Katalog / Aufbereitung von Daten und Wissen / PREP-005

Daten aus ERP-, SaaS- und Altsystemen herausholen (Exporte, APIs, Konnektoren)

Den technischen und vertraglichen Zugriff auf die in Herstellersystemen (ERP, DATEV, CRM, SaaS, Altdatenbanken) eingeschlossenen Daten über Exporte, APIs und zeitgesteuerte Konnektoren sichern, damit KI-Projekte etwas haben, womit sie arbeiten können.

Schneller Erfolg: bewährt, überschaubarer Aufwand, erste Ergebnisse nach Wochen, geringes regulatorisches Risiko.

Bausteine für den EigenbetriebAgenten & AutomatisierungSprachmodell

Die meisten KI-Projekte in kleinen und mittleren Unternehmen scheitern nicht am Modell, sondern an einer einfacheren Frage: Wie bekommen wir die Daten aus dem ERP, dem Buchhaltungspaket oder der Branchensoftware heraus? Dieser Anwendungsfall ist der unspektakuläre erste Schritt. Klären Sie, was das jeweilige Herstellersystem erlaubt (Export, API, Datenbank-Lesezugriff), richten Sie sichere, zeitgesteuerte Extraktionen mit Werkzeugen ein, die das Unternehmen bereits hat oder selbst betreiben kann (Excel/Power Query, Power Automate, n8n), und dokumentieren Sie Owner und Aktualisierungsintervalle. Typischer Nutzen: KI-Piloten starten mit echten, aktuellen Daten statt mit veralteten manuellen Kopien.

Problem & Nutzen

  • Heute: Die Daten liegen in ERP, DATEV, CRM, Ticketsystem, E-Commerce und einer 15 Jahre alten Branchenanwendung. Der Zugriff heißt „beim Hersteller nachfragen“, ein monatliches CSV, das jemand von Hand exportiert, oder ein Screenshot. Niemand weiß, welche Felder sich extrahieren lassen, ob die Lizenz API-Nutzung erlaubt oder was der Hersteller dafür verlangt.
  • Warum es für KI wichtig ist: Assistenten, RAG und Prognosen sind nur so gut wie die Datenzufuhr. Manuelle Exporte veralten, verlieren ihre Definitionen und erzeugen Schattenkopien auf persönlichen Laufwerken (siehe PREP-003).
  • Wo KI (ein wenig) hilft: Kleine LLMs können Feldzuordnungen entwerfen, kryptische Spaltennamen erklären und Transformationsschnipsel schreiben; der Hauptnutzen liegt in organisatorischer und technischer Vorarbeit, nicht im Modell. Eine verlässliche unternehmensübergreifende Einsparzahl gibt es nicht; messen Sie als Ausgangslage Ihre eigenen Stunden für manuelle Exporte.

Varianten

  • SaaS-lastiges KMU (M365, HubSpot, Shopify): dokumentierte REST-APIs. Alt-/Branchensoftware: schreibgeschützte ODBC-Replik oder zeitgesteuerte Dateiablage. Öffentliche Verwaltung: Fachverfahren mit restriktiven Herstellerverträgen.

So funktioniert es

  1. Systeminventar
  2. Schnittstellenprüfung je System
  3. Zugriffs- und Vertragsklärung
  4. zeitgesteuerte Extraktion (Export / API / ODBC)
  5. Zwischenspeicher
  6. Qualitätsprüfung
  7. Übergabe an den KI-Anwendungsfall
  1. Inventarisieren Sie die Systeme und benennen Sie je System einen Data Owner (PREP-001, PREP-004).
  2. Schnittstellenprüfung: Was bietet der Hersteller, in welcher Edition, zu welchem Preis? Bewerten Sie: manueller Export, zeitgesteuerter Export, REST-API, direkter schreibgeschützter Datenbankzugriff.
  3. Klärung: Erlaubnis des Herstellers, Lizenzbedingungen, Servicekonto mit minimalen Rechten, AVV, wo personenbezogene Daten bewegt werden.
  4. Extraktion: Ein Workflow-Werkzeug ruft die API auf oder holt den Export nach Zeitplan ab und schreibt in einen Zwischenspeicher (Dateiablage, Nextcloud, kleine PostgreSQL).
  5. Prüfen und dokumentieren: Zeilenzahlen, Datumsbereiche, Felddatenverzeichnis, Aktualisierungsplan.
  6. Mensch-in-der-Schleife (Human-in-the-Loop): Data Owner genehmigen den Feldumfang; die IT prüft Zugangsdaten und Fehler; eine Person entscheidet, ob personenbezogene Daten das Quellsystem verlassen dürfen (PREP-025).

KI-Komponenten sind optional und klein: Ein LLM entwirft Felddatenverzeichnisse oder Zuordnungstabellen; Menschen prüfen sie.

Datenaufbereitung

  • Wo die Daten liegen: ERP-/Warenwirtschaftssystem, DATEV, CRM, E-Commerce, Personalsystem, Maschinen-/MES-Daten, Excel-Tabellen, Postfächer.
  • Typische Lücken: Exporte ohne Kopfzeilen oder in ungewöhnlichen Zeichenkodierungen; deutsche Dezimalkommas und Datumsformate; „Berichte“ der Hersteller, die PDFs sind; API-Zugriff nur in höheren Editionen; aus vertraglichen Gründen kein Lesezugriff auf die Datenbank; persönliche Zugangsdaten für Automatisierungen.
  • Schritte: (1) Zugriffsmatrix in einer Tabelle; (2) Testexport mit 100 echten Datensätzen je System; (3) Vergleich mit der Ansicht im Quellsystem; (4) Zeitplan; (5) Überwachung.
  • Verwandt: PREP-001 Inventar, PREP-002 Datenzuordnung, PREP-009 Struktur der Dateiablage, PREP-011 aufgeräumte Tabellen, PREP-022 Pseudonymisierung. Zum Daten-Readiness-Check siehe GUIDE-003.

Umsetzungswege

Welcher Weg für wen

  • KMU: C — eine selbst betriebene n8n-Instanz (läuft auf einer kleinen VM oder einem Mini-PC, HW1) hält Kunden- und Finanzdaten in Ihrer eigenen Umgebung, und dieselbe Instanz bedient später viele weitere Automatisierungs-Anwendungsfälle (Baukasten-Effekt). Ein gemanagtes Konnektor-Produkt zu kaufen (A) ist in Ordnung, wenn die Daten nicht sensibel sind und nur eine einzige Cloud-zu-Cloud-Synchronisation gebraucht wird.
  • Großunternehmen: B — eine gemanagte Integrationsplattform oder ein Datenaufnahme-Dienst mit Enterprise-Konnektoren ist günstiger als ein eigener Betrieb.
  • Entwickler: C — Open-Source-Werkzeuge zur Datenaufnahme und einfache Skripte unter Ihrer Kontrolle.
  • Öffentliche Verwaltung: C — selbst betriebene Werkzeuge oder Werkzeuge in einer souveränen Cloud, weil die Daten der Fachverfahren sensibel sind und die Vergaberegeln Souveränität begünstigen.

Weg A — Kaufen (Standardsoftware)

  • In das Herstellerprodukt eingebaut: DATEV bietet vom Hersteller unterstützte Datendienste und Schnittstellen (DATEV Datenservice / DATEVconnect); die meisten ERP-Hersteller liefern Exportmodule, oft gegen Aufpreis.
  • Microsoft 365: Power Query in Excel und Power-Automate-Konnektoren für SharePoint, Dataverse, SQL Server; Gateway für Daten vor Ort. Prüfen Sie den Datenstandort des Tenants (EU Data Boundary).
  • Google Workspace: Apps Script, Sheets-Konnektoren, BigQuery.
  • iPaaS: Make (EU-Rechenzentren verfügbar), Zapier, Workato (Großunternehmen). Prüfen Sie AVV und Region; die Preise pro Operation wachsen schnell.
  • Option mit EU-Hosting: n8n Cloud (EU-Region) oder ein deutscher Hosting-Partner; Airbyte Cloud mit Regionsoptionen.

Weg B — Auf Cloud-KI-Diensten aufbauen

Schreiben Sie Extraktionsjobs gegen die REST-APIs der Hersteller und laden Sie die Daten in eine Cloud-Datenbank in einer EU-Region; nutzen Sie einen LLM-Endpunkt in einer EU-Region (zum Beispiel Mistral La Plateforme oder EU-Regionen der Hyperscaler) nur, um aus Feldmetadaten Zuordnungen zu entwerfen, und senden Sie niemals rohe Kundendatensätze, es sei denn, der AVV erlaubt es. Erfordert eine Entwicklerin oder einen Entwickler bzw. einen Dienstleister.

Weg C — Selbst betreiben (Open Source)

  • n8n (selbst betriebene Community-Edition unter der Fair-Code-Lizenz; prüfen Sie die Lizenz für die kommerzielle Nutzung) für zeitgesteuerte API-Abrufe, Dateiabholung und Benachrichtigungen.
  • Airbyte (Open Source) oder Meltano/dlt für die Aufnahme aus vielen Quellen; PostgreSQL als Zwischenspeicher; Nextcloud oder eine Dateiablage als Abgabeordner; Paperless-ngx, wo der „Export“ ein PDF ist.
  • Optionale KI: Ollama mit einem kleinen Modell (7-8B) auf einer CPU oder einer bescheidenen GPU, um Spalten zu erklären und Zuordnungen vorzuschlagen (dafür genügt HW1, für schnelleres Entwerfen HW2).
  • Betriebsaufwand: eine IT-Person, einige Stunden im Monat für Updates, Rotation der Zugangsdaten und Überwachung.

Weg D — Eigenes Training

Nicht relevant; Feintuning hilft beim Datenzugriff nicht.

Stand der Technik (2026)

  • MCP-Server (Model Context Protocol) und von Herstellern bereitgestellte KI-Konnektoren machen Geschäftssysteme zunehmend für Assistenten zugänglich; das ist nützlich, übernimmt aber das Berechtigungsmodell des Herstellers und muss auf Prompt-Injection und zu weitreichenden Zugriff geprüft werden (GUIDE-013).
  • EU-Datenverordnung (Data Act) (Verordnung (EU) 2023/2854, anwendbar seit dem 12. September 2025) stärkt die Rechte der Nutzer auf Daten aus vernetzten Produkten und enthält Regeln für den Wechsel zwischen Cloud- und SaaS-Datenverarbeitungsdiensten; sie gibt Ihnen eine Verhandlungsgrundlage gegenüber Herstellern, ersetzt aber keinen sauberen Vertrag [3].
  • Grenzen: KI-entworfene Zuordnungen können plausibel, aber falsch sein; APIs ändern sich; Ratenbegrenzungen und Seitenumbruch (Pagination) führen zu unbemerkten Teilexporten. Gleichen Sie Zeilenzahlen und Summen immer mit der Quelle ab.

Gemeinsame Bausteine & Kombinationen

Aufwand, Kosten & Kennzahlen

  • Weg A: Stunden bis Tage je System für Exporte und Standardkonnektoren; Kosten sind Lizenz-Aufpreise und Gebühren pro Operation; bitten Sie den Hersteller um eine schriftliche Preisliste für den API-/Exportzugriff.
  • Weg B: ein bis drei Wochen Entwicklerzeit je System.
  • Weg C: ein bis zwei Tage, um n8n und den Zwischenspeicher einzurichten; ein bis drei Tage je System inklusive Test und Dokumentation; danach Überwachung. Hardware: eine kleine VM, keine GPU nötig.
  • Kennzahlen: Anteil der priorisierten Systeme mit dokumentiertem Zugriff; Anteil der Datenflüsse, die zeitgesteuert statt manuell laufen; Datenaktualität (Alter des letzten erfolgreichen Ladevorgangs); Rate fehlgeschlagener Läufe; eingesparte Stunden manueller Exporte (eigene Ausgangslage).

Menschen & Veränderung

Früh einbinden: die IT (Schnittstellen, Konten) und den Data Owner jedes Systems (Abteilungsleitung). Die Geschäftsleitung entscheidet über Herstellerverhandlung und Budget. Die IT-Sicherheit prüft Zugangsdaten und Netzwerkpfade; die/der Datenschutzbeauftragte wird einbezogen, sobald personenbezogene Daten (Beschäftigte, Kunden) extrahiert werden (GUIDE-005). Lieferanten/Hersteller sind Beteiligte: Nehmen Sie früh Kontakt auf, da Lizenz- und Gebührenfragen am längsten dauern.

Betriebsrat: hängt vom Einzelfall ab. Eine rein technische Extraktion ist in der Regel keine Überwachung, doch Exporte von Personal-, Zeiterfassungs- oder Nutzeraktivitätsdaten sind objektiv zur Überwachung von Beschäftigten geeignet, was § 87 Abs. 1 Nr. 6 BetrVG auslöst. § 90 Abs. 1 Nr. 3 verlangt eine rechtzeitige Unterrichtung, wenn Arbeitsabläufe mit KI geplant werden. Öffentliche Stellen binden den Personalrat ein (GUIDE-004).

KI-Kompetenz: Art. 4 KI-Verordnung (AI Act), geändert durch die Verordnung (EU) 2026/1744, verlangt Maßnahmen zur Förderung der KI-Kompetenz des Personals; eine kurze Einweisung der Data Owner dazu, was ihr System verlässt und warum, genügt hier (GUIDE-006).

Kommunikation und Pilot: Wählen Sie ein System mit einem motivierten Owner, zeigen Sie innerhalb von zwei Wochen einen funktionierenden zeitgesteuerten Datenfluss und benennen Sie eine Fürsprecherin bzw. einen Fürsprecher (Champion) (GUIDE-008, GUIDE-009). Typische Sorgen: „Gehen unsere Daten an einen KI-Anbieter?“ (Antwort: Der Zwischenspeicher bleibt in Ihrer Umgebung), „Wer ist für den Datenfluss verantwortlich?“ (benannter Owner), „Kündigt der Hersteller den Support?“ (vorab klären).

Menschen behalten die Kontrolle: Der Zugriffsumfang wird vom Data Owner genehmigt; Servicekonten sind schreibgeschützt; kein Zurückschreiben durch Automatisierungen ohne ausdrückliche Freigabe.

Risiken, Regulierung & Compliance

  • KI-Verordnung (AI Act): minimales Risiko; die Datenextraktion selbst ist kein KI-System. Nachgelagerte Anwendungsfälle können ein höheres Risiko haben (Pflichten nach Anhang III gelten ab dem 2. Dezember 2027); führen Sie Nachweise zur Datenherkunft, um das später zu stützen (GUIDE-014).
  • DSGVO: Das Verschieben personenbezogener Daten in einen Zwischenspeicher ist eine Verarbeitung; prüfen Sie Zweck und Rechtsgrundlage (PREP-025), minimieren Sie die Felder, pseudonymisieren Sie wo möglich (PREP-022), schließen Sie mit jedem Auftragsverarbeiter einen AVV (Art. 28) ab und prüfen Sie eine DSFA, wo Profiling oder besondere Kategorien betroffen sind.
  • Vertrag und Lizenz: Reverse Engineering oder direkter Datenbankzugriff können gegen Herstellerbedingungen verstoßen und den Support erlöschen lassen; holen Sie die Erlaubnis schriftlich ein.
  • Sicherheit: API-Token in Workflows sind die Kronjuwelen: in einem Secret Manager speichern, rotieren, mit minimalen Rechten arbeiten (GUIDE-013).
  • Gegenmaßnahmen: Zugriffsmatrix, schreibgeschützte Servicekonten, Protokollierung der Läufe, Abgleichsprüfungen.

Erste Schritte

  1. Erstellen Sie die Zugriffsmatrix für Ihre fünf wichtigsten Systeme: Hersteller, Edition, Exportoptionen, API ja/nein, Owner, personenbezogene Daten ja/nein.
  2. Fragen Sie jeden Hersteller schriftlich: Welche Schnittstelle, welche Edition, welche Kosten, welche Grenzen?
  3. Führen Sie eine Testextraktion (100 Datensätze) durch und gleichen Sie sie mit dem Quellsystem ab.
  4. Richten Sie den Zwischenspeicher und einen zeitgesteuerten Datenfluss in n8n oder Power Automate ein; dokumentieren Sie den Aktualisierungsplan.
  5. Übergeben Sie den Datenfluss über die Pilotplanung nach GUIDE-009 an den ersten KI-Anwendungsfall; zur Wahl Ihres Umsetzungswegs siehe GUIDE-002.

Quellen

  1. Regulation (EU) 2023/2854 (Data Act) — https://eur-lex.europa.eu/eli/reg/2023/2854/oj
  2. Regulation (EU) 2016/679 (GDPR), Art. 20, 28, 35 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
  3. European Commission — Data Act explained — https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained
  4. n8n documentation — hosting and credentials — https://docs.n8n.io/hosting/
  5. Airbyte documentation — https://docs.airbyte.com/
  6. Microsoft Learn — Power Automate connectors overview — https://learn.microsoft.com/connectors/connector-reference/
  7. DATEV — Developer portal (DATEVconnect, data services) — https://developer.datev.de/