Wo liegen Ihre Business Central-Daten beim Reporting in Excel?

Von Thomas Werkhoven, CEO von Exsion365, Register Accountant, zuvor Group Controller und CFO.

Mitten in der Auswahl eines Reporting-Tools stellt jemand aus der IT die Frage, an die das Rechnungswesen nicht gedacht hat: wo speichert dieses Produkt eigentlich unsere Daten? Die Frage ist berechtigt, sie verändert den Vertrag, den Sie gleich unterschreiben, und kaum eine Anbieterseite beantwortet sie direkt.

Die kurze Antwort

Reporting-Tools für Business Central verwenden eine von drei Architekturen. Die erste kopiert Ihre Business Central-Daten nach Zeitplan in eine Datenbank, die der Anbieter betreibt, und Sie berichten auf dieser Kopie. Die zweite fragt Business Central live als angemeldeter Benutzer ab und speichert dazwischen nichts, sodass die einzige Kopie die Arbeitsmappe ist, die der Benutzer sichert. Die dritte mischt beides.

Keine dieser Varianten ist falsch. Entscheidend ist, dass Sie wissen, welche Sie kaufen, und drei Fragen dazu beantworten können: wo liegt die Kopie, wer sichert sie ab, und zu welchen Bedingungen. Speichert das Werkzeug nichts, entfallen alle drei Fragen, und das ist eine kleinere Compliance-Fläche, keine längere Funktionsliste.

Alles Weitere sind Belege, in den Worten des jeweiligen Anbieters, geprüft am 19. September 2026. Am Ende beantworten wir unsere eigene Checkliste, einschließlich der Frage, bei der unsere Antwort nein lautet.

Was Cloud Reporting für Business Central in der Praxis bedeutet

Nehmen wir Cosmos als ausgearbeitetes Beispiel, weil die Dokumentation den Mechanismus ungewöhnlich klar beschreibt.

Sie installieren eine Business Central-Erweiterung. Der Installationsartikel von Cosmos hält fest, dass die Erweiterung "enables Cosmos to extract data from Business Central and bring it into the Cosmos reporting database", und dass die Schritte von einem Business Central-Benutzer mit administrativen Rechten oder mit Extension-Management-Berechtigungen auszuführen sind (support.cosmosdatatech.com). Die ausgewählten Tabellen verwalten Sie in dem, was Cosmos Staging Area nennt, beschrieben als "a single place to select the tables and fields that should be brought into Cosmos from your data source(s)", wobei Daten aus einer Quelle wie Business Central "also incrementally loaded into the Staging Area when the pipelines are run" (Overview of the Staging Area).

Das Laden ist also ein geplanter Job und keine Abfrage: fordern Sie eine vollständige Neuladung an und starten diese nicht selbst, läuft sie "during the next scheduled data refresh" (How to Manually Run a Full Load).

Auf der Produktseite erklärt Cosmos, dass "everything resides on Microsoft Azure", und dass "each Cosmos customer has their own environment (tenant) and database, so your data is never accessible by anyone else", wobei Sicherheit auf Berichtsebene, auf Zeilenebene und auf Ordnerebene innerhalb von Cosmos konfiguriert wird (features/cloud). Die Preisseite führt "Azure Storage and Consumption" innerhalb der monatlichen Grundgebühr von 500 US-Dollar auf, was darauf hindeutet, dass die Datenbank im Azure-Abonnement von Cosmos läuft und nicht in Ihrem (pricing). Cosmos selbst beschreibt das Ergebnis als "all the benefits of a traditional data warehouse (without the expensive price tag)" (features/reporting). Der Artikel zur Einrichtung beschreibt einen Mandanten, der bei der ersten Anmeldung im Portal entsteht, ohne Auswahl einer Region und ohne Auswahl eines Abonnements an irgendeiner Stelle des Ablaufs (Creating Your Cosmos Tenant).

Nüchtern formuliert: Ihre Finanzbuchhaltung bekommt ein zweites Zuhause, nach Zeitplan, in einer Infrastruktur, die der Anbieter betreibt. Das ist die Architektur. Nun der Zielkonflikt, in beide Richtungen.

Was die Datenkopie Ihnen bringt

Eine Warehouse-Kopie ist eine echte technische Entscheidung mit echten Vorteilen, und ein Vergleich, der diese auslässt, ist die Lektüre nicht wert.

Berichte auf einer Kopie belasten den Business Central-Mandanten nicht, unabhängig davon, wie viele Personen gleichzeitig auswerten und wie breit die Abfrage ist. Sie erlauben außerdem, Business Central-Daten mit Daten zu verbinden, die nicht in Business Central liegen, und genau das verkauft Cosmos als Zusatzmodule: unbegrenzte Excel-Datenverbindungen, Azure-SQL-Datenbanken und einen Dataverse-Konnektor, jeweils bis 10 GB, für 150 US-Dollar pro Monat.

Ein stabil gespeichertes Modell ist zudem das, was Power BI bevorzugt, sodass ein Warehouse aus einer Power BI-Schicht eher eine Einstellung als ein Projekt macht; Cosmos nennt darauf aufbauend eine bidirektionale Power BI-Integration und über dreißig vorgefertigte Berichte. Auch die geplante Verteilung wird einfacher: weil die Daten bereits bereitstehen, kann Cosmos Berichte zu Datum, Uhrzeit und Frequenz Ihrer Wahl ausführen und per E-Mail versenden oder in SharePoint ablegen, ohne dass jemand Excel öffnet. Und für eine Gruppe, in der Business Central nur eines von mehreren Quellsystemen ist, ist ein Warehouse eher die richtige Antwort als ein Kompromiss.

Cosmos ist ein US-amerikanischer Anbieter, vertreibt im Vereinigten Königreich über einen exklusiven Reseller und hat darüber hinaus in Europa eine begrenzte Präsenz. Für einen US-Käufer mit einem US-Mandanten sind einige Fragen des nächsten Abschnitts daher leiser. Für einen deutschen Konzern sind sie das nicht.

Was die Datenkopie Sie kostet

Zwei Dinge, und keines davon ist ein Mangel. Es sind Konsequenzen.

Ein zweites Berechtigungsmodell

Business Central verfügt bereits über Sicherheit bis auf Datensatzebene, und diese reicht weiter, als viele annehmen. Microsoft formuliert es auf der englischsprachigen Dokumentationsseite zu Sicherheitsfiltern unmissverständlich: "For record-level security in Business Central, you use security filters to limit a user's access to data in a table. A security filter describes a set of records in a table that a user has permission to access." Das Beispiel von Microsoft ist ein Benutzer, der "can only read the records that contain information about a particular customer", und die Durchsetzung ist keine Fassade, denn "security filters are handled by SQL Server just like other filters" (Microsoft Learn, using security filters).

Setzen Sie einen Sicherheitsfilter auf Sachposten, Tabelle 17, der einen Benutzer auf einen Wert einer globalen Dimension einschränkt, etwa auf eine Gesellschaft oder ein Projekt, dann hängt diese Einschränkung an der Tabelle und nicht an einer Seite. Das ist die Ebene, die Sie bereits besitzen und bereits pflegen, zusätzlich zu den Mandantenrechten, die jeder Business Central-Administrator ohnehin vergibt.

Kopiert ein Werkzeug die Daten heraus, reist diese Durchsetzung nicht mit. Die Kopie kennt Ihre Berechtigungssätze nicht, also muss die Zugriffskontrolle am neuen Ort neu aufgebaut werden. Cosmos benennt klar, wo das geschieht: Sicherheit auf Berichts-, Zeilen- und Ordnerebene wird innerhalb von Cosmos konfiguriert. Velixo formuliert die Folge auf der eigenen Vergleichsseite schärfer, und das ist als Sicht eines Wettbewerbers zu lesen und nicht als neutrale Tatsache: Velixo bezeichnet Cosmos als "a traditional cloud data warehouse (ETL/ELT) platform", die "extracts your data, moves it to a separate cloud storage layer", und die "requires your IT department to manually replicate and continuously manage your ERP security rules inside Cosmos" (velixo.com).

Der praktische Test ist einfach. Wenn eine Controllerin im nächsten Monat die Rolle wechselt und Sie ihre Rechte in Business Central einschränken, folgt das Reporting-Tool dann automatisch, oder muss jemand daran denken, dies an einer zweiten Stelle nachzuziehen? Ein Modell, das an zwei Stellen gepflegt wird, läuft auseinander, und das bleibt unsichtbar, bis eine Prüfung oder ein Austritt es sichtbar macht.

Die Fragen, die die öffentlichen Seiten nicht beantworten

Hier gerät eine europäische Auswahl ins Stocken. Bei der Durchsicht der Produkt-, Support-, Sicherheits- und Preisseiten von Cosmos am 19. September 2026 fanden wir zu keinem der folgenden Punkte eine veröffentlichte Antwort: in welcher Azure-Region die Kundendatenbank liegt, ob sie stattdessen im eigenen Abonnement des Kunden betrieben werden kann, wie Aufbewahrung und Löschung geregelt sind, ob es einen Auftragsverarbeitungsvertrag oder eine DSGVO-Seite gibt, und wem die gespeicherten Daten gehören.

Cosmos veröffentlicht dies nicht, was nicht dasselbe ist wie die Aussage, es gäbe das nicht oder die Antworten seien ungünstig. Es bedeutet, dass Sie danach fragen, die Antwort schriftlich einholen und an den Vertrag heften müssen statt an ein Verkaufsgespräch.

Der eigene Sicherheitsbeitrag von Cosmos behandelt die Cloud allgemein, mit Verweis auf "200+ physical data centers" von Azure und marktübliche Verschlüsselung, ohne Aussage zur Region des Kunden, zum Eigentum oder zur Löschung (Busting Cloud Security Myths, veröffentlicht im Januar 2024). Zur Compliance meldete Cosmos im Juni 2026 den Abschluss von SOC 2 Type 1.

Diese Unterscheidung lohnt sich in jedem Anbietergespräch, gleich bei welchem Anbieter. Ein Type-1-Bericht beurteilt, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind; ein Type-2-Bericht prüft, ob diese Kontrollen über einen Zeitraum, üblicherweise sechs bis zwölf Monate, auch wirksam funktioniert haben. Beide gehören zur SOC-Berichtsfamilie der AICPA. Type 1 ist ein echter Meilenstein und für ein jüngeres Produkt eine nachvollziehbare Stufe. Es ist nur nicht dieselbe Sicherheit wie Type 2, und Ihr Wirtschaftsprüfer kennt den Unterschied. Damit kein Zweifel bleibt, wer hier was vertritt: wir selbst haben keinen dieser beiden Berichte, und wir begründen das am Ende dieses Beitrags.

Der Weg ohne Kopie: die Live-Abfrage

Die Alternative besteht darin, die Daten dort zu lassen, wo sie bereits liegen. Exsion Reporting ist ein Excel-Add-in, das sich direkt mit Business Central verbindet, sodass eine Controllerin Live-Daten aus jeder Business Central-Tabelle nach Excel holt, mit einem Klick aktualisiert und den Bericht dauerhaft weiterverwendet. Exsion speichert selbst keine Daten. Es gibt keine Staging Area zu befüllen, keinen Pipeline-Zeitplan zu überwachen und keine zweite Datenbank, sodass die einzige Kopie Ihrer Buchhaltungsdaten die Arbeitsmappe ist, die der Benutzer sichert, und diese unterliegt Ihren eigenen Microsoft-365-Regeln wie jede andere Finanzdatei.

Die Konsequenz für die Berechtigungen ist der eigentlich nützliche Teil. Es gelten die Berechtigungen, die Sie in Business Central bereits gesetzt haben, weil die Abfrage als der angemeldete Benutzer läuft. Hat jemand nur Rechte auf einen Mandanten, sieht er in Excel auch nur diesen Mandanten, ohne dass jemand eine passende Regel in einem zweiten Produkt einrichtet. Dasselbe gilt eine Ebene tiefer: ein Sicherheitsfilter auf Sachposten, der einen Benutzer auf einen Wert einer globalen Dimension begrenzt, greift auch in der Exsion-Abfrage, weil diese Abfrage eben dieser Benutzer ist. Es gibt kein zweites Berechtigungsmodell, das Sie synchron halten müssten, und nichts nachzubauen. Exsion liest Business Central über OData-Webdienste, die Schnittstelle, die Microsoft dafür dokumentiert (Microsoft Learn, Webdienste in Business Central, englischsprachig).

Für den Konzernabschluss gilt dasselbe Prinzip. Exsion Corporate übernimmt die Gruppenberichterstattung einschließlich Eliminierungen wie der Intercompany-Verrechnung auf Konsolidierungsebene und aggregiert von dort nach oben, sodass die zugrunde liegenden Mandanten unverändert bleiben. Die Eliminierungen können dabei in einem separaten Business Central-Mandanten gebucht werden, die Konzernzahlen entstehen also nicht auf einer fremden Plattform, und die operativen Gesellschaften behalten ihre Bücher unverändert. Unser Leitfaden zur Konsolidierung in Business Central mit mehreren Mandanten in einem Excel-Konzernabschluss zeigt, wie das konkret aussieht.

Exsion ist ein niederländisches Unternehmen mit Standorten in Gouda und Zoetermeer und arbeitet im niederländischen, deutschen und englischsprachigen Markt. Genau deshalb sind diese Fragen bei uns beantwortbar: sie kommen bei jedem europäischen Projektstart auf den Tisch. Wir haben einen Auftragsverarbeitungsvertrag und stellen ihn vor der Unterzeichnung zur Verfügung.

Gegenüberstellung: wo Ihre Daten liegen

[[TABLE_START]]

Kriterium | Cosmos | Exsion Reporting

Wo die Reportingdaten liegen | Cosmos-Reportingdatenbank auf Azure, je Kunde eine eigene Umgebung und Datenbank, Tabellen über eine Staging Area geladen | In Business Central. Exsion speichert nichts; die einzige Kopie ist die Arbeitsmappe, die der Benutzer sichert

Aktualisierungsmodell | Geplante inkrementelle Pipeline-Läufe; eine nicht gestartete Vollladung läuft bei der nächsten geplanten Aktualisierung | Live-Abfrage beim Aktualisieren, per Klick

Berechtigungsmodell | Sicherheit auf Berichts-, Zeilen- und Ordnerebene, innerhalb von Cosmos konfiguriert | Berechtigungen aus Business Central: Mandantenrechte und Sicherheitsfilter auf Tabellenebene greifen beide

Wahl der Region | Nicht veröffentlicht; der Mandant entsteht bei der ersten Anmeldung, ohne Auswahl von Region oder Abonnement | Die Daten bleiben in Ihrem Business Central-Mandanten, es gilt also Ihre Microsoft-Region

Veröffentlichte Compliance-Aussagen | SOC 2 Type 1, Juni 2026; Aufbewahrung, Löschung, Auftragsverarbeitung und Eigentum nicht veröffentlicht | Auftragsverarbeitungsvertrag verfügbar; kein SOC-2-Type-1- oder Type-2-Bericht

Preistransparenz | Veröffentlicht: 500 US-Dollar pro Monat Grundgebühr, 150 US-Dollar je Zusatzmodul, 50 und 15 US-Dollar je weiterem Benutzer; keine Testphase genannt | Veröffentlichte Preisseite, 30-Tage-Testphase über AppSource

[[TABLE_END]]

Wie Sie entscheiden

Entscheiden Sie sich für die Kopie, wenn Sie wirklich brauchen, was sie bringt. Berichtet das Rechnungswesen über Business Central hinaus auch über andere Systeme, stehen Power BI-Modelle im Zentrum der Zahlenverwendung, ist die geplante Verteilung an Personen, die nie Excel öffnen, tägliche Praxis, oder ist die Abfragelast auf dem Produktivmandanten ein reales Problem, dann verdient ein Warehouse seinen Platz, und der zusätzliche Governance-Aufwand ist ein fairer Preis.

Entscheiden Sie sich für die Live-Abfrage, wenn nichts davon zutrifft. Besteht die Aufgabe darin, Business Central-Daten für Controller nach Excel zu bringen, ist die Kopie optional, und optionale Kopien der Finanzbuchhaltung vermeidet man besser. Jede Kopie fügt einen Ort hinzu, den Sie dokumentieren müssen, eine Aufbewahrungsfrage, die Sie beantworten müssen, ein Zugriffsmodell, das Sie synchron halten müssen, und einen Auftragsverarbeiter, den Sie in Ihrem Verzeichnis benennen müssen. Berichtet Ihre Gruppe in mehreren Ländern, kann allein die Regionsfrage die gesamte Toolauswahl überdauern.

Und seien Sie ehrlich beim dritten Fall: kaufen Sie die Kopie aus Governance-Gründen, prüfen Sie die Begründung. Governance ist in Business Central heute schon durchsetzbar, bis auf Datensatzebene, auf den Tabellen, auf die es ankommt. Eine Kopie schafft keine Governance. Sie schafft einen zweiten Ort, an dem Governance konfiguriert und gepflegt werden muss.

Fünf Fragen für Ihre Auswahl

Kopieren Sie diese in die E-Mail und bitten Sie um schriftliche Antworten.

1. Speichert das Produkt unsere Business Central-Daten außerhalb unseres eigenen Mandanten? Wenn ja, in welcher Azure-Region, in wessen Abonnement, und können wir wählen?

2. Wie wird der Zugriff auf die gespeicherte Kopie gesteuert, und folgt er automatisch unseren Business Central-Berechtigungen, wenn diese sich ändern?

3. Wie lauten Aufbewahrungs- und Löschregeln, und was geschieht innerhalb welcher Frist nach Vertragsende mit den gespeicherten Daten?

4. Schließen Sie einen Auftragsverarbeitungsvertrag mit Benennung der Unterauftragsverarbeiter ab, und dürfen wir ihn vor der Unterzeichnung einsehen?

5. Welchen SOC-2-Bericht haben Sie, Type 1 oder Type 2, und welchen Zeitraum deckt er ab?

Beantwortet ein Anbieter alle fünf Fragen schriftlich, ist die Kopie eine Entwurfsentscheidung, mit der Sie leben können. Sind die Antworten schwer zu bekommen, ist das bereits die Antwort.

Unsere eigenen Antworten auf diese fünf Fragen

Es wäre unsauber, eine Checkliste zu veröffentlichen, ohne sie selbst zu beantworten, daher hier Exsion offen zu Protokoll.

Wir speichern keine Ihrer Daten. Das Add-in verbindet sich direkt mit Business Central, es gibt also weder eine Region noch ein Abonnement zu besprechen, weil es keine zweite Datenbank gibt. Die Zugriffskontrolle ist das, was Sie in Business Central bereits konfiguriert haben, wirksam, weil die Abfrage als angemeldeter Benutzer läuft, weshalb jemand mit Rechten auf einen Mandanten in Excel auch nur diesen Mandanten sieht. Aufbewahrung und Löschung betreffen uns aus demselben Grund nicht, und die Arbeitsmappe, die ein Benutzer sichert, bleibt in Ihrer eigenen Microsoft-365-Umgebung unter Ihren eigenen Aufbewahrungsregeln. Wir haben einen Auftragsverarbeitungsvertrag und stellen ihn vor der Unterzeichnung bereit.

Auf die fünfte Frage lautet unsere Antwort nein. Exsion hat weder einen SOC-2-Type-1- noch einen Type-2-Bericht. Die ehrliche Einordnung ist aus unserer Sicht diese: ein SOC-2-Bericht ist eine Zusicherung über die Kontrollen eines Dienstleisters im Umgang mit den Daten, die er vorhält, und wir halten keine Ihrer Reportingdaten vor, sodass das Risiko, für das dieser Bericht gedacht ist, bei uns nicht in derselben Weise entsteht. Das ist eine Begründung und kein Zertifikat. Verlangt Ihre Richtlinie von jedem Lieferanten einen SOC-2-Bericht unabhängig von der Architektur, dann wägen Sie das bitte offen ab, statt sich von uns davon abbringen zu lassen. Stellen Sie die Frage in jedem Fall. Ein Anbieter, der die unbequeme Frage schriftlich beantwortet, sagt damit etwas Nützliches über die anderen vier.

Für die Business Central-Seite ist die englischsprachige Microsoft-Seite zu Sicherheitsfiltern die Seite zum Merken, und unser englischsprachiger Überblick über Business Central Excel Reporting Tools stellt den breiteren Markt gegenüber, Cosmos und Velixo eingeschlossen.

Häufige Fragen

[[FAQ_START]]

Speichert Cosmos meine Business Central-Daten? | Ja, so ist es angelegt. Die Dokumentation von Cosmos beschreibt eine Business Central-Erweiterung, die Daten in die Cosmos-Reportingdatenbank extrahiert, wobei die ausgewählten Tabellen inkrementell in eine Staging Area geladen werden, sobald die Pipelines laufen. Cosmos veröffentlicht nicht, in welcher Azure-Region das geschieht, ob ein Betrieb im eigenen Abonnement möglich ist und wie Aufbewahrung und Löschung geregelt sind.

Ist eine Reportingkopie von Business Central-Daten ein DSGVO-Problem? | Nicht automatisch. Es ist eine Verarbeitung, die Sie dokumentieren müssen. Speichert ein Anbieter Ihre Buchhaltungsdaten, ist dieser Anbieter Auftragsverarbeiter, und Sie benötigen einen Auftragsverarbeitungsvertrag, einen benannten Speicherort, eine Aufbewahrungsfrist und eine Löschzusage. Ein Werkzeug, das nichts speichert, lässt diese Verarbeitung entfallen.

Was ist der Unterschied zwischen SOC 2 Type 1 und Type 2? | Ein Type-1-Bericht beurteilt, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind. Ein Type-2-Bericht prüft, ob sie über einen Zeitraum, üblicherweise sechs bis zwölf Monate, wirksam funktioniert haben. Exsion hat keinen von beiden, weil Exsion keine Ihrer Reportingdaten speichert.

Speichert Exsion Business Central-Daten? | Nein. Exsion Reporting verbindet sich direkt mit Business Central und speichert selbst keine Daten, sodass die Reportingdaten in Ihrem Business Central-Mandanten bleiben und die einzige Kopie die Arbeitsmappe ist, die ein Benutzer in Ihrer eigenen Microsoft-365-Umgebung sichert.

Übernimmt Exsion meine Berechtigungen aus Business Central? | Ja. Die Abfrage läuft als angemeldeter Benutzer, es gelten also die Berechtigungen, die Sie in Business Central bereits gesetzt haben, ohne ein zweites Berechtigungsmodell. Wer nur Rechte auf einen Mandanten hat, sieht in Excel auch nur diesen Mandanten, und ein Sicherheitsfilter auf Tabellenebene greift auf dieselbe Weise.

Kann ich die Azure-Region wählen, in der meine Reportingdaten liegen? | Bei einem Werkzeug mit Live-Abfrage stellt sich diese Frage nicht, weil die Daten in Ihrem Business Central-Mandanten bleiben und Ihre Microsoft-Region gilt. Bei einem Warehouse des Anbieters hängt es vollständig von diesem Anbieter ab. Cosmos veröffentlicht keine Auswahl der Region, das ist also eine Frage an deren Vertrieb und nicht an deren Website.

[[FAQ_END]]