rohdata
AI · BUSINESS · KLARTEXT
KW 37 / 2026 | Das Muster dieser Woche: Mehrfach beginnt die Pflicht, bevor die Erklärung dazu existiert.
Seit gestern gilt die CRA-Meldepflicht, seit heute Access by Design nach dem Data Act. Zu beidem fehlte am Stichtag die amtliche Handreichung. Drei Erhebungen zeigen parallel, dass das Bekenntnis zur digitalen Souveränität breit ist und das Budget dafür schmal. Dazu zwei Anwenderberichte mit echten Vorher-Nachher-Zahlen, eine Untersuchung darüber, worauf KI-Produktempfehlungen tatsächlich fußen, und der größte Patchday der Microsoft-Geschichte.
In vielen Unternehmen gilt eine unausgesprochene Regel: Ernst wird eine Sache, wenn jemand von außen sie erklärt. Ein Leitfaden, eine Handreichung, ein Anbieter mit einer Präsentation. Bis dahin steht das Thema auf der Liste, aber ohne Termin.
Diese Woche zeigt, was diese Regel inzwischen kostet. Pflichten laufen los, ohne dass die Erklärung dazu existiert. Bekenntnisse werden formuliert, ohne dass jemand ein Budget dahinterlegt. Und die Empfehlungen, auf die sich Ihre Kunden künftig stützen, entstehen nach Regeln, die niemand veröffentlicht hat.
Was in dieser Lage hilft, ist unspektakulär: die eigene Lage kennen, bevor sie jemand für Sie beschreibt. Welche Produkte fallen unter welche Pflicht, welche Daten liegen wo, welcher Server hat welchen Stand.
Das ist keine Strategiearbeit. Es ist Inventur, und sie dauert Tage, nicht Quartale. Der Unterschied zwischen den Häusern, die in solchen Wochen ruhig bleiben, und den anderen liegt selten im Budget. Er liegt darin, ob jemand die Liste hat.
Abgeleitet aus den fünf Meldungen, die unten stehen. Alles andere aus dieser Woche habe ich weggelassen.
CRA und Data Act sind in Kraft. Die übersehene Pflicht läuft allerdings schon seit einem Jahr.
Seit dem 11. September müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden, die vollständige Meldung folgt binnen 72 Stunden. Laut Bitkom können 29 Prozent der Unternehmen sagen, was der Cyber Resilience Act für sie bedeutet. Die ENISA-Meldeplattform hat am 9. und 10. September vier Anleitungen nachgereicht und wies am Stichtag weiterhin keine öffentliche Adresse aus. Seit dem 12. September gilt zusätzlich Access by Design nach dem Data Act, allerdings nur für Produkte, die ab diesem Datum in Verkehr gebracht werden. Zum Data Act erschien im gesamten Zeitraum keine Verlautbarung von Kommission, Bundesnetzagentur oder BMDS.
Warum es zählt: Die zweite Pflicht fällt in der Berichterstattung durch. Der Datenzugangsanspruch nach Artikel 4 und 5 läuft bereits seit dem 12. September 2025 und erfasst auch Bestandsmaschinen, sobald der Hersteller die Betriebsdaten tatsächlich vorhält. Wer ein Service-Backend betreibt, über das Betriebsdaten bereits verkaufter Maschinen einlaufen, steht damit seit einem Jahr in der Auskunftspflicht. Die Prüfung dauert einen Nachmittag: Welche Daten laufen bei Ihnen auf, und wer hat bisher danach gefragt.
Fast neun von zehn Organisationen halten Datensouveränität für wichtig. Jede zehnte hat ein Budget dafür.
Die BARC-Untersuchung „Data Sovereignty 2026″ unter 320 Organisationen weltweit zeigt eine auffällige Lücke: 89 Prozent halten Datensouveränität für wichtig, 10 Prozent haben ein eigenes Budget dafür, 40 Prozent investieren gar nichts. Bitkom hat parallel 603 Unternehmen ab 20 Beschäftigten nach ihren KI-Werkzeugen gefragt. ChatGPT liegt bei 76 Prozent nach 70 im Vorjahr, Microsoft Copilot bei 35, Google Gemini bei 28. DeepSeek kommt auf 2 Prozent, Alibabas Qwen auf 1. Als Gegenbeispiel stellt die Schweiz derzeit 3.000 Beschäftigte auf einen quelloffenen Arbeitsplatz um.
Warum es zählt: Die Debatte über chinesische Modelle geht am Klumpenrisiko vorbei, das sitzt erkennbar woanders. Und die Lücke zwischen Bekenntnis und Budget löst sich nicht mit einem Grundsatzbeschluss. Entscheidbar ist die Frage nur je Datenart, je KI-Last und je Geschäftsprozess. Maximale Kontrolle überall ist genauso unbrauchbar wie gar keine, nur teurer.
→ ap-verlag.de / heise.de
Zwei Anwenderfälle mit echten Vorher-Nachher-Zahlen. Der interessanteste Posten ist die Nachjustierung.
Die DFKP GmbH, ein Vermittler von Mittelstandsfinanzierungen, verarbeitet rund 1.000 Dokumente täglich. Der Bearbeitungsaufwand sank von 2,5 bis 3 Vollzeitäquivalenten auf 0,5, fehlerhafte Dokumente von rund 25 auf 2 bis 3 pro Woche. 90 bis 95 Prozent der Hauptdokumentklassen laufen ohne menschliche Prüfung durch. Der Einführungsaufwand betrug 80 bis 90 Personentage, davon knapp die Hälfte für Nachjustierung nach dem Produktivstart. Der Kontrapunkt kommt aus dem Handwerk: Ein Gebäudereinigungsbetrieb mit rund 60 Beschäftigten ersetzte ein CRM für etwa 3.500 Euro im Jahr durch ein selbstgebautes Dashboard für rund 240 Euro. Gebaut hat es der Meister, nicht eine IT-Abteilung.
Warum es zählt: Die Hälfte des Aufwands fiel nach dem Produktivstart an. In Angeboten für Dokumentenverarbeitung taucht diese Position praktisch nie auf. Fehlt sie im Angebot, fehlt sie trotzdem nicht im Projekt, sie erscheint nur später und unbudgetiert. Die Prüffrage beim nächsten Angebot lautet, welcher Anteil für Nachjustierung nach dem Go-live eingeplant ist.
Worauf KI-Produktempfehlungen fußen: zu vier Fünfteln auf Websites, die praktisch niemand kennt.
Trellner Research hat zwei Perplexity-Modelle zu den besten Produkten in 380 Softwarekategorien befragt und die verlinkten Quellen ausgewertet. 59,8 Prozent der Links führten auf Websites jenseits der 100.000 meistbesuchten, 23,4 Prozent auf Seiten außerhalb der ersten Million. Über 80 Prozent der Quellen waren damit praktisch unbekannte Websites. Drei davon hatten zusammen 215.128 erfundene Produktvergleichsseiten in ihren Sitemaps. Die Zahlen stammen aus der Aufbereitung durch t3n, die Originalstudie habe ich nicht gegengeprüft.
Warum es zählt: Wer B2B-Software oder technische Dienstleistungen verkauft, konkurriert in der KI-Antwort nicht mehr nur mit Wettbewerbern, sondern mit automatisch erzeugten Vergleichsseiten, die allein zu diesem Zweck existieren. Eine Stunde genügt, um zu sehen, wo Sie stehen: Stellen Sie den gängigen Modellen die Frage, die ein Interessent stellen würde, und schauen Sie sich die verlinkten Quellen an.
→ t3n.de / Trellner Research, „Manufactured Sources Behind AI Recommendations“
Größter Patchday der Microsoft-Geschichte. Drei Systeme entscheiden über die Reihenfolge.
Microsoft hat am 8. September laut Tenable 964 Schwachstellen geschlossen, davon 104 kritische. Zum Vergleich: 570 im Juli, 400 im August. Zwei Zero-Days werden aktiv ausgenutzt, beide erlauben Rechteausweitung auf SYSTEM. Der gefährlichste Neuzugang ist CVE-2026-69730 im Windows DNS Server mit CVSS 9,8, unauthentifizierte Remotecodeausführung, von Fachleuten als Nachfolger von SigRed eingeordnet. Dazu kommt ein Kerberos-Bypass mit Wirkung auf Domänencontroller. SAP veröffentlichte am selben Tag 22 Security Notes, darunter CVE-2026-44756 mit CVSS 10,0 in SAP Extended Passport, aus der Ferne und ohne Authentifizierung ausnutzbar.
Warum es zählt: Die Gesamtzahl hilft niemandem bei der Priorisierung. Der DNS-Dienst läuft in nahezu jedem Active-Directory-Netz auf dem Domänencontroller mit, und dort wird eine wurmfähige Lücke am teuersten. Die Reihenfolge lautet Domänencontroller, dann jeder Server mit DNS-Rolle, dann die Clientflotte. Extended Passport ist dabei der unauffällige Fall, weil diese Tracing-Komponente quer durch den SAP-Stack mitläuft, ohne dass jemand sie bewusst eingeschaltet hat.
Nicht als Newsletter-Empfehlung, sondern weil das Gespräch stattfinden sollte.
rohdata erscheint wöchentlich. Kein Hype. Keine Werbung. Nur das was zählt.
→ andrewehr.com/rohdata
rohdata direkt ins Postfach: Newsletter abonnieren