Firmendaten verwerten: Wie Sie exportieren, sichern und was Käufer prüfen

In vielen Unternehmen liegen Datenbestände, die niemand mehr öffnet: E-Mail-Archive, abgeschlossene Tickets, die Historie im ERP, Konstruktionsstände aus vielen Jahren. Für KI-Labore sind genau diese Bestände interessant, weil sie zeigen, wie Arbeit in Unternehmen tatsächlich abläuft. Dieser Beitrag beschreibt, wie viel davon in einem typischen Unternehmen liegt, wie man es exportiert und sichert und worauf Käufer bei der Prüfung achten.

Wie viele Daten liegen in einem Unternehmen?

Mehr, als die meisten schätzen: Ein Unternehmen mit 100 Beschäftigten erhält in sechs Jahren rund 4,5 Millionen E-Mails.

Die Rechnung stützt sich auf amtliche und repräsentative Zahlen. Berufstätige in Deutschland erhalten im Schnitt 53 E-Mails pro Tag an ihre berufliche Adresse.^[1] In Unternehmen mit 50 bis 249 Beschäftigten haben 64,9 Prozent der Beschäftigten beruflich Zugang zum Internet.^[2] Ein Unternehmen dieser Größe hat im Schnitt rund 100 Beschäftigte.^[3] Empfangene Handels- und Geschäftsbriefe sind sechs Jahre aufzubewahren, Buchungsbelege acht und Bücher zehn Jahre.^[4][5] Mit der kürzesten dieser Fristen und 220 Arbeitstagen im Jahr ergibt sich:

Hochgerechnet auf alle 84.701 Unternehmen mit 50 bis 249 Beschäftigten^[3] sind das rund 384 Milliarden E-Mails im Aufbewahrungszeitraum, in Unternehmen ab 250 Beschäftigten weitere rund 870 Milliarden. Zum Vergleich: Im aktuellen Abzug von Common Crawl, dem offenen Webarchiv, auf dem viele KI-Trainingsdatensätze beruhen, sind 5,8 Prozent von 2,17 Milliarden Seiten deutschsprachig, also rund 125 Millionen.^[6][7] Gemessen an der Zahl der Dokumente entspricht das E-Mail-Archiv eines einzigen Mittelständlers damit gut 3,6 Prozent davon, die Archive des gesamten Mittelstands dem rund 3.000-Fachen.

Öffentlicher Text wird dagegen knapp. Epoch AI schätzt den Bestand an brauchbarem öffentlichem Text auf rund 300 Billionen Token und erwartet, dass Sprachmodelle ihn zwischen 2026 und 2032 ausgeschöpft haben.^[8] Zugleich sperren immer mehr Websites KI-Crawler: Nach einer Untersuchung der Data Provenance Initiative wurden innerhalb eines Jahres über 5 Prozent aller Token im Trainingsdatensatz C4 und über 28 Prozent seiner wichtigsten Quellen per robots.txt gesperrt.^[9] Interne Firmendaten waren nie öffentlich und stecken deshalb in keinem dieser Datensätze.

Schritt 1: Bestand erfassen

Bevor exportiert wird, steht fest, welche Systeme es gibt, welche Zeiträume sie abdecken und was ausgeschlossen bleibt.

• Systeme: E-Mail, Ticketsysteme, ERP und Buchhaltung, CRM, Dateiablagen, CAD- und PDM-Systeme, Code. Auch abgeschaltete Systeme zählen, wenn ein Export oder eine Sicherung existiert.
• Zeitraum: Von wann bis wann reichen die Daten, und gab es Systemwechsel oder Lücken?
• Zusammenhang: Lassen sich Vorgänge über mehrere Systeme verfolgen, etwa von der Anfrage per E-Mail über den Auftrag im ERP bis zum Ticket?
• Ausschlüsse: Personalakten, Gesundheitsdaten, Berufsgeheimnisse und Unterlagen, für die Vertraulichkeit mit Dritten vereinbart ist, werden ausgeklammert oder gesondert behandelt.
• Befugnis: Wer darf über die Daten entscheiden? Im laufenden Betrieb die Geschäftsführung, in der Insolvenz der Verwalter.

Schritt 2: Exportieren, System für System

Mit den Standardwerkzeugen der Systeme, im Originalformat und mit allen Metadaten. Ausdrucke und PDF-Exporte verlieren genau die Angaben, die Käufer brauchen.

Große Postfächer brauchen Zeit. Microsoft bricht Exporte ab, die länger als sieben Tage laufen, und empfiehlt, große Exporte nach Zeiträumen oder Quellen aufzuteilen.^[10] Was bei Konstruktionsdaten zusätzlich zu beachten ist, steht im Artikel Konstruktionsdaten für KI-Training.

Schritt 3: Sichern und prüfen

Wie jede Datensicherung: getrennt aufbewahrt, vor Überschreiben geschützt, verschlüsselt und mit einem Test, ob sich alles zurückspielen lässt.

Das BSI beschreibt die Anforderungen im Baustein CON.3 des IT-Grundschutz-Kompendiums.^[19] Für Exporte zur Verwertung heißt das:

• Getrennt aufbewahren: Sicherungsmedien gehören räumlich getrennt von den gesicherten Systemen, möglichst in einen anderen Brandabschnitt (CON.3.A12).
• Vor Überschreiben schützen: Schreibzugriff nur für autorisierte Sicherungen (CON.3.A14).
• Verschlüsseln und die Schlüssel getrennt sichern (CON.3.A13).
• Wiederherstellung testen: Prüfen, ob sich die Daten einwandfrei und in angemessener Zeit zurückspielen lassen (CON.3.A15).
• Prüfsummen festhalten: Für jede Exportdatei einen SHA-256-Hashwert notieren. So lässt sich später belegen, dass eine Kopie unverändert ist.

Große Bestände über das Internet zu übertragen, dauert: Ein Terabyte braucht bei 100 Mbit/s Upload rund 22 Stunden, bei 50 Mbit/s rund 44 Stunden. Deshalb anonymisieren wir lokal beim Verkäufer, und nur der anonymisierte Export verlässt das Haus. Wie das abläuft, steht unter Anonymisierung.

Welche Formate Käufer erwarten

Offene, dokumentierte Formate, ein Datensatz pro Vorgang und eine Beschreibung des Bestands.

• E-Mails: EML oder MBOX mit vollständigen Kopfzeilen. Über Message-ID und Antwortbezüge lassen sich ganze Verläufe rekonstruieren.^[14]
• Tickets und Vorgänge: JSON mit einem Vorgang pro Zeile, einschließlich Kommentaren, Statuswechseln und Zeitstempeln. Zendesk liefert seinen JSON-Export bereits zeilenweise, der CSV-Export enthält dagegen keine Kommentare.^[16]
• Tabellen: CSV mit Spaltenbeschreibung, bei großen Mengen auch spaltenorientierte Formate wie Parquet.^[17]
• Code: Git-Repositories mit vollständiger Historie.^[18]
• Konstruktion: Originalformate mit Parametern statt Exporten.

Zu jedem Bestand gehört eine Beschreibung. In der Forschung hat sich dafür das Datenblatt nach dem Vorschlag Datasheets for Datasets durchgesetzt: Herkunft, Zweck, Zusammensetzung, Erhebung und Einschränkungen eines Datensatzes.^[20] Für maschinenlesbare Beschreibungen gibt es Croissant, ein Metadatenformat von MLCommons auf Basis von schema.org, das große Dataset-Plattformen wie Hugging Face, Kaggle und OpenML unterstützen.^[21][22] Bei uns gehören zu jeder Lieferung ein anonymes Datenblatt und ein Prüfbericht zur Anonymisierung.

Worauf Käufer achten

Auf nachweisbare Rechte, zusammenhängende Vorgänge mit Ergebnis, ausreichend Historie und eine belegte Anonymisierung. Die Menge allein entscheidet selten.

Seit August 2025 müssen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck in der EU eine Strategie zur Einhaltung des Urheberrechts haben und eine Zusammenfassung ihrer Trainingsinhalte nach einer Vorlage der Kommission veröffentlichen.^[23][24] Käufer brauchen deshalb Bestände, deren Herkunft und Rechte sie belegen können.

Die Menge ist dabei zweitrangig. Labelbox schreibt, der Wert hänge weniger vom Volumen ab als davon, wie echt die Daten die tatsächliche Arbeit abbilden.^[25] Deutschsprachige Bestände sind zudem knapp: Im offenen Web macht Deutsch nur 5,8 Prozent aus.^[6]

Ob anonymisierte Daten noch personenbezogen sind, wird aus Sicht des Empfängers beurteilt: Nach dem EuGH sind pseudonymisierte Daten für einen Empfänger nicht personenbezogen, wenn er die Zuordnung nicht mit vertretbarem Aufwand herstellen kann.^[27] Deshalb erhalten Käufer die Zuordnungstabelle nie, und nach der Übergabe wird sie gelöscht.

Was ein Bestand bringen kann

Veröffentlichte Spannen reichen von rund 50.000 bis über 2 Millionen US-Dollar je Bestand.

micro1 nennt 100.000 bis 500.000 US-Dollar für qualifizierte Partnerschaften, 500.000 bis 2 Millionen für große oder laufende Bestände und mehr als 2 Millionen für besonders einzigartige Daten.^[26] Labelbox nennt rund 50.000 US-Dollar für kleinere, gezielte Bestände bis über 1 Million für große Partnerschaften, als Vorabzahlung bei Vertragsschluss und Beteiligung an der späteren Nutzung.^[25] Wie wir einen Bestand einschätzen, steht im Artikel Was ist ein Datenbestand wert?

Checkliste vor dem ersten Gespräch

1. Systeme und Zeiträume auflisten, auch abgeschaltete.
2. Klären, wer über die Daten entscheiden darf.
3. Ausschlüsse festlegen und Verträge mit Kunden und Lieferanten auf Vertraulichkeitsabreden prüfen.
4. Den Exportweg an einem kurzen Zeitraum testen.
5. Exporte als Kopie sichern: getrennt, verschlüsselt, mit Prüfsummen.
6. Den Bestand kurz beschreiben: Systeme, Zeitraum, Datenmenge, typische Vorgänge.