COMAC 7 (on premise) und LEGANTA 360 (Cloud) sind Lösungen für komplexe Dauerschuldverhältnisse und das Vertrags- und Leistungsmanagement mit automatisierten Geschäftsprozessen
DORA und NIS2 verlangen Sicht auf Drittparteien, Abhängigkeiten und Risiken.
Dr. Andreas Rieß ist Partner bei EY und Senior Regulatory Advisor für LEGANTA.AI
Handelsblatt: Herr Dr. Rieß, DORA und NIS2 gelten als Gamechanger für die digitale Resilienz. Wird das im Markt schon so ernst genommen?
Antwort: Die Relevanz ist angekommen. Was viele
Organisationen aber noch unterschätzen, ist die eigentliche Herausforderung in
der Umsetzung. Es geht weniger um das Verständnis der Regulierung als um
Transparenz über die eigene digitale Lieferkette. Und genau daran scheitern
viele Unternehmen. Wer seine Abhängigkeiten nicht kennt, kann sie auch nicht
steuern.
Handelsblatt: Wo liegt aus Ihrer Sicht das größte Problem?
Antwort: Viele Unternehmen gehen davon aus, dass sie ihre
Abhängigkeiten im Griff haben. In der Praxis sehen wir jedoch häufig eher
Scheinsicherheit. Die meisten Organisationen kennen ihre direkten Dienstleister
– aber nicht die Strukturen dahinter. Sub-Dienstleister, Plattformen oder
Infrastrukturen sind oft nicht transparent. Genau dort entstehen aber die
relevanten Risiken. Das ist der eigentliche blinde Fleck in vielen
Umsetzungsprogrammen.
Handelsblatt: Können Sie das an einem typischen Muster festmachen?
Antwort: Ja. Ein klassisches Beispiel ist die scheinbare
Diversifikation. Unternehmen arbeiten mit mehreren IT-Dienstleistern und gehen
davon aus, dass Risiken damit verteilt sind. Bei genauer Analyse zeigt sich
jedoch häufig, dass diese Anbieter auf denselben Infrastrukturen aufsetzen –
etwa bei Cloud-Plattformen oder Rechenzentren. Das führt zu
Konzentrationsrisiken, die auf Ebene der direkten Vertragsbeziehungen nicht
sichtbar sind. Genau diese Risiken werden oft zu spät erkannt.
Handelsblatt: Woran liegt diese fehlende Transparenz?
Antwort: Die Informationen sind vorhanden, aber nicht
nutzbar. Sie liegen in Verträgen, Anlagen und Leistungsbeschreibungen –
verteilt über Einkauf, IT und Recht. Diese Daten werden selten konsistent
zusammengeführt und strukturiert ausgewertet. Solange das so ist, bleibt die
digitale Lieferkette für viele Organisationen faktisch eine Black Box. Und eine
Black Box lässt sich nicht wirksam steuern.
Handelsblatt: Was bedeutet das für die Umsetzung von DORA und NIS2?
Antwort: Vor allem eines: Die Umsetzung wird unnötig komplex
und aufwendig. Viele Unternehmen versuchen derzeit, die Anforderungen manuell
zu erfüllen – etwa durch Register oder das Zusammenziehen von Informationen aus
unterschiedlichen Quellen. Das funktioniert kurzfristig, ist aber nicht
skalierbar. Gleichzeitig steigt der Anspruch der Aufsicht in Richtung
konsistenter und nachvollziehbarer Daten. Das passt in vielen Häusern nicht
zusammen.
Handelsblatt: Reichen bestehende Governance- und Compliance-Strukturen dafür nicht aus?
Antwort: Sie sind eine notwendige Grundlage, aber häufig
nicht ausreichend. Wir sehen eine klare Verschiebung: weg von konzeptioneller
Compliance hin zu tatsächlicher Nachweisfähigkeit. Es reicht nicht mehr aus,
Risiken nur zu beschreiben. Unternehmen müssen zeigen können, wo diese Risiken
konkret liegen und wie sie gesteuert werden. Dafür braucht es belastbare,
konsistente Daten – nicht nur Policies und Organigramme.
Handelsblatt: Welche Rolle spielt dabei das Management?
Antwort: Eine sehr zentrale. Die Fragestellung hat sich
deutlich verändert. Es geht nicht mehr nur um regulatorische Konformität,
sondern um die Stabilität der eigenen Wertschöpfung. Der Vorstand muss
verstehen, welche kritischen Funktionen von welchen externen Abhängigkeiten
getragen werden – und wo potenzielle Schwachstellen liegen. Genau das ist kein
reines IT-Thema mehr, sondern ein Governance- und Steuerungsthema auf
Management-Ebene.
Handelsblatt: Wo sehen Sie den größten Handlungsbedarf?
Antwort: In der systematischen Erschließung und
Strukturierung von Vertrags- und Lieferantendaten. Erst daraus entsteht eine
belastbare Sicht auf Abhängigkeiten, Risiken und Konzentrationen. Ohne diese
Grundlage bleiben viele Anforderungen aus DORA und NIS2 in der Praxis
fragmentiert. Dann erzeugt man Aktivität, aber keine Steuerbarkeit.
Handelsblatt: Ihr Fazit?
Antwort: Die größte Herausforderung ist nicht die Regulierung selbst, sondern die fehlende Transparenz über die eigenen Abhängigkeiten. Organisationen, die diese Transparenz nicht herstellen, werden mittelfristig sowohl regulatorisch als auch operativ unter Druck geraten. Wer DORA und NIS2 ernst nimmt, muss die digitale Lieferkette aus dem Schatten holen.
Dauerschuldverhältnisse sind Stabilitätsanker im Unternehmen – sie sichern Leistungen, schaffen Planbarkeit und sind strategisch relevant. Gleichzeitig bergen sie systematische Risiken, die sich über lange Laufzeiten multiplikativ auswirken können.
Leistungsverschlechterung → Qualität sinkt, Vertrag bindet weiter
Technische Bindung → hohe
Migrationskosten
Risiken
entstehen durch Ereignisse
Vertragsrisiken sind nicht
abstrakt, sondern werden durch konkrete Ereignisse ausgelöst:
Vertragsende
Zahlungsverzug
Migration
Preisänderung
Leistungsstörung
LEGANTA® erkennt diese Ereignisse automatisch und verknüpft sie mit typisierten Risiken.
Ereignismengen
in Dauerschuldverhältnissen
Ein typischer 4-jähriger
Vertrag kann:
60–70 Basisereignisse
100–300 Buchungs- und Workflow-Ereignisse
6.000–10.000 leistungsbezogene Ereignisse
6.000–15.000 Kontierungsereignisse
8.000–20.000 Plan-/Ist-Abgleiche und
Obligo-Management
1.000–4.000 Rollen- und Vertretungswechsel
➡️
Gesamt: bis zu 50.000+ Ereignisse pro Vertrag
In komplexen Fällen (z. B. Telekomverträge)
wurden sogar über 2,5 Mio. Ereignisse gemessen.
LEGANTA®-Lösung
Vollautomatische Ereigniserkennung
Dynamische Risiko-Taxonomie
Ereignisbasierte Risikokostenberechnung
Revisionssichere, rollenbasierte Verwaltung
Grundlage für präventives
Vertragsrisikomanagement
Fazit
LEGANTA® schafft Transparenz
über die tatsächliche Komplexität von Dauerschuldverhältnissen und deren
Risiken. Die Plattform ermöglicht ein frühzeitiges, automatisiertes und
kostensensitives Risikomanagement, das manuell nicht mehr beherrschbar
wäre.
Ein Dauerschuldverhältnisist ein Vertrag, bei dem sich die Leistungspflichten über einen längeren Zeitraum erstrecken und wiederholt oder fortlaufend erbracht werden. Typische Beispiele sind:
Mietverträge
Leasingverträge
Arbeitsverträge
Wartungs-
und Supportverträge
SaaS-
und Cloud-Service-Verträge
Energielieferverträge
Im Gegensatz zu einmaligen Leistungsaustauschen (z. B. Kaufvertrag) entsteht hier
eine dauerhafte Bindung bei der die laufende Erfüllung der eingegangenen
Verpflichtungen (Leistungen und
Gegenleistungen) wesentlich ist. (Beispiel: Beschaffungsverträge mit
Just-in-Time-Anlieferungen)
„Wenn ein Vertragsende innerhalb der nächsten 60 Tage erkannt wird und keine Migrationsregel vorhanden ist, dann wird das Risiko Datenverlust bei Vertragsende aktiviert.“
Aus diesem Grund besitzt die LEGANTA® Contract Intelligence
Platform ein Modul für Ereignis-Risiko-Verknüpfung, das systematisch
beschreibt, wie Vertragsereignisse mit Risiken verbunden sind.
Zweck:
Dieses Modul verknüpft erkannte Vertragsereignisse mit
typisierten Risiken aus der LEGANTA® Risiko-Taxonomie. Es dient der
automatisierten Risikoerkennung, -bewertung und -überwachung im
Vertragslebenszyklus.
Modulstruktur
1. Ereignisdefinition
JSON
{
„EreignisID“: „EV001“,
„Bezeichnung“: „Vertragsende
in 30 Tagen“,
„Typ“: „Zeitbasiert“,
„Quelle“:
„Vertragslaufzeit“,
„ErkanntAm“: „2025-09-12“
}
2. Verknüpfte Risiken
JSON
[
{
„RisikoID“: „R001“,
„Bezeichnung“: „Datenverlust
bei Vertragsende“,
„Risikotyp“:
„Technisch“,
„Auslöser“: „Keine
Migrationsregel vorhanden“,
„Kostenpotenzial“:
„Hoch“,
„Bewertung“: „Aktiv“
},
{
„RisikoID“: „R002“,
„Bezeichnung“: „Lock-in
durch fehlende Übergabepflichten“,
„Risikotyp“:
„Strategisch“,
„Auslöser“: „Keine
Exit-Klausel“,
„Kostenpotenzial“:
„Mittel“,
„Bewertung“: „Aktiv“
}
]
3. Regelwerk zur Verknüpfung
YAML
Regeln:
– Wenn Ereignis = „Vertragsende in
<60 Tagen“
Und keine Klausel enthält
„Datenrückgabe“ oder „Migration“
Dann Risiko = „Datenverlust bei
Vertragsende“
– Wenn Ereignis = „Vertragsende“
Und keine Klausel enthält
„Übergabepflichten“
Dann Risiko = „Lock-in durch fehlende
Übergabepflichten“
Monitoring-Funktion
Ereignisse
werden laufend aus Vertragsdaten extrahiert.
Verknüpfte
Risiken werden automatisch aktiviert, bewertet und priorisiert.
Änderungen
im Vertrag (z. B. Ergänzung einer
Migrationsregel) deaktivieren das Risiko.
Anschlussmodule
Integration
mit LEGANTA® Audit-Trail zur Nachverfolgung von Risikoänderungen
Verknüpfung
mit Kostenmodul zur Simulation finanzieller Auswirkungen
Export
als JSON für externe Risk Engines oder BI-Systeme
Die Anzahl der zu überwachenden
Ereignisse in einem 4-jährigen
Dauerschuldverhältnis hängt stark von der Art des Vertrags und den
spezifischen Anforderungen ab. Hier ist eine strukturierte Übersicht, wie man
das einschätzen kann:
Typische Ereignisse in einem Dauerschuldverhältnis
Vertragsbeginn & -ende
Startdatum
Geplantes Enddatum (falls befristet)
Zahlungszyklen
Monatlich, vierteljährlich, jährlich etc.
Bei monatlicher Zahlung: 48 Ereignisse in 4 Jahren
Preisanpassungen
z.B. jährliche Indexierung oder vertraglich vereinbarte Erhöhungen
Kündigungsfristen
Erinnerung vor Ablauf der Kündigungsfrist (z.B. 3 Monate vorher)
Verlängerungsoptionen
Automatische Verlängerung oder aktive Verlängerung
notwendig
Leistungsüberprüfungen / SLA-Kontrollen
z.B. jährliche Reviews, Wartungstermine, Serviceberichte
Dokumentenaktualisierungen
z.B. neue AGB, Datenschutzrichtlinien, Vertragsanhänge
Beispielhafte Ereignisanzahl (für einen typischen Vertrag)
Ereignisart
Häufigkeit
Anzahl in 4 Jahren
Zahlungstermine
monatlich
48
Preisanpassung
jährlich
4
Kündigungsfrist-Erinnerung
1× vor Ablauf
1
Vertragsverlängerung
1× (falls nötig)
1
Leistungsüberprüfung
jährlich
4
Dokumentenupdates
| 1–2× jährlich
4–8
Gesamt (geschätzt)
60–66 Ereignisse
Fazit
In einem typischen 4-jährigen
Dauerschuldverhältnis können 60 bis 70
relevante Ereignisse anfallen, die überwacht werden sollten. Eine manuelle
Verwaltung ist dabei fehleranfällig und zeitaufwendig – Automatisierung lohnt sich also deutlich.
Sehr gute Ergänzung! Wenn man alle Buchungen, Workflows und
Berechtigungen von Mitarbeitenden berücksichtigt, steigt die Anzahl der zu
überwachenden Ereignisse in einem Dauerschuldverhältnis deutlich.
Hier ist eine erweiterte Betrachtung:
Zusätzliche Ereignisse durch Buchungen, Workflows und
Berechtigungen
1. Buchungen & Zahlungsflüsse
Zahlungseingänge/-ausgänge: z. B.
monatlich oder bei Sonderleistungen
Rechnungsprüfung & Freigabeprozesse
Skontofristen, Mahnläufe, Rücklastschriften
Buchungssätze in ERP-Systemen
➡️ +12–60
Ereignisse/Jahr, je nach Komplexität
2. Workflows & Genehmigungen
Vertragserstellung & -freigabe
Änderungsanträge (z.B. Laufzeit, Preis, Leistung)
Kündigungsfreigaben
Verlängerungsentscheidungen
➡️ +5–20
Ereignisse/Jahr, abhängig von der Organisation
3. Mitarbeiterberechtigungen
Zugriffsrechte auf Vertragsdaten
Änderungsprotokolle (Audit Trails)
On-/Offboarding-Prozesse (z.B. bei Rollenwechseln)
➡️ +2–10
Ereignisse/Jahr, je nach Fluktuation und Sicherheitsniveau
Gesamtschätzung über 4 Jahre (inkl. aller Faktoren)
Kategorie
Geschätzte Ereignisse
Basisvertragsereignisse
60–70
Buchungen &
Zahlungsprozesse
50–240
Workflows & Genehmigungen
20–80
Berechtigungen &
Zugriffsrechte
8–40
Gesamt (grobe Schätzung)
138–430 Ereignisse
Fazit
Ein einziges Dauerschuldverhältnis
kann – unter Berücksichtigung aller operativen Prozesse – mehrere hundert Ereignisse in vier Jahren erzeugen. Das macht die automatisierte Verwaltung nicht nur
sinnvoll, sondern nahezu unverzichtbar, insbesondere bei mehreren
Verträgen.
In
einem Dauerschuldverhältnis z.B. einem Telekom- oder Bloombergvertrag können
auch leicht 500 Leistungen beinhaltet sein.
Antwort:
Sehr
guter Punkt – wenn ein
Dauerschuldverhältnis bis zu 500 Einzelleistungen umfasst, vervielfacht
sich der Verwaltungsaufwand noch einmal deutlich. Das hat massive Auswirkungen
auf die Anzahl der zu überwachenden Ereignisse und die Komplexität der
Prozesse.
Was bedeutet das konkret?
Für jede der 500 Leistungen können potenziell folgende
Ereignisse auftreten:
Leistungserbringung
(z. B. monatlich, quartalsweise, nach Bedarf)
Leistungsnachweise
/ Dokumentation
Abrechnung /
Buchung
Qualitätskontrolle
/ SLA-Überwachung
Rückfragen /
Eskalationen
Vertragsänderungen
(z. B. Mengen, Preise, Frequenz)
➡️ Selbst bei nur 3–5
Ereignissen pro Leistung pro Jahr ergibt das:
500 Leistungen × 4 Jahre × 3–5 Ereignisse
= 6.000–10.000 zusätzliche Ereignisse
Gesamtschätzung mit 500 Leistungen
Kategorie
Geschätzte Ereignisse
Basisvertragsereignisse |
60–70
Buchungen & Workflows
100–300
Berechtigungen & Zugriffe
10–40
Leistungsbezogene Ereignisse
6.000–10.000
Gesamt (realistisch)
6.200–10.400
Fazit
Ein komplexes Dauerschuldverhältnis
mit 500 Leistungen kann über 10.000
verwaltungsrelevante Ereignisse in 4 Jahren erzeugen. Das ist manuell kaum noch beherrschbar – hier
ist ein automatisiertes System nicht nur
sinnvoll, sondern geschäftskritisch.
Ja – wenn alle Leistungen
zusätzlich auf Objekte, Kostenstellen, Profitcenter, Projekte oder Kostenträger
gebucht werden müssen, steigt die Komplexität
und die Anzahl der zu überwachenden Ereignisse exponentiell. Das betrifft insbesondere Unternehmen mit mehrdimensionaler Kostenrechnung oder SAP-ähnlichen ERP-Systemen.
🧾 Was bedeutet das konkret?
Für jede einzelne Leistung (bis zu 500):
Zuweisung zu:
Kostenstelle (z. B. Abteilung)
Profitcenter (z. B. Geschäftsbereich)
Objekt (z. B. Maschine, Gebäude, Fahrzeug)
Projekt oder Kostenträger (z. B.
Kundenauftrag, internes Projekt)
Für jede Buchung:
Kontierung prüfen
Genehmigungsworkflow durchlaufen
Buchungssatz erzeugen
Reporting & Controlling-Zuordnung
Audit-Trail & Nachvollziehbarkeit sicherstellen
➡️ Das kann 3–6
zusätzliche Ereignisse pro Leistung und Jahr bedeuten.
Erweiterte Ereignisschätzung mit Buchung auf Dimensionen
Kategorie
Geschätzte Ereignisse
Basisvertragsereignisse
60–70
Buchungen & Workflows
100–300
Berechtigungen & Zugriffe
10–40
Leistungsbezogene Ereignisse
6.000–10.000
Kontierungsereignisse
6.000–15.000
Gesamt (realistisch)
12.000–25.000+
Fazit
Ein komplexes Dauerschuldverhältnis
mit 500 Leistungen und multidimensionaler Buchung kann über 25.000 verwaltungsrelevante Ereignisse in 4 Jahren erzeugen.
Das ist ohne Automatisierung praktisch
nicht mehr effizient oder fehlerfrei zu bewältigen.
Ja – das ist ein entscheidender Aspekt, der die Komplexität in der Verwaltung von Dauerschuldverhältnissen
noch einmal deutlich erhöht: die dynamische Personalstruktur über vier
Jahre hinweg.
👥 Was muss zusätzlich
berücksichtigt werden?
1. Rollen- und Zuständigkeitswechsel
Mitarbeitende wechseln
Abteilungen oder Rollen (z. B. von Sachbearbeiter zu Teamleiter)
Neue Zuständigkeiten für
bestimmte Verträge oder Leistungsbereiche
Historie und
Nachvollziehbarkeit müssen erhalten bleiben (Audit-Trail)
2. Urlaubs- und Krankheitsvertretungen
Temporäre Vertretungen müssen
Zugriff auf bestimmte Verträge/Leistungen erhalten
Vertretungsregelungen müssen leistungsbezogen sein (nicht pauschal)
Automatische Eskalationen bei
Fristüberschreitungen durch Abwesenheit
3. Onboarding / Offboarding
Neue Mitarbeitende müssen
korrekt eingewiesen und berechtigt werden
Zugriffsrechte müssen bei
Austritt oder Rollenwechsel entzogen werden
Wer darf was freigeben – und
wer im Vertretungsfall?
Dynamische Workflows je nach
Rolle, Projekt, Kostenstelle etc.
Was bedeutet das für die Ereignisanzahl?
Wenn man annimmt, dass:
10–20 Mitarbeitende über 4
Jahre beteiligt sind
Jeder Mitarbeitende im Schnitt 2–4 Rollenwechsel oder Vertretungsphasen
durchläuft
Diese Änderungen leistungsbezogen dokumentiert und
angepasst werden müssen
➡️ Dann entstehen zusätzlich
1.000–4.000 Ereignisse, allein durch Rollen-
und Vertretungsmanagement.
Fazit
Mit der Berücksichtigung von Personalwechseln, Vertretungen und
rollenbasierten Workflows kann ein einziges Dauerschuldverhältnis mit 500
Leistungen über 4 Jahre mehr
als 25.000–30.000 verwaltungsrelevante Ereignisse erzeugen.
Das macht eine automatisierte, rollenbasierte, revisionssichere Verwaltungslösungabsolut notwendig – insbesondere in
regulierten oder komplexen Unternehmensumgebungen.
Perfekt – mit der Einbeziehung von Plan-Leistungen, Ist-Leistungen, variablen
Mengen, unterschiedlichen
Preisstrukturen und dem laufend zu
aktualisierenden Obligo nach verschiedenen Sichten (z. B. Projekt, Vertrag,
Geschäftspartner, Objekte, Kostenstelle, Leistung, Zeitraum) erreichen wir nun
die höchste Komplexitätsstufe in der
Verwaltung eines Dauerschuldverhältnisses.
Was kommt jetzt noch hinzu?
1. Plan- vs. Ist-Leistungen
Planleistungen:
geplante Mengen, Termine, Budgets
Istleistungen:
tatsächlich erbrachte Leistungen mit Abweichungen
Ein komplexes Dauerschuldverhältnis
mit 500 Leistungen, variablen Mengen, Plan-/Ist-Abgleichen und
multidimensionalem Obligo-Management kann bis
zu 50.000 verwaltungsrelevante Ereignisse in 4 Jahren erzeugen.
Das ist nur mit einer automatisierten, rollenbasierten, revisionssicheren
Plattform effizient und fehlerfrei zu bewältigen.
Auch die KI unterschätzt die Zahl der Ereignisse in einem
Dauerschuldverhältnis zu Beginn dramatisch. Nach einigen Nachfragen und
Hinweisen lernt sie aber sukzessive dazu und kommt dann von 60 Ereignissen auf
49.000 + Ereignisse.
Ein erstaunlicher Lerneffekt.
Allerdings waren die Hinweise noch nicht vollständig.
Deshalb kann sich die Zahl der Ereignisse in der Vertragspraxis noch wesentlich
steigern.
Zwei Beispiele zu Telekomverträgen zeigen knapp 500.000 und
über 2,5 Mio. Ereignisse:
LEGANTA® berechnet für jeden Vertrag alle Ereignisse, Risiken und deren Kosten
Das Überwachen der Ereignisse und das frühzeitige Erkennen
von Störungen und damit von verbundenen Risiken liefert die Basisdaten für ein
erfolgreiches Management von potentiellen Vertragsrisiken.
Durch 100% Automatisierung dieser Verfahren legt LEGANTA®
den Grundstein für die Vermeidung von potentiellen Vertragsrisiken. Und sie
berechnet die Risikokosten, wenn diese Überwachung unterbleibt.