KI-gestützte Dokumentenanalyse für M&A Due Diligence in einer regulierten Branche

Für ein vertrauliches Due-Diligence-Projekt in einer regulierten Branche haben wir eine KI-gestützte Dokumentenanalyse auf RAG-Basis in Azure aufgebaut und innerhalb weniger Wochen in den produktiven Pilotbetrieb gebracht. Aus Vertraulichkeitsgründen können wir keine weiteren Details zum Auftraggeber offenlegen.

Das Prinzip dahinter in einem Satz: Jede Antwort ist mit exakter Fundstelle belegt - ein Klick führt direkt an die Stelle im Originaldokument. Fehlt eine Information, meldet das System das transparent, statt sich etwas auszudenken.

Ausgangslage: entscheidende Fakten verschwinden in tausenden Dokumenten

Beim Zukauf anderer Unternehmen prüfte das M&A-Team hunderte bis tausende Dokumente aus dem Datenraum - Verträge, Finanzberichte, Rechtsgutachten, Gesellschafterbeschlüsse, Behördenbescheide. Viele davon liegen nur als Scan vor und sind nicht maschinenlesbar.

Bislang blieb dafür nur die manuelle Stichwortsuche durch den Datenraum. Vier Probleme zeigten sich dabei immer wieder:

• Wochenlange Stichwortsuche. Hunderte bis tausende Dokumente im Datenraum ließen sich nur manuell durchsuchen - zeitaufwändig und ohne verlässliche Volltextsuche.
• Wissen an Einzelpersonen gebunden. Ob eine kritische Information bereits gefunden wurde, wusste oft nur eine einzelne Person im Team.
• Kritische Klauseln übersehen. Change-of-Control-Klauseln und andere entscheidungsrelevante Fundstellen wurden in der Dokumentenflut übersehen oder zu spät entdeckt.
• Keine bereichsübergreifende Abfrage. Fragen wie „Welche Change-of-Control-Klauseln gibt es über alle Verträge hinweg?” ließen sich nicht strukturiert über den gesamten Datenraum stellen.

Kernfunktionen im Tagesgeschäft

• Massen-Upload ohne Reibung. Einzel- oder Bulk-Upload inklusive ZIP-Archiven bis 50 GB, per Drag & Drop, mit erhaltener Ordnerstruktur.
• OCR auch für Handschrift. Automatisches Parsing erkennt auch gescannte und handschriftliche Vertragsergänzungen und extrahiert Metadaten wie Kategorie, Parteien, Datum und Sensitivität. Auch Wasserzeichen, schlecht gescannte Vorlagen sowie rot markierte Schwärzungen und Streichungen werden ebenfalls verarbeitet.
• Finanztabellen korrekt zusammenführen. Mehrseitige Bilanzen und andere Finanztabellen werden über Seitenumbrüche hinweg automatisch erkannt und korrekt zusammengesetzt, inklusive Excel-Export.
• Chat mit Zitationspflicht. Jede Antwort verweist auf die Fundstelle im Originaldokument; fehlende Informationen meldet das System transparent, statt sich etwas auszudenken.
• Redundanz-Erkennung. Bei mehr als 92 % Ähnlichkeit zu einem bereits vorhandenen Dokument warnt das System automatisch vor Duplikaten.
• Strikte Mandantentrennung. Jedes M&A-Vorhaben ist ein eigener, technisch isolierter Datenraum - auch bei Zusammenarbeit mit externen Beratern bleiben konkurrierende Deals getrennt.
• Strukturierter Metadaten-Export. Extrahierte Metadaten wie Kategorie, Parteien, Datum und Sensitivität lassen sich als JSON oder CSV exportieren und in nachgelagerten Systemen weiterverarbeiten.
• Datenraum-Suchoberfläche. Facetten-Filter und Kartenansicht bleiben bis zur Zielgröße von rund 10.000 Dokumenten je Arbeitsbereich performant nutzbar.

Für die IT: wie das technisch gebaut ist

Eine Azure-native RAG-Plattform mit austauschbarem KI-Modell

Für die KI-gestützte Dokumentenanalyse haben wir eine Single-Tenant-Plattform gebaut, die Dokumente inklusive gescannter und handschriftlicher Inhalte automatisch aufnimmt, indexiert und über eine Chat-Oberfläche mit Zitationspflicht durchsuchbar macht: React/TypeScript-Frontend, Python/FastAPI-Backend, Azure AI Search für hybride Vektor- und Volltextsuche mit semantischem Reranking sowie Azure AI Content Understanding für Dokumentenverarbeitung und OCR.

Ein bewusstes Architekturprinzip von Anfang an: KI-Modell und Embeddings sind über ein Adapter-Pattern austauschbar - Azure OpenAI oder Anthropic Claude, je nach Anforderung. Dadurch bindet sich die Plattform nicht an einen einzigen KI-Anbieter.

Warum Retrieval statt großem Kontextfenster?

Moderne Sprachmodelle bieten immer größere Kontextfenster - die naheliegende Idee wäre, einfach den gesamten Datenraum auf einmal hineinzuladen. Genau davon haben wir bewusst abgesehen:

• Lost-in-the-Middle-Effekt: Inhalte in der Mitte eines langen Kontexts werden von Sprachmodellen nachweislich schlechter verarbeitet als Inhalte am Anfang oder Ende - bei tausenden Dokumenten ein reales Risiko für übersehene Fakten.
• Chunking: Dokumente werden in sinnvolle, semantisch abgeschlossene Abschnitte zerlegt.
• Retrieval: Bei jeder Anfrage werden gezielt nur die relevantesten Abschnitte aus dem gesamten Datenraum abgerufen.
• Reranking: Ein semantisches Reranking sortiert die Treffer zusätzlich nach tatsächlicher Relevanz, bevor sie an das Sprachmodell gehen.
• Ergebnis: Das Modell sieht nur die wirklich relevanten Ausschnitte - nicht den gesamten Datenraum. Das erhöht Genauigkeit, Nachvollziehbarkeit und Zitierfähigkeit, unabhängig von der Gesamtgröße des Datenraums.

Vorgehen in vier Phasen

1. Architektur & Aufbau. Strukturiertes Anforderungsdokument, dokumentierte Architektur-Entscheidungen (ADRs) und Infrastructure-as-Code über Terraform für drei Umgebungen: lokal, Cloud-Dev und Kunden-Tenant. Zero-Trust von der ersten Entscheidung an.
2. Kernfunktionen entwickeln. Von Massen-Upload über automatisches Parsing bis zum Chat mit Quellenbeleg - die zentralen Nutzerfunktionen entstanden iterativ in enger Abstimmung mit den fachlichen Anforderungen aus der Due-Diligence-Praxis.
3. Qualitätstests & Schwachstellenanalyse. 56 automatisierte Backend-Testdateien, gezielt für sicherheitskritische Funktionen wie Mandantentrennung, Ratenbegrenzung und Zitationsgenauigkeit. Systematische Prüfung an echten Dokumenten, unter anderem zur OCR-Genauigkeit bei handschriftlichen Vertragsergänzungen.
4. Architektur-Review & Pilotbetrieb. Formales Scalability-&-Cost-Review mit Zielgrößen für rund 10.000 Dokumente pro Arbeitsbereich und mehrere parallele Datenräume. Wenige Wochen nach Kickoff: produktiver Pilotbetrieb beim Kunden.

Sicherheit: Zero-Trust von der Architektur an

Das Projekt bewegt sich in einem regulierten Umfeld und war mit strengen Sicherheitsanforderungen verbunden. Entsprechend war Sicherheit von der ersten Architekturentscheidung an mitgedacht - nicht nachträglich aufgesetzt.

• Identität & Zugriff. Single Sign-on über Azure Entra ID mit dem bestehenden Firmen-Account, rollenbasierte Zugriffskontrolle und ein vorgelagerter, authentifizierender Zugangspunkt - nicht authentifizierte Anfragen erreichen die Anwendung nicht. Externe Berater erhalten Zugriff über offizielle Gasteinladungen, mit sofortigem Entzug beim Offboarding.
• Daten & Secrets. Keine Zugangsdaten im Code: Alle Geheimnisse liegen in Azure Key Vault, Zugriff ausschließlich über automatisch rotierende Managed Identities. Datei-Zugriffstokens sind nur wenige Minuten gültig, alle Infrastruktur- und Konfigurationsdaten verbleiben in der Azure-Umgebung des Kunden.
• Netzwerksicherheit. Suche, KI-Dienste und Speicher sind nicht öffentlich aus dem Internet erreichbar, sondern nur über private Netzwerkpfade (Private Endpoints). Single-Tenant-Betrieb statt geteiltem SaaS, Datenverarbeitung in der Azure-Region Germany West Central.
• Qualitätssicherung & Kostenkontrolle. Systematisches Testing an echten Dokumenten, ein Anti-Halluzinations-Design, das fehlende Informationen transparent meldet, und mehrstufige Freigabeprozesse vor teuren Massenoperationen als Schutz vor unkontrollierten Kosten.

Eingesetzte Technologien

• KI & Suche: Azure AI Search, Azure AI Content Understanding, Azure OpenAI (GPT-5), Anthropic Claude
• Sicherheit & Identität: Azure Entra ID, Azure Key Vault, Managed Identity, Private Endpoints
• Cloud-Infrastruktur: Azure Container Apps, Azure Static Web Apps, Azure Blob Storage, Terraform

Stand: produktiv im Einsatz - mit dokumentierten Grenzen

Die Plattform ist produktiv im Einsatz und unterstützt die M&A-Due-Diligence-Prozesse im Tagesgeschäft. Was dieses Projekt von vielen typischen KI-Einführungen unterscheidet: Wir haben nicht nur eine funktionierende Lösung geliefert, sondern auch dokumentiert, wo diese Technologie heute noch ihre Grenzen hat.

• Schnell im Pilotbetrieb. Vom ersten Architekturentwurf bis zum produktiven Pilotbetrieb beim Kunden vergingen nur wenige Wochen - von der Anforderungsaufnahme bis zum laufenden Einsatz im Tagesgeschäft.
• Produktiv auf Azure, im eigenen Tenant. Speicherung, Indexierung und Verarbeitung der Dokumente laufen vollständig in der Azure-Umgebung des Kunden (Single-Tenant, Region Germany West Central). Für Modellaufrufe wird je eingesetztem Modell benannt, welcher Dienst in welcher Region angesprochen wird und welche Vertragslage gilt.
• Kontinuierlich gehärtet statt einmal aufgesetzt. Bei der Verarbeitung großer Dokumentenmengen zeigten sich immer wieder Systemfehler - etwa OCR-Fehler beim Erkennen gescannter oder handschriftlicher Inhalte. Ein großer Teil unserer Arbeit bestand darin, das System systematisch zu härten und ausgiebig zu testen, gestützt auf 56 automatisierte Backend-Testdateien. Die im Betrieb aufgetretenen Fehlerbilder - vor allem OCR-Fehler bei Scans und Handschrift - haben wir dokumentiert, behoben und mit automatisierten Tests abgesichert; verbleibende Grenzen stehen unten.
• Skalierbar auf rund 10.000 Dokumente pro Arbeitsbereich. Ein formales Architektur-Review definierte Zielgrößen für mehrere parallele Datenräume. KI-Modell und Embeddings bleiben dabei über ein Adapter-Pattern austauschbar.

Fazit

Die RAG-Technologie ist heute in der Lage, große Dokumentenmengen effizient durchsuchbar zu machen und präzise, quellenbelegte Antworten zu liefern - in diesem Projekt vom ersten Architekturentwurf bis zum produktiven Kundenpiloten innerhalb weniger Wochen. Gleichzeitig gibt es reale Grenzen: OCR-Qualität, Kontamination über Dokumentgrenzen und fehlerhafte Synthese bei widersprüchlichen Quellen sind kein theoretisches Problem - sie sind dokumentierte Praxis.

Wer diese Grenzen kennt und akzeptiert, kann KI-gestützte Dokumentenanalyse als das einsetzen, was sie ist: ein leistungsfähiges Werkzeug mit konkretem Anwendungsbereich, nicht eine Universallösung. Ein Adapter-Pattern für KI-Modell und Embeddings hält die Plattform dabei technologieoffen - austauschbar zwischen Azure OpenAI und Anthropic Claude, statt an einen einzigen Anbieter gebunden.

Relevant für regulierte Unternehmen, die KI-gestützte Dokumentenanalyse datensouverän einsetzen wollen und Wert auf eine belastbare Einschätzung des tatsächlichen Reifegrads ihrer Lösung legen.