LLM-gestützte Back-Office-Workflow-Automatisierung (n8n, Power Automate & Co.)

Klassische Workflow-Werkzeuge (iPaaS, RPA, BPM) automatisieren feste, regelbasierte Schritte, scheitern aber an unstrukturierten Eingaben: Freitext-E-Mails, uneinheitliche Dokumente, unklare Anfragen. LLM-Knoten in einer visuellen Workflow-Engine schließen diese Lücke: Das Modell liest, klassifiziert, extrahiert und formuliert, während die Engine Auslöser, Konnektoren, Wiederholungen, Berechtigungen und Protokollierung liefert. Typisches Ergebnis: Viele Routineaufgaben nach dem Muster „Jemand liest eine Nachricht und klickt in drei Systemen" laufen innerhalb weniger Wochen durchgängig automatisch.

Problem & Nutzen

• Heute: KMU und Fachabteilungen verbinden Systeme von Hand (Copy-and-paste zwischen Mail, Excel, ERP, CRM). Regelbasierte Automatisierungen gibt es, aber sie decken nur strukturierte, vorhersehbare Fälle ab; alles mit Freitext bleibt manuell.
• KI-Nutzen: LLM-Knoten übernehmen die „unscharfen" Schritte (Absichtserkennung, Feldextraktion, Zusammenfassungen, Antwortentwürfe, Routing-Entscheidungen), sodass dieselbe Engine nun auch die lange Reihe seltenerer Prozesse abdeckt. Mit Low-Code-Werkzeugen können Prozessverantwortliche, nicht nur Entwickler, Abläufe zusammenstellen.
• Evidenzlage: Fallstudien von Anbietern berichten von großen Zeitersparnissen, die Zahlen sind jedoch selbst berichtet und streuen stark; messen Sie vor der Festlegung Ihre eigene Ausgangslage. Anthropics technische Hinweise zu Agenten empfehlen, mit einfachen, deterministischen Workflows zu beginnen und Autonomie nur dort zu ergänzen, wo sie messbar hilft [5] -- das entspricht dem praktischen Idealbereich dieses Anwendungsfalls.

Varianten

• Deterministischer Workflow mit LLM-Schritten: fester Graph, das LLM klassifiziert/extrahiert/formuliert nur (am robustesten, empfohlene Standardvariante).
• Agenten-Knoten innerhalb eines Workflows: Ein Agenten-Knoten wählt innerhalb von Leitplanken zwischen Werkzeugen (Suche, CRM-Abfrage, Ticket anlegen).
• Ereignisgesteuerte Abteilungsautomatisierung: Finanzen (Rechnungseingang, AGENT-004/DOC-001), Personal (Onboarding, AGENT-009), IT (AGENT-016), Vertriebsinnendienst (AGENT-011).
• Öffentlicher Sektor: selbst betriebene Engine in einer Verwaltungs-Cloud, menschliche Freigabe für jede Entscheidung, die Bürgerinnen und Bürger betrifft (siehe AGENT-026).
• Privat/Power-User: selbst betriebenes n8n oder Automatisierungen im Stil von Home Assistant für die Haushaltsverwaltung (siehe AGENT-019).

So funktioniert es

1. trigger (mail / webhook / form / schedule / ERP event)
2. pre-processing (parse, OCR, strip PII, fetch context via connectors/RAG)
3. LLM step(s): classify
4. extract (JSON schema)
5. decide route
6. draft
7. validation (schema check, business rules, thresholds, allow-lists)
8. action via connector (create/update record, send mail, book, notify)
9. human approval gate on risky or low-confidence cases
10. logging (inputs, prompts, outputs, decision, user) + error queue & retry

• Engine: führt den Graphen aus und kümmert sich um Zugangsdaten, Wiederholungen, Ratenbegrenzungen, Warteschlangen und Versionierung.
• LLM-Knoten: wird mit strukturierter Ausgabe (JSON-Schema) aufgerufen, damit die nachfolgenden Knoten deterministisch bleiben. Kleine, günstige Modelle für Routing und Klassifikation, größere Modelle für Extraktion und Formulierung.
• Werkzeugnutzung / MCP: Moderne Engines können Workflows als Werkzeuge für Agenten bereitstellen und externe Werkzeuge über das Model Context Protocol aufrufen, sodass ein Agent geprüfte Workflows auslösen kann, statt frei zu handeln [6].
• Mensch-in-der-Schleife (Human-in-the-Loop): Freigabeschritte (Slack/Teams/Mail/Formular) vor nicht umkehrbaren Aktionen (Zahlungen, externe Mails an Kunden, Löschungen); Konfidenzschwellen leiten zweifelhafte Fälle in eine Prüfwarteschlange.

Datenaufbereitung

Workflow-Automatisierung berührt alles, was der Prozess berührt: Formulare und Mails als Auslöser, Stammdaten im ERP/CRM, Dokumente im DMS oder auf Dateiablagen und oft von Hand gepflegte Excel-Listen. Typische Lücken sind Prozesse, die nur als Gewohnheit existieren, uneinheitliche Schreibweisen in den Stammdaten, Excel-Dateien mit verbundenen Zellen und Freitextspalten, eingescannte Papierunterlagen, fehlender API-Zugang zu Altsystemen und gemeinsam genutzte Konten statt personalisierter Dienstkonten. Oft liegt die eigentliche Arbeit nicht im KI-Schritt, sondern darin, die Daten maschinenlesbar und erreichbar zu machen.

Konkrete Schritte: (1) den Prozess im Ist-Zustand mit 20-30 echten Beispielen einschließlich Ausnahmen dokumentieren; (2) die tatsächlichen Datenquellen finden, auch inoffizielle Excel-Dateien (PREP-003); (3) Daten per Export, API oder Konnektor aus ERP und SaaS holen (PREP-005); (4) Tabellenblätter in saubere Tabellen überführen (PREP-011); (5) das JSON-Schema festlegen, das der LLM-Schritt liefern muss, sowie Geschäftsregeln zur Validierung; (6) eigene Dienstkonten mit minimalen Rechten anlegen. Werkzeuge: n8n oder Power Automate, eine Datenbank oder Google-/Excel-Tabellen, bei Bedarf OCR, Paperless-ngx für Dokumente. Kleine Automatisierungen und Datenaufbereitung machen oft den größten Teil des Projekts aus; planen Sie dafür 40-60 % des Aufwands ein. Prüfen Sie die Bereitschaft mit GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• KMU: C. n8n (oder Ähnliches) läuft auf einem kleinen Server (HW2), hält die Daten im Haus, und eine Plattform bedient viele kleine Automatisierungen (Baukasten-Effekt); lizenzbasierte SaaS-Automatisierung wird bei steigender Zahl von Ausführungen teuer.
• Großunternehmen: B. Meist ist bereits eine etablierte Plattform (Power Automate, interne Integrationsschicht) im Einsatz; rufen Sie daraus verwaltete LLM-APIs auf und halten Sie die Steuerung zentral.
• Entwickler: C. Selbst betriebene Engines mit Open-Weight-Modellen geben volle Kontrolle über Versionen, Zugangsdaten und Protokolle.
• Öffentlicher Sektor: C. Selbst betriebene Engine in einer Verwaltungs- oder souveränen Cloud, mit menschlicher Freigabe für Entscheidungen, die Bürgerinnen und Bürger betreffen.

Weg A — Kaufen (Standardsoftware)

• Microsoft Power Automate + Copilot Studio (Agent-Flows, AI Builder, Computernutzung für UI-Schritte) für Microsoft-365-Umgebungen; prüfen Sie die EU Data Boundary des Mandanten und die Copilot-Datenschutzeinstellungen [2].
• n8n Cloud (n8n GmbH, Berlin -- EU-Anbieter, EU-gehostete Cloud verfügbar), Make (Celonis, Sitz in Prag -- EU), Zapier (USA), Workato, Tray.ai, UiPath und Automation Anywhere (RPA-Anbieter, die agentische Funktionen ergänzen), Camunda (Berlin -- EU, BPMN-Orchestrierung mit Unterstützung für KI-Agenten) [3], Activepieces (Open Core).
• Wählen Sie A, wenn: der Prozess überwiegend in SaaS-Werkzeugen mit fertigen Konnektoren stattfindet, keine strenge On-Premises- Vorgabe besteht und eine Person aus dem Fachbereich die Abläufe pflegt.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Nutzen Sie die Engine aus Weg A als Orchestrator und rufen Sie Modell-APIs mit Verarbeitung in der EU auf: Mistral (EU), Azure OpenAI in EU Data Zone/Regionen, Anthropic Claude und Google Gemini über Bedrock/Vertex-Regionen in der EU, von Aleph Alpha/IONOS/STACKIT gehostete Modelle (EU).
• Verwenden Sie strukturierte Ausgaben, einen Router für kleine Modelle, Prompt-Caching und Token-Budgets je Workflow.
• Ergänzen Sie Code-Knoten oder eigene Dienste für Logik, die nicht in einen visuellen Graphen gehört; halten Sie Prompts und Schemata in der Versionsverwaltung.
• Wählen Sie B, wenn: Sie eigene Logik, bessere Modellqualität oder Modell-Hosting ausschließlich in der EU brauchen, ohne selbst GPUs zu betreiben.

Weg C — Selbst betreiben (Open Source)

• Engines: n8n selbst betrieben (Fair-Code-Lizenz Sustainable Use License, keine OSI-Open-Source-Lizenz -- Bedingungen für Einbettung/Weiterverkauf prüfen) [1], Activepieces (MIT-Kern), Windmill, Apache Airflow/Kestra für datenzentrierte Abläufe, Temporal oder Camunda 8 für dauerhafte Orchestrierung; Agenten-Frameworks LangGraph, Pydantic AI, CrewAI, wenn Code bevorzugt wird.
• Modelle: Open-Weight-LLMs über vLLM oder Ollama -- z. B. Mistral Small/Medium-Klasse, Qwen3, Llama, gpt-oss, Gemma -- dazu Docling oder PaddleOCR für Dokumente; Schutzfilter (z. B. Llama Guard, Presidio für personenbezogene Daten).
• Hardware: HW2 (eine GPU mit 24-32 GB) betreibt ein quantisiertes Modell mit ca. 20-30 Mrd. Parametern für Klassifikation/Extraktion im Abteilungsvolumen; die Engine selbst braucht nur eine kleine VM mit PostgreSQL und einer Warteschlange.
• Betriebsaufwand: Patches, Verwaltung von Geheimnissen, Backups, Überwachung, Modell-Updates.

Weg D — Eigenes Training

Selten nötig. Ein kleines Klassifikations- oder Routing-Modell (BERT-Klasse oder LLM mit 3-8 Mrd. Parametern) nur dann feintunen, wenn das Volumen hoch ist und eine beschriftete Historie (Tausende korrekt zugeordneter Vorgänge) vorliegt; übliche Gründe sind Kosteneinsparung oder Antwortzeit.

Stand der Technik (2026)

• Konvergenz: Anbieter von Workflow-Engines, RPA und BPM liefern alle Agenten-Knoten, MCP-Client-/Server-Unterstützung und Bewertungsfunktionen; die Grenze zu AGENT-003 (Computernutzung) und AGENT-013 (Multi-Agenten) verschwimmt [2][3][6].
• Bewährte Muster: schemagebundene Ausgaben, Routing mit kleinen Modellen, deterministischer Graph mit eng begrenzten Agenten- Schritten, Retrieval für Kontext, idempotente Aktionen, Dead-Letter-Warteschlangen.
• Grenzen und Fehlerbilder: erfundene Felder, schleichende Abweichung nach Modell-Updates, Prompt Injection über eingehende Mails oder Dokumente (OWASP LLM01) [4], zu weit gefasste Zugangsdaten („Excessive Agency", OWASP LLM06) [4], nicht idempotente Wiederholungen, die Dubletten erzeugen, Kostenexplosionen durch Schleifen und „Schatten-Automatisierung", die Fachanwender ohne Prüfung bauen.
• Gegenmaßnahmen: Dienstkonten mit minimalen Rechten je Workflow, Positivlisten für Aktionen, jeden externen Text als nicht vertrauenswürdige Daten behandeln, Regressionstests bei jeder Prompt- oder Modelländerung, Ausgabenlimits und Beobachtbarkeit (siehe AGENT-025).

Gemeinsame Bausteine & Kombinationen

• Gleicher Stack (workflow-automation + llm-general + guardrails): AGENT-001 E-Mail-Triage, AGENT-004 Auftragserfassung, AGENT-009 Onboarding, AGENT-016 ITSM, AGENT-021 Datenmigration -- eine Engine und ein Modell-Gateway bedienen alle.
• Dokumenteneingang: DOC-001 Rechnungen, DOC-008 Klassifikation der Posteingänge liefern den Extraktionsschritt.
• Ausbaupfade: AGENT-003, wenn ein System keine API hat, AGENT-013, wenn mehrere spezialisierte Agenten zusammenarbeiten müssen, AGENT-025 für Steuerung und Überwachung der wachsenden Zahl von Workflows.
• Hardware: HW2-Server, gemeinsam genutzt mit anderen selbst betriebenen LLM-Anwendungsfällen.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen je Workflow; Lizenz pro Nutzer, Aufgabe oder Ausführung; LLM-Aufrufe werden oft zusätzlich abgerechnet.
• Weg B: 2-6 Wochen je Prozess einschließlich Tests; die API-Kosten je Durchlauf liegen meist bei Cent-Beträgen oder darunter und hängen vor allem von der Dokumentgröße ab.
• Weg C: 1-3 Monate für den Plattformaufbau, danach Tage je Workflow; GPU-Server plus Betriebsaufwand.
• Kennzahlen: Durchlaufquote ohne Eingriff, Ausnahmequote, Durchlaufzeit, Fehler-/Nacharbeitsquote, Kosten je Durchlauf, eingesparte Arbeitsminuten, Zahl der Vorfälle (falsche Aktionen), Bestehensquote der Regressionstests nach Modelländerungen.

Menschen & Veränderung

Beginnen Sie mit der Prozessverantwortlichen bzw. dem Prozessverantwortlichen (Abteilungsleitung) und den Beschäftigten, die die Arbeit heute erledigen: Sie kennen die Ausnahmen und müssen sich darauf verständigen, welche Schritte automatisiert werden dürfen. Die Geschäftsleitung legt Budget und freigegebene Werkzeuge fest (GUIDE-007). Die IT stellt Engine, Zugangsdaten und Überwachung bereit; die IT-Sicherheit prüft Konnektoren und Geheimnisse; Datenverantwortliche geben den Zugriff auf ERP und Dateiablagen frei. Die oder der Datenschutzbeauftragte ist einzubinden, sobald Workflows personenbezogene Daten berühren (Personal, Kunden), mit einem AVV für jeden Auftragsverarbeiter und einer DSFA-Prüfung, wenn Personen bewertet werden.

Betriebsrat: abhängig vom Einzelfall. Ein reiner Back-Office-Ablauf mit Lieferanten- oder Produktdaten überwacht in der Regel keine Beschäftigten, doch jede Engine, die protokolliert, wer was ausgelöst oder freigegeben hat, ist objektiv zur Leistungsüberwachung geeignet und löst damit die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG aus; § 90 Abs. 1 Nr. 3 verlangt die rechtzeitige Unterrichtung, wenn Arbeitsverfahren mit KI geplant werden. Informieren Sie den Betriebsrat früh und nutzen Sie GUIDE-004. Öffentlicher Dienst: Personalrat.

Wählen Sie einen schmerzhaften, risikoarmen Prozess als Pilot mit 2-3 Nutzern (GUIDE-009). Typische Bedenken: Kontrollverlust, „Wer haftet, wenn es einen Fehler macht" und Sorge um den Arbeitsplatz. Begegnen Sie ihnen mit Freigabeschritten für nicht umkehrbare Aktionen, einer für die Beschäftigten sichtbaren Fehlerwarteschlange und der klaren Aussage, dass die gewonnene Zeit für höherwertige Arbeit genutzt wird. Fördern Sie die KI-Kompetenz durch kurze praktische Schulungen für die Pilotgruppe (GUIDE-006, GUIDE-008).

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): in der Regel minimales Risiko (keine Anwendung nach Anhang III) mit der Pflicht zur KI-Kompetenz (Art. 4) für Beschäftigte, die Workflows bauen und nutzen [7]. Sie wird zum Hochrisiko-System, wenn ein Workflow Entscheidungen in Bereichen nach Anhang III unterstützt (Personalauswahl/Ranking von Lebensläufen, Kreditwürdigkeit, Anspruch auf Leistungen, Beurteilung von Beschäftigten) -- dann gelten Art. 9-15 und die Betreiberpflichten, und die menschliche Aufsicht muss tatsächlich wirken. Workflows, die mit Menschen sprechen (Chat, Sprache), brauchen Transparenz nach Art. 50. Verbote nach Art. 5 (z. B. Emotionserkennung am Arbeitsplatz, Social Scoring) dürfen nicht in „Analyse"-Schritte eingebaut werden.
• DSGVO: Workflows bewegen personenbezogene Daten zwischen Systemen -- führen Sie einen Eintrag im Verzeichnis von Verarbeitungstätigkeiten, einen AVV mit dem Engine- und den Modellanbietern, Hosting in der EU oder einen gültigen Übermittlungsmechanismus, Datenminimierung (vor dem LLM-Aufruf schwärzen) und Aufbewahrungsfristen für Ausführungsprotokolle (n8n und andere speichern Nutzdaten standardmäßig). Art. 22 begrenzt ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.
• Sicherheit: Prompt Injection, Wildwuchs bei Zugangsdaten, Lieferkettenrisiko durch Community-Knoten; setzen Sie Tresore für Geheimnisse, SSO, rollenbasierten Zugriff und Kontrollen des ausgehenden Netzwerkverkehrs ein.
• Branche/Sonstiges: NIS2 und DORA für Betreiber im Anwendungsbereich (Risiken durch IKT-Drittanbieter, Meldung von Vorfällen); GoBD für Workflows, die Buchungen erzeugen.

Erste Schritte

1. Wählen Sie einen Prozess mit hohem Volumen und geringem Risiko (z. B. Klassifikation und Weiterleitung eingehender Anfragen) und messen Sie die Ausgangslage.
2. Wählen Sie die Engine passend zu den vorhandenen Werkzeugen (Power Automate für Microsoft 365, n8n oder Make für gemischte SaaS-Umgebungen, Camunda für BPMN-Steuerung).
3. Bauen Sie den Workflow mit deterministischem Graphen, einem LLM-Schritt mit Ausgabe im JSON-Schema und einer menschlichen Freigabe.
4. Erstellen Sie 50-100 echte Testfälle, lassen Sie diese bei jeder Prompt- oder Modelländerung laufen und vergeben Sie Zugangsdaten mit minimalen Rechten.
5. Betreiben Sie den Workflow 2 Wochen im Schattenmodus, schalten Sie dann automatische Aktionen für Fälle mit hoher Konfidenz frei und prüfen Sie die Kennzahlen monatlich.

Quellen

1. n8n Docs -- Advanced AI / AI agents and Sustainable Use License -- https://docs.n8n.io/advanced-ai/
2. Microsoft Learn -- What's new in Copilot Studio (2026) -- https://learn.microsoft.com/en-us/microsoft-copilot-studio/whats-new
3. Camunda -- AI agents and agentic orchestration docs -- https://docs.camunda.io/
4. OWASP -- Top 10 for LLM Applications -- https://genai.owasp.org/llm-top-10/
5. Anthropic -- Building effective agents -- https://www.anthropic.com/engineering/building-effective-agents
6. Model Context Protocol specification -- https://modelcontextprotocol.io/specification
7. Regulation (EU) 2024/1689 (AI Act) -- https://eur-lex.europa.eu/eli/reg/2024/1689/oj
8. Microsoft Learn -- Overview of Power Automate 2026 release wave 1 -- https://learn.microsoft.com/en-us/power-platform/release-plan/2026wave1/power-automate/