Inhalt in Kürze
- RPA (Robotic Process Automation) ist Software, die menschliche Klick-Routine in Anwendungen übernimmt — regelbasiert, 24/7, mit lückenlosem Audit-Trail
- Im Compliance-Kontext entlastet RPA Routineprüfungen wie Berechtigungs-Reviews, DSGVO-Auskünfte, Sanktionslisten-Abgleich und Stammdatenpflege — typisch 60–80 % Zeitersparnis pro Prozess
- Laut Gartner Magic Quadrant 2025 sind UiPath, Automation Anywhere und Microsoft Power Automate die führenden Plattformen
- DSGVO und BSI-konformer Betrieb verlangen drei Dinge: Least-Privilege-Zugriff, verschlüsselte Bot-Credentials, vollständiges Logging
- Realistische Einstiegskosten für KMU: 8.000–25.000 Euro plus 250 Euro pro Bot/Monat — Break-Even meist nach 6–12 Monaten
Compliance ist die unsichtbare Vollzeitstelle in fast jedem KMU. Berechtigungen prüfen, Stammdaten abgleichen, DSGVO-Auskünfte beantworten, Steuerprüfungen vorbereiten — vieles davon ist Routine, aber bei einem einzigen vergessenen Häkchen wird aus Routine ein Audit-Befund. Wir betreuen als IT-Dienstleister in Hamburg seit Jahren mittelständische Unternehmen, die Compliance bisher mit Excel und Disziplin lösen. Das hält bis zur ersten richtigen Prüfung.
Dieser Artikel zeigt, wie Sie mit RPA Compliance-Routine automatisieren — DSGVO-konform, BSI-tauglich, mit echtem Audit-Trail.
RPA in einem Satz: Was ist Robotic Process Automation?
Definition: RPA ist Software, die menschliche Aktionen in Anwendungen nachbildet — also Felder befüllt, Daten kopiert, Vergleiche zieht und Berichte erstellt. Im Unterschied zu klassischen Schnittstellen arbeitet RPA über die Bedienoberfläche („Klickautomat”) und kommt damit auch in Altsystemen ohne API zurecht.
Klingt nach Spielerei, ist aber unspektakulär nützlich. Der Bot macht nicht mehr und nicht weniger als ein Mitarbeiter — nur halt 24/7, ohne Tippfehler, mit Zeitstempel auf jeder Aktion. Kein Bot trifft eigene Entscheidungen, kein Bot lernt aus Beispielen. Genau das macht RPA für Compliance interessant: Was der Bot tut, lässt sich exakt nachprüfen und bei Bedarf rekonstruieren.
Warum Compliance der ideale RPA-Anwendungsfall ist
Compliance hat drei Eigenschaften, die wie für RPA gemacht sind: Sie ist regelbasiert (was ist erlaubt, was nicht?), wiederkehrend (monatliche, quartalsweise oder anlassbezogene Prüfungen) und sie verlangt Dokumentation. Genau diese drei Anforderungen erfüllt ein Bot besser als jeder Mensch.
Konkret entlastet RPA in der Compliance an fünf Stellen:
- Berechtigungs-Reviews (User Access Reviews): Quartalsweise Prüfung, wer auf welche Systeme zugreift. Bot zieht Listen aus Active Directory, Microsoft 365, ERP, vergleicht mit der HR-Datenbank, markiert Abweichungen. Aus 2 Tagen werden 20 Minuten.
- DSGVO-Auskunfts- und Löschanträge: Bot durchsucht alle Systeme nach personenbezogenen Daten der anfragenden Person, fasst Ergebnisse strukturiert zusammen, dokumentiert die Suche. Anschließend prüft ein Mensch und gibt frei.
- Stammdatenpflege mit Sanktionslisten-Abgleich: Neue Lieferanten oder Kunden werden gegen EU- und OFAC-Sanktionslisten geprüft. Treffer landen in der Compliance-Inbox, sauber wird automatisch freigegeben.
- GoBD-Belegprüfung: Bot prüft, ob alle Pflichtfelder gesetzt sind, ob die Belegkette geschlossen ist, ob Buchungssätze plausibel sind. Lücken werden vor dem Steuerprüfer entdeckt — nicht danach.
- Lieferanten-Compliance-Checks: Versicherungsnachweise, Mindestlohn-Erklärungen, Datenschutz-Vereinbarungen — der Bot überwacht Fristen und schickt Erinnerungen, bevor etwas abläuft.
Bei einem Hamburger Logistikunternehmen mit 80 Mitarbeitern haben wir die quartalsweise Berechtigungsprüfung automatisiert. Vorher: 3 Tage Excel-Hölle für die IT-Leiterin, danach noch eine Woche Nacharbeit. Heute: Bot läuft Sonntag nachts, Montag liegt der Report mit 12 Auffälligkeiten auf dem Tisch — direkt mit Begründung, in welchem System der Mitarbeiter eigentlich nicht mehr sein sollte.
Wie RPA den Audit-Trail revolutioniert
Compliance-Audits scheitern selten an böser Absicht — sondern an unvollständigen Belegen. „Wer hat dieser Person den Zugriff gegeben? Wann? Warum?” Ohne Bot endet das oft im „Glaube ich, hat der Kollege gemacht, ist ja schon zwei Jahre her.” Mit Bot ist die Antwort: Datum, Uhrzeit, Bot-ID, Eingabedaten, Ergebnis — exportierbar als PDF.
Das BSI sieht in seinem Standard 200-4 zum Business Continuity Management explizit vor, dass Revisionsberichte automatisiert nachvollziehbar sein müssen. Genau das liefert RPA frei Haus.
Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
DSGVO und BSI: Worauf Sie beim RPA-Setup achten müssen
RPA bringt Compliance-Vorteile — kann aber auch neue Risiken schaffen, wenn falsch aufgesetzt. Drei Punkte sind nicht verhandelbar:
- Least-Privilege-Zugriff für jeden Bot. Ein Bot, der Stammdaten pflegt, braucht keinen Zugriff auf Lohnabrechnungen. Jeder Bot bekommt einen eigenen Service-Account mit minimalen Rechten — keine geteilten Admin-Logins. Verstöße gegen dieses Prinzip sind die häufigste Fehlerquelle.
- Verschlüsselte Anmeldedaten in einem Credential-Vault. Bots dürfen Passwörter nie im Klartext speichern. Microsoft Power Automate, UiPath Orchestrator und Automation Anywhere bringen das mit — aber es muss auch genutzt werden.
- Vollständiges Logging mit Aufbewahrungsfrist. Jede Bot-Aktion wird mit Zeitstempel, Eingabedaten und Ergebnis geloggt. Aufbewahrung mindestens 6 Jahre (HGB) bzw. 10 Jahre (Steuer). Logs gehören separat gesichert — nicht im selben System wie der Bot.
Wir sehen immer wieder Bots, die mit dem persönlichen Login eines Mitarbeiters laufen — weil das schneller eingerichtet war. Sobald dieser Mitarbeiter geht, fallen alle Bots aus. Schlimmer: Aktionen sind nicht eindeutig zuordenbar (Bot oder Mensch?), der Audit-Trail ist wertlos. Bots brauchen IMMER eigene technische Accounts.
Im Verzeichnis von Verarbeitungstätigkeiten (VVT) taucht der Bot wie ein technischer Verarbeiter auf. Die DSB-Bewertung sollte VOR dem ersten Bot passieren, nicht danach. Mehr zur DSGVO-Umsetzung im Mittelstand: Datenschutz & DSGVO Compliance für Unternehmen.
RPA-Plattformen 2026: UiPath, Power Automate, Automation Anywhere
Im Gartner Magic Quadrant 2025 für RPA führen drei Anbieter den Markt an. Für KMU gilt aus unserer Praxis:
| Plattform | Stärke | Wann sinnvoll |
|---|---|---|
| Microsoft Power Automate | Tief in Microsoft 365, oft schon lizenziert, einfacher Einstieg | M365-Kunden, KMU mit 1–10 Bots, Office-lastige Prozesse |
| UiPath | Skalierung, große Bot-Flotten, AI-Integration | Mittelstand 100+ MA, eigene RPA-Abteilung, komplexe Workflows |
| Automation Anywhere | Cloud-native, starke Compliance-Features | Regulierte Branchen, internationale Konzerne |
Für die meisten Hamburger Mittelständler unter 150 Mitarbeitern ist Microsoft Power Automate die pragmatischste Wahl. Die Lizenz ist über Microsoft 365 oft schon abgedeckt, die Integration in Teams, SharePoint, Outlook und Dynamics ist nahtlos — und das Lernkurven-Problem ist bei den eigenen IT-Mitarbeitern viel kleiner als bei einer dedizierten RPA-Plattform.
Vertiefung zu Microsoft 365: Microsoft 365 Kosten & Pakete für Unternehmen 2026.
Realistische Kosten und Break-Even
Was kostet ein RPA-Projekt im Mittelstand wirklich? Drei Szenarien, die wir aus eigenen Projekten kennen:
| Szenario | Setup einmalig | Lizenz/Monat | Break-Even |
|---|---|---|---|
| Pilot (2 Prozesse, 1 Bot) | 8.000–15.000 € | ca. 250–500 € | 6–9 Monate |
| Mittelstand (5–8 Prozesse, 2–3 Bots) | 25.000–50.000 € | ca. 750–1.500 € | 8–12 Monate |
| Vollausbau (15+ Prozesse, 5+ Bots) | 60.000–150.000 € | ca. 2.500–5.000 € | 12–18 Monate |
Wichtig: Der Break-Even hängt 80 Prozent an der Auswahl der Prozesse. Drei Bots, die seltene Sonderfälle automatisieren, rechnen sich nicht. Ein Bot, der jeden Tag 50 mal eine Sanktionsliste prüft, schon. Vor dem ersten Bot also: Prozesse zählen, nicht raten.
Das Angebot ist nicht überladen, aber auch nicht laissez-faire. Es wirkt durchdacht und seriös — genau das, was wir gesucht haben.
Pragmatischer Fahrplan: Vom ersten Bot bis zur Skalierung
So führen wir RPA in Hamburger Mittelständlern ein — bewährt aus mehr als 30 Projekten:
- Woche 1–2: Prozess-Inventur. Welche Compliance-Prüfungen laufen heute manuell? Wie oft? Mit welchem Aufwand? Drei Tage Workshop mit Geschäftsführung, Compliance-Verantwortlichem und IT. Ergebnis: Top-5-Prozesse mit Effort/Impact-Score.
- Woche 3: DSB-Bewertung und Architektur. Datenschutzbeauftragter prüft die Auswahl. Bot-Architektur wird festgelegt: Service-Accounts, Credential-Vault, Logging-Backend.
- Woche 4–7: Pilot. Ein Prozess wird automatisiert, getestet, parallel zum manuellen Prozess gefahren. Vergleich der Ergebnisse — passt? Dann go-live.
- Woche 8–12: Roll-out 2 weiterer Bots. Mit den Erfahrungen aus dem Piloten. Schulung der Compliance-Abteilung im Bot-Monitoring.
- Ab Monat 4: Skalieren. Quartalsweise neuer Prozess. Was sich nicht rechnet, wird nicht automatisiert — auch wenn es technisch möglich wäre.
Nie alle Prozesse parallel automatisieren. Wir sehen es regelmäßig: Drei Bots gleichzeitig im Test, niemand versteht mehr was. Lieber EIN Bot fertig produktiv, dann der nächste. Die Lernkurve ist beim ersten Prozess am steilsten — danach geht es deutlich schneller.
RPA, KI und Co-Managed IT: Wo der Trend hingeht
2026 ist die Frage selten „RPA oder KI” — sondern „wann RPA, wann KI”. Strukturierte, regelbasierte Prozesse mit hohem Audit-Bedarf bleiben RPA-Domäne. Wo Sprache verstanden, Dokumente klassifiziert oder Sonderfälle entschieden werden müssen, kommen KI-Agenten hinzu — typischerweise als Vor- oder Nachstufe zum Bot.
Wir setzen RPA bei unseren Kunden meist im Rahmen eines Co-Managed-IT-Modells ein: Sie definieren die Prozesse, wir bauen, betreiben und überwachen die Bots. Praxisbeispiel aus dem Bereich Routine-Automatisierung: Automatisierung von Routineaufgaben.
RPA für Compliance prüfen? Sprechen Sie mit uns.
15 Minuten. Kostenlos. Welche Prozesse sich bei Ihnen rechnen — ehrlich bewertet.
Erstgespräch buchen →Ihr nächster Schritt
Sie haben Compliance-Routinen, die Ihre Mitarbeiter Tage kosten? Sie wissen nicht, ob RPA bei Ihnen sinnvoll ist? Wir machen mit Ihnen eine Prozess-Inventur und sagen ehrlich, wo der Bot hilft — und wo nicht.
15 Minuten, kostenlos, ohne Vertriebsdruck.
