Kernaussagen
- • Cluster F (AI Governance) liegt in allen sechs Listen im Median bei 0. Zwischen 72,5 % (DAX 40) und 90 % (BaFin) der Domains zeigen kein einziges AI-Governance-Signal. CERTIFIED setzt Cluster F ≥ 40 voraus.
- • 0 von 288 Juni-Messungen erreichen CERTIFIED; höchster gemessener Wert: 55,1 (Gesundheit).
- • Sauber gemessen: Finanzsektor (BaFin) Ø 30,1 (Median 32,0), Automotive Ø 29,5.
- • Kritische Infrastruktur: Werte wegen eines Messfehlers zurückgezogen. DAX 40, Gesundheit und Behörden: teilweise betroffen, Werte eher zu niedrig.
These Der robusteste Befund dieses Benchmarks betrifft nicht die Infrastruktur, sondern die Governance: Die meisten geprüften Organisationen veröffentlichen keine maschinenlesbare Angabe dazu, wie sie KI einsetzen.
CERTavia hat am 11. Juni 2026 insgesamt 288 europäische Enterprise-Domains aus sechs Branchenlisten gescannt. Keine Domain erreicht die CERTIFIED-Schwelle. Der vom Messfehler unberührte Befund: In jeder der sechs Listen hat mehr als die Hälfte der Domains in Cluster F (AI Governance) 0 Punkte.
Methodik
Für jede Domain wird der Compliance Evidence Score (CES, 0–100) berechnet. Er aggregiert 80+ Parameter aus sechs Clustern. CERTIFIED setzt einen CES von mindestens 75 und mindestens 40 Punkte in Cluster F voraus:
- Cluster A: Digitale Infrastruktur
- Cluster B: Maschinenlesbarkeit
- Cluster C: Rechtliche Compliance
- Cluster D: Transparenz & Consent
- Cluster E: Agentic Readiness
- Cluster F: AI Governance
Alle Scans wurden am 11. Juni 2026 durchgeführt. Die Ergebnisse sind anonymisiert: Unternehmensnamen werden in diesem öffentlichen Bericht nicht genannt. Die kostenpflichtigen Sektor-Datenpakete liefern Verteilungskennzahlen (Median, Quartile, Grade-Histogramm) sowie Ihre eigene Domain im Sektorvergleich — keine namentliche Liste der übrigen Domains.
Was der Scan nicht misst: Geprüft werden ausschließlich öffentlich abrufbare Signale der jeweiligen Hauptdomain (DNS, TLS, HTTP-Header, maschinenlesbare Dateien, Rechtstexte, Governance-Deklarationen). Interne Systeme, Prozesse, Verträge und tatsächlich eingesetzte KI-Systeme sind nicht sichtbar. Ein niedriger CES belegt daher fehlende öffentliche Nachweise, nicht fehlende interne Sicherheit. Art. 4, Art. 5 und Art. 50 Abs. 3 EU AI Act sind nicht Gegenstand des Scans.
Stand: Alle Zahlen in diesem Bericht beziehen sich auf den Scan vom 11. Juni 2026 (288 Domains, sechs Sektor-Listen). Der laufende Benchmark umfasst am 17. Oktober 2026 567 Messungen in zehn Branchenlisten, keine davon CERTIFIED (Juni-Messungen, siehe Korrekturhinweis); die Behörden-Liste umfasst inzwischen 59 Messungen an 48 Domains.
Ergebnisse auf einen Blick
Alle Listen liegen deutlich unterhalb der CERTIFIED-Schwelle. BaFin-regulierte Finanzinstitute erreichen als stärkster Sektor einen Durchschnitt von 30,1 Punkten (Median 32,0), das sind 40 % der Schwelle.
| Sektor | Domains | Ø CES | Max CES | Min CES | CERTIFIED |
|---|---|---|---|---|---|
| DAX 40* | 40 | 22,7 | 53,5 | 1,6 | 0 |
| Automotive & Industrie | 50 | 29,5 | 47,0 | 10,8 | 0 |
| Finanzsektor (BaFin) | 50 | 30,1 | 47,8 | 16,0 | 0 |
| Gesundheitswesen & Pharma* | 50 | 20,7 | 55,1 | 7,6 | 0 |
| Kritische Infrastruktur | 49 | Werte zurückgezogen (Messfehler) | 0 | ||
| Bundesbehörden & EU* | 49 | 20,2 | 37,5 | 8,6 | 0 |
| Gesamt | 288 | — | 55,1 | — | 0 |
Die CERTIFIED-Schwelle liegt bei 75 Punkten. Der Sektordurchschnitt des stärksten Sektors (BaFin, 30,1) erreicht nicht einmal die Hälfte dieser Marke. Die Skala läuft von 0 bis 100; kein Wert in diesem Benchmark überschreitet 55,1.
* Juni-Messung, teilweise vom Messfehler betroffen (DAX 40: 47,5 % der Domains, Gesundheit: 40 %, Behörden: 38,8 %); Werte eher zu niedrig. Einen Gesamtdurchschnitt nennen wir nicht mehr, weil er durch den Fehler nach unten verzerrt ist.
Sektorprofil: sechs Branchen im Vergleich
Die folgenden Kacheln zeigen Ø CES, Spannweite und Score-Verteilung je Sektor. Alle Werte stammen aus dem Scan vom 11. Juni 2026; zum Messfehler siehe den Hinweis oben.
DAX 40
Automotive & Industrie
Finanzsektor (BaFin)
Gesundheitswesen & Pharma
Kritische Infrastruktur
Bundesbehörden & EU
Detailanalyse nach Sektor
Die folgenden Abschnitte zeigen je Sektor die fünf höchsten Werte (anonymisiert) und den auffälligsten Befund.
DAX 40: Spitzenwert 53,5
Top 5 (anonymisiert)
- #153,5
- #246,0
- #337,8
- #437,1
- #536,6
Juni-Messung, teilweise vom Messfehler betroffen; Werte eher zu niedrig (Cluster A bei 47,5 % der Domains falsch als 0 gewertet). Der Spitzenwert 53,5 wurde vor dem Kipppunkt gemessen und ist der zweithöchste des Benchmarks. Belastbar ist Cluster F: 72,5 % der DAX-Domains zeigen kein AI-Governance-Signal.
Automotive & Industrie: keine Domain unter 10 Punkten
Top 5 (anonymisiert)
- #147,0
- #246,6
- #346,1
- #443,3
- #542,9
Automotive ist der einzige Sektor ohne eine Domain unter 10 Punkten. Mit Ø 29,5 (Median 30,9) liegt der Sektor knapp hinter dem Finanzsektor. 20 der 50 Domains (40 %) liegen zwischen 30 und 39 Punkten. Der Spitzenwert (47,0) liegt unter dem des DAX (53,5).
Finanzsektor (BaFin): höchster Durchschnitt, kein Wert unter 16 Punkten
Top 5 (anonymisiert)
- #147,8
- #247,2
- #342,5
- #442,3
- #540,8
Der Finanzsektor hat den höchsten Durchschnitt aller Sektoren (30,1). Kein Institut unterschreitet 16 Punkte. Die Liste ist vom Messfehler nicht betroffen; Cluster A liegt im Mittel bei 65,2. Der Digital Operational Resilience Act (DORA) gilt seit 17. Januar 2025. Der CES prüft keine DORA-Konformität; er zeigt aber, dass auch im am stärksten regulierten Sektor maschinenlesbare Governance-Signale fehlen (Cluster F bei 90 % der Institute 0, im Mittel 2,9 von 100).
Gesundheitswesen & Pharma: höchster Einzelwert 55,1
Top 5 (anonymisiert)
- #155,1
- #250,2
- #339,2
- #436,2
- #536,1
Der höchste Einzelwert aller 288 Domains stammt aus dem Gesundheitssektor (55,1). Juni-Messung, teilweise vom Messfehler betroffen; Werte eher zu niedrig (Cluster A bei 40 % der Domains falsch als 0 gewertet); die Verteilung im unteren Bereich ist deshalb nicht belastbar. Belastbar ist Cluster F: 80 % der Domains zeigen kein AI-Governance-Signal.
Kritische Infrastruktur: Werte zurückgezogen
Im KRITIS-Lauf vom 11. Juni 2026 wurde Cluster A bei allen 49 Domains wegen eines Rate-Limits als 0 gewertet. CES-Werte und Rangfolge dieser Liste sind deshalb nicht belastbar; wir nennen sie bis zu einer Neumessung nicht (Korrekturhinweis). Belastbar ist Cluster F: 77,6 % der KRITIS-Domains zeigen kein AI-Governance-Signal.
Bundesbehörden & EU: Juni-Lauf
Top 5 (anonymisiert)
- #137,5
- #235,8
- #332,4
- #432,3
- #532,2
Die Liste umfasst Bundesministerien, Bundesober- und Aufsichtsbehörden, Bundesgerichte und EU-Agenturen. Im Juni-Lauf erreichte sie einen Durchschnitt von 20,2 Punkten (Median 19,3). Juni-Messung, teilweise vom Messfehler betroffen; Werte eher zu niedrig (Cluster A bei 38,8 % der Domains falsch als 0 gewertet; eiopa.europa.eu wurde doppelt gemessen). Zehn Behörden wurden am 04.09.2026 fehlerfrei erneut gemessen; die Liste umfasst heute 59 Messungen an 48 Domains.
Cluster-Analyse: Wo liegen die Schwachstellen?
Der CES verteilt seine 80+ Parameter auf sechs Cluster. Die folgende Auswertung zeigt die Durchschnittswerte der Cluster B–F über alle 288 gescannten Domains. Cluster A ist wegen des Messfehlers nicht dargestellt.
Cluster E (Agentic Readiness, Ø 5,2) und Cluster F (AI Governance, Ø 4,8) messen Signale, die erst mit KI-Agenten und dem EU AI Act relevant geworden sind: etwa
ai-disclosure.json, eine veröffentlichte AI Policy,
KI-Direktiven in robots.txt oder eine benannte AI-Kontaktstelle.
Kein Sektor erreicht in einem der beiden Cluster einen Mittelwert über 10.
Regulatorischer Kontext
Drei europäische Regelwerke berühren die gemessenen Signale. Der CES ersetzt für keines davon eine Konformitätsprüfung.
DORA (Digital Operational Resilience Act) gilt seit 17. Januar 2025 für Finanzunternehmen in der EU. Die 50 Banken und Finanzinstitute dieser Liste (deutsche Institute sowie Deutschland-Präsenzen internationaler Banken) erreichen im Mittel 30,1 Punkte.
NIS2 richtet sich an wesentliche und wichtige Einrichtungen; die Umsetzungsfrist der Mitgliedstaaten endete am 17. Oktober 2024, das deutsche Umsetzungsgesetz (NIS2UmsuCG) gilt seit 6. Dezember 2025. Für die KRITIS-Liste (Energie, Telekommunikation, Netzbetreiber) sind die CES-Werte zurückgezogen; Cluster F ist dort bei 77,6 % der Domains 0.
Beim EU AI Act gelten die Transparenzpflichten nach Art. 50 seit dem 2. August 2026 (Zuordnung der Absätze: Glossar); die Pflichten für Hochrisiko-Systeme nach Annex III folgen am 2. Dezember 2027. Cluster F prüft öffentlich sichtbare Governance-Deklarationen, die als technischer Beleg zur Art.-50-Dokumentation beitragen können. Zum Scan-Zeitpunkt lag der Cluster in allen sechs Listen im Median bei 0.
Einordnung
Die stärksten Einzelwerte liegen bei 55,1 (Gesundheit), 53,5 (DAX) und 47,8 (BaFin). Bis zur Schwelle von 75 fehlen selbst dem Spitzenwert 19,9 Punkte. Selbst wenn man den Messfehler in Cluster A (Gewicht 25 %) berücksichtigt, scheitert CERTIFIED bei den meisten Domains am zweiten Kriterium: Cluster F ≥ 40.
Zum Vergleich: Die beiden eigenen Domains des Betreibers erreichen CERTIFIED — litzki-systems.com in 171 Scans zwischen 18.07. und 13.10.2026 (CES 91,6 bis 100), certavia.org in 38 Scans zwischen 06.08. und 12.10.2026 (CES 77,8 bis 97,2). Die Spannen zeigen auch: Die Bewertungsregeln sind fest, die Messwerte externer Prüfungen schwanken zwischen zwei Abrufen. Ein Scan dokumentiert einen datierten Zustand. Belege: Referenzen.
Über diesen Report
Alle Scans berechnen den Compliance Evidence Score (CES): 80+ Parameter in sechs Clustern nach festen, dokumentierten Regeln, Schwelle für CERTIFIED bei 75 Punkten und Cluster F ≥ 40. Der Benchmark wird fortgeschrieben; seit Juni 2026 kamen vier Sektor-Listen hinzu.
Unternehmen, die ihren eigenen CES-Score ermitteln möchten, finden den Einstieg unter certavia.org/wie-es-funktioniert. Der kostenlose Scan liefert Urteil, CES und alle sechs Cluster mit Einzelparametern und Handlungsempfehlungen, bei Auswahl einer Branche auch den Sektorvergleich. Ein Scan dauert im Median rund 10 Sekunden.
Die kostenpflichtigen Sektor-Datenpakete enthalten Verteilungskennzahlen und Ihre eigene Domain im Sektorvergleich, keine namentliche Liste anderer Domains: Sektor-Daten ansehen.
CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance-Bewertungen wenden Sie sich an eine zugelassene Konformitätsbewertungsstelle.
