Aufspüren von Excel-Schattensystemen & persönlichen Datenablagen

In den meisten mittelständischen Unternehmen liegt das eigentliche Prozesswissen außerhalb des ERP: eine Kalkulationsmappe für Preise, die eine Kollegin pflegt, eine Access-Datenbank für Service-Tickets, ein persönlicher OneDrive-Ordner, ein Postfachordner namens „Angebote 2019“. Bevor ein KI-Projekt diese Daten nutzen kann, muss jemand wissen, dass es sie gibt. Skripte, ein kleines lokales Sprachmodell und einige strukturierte Gespräche liefern in zwei bis vier Wochen ein gerangtes Inventar, mit einer Entscheidung je Datei: behalten, zusammenführen, migrieren oder stilllegen.

Problem & Nutzen

• Wer: jedes Unternehmen, das organisch gewachsen ist. Abteilungen bauen eigene Werkzeuge in Excel und Access, weil das Kernsystem zu starr ist. Das Ergebnis: auf dem Papier keine Verantwortlichen, kein Backup-Konzept, keine Zugriffskontrolle, oft personenbezogene Daten darin.
• Heute: Niemand hat eine Liste. Die IT sieht Dateiserver und Lizenzen, nicht welche von 40.000 Arbeitsmappen Angebote oder die Produktionsplanung antreiben. Entdeckt wird es, wenn die Autorin oder der Autor das Unternehmen verlässt oder die Datei kaputtgeht.
• Warum KI hilft: Die Suche findet Dateinamen; ein kleines Modell liest Blattnamen, Kopfzeilen und einige Beispielzeilen und beantwortet „Wofür ist diese Datei, und ist sie kritisch?“. Es markiert personenbezogene Daten und gruppiert nahezu doppelte Versionen. Die Entscheidungen treffen Menschen.
• Nutzen: Sie vermeiden, einen Assistenten auf der falschen Kopie einer Preisliste aufzubauen, Sie finden sensible Daten, bevor Microsoft 365 Copilot sie zutage fördern kann (PREP-023), und Sie erhalten eine Migrationsliste. EuSpRIG dokumentiert, dass Fehler in geschäftskritischen Tabellen häufig sind; wir nennen keinen Prozentsatz.

Varianten

• Reine Tabellen-Suche (.xlsx, .xlsm, .csv): schnellster Einstieg.
• Breitere Suche: Access-Dateien, persönliche OneDrive-/Google-Drive-Ordner, gemeinsam genutzte Postfachordner, Dateireiter in Teams.
• Interviewgeführt: Bei unter etwa 30 Mitarbeitenden findet ein halbtägiger Workshop je Abteilung das meiste Wesentliche; Skripte bestätigen es nur.

So funktioniert es

1. file listing
2. profile (sheets, headers, formulas, macros, editors)
3. local small LLM labels purpose and data types
4. score
5. owner interviews
6. decision list

1. Durchsuchen (Crawl): PowerShell, Python (openpyxl, pandas) oder Microsoft Graph listet Pfad, Größe, Daten, letzten Bearbeiter und Freigabestatus auf. Die Inhalte bleiben in Ihrer Umgebung.
2. Profilieren: Blattnamen, Kopfzeilen, Anzahl der Formeln, externe Verknüpfungen, Makros, die ersten 5-10 Zeilen.
3. Klassifizieren: Ein lokales Modell mit 7-8B beantwortet eine feste Fragenliste als JSON: Zweck, Abteilung, Datenarten, Stammliste oder Kopie, personenbezogene Daten ja/nein.
4. Bewerten: Regeln addieren Nutzung (in den letzten 12 Monaten bearbeitet, Anzahl der Bearbeitenden), Einzigartigkeit (kein ERP-/CRM-Äquivalent), Risiko (personenbezogene Daten, Makros, einzelne Verantwortliche) und KI-Nutzen (einheitliche Kopfzeilen).
5. Verifizieren: Verantwortliche bestätigen oder korrigieren die wichtigsten 50-100 Dateien in 20-minütigen Gesprächen. Mensch-in-der-Schleife (Human-in-the-Loop): Nichts wird allein auf Zuruf des Modells verschoben oder gelöscht.
6. Entscheiden: behalten, zusammenführen, in ein System migrieren, stilllegen.

Datenaufbereitung

• Wo: Dateiserver, SharePoint/OneDrive, Google Drive, Nextcloud, Laptops, USB-Laufwerke, E-Mail-Anhänge, Access-Dateien.
• Lücken: Versionen („final_v3_neu.xlsx“), passwortgeschützte Dateien, verbundene Zellen, Dateien ausgeschiedener Mitarbeitender.
• Aufwand: Ausschlüsse 0,5 Tage; Crawler 0,5-1 Tag mit vorhandenem Skript, 2-3 Tage von Grund auf; die Modell-Profilierung von 5.000-20.000 Dateien läuft über Nacht auf einem CPU-Server; Interviews 2-4 Stunden je Abteilung.
• Speist: PREP-001, PREP-002, PREP-011, PREP-009. Nicht Gegenstand: ROT-Bereinigung (KNOW-025) und die Analyse von Tabelleninhalten (DATA-006).

Umsetzungswege

Welcher Weg für wen

• smb: C. Die Dateien sind oft vertraulich (Preise, Gehälter, Kundenlisten), die Aufgabe ist einfach, und ein lokales Modell läuft auf einem normalen PC oder kleinen Server. Derselbe Ollama- und n8n-Aufbau bedient später andere alltägliche Automatisierungen (Baukasten-Effekt).
• enterprise: A. Standardfunktion; Posture- und Katalogprodukte binden sich an Zugriffsrechte an.
• developer: C. Volle Kontrolle, leicht erweiterbar.

Weg A — Kaufen (Standardsoftware)

• Microsoft Purview Data Security Posture Management und Vertraulichkeitsbezeichnungen für Microsoft 365; die EU Data Boundary deckt die meisten Dienste ab; Lizenzen variieren, klären Sie das mit Ihrem Reseller.
• Google Workspace: Drive-Labels und Security-Investigation-Tool in höheren Editionen.
• Kataloge: Collibra, Atlan; OpenMetadata ist quelloffen und selbst betreibbar (in der EU hostbar). Posture-Werkzeuge finden sensible Inhalte, sind aber schwach beim geschäftlichen Zweck.

Weg B — Auf Cloud-KI-Diensten aufbauen

Für Dateiinhalte nicht empfohlen. Möglich, wenn Sie nur Blattnamen und Kopfzeilen an einen Endpunkt in einer EU-Region senden (Azure OpenAI EU-Region, Mistral aus Frankreich, beides in der EU gehostete Optionen), unter einem AVV, orchestriert mit Power Automate oder n8n.

Weg C — Selbst betreiben (Open Source)

• Durchsuchen: Python, PowerShell, rmlint für Duplikate, Microsoft Graph für SharePoint.
• Modell: Ollama mit einem 7-8B-Instruktionsmodell und strukturierter JSON-Ausgabe. HW1 genügt; Sekunden je Datei auf der CPU, daher dauern 10.000 Dateien von über Nacht bis zu ein paar Tagen.
• Orchestrierung: selbst betriebenes n8n; Ergebnisse in Excel, Nextcloud-Tabellen oder PostgreSQL.
• Aufwand: 3-5 Tage Einrichtung; vierteljährlicher Neulauf zu nahezu null Kosten.

Weg D — Eigenes Training

Nicht nötig. Ein feingetunter Klassifikator lohnt sich nur in sehr großen Beständen mit Tausenden verifizierten Labels.

Stand der Technik (2026)

• Kleine lokale Modelle fassen den Zweck eines Tabellenblatts aus Kopfzeilen und Beispielen zusammen und liefern zuverlässiges JSON.
• Herstellerwerkzeuge konzentrieren sich auf sensible Inhalte und Überfreigabe; „Was tut diese Datei?“ beantworten am besten weiterhin Menschen.
• Grenzen: Das Modell sieht eine Stichprobe, daher brauchen versteckte Blätter, Formeln und Makros regelbasierte Prüfungen; kryptische Kopfzeilen werden falsch zugeordnet; passwortgeschützte Dateien werden übersprungen. „Keine personenbezogenen Daten gefunden“ ist nie ein Beweis.

Gemeinsame Bausteine & Kombinationen

• Gleicher Aufbau (llm-small + workflow-automation): Ollama und n8n bedienen auch E-Mail-Triage und Dokumentenablage.
• Nachbarn: PREP-004 weist Verantwortliche zu, PREP-005 extrahiert Daten aus Ersatzsystemen, PREP-023 bereinigt Berechtigungen, PREP-006 digitalisiert Papier.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen der Konfiguration; Lizenzen, die Sie möglicherweise bereits besitzen.
• Weg C: 3-5 Tage Einrichtung, 1-2 Wochen inklusive Interviews bei 20-100 Mitarbeitenden, vorhandene Hardware. Die Hauptkosten sind die Interviewzeit, nicht die Rechenleistung.
• Kennzahlen: Anteil der profilierten Dateien, kritische Schattensysteme mit benanntem Verantwortlichen, gefundene Dateien mit personenbezogenen Daten, entschiedene Migrationen, Zeit bis zur Antwort auf „Wo liegen die Daten X?“.

Menschen & Veränderung

Früh einbinden: die Geschäftsleitung (Mandat), die Abteilungsleitungen (sie wissen, was zählt), IT und IT-Sicherheit (Zugriff, Hosting), Datenverantwortliche und die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten, bevor Dateien mit personenbezogenen Daten gescannt werden. Sagen Sie den Mitarbeitenden, was gescannt wird und warum (GUIDE-008).

Betriebsrat: hängt vom Einzelfall ab. Der Scan liest Dateien, kein Verhalten, doch Listen mit „zuletzt geändert von“ können offenlegen, wer wann arbeitet; die objektive Eignung zur Überwachung genügt für § 87 Abs. 1 Nr. 6 BetrVG (BAG). Lassen Sie Aktivitäten auf Nutzerebene aus dem Bericht heraus oder regeln Sie sie in einer Betriebsvereinbarung. § 90 Abs. 1 Nr. 3 verlangt die rechtzeitige Unterrichtung über KI-gestützte Arbeitsabläufe; nach § 80 Abs. 3 kann der Betriebsrat einen KI-Sachverständigen hinzuziehen. Öffentliche Stellen beteiligen den Personalrat (GUIDE-004).

Datenschutz: Die Dateien enthalten Beschäftigten- und Kundendaten; prüfen Sie die Rechtsgrundlage und eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO), wenn Dateien von Beschäftigten systematisch ausgewertet werden; lokale Verarbeitung entschärft die AVV-Frage (GUIDE-005). KI-Kompetenz: Art. 4 KI-Verordnung (AI Act) verlangt Maßnahmen zur Förderung der KI-Kompetenz des Personals; eine kurze Einweisung des Projektteams genügt (GUIDE-006).

Pilot und Tonfall: Beginnen Sie mit einer Abteilung, stellen Sie es als „Wir retten Ihre Werkzeuge“ dar, nicht als Prüfung, und benennen Sie eine Fürsprecherin bzw. einen Fürsprecher. Bedenken: „Sie nehmen mir mein Excel weg“ (nichts wird ohne Einvernehmen entfernt); Angst vor Bloßstellung bei informellen Praktiken (bieten Sie für den ersten Lauf Straffreiheit an).

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): minimales Risiko; interne Klassifikationshilfe.
• DSGVO: Scannen Sie wo möglich Metadaten, kopieren Sie keine Inhalte an andere Orte, erfassen Sie es im Verarbeitungsverzeichnis und schützen Sie das Inventar selbst, weil es zeigt, wo sensible Daten liegen.
• Risiken: falsche Sicherheit, versehentlich verschobene Dateien, verlorenes Vertrauen der Verantwortlichen, beim Scan offengelegte Gehalts- oder Gesundheitsdateien. Gegenmaßnahmen: nur Lesezugriff, menschliche Bestätigung, eingeschränkter Bericht, Löschen erst nach Backup und Freigabe.

Erste Schritte

1. Legen Sie den Umfang fest und senden Sie eine einseitige Mitteilung an die Mitarbeitenden und den Betriebsrat.
2. Führen Sie einen Crawl nur über Metadaten durch; sehen Sie sich die 100 wichtigsten Dateien nach Bearbeitenden und jüngsten Änderungen an.
3. Interviewen Sie die Abteilungsleitungen mit zehn Fragen (auf welche Dateien verlassen Sie sich, wer pflegt sie, was passiert, wenn sie ausfallen).
4. Profilieren Sie die wichtigsten Dateien mit einem lokalen Modell und vergleichen Sie mit den Interviews.
5. Entscheiden Sie je Datei, geben Sie die Liste an PREP-001/PREP-004 weiter und wiederholen Sie alle sechs Monate.

Quellen

1. Microsoft — Microsoft Purview Data Security Posture Management — https://learn.microsoft.com/purview/data-security-posture-management-learn-about
2. Microsoft — EU Data Boundary for the Microsoft Cloud — https://learn.microsoft.com/privacy/eudb/eu-data-boundary-learn
3. Microsoft — Microsoft Graph overview (files in SharePoint and OneDrive) — https://learn.microsoft.com/graph/overview
4. n8n — Documentation (self-hosting) — https://docs.n8n.io/hosting/
5. Ollama — Structured outputs — https://docs.ollama.com/capabilities/structured-outputs
6. OpenMetadata — project documentation — https://docs.open-metadata.org/
7. European Spreadsheet Risks Interest Group (EuSpRIG) — https://eusprig.org/
8. Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj
9. Regulation (EU) 2016/679 (GDPR) — https://eur-lex.europa.eu/eli/reg/2016/679/oj