Swiss Room · Krimi 3 von 8
Der Bergtal-Tsunami
KI-Logistik · Grenzüberschreitend & HR-Risiken
Zum Szenario · regulatorische Einordnung
Konstruiertes Fallbeispiel auf Basis typischer Projektrisiken. Der Kern dieses Falls ist grenzüberschreitende Workforce-Governance (Arbeits-, Sozialversicherungs-, Steuer- und Datenschutzrecht). Wichtig zum Anwendungsbereich: DORA gilt nach Art. 2 nur für Finanzunternehmen (und deren ICT-Drittdienstleister). Ein reines KI-Logistikunternehmen wie FlowChain fällt als solches nicht unter DORA. Die DORA-Lesart in diesem Krimi setzt deshalb voraus, dass FlowChain entweder selbst ein Finanzunternehmen im Sinne der Verordnung ist oder als ICT-Drittdienstleister eine kritische Funktion für ein Finanzunternehmen erbringt — und dass der externe Anbieter dabei Identity-, Zugangs- und Betriebssysteme einer kritischen Funktion betreibt. Für ein Unternehmen ausserhalb des DORA-Anwendungsbereichs bleibt der Fall ein Arbeits-, Steuer-, Sozialversicherungs- und Datenschutzfall.
Alle Schadens-, Einspar- und Kundenzahlen sind illustrative Größen des konstruierten Szenarios — keine realen Schadensstatistiken. Sämtliche Unternehmens- und Personennamen sind frei erfunden; Ähnlichkeiten mit realen Unternehmen oder Personen wären rein zufällig und sind nicht beabsichtigt.
Was dieser Krimi zeigt
Warum jede Veränderung im Personalgerüst eine Veränderung in der Risikolandschaft ist – und Remote-Umzüge rechtlich neu bewertet werden müssen. Als DORA-Lesart (Art. 28), sofern das Unternehmen in den DORA-Anwendungsbereich fällt.
Prolog – 18 Monate vor dem Beben
Das Entwicklerteam von FlowChain Logistics verband sich wie jeden Morgen aus Osteuropa zum Daily Stand-Up. Kameras an, Kaffee dampfend.
Lead Developer Alexej fragte beiläufig in den Call:
„Wir überlegen alle, in die Schweiz umzuziehen. Ist unser Vertrag dafür kompatibel?“
Der HR-Leiter, etwas überrumpelt, nickte: „Ich kläre das mit unserem HR-Dienstleister. Wird schon passen.“ Ein Satz, der wie Routine klang – und der die Route in die Katastrophe markierte.
1 Der stille Boom
FlowChain war ein europäisches KI-Logistikwunder: Algorithmen, die Staus vorhersagen. Predictive ETA-Systeme. Supply-Chain-Automation in Echtzeit. Das Entwicklerteam war der Motor.
Doch das Team war nicht direkt angestellt. Der Zugang lief über einen externen Dienstleister, der zugleich Identity-Provisioning, privilegierte Zugänge und die Betriebsumgebung des Teams verwaltete – ein übliches Setup, schnell, flexibel, effizient. Genau dadurch war er nicht bloß HR-Vermittler, sondern ICT-Drittdienstleister einer kritischen Funktion. DORA? Wurde abgehakt. Checkliste ausgefüllt. „Keine kritischen Risiken erkennbar.“
Doch niemand fragte:
Was, wenn unser Personal-Dienstleister selbst Sub-Outsourcing betreibt?
Welche Rechtsräume gelten bei einem Umzug? Welche Steuerketten verändern sich?
Welche extraterritorialen Risiken entstehen?
Fiele FlowChain unter DORA, hätte Art. 28 genau diese Fragen erzwungen.
2 Der unsichtbare Grenzübertritt
Das Team zog – geschlossen – in die Schweiz. Der HR-Dienstleister pflegte brav die neuen Adressen ein. Neue Wohnorte, neue Postleitzahlen, neue Telefonnummern.
Was er nicht änderte: Vertragsrecht. Steuerrecht. Sozialversicherungszuordnung. Und die Neubewertung der ICT-, Zugriffs-, Datenstandort- und Drittparteienrisiken der geänderten Arbeitskonstellation.
„Remote bleibt Remote.“
Ein fataler Irrtum. Die HR-Abteilung von FlowChain fragte nach Unterlagen – eine dünne E-Mail vom Dienstleister genügte: „Alles weiterhin konform.“ Keiner erkannte, dass nun zwei Länder über jenes Entwicklerteam wachten: Deutschland und die Schweiz. Ein systemisches Risiko – vollständig unsichtbar gemacht.
3 Der Kipppunkt
Zwei Jahre später. Ein Schreiben der Schweizer Behörden erreicht FlowChain. Es klingt noch höflich:
„Bitte um Klärung der Sozialabgaben und Steuerpflicht Ihres Remote-Teams.“
Der HR-Leiter schluckt. Schickt es weiter an den HR-Dienstleister. Der antwortet ausweichend: „Wir prüfen das. Wird schon kein Problem sein.“
Hintergrund: Die Entwickler waren über eine deutsche Dienstleisterstruktur als vermeintlich Selbstständige eingesetzt und zuvor teilweise dem deutschen Sozialversicherungssystem zugeordnet; der geschlossene Umzug in die Schweiz stellte diese Zuordnung in Frage. Im juristischen Untergrund hat sich längst etwas zusammengezogen: Ein Streit über Wegzugsbesteuerung, über Scheinselbständigkeit, über falsche Zuordnung von Arbeitgeberpflichten. Diese Lunte brennt. Leise. Unaufhaltsam.
4 Tsunami im Bergtal
96 Stunden später ist das Chaos perfekt.
Die Schweizer AHV fordert Nachzahlungen
Die deutsche Rentenversicherung meldet Prüfbedarf
Juristen sehen Anzeichen von Scheinarbeitsverhältnissen
Medien beginnen zu fragen: „Hat FlowChain Schwarzarbeitsstrukturen?“
Kunden werden nervös – KI darf nicht wackeln
Der interne Audit fördert die harten Befunde:
Keine grenzüberschreitende Risikoanalyse (DORA Art. 28)
Kein getesteter Exit-Plan für den HR-Dienstleister
Kein IKT-Notfallplan für Personalengpässe
Keine definierte interne Eskalations- und Neubewertungskette für wesentliche Änderungen der Zugriffs-, Dienstleister- und Standortstruktur
Die Rechnung: 3 Millionen Euro Schaden in 4 Tagen. Verlorene Deals, externe Anwälte, Reputationsdellen. Die HR- und Compliance-Leitung treten zurück.
5 Die Wende
FlowChain reagierte – hart, schnell, professionell.
| 1 | Grenz-Checks standardisieren | Jeder Remote-Umzug mit Zugang zu kritischen Systemen durchläuft eine strukturierte Risikoprüfung. Rechtsräume analysiert, Risiken bewertet, Verträge neu kalibriert. |
|---|---|---|
| 2 | Internationale Audits | Sub-Outsourcing-Ketten erstmals transparent gemacht. Zugang, HR, Payroll, Datenräume – alles offengelegt. |
| 3 | Migrations-Dashboard | Echtzeit-Übersicht: Wer lebt wo? Welcher Rechtsraum gilt? Welche Änderungen sind kritisch und meldepflichtig? |
| 4 | Streitprävention | Interne Mediations- und Konfliktprozesse eingeführt. Regelmässige Gespräche mit Remote-Teams zu rechtlichen Veränderungen. |
| 5 | Automatisierte Alerts | Benachrichtigungen, wenn Teams umziehen, Sub-Provider wechseln oder rechtliche Risiken entstehen. |
Ergebnis: Keine zusätzlichen Bußgelder oder aufsichtsrechtlichen Sanktionen; Beitrags- und Steuerkorrekturen blieben bestehen. Vollständige Neuordnung der HR-Supply-Chain. Der neue Vertrag mit einem spezialisierten HR-Dienstleister spart 400.000 € pro Jahr.
Epilog – DORA endet nicht an der Landesgrenze
Remote-Teams, Sub-Outsourcing, digitale Arbeit – alles verschiebt sich über Territorien hinweg. Ohne Risikoanalyse entsteht ein Systemfehler. Ohne Transparenz bleibt er unsichtbar.
FlowChain hatte kein technisches Problem. Es hatte ein Governance-Problem: die Annahme, dass Mobilität von Menschen nichts mit digitaler Resilienz zu tun hat. DORA denkt das anders.
Die vorliegende Geschichte ersetzt keine Rechtsberatung.
Wissen prüfen
Möchten Sie Ihr Wissen zu diesem Thema testen? Die folgenden Quiz- bzw. Lernkarten-Sets decken den Stoff dieses Stücks ab — jeweils mit Erklärung nach jeder Antwort bzw. Aufdeck-Logik.