sauber trennen

Empfangen und archivieren ist nicht dasselbe. Der Eingangszeitstempel muss unveränderlich protokolliert werden, bevor irgendetwas am Dokument passiert. Der Original-XML muss direkt in das revisionssichere Archiv überführt werden – nicht erst nach der Buchung oder der manuellen Freigabe.

Die häufigste Lücke in bestehenden Setups: Der XML-Anhang wird in das ERP importiert, dort aber als visueller Prozess weiterbearbeitet. Das Original landet im Papierkorb.

4. Eigene Stammdaten bereinigen

Inhaltsfehler entstehen oft nicht beim Empfänger, sondern beim Absender, wegen schlechter Datenqualität in der eigenen Lieferanten- und Kundenpflege. Fehlende Umsatzsteuer-IDs, Doppeleinträge im Kreditorenstamm, fehlende Bestellreferenzen: Diese Lücken führen dazu, dass ausgehende Rechnungen beim Empfänger als Formatfehler oder Geschäftsregelfehler ankommen.

Wer seine ausgehenden Dokumente nicht gegen den KoSIT-Validator prüft, bevor er empfangsseitige Compliance fordert, betreibt das Projekt rückwärts.

5. Buchhalter auf den Dreiklang schulen

Technische Validität und inhaltliche Richtigkeit sind zwei separate Prüfschritte. Ein „grünes“ Validierungsergebnis mit falschem Steuersatz ergibt Inhaltsfehler, mit direkten Konsequenzen für den Vorsteuerabzug. Diese Unterscheidung muss in die Prozessanweisung der Kreditorenbuchhaltung.

Schulen Sie Ihr Team explizit darauf, dass der Validator die formale Prüfung übernimmt, die inhaltliche aber Menschenverstand erfordert.

Was ab 2027 auf Sie zukommt

Ab dem 1. Januar 2027 müssen Unternehmen mit einem Vorjahresumsatz von mehr als 800.000 Euro selbst strukturierte E-Rechnungen ausstellen – nicht nur empfangen. Ab dem 1. Januar 2028 gilt die Ausstellungspflicht dann für alle inländischen B2B-Transaktionen ohne Umsatzschwelle.

Die Empfangspflicht besteht seit dem 1. Januar 2025. Sie hat viele IT-Projekte ausgelöst. Aber Empfangen ohne GoBD-konformen Verarbeitungsprozess dahinter ist kein Freifahrtschein. Wer die verbleibende Zeit bis 2027 nutzt, um Validierungs-Workflow, Archivierungslogik und Stammdatenqualität zu schließen, schützt seinen Vorsteuerabzug. Wer das nicht tut, erklärt einem Betriebsprüfer später, warum die Original-XML-Dateien fehlen — und warum das Buchungssystem nur die PDF-Ansicht gespeichert hat. (fm)

Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!

Im Juni 2025 veröffentlichte der prominente britische Softwareentwickler Simon Willison einen in der Security-Community vielbeachteten Blogbeitrag. Darin warnte der Experte, der im Jahr 2022 den Begriff „Prompt Injection“ geprägt hatte, vor einer tödlichen Dreierkombination („Lethal Trifecta“), die ausreichen um einen KI-Agenten mit nahezu hundertprozentiger Erfolgswahrscheinlichkeit durch indirekte Prompt Injection zu kompromittieren. Diese „Lethal Trifecta“ bei KI-Agenten manifestiert sich demnach im:   

• Zugriff auf private Daten,
• dem Kontakt mit nicht vertrauenswürdigen Inhalten, sowie
• der Fähigkeit zur externen Kommunikation.

Ein Angreifer, der schadhafte Anweisungen an beliebiger Stelle in dieser Inhalts-Pipeline einschleust, kann Daten exfiltrieren, ohne dass das überhaupt auffällt. Willison veranschaulichte diesen Punkt in seinem Beitrag mit einer langen Liste realer Exploits in Produktionsumgebungen. Das „tödliche Triple“ fungierte dabei zu einer Zeit als Security-Warnsignal, in der KI-Agenten einen meist eng begrenzten Anwendungsbereich hatten. Die Kombination der oben genannten Fähigkeiten zu vermeiden, schien eine tragfähige Designstrategie.

Das hat sich mittlerweile geändert: Ein kundenorientierter Support-Agent erfasst heute Ticketverläufe und Kundendaten, Benutzernachrichten sowie angehängte Dateien und ruft CRMs, Rückerstattungs-APIs oder Ticketing-Systeme auf. Ebenso lesen und beantworten KI-Agenten E-Mails, verwalten Kalender und Nachrichten. Das sind keine „Edge Cases“, sondern genau die Art von Agenten, nach denen Unternehmen und Privatanwender streben – und auf die die Anbieter hinarbeiten.

Das „tödliche Triple“ als neuer Standard

Ross McKerchar, CISO bei Sophos, bringt das Problem in einem eigenen Blogbeitrag auf den Punkt: „Die Funktionen, die Praktiker tatsächlich wollen, führen unweigerlich in gefährliches Terrain. Das ist keine Fehlkonfiguration, sondern der architektonische Preis für die Nützlichkeit.“

Damit liegt der Security-Entscheider richtig: Ein Agent ohne Zugriff auf private Daten ist nutzlos. Einer, der keine externen Inhalte verarbeiten kann, agiert isoliert. Und ein Agent, der nicht nach außen kommunizieren kann, ist handlungsunfähig. Nimmt man auch nur einen dieser drei Aspekte weg, steht im Ergebnis eher eine Suchleiste als ein KI-Agent. Wenn jede legitime Agentenarchitektur sämtliche Eigenschaften der „Lethal Trifecta“ aufweist, kann diese kein aussagekräftiger Indikator für erhöhtes Risiko mehr sein – sondern ist de facto die Standardkonfiguration. Sie weiterhin als Warnsignal zu betrachten, ist so, als würde man die DNS-Auflösung als Anzeichen für ein kompromittiertes Netzwerk werten. Technisch gesehen trifft das zwar auf einige Threat-Modelle zu, ist aber in jedem realen Deployment allgegenwärtig.

Die Antwort auf diese Situation beschreibt der Sophos-CISO in seinem Blogbeitrag als „Blast Radius Reduction“. Gemeint ist eine realistische operative Philosophie, die die „Lethal Trifecta“ als gegeben akzeptiert. Das wäre ein guter erster Schritt – allerdings stellt sich die Frage, was nach der Akzeptanzphase folgt. Das Security-Team von Meta gelangte zu einer ähnlichen Erkenntnis wie McKerchar, nur aus einer anderen Richtung: Im Oktober 2025 veröffentlichte der Konzern sein „Rule of Two“-Framework. Dieses sieht vor, dass KI-Agenten nicht mehr als zwei der drei Komponenten der „Lethal Trifecta“ aufweisen sollten. Sind alle drei Merkmale vertreten, wird eine menschliche Genehmigung erforderlich. Von der Idee war auch Simon Willison angetan, der das Meta-Framework im November 2025 als den besten praktischen Ratgeber bezeichnete, um sichere Agentensysteme auf LLM-Basis aufzubauen.

Mit Blick auf sein Framework räumt Meta allerdings auch Limitationen ein. Demnach passten diverse populäre Use Cases nicht nahtlos in das Rahmenwerk, wodurch Designs, die auf der „Rule of Two“ aufbauen, dennoch anfällig für Fehler sein könnten. Das ist nur die Bestätigung dafür, dass das Problem die Lösung auf Architekturebene bereits überholt hat. Denn das Ausmaß der Sicherheitslücken ist längst nicht mehr nur theoretischer Natur: So brachte eine Untersuchung des Common Crawl Repositories durch Sicherheitsforscher von Google diverse Prompt-Injection-Angriffe auf öffentlich zugängliche Webseiten ans Licht. Laut Google haben die Angriffsversuche dieser Art zwischen November 2025 und Februar 2026 um 32 Prozent zugelegt. Zwar stellten die Sicherheitsexperten fest, dass deren Reifegrad derzeit noch gering ist. Allerdings weisen sie auch darauf hin, dass der Trend ein klares Signal dafür ist, dass das Interesse der Angreifer zunimmt. Anders ausgedrückt: Das Umfeld, vor dem die „Lethal Trifecta“ einst gewarnt hat, ist zur Realität geworden.

5 Anzeichen für kompromittierte KI-Agenten

Wenn nahezu jeder eingesetzte KI-Agent die Merkmale der „Lethal Trifecta“ aufweist, benötigen Praktiker die richtigen Anhaltspunkte, um kompromittiertes Verhalten vom normalen Betrieb innerhalb eines Systems zu unterscheiden. Das erfordert einen Shift: Weg von Assessments auf Architekturebene und hin zu Behavioral Detection auf Laufzeitebene. Wie nötig dieser Umschwung ist, zeigte sich zuletzt im Januar 2026, als innerhalb von nur fünf Tagen vier verschiedene Exploits gegen populäre KI-Produktivitäts-Tools bekannt wurden. Betroffen waren IBM Bob, Superhuman AI, Notion AI und Claude Cowork. In allen vier Fällen setzten die Angreifer auf indirekte Promp Injection, um Daten zu exfiltrieren. Und zwar über einen Kanal, auf den der jeweilige Agent legitimen Zugriff hatte.

Im Fall von Claude Cowork sorgte ein in ein hochgeladenes Dokument eingebetteter, versteckter Prompt etwa dafür, dass der KI-Agent Dateien über die von Anthropic selbst auf die Whitelist gesetzte API-Domain exfiltrierte – unsichtbar für sämtliche Perimeterkontrollmaßnahmen und nicht von normalem Agentenverhalten zu unterscheiden, bis die Daten bereits gestohlen waren. Die vier Exploits hatten außerdem gemein, dass die „Lethal Trifecta“ Betriebsbedingung war.

Die folgenden fünf Signale können dazu beitragen, kompromittierte KI-Agenten zu erkennen:

• Anomalien bei der Befolgung von Anweisungen: Ein kompromittierter Agent verhält sich in der Regel nicht grundlegend anders als ein intakter – er befolgt Anweisungen. Die Frage ist nur, wessen. Agenten-Aktionen, die keinen plausiblen Bezug zu einer vom Benutzer initiierten Aufgabe haben, sollten deshalb die Alarmglocken schrillen lassen. Ein Agent, der dazu aufgefordert wurde, einen Quartalsbericht zusammenzufassen, dann aber eine DNS-Anfrage an eine unbekannte Domain aussendet, hat sich dazu nicht spontan „entschlossen“ – er wurde dazu veranlasst.
• Tool-Call-Sequenzen, die die erwartete Topologie durchbrechen: In einem gut konzipierten KI-Agentensystem sollte die Sequenz der Tool-Aufrufe für eine spezifische Aufgabe relativ vorhersehbar sein. Ein Programmier-Agent, der einen Bug fixen soll, muss Dateien bearbeiten, Tests ausführen und möglicherweise die Dokumentation überprüfen. Er sollte allerdings nicht auf E-Mail- oder Kalender-APIs zugreifen. Sobald die erwarteten Grenzen eines Workflows in diesem Rahmen überschritten werden, ist deshalb Skepsis angesagt: Solche Tool-Call-Sequenzen sollten als verdächtig markiert werden, selbst wenn jeder einzelne Aufruf für sich genommen legitim erscheint.
• Exfiltration über Kanäle mit geringer Bandbreite: Der klassische Exfiltrationsangriff durch Prompt Injection leitet gestohlene Daten über einen Mechanismus weiter, auf den der Agent legitim zugreift – die URL eines gerenderten Bildes mit verschlüsselten Abfrageparametern, einen API-Call mit Daten, die in einem Parameter eingebettet sind oder einen Link in einem generierten Dokument. Für sich genommen sehen diese Aktionen nicht nach Datendiebstahl aus, sondern wirken völlig normal. Um eine Exfiltration erkennen zu können, sollte geprüft werden, auf welche Daten der Agent Zugriff hatte und was er in seinen Output eingebettet hat. Das erfordert wiederum, dass die Agentenaktionen durchgängig transparent sind – nicht nur der endgültige Output.
• Zugriff auf Anmeldedaten und Secrets außerhalb des Task-Scope: Greift ein Agent mit legitimen Zugriffsrechten auf einen Secrets Store oder einen Key Vault zu, die in keinem Zusammenhang mit dem aktuellen Task stehen, ist das ebenfalls ein Warnsignal. Ein Agent, der einen React-Rendering-Fehler beheben soll, braucht dazu mit Sicherheit keine AWS-Anmeldedaten. Das Least-Privilege-Prinzip dient hier als architektonische Abwehrmaßnahme. Doch erst ein Monitoring, bei dem gezielt überprüft wird, ob „out of scope“ auf Login-Daten zugegriffen wird, kann solche Abläufe zu Tage fördern.
• Anomalien bei Memory-Write-Vorgängen: Agenten mit persistentem Speicher stellen eine wachsende Angriffsfläche dar. Ein manipulierter Memory-Eintrag, der wie legitimer Benutzerkontext aussieht, könnte versteckte „Trigger Instructions“ enthalten, die Session-übergreifend erhalten bleiben und erst lange nach der eigentlichen Prompt Injection ausgelöst werden. Dagegen hilft, die Observability-Pipeline für KI-Agenten entsprechend auszugestalten: Memory-Schreibvorgänge sollten auf befehlsähnliche Inhalte überwacht werden. Ebenso müssen Schreibvorgänge, die im Rahmen von Sessions mit nicht-vertrauenswürdigen Inhalten stattgefunden haben, kritisch beäugt werden.

Für Security-Praktiker, die eine Agentic-AI-Infrastruktur im Produktivbetrieb managen, bestätigt die Entwicklung der „Lethal Trifecta“ zum neuen Standard nur das, was Sie ohnehin längst wissen: Ihre KI-Agenten sind gefährdet. Dieser Herausforderung ist auf Ebene der Runtime zu begegnen, nicht auf Architekturebene. Dort sind für traditionelle Architekturen EDR und SIEM angesiedelt. KI-Agenten benötigen dieselbe Instrumentierung – was auf die allermeisten Deployments bislang nicht zutrifft. (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Data Lakehouses haben sich zum Goldstandard moderner Unternehmens-Datenplattformen entwickelt. Sie vereinen die Vorteile eines Data Lake – die kostengünstige Speicherung unterschiedlichster Datentypen – mit der Zuverlässigkeit, Struktur und Governance eines klassischen Data Warehouse.

Da sie Informationen aus verschiedenen Bereichen eines Unternehmens zentral zusammenführen und gleichzeitig Sicherheits- und Audit-Funktionen bereitstellen, eignen sie sich auch hervorragend als Basis für Enterprise-KI-Systeme. Tatsächlich sind sie inzwischen so weit verbreitet und leistungsfähig, dass sich nahezu alle großen Anbieter von Data Lakes und Data Warehouses zu Lakehouse-Anbietern entwickelt haben. Snowflake beispielsweise startete ursprünglich als Data-Warehouse-Anbieter und hat sich durch mehrere Jahre der Weiterentwicklung und zahlreiche Übernahmen zu einer vollständigen Data-Lakehouse-Plattform entwickelt.

Grundlage der zukünftigen KI-Landschaft

Auch Docusign nutzt diese Plattform nun, um seine Ambitionen im Bereich Agentic AI voranzutreiben. So werden beispielsweise Daten aus Salesforce übernommen und anschließend zum Training eines internen KI-Vertriebsagenten verwendet, erläutert Shivi Verma, Senior Manager of Engineering bei Docusign. Darüber hinaus trainiert das Unternehmen Machine-Learning-Modelle, um seinen Kunden präzisere Ergebnisse liefern zu können.

Die Informationen werden außerdem über RAG-Embedding-Pipelines an Large Language Models (LLMs) weitergegeben. Gleichzeitig untersucht Docusign den Einsatz des Model Context Protocol (MCP), sobald diese Technologie weiter ausgereift ist.

Ein zentrales Thema beim Bereitstellen der Lakehouse-Daten ist für Docusign jedoch die Sicherheit und Governance. „Wir gehen dabei äußerst vorsichtig vor“, sagt Verma. „Jeder Anwendungsfall durchläuft eine strenge Sicherheitsprüfung sowie Diskussionen mit technischen und fachlichen Stakeholdern, um sicherzustellen, dass wir weder gegen Sicherheitsvorgaben noch gegen Compliance-Anforderungen verstoßen.“

Diese Sicherheitskontrollen greifen sowohl beim Import der Daten in Snowflake als auch beim späteren Export. Besonders strenge Regeln gelten für den Zugriff auf sensible Informationen wie Kundendaten.

„Zunächst stellen wir nur Daten mit einem niedrigen Risikoprofil bereit“, erklärt Verma. Dazu gehören beispielsweise öffentlich verfügbare Informationen wie Inhalte der Unternehmens-Website oder Produktinformationen.

Docusign ist mit diesem Ansatz keineswegs allein. „Wir sehen inzwischen eine Lakehouse-Nutzung von 65 Prozent bei den Kunden von Gartner“, sagt Gartner-Analyst Prasad Pore. „Das ist innerhalb kurzer Zeit ein außergewöhnlich hoher Wert.“

Und die Zukunft der Lakehouses sieht seiner Einschätzung nach noch vielversprechender aus.

„Lakehouses entwickeln sich zur Grundlage der zukünftigen KI-Landschaft“, sagt Pore. Gleichzeitig erweitern die Anbieter ihre Plattformen gezielt um KI-Funktionen.

Ein klassisches Lakehouse-Konzept umfasst beispielsweise keine Vektordatenbanken, die für RAG-basierte KI-Systeme eine zentrale Rolle spielen.

„Viele Lakehouse-Anbieter haben inzwischen Funktionen zur Vektorindizierung integriert“, erklärt Pore. „Databricks und Microsoft Fabric verfügen bereits über eingebaute Vektor-Funktionalitäten.“ Kleinere Anbieter könnten diese Möglichkeiten allerdings noch nicht bieten.

Auch die Unterstützung für MCP, den Standard zur Verbindung von KI-Agenten mit Datenquellen und Systemen, unterscheidet sich je nach Anbieter und gehört bislang nicht zum traditionellen Funktionsumfang eines Lakehouses.

Eine Frage der Wahl

Ein Data Lakehouse ist nicht die einzige Möglichkeit für Unternehmen, ihren KI-Systemen den geschäftlichen Kontext bereitzustellen, den sie für einen sinnvollen Einsatz benötigen.

So können Unternehmen beispielsweise Vektordatenbanken oder entsprechende Datenpipelines manuell aus einzelnen Datenquellen aufbauen oder eine Data Fabric einsetzen, um die Verbindung zwischen den Systemen herzustellen.

„Eine Data Fabric kann sich direkt mit den ursprünglichen Datenquellen verbinden. Das eignet sich gut für schnelle Analysen“, erklärt Gartner-Analyst Pore. „Allerdings belastet man dadurch die Quellsysteme zusätzlich, was für diese Anwendungen und Maschinen nicht ideal ist.“

Wichtig dabei: Microsoft Fabric ist zwar eine Lakehouse-Plattform, jedoch keine Data-Fabric-Plattform im Sinne der Gartner-Definition.

Ein weiterer Nachteil direkter Verbindungen besteht darin, dass die Datenmodelle der operativen Systeme meist nicht für analytische Zwecke optimiert sind und ihre Nutzung häufig teuer ist. „Der direkte Zugriff auf Quellsysteme ist nicht effizient“, so Pore.

Hinzu kommt, dass für Data Lakehouses bereits etablierte Verfahren zur Verwaltung von Zugriffsrechten existieren.

„Ein Lakehouse vereinheitlicht Daten, Wartung, Sicherheit und Governance physisch an einem Ort“, erklärt Pore. „Gerade für die Einführung von KI ist das von entscheidender Bedeutung. Als unternehmensweite ‘Single Source of Truth’ ist ein Lakehouse der moderne Weg, ein zentrales Daten-Repository aufzubauen.“

Vom Data Lake zum Lakehouse

Das Beratungsunternehmen Lemongrass begann bereits vor rund zehn Jahren mit einem klassischen Data Lake und entwickelte es vor etwa vier Jahren schrittweise zu einem Lakehouse weiter.

„Damals war das Lakehouse-Konzept noch längst nicht so verbreitet“, erinnert sich Kausik Chaudhuri, Chief Innovation Officer bei Lemongrass.

Deshalb entwickelte das Unternehmen eigene Lakehouse-Funktionen auf Basis seines Amazon-S3-Data-Lakes. Nun, da das Lakehouse zunehmend KI-Anwendungen unterstützt, steht bereits die nächste Modernisierung an.

„Derzeit arbeiten wir an einer Lösung für Incident- und Change-Management“, erläutert Chaudhuri.

Die ursprünglichen Daten liegen in ServiceNow. Würde man sie direkt aus dem Lakehouse extrahieren, um sie in einem KI-System zu nutzen, wären die Kosten zu hoch. „Deshalb überlegen wir jetzt, einen MCP-Server aufzubauen, der diese Daten gezielt abfragt“, fügt er hinzu.

Gleichzeitig plant Lemongrass den Wechsel von den selbst entwickelten Lakehouse-Erweiterungen zu einer Standardlösung.

„Als wir begonnen haben, war Lemongrass vor allem ein Verfechter von AWS, weshalb viele unserer Werkzeuge auf AWS aufgebaut wurden“, erklärt Chaudhuri. „Jetzt denken wir darüber nach, diesen Ansatz zu ändern, weil KI deutlich mehr Möglichkeiten eröffnet.“

Allerdings bietet inzwischen auch AWS selbst umfassende Lakehouse-Funktionalitäten. „Die Daten liegen bereits dort. Wir müssen das Rad also nicht neu erfinden.“

Darüber hinaus stellt AWS direkte Anbindungen an Anthropic Claude und weitere KI-Modelle bereit. Da diese Modelle ebenfalls innerhalb der AWS-Infrastruktur betrieben werden, fallen keine Egress-Gebühren an.

Lemongrass plant, die Modernisierung im dritten Quartal dieses Jahres zunächst mit einem Proof of Concept (PoC) zu beginnen. Dabei müsse aber besonders sorgfältig müsse entschieden werden, welche Daten und in welchem Umfang sie aus dem Lakehouse an KI-Modelle übertragen werden.

„Wir schicken keine Kundendaten an ein LLM“, betont Chaudhuri. „Und ich lese auch nicht 10.000 Datensätze aus und sende sie an Claude – das würde den Token-Verbrauch explodieren lassen. Schon vor einigen Jahren haben wir erkannt, dass wir bankrottgehen könnten, wenn wir den Token-Verbrauch nicht sorgfältig kontrollieren.“

Für manche Anwendungsfälle muss das LLM nach der Implementierung der Lösung überhaupt keine Kundendaten mehr sehen. Beispielsweise erstellten Mitarbeiter früher manuell Statusberichte über Kunden für den eigenen Gebrauch – ein zeitaufwendiger Prozess. Ein LLM könnte diese Aufgabe zwar übernehmen, hätte dabei jedoch Zugriff auf sensible Kundendaten. Außerdem liefern generative KI-Modelle aufgrund ihrer nicht deterministischen Arbeitsweise jedes Mal leicht unterschiedliche Ergebnisse.

Ein weiteres Beispiel sind Formulare, die Kunden später unterschreiben sollen. Auch hier könnte ein LLM bei jeder Anfrage ein neues Formular generieren.

„Deshalb haben wir Claude stattdessen gebeten, ein Programm zu schreiben, das diese Eingaben verarbeitet und daraus den Bericht erzeugt“, erklärt Chaudhuri. Die eigentliche Berichts- oder Formularerstellung erfolgt anschließend durch klassische, deterministische Software. Dadurch bleiben Kundendaten geschützt, während Berichte schnell und kostengünstig erzeugt werden können.

Andere Unternehmen setzen KI dagegen bereits intensiv ein, um ihre Datenbestände besser auszuschöpfen.

Laut einem aktuellen Databricks-Bericht, der auf Daten von 20.000 Unternehmen basiert, stieg der Anteil der von KI-Agenten erzeugten Datenbanken innerhalb von zwei Jahren von 0,1 Prozent auf 80 Prozent. Heute erstellen KI-Agenten bereits 97 Prozent aller Datenbank-Branches.

Sicherheit und Governance

Eine der größten Herausforderungen für Unternehmen besteht darin, herauszufinden, wie sie mit Sicherheits- und anderen damit verbundenen Fragen umgehen sollen, wenn KI-Agenten auf Data Lakehouses zugreifen.

In der Vergangenheit wurden Daten hauptsächlich an Dashboards weitergeleitet, in denen die Sicherheits- und Zugriffskontrollen fest programmiert waren. Oder die Daten gingen an Datenanalysten, die im Rahmen ihrer eigenen Zugriffsrechte arbeiteten. Die ersten KI-Anwendungen basierten überwiegend auf Retrieval-Augmented Generation (RAG). Dabei extrahiert klassische, deterministische Software die benötigten Daten und fügt sie in den Prompt eines Large Language Models für einen konkreten Anwendungsfall ein. Die Entwickler konnten die Sicherheitsregeln dabei individuell für jeden Workflow festlegen.

Mit dem Aufkommen agentischer KI und MCP-Servern (Model Context Protocol) verändert sich dieses Modell grundlegend: KI-Agenten können nun selbstständig entscheiden, welche Daten sie benötigen, und diese eigenständig abrufen.

Nach Ansicht von Genpact-Manager Arellano müssen Unternehmen deshalb neue Konzepte entwickeln, um die Identitäten von KI-Agenten zu verwalten, den Zugriff auf Daten zu kontrollieren, Prüfpfade zu erstellen sowie Prompts und Inhalte zu filtern.

„Agenten benötigen ihre eigenen Zugangsdaten“, erklärt er. Beispielsweise dürfen KI-Agenten unter Umständen niemals Zugriff auf Patientenakten erhalten. „Ebenso wichtig sind Audit Trails, um lückenlos nachvollziehen zu können, was der Agent getan hat.“

Arellano zufolge bieten einige Lakehouse-Anbieter, darunter Databricks, diese Funktionalität an. Zusätzlich können Unternehmen Tools von Anbietern wie Okta, Palo Alto oder Zscaler integrieren.

Die neue semantische Grenze

Die nächste Entwicklungsstufe des Lakehouse ist der Semantic Layer. Gartner schätzt, dass universelle semantische Ebenen bis 2030 zur unverzichtbaren Infrastruktur gehören werden.

„Der Aufbau einer universellen semantischen Schicht ist heute eine Pflichtaufgabe für Verantwortliche im Bereich Daten und Analytics, die KI-Projekte leiten oder unterstützen“, erklärt Gartner. „Nur so lassen sich Genauigkeit verbessern, Kosten kontrollieren, technische KI-Schulden deutlich reduzieren, Multi-Agenten-Systeme aufeinander abstimmen und kostspielige Inkonsistenzen verhindern, bevor sie sich ausbreiten.“

Es reicht nämlich nicht aus, einer KI lediglich Zugriff auf Daten zu geben. Sie muss auch verstehen, was diese Daten für das Unternehmen tatsächlich bedeuten. Die semantische Ebene bildet genau dieses Geschäftswissen ab, das normalerweise nicht in einer strukturierten Datenbank formalisiert ist.  Beispielsweise kann der Begriff „Kunde“ oder „Bestellung“ in verschiedenen Unternehmenssystemen jeweils etwas anderes bedeuten.

„Früher war die semantische Ebene zwar wünschenswert, aber nicht unbedingt notwendig, da Datenwissenschaftler wussten, welche Datenquellen sie abfragen wollten“, erläutert Amit Kinha, Vorstandsmitglied der FinOps Foundation und Field-CTO bei DoiT International, einem Cloud-Beratungsunternehmen.

Für KI-Agenten gilt das jedoch nicht mehr. „Ohne eine semantische Schicht weiß ein Agent möglicherweise gar nicht, wo er nach den benötigten Daten suchen soll”, so Kinha. Oder noch schlimmer: „Er führt fehlerhafte Joins aus oder löst Prozesse aus, die die Kosten explodieren lassen.“

Deshalbwerde die semantische Schicht künftig entscheidend dafür sein, Data Lakehouses effektiv für KI einzusetzen.

Mitlernendes System

Die semantische Schicht kann darüber hinaus Teil eines Lern- und Feedbackprozesses werden. Kevin Martelli, Consulting AI Solution Development Leader bei EY Americas, beschreibt folgendes Beispiel: Angenommen, in einem Unternehmen müssen Zahlungen über 500.000 Dollar vom CFO genehmigt werden. Ein KI-Agent fordert die Genehmigung eines Mitarbeiters an.

Der Mitarbeiter erkennt jedoch: „Ich soll diese Rechnung freigeben, aber ich weiß, dass Beträge über 500.000 Dollar zusätzlich die Zustimmung des CFO benötigen.“

Diese Information kann anschließend dauerhaft gespeichert werden. „Sie kann innerhalb der Sitzung genutzt und anschließend als Prozessdokument oder Ereignisprotokoll wieder im Lakehouse abgelegt werden“, erklärt Martelli. Dadurch lernten agentische Systeme mit jeder Nutzung hinzu.

„Genau dadurch wird das System im Laufe der Zeit immer wertvoller – denn am ersten Tag wird man niemals alles perfekt modellieren können.“

Die semantische Schicht befindet sich allerdings noch in einer frühen Entwicklungsphase, wobei die verschiedenen Lakehouse-Anbieter unterschiedliche Ansätze verfolgen.

„In der Branche wird derzeit intensiv darüber diskutiert, wie Data Lakehouses und semantische Schichten zusammenwachsen und wo diese Schicht künftig eigentlich angesiedelt sein sollte“, erklärt Matt Arellano, SVP für Daten und KI bei der Digital-Transformation-Beratungsfirma Genpact. Einige Anbieter integrieren semantische Funktionen direkt in ihre Lakehouse-Plattformen oder kaufen entsprechende Spezialunternehmen hinzu. Andere Unternehmen setzen stattdessen auf spezialisierte Drittanbieter.

„Die Kunden tun sich damit schwer“, so Arellano. „Sie alle versuchen herauszufinden, welche Kombination aus Werkzeugen und Prozessen langfristig die richtige ist.“

Steven Karan, Vice President für KI-Transformation bei Capgemini Australien und Neuseeland, sieht im Lakehouse eine Entwicklung hin zu einer zentralen Orchestrierungsschicht.

„Unternehmen konzentrieren sich mittlerweile weniger auf klassische Analysen und Berichte, sondern vielmehr auf KI-gesteuerte Anwendungen und agentenbasierte Systeme“, erklärt er. „Die effektivsten Architekturen, die ich heute sehe, kombinieren einen Lakehouse-Kern mit spezialisierten Serverschichten.“

Dazu gehören Vektordatenbanken für KI, Streaming-Plattformen für Echtzeitdaten und operative Datenbanken für Anwendungen mit geringer Latenz.

Das Lakehouse diene nicht mehr nur der Analytik, fügt er hinzu. Es sei die Grundlage für Unternehmensdaten und KI. „Seine Aufgabe besteht heute weniger darin, alle anderen Systeme zu ersetzen, sondern vielmehr darin, sie miteinander zu verbinden, zentral zu steuern und zu überwachen. Damit soll sichergestellt werden, dass Unternehmen schneller innovieren können, ohne die Kontrolle über ihre Daten zu verlieren.“ (mb)

Dieser Artikel basiert auf einem Beitrag von CIO.com.

“Ich weiß nicht, wo mir der Kopf steht. Ich kann die Vielzahl der Aufgaben kaum stemmen” – so klingt es häufig, wenn man Mitarbeitern in Unternehmen mit einer Matrixorganisation zuhört. Und das bringt bereits den Haken dieser etablierten Organisationsform auf den Punkt. Schließlich bedienen Mitarbeiter in diesem System Aufgaben aus zwei Richtungen und sind – insbesondere, wenn sie ihre Kompetenz bereits unter Beweis gestellt haben – häufig vielfach gefragt. Dies kann zu Stress und Überlast mit allen Folgeerscheinungen führen.

Dabei weist die Matrixorganisation zahlreiche unstrittige Vorteile bei der Strukturierung von Unternehmen auf – gerade wenn sich ein Unternehmen effizient aufstellen will. Zu den Entwürfen einer klassischen, hierarchischen Aufbauorganisation und der derzeit vielfach publizierten agilen Organisation bietet die Matrix eine attraktive Alternative. Ihre mehrdimensionale Struktur ermöglicht organisatorische Flexibilität in Hinblick auf Themen, Teams und Mitarbeiter und ist dabei sehr wirksam – wenn sie denn passgenau auf das jeweilige Unternehmen zugeschnitten und in der Kultur verankert ist. So braucht eine nachhaltig wirkungsvolle Matrixorganisation – wie jede andere Organisationsform auch – einen klaren, für alle nachvollziehbaren und gelebten Rahmen, der in Zeiten von Remote Work in besonderem Maße relevant ist.

Matrixorganisation – Definition

Die Matrixorganisation beschreibt eine mehrdimensionale Organisationsstruktur, in der eine funktionale, vertikale Aufbaustruktur um eine horizontale Ebene ergänzt wird. So wird über die vertikale Dimension der fachlichen Struktur (beispielsweise nach Funktionen wie Marketing, Produktmanagement oder Technologie) eine zweite Dimension (zum Beispiel nach Projekten, Geschäftsfeldern, Kunden) gelegt. Mittlerweile wird vielfach auch von einer dritten Dimension gesprochen, mit der die Querschnitts-Managementfunktionen wie beispielsweise HR, Einkauf oder Controlling gemeint sind.

Da alle Dimensionen unabhängig voneinander dabei in einer “ausgeglichenen” Matrix theoretisch gleichberechtigt sind, entsteht ein crossfunktionales System, das Flexibilität und Effizienzgewinn zur Folge hat, im Unternehmensalltag häufig jedoch für die involvierten Mitarbeiter eher einen Würgegriff bedeutet. Denn letztlich stehen alle Mitarbeiter zum Beispiel in zwei Weisungsbeziehungen: gegenüber dem Fachbereichsleiter als disziplinarischer Führungskraft und dem jeweiligen Projekt- oder Geschäftsfeldleiter. So entsteht ein klassisches “Zwei-Boss-System”, das im Organigramm über die Knotenpunkte verdeutlicht wird. Und das sich auch zum “Mehr-Boss-System” entwickeln kann, wenn nämlich Mitarbeiter in mehreren Projekten arbeiten, was im Unternehmensalltag an der Tagesordnung ist.

Die Anfänge der Matrixorganisation

Die Matrixorganisation hat ihren Ursprung in den von zunehmender Internationalisierung und technologischem Wandel geprägten 50er bis 70er Jahren des 20. Jahrhunderts. Diese Entwicklung erforderte mehr Verflechtung und Professionalität, also Themen, die uns auch heute treiben. Die erste Matrixorganisation wird dem Luft- und Raumfahrtunternehmen TRW Inc. und seinem Mitbegründer Simon Ramo zugeschrieben, der so produktspezifisches und funktionales Know-how ohne irgendeine Dominanz zusammenbringen wollte. Die übersichtliche Darstellung über Organigramme klärte direkt die Bezüge und Weisungsbefugnisse. In der Folge breitete sich diese Organisationsform immer weiter aus, mit Schwerpunkt im industriellen Bereich – zum Beispiel in Sparten bei DuPont oder General Motors.

Eine Renaissance erlebte die Matrix in der zweiten Hälfte der 80er Jahre des vergangenen Jahrhunderts mit dem Trend zu flacheren Hierarchien und dem zunehmenden Projektgeschäft. In der Folge hat sie sich bis heute in vielen Branchen und Unternehmen mit hohem Entwicklungsdruck und/oder Projektgeschäft etabliert, also zum Beispiel bei IT- und Software-Unternehmen, in der Bau- und Automobilindustrie sowie dem Dienstleistungssektor. Und zwar unabhängig von der Unternehmensgröße, wobei in KMUs oder Startups häufig eine informelle Matrix zu finden ist.

Dabei haben sich im Lauf der Zeit unterschiedliche Formen der Matrix gebildet: die starke, schwache und die ausgeglichene Matrix. Diese Varianten unterscheiden sich über den Grad der Autonomie der Führungsentscheidungen auf der horizontalen Ebene der Matrix. Während also in der starken Matrix Projektleiter über eine hohe Entscheidungskompetenz verfügen, ist diese in der schwachen Matrix auch schwach ausgeprägt.

Matrixorganisation – Vor- und Nachteile

Die Vorteile einer Matrixorganisation sind naheliegend: Mitarbeiter können zielgerichteter und flexibler eingesetzt werden, so dass Silos aufgebrochen werden. Das wiederum verhindert Einseitigkeit auf Seiten der Mitarbeiter, unterstützt interdisziplinäres Denken und Handeln von Führungskräften und Mitarbeitern und eröffnet die Möglichkeit zur Weiterentwicklung. Im Unternehmen können zudem Auslastungsschwankungen optimal abgefedert werden. So weit, so gut.

Wo nun allerdings die Matrix im Organigramm Knotenpunkte ausweist, arbeiten in Unternehmen Menschen. Menschen mit unterschiedlichen Persönlichkeiten, Ambitionen und Belastungsgrenzen. Und diese Menschen erhalten nicht nur von unterschiedlichen Seiten ihre Aufgaben, sie berichten in der Matrix an zwei Chefs: ihren Linienvorgesetzten und ihren Projektleiter. Arbeiten sie in mehreren Projekten mit, erhöht sich die Anzahl der Vorgesetzten entsprechend, was die Gemengelage nicht vereinfacht.

Oder was denken Sie, wer in diesem Konstrukt den Ton angibt, wenn der eine Boss die Jahresziele vorgibt, die Gehaltserhöhung vertritt oder auch den Urlaubsschein freigibt? Menschen werden sich in diesem Kontext immer am Stärkeren orientieren und das ist für sie persönlich auch die richtige Entscheidung. Ob das im Sinn der Aufgabe ist, tritt dabei häufig in den Hintergrund. Konsequenzen können verlängerte Entscheidungsprozesse, Verwirrung, Konflikte oder auch Konkurrenzkämpfe zwischen den verschiedenen Entscheidern oder den Experten aus unterschiedlichen Bereichen sein. Und wem wird bei Abschluss eines Projektes, einer Aufgabe der Erfolg oder auch Misserfolg zugeschrieben? Eine nicht lapidare Frage im Zwei-Boss-System.

Zudem werden die mit der funktionalen Struktur verbundenen hierarchischen Strukturen in der divisionalen Arbeit aufgelöst. Eine Führungskraft, zum Beispiel ein Abteilungsleiter, kann im Projekt demzufolge zum Mitarbeiter werden. Sein Vorgesetzter im Projekt ist der Projektleiter, der in der Hierarchie jedoch auf Mitarbeiterebene angesiedelt ist. Eine Herausforderung für alle Beteiligten.

Ein weiterer kritischer Aspekt dieses Systems ist die Mehrbelastung der Mitarbeiter, sind sie doch zumeist prozentual für zum Beispiel Projektaufgaben eingeteilt. Häufig ohne Berücksichtigung dieser Aufwände bei der klassischen Linientätigkeit. Die Arbeit aus der 2. Dimension, den Projekten oder auch Sparten, wird als Add-on bewertet. Diese Fehleinschätzung kann sich bitter rächen. Denn die daraus häufig resultierende Überlastung kann bis hin zu Demotivation, Burnout und innerer Kündigung führen. Folgen, die gerade in der aktuellen Zeit der zunehmenden Anforderungen und deren Abarbeitung im Homeoffice ohne den inoffiziellen Austausch mit den Kollegen, massiv zunehmen.

Die Erfolgsfaktoren der Matrix

Die Matrix kann das Erfolgsmodell einer Unternehmensorganisation sein und bewährt sich mit ihrer Verbindung von hierarchischer und divisionaler Struktur im Vergleich zu anderen neueren Entwicklungen – gerade in den Unternehmen, die von ihrer Historie, den Rahmendaten oder ihrer Unternehmenskultur her den eher tradierten Rollen verbunden sind.

Um ihre volle Leistungsfähigkeit zu entwickeln, benötigt die Matrixorganisation allerdings einen Rahmen, der im Unternehmen aktiv gelebt und in der Kultur verankert sein muss. Dabei sind drei Aspekte besonders relevant:

1. Klare Rollen & Verantwortlichkeiten

Zur Vermeidung von Kompetenzkonflikten, Machtkämpfen oder auch Verunsicherung auf Seiten von Führungskräften, Projektleitern und Mitarbeitern sind in jeder Matrix die Rollen, deren Aufgaben, Verantwortungen und Kompetenzen zu klären. Die Grundlage schaffen Unternehmen, indem sie jede Rolle mit einem entsprechenden Profil hinterlegen, das die Aufgaben, Kompetenzen und Verantwortungen sowie die Eskalationsprozesse beschreibt – unter Berücksichtigung der Schnittstellen zu den anderen Rollen. Die Praxis zeigt immer wieder, dass diese Profile, wenn sie denn existieren, nicht allen bekannt sind oder auch unterschiedlich interpretiert werden. Insofern empfiehlt sich, in jedem neuen Projekt – auch wenn die Beteiligten noch so häufig bereits zusammengearbeitet haben – diese Punkte offen, klar und verbindlich zu thematisieren und auch fixieren.

Als weitere Themen in diesen Gesprächen empfiehlt sich die Klärung der wechselseitigen Erwartungen und die Wege, beziehungsweise Stufen einer Eskalation. Dieser Klärungsprozess sollte vor Start der Arbeit in einem Projekt in alle Richtungen erfolgen: Also Projektleiter mit seinem Team und seinen beiden Bossen Auftraggeber und Führungskraft, darüber hinaus mit den verschiedenen Führungskräften der Projektmitarbeiter.

Um dies für alle verbindlich festzuhalten und auch im stressigen Tagesgeschäft kontinuierlich transparent zu machen, hat sich die schriftliche Vereinbarung von Spielregeln bewährt – die dann häufig auch Aspekte des nächsten Punktes umfassen.

2. Offene Kommunikation

Für diesen Klärungsprozess wie auch für die weitere Zusammenarbeit (nicht nur) in dieser Struktur ist eine offene, vertrauensvolle Kommunikation unabdingbar. Eine Hidden Agenda, und sei sie noch so menschlich, ist nicht hilfreich. Die Themen und Erwartungen gehören auf den Tisch und sind im Zweifel auszuhandeln. Dabei gilt: Jedes Thema, jede Erwartung ist möglich im Gespräch. Letztlich machen Ton und Form die Musik, die Inhalte folgen. Die Führungskräfte haben in diesem Zwei-Boss-System eine Vorbildfunktion, indem sie diese Offenheit vorleben und gerade kritische Themen ansprechen. Projektleiter sollten sich allerdings auch als Führungskraft verstehen und informieren, kommunizieren und fragen, fragen, fragen … : ihren Auftraggeber, das Projektteam, die Führungskräfte ihrer Teammitglieder.

Dieses Verständnis von Kommunikation und vor allem dessen Umsetzung setzt eine entsprechende Haltung der Beteiligten voraus. Sie schafft auf allen Seiten die Grundlage für diesen Erfolgsfaktor, der im weiteren Projektverlauf seine Relevanz beweist. Denn jegliche Information zum Beispiel zu Umpriorisierungen, Terminverschiebungen, aber auch zu Überlastungen der Mitarbeiter muss offen an die entsprechenden Beteiligten weitergegeben und verhandelt bzw. diskutiert werden (können).

3. Transparentes Ressourcenmanagement

Wieviel Aufgaben von zwei oder auch mehr Seiten verträgt eine Struktur? Was kann bei wem noch eingeplant werden? Antworten auf diese Fragen sind für Führungskräfte in der Matrix mit der Einsteuerung von Aufgaben von mindestens einer zweiten Seite häufig schwierig. Die Folge ist die aufgezeigte Überlastung, der Frust der Mitarbeiter.

Um dem entgegenzusteuern, ist ein Ressourcenmanagement unverzichtbar. In einem einfachen System werden den verfügbaren Mitarbeitertagen zum Beispiel eines Monats die zu leistenden Aufgaben mit den jeweiligen Aufwänden gegenübergestellt. Diese systematische Vorgehensweise schafft Transparenz und häufig überraschende Ergebnisse. Denn allein die Berücksichtigung von Abwesenheiten oder auch Grundlast bei der Ermittlung der Verfügbarkeiten verschiebt häufig das Bild erheblich: Wenn einerseits – zugegebenermaßen meistens – die Überlast so messbar wird, zeigt die Praxis auch Bereiche, in denen die bisher häufig beklagte Überlast nicht darstellbar war.

Führungskräfte verfügen so über ein mächtiges Steuerungselement zur Einplanung von Aufgaben gerade in der Matrixorganisation – und damit zur Vermeidung der vielbesprochenen Überforderung von Mitarbeitern. Die Verantwortlichen für das Projektportfolio haben zudem Transparenz über die verfügbaren Projektressourcen und können diese den Prioritäten entsprechend verteilen. Dabei ist nicht zwingend ein komplexes Tool erforderlich, für einen Überblick reichen häufig Bordmittel aus. Wichtig ist, dass diese passgenau in Hinblick auf die zu erreichende Zielsetzung zugeschnitten sind und somit Aufwand und Nutzen in einem vertretbaren Verhältnis stehen.

Organisationsform für die VUCA-Welt

Die Matrixorganisation ist als Organisationsform etabliert und verspricht Flexibilität und optimierten Einsatz der Mitarbeiter. Qualitäten, die in der aktuellen VUCA-Welt mehr denn je vonnöten sind.

Um eine Organisation als Matrix erfolgreich aufzustellen und die verschiedenen Störfaktoren auszuschließen, hat sich Folgendes bewährt: eine verbindliche Klärung der Rollen aller Beteiligten, eine offene Kommunikation in allen Richtungen und ein transparentes Ressourcenmanagement als Steuerungsinstrument für die Führungskräfte.

Diese Faktoren erhalten in Zeiten von Remote Work und dem damit verbundenen reduzierten sozialen Austausch eine ganz neue, erheblich gesteigerte Relevanz. Wenn sie aber in der Unternehmenskultur verankert sind und von allen bewusst gelebt werden, wird aus der vielfach kritisierten Matrixorganisation ein Erfolgsmodell. (mb)

Fehlende Fach- und Servicekräfte? Deutsche Hoteliers und Gastronomen reagieren darauf mit verkürzten Servicezeiten oder zusätzlichen Ruhetagen. Die Chinesen schlagen einen anderen Weg ein: Sie setzen verstärkt auf Roboter mit KI. Davon, wie diese in Restaurants als Bedienung fungieren oder als autonome Drohnen zu Essenskurieren werden, konnten wir uns bereits 2024 auf einer Chinareise überzeugen.

Doch jetzt geht man in China noch einen Schritt weiter. 2027 will man das erste vollständige Roboterhotel eröffnen. Egal, ob Concierge, Bedienung, Zimmerservice, Koch oder Reinigungskraft, diese Aufgaben sollen Roboter mit „verkörperter KI“ („Embodied AI“) übernehmen.

Das Robo-Hotel im Perlfluss-Delta

Entstehen soll das Hotel inmitten des Perlfluss-Deltas auf einer künstlichen Insel, wo ein gigantisches Infrastrukturprojekt Shenzhen mit Zhongshan verbindet. Auf der Westlichen Künstlichen Insel bereiten Pudu Robotics und die Shenzhen Culture & Tourism Industry Development Co. Ltd das neue Hotel vor.

Dabei verfolgt das Projekt einen ganzheitlichen Ansatz, bei dem Roboter nicht nur als Einzelkämpfer auftreten, sondern in einem vernetzten Ökosystem zusammenarbeiten. Sobald ein Gast das Hotel betritt, beginnt eine Reise, die von Embodied AI  gesteuert wird.

Die digitale Belegschaft

Ein Blick auf die digitale Belegschaft verrät die technologische Tiefe des Vorhabens. Quasi als Doorman-Ersatz ist der „PUDU T300“ für die grobe Arbeit zuständig und transportiert mit einer Traglast von 300 Kilogramm schweres Gepäck, wobei er sogar autonom Aufzüge nutzt. Währenddessen flitzt der „FlashBot“ durch die Gänge, um Getränkebestellungen auszuliefern, die die Gäste zuvor per Smartphone aufgegeben haben.

In den öffentlichen Bereichen sorgen der „PUDU CC1 Pro“ und der „MT1“ für Sauberkeit, indem sie Abfälle mittels KI-basierter Erkennung identifizieren und die Böden eigenständig pflegen. Für den Charme und die Interaktion sind andere zuständig: „BellaBot Pro“ serviert Kaffee mit Sprach- und Lichteffekten, während  „KettyBot Pro“ Snacks verteilt und auf seinem Display Event-Informationen präsentiert. Für den Unterhaltungsfaktor sorgen interaktive Auftritte des „PUDU D5“, die demonstrieren sollen, dass Roboter mehr können, als nur effizient zu sein.

Das Gehirn hinter der Hardware

Was wie Science-Fiction klingt, basiert auf einer komplexen Softwarearchitektur. Das Herzstück des Systems ist das KI-Modell „PuduFM 1.0“ in Kombination mit der Plattform „PuduAgent“. Diese Architektur nutzt sogenannte Vision-Language-Action-Modelle (VLA), die es den Robotern ermöglichen, Gesten zu verstehen, soziale Interaktionen zu meistern und ihre Routen in einer sich ständig verändernden Umgebung dynamisch anzupassen. Dadurch, dass das Framework geteilt wird, lernen die Maschinen voneinander. So profitiert ein Reinigungsroboter von denselben Kernfähigkeiten wie ein Empfangsroboter. Dies soll Entwicklung und Einsatz massiv beschleunigen.

Auch wenn die Eröffnung des Hotels erst für 2027 angekündigt ist, soll bereits Ende 2026 der Probebetrieb starten. In der Testphase will man ausgewählte Zimmer und Dienstleistungen der Öffentlichkeit zugänglich machen. Langfristig – bis 2030 – will China die Westliche Künstliche Insel zu einem globalen Benchmark für die Konvergenz von Tourismus und intelligenter Automatisierung ausbauen.

Ob man als Hotelgast wirklich das charmante Lächeln einer Empfangsdame gegen das digitale Blinken eines Roboters eintauschen will, sei dahingestellt. Auf jeden Fall ist das Projekt ein weiterer Beleg dafür, wie rasend schnell KI und Robotik klassische Geschäftsmodelle transformieren – zumindest in China.

Führen, Unterstützen, Coachen, Delegieren: Für viele Führungskräfte sind die Grenzen fließend. Um zu erklären, was Delegation eigentlich bedeutet, halten wir uns an die Führungsexperten Ken Blanchard und Paul Hersey.

Definition Delegation

Beim Delegieren geht es darum, dass Führungskräfte ihre Mitarbeitenden eigenständig und mit wenig Kontrolle größere Aufgaben oder ganze Projekte übernehmen lassen. Der Fokus liegt dabei auf der Vorbereitung: Der Kontext der zu erledigenden Aufgabe und auch das Ziel müssen unmissverständlich klar sein. Die weitgehende Eigenständigkeit der Beauftragten unterscheidet Delegation von Führung, Coaching oder Unterstützung. Diese Vorgehensweisen erfordern jeweils eine stärkere Führungsarbeit des Vorgesetzten.

Warum es Führungskräften schwerfällt zu delegieren

Vorgesetzte tun sich oft schwer damit, Aufgaben zu delegieren. Gründe dafür gibt es viele, zum Beispiel:

• Teamleiter wollen keine Verantwortung abgeben, weil sie sich insgeheim selbst für die einzige Person halten, die das anstehende Problem schnell und in der nötigen Qualität lösen kann.

• Qualifikationslücken machen es schwer zu delegieren. Die Vorgesetzten springen selbst ein und versuchen – oft durch allerlei Verrenkungen – diese Lücken zu füllen.

• Die Mitarbeitenden stellen sich quer. Sie lehnen zusätzliche Aufgaben ab, weil sie überlastet sind oder die verlangten Arbeiten “nicht für ihren Job halten”.

• Die Führungskraft reißt operative Aufgaben an sich, weil sie sich durch Management-Aufgaben nicht ausgefüllt fühlt. Das passiert oft Managern, die von einer operativen in eine Führungsposition wechseln und nicht recht wissen, wie sie die neue Aufgabe angehen sollen (Peter-Prinzip).

• Teamleiter fürchten, inhaltlich den Anschluss zu verlieren. Also arbeiten sie stark operativ, um besser zu verstehen, mit welchen Herausforderungen, technischen Tücken oder exotischen Kundenanforderungen die Teammitglieder im Detail kämpfen.

• Im Team gibt es ein starkes Ungleichgewicht zwischen wenigen High-Performern, die schon viel um die Ohren haben und deshalb nicht weiter belastet werden können, und Low-Performern, denen die Teamleitung nicht viel zutraut. Anstatt zu delegieren, springt der Chef in die Bresche und übernimmt viele Arbeiten selbst.

• Führungskräfte sorgen sich, den Respekt ihrer Mitarbeitenden und auch den des Managements zu verlieren, weil sie “nur noch delegieren” und damit als faul gelten könnten. Lieber zeigen sie sich als fleißige Bienchen und reißen Aufgaben an sich, um als vorbildlich wahrgenommen zu werden.

Diese und andere Probleme zeigen, dass es nicht trivial ist, sinnvoll und gut delegieren. Wer Verantwortung übernimmt, wird nicht darum herumkommen, Arbeiten oder ganze Projekte an andere Teammitglieder abzugeben. Wichtig dabei ist es, nicht den Überblick zu verlieren.

Wir empfehlen, folgende Tipps zu beherzigen, um die Arbeitslast im Team zu verteilen und die Produktivität insgesamt zu steigern.

1. Berücksichtigen Sie die Interessen der Mitarbeitenden

Erfahrene Führungskräfte kennen die Qualitäten ihrer Mitarbeiterinnen und Mitarbeiter. Sie wissen um ihre Auslastung und kennen die Qualifikationen. Doch wissen die Verantwortlichen auch, was ihre Kolleginnen und Kollegen gerne tun? Es ist eine gute Idee, Beschäftigte mit Aufgaben zu betrauen, die diese nicht nur beherrschen, sondern auch interessant finden. Umgekehrt ist es weniger schlau, beispielsweise ordnungsliebende Controller-Typen mit Kreativaufgaben zu behelligen oder introvertierte Personen auf eine öffentliche Bühne zu drängen.

2. Geben Sie den Menschen die Chance, sich zu entwickeln

Wenn die Zeit drängt und es sich um eine kritische Aufgabe handelt, sollte erfahrenem Personal der Vorzug gegeben werden. Ist der Zeithorizont aber nicht so stark eingeschränkt, kann es eine Chance sein, weniger erfahrene, aber motivierte Talente einzusetzen, die an der Aufgabe wachsen und dazulernen können und wollen.

3. Lassen Sie sich nicht manipulieren

Geben Sie nicht der Versuchung nach, immer die Person zu beauftragen, die zuerst den Finger hebt. Achten Sie auf die Persönlichkeit, die Skills und die Auslastung ihrer Mitarbeiterinnen und Mitarbeiter. Und verfolgen Sie im Hintergrund einen Plan, welche Beschäftigten Sie langfristig in welche Richtung weiterentwickeln wollen.

4. Behalten Sie den Workload der Kollegen im Auge

Wer viel zu tun hat, wird eine neue Aufgabe schlecht, zeitverzögert oder gar nicht erledigen. Manchmal kommt für einen Job aber nur eine ganz bestimmte Person in Frage. Ein guter Teamleiter zeichnet sich dadurch aus, dass er sich mit diesem Kollegen zusammensetzt, um sich einen Überblick über dessen Aufgaben zu verschaffen und diese gegebenenfalls neu zu verteilen oder zumindest anders zu priorisieren.

5. Bestrafen Sie nicht Ihre Besten

Oft ist der Fehler zu beobachten, dass Personen solange mit Aufgaben eingedeckt werden, bis sie sich nicht mehr rühren können. Vorgesetzte handeln so, weil sie glauben, sie werden zeitnah ein gutes Ergebnis bekommen. Tatsache ist aber auch, dass sie so ihre besten Talente verärgern und verheizen.

Aufgaben so zu verteilen, dass es für das Unternehmen am besten ist, ist besonders schwierig. In jedem Team gibt es Menschen, die herausragen. Oft sind diese “Willigen” auch diejenigen, die neue Aufgaben ohne Murren annehmen. Sie machen es ihrem Vorgesetzten besonders leicht.

Wer sich darauf einlässt, schadet nicht nur den Leistungsträgern, er bringt auch andere im Team um die Chance, durch besondere Leistungen auf sich aufmerksam zu machen. Auch deshalb ist es also wichtig, das Skillset jedes Mitarbeiters zu kennen und Aufgaben entsprechend der Qualifikationen, der Auslastung und der Motivation zuteilen. Teamverantwortliche müssen wissen, wer sich wofür eignet und wo Qualifikationslücken geschlossen werden müssen.

Sie interessieren sich für Projektmanagement? Dann lesen Sie auch:

• So finden Sie die richtige Projektmanagement-Methode

6. Vertrauen Sie Ihrem Team

Wenn Sie eine Aufgabe an eine oder mehrere Personen delegiert haben, konzentrieren Sie sich auf die Ergebnisse und beschäftigen Sie sich nicht mit dem Wie. Sonst verzetteln Sie sich im Mikro-Management. Halten Sie es wie George S. Patton, General der US-Armee, der einst sagte: “Don’t tell people how to do things. Tell them what to do and let them surprise you with their results.”

7. Bleiben Sie offen für neue Ideen

Natürlich könnten Sie sich als Projektverantwortlicher darauf zurückziehen, das letzte Wort zu haben, wenn es um die grundsätzliche Ausrichtung eines Vorhabens geht. Intelligenter ist es aber, das Team an den wichtigsten Entscheidungen zu beteiligen. Wenn die für die Umsetzung Verantwortlichen einen anderen Ansatz vorschlagen, als den von Ihnen bevorzugten, sollten Sie zuhören und den alternativen Ansatz, wenn möglich, durchwinken. Bessere Vorschläge zu erkennen und zu akzeptieren, heißt, Führungsstärke zu zeigen.

8. Lassen Sie Ihr Team Entscheidungen treffen

Wie bereits erwähnt sollten Sie, wenn Sie den Spielraum haben, das Team entscheiden lassen, wie bestimmte Ziele erreicht werden können. Dieses Gefühl von Autonomie ist wichtig für den Erfolg. Die Qualität eines Projektmanagers zeigt sich auch darin, den Menschen ein Gefühl maximaler Freiheit zu geben, auch wenn Leitplanken für den Weg zum Erfolg gesetzt und eingehalten werden müssen.

9. Verlieren Sie nicht die Kontrolle

Kontrolle auszuüben, ist gar nicht so unpopulär, wie Sie vielleicht denken. Es kommt hier darauf an, von Beginn an mit offenen Karten zu spielen, das heißt: klare Regeln setzen und Kontrollpunkte festlegen. Sie können beispielsweise mit Ihrem Team vereinbaren, dass Sie sich jede Woche ein wenig Zeit nehmen, um die Fortschritte zu überprüfen. Lassen Sie sich dabei die Widerstände erklären, auf die Ihre Mitarbeitenden gestoßen sind und machen Sie – gerne auch zeitversetzt – Vorschläge, wie diese aufgelöst werden können.

10. Motivieren ist nicht altmodisch

Viele Führungskräfte halten es mit dem Wirtschaftswissenschaftler Fredmund Malik, der einmal ziemlich unpopulär formulierte: “Motivation nützt (…) nichts. Stattdessen müssen sie (Führungskräfte) den Mitarbeitern beibringen, in ihrer Arbeit einen Sinn zu sehen. Ärzte, Pflegepersonal, Polizisten oder Feuerwehrleute fragen niemals nach Motivation. Sie verrichten ihre Arbeit aus ganz anderen Gründen.” Mit Menschen die motiviert werden oder sogar Spaß bei der Arbeit haben wollen, kann Malik nichts anfangen. Letztendlich gehe es um eine “pflichtbewusste” Haltung und den Sinn einer Aufgabe, an der Menschen wachsen könnten.

Zumindest insoweit stimmen wir zu: Die Arbeitswelt ist kein Ponyhof. Doch es ist sicher kein Fehler, Menschen Mut zuzusprechen, ihre Arbeitsergebnisse zu würdigen und ihnen den Rücken zu stärken. Positives Feedback ist wichtig, ebenso sollten dem Team Hindernisse aus dem Weg geräumt werden, so weit das möglich ist. Projektleiter sollten Anreize schaffen, die über das Erreichen des “sinnvollen” Projektziels hinausgehen. Anerkennung – in Form eines Bonus, einer Auszeichnung oder auch nur einer Flasche Champagner – ist ein großartiger Motivator, der allen Spaß macht und einen gesunden Wettbewerb innerhalb des Teams anregt.

11. Identifizieren Sie die Führungskräfte von morgen

Manager, die Führungsaufgaben delegieren, beginnen bewusst oder unbewusst damit, bestimmte Teammitglieder zu künftigen Führungskräften beziehungsweise zu Projektleitern oder -spezialisten weiterzubilden. Die Betonung sollte hier auf “bewusst” liegen: Bringen Sie den Mitarbeitern Ihres Vertrauens etwas bei und seien Sie ein guter Mentor. Diese Talente sollten eine reelle Chance bekommen, sich zu verbessern. Dazu gehört selbstverständlich auch eine gesunde Fehlerkultur: Niemand sollte wegen Fehlern herabgesetzt oder auf eine Weise kritisiert werden, von der er oder sie sich nicht mehr erholen kann.

12. Sagen Sie “Danke”

Oft werden Teams für ihre Arbeit nicht ausreichend gewürdigt. Nicht selten heimst sogar der Teamchef die Lorbeeren ein, ohne seine Leute ins rechte Licht zu setzen und sich öffentlich zu bedanken. Das ist ein No-go. Wenn Mitarbeiter eine übertragene Aufgabe erfolgreich meistern, muss der Vorgesetzte Wertschätzung zeigen und explizit vor der Gruppe die Dinge erwähnen, die gut gelaufen sind. Das fördert die Loyalität des Teams und gibt allen Beteiligten die Bestätigung, die sie brauchen, um weiterhin hervorragende Leistungen zu erbringen.

“Ich muss ständig die Probleme meiner Mitarbeiter lösen. Alles bleibt an mir hängen.” “Wir besprechen Dinge. Legen sie fest. Und am Ende kommt was komplett anderes heraus.” “Ich möchte einfach, dass meine Mitarbeiter selbständiger arbeiten und ich mich um die wesentlichen Dinge kümmern kann.” Das sind typische Aussagen von Führungskräften. Doch wie aus dieser Nummer herauskommen?

Zum Beispiel mit diesen fünf Hinweisen:

1. “Ich-mach-das-schnell-selbst”-Mindset

Sie können es nicht leiden, wenn Aufgaben liegen bleiben. Die Folge ist, dass Sie Ihre Mitarbeiter daran gewöhnen, dass Sie vieles selbst erledigen. Oft denken sich Mitarbeiter dann: “Er macht das schon.” Ja, weil es bisher immer so war. Auf diese Weise werden Mitarbeiter zur Unselbständigkeit erzogen. Und Sie stecken zu sehr im operativen Geschäft fest und haben keine Zeit für strategische Aufgaben und die Mitarbeiterführung. Am Ende heißt es dann: “Alles bleibt an mir hängen.” Wenn wir Situation erleben, die uns stören, sollten wir unser eigenes Verhalten reflektieren, um zu erkennen, wie wir selbst zu dieser Situation beigetragen haben.

2. Boomerang Management

Sie delegieren eine Aufgabe und am Ende landet sie wieder auf Ihrem Tisch. Entweder kommt sie sofort wieder oder Mitarbeiter arbeiten sie so weit ab, bis ein Problem oder Unsicherheiten sich in den Weg stellen. Dann heißt es: “Ich komme hier nicht weiter, kannst Du mir kurz helfen?” Wenn Sie spätestens nicht jetzt wirkungsvoll führen – also weder sich selbst noch Ihr Team – dann haben Sie die Aufgaben ruckzuck auf Ihrer To-do-Liste.

Die Kunst besteht darin, Aufgaben so zu delegieren, dass Mitarbeiter die Verantwortung übernehmen und Sie entlasten. Die Art und Weise der Delegation ist abhängig von der Persönlichkeit der Mitarbeiter.

3. Mitarbeiter werden demotiviert

In der Regel bringen Mitarbeiter eine gesunde Portion Motivation mit, doch oft wird das Feuer einfach erstickt, indem Führungskräfte zum Beispiel sofort eingreifen, wenn es zu Problemen kommt. Sie reißen die Verantwortung an sich, statt sie mit dem Mitarbeiter zu besprechen. In der Folge entsteht bei dem Mitarbeiter das Gefühl, dass Sie ihm nicht vertrauen. Sie wiederum haben eine zusätzliche Aufgabe zu erledigen, die nicht Ihre ist. Gerade High Performer können es aber nicht leiden, wenn ihnen Verantwortung genommen wird.

Eine andere Form Mitarbeiter zu demotivieren ist, ständig Kritik zu äußern. Das beraubt sie auf Dauer der Motivation. Ein Beispiel: Ein Team hat sich für ein Projekt ins Zeug gelegt, Überstunden geschoben und gute Ergebnisse geliefert, doch das Einzige, was dem Chef einfällt, ist: “Ja, das ist schon ganz gut, aber da ist noch Luft nach oben.” Das klingt nach einem Vorwurf.

und Wenn sowieso alles schlecht ist, warum sollen sich die Mitarbeiter dann noch ins Zeug legen? Anerkennung ist ein Grundbedürfnis, unabhängig vom Alter und der Position. Jeder möchte für das, was er kann und leistet, gesehen und wertgeschätzt werden. Wenn das fehlt, sind Mitarbeiter demotiviert, die Leistung lässt nach und im schlimmsten Fall verlieren Sie Mitarbeiter. Wenn sich Mitarbeiter hingegen wertgeschätzt fühlen, werden sie mehr tun als von ihnen erwartet.

Ein weiteres Phänomen, das kontraproduktiv ist: Alle Mitarbeiter eng zu führen und ihnen klare Vorgaben zu geben. Warum? Weil unterschiedliche Persönlichkeiten unterschiedlich geführt werden müssen. Die einen lieben den Gestaltungsspielraum und die anderen brauchen Leitplanken. Die Kunst besteht darin, zu erkennen was die Mitarbeiter brauchen, um ihnen das auch zu geben. Dafür braucht man nicht unzählige Stunden mit ihnen zu verbringen. Wenn Sie wissen, woran Sie das erkennen, können Sie dies im Vorstellungsgespräch bereits feststellen.

4. Limitierende Glaubenssätze

Ein weitverbreiteter Glaubenssatz, den 90 Prozent aller Führungskräfte haben, ist: “Wenn ich aufsteige, wird alles anders. Ich brauch nur die Beförderung. Sobald ich auf der nächsten Stufe bin, wird alles besser. Dann kann ich mehr bewegen”. Die Wahrheit ist: Es wird schlimmer. Bedeutet: Wenn Sie Ihre Denkweise und Ihr Verhalten nicht ändern, potenzieren sich Ihre Probleme.

Sie erleben dann, dass Mitarbeiter nicht machen, was von ihnen erwartet wird. Sie führen ständig unnötige Diskussionen und verschwenden Zeit und Energie. Sie sind zu sehr im operativen Geschäft eingebunden, arbeiten viel, aber kommen nicht weiter. Und am Ende haben Sie keine Zeit für die wirklich wichtigen Aufgaben.

Was braucht es, um sich von unbewussten Glaubenssätzen zu lösen, die wie Handbremsen aufhalten? Antwort: Die Bereitschaft das eigene Verhalten zu hinterfragen und zu ändern. Und da wir die eigenen Blindspots nur schwer erkennen können, braucht es auch mal einen externen Sparringspartner, der uns den Spiegel vorhält. Oft machen wir nämlich Dinge, die kontraproduktiv sind und merken es selbst gar nicht.

5. Kontraproduktive Kommunikation

“Obwohl ich regelmäßig mit meinen Mitarbeitern rede, kommt nichts an. Wir besprechen Dinge, legen sie fest. Und am Ende kommt etwas ganz anderes heraus.” Ein Klassiker. Chef und Mitarbeiter reden komplett aneinander vorbei. Dadurch müssen weitere Gespräche geführt werden, was nur Zeit- und Energieverschwendung bedeutet. Einige Führungskräfte denken: “Die verstehen es einfach nicht”. Nun, in der Regel liegt es an der Kommunikation und der Herangehensweise der Führungskraft. Und sobald die Führungskommunikation verbessert wird, verbessern sich auch die Ergebnisse im Team.

Am Ende greifen alle fünf Punkte ineinander. Mindset, Führung und Kommunikation sind nicht getrennt voneinander zu betrachten. Wenn Sie nachhaltig bessere Ergebnisse haben wollen, gilt es alle drei Kompetenzbereiche zu verbessern.

Es sind vor allem drei Begriffe, die die Cloud-Diskussion in deutschen Unternehmen derzeit dominieren: Sovereign Cloud, Private Cloud und Hyperscaler. Alle drei Optionen klingen nach Kontrolle, versprechen Sicherheit – und bilden jeweils ein grundlegend anderes Konzept ab.

Die daraus resultierende Entscheidungsunsicherheit war auch auf der “European Identity and Cloud Conference 2026“ in Berlin eines der meistdiskutierten Themen unter Praktikern. Das Problem: Viele Unternehmen treffen diese Entscheidung unter regulatorischem Druck und mit unvollständigen Informationen – meist einem Mix aus Marketingversprechen und technischen Halbwahrheiten.

Im Ergebnis stehen häufig überteuerte Architekturen, die regulatorisch trotzdem angreifbar bleiben – oder günstige Lösungen, die im Ernstfall nicht halten, was sie versprechen. Wer heute eine Cloud-Strategie entwickelt oder eine bestehende überprüft, muss verstehen, was hinter den einzelnen Cloud-Modellen steckt, wo die Unterschiede liegen und wann welches Modell sinnvoll ist. Dafür liefert dieser Artikel die Grundlage.

Sovereign Cloud, Private Cloud und Hyperscaler im Vergleich

Zunächst ein Blick auf die einzelnen Cloud-Modelle und ihre jeweiligen Vor- und Nachteile.

Hyperscaler Cloud

Die großen US-amerikanischen Cloud-Plattformen Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP) bieten:

• nahezu unbegrenzte Rechenkapazität,
• ein breites Serviceangebot und
• eine ausgereifte Infrastruktur, sowie
• (dank Skaleneffekten) vergleichsweise niedrige Preisen.

Der entscheidende Nachteil: Die Infrastruktur unterliegt US-amerikanischem Recht. Der CLOUD Act von 2018 gibt US-Behörden das Recht, auf Daten zuzugreifen, die von amerikanischen Unternehmen gespeichert werden – unabhängig davon, ob die Server in Frankfurt, Dublin oder anderswo stehen.

Private Cloud

Eine Private Cloud ist eine Cloud-Infrastruktur, die ausschließlich für eine Organisation betrieben wird – entweder im eigenen Rechenzentrum (On-Premises) oder bei einem Dienstleister, der die Infrastruktur dediziert bereitstellt. Der Hauptvorteil besteht dabei in der vollständigen Kontrolle über Hardware, Software und Daten.

Die wesentlichen Nachteile sind hingegen – insbesondere im Fall einer On-Premises-Lösung – hohe Investitions- und Betriebskosten, geringere Flexibilität und die Notwendigkeit, eigene Expertise aufzubauen.

Sovereign Cloud

Die Sovereign Cloud ist in erster Linie ein rechtliches und organisatorisches Konzept – kein technisches. Es gibt zwei grundlegend verschiedene Ansätze:

• Die Sovereign-Cloud-Angebote der Hyperscaler (AWS European Sovereign Cloud, Microsoft Cloud for Sovereignty, Google Sovereign Cloud) sind spezielle Angebote, bei denen europäische Tochtergesellschaften die Infrastruktur betreiben, Customer Managed Keys eingesetzt werden und vertragliche Zusicherungen gegeben werden. Das ist technisch ausgereift, aber teurer — und die rechtliche Robustheit ist noch nicht vollständig gerichtlich erprobt.
• Die Sovereign-Cloud-Lösungen europäischer Anbieter (etwa Ionos, Hetzner, OVHcloud, Deutsche Telekom oder SAP) unterliegen vollständig EU-Recht. Das sorgt für einen klaren rechtlichen Rahmen, ohne „CLOUD-Act-Problematik“. Dafür müssen sich Kunden in der Regel aber mit einem schmaleren Serviceangebot begnügen.

Die nachfolgende Tabelle zeigt die einzelnen Cloud-Modelle im direkten Vergleich:

Kriterium	Hyperscaler (Standard)	Sovereign Cloud (Hyperscaler)	Sovereign Cloud (EU-Anbieter)	Private Cloud
Datenspeicherort	EU möglich	EU, vertraglich	EU, rechtlich gesichert	eigene Kontrolle
CLOUD-Act-Risiko	vorhanden	reduziert	kein direktes US-Risiko	keines bei Eigenbetrieb
NIS2/KRITIS-Eignung	eingeschränkt	gut	gut	gut
Serviceangebot	sehr breit	breit, eingeschränkt	mittel	variiert
KI/ML-Dienste	vollumfänglich	teilweise eingeschränkt	eingeschränkt	selbst zu betreiben
Relative Kosten	günstig	15% bis 30% teurer	vergleichbar	hoch (Invest und Betrieb)
Skalierbarkeit	sehr hoch	hoch	mittel	eingeschränkt
Anbieter-Abhängigkeit	hoch	hoch	mittel	gering
Exit-Komplexität	hoch	sehr hoch	mittel	niedriger

Ein Entscheidungsbeispiel aus der Praxis

Ein mittelständischer Maschinenbauer mit 800 Mitarbeitern und Kunden in der Automobilindustrie steht vor einer typischen Entscheidung: Die bestehende IT-Infrastruktur soll modernisiert sowie KI-gestützte Predictive-Maintenance-Prozesse eingeführt werden. Als Zulieferer fällt das Unternehmen zudem in den Anwendungsbereich von NIS2. Hier sollte im Ergebnis nicht eine „Alles oder nichts“-Lösung stehen, sondern eine differenzierte Multi-Cloud-Strategie, die regulatorische Anforderungen erfüllt und gleichzeitig wirtschaftlich sinnvoll ist:

• Die Produktionsdaten und Anlagendaten – Sensordaten, Steuerungsprotokolle, OT-Verbindungen – sind NIS2-relevant und hochsensibel. Hier ist Sovereign Cloud oder Private Cloud angezeigt.
• Die KI-Entwicklungsumgebung für die Predictive-Maintenance-Plattform arbeitet mit anonymisierten Trainingsdaten. Hier wäre das Standard-Hyperscaler-Modell die wirtschaftlichste Wahl, weil das ein umfängliches KI/ML-Serviceangebot bietet und keine regulatorischen Verpflichtungen mit sich bringt.
• Die internen Collaboration-Tools haben keine besondere Schutzstufe, daher reicht hierfür ebenfalls eine Standard-Hyperscaler– oder auch eine SaaS-Lösung aus.

Die häufigsten Fehler bei der Cloud-Wahl

Unabhängig von Branche und Unternehmensgröße beobachte ich in der Praxis von Beratungsprojekten die folgenden fünf Fehler immer wieder, wenn es um die Wahl des richtigen Cloud-Modells geht.

1. Datenspeicherort mit Datenkontrolle gleichsetzen

Ein Rechenzentrum in Frankfurt bedeutet nicht, dass Sie die volle Kontrolle über Ihre Daten haben. Die entscheidende Frage ist nicht, wo der Server steht – sondern wer die Schlüssel verwaltet, die Metadaten einsehen kann und wer bei einem Rechtsstreit welche Rechte hat.

2. Sovereign Cloud als Pauschalstrategie betrachten

Die teuerste und häufigste Fehlentscheidung ist, alle Workloads in eine Sovereign-Cloud-Umgebung zu migrieren – ohne sich vorher anzusehen, welche Workloads das tatsächlich benötigen. Für Entwicklungsumgebungen, interne Tools und nicht-regulierte Daten bedeutet die Sovereign Cloud vor allem eines: Aufpreis ohne Mehrwert.

3. Identity Governance vernachlässigen

Eine technisch perfekte Sovereign-Cloud-Infrastruktur nützt wenig, wenn die Zugriffssteuerung unzureichend ist. Wer auf welche Systeme zugreifen darf, entscheidet über das tatsächliche Security-Niveau – insbesondere, wenn es um KI-Agenten und automatisierte Prozesse geht. Ein KI-Agent mit Schreibzugriff auf Produktionssysteme, der auf Sovereign-Cloud-Infrastruktur läuft, aber mit unzureichender Identity Governance operiert, ist eine Schwachstelle – egal, wo der Server steht. Identity Governance ist 2026 die kritische Lücke in den meisten Cloud-Sicherheitsarchitekturen.

4. Exit-Strategie nicht mitdenken

Wer heute in eine Sovereign Cloud der Hyperscaler migriert, muss wissen: Der Ausstieg ist komplexer und teurer als beim Standard-Angebot. Drei Kostenfallen werden dabei regelmäßig unterschätzt:

• Wechselkosten, die der EU Data Act zwar seit September 2025 deckelt und ab Januar 2027 ganz abschafft. Dabei werden allerdings nur die Kosten für den Anbieterwechsel selbst erfasst, nicht die laufenden Egress-Kosten in Multi-Cloud-Architekturen.
• Vertragliche Mindestlaufzeiten und Volumenzusagen, die Sovereign-Angebote häufig voraussetzen und die der Data Act ausdrücklich unberührt lässt.
• Die Abhängigkeit von proprietären Diensten, die sich nicht “mitnehmen” lassen, sondern beim neuen Anbieter nachgebaut werden müssen. An dieser Stelle hilft auch der Data Act nichts.

Exit-Kosten gehören deshalb von Tag eins in die Gesamtkostenrechnung – und eine dokumentierte Exit-Strategie sollte Teil jeder Cloud-Entscheidung sein.

5. Compliance mit Sicherheit verwechseln

NIS2-Konformität und ISO 27001 sagen nichts darüber aus, ob ein Unternehmen im Ernstfall handlungsfähig ist. Compliance bescheinigt, dass Prozesse dokumentiert sind. Sicherheit entsteht durch technische Kontrollen und klare Verantwortlichkeiten.

In 5 Schritten zum richtigen Cloud-Modell

Cloud-Souveränität ist – das zeigt mir jedes Projekt aufs Neue – eine Workload-Entscheidung, keine Glaubensfrage. Wer pauschal migriert, zahlt für Souveränität, wo keine nötig ist und übersieht häufig Lücken, wo sie zählt. Eine belastbare Strategie entsteht vor allem daraus, danach zu fragen, welche Regulierung greift, wie sensibel die Daten sind und wer Schlüssel und Identitäten kontrolliert. Alles andere ist Marketing.

Die folgenden fünf Schritte können Sie dabei unterstützen, das richtige Cloud-Modell für Ihre Bedürfnisse zu wählen.

• Regulatorische Pflichten prüfen: Unterliegen Ihre Cloud-Workloads DORA, NIS2, dem EU AI Act oder anderen Regulierungen? Falls ja, ist eine Standard-Hyperscaler-Lösung nur mit zusätzlichen Kontrollen, dokumentierter Risikoabwägung und belastbarer Exit-Strategie vertretbar.
• Sensitivität der Daten klassifizieren: Personenbezogene Daten mit Schrems-II-Relevanz oder Betriebsdaten kritischer Infrastrukturen sind sensible Informationen. Generell gilt: Je höher die Sensitivität der Daten, desto stärker sprechen die Argumente für Sovereign oder Private Cloud.
• Serviceabhängigkeiten prüfen: Wenn Sie Cloud-Services benötigen, die nur bei Hyperscalern verfügbar sind, etwa KI/ML-Plattformen oder spezialisierte Datenbanken, sind die Sovereign Clouds der Hyperscaler oft der bessere Kompromiss.
• Interne Ressourcen realistisch einschätzen: Private Cloud klingt nach Kontrolle — ist aber aufwendig. Um das zu bewältigen, benötigen Sie die richtigen Menschen und Expertise, um dieses Modell professionell zu betreiben.
• Kosten-Nutzen-Verhältnis berechnen: Die Sovereign Cloud kostet nach der Einschätzung von Marktexperten typischerweise 15 bis 30 Prozent mehr als ein Standard-Hyperscaler-Angebot. Rechnen Sie durch, welches Modell für Ihren Workload-Mix wirtschaftlich am sinnvollsten ist.

Wann welches Cloud-Modell sinnvoll ist, entnehmen Sie folgender Tabelle:

Situation	Empfohlenes Modell	Begründung
KRITIS-Betreiber unter NIS2	Sovereign Cloud	Nachweispflichten zu Risikomanagement und Lieferkette, persönliche Haftung der Geschäftsleitung
Finanzdienstleister unter DORA	Sovereign Cloud (Hyperscaler)	breites Serviceangebot und regulatorische Compliance
Hochrisiko-KI unter EU AI Act	Sovereign Cloud	Pflichten ab August 2026; Daten-Governance-Nachweise leichter zu führen
KI/ML-Entwicklung, anonymisierte Daten	Hyperscaler (Standard)	vollständiges Serviceangebot, kein Regulierungsdruck
Interne Tools, Dev/Test	Hyperscaler (Standard)	kein regulatorischer Bedarf, Kosten optimieren
Hochsensible Daten, Behörden	EU-Anbieter / Private Cloud	maximale rechtliche Klarheit, keine Restrisiken
Konstante Workloads, eigene Expertise	Private Cloud	langfristig wirtschaftlicher bei vorhersehbarem Bedarf

(fm)

Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!

Nach jahrelanger Erfahrung mit der Cloud glaubten IT-Führungskräfte, ihre Strategien diesbezüglich endlich fest im Griff zu haben. Dann kam die KI.

Die aktuellen Herausforderungen rund um die Cloud gehen jedoch weit über künstliche Intelligenz hinaus. Dazu zählen neben der Frage, wo Workloads für maximale Effizienz platziert werden sollten, auch Governance-Anforderungen, Datensouveränität, zunehmend ausgefeilte Cyberbedrohungen und steigender Kostendruck. All diese Faktoren machen die Cloud-Landschaft immer komplexer.

Mehr als ein Infrastrukturthema

„Das Ganze hat sich zu einem ziemlich komplexen Durcheinander entwickelt“, stellt der Cloud-Experte David Linthicum fest. Eine moderne Cloud-Strategie müsse heute Private Clouds, Multi-Cloud-Umgebungen, Hybrid-Cloud-Modelle und souveräne Clouds berücksichtigen – deutlich mehr, als die meisten CIOs bislang bewältigen mussten.

Anfangs drehten sich die Diskussionen rund um Cloud vor allem um Agilität, Skalierbarkeit und Kostenoptimierung, erklärt Joshua Bellendir, CIO des Einzelhändlers WHSmith North America. „Heute müssen wir eine wesentlich größere und komplexere Zahl von Faktoren berücksichtigen: KI-Bereitschaft, Cybersicherheit, Data Governance, Anforderungen an die Datensouveränität, Edge Computing, Integrationsarchitekturen und operative Resilienz.“

Eine der größten Veränderungen bestehe darin, dass die Cloud nicht mehr nur ein Infrastrukturthema sei, so Bellendir. „Sie ist inzwischen eng mit Unternehmensarchitektur, Business Transformation und Datenstrategien verknüpft.“

Auch Amit Basu, Vice President, CIO und CISO bei International Seaways, beobachtet zunehmende Komplexität. „Zwar gelten die Vorteile geringerer Investitionskosten und höherer Flexibilität in vielen Bereichen weiterhin, doch das Management der Cloud-Umgebung ist deutlich anspruchsvoller geworden.“, erklärt er.

Jason Johnson, CIO des Musikinstrumentenhändlers Sweetwater, beschreibt die aktuelle Situation als eine der komplexesten Phasen überhaupt für das Cloud-Management. Die Anbieter erweiterten ihre Portfolios kontinuierlich um neue Services, Produktvarianten und Optionen.

„Das schafft zwar zusätzliche Möglichkeiten, verursacht aber auch erheblichen Aufwand, um den Überblick zu behalten. Man braucht Fachkräfte, die nicht nur wissen, was verfügbar ist, sondern auch beurteilen können, welche Lösung für den jeweiligen Anwendungsfall die richtige ist“, meint der IT-Entscheider.

Viele Unternehmen würden inzwischen in eine zweite Phase ihrer Cloud-Reife eintreten, nachdem sie in der ersten Phase den Fokus auf Migration und Modernisierung gelegt hätten, erklärt Johnson. „Heute geht es stärker um Optimierung, Governance, KI-Unterstützung und nachhaltigen Betrieb. Dieser Wandel verändert die Diskussionen, die ich mit CIOs führe, grundlegend.“

Die wenigsten CIOs können es sich jedoch leisten, lange über ihre nächsten Schritte nachzudenken. Sie müssen den Herausforderungen zunehmend komplexer werdender Cloud-Strategien aktiv begegnen.

Wie KI die Cloud-Gleichung verändert

„Der Wunsch, KI möglichst schnell einzuführen, setzt IT-Verantwortliche erheblich unter Druck. Dabei spielt die Cloud eine zentrale Rolle“, führt Linthicum aus. „Die Aufsichtsräte treiben das Thema noch stärker voran als den Cloud-Boom vor 15 Jahren“, erklärt er. CIOs spüren diesen Druck und müssen so schnell wie möglich handeln, um zusätzliche Rechenkapazitäten für KI-Initiativen bereitzustellen – und das in einem ohnehin schon komplexen Umfeld.“

Gleichzeitig müssten CIOs das Problem der Datenkomplexität lösen, bevor KI-Systeme erfolgreich integriert werden können, betont der Cloud-Experte. „Derzeit drehen sich viele im Kreis und versuchen herauszufinden, welcher Ansatz dafür der Beste ist.“

Hyperscaler galten früher als der einfache Weg, so Linthicum, könnten aber drei- bis viermal so teuer werden. KI-Systeme kosten seiner Einschätzung nach etwa zehnmal so viel wie vergleichbare, traditionelle Anwendungen.

Basu von International Seaways erklärt, dass KI die Diskussion über die IT-Architektur grundlegend verändert habe. „Die Verfügbarkeit von GPUs, Vektordatenbanken, Inferenz mit geringer Latenz und groß angelegte Datenpipelines bringen Anforderungen mit sich, die sich nicht nahtlos in herkömmliche Cloud-Designmodelle einfügen“, merkt er an. Unternehmen verlagern Workloads nicht mehr einfach nur in die Cloud. Sie entwerfen Architekturen für völlig andere Rechen- und Datenanforderungen.“

Laut Zachary Lewis, CIO und CISO der University of Health Sciences and Pharmacy, verstärkten die Bedürfnisse interner Stakeholder diese Komplexität noch. „Geschäftsbereiche wünschen sich unterschiedliche KI-Fähigkeiten, Sicherheitsteams wollen Governance und eine gewisse Kontrolle über KI-Anwendungen, der Justiziar möchte wissen, welche Art von Daten in das KI-Modell eingespeist werden, und das Finanzteam erwartet Kostenvorhersehbarkeit. CIOs müssen all dies unter einen Hut bringen – und das erfolgreich versteht sich“, so Lewis.

Seit der Online-Händler für Musikinstrumente und professionelle Audiotechnik Sweetwater seine Cloud-Strategie um das Jahr 2016 formalisiert hat, versucht Johnson, Workloads dort zu platzieren, wo sie für externe und interne Kunden den größten Nutzen bringen.

„Alles mit Kundenkontakt muss so nah wie möglich am Endnutzer ablaufen“, erklärt er. Die gleiche Logik gilt auch für interne Workloads: Sie gehören in die Nähe derjenigen, die sie nutzen. KI wäre ohne die Cloud nicht möglich. Die für KI erforderliche Rechenkapazität war bereits vorhanden – die Cloud verfügte darüber und konnte sie bereitstellen. In vielerlei Hinsicht ist KI vielleicht das größte Geschenk der Cloud an die Branche. Beide haben sich gegenseitig ermöglicht“, fügt der Manager hinzu.

Cloud-Kostenmanagement wird immer komplexer

Johnsons größtes Problem ist die konsistente Steuerung der Kosten. „Früher war es relativ einfach: Rechenleistung, Speicher, Datenverkehr. Heute ist es ein Puzzle. Reservierte Instanzen, Sparpläne, Spot-Preise, Kosten pro Anfrage, Gebühren für Datenübertragungen zwischen Regionen – das summiert sich schnell. Und es ist wirklich schwer vorherzusagen, wie Ihre Rechnung aussehen wird, bis sie eintrifft.“

Deshalb sei FinOps inzwischen zu einer eigenen Disziplin geworden.

Auch Basu hält FinOps für unverzichtbar. „Kosten für KI-Inferenz, Datenübertragungen und wachsende Speichermengen können monatliche Kostenschwankungen verursachen, die selbst erfahrene Teams überraschen“, führt er aus. Kostenmanagement ist heute eine kontinuierliche operative Disziplin und nicht mehr nur eine gelegentliche Überprüfung.“

Auch die Gefahr des Vendor Lock-in beschäftigt Johnson ständig. „Je tiefer man die nativen Dienste eines Anbieters integriert, desto schwieriger wird ein Wechsel. Das ist nicht zwangsläufig schlecht, aber ein Kompromiss. Ich sehe das wie technische Schulden. Man gewinnt heute Geschwindigkeit und zahlt später Zinsen, wenn man die Richtung ändern möchte.“

Gleichzeitig erkennt Johnson an, dass Cloud-Anbieter Unternehmen sind, die auf Umsatz und Marge achten und regelmäßig die Regeln für Rabatte und Kostenmodelle ändern.

Finanzielle Effizienz entstehe nicht von selbst, betont er: „Das erfordert Teams, Prozesse und echte Investitionen in FinOps. Die Werkzeuge sind vorhanden. Die eigentliche Herausforderung besteht darin, sie richtig einzusetzen.“

In den meisten Unternehmen liege das Finanzwissen in der Buchhaltung und das technische Wissen in der IT, erklärt Johnson. Beide Gruppen beim Cloud-Kostenmanagement zusammenzubringen, sei eine vergleichsweise neue Herausforderung.

„Vor zehn Jahren war das Modell einfach: Man beantragte ein Investitionsbudget, die Buchhaltung genehmigte es, Hardware wurde bestellt und die IT installierte und optimierte alles. Fertig“, sagt Johnson. „Heute ist es eine tägliche Aufgabe. Neue Dienste werden aktiviert, Verträge ändern sich, Preisstrukturen werden angepasst. Die Finanzabteilung versteht die Geldströme, aber nicht die Technik. Die IT versteht die Technik, aber nicht die finanziellen Hebel.“

Jeder große Cloud-Anbieter verfügt über die entsprechenden Tools, erklärt Johnson. „AWS Cost Explorer, Azure Cost Management, die Abrechnungs-Dashboards von Google Cloud. Die Daten sind alle vorhanden. Doch viele Unternehmen nutzen diese Daten nicht. Dann kommt die Rechnung und alle sind überrascht. Die Werkzeuge haben die Entwicklung angekündigt. Man hat nur nicht hingehört.“

Datenregulierung bringt zusätzliche Herausforderungen

Die University of Health Sciences and Pharmacy hat Studierende aus der ganzen Welt. Laut Lewis ist Cloud-Management aufgrund der zunehmenden Datenschutz- und Regulierungsanforderungen weltweit deutlich schwieriger geworden.

„Wir müssen verstehen, in welcher Cloud-Region Metadaten gespeichert werden und wo sie dauerhaft liegen. Wenn diese Daten in ein intern trainiertes Modell einfließen, können wir garantieren, dass sie in der EU bleiben? Und wenn jemand die Löschung seiner Daten verlangt, können wir alle Speicherorte zuverlässig identifizieren?“

Basu ergänzt, dass Datensouveränität zu einer weiteren zentralen Architekturfrage geworden sei.

„Sie beeinflusst, wo Workloads ausgeführt werden dürfen, wie Daten zwischen Regionen bewegt werden und was mit bestimmten Datensätzen geschehen darf. Man kann nicht davon ausgehen, dass die Standardkonfiguration eines Hyperscalers automatisch alle regulatorischen Anforderungen erfüllt.“

Private Cloud, Public Cloud oder On-Premises?

KI hat eine Neubewertung der Platzierung von Workloads ausgelöst. Johnson glaubt jedoch, dass sich die Frage nach Private Cloud, Public Cloud oder On-Premises häufiger verändert, als viele denken.

„Ich denke, die meisten unserer Workloads befinden sich derzeit am richtigen Ort. Aber wir sind nur dorthin gelangt, weil wir bereit waren, Standardannahmen zu hinterfragen.“

Bei Sweetwater gebe es keine Regel, dass neue Workloads automatisch in die Cloud gehören. Ein Workload könne in der Cloud starten und später wieder ins eigene Rechenzentrum zurückkehren, wenn die Wirtschaftlichkeit dies erfordert.

„Die eigentliche Disziplin besteht darin, dies laufend zu überprüfen, Wendepunkte zu erkennen und die Größe der Umgebung kontinuierlich anzupassen. Das richtige Werkzeug zur richtigen Zeit – das ist das einzige Prinzip, das langfristig Bestand hat.“

Basu plant keinen Umstieg auf eine Private Cloud, da die Wirtschaftlichkeit und der betriebliche Aufwand dies für sein Unternehmen nicht rechtfertigen.

„Die richtige Frage lautet: Welches Modell für Datenresidenz, Latenz und Kontrolle ist für jeden Workload angemessen? Das ist eine Frage der Datenklassifizierung, nicht der Cloud-Bereitstellungsstrategie.“

Lewis, dessen Universität rund 95 Prozent ihrer Infrastruktur in der Cloud betreibt, sieht angesichts der Anforderungen von KI und moderner Hardware kaum praktikable Alternativen.

„Wenn man groß angelegte Data Lakes trainieren und fundierte Geschäftsentscheidungen mithilfe von maschinellem Lernen und der dahinterstehenden Intelligenz treffen möchte, ist es fast nicht mehr praktikabel, auf eigene Server zu setzen“, so Lewis.

CIOs müssten sich fragen, ob sie überhaupt über das notwendige Know-how verfügen, um eine solche Infrastruktur selbst zu betreiben. Letztlich müsse man das Beste aus den vorhandenen Möglichkeiten machen.

Fokus auf die Grundlagen

Unternehmen mögen vielleicht dem neuesten Trend hinterherjagen – derzeit ist das die agentische KI –, doch IT-Führungskräfte sollten sich auf ihre Infrastruktur, das Management und die Plattformplanung konzentrieren, betont Linthicum.

„Das ist vielleicht weniger spannend, aber wenn man KI im Unternehmen einsetzen will, muss man diese Probleme zuerst lösen.“

Johnson warnt, dass die Cloud eine Vielzahl architektonischer Muster ermöglicht – und diese Freiheit könne ohne Leitplanken zum Problem werden. „Erstellen Sie das Leitliniendokument, bevor Sie es brauchen – nicht erst, wenn bereits fünf Teams auf fünf verschiedene Arten vorgehen.“

IT-Verantwortliche sollten außerdem frühzeitig für ein sauberes Tagging und Transparenz bei den Kosten sorgen. Das müsse der erste Schritt sein und dürfe nicht erst als Aufräumprojekt betrachtet werden, warnt Johnson: „Wenn Sie Ihre Ausgaben nicht vom ersten Tag an klar nachvollziehen können, sind Sie bereits im Rückstand.“

Ein weiterer wichtiger Schritt sei der Aufbau eines Audit-Programms mit klaren Kontrollen darüber, wer Änderungen an Produktivsystemen vornehmen darf: „Die Auswirkungen einer fehlerhaften Änderung in der Cloud sind größer und treten schneller ein, als die meisten Menschen erwarten – bis sie es selbst erleben.“

Die Frage nach den Kompetenzen

Die Fähigkeiten, die für den Betrieb moderner Cloud-Umgebungen erforderlich sind, entwickeln sich laut Basu schneller weiter, als die meisten internen Teams realistischerweise mithalten können. Deshalb setzt International Seaways auf spezialisierte Managed Service Provider (MSPs), anstatt in jedem Bereich tiefgehendes internes Expertenwissen aufzubauen.

„Dadurch haben wir Zugang zu aktuellen Fähigkeiten, ohne Teams ständig umschulen oder neu aufbauen zu müssen, wenn sich die Technologie ändert. Die Entscheidungen, die uns 2020 geschützt haben, wurden Jahre zuvor getroffen – lange bevor jemand ihre Bedeutung erkannt hatte. Infrastrukturstrategie bedeutet immer, sich auf eine Zukunft vorzubereiten, die noch nicht vollständig sichtbar ist.“

Entscheidend sei, solche Entscheidungen bewusst und auf Basis klarer Überlegungen zu treffen, anstatt später unter Druck reagieren zu müssen.

Anpassungsfähige Organisationen aufbauen

Edge-Computing fügt laut Johnson eine weitere Ebene der Komplexität hinzu. Erfolgreich werden nicht diejenigen sein, die die perfekte Architektur finden. „Es sind diejenigen, die Organisationen aufbauen, die sich schnell anpassen können, wenn sich die richtige Antwort morgen ändert“, erklärt er.

Der eigentliche Wettbewerbsvorteil liege nicht in der gewählten Cloud-Plattform, sondern darin, wie schnell ein Team lernen und handeln kann, so Johnson.

Auf die Frage, wie sich Cloud-Umgebungen weniger kompliziert gestalten lassen, gaben die CIOs folgende Empfehlungen:

• Behandeln Sie Ihre Cloud-Architektur wie ein Produkt, nicht wie ein Projekt. Sie benötigt kontinuierliche Verantwortung und Weiterentwicklung, nicht nur eine einmalige Implementierung.
• Überprüfen Sie Ihre Entscheidungen regelmäßig. „Die richtige Entscheidung im ersten Jahr ist oft nicht mehr die richtige im dritten. Planen Sie feste Überprüfungspunkte ein“, erklärt Johnson.
• Ordnen Sie jeden Workload einer Kostenstelle zu. Basu hat dies umgesetzt; die IT überprüft kontinuierlich Auslastung und Größenanpassungen, anstatt auf periodische Audits zu warten.
• Die Datenklassifizierung bestimmt die regionale Platzierung. Bevor ein Workload in Produktion geht, sollten Rechts- und Compliance-Abteilungen von Anfang an eingebunden sein.
• Entwickeln Sie Cloud-fähige Lösungen. Das kann günstiger und risikoärmer sein als die unveränderte Migration stark angepasster Altsysteme.
• Konsolidierung ist eine strategische Entscheidung, kein Rückzug. Weniger Plattformen, die gut gesteuert werden, schneiden dauerhaft besser ab als eine zersplitterte Multi-Cloud-Landschaft.
• Unterschätzen Sie nicht die Governance-Lücke, die durch KI entsteht. Schaffen Sie jetzt eine KI-Governance-Struktur, bevor sich technische und organisatorische Schulden anhäufen.
• Cloud-Strategie ist keine reine IT-Architekturentscheidung. Die Pandemie habe gezeigt, dass sie vor allem eine Entscheidung zur Sicherung der Unternehmensresilienz sei. „Die Organisationen, die schwierige Entscheidungen vor einer Krise treffen, sind diejenigen, die unbeschadet daraus hervorgehen.“
• Verknüpfen Sie Cloud-Entscheidungen mit messbaren Geschäftsergebnissen. Bellendir von WHSmith berichtet, dass sein Unternehmen stark in Integrationsarchitekturen, Cybersicherheitskontrollen, Observability und Data Governance investiert, um hybride Umgebungen besser zu unterstützen.
• Legen Sie größeren Wert auf Cloud-Kostenkontrolle und operative Disziplin. Dadurch wird die Transparenz über die Cloud-Nutzung verbessert und sichergestellt, dass die Skalierung von KI-, Analyse- und Digitalisierungsinitiativen langfristig finanziell tragfähig bleibt.

Auch wenn niemand vorhersagen kann, ob Cloud-Umgebungen künftig weniger komplex werden, werden Unternehmen sie weiterhin nutzen.

„Die Cloud ist nicht mehr die Zukunft der IT – sie ist die Gegenwart. Die Diskussion hat sich von der Frage ‚Sollen wir das tun?‘ hin zu ‚Wie werden wir darin besser?‘ verschoben. Und genau damit verbringe ich heute den Großteil meiner Zeit“, konstatiert Johnson. (mb)

Dieser Artikel basiert auf einem Beitrag von CIO.com

---