Dunkelverarbeitung: Prozesse sicher ohne manuelle Eingriffe steuern.

Was Dunkelverarbeitung im Unternehmen bedeutet

Bei einer Dunkelverarbeitung läuft ein fachlich definierter Vorgang vom Eingang bis zum vorgesehenen Ergebnis, ohne dass ein Mensch jeden Standardfall berührt. Das kann die Anlage eines vollständigen Tickets, die Übernahme geprüfter Rechnungsdaten, eine regelkonforme Statusänderung oder die Zuordnung eines eingehenden Auftrags sein. Der Begriff beschreibt den Bearbeitungsweg – nicht die eingesetzte Technologie.

Ein klassisches Regelwerk, eine Workflow-Engine, RPA, eine Schnittstelle oder eine KI-Komponente können Teil dieses Weges sein. Vollständig automatisch darf aber nur der Fall laufen, für den Eingaben, Entscheidung und Folgeaktion innerhalb dokumentierter Grenzen liegen. Verantwortung, Kontrolle und Nachvollziehbarkeit verschwinden dadurch nicht.

Die BaFin hat bereits 2018 im Kontext automatisierter Versicherungsprozesse vor dem Übergang zur Blackbox gewarnt und klare Regeln, eindeutige Workflows sowie ein Verständnis der Verantwortlichen verlangt. Das ist keine allgemeine Rechtsnorm für alle Branchen, beschreibt aber eine tragfähige betriebliche Grenze: Unsichtbare Handarbeit darf nicht durch unsichtbare Unkontrollierbarkeit ersetzt werden.

Die automatische Zone mit Positivkriterien abgrenzen

Eine robuste Lösung fragt nicht nur, wann ein Fall abgelehnt werden soll. Sie definiert positiv, welche Voraussetzungen gemeinsam erfüllt sein müssen, bevor eine automatische Aktion zulässig ist. Dadurch bleibt ein neuer oder unvollständiger Fall außerhalb der automatischen Zone, statt versehentlich durch eine lückenhafte Ausschlussliste zu rutschen.

Die Entscheidung lässt sich als prüfbare Kette beschreiben: Eingang ist technisch intakt, Pflichtdaten sind vollständig, Identitäten und Referenzen sind eindeutig, fachliche Regeln sind erfüllt, mögliche Modellunsicherheit liegt innerhalb der freigegebenen Grenze und die Zielaktion ist für diese Fallklasse erlaubt. Erst dann erhält der Vorgang den Status für die automatische Übergabe.

• zulässiger Eingangskanal, Dateityp und technische Integrität
• vollständige Pflichtfelder und gültige Wertebereiche
• eindeutige Zuordnung zu Kunde, Auftrag, Vertrag oder Vorgang
• abgeglichene Stammdaten und verbindliche Referenzquellen
• erfüllte Geschäftsregeln ohne widersprüchliche Hinweise
• zulässige Wirkung, Berechtigung und Wiederholbarkeit der Systemaktion

Welche Prozesse sich für Dunkelverarbeitung eignen

Geeignet sind nicht automatisch die häufigsten Prozesse, sondern Abläufe mit stabilen Eingängen, klaren Entscheidungskriterien und einem beherrschbaren Fehlerbild. Ein hoher Durchsatz hilft wirtschaftlich, ersetzt aber weder Datenqualität noch eine fachlich eindeutige Prozessgrenze.

Ein sinnvoller Startbereich enthält eine klar beschriebene Standardklasse und bewusst ausgeschlossene Varianten. Bei Rechnungen können beispielsweise strukturierte Daten, bekannte Lieferanten, eindeutiger Bestellbezug und definierte Toleranzen die automatische Zone begrenzen. Bei Servicevorgängen können ein bestätigter Absender, vollständige Pflichtangaben und ein reversibler Zielstatus vergleichbare Kriterien bilden. Das sind Anwendungsszenarien, keine pauschalen Freigaben.

• Der Auslöser und das erwartete Endergebnis sind eindeutig.
• Regeln, Datenquellen und Ausnahmegründe verändern sich kontrolliert.
• Fehler werden vor einer schwer umkehrbaren Wirkung erkannt oder sicher korrigiert.
• Das Zielsystem bestätigt nicht nur den Empfang, sondern den fachlichen Zustand.
• Für unbekannte Fälle existieren Besitzer, Bearbeitungsoberfläche und Wiederanlauf.

Erkennung, Entscheidung und Systemaktion trennen

Dunkelverarbeitung wird riskant, wenn eine unsichere Erkennung direkt mit weitreichenden Schreibrechten verbunden ist. Die Architektur sollte deshalb drei Aufgaben trennen: Eine Komponente liest oder klassifiziert den Eingang, eine Prozessschicht bewertet das Ergebnis anhand fachlicher Regeln und eine begrenzte technische Identität führt nur die erlaubte Aktion im Zielsystem aus.

Für strukturierte E-Rechnungen zeigt das BMF mit Stand März 2026 einen konkreten Vorteil maschinenlesbarer Eingaben: Die Daten können elektronisch weiterverarbeitet und durch Validierung auf fehlende oder unlogische Pflichtangaben geprüft werden. Das BMF stellt zugleich klar, dass die Möglichkeit elektronischer Verarbeitung keine Pflicht zur vollständigen automatischen Weiterverarbeitung erzeugt. Ein valides Format ersetzt also weder fachliche Prüfung noch die Entscheidung über die zulässige Automatisierungszone.

Jeder Übergang benötigt eine eindeutige Vorgangs-ID und einen idempotenten Schreibweg. Nach einer Zeitüberschreitung muss die Prozessschicht feststellen können, ob die Aktion bereits erfolgt ist. Sonst erzeugt ein technischer Wiederholungsversuch doppelte Buchungen, Dokumente oder Tickets.

• Eingang: übernehmen, auf Schadcode und Format prüfen, unverändert referenzieren
• Erkennung: Daten extrahieren oder Fallklasse als Kandidat bestimmen
• Validierung: Pflichtfelder, Referenzen, Toleranzen und Widersprüche prüfen
• Entscheidung: automatische Zone, menschliche Freigabe oder technische Quarantäne zuweisen
• Aktion: mit minimalen Rechten und eindeutiger Vorgangs-ID im Zielsystem schreiben
• Nachweis: Quelle, Regeln, Version, Entscheidung, Aktion und Statuswechsel verbinden

Der Ausnahmeweg ist ein eigener produktiver Prozess

Eine Dunkelverarbeitung ist nur so belastbar wie ihr heller Ausnahmeweg. Ein Ordner mit fehlgeschlagenen Vorgängen reicht nicht. Mitarbeitende brauchen den Originaleingang, erkannte Werte, verletzte Regel, bisherige Systemaktionen und eine konkrete nächste Entscheidung in einer gemeinsamen Ansicht.

Ausnahmegründe sollten fachlich benannt werden: fehlende Referenz, widersprüchlicher Betrag, unbekannte Fallklasse, unzulässige Wirkung oder nicht erreichbares Zielsystem. Ein generischer Status wie ‚Fehler‘ verhindert Priorisierung und Ursachenanalyse. Nach der Korrektur muss der Vorgang an einer sicheren Stelle fortgesetzt werden können, ohne bereits erfolgreiche Schritte zu wiederholen.

• eindeutiger Grundcode statt freiem Sammelfehler
• zuständiges Team und Priorität je Fehlerklasse
• Quelle, Regelentscheidung und Systemverlauf in einer Prüfoberfläche
• Korrektur, Ablehnung, Eskalation und sicherer Wiederanlauf als echte Aktionen
• Alarm, wenn Bestand oder Liegezeit der Warteschlange den freigegebenen Rahmen verlässt

KI nur innerhalb überprüfbarer Wirkungsgrenzen einsetzen

KI kann unstrukturierte E-Mails, Gespräche oder Dokumente für die Prozesssteuerung erschließen. Ihre Ausgabe sollte dabei ein Kandidat mit Qualitätsmerkmalen bleiben. Die automatische Entscheidung stützt sich zusätzlich auf verlässliche Referenzdaten, Geschäftsregeln und die Wirkung der Folgeaktion. Eine Modellkonfidenz allein ist keine fachliche Freigabe.

Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe vom Juni 2025 für KI-gestützte Entscheidungsunterstützung unter anderem Wartezustände bis zur menschlichen Kontrolle, regelmäßige Freigabe-Erfordernisse und den Umgang mit Unsicherheitswerten. Welche datenschutzrechtlichen oder weiteren rechtlichen Anforderungen gelten, hängt von Zweck, Daten, betroffenen Personen und Wirkung des konkreten Prozesses ab. Dieser Beitrag ersetzt keine rechtliche Einzelfallprüfung.

Praktisch sollte die menschliche Kontrolle dort ansetzen, wo Unsicherheit oder Wirkung hoch sind. Niedrig wirkende Standardfälle können nach Freigabe automatisch laufen; ungewöhnliche, personenbezogen folgenreiche oder schwer umkehrbare Aktionen benötigen engere Grenzen oder eine echte menschliche Entscheidung.

Die Dunkelverarbeitungsquote richtig messen

Die Quote allein kann Fortschritt vortäuschen. Der Nenner muss deshalb vorab feststehen: Sind alle eingegangenen Vorgänge enthalten, nur technisch valide Fälle oder nur die bereits freigegebene Standardklasse? Eine belastbare Darstellung zeigt mindestens Gesamtvolumen, grundsätzlich geeignete Fälle und tatsächlich ohne manuellen Kontakt abgeschlossene Fälle getrennt.

Wird die automatische Zone enger gezogen, kann die Quote sinken und die Prozessqualität zugleich steigen. Umgekehrt kann eine hohe Quote durch übergroße Toleranzen erkauft sein. Deshalb gehört zur Dunkelverarbeitungsquote immer die Frage, wie viele automatische Ergebnisse später korrigiert, storniert oder manuell nachbearbeitet wurden.

• Dunkelverarbeitungsquote mit benanntem Nenner und Fallklasse
• Anteil nachträglich korrigierter oder zurückgenommener automatischer Ergebnisse
• Ausnahmequote nach Grundcode, Quelle und Systemübergang
• Bestand und Liegezeit der manuellen Warteschlange
• Anteil unbekannter Fälle sowie Veränderung der Eingangsverteilung
• doppelte, verlorene oder fachlich unvollständig abgeschlossene Vorgänge

Vom Shadow Mode zur kontrollierten Freigabe

Vor der ersten automatischen Systemaktion sollte die neue Logik im Shadow Mode mitlaufen. Sie trifft eine Entscheidung, schreibt aber noch nicht verbindlich. Der Vergleich mit der realen Fachbearbeitung zeigt, welche Fälle falsch eingeordnet, welche Regeln übersehen und welche Eingänge im Testbestand nicht abgebildet wurden.

Anschließend wird nicht der gesamte Prozess auf einmal freigegeben. Eine enge Fallklasse mit reversibler Wirkung startet zuerst. Erweiterungen erfolgen nur nach dokumentierter fachlicher Abnahme. Regel-, Modell-, Schnittstellen- und Stammdatenänderungen benötigen Versionen, Tests und einen Rollback. Der BSI-Grundschutz beschreibt Informationssicherheit ausdrücklich als kontinuierlichen Prozess; dieselbe Betriebsdisziplin ist für automatisierte Prozessketten erforderlich.

• 0–30 Tage: reale Fälle, Varianten, Fehlerwirkung und führende Systeme erfassen
• 30–60 Tage: Positivkriterien, Ausnahmeweg, Nachweiskette und Testklassen implementieren
• 60–90 Tage: Shadow Mode, Fehlersichtung und fachliche Abnahme durchführen
• danach: enge automatische Zone freigeben, Stichproben und Kennzahlen beobachten
• vor jeder Erweiterung: neue Fallklasse, Wirkung und Wiederanlauf erneut testen

Entscheidungscheck vor dem produktiven Start

Eine Dunkelverarbeitung ist startklar, wenn nicht nur der Normalfall demonstriert werden kann. Das Team muss auch einen unvollständigen Eingang, einen widersprüchlichen Datensatz, ein ausgefallenes Zielsystem, eine versehentliche Wiederholung und eine fachliche Korrektur vollständig durchspielen können.

Der wichtigste Prüfpunkt lautet: Kann das Unternehmen für einen einzelnen Vorgang erklären, warum er automatisch laufen durfte, welche Daten und Regeln verwendet wurden, was im Zielsystem geschah und wie das Ergebnis gestoppt oder korrigiert werden kann? Wenn diese Antwort aus mehreren unverbundenen Logs zusammengesucht werden muss, ist die Prozesskette noch nicht ausreichend beherrscht.