Kinderarbeit, Zwangsarbeit oder lebensgefährliche Arbeitsbedingungen können sich weit entfernt vom eigenen Unternehmenssitz und tief in komplexen Lieferketten verbergen. Unternehmen stehen deshalb vor einer schwierigen Aufgabe: Sie sollen menschenrechtliche Risiken nicht nur formal erfassen, sondern möglichst früh erkennen, bewerten und wirksam adressieren.
Das Lieferkettensorgfaltspflichtengesetz (LkSG) und die europäische Corporate Sustainability Due Diligence Directive (CSDDD) setzen dabei auf einen risikobasierten Ansatz. Nach der verabschiedeten CSDDD erstreckt sich die Risikoanalyse auf die sogenannte „Aktivitätenkette“ (chain of activities). Diese umfasst vor allem die gesamte vorgelagerte Lieferkette (Upstream) sowie bestimmte nachgelagerte Aktivitäten wie Transport, Lagerung und Vertrieb. Damit müssen Unternehmen zwingend auch tiefere Zulieferstufen einbeziehen.
In der Praxis entsteht jedoch schnell ein Informationsproblem. Je tiefer Unternehmen in ihre Lieferketten blicken wollen, desto größer werden die Zahl der Geschäftspartner, die Datenmengen und die möglichen Risikofaktoren. Die Risikoanalyse soll deshalb gerade nicht damit beginnen, jede einzelne Produktionsstätte und jeden mittelbaren Geschäftspartner vollständig zu erfassen. Im Vordergrund steht zunächst ein Scoping: Anhand angemessen verfügbarer Informationen identifizieren Unternehmen beispielsweise geografische oder branchentypische Risiken. Wer stattdessen von Anfang an sämtliche Standorte tiefer Lieferkettenstufen erfassen will, riskiert eine „Paralyse durch Analyse“, warnt die Fachliteratur.
Lange galten Audits, Zertifizierungen und Lieferantenbefragungen als wichtigste Instrumente gegen solche Informationslücken – ihre Aussagekraft ist jedoch begrenzt. Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) stellt ausdrücklich klar, dass Standards, Audits und Zertifizierungen die gesetzlichen Sorgfaltspflichten nicht ersetzen. Auch wer externe Prüfer einschaltet, bleibt selbst verantwortlich.
Die Grenzen des klassischen Audits
Verschärft wird dieser Druck durch die EU-Zwangsarbeitsverordnung, die ab Ende 2027 vollumfänglich zur Anwendung kommt. Im Gegensatz zu LkSG und CSDDD regelt sie keine bürokratischen Berichtspflichten, sondern greift direkt auf Produktebene: Wird in einer Lieferkette Zwangsarbeit nachgewiesen, droht ein EU-weites Marktverbot und die Beschlagnahmung der Ware. Für Compliance-Verantwortliche bedeutet dies: Ein fehlerhaftes Audit ist kein reines Reputationsrisiko mehr, sondern kann über Nacht die gesamte Lieferfähigkeit eines Produkts blockieren.
Wie groß die blinden Flecken klassischer Prüfungen sein können, zeigt eine Untersuchung von Human Rights Watch. Die Organisation wertete Auditberichte, Studien und Interviews mit Auditoren aus. Nach ihrer Analyse können insbesondere kurze Standardaudits Probleme wie Zwangs- und Kinderarbeit, Diskriminierung, Belästigung oder Verstöße gegen die Vereinigungsfreiheit übersehen.
Ein Grund liegt in der Funktionsweise solcher Prüfungen. Ein Audit bildet häufig nur einen begrenzten Zeitraum ab: Prüfer kontrollieren innerhalb weniger Tage Dokumente, besichtigen Produktionsstätten und befragen Beschäftigte – für sensible Menschenrechtsverletzungen oft zu wenig Zeit. Hinzu kommt, dass Lieferanten versuchen können, sich auf angekündigte Prüfungen vorzubereiten. Human Rights Watch dokumentiert unter anderem Berichte über geschulte Beschäftigte und manipulierte Unterlagen.
Besonders drastisch zeigen dies auch bekannte Katastrophen aus der Textilindustrie: Sowohl vor dem Brand der pakistanischen Fabrik Ali Enterprises 2012 als auch vor dem Einsturz des Rana-Plaza-Gebäudes in Bangladesch 2013 hatten Sozialaudits stattgefunden. Hunderte Menschen starben dennoch. Ein bestandenes Audit bedeutet deshalb nicht zwangsläufig, dass in einem Betrieb keine gravierenden Menschenrechtsrisiken bestehen.
Von Fragebögen zu datenbasierter Risikoanalyse
Auch massenhaft verschickte Lieferantenfragebögen lösen das Informationsproblem nicht. Die CSDDD zielt vielmehr auf eine gezieltere Analyse. Unternehmen sollen zunächst selbst ermitteln, welche Risikoszenarien für bestimmte Geschäftspartner, Regionen oder Warenkategorien relevant sind. Erst anschließend sollen dort vertiefte Informationen eingeholt werden, wo tatsächlich ein erhöhtes Risiko besteht. Pauschale „one-size-fits-all“-Abfragen erzeugen dagegen viel Aufwand, ohne die Risikoanalyse zu verbessern.
Genau hier kommen digitale Systeme ins Spiel. Eine 2025 veröffentlichte Praxishilfe des Helpdesk Wirtschaft und Menschenrechte beschreibt automatisierte Screening-Tools, KI-gestützte Analysen und Risiko-Rating-Systeme ausdrücklich als mögliche Unterstützung bei der Risikoanalyse. Solche Anwendungen bündeln große Datenmengen und machen Hinweise auf menschenrechtliche oder umweltbezogene Risiken frühzeitig sichtbar. Die Idee dahinter ist zunächst simpel: Statt sämtliche Lieferanten gleichermaßen intensiv zu prüfen, sollen Daten helfen, Auffälligkeiten schneller zu erkennen. Begrenzte Compliance-Ressourcen lassen sich so dort einsetzen, wo eine vertiefte Untersuchung besonders notwendig erscheint.
Das zeigte bereits ein Pilotprojekt von Porsche, Audi und Volkswagen. Die Unternehmen setzten das System des österreichischen Anbieters Prewave ein, um Nachhaltigkeitsrisiken in Lieferketten frühzeitig zu erkennen. Der Algorithmus analysierte Informationen aus öffentlichen Medien und sozialen Netzwerken in mehr als 50 Sprachen und über 150 Ländern. Meldete das System ein mögliches Risiko, entschied nicht der Algorithmus über Konsequenzen: Der Einkauf prüfte den Sachverhalt und legte die weiteren Schritte selbst fest.
Wenn aus Unterstützung Steuerung wird
Genau diese Trennung ist entscheidend. Je stärker Unternehmen auf algorithmische Risikobewertungen zurückgreifen, desto größer wird die Gefahr, dass aus einem bloßen Hinweis faktisch eine Entscheidung wird.
Wie fließend diese Grenze sein kann, zeigt die Diskussion um algorithmische Scoring-Systeme. Im Zusammenhang mit der SCHUFA-Rechtsprechung des Europäischen Gerichtshofs zeigt sich: Auch ein eigentlich nur vorbereitender Score kann die anschließende menschliche Entscheidung erheblich beeinflussen – obwohl formal weiterhin ein Mensch entscheidet.
Übertragen auf die Lieferketten-Compliance bedeutet das: Ein Algorithmus kann anzeigen, welche Lieferanten, Regionen oder Branchen besonders risikobehaftet erscheinen. Ein niedriger Risikoscore darf aber nicht automatisch als Nachweis dafür verstanden werden, dass tatsächlich keine Menschenrechtsprobleme bestehen.
Vor genau einer solchen übermäßigen Abhängigkeit warnt auch die Praxishilfe des Helpdesk. Unter Bezugnahme auf das BAFA beschreibt sie die Gefahr einer „Overreliance“: Unternehmen könnten sich zu stark auf bereitgestellte Informationen oder Bewertungen verlassen und eigene Maßnahmen zur Risikoermittlung vernachlässigen. Unternehmen sollten deshalb Datenherkunft, Bewertungsmethodik und Funktionsweise der eingesetzten Systeme möglichst transparent und nachvollziehbar prüfen.
KI hat eigene blinde Flecken
Denn auch die vermeintlich umfassendere datenbasierte Analyse sieht nicht alles. Der Helpdesk weist darauf hin, dass zahlreiche digitale Tools vor allem direkte Tier-1-Zulieferer erfassen. Gerade Risiken in tieferen Lieferkettenstufen können damit weiter unsichtbar bleiben. Besonders schwierig ist die Erfassung informeller Wirtschaftsbereiche, etwa von Kleinstbergbau, landwirtschaftlicher Feldarbeit oder Heimarbeit. Hinzu kommen teilweise unvollständige oder veraltete Datensätze sowie Qualitätsprobleme beim automatisierten News-Monitoring.
Damit entsteht ein grundlegendes Paradox: Gerade die Beschäftigten mit den prekärsten Arbeitsbedingungen hinterlassen möglicherweise die wenigsten digital verwertbaren Spuren. Hinzu kommen allgemeine Risiken Künstlicher Intelligenz wie Intransparenz und verzerrte Datengrundlagen.
Eine Studie der KU Leuven aus dem Jahr 2024, die die digitalen Lieferkettenlösungen EcoVadis, Sedex und Prewave untersuchte, kommt zu einem ähnlichen Ergebnis. Die Autoren sehen durchaus Potenzial für automatisierte Risikoanalysen und eine genauere Beobachtung von Lieferketten. Gleichzeitig kritisieren sie unter anderem mangelnde Transparenz darüber, auf welchen Daten und Bewertungsmechanismen Risikoscores beruhen. Auch Fehler oder Verzerrungen innerhalb der Algorithmen können zu falschen Risikoklassifizierungen führen.
Der Mensch bleibt Teil der Risikoanalyse
Die vielleicht größte Grenze rein datenbasierter Ansätze liegt jedoch an anderer Stelle: Menschenrechtliche Due Diligence betrifft Menschen. Die CSDDD legt deshalb besonderen Wert auf die Beteiligung von Rechteinhabenden. Beschäftigte, Geschäftspartner und Betroffene sollen sinnvoll in den Sorgfaltsprozess einbezogen werden. Ihre Perspektive fließt in Risikoanalyse, Präventions- und Abhilfemaßnahmen sowie Wirksamkeitskontrolle ein.
Auch digitale Systeme weisen gerade an dieser Stelle bislang Defizite auf. Nach der Praxishilfe des Helpdesk konzentrieren sich viele Anwendungen vor allem auf öffentlich verfügbare Informationen, Zertifizierungen oder Selbstauskünfte von Unternehmen. Partizipative Ansätze, bei denen potenziell Betroffene selbst einbezogen werden, sind dagegen noch vergleichsweise selten – ein Befund, den auch die KU-Leuven-Studie für digitale Supply-Chain-Lösungen bestätigt.
Damit stößt jede rein technische Analyse an eine Grenze. Ein Algorithmus kann Tausende Meldungen durchsuchen, Risikomuster erkennen und einen Zulieferer innerhalb von Sekunden kategorisieren. Er kann aber nicht ersetzen, dass Beschäftigte ohne Angst vor Repressalien über ihre tatsächlichen Arbeitsbedingungen berichten können. Ebenso wenig ersetzt ein Dashboard eine Untersuchung vor Ort oder die Überprüfung eines konkreten Hinweises.
Kein Freifahrtschein für den Algorithmus
Künstliche Intelligenz kann menschenrechtliche Risikoanalysen leistungsfähiger machen. Wo Lieferketten unübersichtlich werden, können digitale Systeme Muster erkennen, Risikosignale bündeln und zeigen, wo genauer hingeschaut werden sollte. Gerade darin liegt ihr Potenzial: nicht möglichst viele Informationen zu sammeln, sondern die richtigen Fragen an den richtigen Stellen zu stellen.
Doch die technische Präzision eines Risikoscores sagt noch nichts darüber aus, ob die Wirklichkeit dahinter vollständig erfasst wurde. Fehlende Daten, informelle Beschäftigung oder Betroffene, deren Erfahrungen in keiner Datenbank auftauchen, bleiben auch für den besten Algorithmus unsichtbar.
Für Unternehmen folgt daraus eine doppelte Aufgabe: Sie müssen KI nutzen können, ohne ihr die Verantwortung zu überlassen. Risikoscores machen Audits gezielter. Audits überprüfen Datenbefunde. Und Beschwerdeverfahren sowie die Beteiligung von Rechteinhabenden liefern Informationen, die weder Dashboard noch Vor-Ort-Prüfung allein erfassen.
Die entscheidende Frage ist deshalb nicht, ob der Algorithmus besser prüft als der Mensch. Entscheidend ist, ob Unternehmen erkennen, wo beide blind sein können. Denn menschenrechtliche Sorgfalt beginnt nicht mit einem grünen Risikoscore und endet auch nicht mit einem bestandenen Audit.
