Freigabeprozesse automatisieren: Regeln, Rollen und Eskalationen

Der typische Freigabeprozess in einem KMU sieht so aus: Ein Antrag geht per E-Mail oder auf Papier ein, jemand druckt ihn aus oder legt ihn im Postfach ab, dann warten alle. Die freigebende Person ist im Meeting, im Urlaub oder hat die Mail übersehen. Nach vier Tagen fragt jemand nach, nach einer Woche eskaliert es informell über den Flur. Wer am Ende wirklich zuständig war, ist rückblickend oft nicht mehr eindeutig zu klären – und genau das wird zum Problem, sobald eine Prüfung, ein Kunde oder ein Wirtschaftsprüfer danach fragt.

Dieser Artikel richtet sich an Geschäftsführung, Operations, IT und Fachbereiche in KMU, die Freigabeprozesse – Rechnungen, Bestellungen, Urlaubsanträge, Verträge, Ausnahmegenehmigungen – aus dem Postfach in ein System mit klaren Regeln, Rollen und Vertretungen überführen wollen. Er ordnet die Kernfragen: welche Freigaben sich eignen, wie man Rollen und Grenzen modelliert, wie Vertretungen und Protokollierung funktionieren, und wo KI nur vorbereiten statt entscheiden darf. Er gehört zum Themen-Cluster Backoffice-Automatisierung, das sich mit Dokumenten, Rechnungen und Reporting im Backoffice von KMU befasst.

Das Problem: Freigaben, die in Postfächern feststecken

Ein Freigabeprozess ist im Kern simpel: Jemand beantragt etwas, jemand anders prüft und entscheidet, das Ergebnis wird umgesetzt. In der Praxis scheitert genau dieser einfache Ablauf regelmäßig an vier Stellen.

• Kein fester Kanal. Anträge kommen per E-Mail, Chat, mündlich im Flur oder auf Papier – je nachdem, wer sie stellt und wie dringend es scheint. Es gibt keinen Ort, an dem alle offenen Freigaben sichtbar sind.
• Unklare Zuständigkeit. Wer genau darf was freigeben, bis zu welchem Betrag, allein oder nur zu zweit? Häufig weiß das nur die Person, die es schon immer so gemacht hat.
• Keine Vertretungsregel. Ist die zuständige Person nicht erreichbar, bleibt der Antrag liegen – oder jemand entscheidet informell mit, ohne dass klar ist, ob das zulässig war.
• Keine Spur. Am Ende lässt sich nicht mehr rekonstruieren, wer wann auf welcher Grundlage entschieden hat. Das wird spätestens bei einer Wirtschaftsprüfung, einem internen Audit oder einem Streitfall zum echten Problem.

Diese vier Punkte sind der eigentliche Grund, warum Freigabeprozesse automatisiert werden – nicht in erster Linie, um Zeit zu sparen, sondern um Verantwortlichkeit, Nachvollziehbarkeit und Vertretung überhaupt erst herzustellen. Die Zeitersparnis kommt dazu, ist aber der zweite Effekt.

Begriffe kurz geklärt

• Freigabeprozess (Approval-Workflow) ist die strukturierte Abfolge aus Antrag, Prüfung und Entscheidung, mit definierten Rollen und einem nachvollziehbaren Ergebnis.
• Genehmigungstyp beschreibt, wie viele Personen zustimmen müssen und in welcher Reihenfolge – etwa „irgendeine Person aus der Gruppe“, „alle müssen zustimmen“ oder „sequenziell, eine nach der anderen“. Power Automate unterscheidet in seiner Dokumentation genau diese Typen, unter anderem „Everyone must approve“, „First to respond“ und „Sequential approval“.
• Eskalation ist die automatische Weiterleitung eines Antrags an eine andere Person oder Ebene, wenn eine Frist ohne Entscheidung verstreicht.
• Vertretung (Delegation) ist die vorab hinterlegte Übertragung der Freigabeberechtigung an eine andere Person für einen bestimmten Zeitraum oder Antragstyp.
• Human-in-the-Loop bedeutet: Ein System bereitet eine Entscheidung vor oder führt eine Aktion vorläufig aus, ein Mensch muss aber aktiv zustimmen, bevor sie wirksam wird. Genau dieses Muster bilden moderne Workflow-Tools inzwischen auch für KI-gestützte Vorbereitung ab – etwa als „Approve“- oder „Deny“-Schritt vor der eigentlichen Aktion.

Wichtig ist die Abgrenzung nach unten: Ein Chat-Verlauf mit „ok, passt“ ist keine Freigabe im hier gemeinten Sinn – es fehlt die Struktur, die Nachvollziehbarkeit und meist auch die Vertretungsregel.

Welche Freigaben lassen sich digitalisieren?

Nicht jede Freigabe eignet sich gleich gut für Automatisierung. Aus meiner Projekterfahrung sind drei Kriterien entscheidend: Wie oft kommt der Antragstyp vor, wie klar sind die Regeln, und wie schwer wiegt eine Fehlentscheidung. Daraus ergibt sich eine einfache Eignungsmatrix:

Kriterium	Gut geeignet	Eher ungeeignet
Häufigkeit	Wiederkehrend, standardisiert (z. B. monatliche Rechnungen, Urlaubsanträge)	Selten, jedes Mal anders
Regelklarheit	Betrag, Grenzwert oder Kategorie eindeutig prüfbar	Bewertung erfordert Kontext, Verhandlung oder Ermessen
Tragweite bei Fehlentscheidung	Gering bis mittel, meist korrigierbar	Hoch, finanziell oder rechtlich schwer rückgängig zu machen
Betroffene Personen	Intern oder Standardgeschäftsbeziehung	Externe Dritte, sensible personenbezogene Daten

Eigene Eignungsmatrix Philogic Labs, abgeleitet aus Beratungsprojekten im Backoffice.

Angewendet auf typische Antragstypen in KMU ergibt das drei Gruppen:

1. Gut für vollständige Digitalisierung mit klaren Regeln: Rechnungsfreigaben unterhalb eines festen Betrags mit passender Kostenstelle, Standardbestellungen im vereinbarten Rahmen, Urlaubs- und Abwesenheitsanträge, Zugriffsfreigaben nach Standardprofil, Spesenabrechnungen mit Belegprüfung nach festen Regeln.
2. Geeignet mit Mensch-in-der-Schleife: Rechnungen oberhalb der Schwelle, Vertragsverlängerungen mit geänderten Konditionen, Ausnahmegenehmigungen, Personalentscheidungen mit Auswirkung auf Einzelne – hier kann der Weg (Erfassung, Prüfung gegen Regeln, Weiterleitung an die richtige Person) digitalisiert werden, die Entscheidung bleibt aber menschlich.
3. Bewusst nicht automatisieren: Einmalige Sondersituationen, Freigaben mit erheblicher finanzieller oder rechtlicher Tragweite, alles, wo ein falscher Automatismus teurer wäre als der manuelle Aufwand, den er ersetzt.

Ein Praxisbeispiel aus der Rechnungsfreigabe, das diese Einteilung greifbar macht: Ein Handwerksbetrieb mit rund 40 Mitarbeitenden hatte eine Regel „Rechnungen bis 2.500 Euro von der Bereichsleitung, darüber zusätzlich von der Geschäftsführung“ – aber nur auf Papier festgehalten und in der Praxis uneinheitlich gelebt. Nach der Digitalisierung lief das über eine einfache Regel im Workflow-Tool: Betrag und Kostenstelle werden aus der eingehenden Rechnung ausgelesen, unterhalb der Schwelle geht die Freigabeanfrage automatisch an die zuständige Bereichsleitung, oberhalb zusätzlich an die Geschäftsführung, mit Frist und Eskalationsregel. Nichts an der eigentlichen Entscheidung hat sich verändert – nur der Weg dorthin ist jetzt nachvollziehbar und läuft nicht mehr über Zufall, wer die E-Mail zuerst liest.

Wie modelliert man Rollen und Grenzen?

Der Kern jedes digitalisierten Freigabeprozesses ist eine Kompetenzmatrix: für jeden Antragstyp steht darin, wer beantragen darf, wer prüft, wer freigibt, bis zu welcher Grenze und ob eine oder zwei Personen zustimmen müssen. Drei Grundsätze haben sich in meiner Arbeit bewährt:

• Antragsteller, Prüfer und Freigeber trennen. Wer einen Antrag stellt, sollte ihn nicht auch allein freigeben können – schon aus Vier-Augen-Prinzip-Gründen, unabhängig davon, ob es Betrug verhindert oder nur schlicht Fehler abfängt.
• Grenzen an Beträgen oder Kategorien festmachen, nicht an Personen. „Bis 2.500 Euro Bereichsleitung, darüber Geschäftsführung“ funktioniert auch, wenn die Bereichsleitung wechselt. „Rechnungen gehen an Frau Müller“ funktioniert nicht mehr, sobald Frau Müller die Stelle wechselt.
• Genehmigungstyp bewusst wählen. Power Automate unterscheidet in seiner Dokumentation unter anderem zwischen „Everyone must approve“ (alle müssen zustimmen), „First to respond“ (die erste Reaktion zählt) und „Sequential approval“ (eine Person nach der anderen). Für Freigaben mit doppelter Kontrolle ist der erste Typ richtig, für einfache Freigaben mit mehreren möglichen Vertretern der zweite. Rein sequenzielle Freigaben eignen sich vor allem, wenn die Reihenfolge selbst eine Bedeutung hat – etwa erst fachliche, dann budgetäre Prüfung.

Die Kompetenzmatrix sollte nicht länger als eine Seite pro Prozessfamilie sein. Eine zu granulare Matrix mit zwanzig Sonderregeln wird in der Praxis nicht gepflegt und verfehlt damit ihren Zweck.

Wie funktionieren Vertretungen?

Die fehlende Vertretungsregel ist in meiner Erfahrung der häufigste Grund, warum digitalisierte Freigabeprozesse trotzdem stocken – der Prozess selbst läuft, aber die zuständige Person ist im Urlaub, und niemand hat vorher festgelegt, was dann passiert.

Praktisch braucht jede Freigaberolle mindestens eine hinterlegte Vertretung mit gleicher oder höherer Berechtigungsstufe. Zwei Mechanismen ergänzen sich dabei:

• Aktive Abwesenheit. Wenn die zuständige Person ihre Abwesenheit im System hinterlegt (Urlaub, Krankheit), gehen neue Anfragen automatisch an die hinterlegte Vertretung statt an sie.
• Zeitbasierte Eskalation. Reagiert niemand innerhalb einer definierten Frist – etwa 48 Stunden bei Standardfällen, kürzer bei dringenden –, geht die Anfrage automatisch an die nächste Ebene oder die Vertretung. Workflow-Tools wie n8n bilden das über zeitgesteuerte Wartebedingungen mit einer maximalen Wartezeit ab, nach der die Anfrage automatisch weiterläuft; ohne diese Begrenzung würde ein Antrag ohne Reaktion unbegrenzt offen bleiben.

Wichtig ist, dass die Vertretung nicht zur stillschweigenden Absenkung der Prüftiefe wird: Eine Vertretung mit geringerer Berechtigung sollte nicht automatisch höhere Beträge freigeben dürfen, nur weil die eigentlich zuständige Person fehlt. Bei Beträgen oberhalb der eigenen Vertretungsgrenze gehört die Eskalation eine Ebene höher, nicht zur nächstbesten verfügbaren Person.

Wie protokolliert man?

Ein digitalisierter Freigabeprozess ist nur so viel wert wie seine Protokollierung. Drei Dinge gehören in jedes Protokoll:

1. Wer hat wann was beantragt – inklusive der eingereichten Unterlagen oder Daten im Zeitpunkt des Antrags.
2. Wer hat wann wie entschieden – Zustimmung, Ablehnung, mit welcher Begründung, gegebenenfalls über welche Vertretung.
3. Auf welcher Informationsgrundlage – falls ein System (auch ein KI-gestütztes) den Antrag vorbereitet oder Kennzahlen zugeliefert hat, gehört das mit in die Spur, nicht nur das Endergebnis.

Workflow-Tools protokollieren Genehmigungsaktionen in der Regel automatisch mit, wenn man tatsächlich die dafür vorgesehenen Bausteine nutzt statt loser E-Mail-Freigaben – bei Power Automate etwa über die Aktionen „Start and wait for an approval“ oder „Create an approval“, deren Historie im System nachvollziehbar bleibt. Bei n8n läuft eine formularbasierte oder webhookbasierte Freigabe über den Wait-Node, dessen Ausführungsdaten inklusive Zeitpunkt und Reaktion in der Datenbank des Workflows gespeichert werden.

Zwei Punkte werden in der Praxis regelmäßig übersehen:

• Aufbewahrungsfrist klären, nicht annehmen. Ob und wie lange Freigabeprotokolle aufbewahrt werden müssen, hängt vom Antragstyp ab – bei Rechnungsfreigaben etwa an handels- und steuerrechtliche Aufbewahrungspflichten, bei Personalentscheidungen an andere Fristen. Das ist keine pauschale IT-Entscheidung, sondern gehört mit Steuerberatung oder Rechtsberatung abgestimmt (Stand Juli 2026, keine Rechtsberatung).
• Protokoll heißt nicht automatisch auswertbar. Ein Protokoll, das niemand je anschaut, erfüllt seinen Zweck erst im Streit- oder Prüfungsfall. Es lohnt sich, mindestens einmal im Quartal stichprobenartig zu prüfen, ob die Protokolle tatsächlich vollständig und lesbar sind – nicht erst, wenn eine Prüfung ansteht.

Wann darf KI nur vorbereiten?

Diese Frage lässt sich an einer klaren Grenze festmachen: KI darf vorbereiten – zusammenfassen, gegen Regeln prüfen, einen Freigabevorschlag formulieren, fehlende Angaben markieren –, aber die Entscheidung selbst bleibt bei Fällen mit echter Tragweite bei einem Menschen. Vier Situationen, in denen das gilt:

• Die Entscheidung betrifft Menschen direkt. Bewerbungen, Leistungsbeurteilungen, Zugriffsrechte auf sensible Daten – hier braucht es eine geprüfte menschliche Entscheidung, nicht nur formal, sondern inhaltlich nachvollzogen.
• Die Entscheidung ist finanziell oder rechtlich bedeutsam. Je höher der Betrag oder je verbindlicher die rechtliche Wirkung (Vertragsabschluss, Vollmacht, Zahlung), desto weniger sollte ein automatischer Vorschlag ungeprüft durchlaufen.
• Die Entscheidung ist schwer rückgängig zu machen. Eine falsch freigegebene Rechnung lässt sich zurückbuchen, eine bereits ausgeführte Kündigung oder ein extern versandtes Dokument oft nicht.
• Der Fall fällt unter Hochrisiko-Regeln des EU AI Act. Für Hochrisiko-KI-Systeme schreibt Artikel 14 der KI-Verordnung menschliche Aufsicht ausdrücklich vor: Die Systeme müssen so gestaltet sein, dass Menschen sie wirksam überwachen, Ergebnisse ablehnen oder das System stoppen können, und die Aufsichtsperson muss die Grenzen des Systems verstehen, um nicht in „Automation Bias“ zu verfallen – also blindes Vertrauen in die Maschine. Für die meisten Freigabeprozesse in KMU liegt der Einsatz zwar unterhalb der Hochrisiko-Schwelle, aber das Prinzip bleibt auch dort die vernünftigere Grenze: Ein System, das vorschlägt, ist etwas anderes als ein System, das entscheidet.

Praktisch heißt das für die Werkzeugwahl: Moderne Workflow-Tools bilden dieses Muster inzwischen explizit ab. n8n erlaubt es, einzelne Aktionen eines KI-Agenten an einen Freigabeschritt zu binden – der Agent schlägt eine Aktion mit Parametern vor, ein Mensch bekommt die Anfrage über Slack, Teams oder E-Mail und wählt „Approve“ oder „Deny“, bevor irgendetwas ausgeführt wird. Das ist technisch genau das Human-in-the-Loop-Prinzip, das Artikel 14 inhaltlich verlangt – nur eben als konkreter Baustein statt als abstrakte Anforderung.

Umsetzung: so gehst du vor

Fünf Schritte, die sich in der Praxis bewährt haben:

1. Antragstypen sammeln und mit der Eignungsmatrix bewerten. Nicht alle auf einmal – such dir die zwei bis drei häufigsten heraus, typischerweise Rechnungsfreigaben oder Urlaubsanträge.
2. Kompetenzmatrix je Antragstyp festlegen. Wer beantragt, wer prüft, wer freigibt, bis zu welcher Grenze, welcher Genehmigungstyp (einzeln, alle, sequenziell).
3. Vertretungs- und Eskalationsregeln definieren, bevor der Prozess live geht. Nicht danach nachrüsten – genau dann fällt es auf, wenn die erste Person im Urlaub ist.
4. Werkzeug wählen und schmal starten. Für Standard-Microsoft-365-Umgebungen ist der eingebaute Approvals-Baustein in Power Automate oft der pragmatischste Einstieg, weil er direkt an Teams, Outlook und SharePoint andockt. Wer bereits verschiedene Systeme verbindet oder KI-gestützte Vorprüfung will (z. B. Rechnungsdaten automatisch auslesen und gegen Regeln prüfen, bevor die Freigabeanfrage rausgeht), findet in Automatisierungswerkzeugen wie n8n mehr Flexibilität – mit entsprechend höherem Konfigurationsaufwand.
5. Protokollierung und Aufbewahrung von Anfang an mitdenken, nicht als nachträgliche Compliance-Übung.

Ein realistischer zeitlicher Rahmen für einen ersten Antragstyp in einem KMU: Modellierung der Kompetenzmatrix und Regeln etwa ein bis zwei Wochen (abhängig davon, wie klar die bestehenden Regeln schon sind), technische Einrichtung im gewählten Werkzeug weitere ein bis drei Wochen, danach ein Testbetrieb von vier bis acht Wochen mit einem Antragstyp, bevor weitere folgen. Diese Bandbreiten stammen aus eigener Projekterfahrung, nicht aus einer Studie, und hängen stark davon ab, wie viele Systeme angebunden werden müssen.

Bei den Kosten gilt dasselbe Prinzip wie bei jeder Backoffice-Automatisierung: Die Lizenzkosten für das Workflow-Tool sind selten der größte Block – entscheidend ist der Aufwand für die Modellierung der Regeln und die Anbindung an bestehende Systeme (ERP, Buchhaltung, Personalverwaltung). Ein einfacher Prozess mit einem angebundenen System liegt in der Umsetzung deutlich unter einem Prozess mit mehreren Schnittstellen und Sonderregeln – seriös beziffern lässt sich das erst nach der Bestandsaufnahme der aktuellen Regeln und Systeme.

Risiken & Grenzen

• Falsch gezogene Automatisierungsgrenzen. Wird die Schwelle für automatische Freigaben zu hoch gesetzt, verlagert sich Risiko unbemerkt auf die Automatisierung. Die Schwelle sollte regelmäßig überprüft werden, nicht einmal festgelegt und dann vergessen.
• Vertretungsketten ohne Grenze. Vertretung der Vertretung der Vertretung führt irgendwann zu einer Freigabe durch jemanden, der die eigentliche Berechtigung nie hatte. Eine maximale Eskalationstiefe gehört in jede Regel.
• Scheinbare Objektivität. Ein automatisierter Prozess wirkt neutraler, als er ist – die Regeln selbst enthalten weiterhin menschliche Entscheidungen (welche Schwelle, welche Ausnahme). Automatisierung macht bestehende Regeln konsequent, sie macht sie nicht automatisch richtig.
• Zu enge Kopplung an ein Werkzeug. Wer die komplette Kompetenzmatrix nur in der Konfiguration eines einzelnen Tools abbildet, ohne sie auch dokumentiert zu haben, verliert bei einem Tool-Wechsel das institutionelle Wissen darüber, warum die Regeln so sind, wie sie sind.
• Nicht jeder Fall gehört automatisiert. Freigaben mit hoher Tragweite, wenig Wiederholung oder starkem Ermessensspielraum bleiben besser vollständig manuell – der Versuch, auch diese Fälle in starre Regeln zu pressen, erzeugt mehr Fehler als er verhindert.

Und eine Grenze dieses Artikels selbst: Er beschreibt Prinzipien und Werkzeugmuster, kennt aber weder deine bestehenden Systeme noch deine tatsächlichen Freigabemengen. Ob sich eine Automatisierung für dich lohnt und wo genau die Schwellen liegen sollten, entscheidet sich am konkreten Fall. Mehr zu angrenzenden Themen – Rechnungsverarbeitung, Dokumentenverarbeitung, Reporting – findest du im Cluster Backoffice-Automatisierung. Wenn du deinen Freigabeablauf konkret durchgehen willst: Unser Beratungsangebot prüft Prozesse und Systemlandschaft, und ein kostenloses Erstgespräch klärt in 45 Minuten, ob und wo sich der Einstieg lohnt.

Checkliste: Freigabeprozesse automatisieren

1. Wir haben die zwei bis drei häufigsten Antragstypen identifiziert und mit einer Eignungsmatrix bewertet (Häufigkeit, Regelklarheit, Tragweite).
2. Für jeden Antragstyp gibt es eine Kompetenzmatrix: wer beantragt, wer prüft, wer freigibt, bis zu welcher Grenze.
3. Antragsteller, Prüfer und Freigeber sind unterschiedliche Rollen – auch wenn es in kleinen Teams manchmal wehtut, das durchzuhalten.
4. Jede Freigaberolle hat eine hinterlegte Vertretung mit gleicher oder höherer Berechtigungsstufe.
5. Es gibt eine zeitbasierte Eskalationsregel mit definierter Frist und einer maximalen Eskalationstiefe.
6. Jede Freigabe wird protokolliert: wer hat wann was beantragt, wer hat wann wie entschieden, auf welcher Grundlage.
7. Die Aufbewahrungsfrist der Protokolle ist mit Steuer- oder Rechtsberatung abgestimmt, nicht angenommen.
8. KI-gestützte Vorbereitung ist klar von der Freigabeentscheidung getrennt – ein System schlägt vor, ein Mensch entscheidet bei Fällen mit echter Tragweite.
9. Fälle mit hoher Tragweite oder starkem Ermessensspielraum bleiben bewusst manuell statt in starre Regeln gepresst.
10. Es gibt einen ersten Testbetrieb mit einem Antragstyp, bevor weitere folgen.

Die angrenzenden Themen – Rechnungsverarbeitung, Dokumentenverarbeitung mit KI und Reporting-Automatisierung – vertiefen die weiteren Artikel im Cluster Backoffice-Automatisierung.