Zertifikatsmanagement mit KI: Wie ein KI-Agent im ERP Lieferantenzertifikate überwacht

Warum Lieferantenzertifikate in vielen Unternehmen an einer Excel-Liste hängen und was ein KI-Agent im ERP daran ändert.

Wer in regulierten Branchen liefert, braucht dafür oft ein gültiges Zertifikat. Und wer einkauft, muss belegen, dass seine Lieferanten die Anforderungen erfüllen, und zwar über die gesamte Dauer der Geschäftsbeziehung. Zertifikate laufen ab, Sicherheitsdatenblätter werden überarbeitet, Qualitätsvereinbarungen müssen erneuert werden. Im Alltag fällt das oft erst auf, wenn ein Auditor danach fragt.

Welche Nachweise das sind, hängt stark von der Branche ab. Manche schreibt der Gesetzgeber vor, etwa im Arzneimittel- oder im Bio-Bereich. Andere Zertifizierungen sind freiwillig, nur verlangen Kunden sie per Vertrag, und ohne sie kommt eine Lieferbeziehung oft gar nicht erst zustande. Ein paar Beispiele.

Lieferantenzertifikate in verschiedenen Branchen

Lebensmittelindustrie: IFS, BRCGS und Bio-Zertifikate

Wer Handelsmarken für den Lebensmitteleinzelhandel herstellt, braucht in der Regel eine Zertifizierung nach IFS Food oder BRCGS Food. Ein Gesetz schreibt das nicht vor, der Handel fordert es im Liefervertrag. Ein IFS-Food-Zertifikat gilt zwölf Monate, danach wird neu auditiert, und der Handel will jeweils das aktuelle sehen. Bio-Hersteller müssen außerdem prüfen, ob ihre Bio-Vorlieferanten nach der EU-Öko-Verordnung zertifiziert sind und ob der Geltungsbereich des Zertifikats die gelieferte Ware auch abdeckt. Nachschlagen lässt sich das in der öffentlichen Zertifikatssuche der EU-Datenbank TRACES.

Chemie: Sicherheitsdatenblätter und REACH

Sicherheitsdatenblätter haben kein gesetzliches Ablaufdatum. Ein älteres Blatt ist also nicht schon deshalb ungültig, weil es ein paar Jahre alt ist. Entscheidend ist, ob es noch aktuell ist. Nach Artikel 31 Absatz 9 der REACH-Verordnung muss der Lieferant das Sicherheitsdatenblatt unverzüglich überarbeiten, wenn bestimmte neue Informationen vorliegen, etwa neue Erkenntnisse zu Gefahren oder Schutzmaßnahmen. Die neue Fassung geht dann an alle Abnehmer, die den Stoff oder das Gemisch in den vorangegangenen zwölf Monaten bekommen haben. Landet so ein Update im falschen Postfach, arbeitet die Produktion womöglich mit veralteten Gefahrenhinweisen. Wer Sicherheitsdatenblätter überwacht, achtet deshalb auf Revisionsstände und weniger auf Fristen.

Pharma: GMP und ISO 15378

Pharmahersteller müssen sicherstellen und belegen, dass ihre Wirkstofflieferanten nach GMP arbeiten. Das ist Teil der Lieferantenqualifizierung, zu der auch Audits, Risikobewertungen und weitere Nachweise gehören. Hat eine Behörde einen Hersteller inspiziert, kann sie ein GMP-Zertifikat ausstellen, das sich in der europäischen Datenbank EudraGMDP nachschlagen lässt. Nicht jeder Wirkstofflieferant hat allerdings eins. Hersteller von Primärpackmitteln wie Ampullen, Spritzen oder Verschlüssen weisen ihr Qualitätsmanagement häufig nach ISO 15378 nach, einer Norm speziell für diesen Bereich. Vorgeschrieben ist sie nicht. Lückenhafte Nachweise in der Lieferantenakte können im ungünstigen Fall aber die Chargenfreigabe verzögern.

Medizintechnik: ISO 13485

Medizintechnikhersteller müssen ihre Lieferanten risikobasiert qualifizieren und überwachen. Das verlangen ihr eigenes Qualitätsmanagement nach ISO 13485 und die EU-Medizinprodukteverordnung MDR. Ein ISO-13485-Zertifikat des Lieferanten ist dabei ein wichtiger Nachweis, auch wenn längst nicht jeder kritische Lieferant selbst eins haben muss. Der reguläre Zertifizierungszyklus dauert drei Jahre, dazwischen liegen Überwachungsaudits. Für die Lieferantenkontrolle reicht das Zertifikat allein aber nicht. Sein Geltungsbereich muss zu den Produkten oder Prozessen passen, die tatsächlich eingekauft werden.

Handel und Logistik: GDP und IFS Logistics

Wer Arzneimittel lagert oder transportiert, arbeitet nach den EU-Leitlinien für die Gute Vertriebspraxis (GDP) und muss seine Transportdienstleister qualifizieren. Ein eigenes GDP-Zertifikat braucht dafür nicht jeder Spediteur. Was verlangt wird, hängt von den regulatorischen Pflichten und vom Vertrag ab. Im Lebensmittelbereich ist IFS Logistics ein etablierter Standard für Lager- und Transportdienstleister. Händler mit Eigenmarken überwachen zusätzlich die Zertifikate ihrer Produzenten.

Dienstleistung: ISO 27001 und Nachweise von Subunternehmern

Softwarehäuser, Ingenieurbüros und Beratungen stehen oft auf beiden Seiten. Kunden verlangen von ihnen Nachweise zur Informationssicherheit, etwa eine Zertifizierung nach ISO 27001. Eine allgemeine Pflicht dazu gibt es nicht, oft steht sie aber im Vertrag oder schon in der Ausschreibung. Von Subunternehmern und Freelancern brauchen sie selbst je nach Auftrag und Vertrag zum Beispiel Versicherungsnachweise oder Unbedenklichkeitsbescheinigungen, und auch die laufen irgendwann ab.

Die Dokumente sind verschieden, und längst nicht jedes hat ein Ablaufdatum. Der Weg ins Unternehmen ist aber fast immer derselbe: als PDF im Anhang einer E-Mail.

Die Herausforderungen im Zertifikatsmanagement

Excel, Ordner, Wiedervorlage

Im Mittelstand sieht der Ablauf meist so aus: Das PDF kommt per Mail, wandert in einen Ordner auf dem Fileserver, das Ablaufdatum wird in eine Excel-Liste übertragen, und wer gründlich ist, setzt sich eine Wiedervorlage in Outlook. Im ersten Jahr funktioniert das ziemlich gut. Mit der Zeit kippt es.

Die Menge wächst schneller als die Liste

Ein Unternehmen mit 40 wichtigen Lieferanten und im Schnitt vier überwachungspflichtigen Dokumenten je Lieferant hat 160 Dokumente, deren Gültigkeit oder Aktualität jemand im Blick behalten muss. Dazu kommen Chargenzeugnisse mit jeder Lieferung. Das behält niemand nebenbei im Kopf, und eine Tabelle meldet sich halt nicht von selbst.

Das Wissen hängt an einzelnen Personen

Wechselt die zuständige Person in Qualitätssicherung oder Einkauf, geht oft auch das Wissen verloren, welche Frist wo steht und welcher Lieferant schon zweimal erinnert wurde. Neue Lieferanten kommen unter Zeitdruck dazu, und die Liste wird nicht nachgezogen. Beim nächsten Audit steht der Lieferant dann zwar im ERP, aber ohne gültigen Nachweis.

Ablegen ist leicht, prüfen nicht

Aufwendig wird es beim Lesen. Jemand muss prüfen, ob Aussteller und Unterschrift stimmen, ob der Geltungsbereich passt und ob die Messwerte eines Analysenzertifikats innerhalb der Spezifikation liegen. Dafür braucht man die Spezifikation. Und die steht im ERP.

Und selbst ein formal einwandfreies PDF sagt nicht alles. Ein Zertifikat kann ausgesetzt oder zurückgezogen sein, obwohl das aufgedruckte Ablaufdatum noch in der Zukunft liegt. Das zeigt erst ein Blick in die Datenbank der Zertifizierungsstelle oder der Behörde.

Aufgesetzte Softwarelösungen und ihre Schnittstellen

Software für die Zertifikatsverwaltung gibt es durchaus: QM-Systeme mit Lieferantenakte, Lieferantenportale, in die Lieferanten ihre Nachweise selbst hochladen, und KI-Plattformen für den Einkauf, die Dokumente automatisch auslesen. Das hat alles seinen Platz.

Diese Lösungen laufen neben dem ERP. Auf Lieferantenstamm, Artikel, Chargen und Prüfparameter greifen sie über Schnittstellen zu. Ist die Integration gut gemacht, klappt damit auch der Abgleich eines Analysenzertifikats mit den Sollwerten eines Artikels. Nur kostet so eine Integration Aufwand, beim Einrichten und bei jeder späteren Änderung. Und die Stammdaten liegen dann oft an zwei Stellen.

Dass KI im ERP nur so gut arbeitet wie die Daten dahinter, zeigt auch der Beitrag zu den ERP-Trends 2026 und 2027. Ein Agent, der direkt auf den Stammdaten arbeitet, spart sich diesen Umweg.

Die Lösung: der Document Tracker als KI-Agent in der GEBRA-Suite

GEBRA-IT geht deshalb einen anderen Weg. Die GEBRA-Suite ist bekanntlich eine Low-Code-ERP-Plattform, die sich über einen Baukasten ohne klassische Programmierung an die Prozesse eines Unternehmens anpassen lässt. Dazu liefert GEBRA-IT fertige KI-Agenten als Bausteine, die Kunden zuschalten und konfigurieren. Wie sich KI und Low-Code dabei ergänzen, hat GEBRA-IT schon früher beschrieben.

Der Document Tracker ist einer dieser KI-Agenten. Er liest Zertifikate und Lieferantendokumente aus einem E-Mail-Postfach, prüft sie anhand festgelegter Regeln gegen die Stamm- und Produktdaten im ERP, überwacht Fristen und Aktualisierungsbedarf und fragt beim Lieferanten nach.

Er arbeitet direkt im ERP. Deshalb kennt er Lieferanten, Artikel, Chargen und Prüfparameter, ohne dass jemand Daten über eine Schnittstelle spiegelt. Eine eigenständige Version außerhalb der GEBRA-Suite gibt es bewusst nicht. Der Agent lebt davon, dass Stamm- und Produktdaten schon da sind, wo er arbeitet.

So arbeitet der Document Tracker

1. Das Postfach ist der Eingang. Der Agent überwacht ein eigenes Postfach, etwa zertifikate@ihr-unternehmen.de. Lieferanten schicken ihre Dokumente dorthin wie bisher, ohne Portal und ohne Passwort. Hat eine Mail drei Anhänge, entstehen drei Vorgänge.

1. Einordnen. Der Document Tracker erkennt Dokumentart, Aussteller, Nummer sowie Ausstellungs- und Gültigkeitsdatum. Dann ordnet er zu: das Zertifikat dem Lieferanten, das Chargenzeugnis dem Artikel und der Charge. Die Zuordnung läuft sinngemäß. Aus einer Kurzbezeichnung im Briefkopf wird der richtige Stammsatz, die Absenderadresse dient als zweiter Anhaltspunkt.

1. Formal prüfen. Fehlen Aussteller, Datum, Unterschrift oder Produktbezug? Ist der Scan lesbar? Jeden Verstoß benennt der Agent einzeln. Das ist eine Prüfung des Dokuments selbst. Ob ein Zertifikat noch aktiv ist, steht nicht auf dem PDF. Wer sichergehen will, gleicht den Status zusätzlich mit den offiziellen Datenbanken ab, etwa der IFS-Datenbank, TRACES für Bio-Zertifikate oder EudraGMDP für GMP-Zertifikate.

1. Inhaltlich prüfen. Der Agent stellt das Dokument gegen die Stamm- und Produktdaten im ERP. Bei einem Zertifikat prüft er, ob der Geltungsbereich passt. Bei einem Analysenzertifikat liest er die Messwerte aus, hinterlegt sie am Artikel und vergleicht jeden Wert mit Mindest- und Höchstwert aus dem Parameterkatalog.

1. Überwachen. Aus Gültigkeitsende und einer festgelegten Vorlaufzeit berechnet das System ein Warndatum. Eine Ampel zeigt Abgelaufenes rot und bald Ablaufendes gelb. Eine Liste muss dafür niemand pflegen. Zwischenfristen, etwa eine halbjährliche Bestätigung, lassen sich als eigener Termin führen. Bei Dokumenten ohne Ablaufdatum greift diese Ampel nicht. Ein Sicherheitsdatenblatt wird durch eine neue Revision abgelöst, ein Chargenzeugnis gehört zu genau einer Charge. Hier zählt der Versionsstand. Kommt eine neue Fassung, löst sie die alte ab.

1. Nachfragen. Für auslaufende Dokumente erstellt der Agent eine Anfrage an den Lieferanten, mit Artikel, Dokumentart, Ablaufdatum und Ansprechpartner. Die Antwort landet im selben Postfach und durchläuft dieselbe Kette. Das alte Dokument bekommt einen Zeitstempel und den Status überholt, sodass auch Jahre später klar ist, welche Fassung wann galt.

Dazu kommen Abfragen in normaler Sprache, zum Beispiel: „Welche Artikel haben kein aktuelles Sicherheitsdatenblatt?" oder „Zu welchen Chargen fehlt das Analysenzertifikat?" Vor einem Audit spart das viel Sucherei. Vor allem nimmt der Agent die zeitfressende Routinearbeit ab. Und er erledigt Prüfungen, die im Alltag oft nur oberflächlich oder gar nicht stattfinden, etwa den Abgleich jedes Messwerts mit der Spezifikation. Die Lieferantenakte wird dadurch vollständiger und verlässlicher.

Autonom im Hintergrund: das Workflow-Automation-Tool

Ein Agent allein ergibt noch keinen Prozess. Irgendetwas muss ihn starten, die Schritte verketten und festlegen, wann ein Mensch dazukommt. Dafür hat GEBRA-IT ein Workflow-Automation-Tool in die GEBRA-Suite integriert. Vom Prinzip her ähnelt es Workflow-Plattformen wie n8n. Es läuft aber im ERP und hat die Module und Bausteine der Suite und der KI-Low-Code-Plattform direkt im Zugriff.

Der Document Tracker wartet also nicht darauf, dass jemand ihn aufruft. Er startet, sobald eine Mail eintrifft, arbeitet die Kette ab und meldet sich erst, wenn er nicht weiterkommt oder eine Entscheidung braucht. Ein sauber erkanntes Zertifikat eines bekannten Lieferanten, das alle Prüfungen besteht, liegt danach abgelegt und mit Frist in der Übersicht, ohne dass sich jemand darum kümmern musste. Liegt ein Messwert außerhalb der Toleranz oder lässt sich der Absender keinem Lieferanten zuordnen, wandert der Vorgang in eine Klärliste und wartet auf einen Menschen.

Wo diese Schwelle liegt, legen die Nutzer fest. Wer anfangs jedes Dokument selbst sehen will, stellt sie streng ein und lockert sie später. In regulierten Branchen ist das vermutlich ohnehin der ruhigere Weg.

Der Mensch entscheidet, wo es zählt

Gerade in geprüften Umgebungen muss die Arbeitsteilung nachvollziehbar sein. Der Document Tracker bewertet gegen ein Regelwerk, das schriftlich festgelegt und mit der Qualitätssicherung abgestimmt ist. Jeden Schritt protokolliert er, jeden Regelverstoß benennt er einzeln, und zu jedem Fall schreibt er eine lesbare Begründung seiner Entscheidung. Regeln und Protokolle stehen als Text im System, man kann sie im Audit vorlegen.

Still verworfen wird nichts. Was sich nicht zuordnen lässt, landet mit Begründung in der Klärliste. Anfragen an Lieferanten gehen erst nach Freigabe hinaus. Manuelle Eingaben überschreibt der Agent nie, er füllt nur leere Felder. Die ursprüngliche Mail bleibt am Dokument hängen, jeder Versand ist mit Absender, Zeitpunkt und Empfänger protokolliert. Woher ein Zertifikat kam und wann nachgefasst wurde, lässt sich so jederzeit belegen.

Ein validierter Prozess im regulatorischen Sinn ist damit allerdings noch nicht automatisch erreicht. Wo GMP oder die MDR gelten, kommen je nach Einsatz eine Systemvalidierung, eine Versionskontrolle der Prüfregeln, ein Berechtigungskonzept, Audit-Trails und eine dokumentierte Kontrolle der KI-Ergebnisse dazu. Was davon nötig ist, klärt jedes Unternehmen mit seiner Qualitätssicherung. Die Protokolle des Document Trackers sind dafür eine brauchbare Ausgangsbasis.

Was der Start voraussetzt

Grundlage ist die GEBRA-Suite mit gepflegtem Lieferanten-, Artikel- und Chargenstamm. Ansonsten braucht es wenig:

• ein Postfach für eingehende Zertifikate, gern auch ein neues, das Sie Ihren Lieferanten mitteilen,

• einen Stapel echter Dokumente aller Arten zum Einrichten, ausdrücklich auch schlechte Scans,

• eine Einstufung, welche Lieferanten kritisch sind und welche Dokumente überwacht werden sollen,

• für Artikel mit Prüfwerten den Parameterkatalog mit Sollwerten,

• eine Ansprechperson aus der Qualitätssicherung, die Prüfregeln, Eskalationsschwelle und den Text der Lieferantenanfrage mitbestimmt.

Ein Agent für alle Nachweise

Dem Document Tracker ist ziemlich egal, was er überwacht. Ein IFS-Zertifikat, ein Sicherheitsdatenblatt, eine GMP-Bescheinigung oder der Versicherungsnachweis eines Subunternehmers kommen alle per Mail, haben einen Aussteller und gehören zu einem Lieferanten, Artikel oder einer Charge. Überwacht werden sie trotzdem unterschiedlich. Ein Zertifikat läuft an einem bestimmten Tag ab. Ein Sicherheitsdatenblatt wird irgendwann durch eine neue Revision ersetzt, und ein Analysenzertifikat gilt ohnehin nur für die eine Charge, zu der es gehört. Von Branche zu Branche ändern sich außerdem die Prüfregeln und der Text der Nachfrage. Beides lässt sich in der Low-Code-Umgebung der GEBRA-Suite anpassen, ohne dass jemand programmieren muss. Einfache Anpassungen kann die Fachabteilung dabei selbst übernehmen, ganz im Sinne des Citizen Developers.

Häufige Fragen zum Zertifikatsmanagement mit KI 

Was versteht man unter Zertifikatsmanagement?

Zertifikatsmanagement umfasst das Einholen, Prüfen, Ablegen und Überwachen von Nachweisen wie Lieferantenzertifikaten, Konformitätserklärungen, Sicherheitsdatenblättern oder Analysenzertifikaten. Dazu gehört, Ablauffristen und Revisionsstände im Blick zu behalten und rechtzeitig neue Fassungen beim Lieferanten anzufordern.

Was ist der Document Tracker von GEBRA-IT?

Der Document Tracker ist ein KI-Agent in der Low-Code-ERP-Plattform GEBRA-Suite. Er liest Zertifikate und Lieferantendokumente aus einem E-Mail-Postfach, ordnet sie Lieferanten, Artikeln und Chargen zu, prüft sie anhand festgelegter Regeln gegen die Stamm- und Produktdaten im ERP, überwacht Fristen und Aktualisierungsbedarf und erstellt Anfragen an Lieferanten.

Was unterscheidet einen KI-Agenten im ERP von aufgesetzter Software?

Ein KI-Agent im ERP greift direkt auf Lieferantenstamm, Artikel, Chargen und Prüfparameter zu. Aufgesetzte Lösungen wie QM-Systeme oder Lieferantenportale laufen daneben und holen sich diese Daten über Schnittstellen. Das funktioniert, wenn die Integration gut gemacht ist, kostet aber Aufwand beim Einrichten und Pflegen. Im ERP fällt die Schnittstelle weg, und die Stammdaten liegen nur an einer Stelle.

Arbeitet der Document Tracker vollständig autonom?

Mit dem integrierten Workflow-Automation-Tool der GEBRA-Suite läuft er im Hintergrund, sobald ein Dokument eintrifft. Einen Menschen bindet er ein, wenn er ein Dokument nicht sicher zuordnen kann oder eine Entscheidung braucht. Anfragen an Lieferanten gehen erst nach Freigabe hinaus.

Welche Dokumente kann der Document Tracker überwachen?

Grundsätzlich jedes Dokument, das sich einem Lieferanten, Artikel oder einer Charge zuordnen lässt. Bei Qualitätszertifikaten wie IFS, BRCGS, ISO 13485 oder ISO 27001, bei GMP-Bescheinigungen und Versicherungsnachweisen überwacht er das Ablaufdatum. Bei Sicherheitsdatenblättern zählt der aktuelle Revisionsstand, bei Analysenzertifikaten liest er Chargenbezug und Messwerte aus. Konformitätserklärungen lassen sich ebenfalls erfassen.

Kann man den Document Tracker ohne die GEBRA-Suite nutzen?

Nein. Der Document Tracker ist ein Baustein der GEBRA-Suite und nutzt deren Stamm- und Produktdaten. Eine eigenständige Version ist nicht vorgesehen.

Zertifikatsmanagement in der GEBRA-Suite

Sie arbeiten bereits mit der GEBRA-Suite und wollen den Document Tracker einsetzen? Sprechen Sie uns an, wir richten ihn gemeinsam mit Ihrer Qualitätssicherung ein. Und wenn Sie wissen möchten, wie ein Low-Code-ERP mit integrierten KI-Agenten in Ihrem Unternehmen aussehen könnte, zeigen wir Ihnen das gern an Ihren eigenen Prozessen.