Datenreife-Check: Sind Ihre Daten bereit für KI?

Die meisten KI-Projekte im Mittelstand scheitern nicht am Modell. Sie scheitern daran, dass die Daten fehlen, verstreut liegen, falsch sind oder rechtlich nicht nutzbar sind. Dieser Leitfaden gibt Ihnen einen Check über zwei bis vier Wochen, der pro Anwendungsfall mit einer klaren Antwort endet (bereit, bereit nach Bereinigung oder nicht bereit) und mit einer realistischen Schätzung des Aufbereitungsaufwands.

Warum es wichtig ist

• Datenqualität ist seit Jahren das größte Hindernis. In einer Befragung von 111 Unternehmen durch das Mittelstand 4.0-Kompetenzzentrum Dortmund nannten 76 % unzureichende Datenqualität als Hindernis, aus Daten Nutzen zu ziehen, und 78 % nannten nicht abgestimmte Strategien [1]. Der Mittelstand-Digital-Leitfaden zur KI-Readiness im Bauwesen führt die Verfügbarkeit und Qualität branchenspezifischer Daten als Reifefaktor und die Datenqualität als technologische Hürde auf [2].
• Die Datenaufbereitung ist meist das größte einzelne Arbeitspaket. Stammdaten bereinigen, PDFs in nutzbaren Text umwandeln, Beispiele kennzeichnen (labeln) und Berechtigungen korrigieren kostet oft mehr Zeit als die Konfiguration des KI-Werkzeugs. Deshalb hat der Anwendungsfall-Katalog das Feld data_prep_effort. Wer diesen Schritt überspringt, bemerkt die Budgetüberschreitung erst später im Pilotprojekt.
• Schlechte Berechtigungen werden zu Datenlecks. Assistenten wie Microsoft 365 Copilot stützen ihre Antworten auf „die Daten, auf die Nutzende bereits zugreifen dürfen" [3]. Eine Dateiablage, die für „Jeder" offen ist, war früher ein theoretisches Risiko. Sobald eine KI sie in Sekunden durchsuchen kann, finden Beschäftigte tatsächlich die Gehaltsliste. Microsofts eigener Einführungsleitfaden beginnt deshalb mit „Überfreigaben beseitigen" (remediate oversharing) [3].
• Aufsichtsbehörden erwarten dokumentierte Datenqualität. Für Hochrisiko-KI verlangt die KI-Verordnung (AI Act) relevante, repräsentative und weitgehend fehlerfreie Trainingsdaten (die Pflichten nach Anhang III gelten nach dem Digital Omnibus ab dem 2. Dezember 2027). Die QUAIDAL-Reihe des BSI überführt diese abstrakten Anforderungen in konkrete Qualitätskriterien, Maßnahmen und Metriken [4][5]. Auch wenn Sie nicht in der Hochrisiko-Kategorie sind, ist sie eine nützliche Checkliste.

Wann Sie es brauchen

• Direkt nach der Priorisierung der Anwendungsfälle (GUIDE-001): Führen Sie einen Kurzcheck durch (ein halber Tag pro Anwendungsfall), bevor Sie etwas als „Quick Win" einstufen.
• Vor der Wahl des Umsetzungswegs (GUIDE-002): Datensensibilität und Datenstandort entscheiden zwischen einem SaaS-Werkzeug, einem EU-Cloud-Dienst oder dem Selbstbetrieb.
• Vor der Einführung eines allgemeinen Assistenten (Copilot, ChatGPT Enterprise, ein interner RAG-Chatbot): Die Bereinigung der Berechtigungen ist Pflicht, nicht optional.
• Vor einem Pilotprojekt (GUIDE-009): Der detaillierte Check liefert den Testdatensatz und die Ausgangswerte (Baseline).
• Erneut vor dem Go-live und danach jährlich, denn Daten verändern sich (Drift) und Berechtigungen wuchern.

Wer beteiligt ist

Schritt für Schritt

1. Die Fragestellung pro Anwendungsfall festlegen (je 1 Stunde). Schreiben Sie das Ziel in einem Satz auf und die Daten, die es braucht. Beispiel: „Die Auftragserfassung aus E-Mail-PDFs im ERP braucht: eingegangene Aufträge der letzten 12 Monate, die Kunden- und Artikelstammdaten und Preislisten."

2. Einen Datenbestand aufbauen (2–5 Tage). Eine Tabellenzeile pro Datenquelle: System / Ablageort, Verantwortliche(r), Inhalt, Format (Datenbanktabelle, Excel, PDF-Scan, E-Mail, Sensorprotokoll), Umfang, Zeitraum, Aktualisierungshäufigkeit, Exportweg (API, CSV, DATEV-Export, manuell), enthält personenbezogene Daten (ja/nein/besondere Kategorien), Vertraulichkeitsklasse und bekannte Probleme. Nehmen Sie auch die inoffiziellen Quellen auf: persönliche Excel-Dateien, Outlook-Ordner, Papierordner. In KMU sind dies oft die eigentlichen führenden Systeme.

3. Die Qualität mit Stichproben prüfen, nicht mit Meinungen (2–5 Tage). Nehmen Sie pro Quelle 50–200 zufällige Datensätze und messen Sie: - Vollständigkeit: Anteil leerer Pflichtfelder (z. B. fehlende Materialnummern, leere „Grund"-Felder in Tickets). - Richtigkeit: Anteil der Datensätze, die eine Fachkraft als falsch einstuft. - Konsistenz und Dubletten: derselbe Kunde in drei Schreibweisen, gemischte Einheiten (kg/t), unterschiedliche Artikelschlüssel in ERP und Webshop. - Aktualität: Wie alt sind die tatsächlich genutzten Daten? Liegen veraltete Dokumentversionen noch herum? - Repräsentativität: Deckt die Stichprobe alle Produkte, Standorte, Jahreszeiten und Randfälle ab oder nur die einfachen 80 %? - Bei Dokumenten: maschinenlesbarer Text oder gescanntes Bild? Tabellen intakt? Mehrere Versionen desselben Handbuchs? Bewerten Sie jedes Kriterium mit grün/gelb/rot. Die BSI-QUAIDAL-Kriterien [5] und die Selbstchecks von Mittelstand-Digital [2] liefern Ihnen Begriffe und Indikatoren, wenn Sie tiefer einsteigen wollen.

4. Zugriffsrechte und rechtliche Nutzbarkeit prüfen (1–3 Tage, mit Datenschutzbeauftragte(r)). - Technischer Zugriff: Wer kann derzeit was lesen? Suchen Sie nach Ablagen und SharePoint-/Teams-Seiten, die für das ganze Unternehmen offen sind, nach Gastlinks und verwaisten Seiten. Microsoft bietet dafür Berichte zur Governance von Datenzugriffen und Einschränkungsrichtlinien [3][6]. - Rechtsgrundlage und Zweck: Wurden die personenbezogenen Daten für diesen Zweck erhoben? Wenn nicht: Ist die neue Nutzung vereinbar (Art. 6 Abs. 4 DSGVO), oder brauchen Sie eine neue Rechtsgrundlage oder eine Anonymisierung? Die Orientierungshilfe der DSK zu KI und Datenschutz listet die Punkte auf, die bei Auswahl und Einsatz von KI-Werkzeugen zu prüfen sind [7]. - Vertragliche Rechte: Kundenzeichnungen, Preislisten von Lieferanten oder lizenzierte Normen dürfen nach Ihren Verträgen möglicherweise nicht für KI genutzt werden. Für Maschinen- und Produktdaten gilt seit dem 12. September 2025 der EU Data Act, der den Nutzenden vernetzter Produkte das Recht auf Zugang zu den Daten gibt, die diese Produkte erzeugen [8]. Dadurch können Maschinendaten aus Ihren eigenen Anlagen überhaupt erst nutzbar werden. - Sensibilität: Entscheiden Sie, was an ein Cloud-Modell gehen darf und was intern bleiben muss (Eingabe für GUIDE-002 und GUIDE-007).

5. Den Aufbereitungsaufwand schätzen (1 Tag). Listen Sie je Anwendungsfall die Bereinigungsaufgaben auf und schätzen Sie sie in Personentagen. Typische Aufgaben: Dubletten in Kunden-/Artikelstammdaten beseitigen, OCR und Parsing von PDF-Archiven, veraltete Dokumentversionen entfernen, Feldregeln festlegen, 200–1.000 Beispiele für Klassifikation oder Extraktion labeln, einen Export oder eine Schnittstelle bauen, anonymisieren oder schwärzen und Berechtigungen korrigieren. Viele davon sind für sich genommen kleine Automatisierungen, zum Beispiel ein geplantes Skript, das Dubletten markiert, oder ein KI-Extraktionsschritt, der Scans in Tabellen überführt (siehe DATA-003, DOC-014, DOC-018). Ordnen Sie das Ergebnis als niedrig/mittel/hoch ein, passend zum Feld data_prep_effort des Katalogs.

6. Pro Anwendungsfall entscheiden (Workshop, 2 Stunden). Verwenden Sie drei Ergebnisse: - Bereit: Pilotprojekt starten. - Bereit nach Bereinigung: Pilotprojekt nur mit einem finanzierten Bereinigungspaket, einer verantwortlichen Person und einem Termin. - Nicht bereit: zurückstellen oder die Datenerfassung jetzt beginnen (z. B. das Feld „Grund" ab sofort sauber erfassen), damit der Anwendungsfall in 6–12 Monaten möglich wird. Halten Sie außerdem die Ausgangswerte (Fehlerquote, Bearbeitungszeit) fest, mit denen Sie das Pilotprojekt vergleichen.

7. Dauerhaft verankern. Benennen Sie pro Quelle eine(n) Datenverantwortliche(n), legen Sie die Feldregeln bei der Eingabe fest, nehmen Sie einen einfachen Qualitätsindikator in ein monatliches Dashboard auf (siehe DATA-008) und verankern Sie eine Berechtigungsprüfung in Ihrer jährlichen IT-Routine. Datenaufbereitung ist eine Daueraufgabe, kein einmaliges Projekt.

Realistischer Gesamtaufwand für ein KMU mit 50–250 Beschäftigten: 5–15 Personentage für den Check von 3–5 Anwendungsfällen. Die Bereinigung selbst wird gesondert geplant und beträgt oft ein Mehrfaches davon.

Checkliste

• [ ] Ziel und benötigte Daten pro Anwendungsfall aufgeschrieben
• [ ] Datenbestand einschließlich Schatten-Excel-Dateien und Papierquellen
• [ ] Datenverantwortliche(r) pro Quelle benannt
• [ ] Stichprobenbasierte Qualitätsbewertung (Vollständigkeit, Richtigkeit, Dubletten, Aktualität, Repräsentativität)
• [ ] Dokumente geprüft: Text oder Scan, Versionen, Dubletten
• [ ] Prüfung auf Überfreigaben bei Dateiablagen, SharePoint/Teams und Gastlinks durchgeführt
• [ ] Personenbezogene Daten identifiziert; Rechtsgrundlage und Zweckvereinbarkeit mit der/dem Datenschutzbeauftragten geprüft
• [ ] Bedarf einer DSFA bewertet (GUIDE-005)
• [ ] Vertrags- und Lizenzbeschränkungen für Daten geprüft
• [ ] Einstufung Cloud/keine Cloud pro Datenquelle
• [ ] Aufbereitungsaufwand in Personentagen geschätzt; niedrig/mittel/hoch zugeordnet
• [ ] Entscheidung bereit / nach Bereinigung / nicht bereit, mit verantwortlicher Person und Termin
• [ ] Ausgangskennzahlen für das Pilotprojekt festgehalten
• [ ] Betriebsrat informiert, wenn Beschäftigtendaten oder Aktivitätsprotokolle betroffen sind

Vorlagen & Werkzeuge

• Selbstchecks von Mittelstand-Digital: der „Fachcheck KI-Readiness" (Mittelstand-Digital Zentrum Chemnitz), der KI-Readiness-Check des Netzwerks WERNER / Mittelstand-Digital Zentrum Kaiserslautern und der KI-Readiness-Check des Kompetenzzentrums KARL sind im Leitfaden für das Bauwesen kostenlos aufgeführt [2]. Sie sind auch über das Bauwesen hinaus nützlich.
• BSI QUAIDAL (Teile A–D): Kriterien, Bausteine und ein Katalog von Maßnahmen und Metriken für die Qualität von Trainingsdaten [4][5].
• DSK-Orientierungshilfe „Künstliche Intelligenz und Datenschutz" (Mai 2024): Checkliste für Auswahl und Einsatz von KI-Anwendungen [7].
• Microsoft-Leitfaden „Secure & governed data foundation for Copilot" und SharePoint Advanced Management: Berichte zu Überfreigaben und Richtlinien zur Zugriffsbeschränkung [3][6]. Vergleichbare Funktionen gibt es in Google Workspace und den meisten DMS-Produkten.
• EU-Data-Act-FAQ und Mustervertragsklauseln für den Zugang zu Maschinendaten [8].
• Einfache Werkzeuge: eine gemeinsame Tabelle für den Datenbestand; Excel/Power Query oder OpenRefine für Dubletten- und Vollständigkeitsprüfungen. Nutzen Sie einen KI-Tabellenassistenten nur für Daten, die dafür freigegeben sind.

Typische Fehler

• „Wir haben viele Daten." Menge ist keine Reife. Prüfen Sie, ob das benötigte Feld tatsächlich gefüllt ist, und zwar einheitlich.
• Nur die IT füllt den Datenbestand aus. Dabei gehen die Excel-Listen und Behelfslösungen verloren. Befragen Sie die Sachbearbeitung.
• Die Bereinigung wird versprochen, aber nicht budgetiert. Steht sie nicht im Pilotbudget, passiert sie nicht. Nehmen Sie sie in die Go/No-go-Kriterien auf (GUIDE-009).
• Einen Assistenten auf chaotischen Berechtigungen einführen. Bereinigen Sie zuerst oder beschränken Sie den Assistenten auf kuratierte Quellen.
• Alles bereinigen. Bereinigen Sie nur, was die priorisierten Anwendungsfälle brauchen. Ein umfassendes Stammdatenprojekt kann später folgen.
• Die Zweckfrage ignorieren. Personenbezogene Daten, die für die Rechnungsstellung erhoben wurden, dürfen nicht automatisch für Verhaltensanalysen genutzt werden. Beziehen Sie die/den Datenschutzbeauftragte(n) vor der Extraktion ein, nicht danach.
• Einmalige Bereinigung. Ohne Regeln bei der Dateneingabe ist die Qualität nach wenigen Monaten wieder auf dem alten Stand.
• Die Menschen übersehen, die die Daten erzeugen. Sollen Beschäftigte Felder sorgfältiger ausfüllen, erklären Sie, warum und was sich für sie ändert (GUIDE-008).

Quellen

1. Mittelstand 4.0-Kompetenzzentrum Dortmund / Digital in NRW: "Mehrwerte aus Daten" (Feb 2019, survey n=111). https://www.mittelstand-digital.de/MD/Redaktion/DE/Publikationen/mehrwerte-aus-daten.pdf?__blob=publicationFile&v=2
2. Mittelstand-Digital Zentrum: "KI-Readiness im Bauwesen: Daten nutzen, Prozesse optimieren, Zukunft gestalten". https://www.mittelstand-digital.de/MD/Redaktion/DE/Publikationen/ki-readiness-bau.pdf?__blob=publicationFile&v=2
3. Microsoft Learn: "Secure & Governed Data Foundation for Microsoft Copilot – Foundational Deployment Guidance". https://learn.microsoft.com/en-us/copilot/microsoft-365/microsoft-365-copilot-blueprint-oversharing
4. BSI press release, 1 Jul 2025: "BSI stellt methodischen Leitfaden zur Datenqualität in KI-Systemen vor" (QUAIDAL). https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250701_QUAIDAL.html
5. BSI: QUAIDAL-02 "Qualitätskriterien & Bausteine". https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KI/QUAIDAL_B_Qualitaetskriterien.pdf
6. Microsoft Learn: "Get ready for Copilot with SharePoint Advanced Management". https://learn.microsoft.com/sharepoint/get-ready-copilot-sharepoint-advanced-management
7. Datenschutzkonferenz (DSK): Orientierungshilfe "Künstliche Intelligenz und Datenschutz" (6 May 2024). https://www.datenschutz-bayern.de/dsbk-ent/DSK_OH_KI_und_Datenschutz.pdf
8. European Commission: "Data Act" policy page and "Data Act explained". https://digital-strategy.ec.europa.eu/en/policies/data-act

Abgerufen 2026-10.