Schluss mit Marketing-Floskeln: IT-Souveränität messbar machen

Digitale Souveränität zählt zu den meistgenutzten Begriffen der IT-Branche. Fast jeder Anbieter definiert sie passend zum eigenen Portfolio: Der eine verkauft den Wechsel auf einen Cloud-Stack „Made in Germany“ als Lösung, der andere verspricht Souveränität durch ein einzelnes Verschlüsselungsprodukt. Unternehmen hilft das wenig. Es fehlt ein Maßstab, der sich nachprüfen lässt.

Diese Lücke schließen zwei Rahmenwerke: das EU Cloud Sovereignty Framework der Europäischen Kommission und der Kriterienkatalog C3A des BSI. Beide übersetzen das abstrakte Konzept digitaler Souveränität in konkrete Kriterien und schaffen so eine nachvollziehbare Bewertungsgrundlage. Der Wunsch nach mehr Kontrolle ist nicht neu: Unternehmen mussten geistiges Eigentum und Geschäftskontinuität schon immer schützen. Neu ist der Druck: Geopolitische Spannungen, veränderte transatlantische Beziehungen und wachsende Regulierung treiben das Thema an.

Digitale Souveränität durchzieht sämtliche Ebenen der IT, von der Betriebsorganisation bis zur Datenebene. Drei Perspektiven ordnen diese Komplexität: Kontrolle, Compliance und Kontinuität. Kontrolle klärt, wer Entscheidungshoheit über Daten, Infrastruktur oder Lieferketten besitzt. Compliance nimmt gesetzliche Vorgaben ebenso in den Blick wie interne Richtlinien. Kontinuität prüft, ob Technologien, Kompetenzen und Anbieter langfristig verfügbar bleiben und realistische Exit- und Wechselmöglichkeiten bestehen. Wer alle IT-Ebenen durch diese drei Linsen betrachtet, erhält eine individuelle Souveränitätsmatrix, die kritische Abhängigkeiten offenlegt.

Der Score schafft einen Bewertungsmaßstab

Das EU Cloud Sovereignty Framework bietet eine strukturierte Grundlage, um digitale Souveränität anhand definierter Ziele und konkreter Anforderungen zu bewerten. Es betrachtet unterschiedliche Dimensionen, von strategischer und rechtlicher Souveränität über Daten, Technologie und Betrieb bis zu Lieferketten und Nachhaltigkeit. Für die einzelnen Anforderungen lassen sich verschiedene Souveränitätsniveaus bewerten und zu einem nachvollziehbaren Gesamtbild verdichten.

Auch der C3A-Kriterienkatalog des BSI macht Anforderungen an die Souveränität von Cloud-Angeboten strukturiert bewertbar. Entscheidend ist nicht, für jeden Workload das höchste Niveau zu erreichen, sondern das jeweils erforderliche und angemessene festzulegen. Dabei zählen unter anderem Geschäftskritikalität, Schutzbedarf, regulatorische Anforderungen und die Auswirkungen möglicher Abhängigkeiten.

Warum vollständige Autonomie unrealistisch bleibt

So nachvollziehbar der Wunsch nach einer vollständig autarken IT erscheint, in der Praxis lässt er sich kaum verwirklichen. Im Hardware-, Software- und Cloud-Bereich hat sich über Jahrzehnte eine tiefe Abhängigkeit von amerikanischen Herstellern aufgebaut. Selbst ein Unternehmen, das konsequent auf europäische Produkte und Infrastruktur setzt, bleibt Teil globaler technischer Strukturen. Ein Beispiel ist das Domain Name System (DNS), das Domainnamen den zuständigen Namensservern zuordnet. An der Spitze dieser verteilten, redundanten Infrastruktur steht die DNS-Root-Zone. Ihre Koordination erfolgt international, wobei mit ICANN und IANA auch US-Organisationen zentrale Rollen innehaben. Nationale Registries wie DENIC für .de verwalten ihre Top-Level-Domains.

Vollständige Autarkie setzt den Verzicht auf zahlreiche etablierte Technologien, Ökosysteme und globale Lieferketten voraus und schränkt erheblich ein. Eine Souveränitätsstrategie muss deshalb abwägen: Welche Technologien braucht das Unternehmen tatsächlich, welche Abhängigkeiten entstehen daraus, und welche sind akzeptabel?

Open Source als Baustein

Auch Open Source kann die digitale Souveränität stärken. Offener Quellcode schafft Transparenz und erlaubt es, Software unabhängig zu prüfen, anzupassen und von verschiedenen Anbietern betreiben zu lassen. Mehr Offenheit bedeutet jedoch nicht automatisch mehr Sicherheit oder geringere Kosten. Entscheidend sind Qualität und Aktivität des Projekts, verfügbare Sicherheitsupdates sowie professionelle Support- und Betriebsstrukturen.

Mit der Kontrolle wächst die Verantwortung: Unternehmen müssen entscheiden, welche Kompetenzen sie selbst aufbauen und wofür sie auf Hersteller, Distributoren oder Dienstleister setzen. Open Source beseitigt Abhängigkeiten nicht, macht sie aber transparenter, diversifizierbarer und besser steuerbar.

Souveränität lässt sich auch ohne vollständigen Anbieterwechsel erhöhen. Ein Beispiel ist die Kombination von Cloud-Diensten mit extern kontrolliertem Key Management. Liegen die kryptografischen Schlüssel außerhalb des Zugriffsbereichs des Cloud-Anbieters, kann dieser die Daten nicht ohne Weiteres entschlüsseln. Das Risiko eines Zugriffs durch Anbieter oder Dritte sinkt deutlich. Rechtliche und organisatorische Abhängigkeiten bleiben, die Kontrolle über besonders schützenswerte Daten steigt aber erheblich.

Der Reflex, stets auf die neueste Technologie zu setzen, führt selten zum passenden Ergebnis. Oft genügt ein kleineres Open-Source-Modell statt eines aktuellen Sprachmodells großer amerikanischer Anbieter. Ebenso braucht nicht jeder Workload die Skalierbarkeit und Performance eines amerikanischen Hyperscalers. Deutsche Cloud-Anbieter wie die StackIT Cloud haben an Präsenz gewonnen, und auch große Hyperscaler bieten inzwischen souveräne Lösungen für den europäischen Markt.

Von der Matrix zur Roadmap

Aus Score und Matrix lassen sich konkrete Maßnahmen ableiten. Manche Ziele erreicht ein Unternehmen kurzfristig, andere erfordern einen mehrjährigen Transformationsprozess. Wer operationale Souveränität anstrebt, muss zunächst Personal und Know-how aufbauen.

Ebenso wichtig wie die erste Bewertung ist die regelmäßige Überprüfung, denn Anforderungen und Anbieterumfeld ändern sich fortlaufend. Eine unabhängige Außenperspektive verhindert, dass unbequeme Befunde beschönigt werden. Am Ende kann ein Unternehmen seinen Souveränitätsstatus belegen, statt ihn zu vermuten, und investiert gezielt dort, wo Handlungsbedarf besteht.