scrioo

Kurzfazit

scrioo überwacht Lieferanten, Kunden und Wettbewerber mit spezialisierten KI-Agenten, die Signale gegenprüfen, Dubletten entfernen und Falschmeldungen aussortieren. Stark sind EU-Datenhaltung auf AWS, unbegrenzte Nutzerzahl und ein öffentlicher Preisrechner: 7.500 EUR im Jahr bei 100 überwachten Stakeholdern, 24.000 EUR bei 1.000. Dagegen stehen sieben Mitarbeitende, weder ISO 27001 noch SOC 2 und API-Zugang erst ab Enterprise. Für Organisationen mit harter EU-Auflage eine ernsthafte Option, sonst ist riskmethods reifer.

Für wen ist scrioo?

Einkauf und Lieferantenmanagement: Der Kernfall. Du hinterlegst deine Lieferantenbasis und bekommst laufend gemeldet, wenn sich bei einem Zulieferer etwas bewegt: Insolvenzanzeichen, Werksschließungen, Streiks, Sanktionslisten, Cybervorfälle. Für Unternehmen mit 100 bis 1.000 relevanten Lieferanten ist der Zuschnitt passgenau, das ist exakt die Spanne des Professional-Tarifs.

Compliance und Recht: LkSG, CSDDD, NIS-2 und DORA verlangen nicht nur, dass du Risiken kennst, sondern dass du belegen kannst, wie du sie überwachst. scrioo hat für diese Regelwerke eigene Inhalte und Anwendungsseiten, und der dokumentierte Signalstrom ist genau das, was in einer Prüfung als Nachweis taugt. Die deutschsprachigen Materialien zu LkSG sind kein Übersetzungsbeiwerk, sondern Teil der Positionierung.

Nachhaltigkeit und ESG: Eine eigene Anwendungsseite adressiert ESG-Bewertung, und einer der spezialisierten Agenten ist auf ESG-Signale angesetzt. Wer Lieferketten auf Menschenrechts- und Umweltvorfälle prüfen muss, bekommt hier die Vorstufe zur Risikoanalyse, nicht die fertige Berichterstattung.

Vertrieb und Business Development: Der weniger offensichtliche Fall. Dieselbe Überwachung, auf B2B-Kunden und Zielkunden angewendet, liefert Anlässe: Führungswechsel, Finanzierungsrunden, Expansionen, Ausschreibungen. Da die Nutzerzahl im Professional-Tarif nicht begrenzt ist, kostet es nichts extra, den Vertrieb mitlesen zu lassen.

Unternehmen mit harter EU-Datenauflage: Behörden, Finanzdienstleister, Gesundheitswesen, kritische Infrastruktur. Wenn die Freigabe an EU-Datenhaltung hängt, fallen die meisten US-Wettbewerber schon in der Vorauswahl raus. Das ist scrioos stärkstes strukturelles Argument.

Weniger geeignet für: Kleine Unternehmen und Selbstständige, für die 7.500 EUR im Jahr als Einstieg außerhalb jeder Diskussion liegen, denn tiefer geht der Preisrechner nicht. Teams, die weniger als 100 Stakeholder beobachten, für sie weist die Preisseite keinen Tarif aus und der Zuschnitt ist überdimensioniert. Vertriebsorganisationen, die fertige Battlecards und Positionierungsvergleiche suchen: scrioo beobachtet zwar Wettbewerbssignale wie Finanzierungsrunden, Führungswechsel und Produktlaunches, Sales-Enablement-Material erzeugt es laut den öffentlichen Produktseiten aber nicht, dafür ist Klue das passendere Werkzeug. Und alle, deren Beschaffung ISO 27001 oder SOC 2 als K.o.-Kriterium führt.

Preise im Detail

Zuschnitt	Preis bei Jahreszahlung	Was du bekommst
Kostenloser Bericht	0 EUR, einmalig	Ein KI-generierter Risikobericht über 5 Jahre zu einem Unternehmen, geliefert innerhalb von 24 Stunden, ohne Kreditkarte
Professional, 100 Stakeholder	7.500 EUR/Jahr	Untergrenze des Preisrechners, darunter weist die Seite keinen Tarif aus
Professional, 500 Stakeholder	14.833 EUR/Jahr, ausgewiesen als 1.236 EUR/Monat	Voreinstellung des Reglers: 10 bis 50 Rückwärtsrecherchen pro Monat (skalieren mit der Zahl der Entitäten), voller Plattformzugang, E-Mail-Digest, unbegrenzte Nutzerzahl, Support per E-Mail und Wissensdatenbank, kein API-Zugang
Professional, 1.000 Stakeholder	24.000 EUR/Jahr	Obergrenze des Reglers, gleicher Leistungsumfang
Monatliche Zahlung	20 Prozent Aufschlag	Bei 500 Stakeholdern 2.964 EUR/Jahr mehr, in Summe rund 17.800 EUR; bei 100 Stakeholdern 1.500 EUR mehr, bei 1.000 Stakeholdern 4.800 EUR
Enterprise	Auf Anfrage	Ab 1.000 Stakeholder mit Mengenrabatt, individuell verhandeltes Recherchekontingent, API-Zugang, Partner-Datenzusätze, unbegrenzte Nutzerzahl, priorisierter Support
Onboarding (optional)	1.000 bis 3.500 EUR einmalig	Begleitete Einrichtung, skaliert mit derselben Stakeholder-Zahl, bei 500 ausgewiesen mit 1.889 EUR

Einordnung: Diese Tabelle lässt sich füllen, weil die Preisseite einen echten Rechner trägt. Ein Schieberegler läuft in 50er-Schritten von 100 bis 1.000 aktiv überwachten Stakeholdern, auf der deutschen Fassung als “Lieferanten” beschriftet, und gibt für jede Stufe die Jahressumme aus. Der Sockel liegt bei 7.500 EUR, jeder weitere Stakeholder kostet rechnerisch 18,33 EUR im Jahr. Pro Stakeholder sind das 75 EUR bei 100 und 24 EUR bei 1.000, große Bestände fahren also deutlich günstiger. Du kannst deine eigene Zahl einsetzen, bevor du den ersten Demo-Termin vereinbarst. Lies die Preisseite trotzdem genau. Die prominent angezeigten 1.236 EUR/Monat sind nicht der Preis für monatliche Zahlung, sondern der rechnerische Monatswert der Jahresvorauszahlung beim voreingestellten Wert von 500. Wer tatsächlich monatlich zahlt, zahlt 20 Prozent Aufschlag, bei 500 Stakeholdern also 2.964 EUR mehr im Jahr und in Summe rund 17.800 EUR. Praktisch heißt das: Einen günstigen Einstieg mit kurzer Bindung gibt es nicht, die Jahresvorauszahlung ist der eigentliche Normalfall. Unter 100 Stakeholdern endet die Transparenz. Tiefer geht der Regler nicht, wer 40 kritische Lieferanten überwachen will, findet keinen passenden Tarif und muss ein individuelles Angebot verlangen. Zähl deine Stakeholder deshalb vorher und lass dir den Preis für genau diese Zahl schriftlich geben. Die unbegrenzte Nutzerzahl ist dabei mehr wert, als sie zunächst aussieht: Bei Wettbewerbern mit Sitzplatzlizenzen entscheidet die Frage “wer darf mitlesen” oft über den Erfolg der Einführung. Angekündigt, aber noch nicht verfügbar: ein Credit-System für punktuelle Bedarfe, etwa einmalige Due-Diligence-Prüfungen ohne laufendes Abonnement. Der Anbieter nennt dafür keinen Termin, auf der Preisseite ist davon nichts zu sehen.

Stärken im Detail

EU-Datenhaltung ist hier keine Marketingfloskel. Das Trust Center formuliert es unmissverständlich: Die Infrastruktur läuft auf AWS, die Daten liegen in EU-Rechenzentren. Für den deutschsprachigen Markt ist das der zentrale Unterschied zu AlphaSense oder Klue, die auf US-Infrastruktur arbeiten. In regulierten Branchen entscheidet dieser eine Punkt regelmäßig darüber, ob eine Beschaffung überhaupt startet.

Kundendaten fließen nicht ins Modelltraining. Ebenfalls klar formuliert: Die Daten deiner Organisation bleiben deine Daten und werden nur zur Leistungserbringung genutzt. Das klingt selbstverständlich, ist es aber nicht, gerade bei KI-Produkten ist die gegenteilige Klausel eher die Regel. Wenn du deine komplette Lieferantenbasis hochlädst, also eine Liste, aus der sich deine Kostenstruktur und Abhängigkeiten ableiten lassen, ist diese Zusage bares Geld wert.

Der Multi-Agenten-Ansatz adressiert das richtige Problem. Das eigentliche Ärgernis beim Monitoring ist nicht, zu wenig zu finden, sondern zu viel: Dubletten derselben Meldung über 15 Portale, aufgewärmte Altmeldungen, schlicht falsche Nachrichten. scrioo setzt dafür spezialisierte Agenten ein, die Quellen verifizieren, Signale gegeneinander prüfen, Dubletten entfernen und Falschmeldungen erkennen sollen, ergänzt um fachliche Agenten für Finanzen, Recht, Cyber, ESG und operative Risiken. Ob das in der Praxis hält, lässt sich von außen nicht messen, aber die Problemdiagnose stimmt: Ein Alert-System, das niemand mehr liest, weil es zu laut ist, ist wertlos.

Der kostenlose Risikobericht ist eine ehrliche Probe. Ein KI-erstellter Fünf-Jahres-Risikobericht zu einem Unternehmen deiner Wahl, binnen 24 Stunden, ohne Kreditkarte. Nutze das und nimm bewusst ein Unternehmen, das du selbst gut kennst, am besten einen eigenen Lieferanten mit bekannter Vorgeschichte. Dann siehst du sofort, ob die Agenten Substanz liefern oder Allgemeinplätze.

Unbegrenzte Nutzerzahl ändert die Einführungsdynamik. Risikomonitoring scheitert selten an der Technik und oft daran, dass die Information den Menschen nicht erreicht, der handeln müsste. Wenn Einkauf, Recht, Compliance und Vertrieb ohne Zusatzkosten Zugriff haben, entfällt die Diskussion um jeden weiteren Zugang.

Der Preis steht öffentlich, und zwar in jeder Stufe. Der Schieberegler auf der Preisseite beziffert jede Stakeholder-Zahl zwischen 100 und 1.000: 7.500 EUR im Jahr am unteren Ende, 14.833 EUR bei 500, 24.000 EUR bei 1.000. Im Risk-Intelligence-Markt ist das die Ausnahme, riskmethods, osapiens, AlphaSense und Klue nennen ihre Preise ausschließlich im Vertriebsgespräch. Du kannst die Budgetfrage also intern klären, bevor du drei Demo-Termine investiert hast, und bei Beträgen dieser Größe ist das mehr als eine Nettigkeit.

Dreisprachig mit echtem Regulierungsbezug. Deutsch, Englisch und Französisch, dazu eigene Inhalte zu LkSG, CSDDD und NIS-2. Für Luxemburg als Standort ist Mehrsprachigkeit selbstverständlich, für den deutschen Mittelstand ist sie ein praktischer Vorteil gegenüber rein englischsprachigen Plattformen, in denen die Rechtslage aus US-Perspektive erklärt wird.

Schwächen ehrlich betrachtet

Der Einstieg beginnt bei 7.500 EUR im Jahr, darunter gibt es nichts. Der Preisrechner startet bei 100 überwachten Stakeholdern. Wer 30 oder 50 kritische Lieferanten beobachten will, findet auf der Preisseite keinen Tarif und landet im Angebotsgespräch. Es gibt kein Starter-Paket, keinen Einzelabruf und keine kurze Bindung, denn monatliche Zahlung kostet 20 Prozent Aufschlag. Der Anbieter hat uns am 26.08.2026 auf das Rechnermodell hingewiesen, wir haben es nachgeprüft und bestätigt gefunden: Abgerechnet wird nach der Zahl der beobachteten Stakeholder bei unbegrenzter Nutzerzahl, der günstigste ausgewiesene Fall sind 7.500 EUR im Jahr. Für die Transparenz spricht das, an der Einstiegshürde ändert es nichts. Workaround: Zähl deine Stakeholder vor dem Erstgespräch und lass dir den Preis für exakt diese Zahl schriftlich geben. Prüfe zusätzlich, ob du die Zahl bewusst füllst, also auch B2B-Kunden, Wettbewerber und Partner aufnimmst statt nur Lieferanten, denn jeder zusätzliche Stakeholder kostet rechnerisch nur 18,33 EUR im Jahr.

Kein API-Zugang im Professional-Tarif. Die Vergleichstabelle der Preisseite setzt in der API-Zeile beim Professional-Tarif ein Kreuz, und die FAQ derselben Seite sagt es ausdrücklich: Die Schnittstelle steht Enterprise-Kunden und Partnern im Rahmen einer individuellen Einrichtung offen. Wer Risikosignale nicht nur im E-Mail-Digest lesen, sondern ins ERP, ins Lieferantenportal oder in ein eigenes Dashboard holen will, kommt mit Professional nicht dorthin. Ohne diesen Weg bleibt jedes Monitoring eine Insel. Workaround: Kläre vor der Unterschrift, ob der E-Mail-Digest für deine Prozesse reicht, und lass dir sonst die Enterprise-Konditionen ausrechnen, bevor du dich auf Professional festlegst.

Keine ISO 27001, keine SOC 2. Fairerweise: Das Trust Center ist keineswegs leer. Es nennt ein ISMS, einen benannten Datenschutzbeauftragten, revisionssichere Protokollierung und ausdrücklich unabhängige Penetrationstests durch externe Spezialisten, deren Zusammenfassung auf Anfrage erhältlich ist. Das ist mehr, als viele Anbieter dieser Größe dokumentieren. Was fehlt, ist die zertifizierte Bestätigung durch einen akkreditierten Prüfer, und genau die verlangen Beschaffungsabteilungen. Bei einem Anbieter, dessen Produkt Risikomanagement ist, bleibt das eine unangenehme Lücke: Du sollst deine Lieferantenrisiken einem Dienstleister anvertrauen, der die Zertifikate, die du von deinen eigenen Lieferanten verlangst, selbst nicht vorweist. Der Anbieter bestätigte uns im August 2026, dass derzeit kein Zertifikat vorliegt, und gab an, das Audit sei für November 2026 angesetzt, SOC 2 solle danach folgen. Öffentlich ausgewiesen ist davon nichts, das Trust Center nennt lediglich eine ISMS-Roadmap als Dokument auf Anfrage. Wir tragen das hier nach, weil es fair ist, bewerten es aber erst, wenn ein Zertifikat vorliegt. Workaround: Lass dir die Zusammenfassung des Penetrationstests geben, das ist der beste verfügbare Ersatz, und lass dir den Auditplan mit Datum und Prüfstelle schriftlich bestätigen, bevor du eine Zertifizierungspflicht auf eine Zusage stützt.

Die Unterauftragsverarbeiter stehen nur unter NDA zur Verfügung. Damit ist von außen nicht überprüfbar, welche KI-Modelle im Hintergrund arbeiten. Das ist mehr als eine Formalie: Wenn die Agenten über eine US-API laufen, relativiert sich die EU-Datenhaltung erheblich, denn die Speicherung mag in Frankfurt oder Dublin liegen, die Verarbeitung dann aber nicht. Workaround: Fordere die Unterauftragsverarbeiterliste vor Vertragsschluss an, unterschreibe das NDA und prüfe genau, wo die Modellinferenz stattfindet. Das ist die wichtigste Frage im gesamten Auswahlprozess.

Sieben Personen sind ein Anbieterrisiko. Die Team-Seite zeigt sieben namentlich genannte Personen inklusive der Gründer. Für ein Produkt, das du über mehrere Jahre in Compliance-Prozesse einbaust, ist das relevant: Ausfälle, Übernahmen oder eine strategische Neuausrichtung schlagen bei einem Team dieser Größe unmittelbar durch. Der Anbieter sieht darin auch einen Vorteil, Kunden hätten mehr Einfluss auf die Produktentwicklung, und das ist bei jungen Anbietern tatsächlich oft so. Beides gilt gleichzeitig: kurze Wege, dünne Decke. Workaround: Vertragslaufzeit kurz halten und Exportfähigkeit der eigenen Stakeholder-Listen und Berichte vertraglich sichern.

Das enthaltene Kontingent an Rückwärtsrecherchen ist knapp. 10 bis 50 pro Monat im Professional-Tarif, skalierend mit der Zahl der überwachten Entitäten. Der Anbieter stellt klar, dass es sich um keine harte Sperre handelt: Über das Kontingent hinaus sind Recherchen möglich, werden dann aber berechnet. Praktisch bleibt die Wirkung dieselbe, denn du brauchst diese Funktion genau dann in Serie, wenn neue Lieferanten qualifiziert werden. Wer in einem Quartal 80 Neulieferanten prüft, verhandelt entweder über Zusatzvolumen oder landet in der Enterprise-Stufe. Workaround: Kalkuliere das Onboarding-Volumen eines typischen Quartals vor der Vertragsunterschrift und lass dir den Preis je zusätzlicher Recherche nennen.

Es gibt praktisch keine unabhängige Validierung. Keine Analystenberichte, keine belastbare Menge öffentlicher Nutzerbewertungen, keine Vergleichstests. Die Qualität der Agenten, und das ist der gesamte Produktkern, lässt sich von außen nicht beurteilen. Alles, was über die Trefferqualität bekannt ist, stammt vom Anbieter selbst. Workaround: Der kostenlose Bericht ist deshalb keine Nettigkeit, sondern dein einziger echter Prüfhebel. Nutze ihn ernsthaft.

Die Trefferqualität ist von außen nicht messbar. scrioo wirbt damit, Quellen zu validieren, Falschmeldungen zu erkennen und Halluzinationen auszuschließen, und hat uns gegenüber im August 2026 bekräftigt, es gebe systematisch keine Falschtreffer. Wir haben die Plattform nicht selbst im Einsatz gehabt, unsere Bewertung stützt sich wie bei allen Tools hier auf öffentlich zugängliche Quellen. Deshalb steht hier weder die Behauptung, das Verfahren funktioniere, noch die, es funktioniere nicht: Es ist von außen schlicht nicht prüfbar, und veröffentlichte Messwerte zu Präzision oder Trefferquote gibt es nicht. Unabhängig davon bleibt der Rat bestehen, den wir bei jedem Monitoring-Werkzeug geben: Bevor du einem Lieferanten wegen einer gemeldeten Insolvenzgefahr kündigst, liest du die Originalquelle. Jedes Mal. Genau dafür verlinkt scrioo jeden Fund mit seiner Quelle, das macht den Schritt kurz.

Kurzer öffentlicher Track Record. Die Marke existiert seit November 2023. Auch wenn die Vorgeschichte länger ist, sind die belegbaren Erfahrungswerte mit dem Produkt in seiner heutigen Form überschaubar.

Alternativen im Vergleich

Wenn du…	…nimm stattdessen
ein etabliertes Lieferantenrisiko-System mit langem Track Record brauchst	riskmethods
LkSG- und CSRD-Berichterstattung komplett abbilden willst, nicht nur überwachen	osapiens
tiefe Finanz- und Marktrecherche zu Unternehmen brauchst	AlphaSense
Wettbewerbs-Battlecards für den Vertrieb suchst	Klue
Marken, Medien und Social-Media-Stimmung beobachten willst	Talkwalker

Die ehrliche Einordnung: scrioo ist kein Marktführer und tritt auch nicht so auf. Gegen riskmethods verliert es beim Reifegrad und bei der Integrationstiefe in bestehende Einkaufssysteme, gegen osapiens beim Funktionsumfang für die eigentliche Berichtspflicht. Erwähnenswert ohne eigene Tool-Seite sind außerdem Prewave aus Wien, das im deutschsprachigen Lieferkettenmarkt deutlich sichtbarer ist, sowie die großen Datenanbieter wie Dun & Bradstreet oder LexisNexis, die auf Bonitäts- und Sanktionsdaten spezialisiert sind. scrioos Nische ist präzise: EU-Hosting, transparente Preise und ein Zuschnitt für Organisationen, die 100 bis 1.000 Stakeholder im Blick behalten müssen und keinen Konzern-Rollout stemmen wollen. Wer außerhalb dieser Nische steht, findet anderswo mehr.

So steigst du ein

Schritt 1: Fordere den kostenlosen Risikobericht an, aber mit Bedacht. Nimm kein zufälliges Unternehmen, sondern einen Lieferanten, dessen Geschichte du kennst, idealerweise einen mit dokumentierten Vorfällen in den letzten Jahren. Nach 24 Stunden vergleichst du den Bericht mit dem, was du selbst weißt. Findet das System die bekannten Ereignisse? Bewertet es sie sinnvoll? Erfindet es etwas dazu? Das ist die aussagekräftigste Stunde deines gesamten Auswahlprozesses.

Schritt 2: Zähl deine Stakeholder ehrlich, bevor du verhandelst. Der Preis hängt direkt an dieser Zahl: 7.500 EUR im Jahr bei 100, 14.833 EUR bei 500, 24.000 EUR bei 1.000. Erstelle vorab eine vollständige Liste: kritische Lieferanten, wichtige B2B-Kunden, Partner und Dienstleister, relevante Wettbewerber. Liegst du unter 100, weist die Preisseite nichts aus, dann verlange ausdrücklich ein Angebot für genau diesen Zuschnitt. Liegst du nahe an 1.000, sprich gleich mit dem Enterprise-Vertrieb über die nächste Stufe mit Mengenrabatt, dort ist auch der API-Zugang enthalten.

Schritt 3: Kläre die Datenschutzfragen vor dem Pilotbetrieb, nicht danach. Fordere die AVV-Vorlage und die Unterauftragsverarbeiterliste an, beides gibt es auf Anfrage unter NDA. Die entscheidende Frage lautet: Wo genau findet die KI-Verarbeitung statt, nicht nur die Speicherung? Kläre parallel, ob euer Datenschutzbeauftragter fehlende ISO-27001-Zertifizierung mitträgt. Wenn nicht, spart ihr euch den Rest.

Schritt 4: Definiere von Anfang an, wer auf welches Signal reagiert. Da die Nutzerzahl unbegrenzt ist, ist die Versuchung groß, einfach alle einzuladen. Genau daran scheitern Monitoring-Einführungen: Wenn alle informiert sind, fühlt sich niemand zuständig. Leg pro Risikokategorie eine verantwortliche Person fest und definiere, ab welcher Bewertungsstufe eine Reaktion verpflichtend ist.

Ein konkretes Beispiel

Ein Automobilzulieferer aus dem Raum Stuttgart mit 480 Mitarbeitenden bezieht Bauteile von rund 300 Lieferanten, davon etwa 90 aus Asien. Seit der LkSG-Pflicht musste ein Compliance-Mitarbeiter jede Woche einen halben Tag lang Nachrichtenlagen zu den kritischen Zulieferern durchgehen, mit Google-Alerts, Branchenportalen und einer Excel-Liste, in der Vorfälle dokumentiert wurden. Zwei Probleme traten dabei regelmäßig auf: Ein Werksbrand bei einem taiwanesischen Zulieferer wurde erst über die verzögerte Lieferung bemerkt, und die Dokumentation der eigenen Sorgfaltspflicht bestand aus einer Tabelle, die in der ersten Prüfung nicht überzeugte.

Mit scrioo werden alle 300 Lieferanten plus 40 wichtige Kunden und 15 Wettbewerber hinterlegt, zusammen 355 Stakeholder, damit deutlich unterhalb der 1.000er-Grenze des Professional-Tarifs. Der Compliance-Mitarbeiter bekommt einen täglichen Digest, in dem die Agenten bereits vorsortiert haben: Dubletten entfernt, unbestätigte Meldungen markiert, nach Risikokategorie gruppiert. Aus einem halben Tag pro Woche werden etwa 20 Minuten täglich, also rund 2,5 Stunden Ersparnis pro Woche, gut 100 Stunden im Jahr. Wichtiger als die Zeit ist die Dokumentation: Jedes Signal, jede Bewertung und jede Reaktion liegt nachvollziehbar in der Plattform, was in der nächsten Prüfung genau die Nachweiskette liefert, die vorher fehlte. Gegengerechnet: 12.175 EUR im Jahr, so viel weist der Preisrechner für 355 Stakeholder aus, gegen 100 eingesparte Personalstunden. Das deckt sich nicht allein über die Zeitersparnis, die Investition rechtfertigt sich über die Nachweisfähigkeit und über die vermiedenen Lieferausfälle. Genau so sollte die interne Argumentation auch geführt werden, eine reine Zeitersparnisrechnung trägt diesen Preis nicht.

DSGVO & Datenschutz

• Anbieter: Scrioo S.à r.l. mit Sitz in Grevenmacher, Luxemburg. Ein Anbieter innerhalb der EU, damit entfällt die gesamte Drittlandsproblematik auf Vertragsebene.
• Datenhaltung: Die Infrastruktur läuft laut Trust Center auf AWS, die Daten liegen in EU-Rechenzentren. Die konkrete AWS-Region wird nicht benannt, frag im Vertriebsgespräch danach, wenn ihr eine bestimmte Region braucht.
• KI-Training: Kundendaten werden ausdrücklich nicht zum Training der scrioo-KI verwendet, sie dienen nur der Leistungserbringung. Diese Zusage steht klar im Trust Center.
• Auftragsverarbeitung (AVV): Eine AVV-Vorlage wird angeboten, allerdings auf Anfrage und unter NDA. Fordere sie früh an, sie gehört in die Prüfung vor dem Pilotbetrieb.
• Unterauftragsverarbeiter: Die detaillierte Liste gibt es nur unter NDA. Das ist der schwächste Punkt der Datenschutzbilanz, denn ohne diese Liste bleibt offen, welche KI-Modelle beteiligt sind und wo die Modellinferenz tatsächlich stattfindet. Kläre das explizit, bevor du unterschreibst.
• Sicherheitsmaßnahmen: Dokumentiert sind ein ISMS, ein benannter Datenschutzbeauftragter, revisionssichere Protokollierung aller Aktionen und unabhängige Penetrationstests durch externe Spezialisten. Eine Zusammenfassung des Penetrationstests oder ein Attestierungsschreiben gibt es auf Anfrage unter NDA.
• Zertifizierungen: Eine ISO-27001- oder SOC-2-Zertifizierung ist dagegen nicht ausgewiesen. Auf Anfrage nennt das Trust Center immerhin eine ISMS-Roadmap als Dokument, und der Anbieter gab uns im August 2026 an, das Zertifizierungsaudit sei für November 2026 terminiert, SOC 2 folge danach. Bis ein Zertifikat vorliegt, ist das eine Absichtserklärung. Für Vergabeverfahren mit Zertifikatspflicht bleibt es ein Ausschlusskriterium, unabhängig davon, wie gut die übrigen Maßnahmen dokumentiert sind.
• EU AI Act: scrioo gibt an, sich an den Prinzipien des EU AI Act zu orientieren, konkret an Risikomanagement, Transparenz, Nachvollziehbarkeit und Governance. Eine formale Konformitätsbewertung ist damit nicht behauptet, und für die üblichen Anwendungsfälle wäre sie auch nicht erforderlich.
• Empfehlung für Unternehmen: Bedenke, dass du mit deiner Stakeholder-Liste eine sensible Information hochlädst, aus ihr lassen sich Abhängigkeiten und Kostenstrukturen ableiten. Die EU-Datenhaltung und die Nicht-Training-Zusage sind hier gute Voraussetzungen, die NDA-gebundene Unterauftragsverarbeiterliste bleibt der Punkt, den du selbst prüfen musst.

Gut kombiniert mit

• Perplexity: Wenn scrioo ein Signal meldet, das eine Entscheidung auslösen könnte, brauchst du den Hintergrund. Perplexity liefert dir in Minuten eine quellenbelegte Vertiefung zu genau diesem Vorfall. scrioo findet und filtert, Perplexity ordnet ein.
• Crunchbase: Ergänzt die Risikosicht um die Eigentümer- und Finanzierungsperspektive. Wenn bei einem Lieferanten ein Gesellschafterwechsel oder eine Finanzierungsrunde gemeldet wird, findest du dort die Struktur dahinter, was scrioo als Monitoring-Plattform nicht abdeckt.
• ChatGPT: Für die Weiterverarbeitung. Aus dem Digest wird eine Managementvorlage, aus einem Risikobericht eine Entscheidungsempfehlung für die Geschäftsführung. Wichtig: keine vertraulichen Lieferantendaten in Standardpläne einspeisen, arbeite mit anonymisierten Auszügen.

Häufige Fragen zu scrioo

Was kostet scrioo? Die Preisseite rechnet nach der Zahl der überwachten Stakeholder: 7.500 EUR im Jahr bei 100, 14.833 EUR bei 500, 24.000 EUR bei 1.000, jeweils bei Jahreszahlung und mit unbegrenzter Nutzerzahl. Monatliche Zahlung kostet 20 Prozent Aufschlag, bei 500 Stakeholdern also 2.964 EUR im Jahr mehr. Dazu kommt optionales Onboarding zwischen 1.000 und 3.500 EUR, beim Wert 500 ausgewiesen mit 1.889 EUR. Unter 100 Stakeholdern und ab 1.000 rechnet der Anbieter auf Anfrage.

Kostet jeder Nutzer extra? Nein. Professional und Enterprise weisen beide eine unbegrenzte Nutzerzahl aus, abgerechnet wird über die Zahl der überwachten Stakeholder. Einkauf, Recht, Compliance und Vertrieb können dieselbe Risikosicht nutzen, ohne dass jeder Zugang einzeln bezahlt wird. Im Vergleich zu Sitzplatzlizenzen ist das der wirtschaftlich wichtigste Unterschied im Angebot.

Ist scrioo ISO 27001 oder SOC 2 zertifiziert? Nein. Das Trust Center weist kein Zertifikat aus, es nennt EU-Datenhaltung auf AWS, ein ISMS, einen Datenschutzbeauftragten und laufende Penetrationstests durch externe Spezialisten. Der Anbieter gab im August 2026 an, ein Audit sei für November 2026 angesetzt und SOC 2 solle folgen. Wenn deine Beschaffung ein Zertifikat verlangt, ist der aktuelle Stand ein Ausschlusskriterium.

Wo liegen die Daten? In EU-Rechenzentren bei AWS, der Anbieter sitzt in Grevenmacher in Luxemburg. Die konkrete AWS-Region wird nicht genannt. Kundendaten werden laut Trust Center nicht zum Training der scrioo-KI verwendet. Offen bleibt, wo die KI-Verarbeitung selbst stattfindet, denn die Liste der Unterauftragsverarbeiter gibt es nur unter NDA.

Kann ich scrioo vorher ausprobieren? Ja, ohne Kreditkarte: Du gibst ein Unternehmen an und erhältst innerhalb von 24 Stunden einen KI-erstellten Risikobericht über fünf Jahre. Nimm dafür bewusst einen eigenen Lieferanten mit bekannter Vorgeschichte, dann siehst du sofort, ob die bekannten Ereignisse gefunden und sinnvoll bewertet werden.

Unser Fazit

scrioo bekommt 3 von 5 Sternen. Punkte sammelt es dort, wo der Markt schwach ist: EU-Datenhaltung ohne Wenn und Aber, eine klare Zusage, dass Kundendaten nicht ins Modelltraining fließen, ein öffentlicher Preisrechner, der jede Stufe von 7.500 bis 24.000 EUR im Jahr ausweist, und ein Zuschnitt, der zu Organisationen mit einigen hundert Stakeholdern passt statt nur zu Konzernen. Der Multi-Agenten-Ansatz greift außerdem das richtige Problem an, denn das Ärgernis beim Monitoring ist Rauschen, nicht Mangel.

Die fehlenden Sterne haben konkrete Gründe. Ein Anbieter, dessen Produkt Risikomanagement ist, sollte ISO 27001 oder SOC 2 vorweisen, das tut scrioo nicht. Die Unterauftragsverarbeiterliste nur unter NDA herauszugeben, entwertet das EU-Hosting-Argument teilweise, weil unklar bleibt, wo die KI-Verarbeitung stattfindet. Ein Team von sieben Personen trägt Mehrjahresverträge nur bedingt. Und es gibt schlicht keine unabhängige Bestätigung dafür, dass die Agenten das leisten, was sie versprechen. Dazu kommt eine Lücke im Zuschnitt: Der API-Zugang, mit dem Signale erst in eigene Systeme fließen, ist dem Enterprise-Tarif vorbehalten.

Der Anbieter hat dieser Bewertung am 26.08.2026 widersprochen, vor allem beim Preis: Das Modell rechne rein nach der Zahl beobachteter Stakeholder bei unbegrenzter Nutzerzahl, und der günstigste Fall liege bei 7.500 EUR im Jahr für 100 Stakeholder. Wir haben die Preisseite daraufhin erneut geprüft, und der Einwand trifft zu: Die Seite trägt einen Schieberegler, der für jede Stufe zwischen 100 und 1.000 Stakeholdern eine eigene Jahressumme ausgibt, 7.500 EUR am unteren Ende und 24.000 EUR am oberen. Die 14.833 EUR sind lediglich der voreingestellte Wert bei 500 Stakeholdern. Wir haben alle betroffenen Stellen korrigiert und zählen den Rechner jetzt klar als Stärke. Die Bewertung bleibt trotzdem bei 3 Sternen, denn sie hing nie am Preisniveau: Sie beruht auf fehlender Zertifizierung, der NDA-gebundenen Unterauftragsverarbeiterliste, der Teamgröße und der fehlenden externen Validierung. Keiner dieser vier Punkte hat sich geändert, und bei der erneuten Prüfung kam mit dem auf Enterprise beschränkten API-Zugang ein Minuspunkt hinzu, den wir vorher zu positiv beschrieben hatten. Sobald das angekündigte ISO-27001-Audit bestanden ist, sehen wir uns die Bewertung erneut an.

Die Empfehlung bleibt deshalb konditional: Wenn EU-Hosting bei dir Voraussetzung ist, du zwischen 100 und 1.000 Stakeholder überwachst und dein Budget mindestens 7.500 EUR im Jahr als Vorauszahlung trägt, dann gehört scrioo auf die engere Liste, und der kostenlose Risikobericht macht die Prüfung billig. Fehlt eine dieser drei Bedingungen, sind riskmethods oder osapiens die naheliegenderen Kandidaten.

Was wir bemerkt haben

• November 2023, Das Produkt hieß vorher “CURE Supply Chain Radar” und wurde am 17.11.2023 in scrioo umbenannt. Begründet wurde der Schritt damit, dass eine Plattformlösung völlig anders vermarktet werden müsse als Dienstleistungen. Wer nach älteren Erfahrungsberichten sucht, findet sie also unter dem alten Namen, das erklärt auch, warum zum aktuellen Markennamen so wenig Historie auffindbar ist.
• 2023, Die Vorgeschichte ist länger als die Marke: CURE Intelligence kam laut eigener Darstellung aus Media Intelligence und Online-Marketing und wandte sich um 2020 der Lieferkettenresilienz zu. Kursierende Gründungsjahre für scrioo beziehen sich auf diese Vorgängerfirma, nicht auf die heutige Plattform. Wir nennen deshalb bewusst kein Gründungsjahr für scrioo selbst, die Angaben dazu sind widersprüchlich.
• August 2026, scrioo veröffentlicht seine Preise offen, und zwar als Rechner: Ein Schieberegler von 100 bis 1.000 überwachten Stakeholdern gibt für jede Stufe die Jahressumme aus, 7.500 EUR am unteren Ende, 14.833 EUR bei der Voreinstellung 500, 24.000 EUR am oberen Ende. Im Risk-Intelligence-Segment ist das die Ausnahme: riskmethods, osapiens, AlphaSense, Klue und Crayon nennen sämtlich keine Listenpreise. Das ist ein bewusster Positionierungsentscheid und für die Budgetplanung ein echter Vorteil.
• August 2026, Bei der Preisdarstellung lohnt der zweite Blick. Die groß angezeigten 1.236 EUR/Monat sind der rechnerische Monatswert der Jahresvorauszahlung beim voreingestellten Wert von 500 Stakeholdern, nicht der Preis für monatliche Zahlung, und das wird leicht falsch gelesen. Monatliche Zahlung kostet 20 Prozent Aufschlag: 1.500 EUR mehr im Jahr bei 100 Stakeholdern, 2.964 EUR bei 500, 4.800 EUR bei 1.000. Ein echter Einstieg mit kurzer Bindung existiert also nicht.
• August 2026, Der Anbieter hat unserer Bewertung widersprochen und auf sein Rechnermodell hingewiesen: abgerechnet werde allein nach der Zahl beobachteter Stakeholder bei unbegrenzter Nutzerzahl, günstigster Fall 100 Stakeholder für 7.500 EUR im Jahr. Wir haben nachgeprüft, der Schieberegler bestätigt das. Unter 100 Stakeholdern weist die Seite allerdings keinen Preis mehr aus, dafür brauchst du ein individuelles Angebot. Ein Credit-System für punktuelle Prüfungen ohne laufendes Abonnement ist laut Anbieter geplant, ein Termin wurde nicht genannt und auf der Preisseite ist davon nichts zu sehen.
• August 2026, Der API-Zugang gehört nicht zum Professional-Tarif. Die Vergleichstabelle der Preisseite setzt dort ein Kreuz, und die FAQ derselben Seite nennt API-Zugang ausdrücklich für Enterprise-Kunden und Partner. Wer Risikosignale automatisiert in eigene Systeme holen will, muss also in die Enterprise-Stufe.
• August 2026, Das Trust Center weist weder ISO 27001 noch SOC 2 aus. Es dokumentiert aber mehr als der bloße Verzicht auf Zertifikate vermuten lässt: ISMS, benannter Datenschutzbeauftragter, revisionssichere Protokollierung und unabhängige Penetrationstests durch externe Spezialisten. Bei einem Anbieter für Risiko- und Compliance-Monitoring bleibt die fehlende Zertifizierung trotzdem der wichtigste Reifegrad-Hinweis, weil genau sie in Vergabeverfahren abgefragt wird.
• August 2026, Die Liste der Unterauftragsverarbeiter ist nur unter NDA erhältlich. Damit lässt sich von außen nicht feststellen, welche KI-Modelle im Hintergrund laufen. Bei einem Produkt, dessen Hauptargument EU-Datenhaltung ist, ist das eine bemerkenswerte Lücke, denn Speicherort und Verarbeitungsort sind nicht dasselbe.
• August 2026, Der Anbieter bestätigt, dass ISO 27001 und SOC 2 fehlen, und gibt an, das Audit sei für November 2026 angesetzt. Wir haben das nachgetragen, bewerten es aber nicht: Ein terminiertes Audit ist kein Zertifikat. Wenn der Termin gehalten wird, prüfen wir die Seite Anfang 2027 erneut.
• August 2026, Zur Wettbewerbsbeobachtung: Die öffentliche Anwendungsseite nennt Finanzierungsrunden, Führungswechsel, Produktlaunches, Partnerschaften und Rechtsthemen, aber keine Battlecards, keine Win-Loss-Analysen und keine Positionierungsvergleiche. Der Anbieter sagt, eine Vertriebslösung existiere, werde aber noch nicht offen vermarktet. Solange sie nicht öffentlich beschrieben ist, bewerten wir sie nicht.
• Januar 2025, Kooperation mit Sinolytics, einer 2017 gegründeten China-Beratung, für China-spezifische Lieferkettenrisiken. Die Plattform liefert die Überwachung, Sinolytics die vertiefte Analyse chinesischer Lieferanten und die Strategieberatung, ausdrücklich mit Bezug auf die CSDDD. Für Unternehmen mit asiatischer Beschaffung ist das der interessanteste inhaltliche Schwerpunkt, weil dort Quellenlage und Sprachbarriere das Monitoring am stärksten erschweren.
• 2024/2025, Der inhaltliche Schwerpunkt hat sich sichtbar von LkSG-Themen in Richtung NIS-2 und IKT-Dienstleisterüberwachung verschoben. Das folgt der Regulierungslage und deutet darauf hin, dass Cyber- und Drittparteienrisiko den ESG-Fokus als Verkaufsargument ablöst.