Software-Auswahl: Warum die Geschäftsleitung das Risiko trägt

Projekte wie ein neues ERP-Modul oder eine HR-Software aus der Cloud starten in aller Regel als IT-Vorhaben. Die IT vergleicht Angebote und prüft die Technik, während der Einkauf den Preis verhandelt. Der Blick allein auf Technik und Preis greift jedoch zu kurz. Denn mit der Unterschrift legt das Unternehmen fest, wo sensible Daten liegen, wer auf sie zugreifen kann und wie teuer ein späterer Ausstieg ausfällt. Dabei handelt es sich um strategische Fragen, bei denen auch die Unternehmensführung gefragt ist.

Eine Studie zu Cloud-Governance und Datenhoheit im deutschen Mittelstand der otris software AG zeigt: Cloud- und SaaS-Lösungen gehören in mittelständischen Unternehmen zum Alltag. Die Mehrheit der 518 im April 2026 befragten IT- und Rechtsverantwortlichen rechnet mit einem weiter wachsenden Anteil.

Die Diskussion dreht sich damit weniger um das Ob als vielmehr um die Bedingungen, unter denen geschäftskritische Anwendungen und Daten zu einem externen Anbieter wandern. Welchen Stellenwert Governance dabei einnimmt, ordnet die Studie so ein:

• 65 Prozent der befragten IT- und Rechtsverantwortlichen zufolge orientieren sich Cloud-Entscheidungen in ihrem Unternehmen stärker an Governance-Anforderungen als an Kostenaspekten.
• Ebenfalls 65 Prozent räumen im Konfliktfall Souveränität und Compliance den Vorrang vor Innovationsgeschwindigkeit ein.

Die Zahlen geben die Selbsteinschätzung einer Berufsgruppe wieder, die Governance naturgemäß hoch gewichtet. Als Stimmungsbild taugen sie trotzdem: Nachweisbarkeit und Datenhoheit rangieren im Entscheidungsprozess inzwischen vor dem Angebotspreis.

Souveränität und Compliance haben im deutschen Mittelstand Vorrang vor Kosten und Innovationstempo. (Bild: © otris software AG)

Dass die Governance bei Cloud-Entscheidungen oft vor dem Preis und dem Innovationstempo steht, hängt eng mit dem Anbieterrisiko zusammen. Ein SaaS-Anbieter bündelt Daten und Prozesse außerhalb des eigenen Hauses. Fällt er aus oder gelangen Angreifer in seine Systeme, trifft das den eigenen Betrieb unmittelbar.

Die rechtliche Verantwortung wandert dabei nicht mit: Für personenbezogene Daten bleibt das Unternehmen laut DSGVO verantwortlich, auch wenn ein Dienstleister sie in seinem Auftrag verarbeitet. Den Nachweis einer sorgfältigen Anbieterauswahl schuldet es selbst.

Laut dem NIS-2-Umsetzungsgesetz ist bei „wichtigen“ und „besonders wichtigen“ Einrichtungen, die in dessen Anwendungsbereich fallen, die Geschäftsleitung selbst in der Pflicht. Sie muss Maßnahmen zum Risikomanagement umsetzen und überwachen. Dazu zählt ausdrücklich die Sicherheit der Lieferkette, also auch die der Software- und Cloud-Anbieter.

Hinzu kommt nach NIS 2 die regelmäßige Teilnahme an Geschäftsleitungsschulungen zur Cybersicherheit, für die das BSI ein eigenes Infopaket bereithält. Delegieren lässt sich zwar die Umsetzung, nicht aber die Verantwortung. Wer als Zulieferer eines regulierten Kunden arbeitet, bekommt dessen Anforderungen ohnehin über den Vertrag auf den Tisch.

Bei der Investitionsentscheidung liegt Datenschutz mit 40 Prozent vorn, gefolgt von Informationssicherheit mit 36 Prozent sowie KI- und Analysefunktionen mit 32 Prozent. Kosten und Skalierbarkeit rangieren laut der otris-Studie dahinter. Kaufmännisch ergibt diese Reihenfolge Sinn.

Hinter den priorisierten Kriterien stehen Risiken, die mitunter teurer ausfallen als Einführung und Betrieb zusammen. Vier Punkte entscheiden in der Praxis darüber, ob ein Angebot in die engere Auswahl kommt.

Nach einem Angriff auf einen Serviceanbieter bleibt das eigene Unternehmen als datenschutzrechtlich Verantwortlicher in der Pflicht. Meldepflichten und Bußgeldrisiken reicht niemand an den Dienstleister weiter. Verlorenes Kundenvertrauen ohnehin nicht.

Entscheidend ist deshalb, was ein Anbieter nachweisen kann. Zertifikate, dokumentierte Sicherheitsmaßnahmen und eine offene Liste der Unterauftragnehmer wiegen schwerer als Werbeversprechen. Fehlen diese Nachweise, fehlt der Überblick über die eigene Lieferkette.

Lösungen ohne Compliance- und Audit-Funktionen fallen bei vielen Firmen früh aus der Auswahl. Ob Wirtschaftsprüfer, Datenschutzbehörde oder Großkunde im Lieferantenaudit: Im Prüfungsfall zählt, wer wann was freigegeben hat.

Protokolle, Rollenkonzepte und Löschfristen erleichtern die Nachweisführung – vorausgesetzt, die Software unterstützt sie und jemand richtet sie sauber ein. Fehlen diese Funktionen, sucht die Fachabteilung Belege mühsam aus E-Mails und Tabellen zusammen. Für die Verarbeitung personenbezogener Daten im Auftrag verlangt Artikel 28 DSGVO außerdem einen Vertrag, der Weisungen und Kontrollrechte regelt.

Ohne Ausstiegsoption verhandelt ein Unternehmen Preiserhöhungen und Vertragsverlängerungen aus einer schwachen Position. Der EU Data Act erleichtert den Anbieterwechsel seit dem 12. September 2025 und deckelt die Wechselentgelte, die ab Januar 2027 ganz entfallen. Technische Abhängigkeiten räumt er jedoch nicht aus. Das betrifft vor allem proprietäre Schnittstellen und schwer übertragbare Datenformate.

Ein Tipp aus der Praxis: Testen Sie den Datenexport während der Laufzeit, nicht erst nach der Kündigung. Der Probelauf zeigt, welche Formate der Anbieter liefert und welche Felder dabei verloren gehen. Löschnachweise für die Altbestände gehören gleich mit in den Vertrag.

Fachabteilungen führen KI-Werkzeuge oft schneller ein, als zentrale Stellen davon erfahren – Stichwort Shadow AI. Welche Daten das Sprachmodell sieht, wo es rechnet und ob Eingaben ins Training fließen, hängt vom Dienst, den Vertragsbedingungen und den gewählten Einstellungen ab. Pauschale Verbote lösen das nicht, sie verlagern die Nutzung nur ins Private. Verbindliche Beschaffungsregeln wirken besser.

Ein zweiter Einführungsweg ist besonders tückisch: Die KI kommt mit dem nächsten Update der bestehenden Software ins Haus. Auch hier bleibt die Datenverarbeitung oft unklar. Prüfen Sie deshalb Updates ebenso wie Neubeschaffungen.

Nicht jede Lizenz benötigt ein Gremium, für geschäftskritische Systeme lohnt sich aber ein fester Freigabeweg. Als Schwelle eignet sich eine einfache Regel: Sobald eine Anwendung personenbezogene Daten verarbeitet oder einen Kernprozess trägt, durchläuft sie den vollen Weg. Vier Perspektiven gehören dann in jede Entscheidung:

• IT und Informationssicherheit: prüfen Integration, Berechtigungen, Verfügbarkeit, Sicherheitsnachweise und den technischen Ausstiegsweg.
• Recht und Datenschutz: bewerten Auftragsverarbeitung, Unterauftragnehmer, Audit-Rechte und Kündigungsfristen. Ihr Urteil entscheidet über die Vertragsfähigkeit eines Angebots.
• Einkauf und Finanzen: rechnen Lizenzmodell und Preisanpassungen über die Laufzeit durch. So zeigt sich, ob ein günstiger Einstieg beim späteren Wechsel teuer ausfällt.
• Geschäftsführung: wägt den Nutzen gegen Abhängigkeiten ab und akzeptiert Restrisiken bewusst. Erst ihre Freigabe macht die Beschaffung verbindlich.

Dokumentiert das Unternehmen diesen Weg, erfüllt es nebenbei einen Teil seiner Nachweispflichten. Die Protokolle der Auswahlentscheidung belegen im Prüfungsfall die sorgfältige Anbieterauswahl.

Mit geschäftskritischer Software legt ein Unternehmen für Jahre fest, wie es mit Daten und KI umgeht. Die IT prüft weiterhin die technische Seite, trifft die Entscheidung aber nicht mehr allein. Drei Fragen klärt die Geschäftsleitung gemeinsam mit Recht und Datenschutz, bevor der Vertrag zustande kommt: Wer greift auf die Daten zu? Welche Nachweise liefert das System im Prüfungsfall? Und wie verlässt das Unternehmen das Ökosystem wieder?