Übergabe einer Automatisierung: Checkliste für Ihren Betrieb

Nach einem Automatisierungsprojekt muss dem Betrieb mehr gehören als die laufenden Abläufe. Dazu zählen die Abläufe als Kopie außerhalb des Systems, die Zugänge zu den angebundenen Programmen, der Schlüssel, ohne den gespeicherte Passwörter unlesbar sind, und eine Beschreibung, die ein Dritter lesen kann. Ein Export der Abläufe allein reicht für die Übergabe nicht, und ein fehlender Schlüssel ist besonders folgenreich.

Worum es geht

Ein Ablauf (auf Englisch Workflow) ist eine festgelegte Folge von Schritten, die ein Programm von selbst ausführt, etwa von der Anfrage per Formular bis zur Nachricht an die Bürokraft. Was das im Kleinbetrieb ist, steht in Prozessautomatisierung im kleinen Betrieb. Beispielwerkzeug ist n8n, das ein Betrieb auf einem eigenen oder gemieteten Server selbst betreiben kann (Self-Hosting). Die technischen Angaben stammen aus der Herstellerdokumentation (Stand November 2026). Bei anderen Werkzeugen stellt sich dieselbe Frage, die Antworten stehen in deren Dokumentation. Den Cloud-Dienst hat der Autor nicht geprüft.

Was das BSI zum Ende einer Auslagerung sagt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt im IT-Grundschutz-Kompendium, Edition 2023, wie Institutionen das Auslagern von IT absichern. Der Baustein OPS.2.3 stellt klar: „Allerdings verbleibt die Verantwortung aus Sicht der Informationssicherheit stets bei der auslagernden Institution.“ Als Gefährdung nennt er fehlende Regelungen für das Ende, die dazu führen können, dass „Hardware, Daten und Zugänge nicht oder nicht ordnungsgemäß“ an den Auftraggeber übergeben werden.

Die Anforderung A7 verlangt Regelungen für geplante und ungeplante Beendigung und die Festlegung, wie alle Informationen, Daten und Hardware zurückgegeben werden, unter Beachtung gesetzlicher Aufbewahrungspflichten. Geprüft werden soll, ob die Zugangsrechte des Dienstleisters mit dem Ende aufgehoben wurden. A14 ergänzt, dass Verträge Kündigungsoptionen enthalten und regeln sollen, wie das Eigentum des Auftraggebers zurückgegeben wird.

Der Baustein richtet sich an Institutionen. Ob er für Ihren Betrieb verbindlich ist, etwa durch einen Kundenvertrag, ist eine Einzelfrage. Als Maßstab taugt er trotzdem. Für den Fall, dass der Dienstleister ausfällt, sollen nach A20 gemeinsame Notfallpläne bestehen.

Was technisch dazugehört

Gegenstand	Was nach der n8n-Dokumentation dazugehört
Abläufe	Export per Kommandozeile, eine Datei je Ablauf (export:workflow --backup)
Zugangsdaten	Export der gespeicherten Zugangsdaten (export:credentials --backup), verschlüsselt
Schlüssel	Datei config im Ordner .n8n oder die Umgebungsvariable N8N_ENCRYPTION_KEY
Benutzer und Rollen	nicht im Export; Rollen laut Benutzerverwaltung: Eigentümer (Owner), Mitglied (Member), weitere je nach Tarif
Vollsicherung	Ordner .n8n, bei PostgreSQL zusätzlich die Datenbank, externer Speicher, Verzeichnisse eigener Erweiterungen, Konfiguration des Betriebs

Bei der Standarddatenbank SQLite soll n8n vor dem Kopieren gestoppt werden, sonst kann die Sicherung unbrauchbar sein.

Der Export ist nicht die Übergabe

Der Export mit --backup enthält nach der Dokumentation nur Abläufe und Zugangsdaten. Nicht enthalten sind Benutzer und ihre Rollen, der Ausführungsverlauf, Variablen und die Instanzeinstellungen einschließlich des Schlüssels. Nach dem Einspielen in eine frische Installation erscheint die Einrichtung des Eigentümerkontos neu, und wer sie zuerst abschließt, wird Eigentümer.

1. SchlüsselOhne ihn sind gespeicherte Zugangsdaten unlesbar
2. VollsicherungOrdner, Datenbank, Konfiguration, Rückspieltest
3. ExportAbläufe und Zugangsdaten, mehr enthält er nicht
4. Konten und BenutzerKonten auf den Betrieb, Zugang des Dienstleisters beendet
5. BeschreibungZweck, Zuständige, Fehlerfall, Änderungsprotokoll

Textfassung der Grafik

• Ebene 1 von unten: Schlüssel, Ohne ihn sind gespeicherte Zugangsdaten unlesbar
• Ebene 2 von unten: Vollsicherung, Ordner, Datenbank, Konfiguration, Rückspieltest
• Ebene 3 von unten: Export, Abläufe und Zugangsdaten, mehr enthält er nicht
• Ebene 4 von unten: Konten und Benutzer, Konten auf den Betrieb, Zugang des Dienstleisters beendet
• Ebene 5 von unten: Beschreibung, Zweck, Zuständige, Fehlerfall, Änderungsprotokoll

Der Schlüssel entsteht beim ersten Start zufällig und liegt im Ordner .n8n. Mit ihm verschlüsselt n8n die Zugangsdaten, bevor es sie in der Datenbank speichert. Ohne ihn lassen sich nach der Dokumentation eine wiederhergestellte Datenbank und ein verschlüsselter Export nicht entschlüsseln. Die Option --decrypted schreibt alle Zugangsdaten im Klartext. Solche Dateien sind nach dem Einspielen zu löschen.

Beim Einspielen werden Abläufe mit gleicher Kennnummer in der Zielinstanz überschrieben. Eingespielte Abläufe sind zunächst deaktiviert. Wer Abläufe per Export und Import zwischen Benutzerkonten verschiebt, verliert laut Dokumentation den Verlauf der Änderungen.

Praxisempfehlung des Autors: Bewahren Sie den Schlüssel getrennt von der Sicherung auf. Läge er daneben, wäre die Verschlüsselung der Zugangsdaten wirkungslos, sobald jemand die Sicherung in die Hand bekommt. Das BSI erlaubt in ORP.4.A8 ein schriftlich festgehaltenes Passwort nur zur Hinterlegung für einen Notfall und verlangt dann sichere Aufbewahrung; die Nutzung eines Passwort-Managers soll geprüft werden.

Ein Beispiel mit erfundenen Daten: Ein Elektrobetrieb mit zwölf Beschäftigten lässt sich einen Ablauf für Anfragen bauen, der Export liegt auf einem USB-Stick im Büro. Der Server fällt aus und wird neu aufgesetzt. Die Abläufe lassen sich einspielen, die gespeicherte Verbindung zum Postfach nicht, denn der Schlüssel lag nur im Ordner des ausgefallenen Servers.

Wem die Zugänge gehören

Es gibt zwei Arten von Zugängen. Der erste führt ins Werkzeug selbst: n8n empfiehlt, dass der Eigentümer sich ein zweites Konto mit der Rolle Member anlegt, weil Eigentümer alles sehen, aber nicht erkennen können, wer einen Ablauf erstellt hat. Beim Löschen eines aktiven Benutzers fragt n8n, ob dessen Abläufe und Zugangsdaten zu einem neuen Benutzer kopiert oder dauerhaft gelöscht werden. Beim Weggang des Dienstleisters sollten Sie das bewusst wählen.

Das BSI verlangt in ORP.4, dass jede Benutzerkennung eindeutig einer Person zugeordnet werden kann (A1), dass bei personellen Veränderungen nicht mehr benötigte Kennungen und Berechtigungen entfernt werden (A2) und dass dokumentiert wird, welche Kennungen angelegt wurden. Diese Dokumentation soll regelmäßig mit dem tatsächlichen Stand verglichen und in die Datensicherung einbezogen werden (A3).

Der zweite Zugang führt zu den angebundenen Programmen: Postfach, Kalender, Buchhaltung, KI-Dienst. Praxisempfehlung des Autors: Diese Konten lauten auf den Betrieb, nicht auf den Dienstleister, und eine Liste nennt zu jedem Konto den Zweck und die Abläufe, die es nutzen. Ob Zugangsdaten nach der Übergabe getauscht werden, entscheiden Sie danach, ob der Dienstleister sie kannte.

Wichtig ist auch, wer den Server betreibt. Nach der Lizenz-FAQ darf ein Dienstleister Abläufe auf seiner eigenen Instanz für Kunden betreiben, solange diese keinen Zugang zur Oberfläche haben und nur Ergebnisse erhalten. Er darf n8n auch auf dem Server des Kunden einrichten und warten, solange er nicht zugleich hostet. Im ersten Fall hat der Betrieb ohne ausdrückliche Rückgabe nichts, was er selbst starten könnte (Folgerung des Autors). Zur Lizenz siehe n8n-Lizenz: Was Betrieb und Dienstleister damit dürfen.

Beschreibung und Überwachung

Nach OPS.1.1.2.A11 soll die Dokumentation von Administrationstätigkeiten nachvollziehbar sein. Sie soll mindestens zeigen, welche Änderungen erfolgten, wann, durch wen, aus welchem Anlass und warum gegebenenfalls von Standards abgewichen wurde. Als Gefährdung nennt das BSI eine Dokumentation, die nicht mehr dem Ist-Zustand entspricht.

Der Baustein CON.3 weist darauf hin, dass Wiederherstellungsinformationen, die nur digital vorliegen, bei Großschäden wie Ransomware mit verloren gehen können. Eine ausgedruckte Kurzfassung an einem anderen Ort hat deshalb ihren Sinn. CON.3.A15 verlangt außerdem, regelmäßig zu testen, ob Sicherungen einwandfrei und in angemessener Zeit zurückgespielt werden können.

Daraus ergibt sich als Praxisempfehlung des Autors für die Abnahme: Die Übergabe ist erst vollständig, wenn jemand aus dem Betrieb die Sicherung auf einem zweiten System zurückgespielt hat.

Checkliste (Praxisempfehlung des Autors)

Die Liste fasst die genannten Quellen für kleine Betriebe zusammen und ist keine Norm.

• Der Vertrag regelt vor Projektbeginn, was bei Kündigung zurückgegeben wird, auch bei plötzlichem Ausfall des Dienstleisters, und beachtet Aufbewahrungspflichten.
• Schriftlich steht fest, wer die Instanz betreibt und wem Server und Konten gehören.
• Ein Export aller Abläufe, eine Datei je Ablauf, liegt beim Betrieb.
• Eine Vollsicherung mit Datum liegt beim Betrieb: Ordner, Datenbank, Konfiguration.
• Der Schlüssel liegt beim Betrieb, getrennt von der Sicherung, und mindestens zwei Personen kennen den Ort.
• Eine Wiederherstellungsprobe auf einem zweiten System ist von Mitarbeitenden des Betriebs durchgeführt worden.
• Eine Person im Betrieb ist Eigentümer, das Konto des Dienstleisters ist gelöscht oder befristet.
• Die Konten der angebundenen Programme lauten auf den Betrieb, eine Liste nennt Zweck und zugehörige Abläufe.
• Zu jedem Ablauf gibt es eine Beschreibung mit Zweck, Auslöser, angebundenen Programmen, Zuständigen und Verhalten im Fehlerfall, dazu ein Änderungsprotokoll.
• Es ist benannt, wer einen Fehler bemerkt und wer ihn behebt.
• Eine ausgedruckte Kurzfassung mit Ort des Schlüssels liegt außerhalb des Systems.
• Ein Termin zur Überprüfung ist gesetzt, etwa nach sechs Monaten.

Was offen bleibt

Die technischen Angaben gelten nach der n8n-Dokumentation (Stand November 2026), das BSI führt das Kompendium als Edition 2023. Verarbeitet der Dienstleister personenbezogene Daten für Sie, verlangt Artikel 28 Absatz 3 Buchstabe g der DSGVO, dass er sie nach Abschluss nach Ihrer Wahl löscht oder zurückgibt, sofern keine Speicherpflicht besteht. Aufbewahrungsfristen, Verträge und die Auftragsverarbeitung sind Einzelfragen, die Ihr Rechtsbeistand, Ihr Steuerberater oder Ihr Datenschutzbeauftragter klärt. Dieser Beitrag ist keine Rechtsberatung.

Was Sie jetzt tun können

1. Fragen Sie Ihren Dienstleister, wer die Instanz betreibt, wo der Schlüssel liegt und wann zuletzt eine Wiederherstellungsprobe stattfand.
2. Lassen Sie Export und Vollsicherung auf ein Medium legen, das Sie kontrollieren, und spielen Sie die Sicherung auf einem zweiten System testweise ein.
3. Prüfen Sie, auf wen die Konten der angebundenen Programme lauten, und legen Sie die Liste an.
4. Lassen Sie den Vertrag um eine Regelung zur Rückgabe von Abläufen, Daten und Schlüsseln bei Ende und bei Ausfall ergänzen.