Unternehmen hängen von hunderten oder tausenden direkten Lieferanten und weit mehr Unterlieferanten ab, erfahren aber von einer Insolvenz, einem Brand, einem Streik, einer Sanktion oder einem Vorwurf von Zwangsarbeit meist erst, wenn Teile ausbleiben. KI-Plattformen zur Risikoüberwachung lesen Nachrichten, Register und Schiffsdaten in vielen Sprachen, verknüpfen jedes Ereignis mit den betroffenen Lieferanten, Standorten und Teilen und geben einen priorisierten Alarm aus. Dieselbe Datenbasis stützt auch die gesetzlich vorgeschriebene Sorgfaltspflicht gegenüber Lieferanten (LkSG, CSDDD, EU-Zwangsarbeitsverordnung).
Problem & Nutzen
- Heute: Das Lieferantenrisiko wird jährlich per Fragebogen und Tabelle bewertet; das ERP kennt nur Stufe 1; Ereignisse erfahren Sie über Nachrichten, den Vertrieb oder den Lieferanten selbst. Die Sorgfaltspflichten (LkSG) verlangen eine dokumentierte jährliche Risikoanalyse sowie eine anlassbezogene Analyse, wenn substantiierte Kenntnis von Verstößen bei mittelbaren Zulieferern entsteht [1].
- KI-Nutzen: Ereigniserkennung aus „hunderten Sprachen“ und Millionen täglicher Signale, Entitätsauflösung (welcher Lieferant, welcher Standort), mehrstufige Abbildung, Risikobewertung und erzeugte Kurzberichte, die rohe Nachrichten in Handlung übersetzen. Anbieter nennen Zahlen wie 60 % schnellere Reaktion auf Störungen oder 95 % weniger manuelle Arbeit, doch diese sind vom Anbieter beauftragt (z. B. eine von Prewave beauftragte Forrester-TEI-Studie) – verstehen Sie sie als Behauptungen, die in einem Pilot zu prüfen sind [2].
- Abgrenzung: Die Prognose von Nachfrage/Preisen ist PRED-001/PRED-008; der Namensabgleich von Geschäftspartnern mit Sanktions-/PEP-Listen ist ANOM-016; Absprachen und Betrug bei öffentlichen Ausschreibungen sind ANOM-020; dieser Anwendungsfall ist die fortlaufende, ereignisgetriebene operative Risikosicht auf die Lieferbasis.
Varianten
- Überwachung der finanziellen Gesundheit: Zahlungsverhalten, Bonitätswerte, Insolvenzanträge, Warenkredit- Signale; Frühwarnung vor dem Ausfall eines Lieferanten.
- ESG- / Menschenrechts-Sorgfalt: LkSG, CSDDD, Prüfung auf Zwangsarbeit und Konfliktmineralien, Lieferantenratings (z. B. EcoVadis) und negative Medienberichte [3].
- Geo-/physische Risiken: Gefahren-, Wetter- und Hafenereignisse, abgebildet auf Lieferantenstandorte (Verweis auf PRED-017).
- Cyberrisiko bei Lieferanten: externe Bewertungen der Angriffsfläche von Lieferanten (Verweis auf SEC-016 für die Software-Lieferkette).
- Logistikstörungen: Ereignisse bei Spediteuren, Häfen und Relationen mit Auswirkung auf die Ankunftszeit (PRED-018).
- Öffentlicher Sektor: Vergabestellen, die Bieter und Lieferanten kritischer Infrastruktur überwachen.
- KMU als Lieferant: Beantwortung der Sorgfaltsfragebögen von Kunden mit LLM-Unterstützung.
- Privatnutzung: nicht anwendbar.
So funktioniert es
- ERP/Lieferantenstamm + Stücklistenzuordnung ──┐ Nachrichten, Register, Sanktionen, Ratings ├
- Einlesen & Übersetzen Logistik-/Gefahrenfeeds, Sensoren ────────────┘
- Entitätsauflösung (Lieferant ↔ Rechtseinheit ↔ Standort ↔ Teil)
- Ereignisextraktion & -klassifikation (LLM / Encoder-Klassifikator), Dublettenbereinigung zu Ereignissen
- Wissensgraph (mehrstufige Beziehungen) + Berechnung der Exposition (offene Bestellungen, Einzelquellen-Teile)
- Risikobewertung (tabellarisches ML + Regeln) und Anomalieerkennung auf Signalen (Zahlungsverzug, Liefer-Kennzahlen)
- Alarm-Vorsortierung: LLM-Kurzbericht, Konfidenz, empfohlene Maßnahmen
- menschliche Prüfung (Category Manager / Risikobeauftragter)
- Ticket, Gegenmaßnahme, dokumentierte Entscheidung
- Ereigniserkennung: Mehrsprachige LLMs und feingetunte Klassifikatoren markieren Ereignisse (Streik, Brand, Insolvenz, Sanktion, Arbeitsrechtsverstoß) und extrahieren Unternehmen und Ort.
- Entitätsauflösung ist der in der Praxis schwierigste Schritt; falsche Zuordnungen erzeugen Fehlalarme.
- Graph-Ebene: Beziehungen auf Stufe n aus Zolldaten, Anbieterdatensätzen oder Lieferantenauskünften; Graph-ML kann wahrscheinlich verborgene Abhängigkeiten ableiten.
- Mensch-in-der-Schleife (Human-in-the-Loop): Alarme sind beratend; Entscheidungen über Sperrung, Audits oder Kündigung eines Lieferanten bleiben bei Menschen, die Begründung wird dokumentiert.
Datenaufbereitung
Dieser Anwendungsfall steht und fällt mit den Lieferantenstammdaten. Benötigt werden Lieferanten, Teile und die Zuordnung von Stücklisten zu Lieferanten, Standorte und Orte, Umsatz und Lieferleistung aus dem ERP sowie externe Feeds (Nachrichten, Finanzratings, Insolvenzregister, Sanktionslisten, Logistikereignisse). In einem KMU liegen die Daten im ERP, in Einkaufstabellen, in Lieferantenfragebögen im E-Mail-Postfach und in Verträgen im DMS. Typische Lücken: doppelte Lieferanten mit unterschiedlicher Schreibweise, fehlende Steuernummern oder Adressen, keine Informationen zu Unterlieferanten, nicht mit Lieferanten verknüpfte Teile und Fragebögen, die als PDF zurückkommen.
Aufbereitungsschritte: Lieferantenstamm bereinigen, Dubletten entfernen und eindeutige Kennungen wie D-U-N-S oder USt-IdNr. ergänzen; ERP-Daten exportieren (PREP-005); Tabellen in saubere Datentabellen überführen (PREP-011); Fragebögen und Zertifikate per OCR digitalisieren (DOC-014); festlegen, wer die Lieferantendaten verantwortet (PREP-004); Lieferanten nach Kritikalität ordnen, damit die Überwachung mit den wichtigsten 50–200 beginnt. Werkzeuge: ERP-Export, OpenRefine oder SQL für den Abgleich, die Importfunktion einer Risikoplattform. Rechnen Sie mit 40–50 % des Aufwands für die Datenarbeit. Siehe GUIDE-003.
Umsetzungswege
Welcher Weg für wen
- KMU: Weg A, weil Dienste zur Risikoüberwachung mit Nachrichten-, Finanz- und Sanktionsfeeds ausgereift sind und die Lieferbasis klein genug für ein Standardprodukt ist.
- Großunternehmen: Weg B, weil das Lieferantenrisiko strategisch ist, eine Abbildung der Stufe n aus eigenen ERP-/Stücklistendaten braucht und zugekaufte Feeds mit eigener Bewertung und LLM-Vorsortierung kombiniert.
- Entwickler: Weg B, weil der Wert darin liegt, kommerzielle Datenfeeds per API mit ERP-Daten zu verbinden, statt Modelle zu hosten.
- Öffentlicher Sektor: Weg B in einer souveränen EU-Cloud, weil Vergabe- und Lieferketten-Sorgfaltsregeln nachvollziehbare, in der EU gehostete Verarbeitung verlangen.
Weg A — Kaufen (Standardsoftware) (empfohlen)
- Spezialisierte Plattformen: Prewave (Österreich/EU; mehrstufige Überwachung, Module für Zwangsarbeit/EUDR) [2], EcoVadis (Frankreich; Nachhaltigkeitsratings und Überwachung) [3], Resilinc, Interos, Everstream Analytics, Sphera (riskmethods, Deutschland), Dun & Bradstreet, Moody's, Risikoangebote von SAP Ariba / SAP Business Network, Risikomodule von Coupa. Prewave gibt an, im Gartner Magic Quadrant 2026 für Supplier Risk Management Solutions als Leader geführt zu werden (Aussage des Anbieters) [2].
- Prüfen: EU-Hosting, Datenabdeckung für Ihre Stufe n und Regionen, ERP-Konnektor, Prüfbarkeit für LkSG/CSDDD, Transparenz der Werte, Fehlalarmquote bei Ihren eigenen Lieferanten.
- Wählen Sie A, wenn: mehr als ca. 100 relevante Lieferanten, kein Data-Science-Team, Compliance-Pflicht.
Weg B — Auf Cloud-KI-Diensten aufbauen
- Lizenzierte Nachrichten-/Daten-APIs und offene Quellen (GDELT, OpenSanctions, nationale Insolvenzregister, Handelsregister/OpenCorporates) einlesen und dann eine API eines Spitzen- oder EU-Modells (Mistral, Claude, Gemini, GPT in EU-Regionen) für mehrsprachige Ereignisextraktion, Zusammenfassung und strukturierte Ausgabe nutzen.
- Mit n8n/Power Automate/Airflow orchestrieren, den Graphen in Neo4j/Azure Cosmos DB speichern, Alarme an Teams/Slack und Ticketsysteme senden. Geeignet für einen individuellen Monitor für die wichtigsten 50–500 Lieferanten in KMU/Mittelstand.
Weg C — Selbst betreiben (Open Source)
- Open-Weight-Mehrsprachen-LLMs (Qwen3, Mistral, Llama-Familien) über vLLM/Ollama für die Extraktion; Erkennung benannter Entitäten und Klassifikatoren der BERT-Klasse; Embeddings + Vektordatenbank für Dublettenprüfung; Neo4j oder Memgraph; Scraper (Scrapy, Playwright, Crawl4AI); Zero-Shot-Zeitreihen-Basislinien mit Chronos-2 (Apache-2.0) [4] für Liefer- und Zahlungssignale.
- Hardware: HW2 genügt für tausende Artikel pro Tag mit einem quantisierten Modell von ca. 30B; Datenlizenzen und die Rechtmäßigkeit des Crawlings (robots, Urheberrecht, TDM-Ausnahmen) sind die eigentlichen Einschränkungen, nicht die Rechenleistung.
Weg D — Eigenes Training
Lohnt sich für eine eigene Ereignistaxonomie, für Modelle zur Entitätsauflösung, die auf Ihrem Lieferantenstamm trainiert werden, oder für ein Modell zur Vorhersage von Lieferantenausfällen auf Basis Ihrer eigenen Liefer-, Qualitäts- und Zahlungshistorie (hunderte bis tausende markierte Lieferantenepisoden; Ausfälle sind selten, nutzen Sie daher halbüberwachte Verfahren und externe Finanzdaten).
Stand der Technik (2026)
- LLM-basierte Ereignisextraktion und Zusammenfassung haben Schlagwortalarme abgelöst; Plattformen führen viele Artikel zu einzelnen Ereignissen zusammen, um Alarmwarteschlangen zu vermeiden [2].
- Agentische Workflows: Agenten entwerfen die Ansprache von Lieferanten, fragen im ERP die Exposition ab, schlagen Alternativen vor und eröffnen Tickets (siehe AGENT-005). Plattformen bieten „KI-Konnektoren“, um Risikodaten in Agenten und ERP einzuspeisen [2].
- Mehrstufige Sichtbarkeit ohne Lieferantenbefragung über Datenpartner und Schlussfolgerung, doch die Abdeckung jenseits von Stufe 2 bleibt lückenhaft und teils geschätzt.
- Nachfrage durch Regulierung: Die CSDDD wurde durch Omnibus I geändert (Richtlinie (EU) 2026/470, in Kraft seit 18. März 2026): Der Anwendungsbereich wurde auf sehr große Unternehmen verengt (ab 5.000 Beschäftigten und 1,5 Mrd. EUR Umsatz), die Sorgfaltspflicht konzentriert sich auf Bereiche mit den wahrscheinlichsten und schwersten Auswirkungen, nationale Anwendung ab 2029 [5]. Das deutsche LkSG bleibt in Kraft; das BAFA hat die Prüfung von Berichten bis zum Änderungsgesetz ausgesetzt [6].
- Grenzen: Fehler bei der Entitätsauflösung, Sprach- und Regionenverzerrung in der Nachrichtenabdeckung, medial getriebene Fehlalarme (Gerüchte), verzögerte Daten zu privaten Unternehmen, undurchsichtige Anbieterwerte und von LLMs halluzinierte Zusammenfassungen. Unbekannte Unbekannte (keine Daten zu einem kleinen Unterlieferanten) lassen sich nicht überwachen.
Gemeinsame Bausteine & Kombinationen
- Gemeinsamer Stack: mehrsprachiges LLM + Web-Einlesen + Wissensgraph + Alarm-/Ticket-Workflow; ein HW2-GPU-Server und eine Graphdatenbank bedienen diesen und benachbarte Überwachungsfälle.
- ANOM-016 (Sanktionen/negative Medienberichte): teilt Entitätsauflösung und Namensabgleich; gemeinsam betreiben.
- ANOM-020, ANOM-021, ANOM-009: Signale zu Betrug bei Beschaffung, Zoll und Spesen speisen das Lieferantenrisiko.
- OPT-008 / OPT-005 / PRED-001: Expositionsdaten steuern Netzwerkdesign, Sicherheitsbestand und S&OP-Szenarien.
- PRED-008, PRED-017, PRED-018: Prognosen zu Rohstoffpreisen, Wetter/Gefahren und Ankunftszeiten als Risikoeingaben.
- DATA-012 und VIS-049: CSRD-Daten und die Prüfung der EUDR-Entwaldungsfreiheit verwenden Lieferantenstamm und Geodaten erneut. AGENT-005: Der Beschaffungsagent handelt auf Alarme.
Aufwand, Kosten & Kennzahlen
- Weg A: Wochen bis zur Einführung; Abonnementpreise, in der Regel nach Zahl der Lieferanten gestaffelt (Angebote nötig). Hauptaufwand ist die Bereinigung des Lieferantenstamms und der Stücklistenzuordnung.
- Weg B: 2–4 Monate für einen Monitor der wichtigsten Lieferanten; Kosten sind Datenlizenzen plus moderate LLM-Nutzung.
- Weg C: 3–6 Monate, plus laufende Pflege der Datenquellen.
- Kennzahlen: Zeit vom Ereignis bis zur Erkennung und bis zur Maßnahme; Anteil der als relevant beurteilten Alarme (Präzision); Anteil der abgedeckten Ausgaben/Teile einschließlich Stufe 2+; Zahl vermiedener Fehlbestände oder Kosten für Eilfracht; Vollständigkeit der Sorgfaltsdokumentation; Vorlaufzeit der Frühwarnung vor Lieferantenausfällen.
Menschen & Veränderung
Binden Sie die Geschäftsführung für Risikoappetit und Eskalationsregeln ein, Einkaufs- und Lieferkettenleitung als Prozessverantwortliche und die IT für ERP-Anbindungen. Die Datenverantwortlichen des Lieferantenstamms müssen der Bereinigung und den Regeln zur Verantwortung zustimmen. Beziehen Sie wichtige Lieferanten früh ein: Sagen Sie ihnen, welche öffentlichen Daten Sie überwachen und was Sie von Fragebögen erwarten, damit die Überwachung die Beziehung nicht beschädigt. Recht und Compliance decken Sanktionsprüfung und Sorgfaltspflichten in der Lieferkette ab.
Betriebsrat: normalerweise nein. Das System analysiert Lieferanten, nicht Beschäftigte, daher greift § 87 Abs. 1 Nr. 6 BetrVG nicht, es sei denn, das Verhalten von Einkäufern wird protokolliert und ausgewertet; der Betriebsrat sollte bei geänderten Arbeitsabläufen dennoch informiert werden (§ 90 Abs. 1 Nr. 3). Datenschutz: überwiegend Unternehmensdaten, aber Ansprechpersonen und Inhaber kleiner Lieferanten sind personenbezogene Daten. Beziehen Sie daher die/den Datenschutzbeauftragte(n) ein, prüfen Sie die Rechtsgrundlage und schließen Sie mit dem Feed-Anbieter einen AVV (Art. 28 DSGVO); eine Datenschutz-Folgenabschätzung (DSFA) ist selten nötig.
KI-Kompetenz: Schulen Sie Einkäufer darin, Alarme kritisch zu lesen, da nachrichtenbasierte Signale falsch, verspätet oder doppelt sein können (Art. 4 KI-Verordnung unterstützt das). Starten Sie mit einem Pilot an kritischen Einzelquellen-Teilen, mit wöchentlicher Prüfung der Alarme. Behalten Sie die Kontrolle beim Menschen: Die KI schlägt vor, die Einkäufer entscheiden über Wechsel oder Dual Sourcing. Leitfäden: GUIDE-009, GUIDE-010, GUIDE-008.
Risiken, Regulierung & Compliance
- KI-Verordnung (AI Act): in der Regel minimales Risiko (B2B-Risikoanalytik, keine Kategorie nach Anhang III). Wird heikel, wenn natürliche Personen (Einzelunternehmer, Einzelpersonen) bewertet werden oder Entscheidungen in Bereichen nach Anhang III gespeist werden; stufen Sie je Einsatz ein. KI-Kompetenz (Art. 4) gilt [7].
- DSGVO: Lieferantenkontakte, Einzelunternehmer, namentlich genannte Personen in negativen Medienberichten und Vorwürfen sind personenbezogene Daten; nötig sind eine Rechtsgrundlage (berechtigtes Interesse), Datenminimierung, Löschfristen und ein AVV mit Anbietern.
- Lieferkettengesetze: LkSG (jährliche und anlassbezogene Risikoanalyse, Dokumentation) [1][6]; CSDDD in geänderter Fassung [5]; EU-Zwangsarbeitsverordnung (EU) 2024/3015; EUDR; Branchenregeln (DORA für IKT-Drittparteienrisiken im Finanzsektor).
- Risiken: zu Unrecht auf Gerüchte gestützte Sperrung von Lieferanten (Verleumdung, kartellrechtliche/Boykott-Bedenken), übermäßiges Vertrauen in Anbieterwerte, Scraping und Urheberrecht an Nachrichteninhalten. Gegenmaßnahmen: menschliche Prüfung, Nachweislinks in jedem Alarm, Anhörungsrecht des Lieferanten, dokumentierte Schwellen, Prüfung der Quellenlizenzen.
Erste Schritte
- Bereinigen Sie den Lieferantenstamm und ordnen Sie kritische Teile/Stücklisten Lieferanten und Standorten zu; identifizieren Sie Einzelquellen-Teile.
- Definieren Sie Risikokategorien und eine nach Umsatz/Kritikalität gebildete Liste der wichtigsten 100–300 zu überwachenden Lieferanten.
- Führen Sie einen Pilot über 4–8 Wochen mit 2 Anbietern (Weg A) oder einem kleinen Prototyp aus n8n + LLM (Weg B) auf dieser Liste durch; messen Sie Präzision, Vorlaufzeit und Stufe-2-Abdeckung anhand bekannter früherer Vorfälle.
- Legen Sie den Prozess vom Alarm zur Maßnahme fest (Verantwortliche, SLA, Eskalation) sowie die für LkSG/CSDDD erforderliche Dokumentation.
- Ergänzen Sie die Berechnung der Exposition aus offenen Bestellungen und Beständen und binden Sie dann Ticketsystem und ERP an.
Quellen
- BAFA — Supply Chain Act: risk analysis — https://www.bafa.de/EN/Supply_Chain_Act/Risk_Analysis/risk_analysis_node.html
- Prewave — supplier risk monitoring platform (vendor claims) — https://www.prewave.com/
- EcoVadis — sustainability ratings and supply chain risk (vendor claims) — https://www.ecovadis.com/
- Amazon Chronos forecasting models (Chronos-2, Apache-2.0) — https://github.com/amazon-science/chronos-forecasting
- European Commission — Corporate sustainability due diligence (CSDDD, Omnibus I) — https://commission.europa.eu/business-economy-euro/doing-business-eu/sustainability-due-diligence-responsible-business/corporate-sustainability-due-diligence_en
- BAFA — Supply Chain Act reporting obligation — https://www.bafa.de/EN/Supply_Chain_Act/Reporting_Obligation/reporting_obligation_node.html
- Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj