Wenn Sicherheit abhängig macht: Handlungsdruck im Mittelstand

Cyberangriffe treffen längst nicht mehr nur Konzerne – und Abhängigkeiten von außereuropäischen Anbietern werden zunehmend zum Risiko. So wird digitale Souveränität für den Mittelstand jetzt zur Sicherheitsfrage.

Angreifer nutzen neue Schwachstellen heute innerhalb von Stunden oder Minuten aus. KI beschleunigt diese Angriffe so dermaßen, dass sich auch kleinere Unternehmen als Ziele lohnen. Die vielen Breaches im DACH-Raum zeigen deutlich: Die Widerstandsfähigkeit ist besonders im Mittelstand noch zu gering.

Die besondere Herausforderung für KMU ist, dass sie selbst in der Regel über zu wenige Ressourcen und Security-Know-how verfügen. Und dass der gesunkene Aufwand mittlerweile auch kleine Angriffsziele interessant macht, etwa als Glied einer vernetzten Lieferkette.

In diesem Kontext verlassen sich viele Unternehmen auf die großen Security-Anbieter aus den USA oder Israel. Beide Nationen sind aktuell sehr tief in internationale Konflikte verwickelt. Beide verfolgen ihre Sicherheits- und Wirtschaftsinteressen mit hohem Nachdruck und verfügen über umfangreiche rechtliche Zugriffsrechte auf Unternehmen und Daten. Das wirft die Frage auf, wie belastbar solche Partnerschaften im Ernstfall sein werden.

Unterschätztes Risiko: Im Spannungsfeld von Datenstandort, Recht und Zugriff

Digitale Souveränität ist die Grundvoraussetzung für verantwortungsvolle Cyber Security. Wer heute einen Sicherheitsanbieter beauftragt, muss wissen: Wo liegen meine Daten? Wer hat Zugriff darauf? Und nach welchem Recht? Der US Cloud Act macht das besonders deutlich: Er erlaubt US-Behörden den Zugriff auf Daten von US-Unternehmen – unabhängig davon, wo diese tatsächlich gespeichert sind.

Erschwerend kommt hinzu: Bei internationalen Konzernen ist oft unklar, welches Recht im Zweifel gilt. Das ist ein Risiko – rechtlich, regulatorisch und operativ. Für Cyber Security-Verantwortliche bedeutet das konkret:

• Datenlokation und Zugriffsrechte müssen vor Vertragsabschluss verbindlich geklärt sein.
• Jurisdiktionsfragen gehören auf den Tisch.
• Anbieter müssen technisch wie rechtlich sauber und compliant aufgestellt sein.

Souveränität bedeutet Kontrolle über die eigenen Daten. Und Kontrolle ist die Basis jeder ernsthaften Sicherheitsstrategie. Wer diese Fragen erst im Ernstfall stellt, stellt sie zu spät.

Abhängigkeit als System: Warum Europas Security die Souveränität fehlt

Cloud-Plattformen, Schwachstellendatenbanken, Bedrohungsinformationen, Hardware, Software: Der Großteil des Security-Unterbaus, auf dem europäische Organisationen operieren, kommt aus den USA. Ein konkretes Beispiel: Die CVE-Datenbank, jahrelang das Rückgrat globaler Schwachstellenkommunikation, ist ein US-geführtes System. Im vergangenen Jahr stand deren Finanzierung auf der Kippe. Mit der EUVD gibt es inzwischen eine europäische Alternative, was ein richtiger und wichtiger Schritt war, um die europäische Souveränität zu stärken. 

Doch die Abhängigkeit hat tieferliegende Ursachen. Zwar bringt Europa Know-how und innovative Anbieter hervor, schafft aber zu selten die Voraussetzungen dafür, dass diese zu global relevanten Akteuren wachsen können. Gleichzeitig spielt digitale Souveränität in Beschaffung und Regulierung bislang oft nur eine untergeordnete Rolle. Die strukturellen Schwächen des europäischen Marktes zeigen sich vor allem in drei Bereichen:

• Europäische Cyber Security-Unternehmen sind chronisch unterfinanziert.
• Fehlendes Risikokapital in Europa erleichtert Übernahmen durch große US-Tech-Unternehmen.  
• Digitale Souveränität spielt in Vergabeverfahren für kritische Infrastrukturen bislang nur eine sehr begrenzte Rolle. Das BSI gibt nur in Ausnahmefällen klare Herstellervorgaben – wie etwa bei den 5G-Netzen.

Der Hebel ist klar: Wer den Einsatz von europäischen Lösungen in kritischen Bereichen als Pflicht gestaltet, schafft so auch die notwendige Nachfrage. Aus diesen Verpflichtungen erwachsen die dringend nötigen Investitionen. Denn Security-Souveränität ist die Voraussetzung dafür, dass Europa im Ernstfall handlungsfähig bleibt – unabhängig davon, wer gerade welche Interessen verfolgt.

Zentrale Bausteine für echte Security-Souveränität

KMU müssen bei der Auswahl und Implementierung von Security-Lösungen zahlreiche Aspekte beachten, um eine möglichst hohe Souveränität zu erreichen.

Entscheidend ist aus strategischer Sicht, dass der Anbieter im EU- oder EWR-Raum ansässig ist und europäischem Recht unterliegt. Andernfalls sind extraterritoriale Zugriffe möglich – etwa im Rahmen des US CLOUD Acts. Solche Konstruktionen widersprechen grundlegend dem Gedanken digitaler Souveränität. Ebenso kritisch ist die Datenverantwortung. Unternehmen müssen sicherstellen, dass kein „Sub-Processing“ in Drittstaaten stattfindet. Die Abdeckung relevanter Rahmenwerke bildet einen weiteren Eckpfeiler. NIS2, BSI IT-Grundschutz, ISO 27001, ISO 27701 und DSGVO-Konformität sind hierbei Mindestanforderungen. Schließlich braucht es nachweisbare Auditierbarkeit durch transparente Logs, dokumentierte Security-Prozesse und forensische Nachvollziehbarkeit.

Ein oft unterschätztes Risiko stellt der Vendor Lock-in dar. Um den zu verhindern, sind offene Schnittstellen und standardisierte Datenformate ein gutes Mittel. Eine dokumentierte Exit-Strategie erlaubt zudem, jederzeit migrieren zu können. 

Auf technischer Ebene entscheidet sich Security-Souveränität daran, wo und wie Unternehmen ihre Systeme betreiben. Sie legen fest, welche Teile ihrer Sicherheitsarchitektur sie selbst kontrollieren und wo Abhängigkeiten entstehen – etwa bei On-Premise-, Private-Cloud-, Sovereign-Cloud- oder hybriden Betriebsmodelle. Unabhängig vom Modell gilt allerdings: Die physische Datenspeicherung darf ausschließlich im EU-Raum erfolgen.

Ein übergreifendes Security-Konzept funktioniert nur, wenn sich das SOC nahtlos in bestehende SIEM-, SOAR-, EDR-, XDR- und NDR-Lösungen integrieren lässt. Ergänzend sollten Security-Lösungen MITRE ATT&CK unterstützen und Threat-Intelligence-Feeds aus europäischen Quellen einbinden. Nur so entsteht ein vollständiges Lagebild, das auf europäische Bedrohungsszenarien zugeschnitten ist.

Souveränität by Design

Geben Unternehmen ihre Identitätsinfrastrukturen, Security-Operations-Plattformen oder sensible Sicherheitsdaten in externe Hände, treffen sie damit eine Entscheidung über Rechtsräume und Abhängigkeiten. Aktuell sind das, dem Angebot geschuldet, häufig noch Anbieter aus Übersee.

Die gute Nachricht: Der Markt bewegt sich. Europäische Alternativen entstehen, reifen und werden zunehmend wettbewerbsfähig. Das schafft echte Wahlmöglichkeiten, die Unternehmen dringend systematisch und strategisch in ihrem Auswahlprozess berücksichtigen sollten. Rechtsraum, Datenhoheit und Exit-Strategien müssen fester Bestandteil jeder Beschaffungsentscheidung werden – auch und insbesondere bei KMU.