Die stille Demokratisierung der Software-Erschaffung im Mittelstand

**Lead.** Eine Sachbearbeiterin in einem Lohnsteuerhilfeverein am Niederrhein hat mit einem KI-Code-Assistenten eine Webapp gebaut. Bevor sie produktiv ging, hat ein Code-Review der hauseigenen IT-Partner zwei strukturelle Lücken aufgedeckt, die niemand am Schreibtisch alleine sehen konnte. Die ausführliche Erfolgsgeschichte steht an anderer Stelle: [efiniti.de/de/about/success-stories/hilo-ev](https://efiniti.de/de/about/success-stories/hilo-ev/). Dieser Text geht eine Etage höher und fragt, was solche Episoden über die Arbeitsteilung zwischen Mittelstand und seinen IT-Partnern aussagen.

## Wenn die Idee aus dem Fachbüro kommt

Bis vor wenigen Jahren begann fast jede Software-Initiative in einem deutschen KMU mit demselben Satz: „Wir müssten mal mit unserem IT-Dienstleister reden." Heute beginnt sie immer öfter mit einem geöffneten Editor und einem KI-Modell, das im Hintergrund schreibt. Das ist keine Rebellion gegen den IT-Partner. Es ist schlicht der kürzeste verfügbare Weg von einer Idee zu einem Prototyp. Wer eine konkrete Reibung im Arbeitsalltag spürt, kann sie inzwischen am selben Abend prototypisch lösen.

Das verschiebt etwas, das jahrzehntelang stabil war: die Reihenfolge, in der Anforderungen entstehen. Früher wurde die Idee einer Fachkraft erst durch einen Trichter aus Lastenheften, Angeboten und Sprint-Plänen geführt, bevor sie auf einem Bildschirm landete. Heute existiert sie zuerst, oft als lauffähiger Entwurf. Erst danach kommt die Frage, ob sie betriebsfähig ist. Der Dienstleister bekommt nicht mehr einen Wunsch zur Realisierung, sondern einen halbfertigen Code zur Übernahme.

## Was DIY-KI nicht von alleine löst

Diese Verschiebung erzeugt eine neue Klasse von Lücken. KI-Code-Assistenten sind hervorragend darin, plausibel aussehenden Code zu erzeugen. Sie sind erkennbar schlecht darin, drei andere Dinge zu liefern, die für den produktiven Betrieb in einem regulierten Umfeld unverzichtbar sind.

Erstens die Modellwahl. Welches Modell für welchen Anwendungsfall produktionsreif ist, hängt von Lizenzbedingungen, Datenresidenz, Update-Politik und Output-Qualität ab. Diese Abwägung trifft kein Assistent für seinen Nutzer. Sie wird stillschweigend mitgetroffen, sobald der Nutzer das Default-Modell akzeptiert.

Zweitens die Sicherheits-Architektur. Eingabevalidierung, Rechtekonzept, Secret-Handling, sichere Defaults, Audit-Trail. Generatoren produzieren das, was am häufigsten in ihren Trainingsdaten vorkam. Das ist nicht zwingend das, was eine OWASP-Checkliste sehen will.

Drittens die Lebenszeit-Perspektive. Eine Anwendung lebt nicht am Tag des Go-Live, sondern in den drei Jahren danach. Patches, Library-Updates, Kompatibilität, Recovery, Monitoring, Datenmigration. All das gehört zu Software, nicht nur ihr erstes Lauffähig-Werden. Ein KI-Assistent kennt diese Dimension nicht, weil sie in seinem Output-Fenster nicht vorkommt.

Diese drei Lücken sind keine Schwäche der Werkzeuge, sondern eine Eigenschaft ihrer Aufgabe. Werkzeuge bauen Werkstücke. Sie betreiben sie nicht.

## Die stille Neuvermessung der MSP-Rolle

Damit verändert sich auch das Berufsbild des Managed Service Providers. Klassisch war ein MSP der verlängerte Arm der IT-Abteilung des Kunden oder, im KMU, ihr Ersatz. Er nahm Wünsche entgegen, kalkulierte, lieferte, wartete. Die Initiative lag fast immer beim Kunden, aber sie kam aus dem Gespräch, nicht aus einem fertigen Codebaum.

Wenn der Kunde nun selbst anfängt, verschiebt sich die Bestellung. Was vom MSP verlangt wird, ist nicht mehr „bau mir X", sondern „prüfe X, härte X, betreibe X, garantiere mir X". Das ist eine fundamental andere Auftragsstruktur. Sie verlangt vom Dienstleister Fähigkeiten, die er vor drei Jahren noch nicht musste, jedenfalls nicht im selben Umfang: lesendes Code-Verständnis quer durch Frameworks und Sprachen, KI-Modell-Bewertung, Threat-Modelling für KI-generierten Code, Migration zwischen Hosting-Ebenen, Compliance-Mapping in beide Richtungen.

Ein MSP, der das nicht leistet, wird seinen Kunden im Stich lassen, sobald der Kunde aus eigener Initiative liefert. Und Kunden werden aus eigener Initiative liefern. Das ist nicht mehr aufzuhalten.

## Souveränität, die im Alltag passiert

Ein zweiter Punkt verdient mehr Aufmerksamkeit, als ihm die Debatte derzeit zugesteht. Digitale Souveränität ist im öffentlichen Diskurs ein politisches Wort. In einem Beratungsbüro, einem Versicherungsmakler-Büro, einer Handwerker-Buchhaltung ist sie eine Tagesentscheidung. Sie entscheidet sich nicht in Brüssel und nicht in Berlin, sondern an dem Punkt, an dem ein Beleg, eine Personalakte, ein Kundenstamm zum ersten Mal durch ein KI-Modell läuft.

Wenn dieses Modell in einer ausländischen Cloud liegt, ist die Souveränitäts-Frage in diesem Moment entschieden. Nicht prinzipiell, aber faktisch. Wer behauptet, ein nachträglich gesetzter Auftragsverarbeitungs-Vertrag stelle diese Souveränität wieder her, hat den Begriff nicht verstanden. Daten, die einmal in einem anderen Jurisdiktionsraum verarbeitet wurden, sind dort verarbeitet worden. Punkt.

Die naheliegende Konsequenz: wer im KMU mit personenbezogenen oder mandatsbezogenen Daten arbeitet, muss die Möglichkeit haben, KI-Inferenz innerhalb der eigenen Jurisdiktion auszuführen. Und genau diese Möglichkeit ist nichts, was ein KMU sich selbst bauen kann. Sie verlangt eigene GPU-Hardware, ein eigenes Rechenzentrum, ein eigenes Betriebsteam. Das ist nicht KMU-Skala. Es ist genau die Skala, an der ein spezialisierter Mittelstands-MSP heute gebraucht wird.

## Was das für andere Branchen heisst

Steuerberatung ist nur das erste sichtbare Feld, weil die regulatorische Sensibilität dort hoch ist und die Datenmenge handhabbar. Das gleiche Muster wird in den nächsten zwölf bis vierundzwanzig Monaten in Versicherungs-Maklerbüros, in Pflegediensten, im Handwerk, in Anwaltskanzleien, in Architekturbüros aufschlagen. Überall, wo Menschen mit Domänenwissen sitzen, die einen wiederkehrenden Schmerzpunkt in ihrem Arbeitsalltag haben und genug Tech-Neugier, um an einem Abend einen Prototyp zu bauen.

Die Frage für diese Branchen ist nicht, ob ihre Mitarbeitenden anfangen werden, sondern wie ihre IT-Partner darauf reagieren. Wer als MSP heute noch erklärt, Software-Entwicklung sei sein Geschäft und der Kunde solle das gefälligst dem Profi überlassen, wird in zwei Jahren staunen, wieso seine Kunden plötzlich vom „internen Tool" sprechen, das schon seit Monaten produktiv läuft. Vermutlich nicht produktiv im Sinne des Datenschutzes, aber produktiv im Sinne des Arbeitsalltags.

## Was ein IT-Partner heute können muss

Wenn ich die Verschiebung in einem Satz zusammenfassen müsste: Ein IT-Partner für den Mittelstand wird vom Auftragsentwickler zum Vollender fremder Initiative. Das ist anspruchsvoller, nicht weniger anspruchsvoll. Es verlangt eine andere Mischung aus Demut und Strenge. Demut, weil die fachliche Idee nicht mehr im eigenen Haus entsteht. Strenge, weil die Verantwortung für den sicheren, gesetzeskonformen, dauerhaft betreibbaren Betrieb am Ende doch beim Partner liegt.

Konkret heisst das: ein MSP, der diese Rolle ausfüllen will, braucht eine Plattform, auf die er fremden Code übernehmen kann, ohne ihn neu schreiben zu müssen. Er braucht Inferenz-Infrastruktur unter eigener Kontrolle. Er braucht etablierte Review-Prozesse, die nicht als Bremse, sondern als Beitrag wahrgenommen werden. Und er braucht ein Selbstverständnis, das Eigeninitiative von Kunden nicht als Konkurrenz, sondern als Eingangstür für seine eigentliche Wertschöpfung begreift.

Genau das versuchen wir bei EFINITI mit Pandora aufzubauen. Ohne Anspruch, dass es die einzige Antwort wäre. Aber mit der Beobachtung, dass die Frage selbst inzwischen unausweichlich ist.

## Was bleibt

Die Demokratisierung der Software-Erschaffung ist kein Trend, der noch kommt. Sie passiert bereits, in Büros, die sich selbst nie als Software-Häuser sehen würden. Das ist eine gute Nachricht für den Mittelstand, weil Initiative endlich nicht mehr am Budget eines Lastenhefts hängt. Es ist eine fordernde Nachricht für die Branche der IT-Dienstleister, weil sie ein Selbstverständnis ablegen muss, das jahrzehntelang getragen hat.

Wer im Mittelstand heute IT-Partner sein will, muss zwei Dinge gleichzeitig können: einen Schritt zurücktreten, wenn der Kunde anfängt, und mit voller Kompetenz einsteigen, wenn der Kunde nicht weiterkommt. Das eine ohne das andere ist Halbierung. Beides zusammen ist ein Berufsbild, das es so noch nicht gegeben hat.