Digitalisierung macht Unternehmen effizienter und wettbewerbsfähiger – erhöht aber zugleich die Abhängigkeit von Technologien und Anbietern. Für den Mittelstand ist das ein schwieriger Balanceakt. Wie steht es um seine digitale Souveränität? Und wo lässt sich konkret ansetzen?
Der deutsche Mittelstand investiert seit Jahren in seine Digitalisierung. Zuletzt allerdings mit nachlassender Dynamik. Nach dem KfW-Digitalisierungsbericht haben zwischen 2022 und 2024 nur noch 30 Prozent der mittelständischen Unternehmen ein Digitalisierungsvorhaben abgeschlossen. Damit ist der Anteil wieder auf das Vor-Corona-Niveau zurückgefallen. Auch die Digitalisierungsausgaben gingen zurück und lagen 2024 bei 23,8 Milliarden Euro.
Digitalisieren ohne Kontrollverlust
Der Druck steigt von mehreren Seiten gleichzeitig: Wer nicht in Digitalisierung investiert, verpasst Chancen für Produktivität, Innovation und Wettbewerbsfähigkeit. Zugleich führt mehr Digitalisierung nicht automatisch zu mehr unternehmerischer Freiheit. Im Gegenteil: Je stärker zentrale Geschäftsprozesse von Cloud-Diensten, Softwareplattformen oder externen Infrastruktur- und KI-Anbietern abhängen, desto wichtiger wird die Frage nach digitaler Souveränität.
Das IT-Management hat an politischer Dimension eher gewonnen. Im Juni verabschiedete die EU-Kommission ein neues Technologie-Souveränitätspaket, um Europas eigene Cloud- und KI-Kapazitäten zu stärken. Am Markt finden sich immer mehr souveräne Cloud-Angebote, europäische Anbieter und hybride IT-Architekturen mit Rechenzentren in Europa, die mehr Kontrolle über Daten und Anwendungen versprechen.
Wie hoch der Bedarf ist, zeigt eine Studie der easy software AG: 72 Prozent der befragten Unternehmen mit 500 bis 999 Beschäftigten bewerten ihre technische Abhängigkeit als hoch oder sehr hoch. Fast ein Drittel (31 Prozent) ist zudem bereit für mehr digitale Souveränität höhere Kosten in Kauf zu nehmen.
Fünf Ansatzpunkte für mehr Handlungsfreiheit
Für den Mittelstand gilt es zunächst, seine digitale Handlungsfreiheit im Jetzt zu stärken – und zwar ohne bestehende IT-Landschaften komplett umzubauen oder bei Innovation und Wettbewerbsfähigkeit zurückzufallen. Ein Blick auf fünf neuralgische Punkte zeigt, wo technologische Abhängigkeiten momentan ein Risiko darstellen können, und welche Maßnahmen greifen:
1. Operative Souveränität: Raus aus der Anbieterabhängigkeit
Operative Souveränität stellt die Beziehung zu Anbietern und Dienstleistern auf den Prüfstand: Kann ein Unternehmen seinen Betrieb fortführen, wenn ein zentraler Anbieter wegfällt? Nur 19 Prozent der Mittelständler nennen operative Souveränität als den für sie besonders wichtigen Bereich digitaler Souveränität. Dabei ist das Risiko eines Vendor Lock-ins real: Gerade einmal ein Drittel (34 Prozent) hält es für sehr einfach oder einfach, einen zentralen IT-Technologie-Anbieter zu wechseln.
Operative Souveränität setzt voraus, dass Unternehmen ihre Abhängigkeiten kennen und den Wechsel vorbereiten. Dazu gehören portable Daten, dokumentierte Schnittstellen, klare vertragliche Ausstiegsbedingungen und realistische Migrationspläne für geschäftskritische Anwendungen. Ob IT-Infrastruktur, ERP, CRM oder KI-Modelle – mehr als ein Viertel der Befragten kalkuliert mit Übergangszeiten von über sechs Monaten. Rund sieben Prozent halten einen Wechsel sogar für unmöglich. Umso wichtiger ist es, technische Alternativen, personelle Ressourcen und Migrationskosten frühzeitig einzuplanen, statt erst im Krisenfall nach Auswegen zu suchen.
2. Technische Souveränität: Legacy-Systeme als Bremse lösen
Komplexe Altsysteme bremsen den Weg zur technischen Souveränität: Sie erschweren die Modernisierung bestehender IT-Landschaften und machen Migrationen aufwendig. Laut Umfrage zählen 38,1 Prozent der Unternehmen die Komplexität ihrer bestehenden IT-Systeme zu den größten Hindernissen auf dem Weg zur digitalen Souveränität. Im Mittelstand mit 500 bis 999 Beschäftigten sind es sogar 46,9 Prozent. Fast ebenso schwer wiegen Budgetrestriktionen und hohe Migrationskosten (37,5 Prozent).
Für den Mittelstand gilt es deshalb, technische Schulden gezielt abzubauen. Welche Systeme nähern sich ihrem End-of-Life? Wo lassen sich Wartung, Updates und Weiterentwicklung nicht mehr eigenständig steuern? Statt komplette IT-Landschaften auszutauschen, sollten Unternehmen kritische Komponenten schrittweise modernisieren und bestehende ERP- und Geschäftsanwendungen über standardisierte Schnittstellen mit neuen Technologien verbinden.
3. Daten-Souveränität: Cloud nutzen, Datenhoheit behalten
Wer in die Cloud zieht, darf die Kontrolle über seine Daten nicht gleich mit auslagern. Der Mittelstand hat das offenbar erkannt: Knapp 40 Prozent der befragten Unternehmen wollen souveräne Cloud-Lösungen künftig stärker nutzen. Gleichzeitig halten 46,9 Prozent an On-Premises-Systemen als Ergänzung zur Cloud fest. Es geht also nicht um einen radikalen Wechsel des Betriebsmodells, sondern darum, die eigene Datenhoheit zu wahren. Wie konkret dieser Anspruch ist, zeigt eine weitere Zahl: 54,3 Prozent der Mittelständler wünschen sich mehr Einblick in Zugriffsprotokolle und Betriebsabläufe souveräner Cloud-Plattformen.
Cloud oder On-Premises ist daher die falsche Frage, wenn es um Datensouveränität geht. Die eigentliche Frage lautet: Welche Daten gehören wohin und wer hat Zugriff darauf? Unternehmen sollten ihre Daten nach Schutzbedarf und Geschäftskritikalität klassifizieren und für jede Anwendung das passende Betriebsmodell wählen. Sensible Informationen können im eigenen Rechenzentrum verbleiben, andere Anwendungen in der Cloud laufen. Hybride Architekturen verbinden beide Welten. Entscheidend sind klar geregelte Zugriffsrechte, nachvollziehbare Datenflüsse und eine revisionssichere Archivierung geschäftskritischer Informationen.
4. KI-Souveränität: Klare Leitplanken setzen
Schnelle KI ist noch lange keine souveräne KI. Doch genau hier zeigt sich ein Spannungsfeld: Geschwindigkeit, Verfügbarkeit und Skalierbarkeit auf der einen Seite, KI-Governance, Kontrolle und Steuerbarkeit auf der anderen. Im Mittelstand geben 24 Prozent bei Hosting-Entscheidungen eindeutig der Performance den Vorrang – bei Großunternehmen sind es nur 11 Prozent.
Brisant wird das, wenn Unternehmen KI-Agenten Zugriff auf ihr internes Wissen gewähren. Werden Unternehmensdaten ausschließlich für die angeforderte Verarbeitung genutzt oder möglicherweise auch zum Training? Wer kontrolliert die Outputs und die eingesetzten Schutz- und Kontrollmechanismen? Der Schlüssel liegt in einer kontrollierten Bereitstellung von Unternehmenswissen: Dokumente und Informationen sollten zentral in einem DMS oder digitalen Archiv verwaltet, Zugriffsrechte klar geregelt und nur freigegebene Daten für KI-Anwendungen zugänglich gemacht werden.
5. IT-Sicherheit: Vertrauen ist gut, …
Cyberabwehr lässt sich auslagern. Die Verantwortung dafür nicht. Für 54 Prozent der Mittelständler ist IT-Sicherheit die erste Assoziation mit digitaler Souveränität. Entsprechend hoch sind die Anforderungen an externe Sicherheitsdienstleister: 71 Prozent legen bei der Auswahl eines Managed-SOC-Anbieters Wert auf Datenhaltung in der EU, 70 Prozent auf eine Zertifizierung nach ISO 27001 auf Basis des BSI-IT-Grundschutzes.
Doch europäische Herkunft allein ist noch keine Garantie für digitale Handlungsfreiheit. Auch europäische Cloud-Angebote sind nicht automatisch interoperabel und ein Anbieterwechsel bedeutet nicht zwangsläufig mehr Unabhängigkeit. Für eine souveräne IT-Sicherheit kommt es daher neben dem Sitz des Anbieters und dem Ort der Datenhaltung auch auf überprüfbare Sicherheitsstandards an: unabhängige Zertifizierungen, dokumentierte Sicherheitsprozesse und transparente Verantwortlichkeiten beim Schutz geschäftskritischer Informationen.
Künftig geht es nicht nur darum, wo Anwendungen laufen oder welcher Anbieter sie bereitstellt. Entscheidend wird auch, wer kontrolliert, welche Unternehmensinformationen verarbeiten dürfen. Denn Dokumente, Verträge, Prozessdaten oder internes Know-how werden zunehmend zur Arbeitsgrundlage von Assistenten und KI-Agenten. Wer hier keine klaren Zugriffsrechte, Freigaben und nachvollziehbaren Datenflüsse schafft, kann technisch unabhängig sein und trotzdem die Kontrolle über sein Wissen verlieren.
Digitale Souveränität zeigt sich deshalb nicht allein daran, welchen Anbieter ein Unternehmen nutzt, sondern auch daran, ob es sich gegen ihn entscheiden könnte. Am Ende geht es nicht um technologische Autarkie, sondern um Handlungsfreiheit. Gerade mittelständische Unternehmen müssen die Kontrolle über ihr Unternehmenswissen behalten und selbst entscheiden können, wo und wie sie ihre Informationen managen. Und sie müssen diese Entscheidungen bei Bedarf auch wieder ändern können. Dafür braucht es einen realistischen Plan B.
