Blog

Digitale Souveränität – Warum?

Digitale Souveränität hat sich von einem theoretischen Konzept zu einem strategischen Imperativ für Unternehmen entwickelt. Bei einer hochkarätigen Diskussionsrunde in Zürich analysierten Adrienne Fichter (Politologin und Investigativjournalistin), Stefan Escher (CEO von Open Circle) sowie Tobias Brunner (Partner und Product Manager bei VSHN) die konkreten Auswirkungen für Unternehmen, wenn die Kontrolle über kritische Daten, Systeme und Geschäftsprozesse extern liegt. Die wichtigsten Erkenntnisse dieser Expertenrunde haben wir für Sie zusammengefasst.

Inhaltsverzeichnis

1. Vertraulichkeit / (Un)Lawful Access
2. Verfügbarkeit / Kill Switch
3. Kontrolle / Lock-in
Empfehlungen für Unternehmen: Wie wird man digital souverän?
Fazit: Digitale Souveränität entscheidet über Handlungsfähigkeit

Das Wichtigste in Kürze

Digitale Souveränität bedeutet, dass Unternehmen ihre Daten, Systeme und Prozesse jederzeit selbst steuern können.
Kritisch sind drei Punkte: Vertraulichkeit (wer hat Zugriff), Verfügbarkeit (wer kann abschalten) und Kontrolle (wie vermeidet man Lock-in).
Internationale Rechtslagen wie der US Cloud Act oder Executive Orders zeigen, dass Datenzugriffe nicht immer in deiner Hand liegen.
Abhängigkeit von einzelnen Anbietern führt zu Risiken wie Kill Switches oder hohen Wechselhürden.
Unternehmen brauchen Strategien, um Alternativen aufzubauen, Verträge klug zu verhandeln und Ausstiegsszenarien vorzubereiten.

1. Vertraulichkeit / (Un)Lawful Access

Vertraulichkeit ist das Fundament digitaler Souveränität. Die zentrale Frage lautet: Haben andere Personen Zugriff auf die Daten? Und wenn ja, auf welcher Grundlage?

Die Realität ist komplexer, als viele Unternehmen glauben. Zugriff auf Daten meint nicht nur Hackerangriffe oder Insider-Leaks, sondern auch rechtlich legitimierte, aber für Unternehmen oft undurchsichtige Zugriffe durch Behörden. Mit dem US Cloud Act von 2018 wurde zum Beispiel festgelegt, dass amerikanische Strafverfolgungsbehörden auf Daten von US-Unternehmen zugreifen können – unabhängig davon, ob die Server physisch in Irland, Frankfurt oder Zürich stehen.

Damit nicht genug: Rechtsgrundlagen wie die FISA Section 702 oder die Executive Order 12333 erweitern die Möglichkeiten verdeckter Zugriffe durch Geheimdienste. Diese Gesetze erlauben es US-Behörden, ohne richterliche Anordnung Daten von Nicht-US-Personen direkt bei Anbietern wie Microsoft, Google oder Amazon abzufragen. Selbst wenn die Daten physisch in Rechenzentren in Frankfurt oder Zürich liegen, können die US-Muttergesellschaften verpflichtet werden, sie herauszugeben.

Ein bekannter Fall ist der sogenannte Microsoft-Ireland-Case: US-Behörden verlangten 2013 von Microsoft den Zugriff auf E-Mails, die in einem Rechenzentrum in Dublin gespeichert waren. Daraus wurde ein jahrelanger Rechtsstreit, bis der Cloud Act 2018 die Herausgabepflicht weltweit festschrieb. Welche Endkunden konkret betroffen waren, bleibt geheim – denn Zugriffe nach FISA 702 oder Cloud Act unterliegen strikter Geheimhaltung, sodass betroffene Unternehmen in der Regel nicht informiert werden.

Für Unternehmen kann das weitreichende Folgen haben: Geschäftsgeheimnisse, Forschungsdaten, Finanzinformationen oder vertrauliche Vertragsunterlagen können im Rahmen solcher Zugriffe offengelegt werden, ohne dass das betroffene Unternehmen davon erfährt oder sich dagegen wehren kann. Besonders kritisch ist das für regulierte Branchen wie Finanzdienstleister, Gesundheitswesen oder öffentliche Verwaltungen. Aber auch für internationale Konzerne kann der Abfluss strategischer Daten unmittelbare Wettbewerbsnachteile erzeugen, wenn sensible Informationen in fremde Hände gelangen.

Vertraulichkeit ist also nicht nur ein IT-Thema. Sie ist geopolitisch, rechtlich und organisatorisch. Unternehmen müssen sich bewusst machen: Jeder externe Zugriff – ob rechtmässig oder nicht – schwächt die digitale Souveränität.

2. Verfügbarkeit / Kill Switch

Das zweite Standbein der digitalen Souveränität ist die Verfügbarkeit. Sie beantwortet die Frage: Haben wir im Ernstfall jederzeit Zugriff auf unsere Systeme oder kann ein externer Anbieter uns aussperren?

Die Gefahr ist real. Das sogenannte Kill-Switch-Szenario bedeutet, dass ein Anbieter per Knopfdruck den Zugang entzieht. Das kann technische Gründe haben, etwa eine Sicherheitslücke oder eine Vertragsverletzung. Es kann aber auch politische Ursachen haben: Eine Executive Order aus Washington reicht aus, um Unternehmen ausserhalb der USA von bestimmten Diensten auszuschliessen.

Ein Beispiel sind die Russland-Sanktionen: Nach dem Angriff auf die Ukraine haben grosse US-Techkonzerne wie Microsoft, Amazon und Apple ihre Dienste in Russland eingestellt oder stark eingeschränkt. Firmen und Organisationen in Russland hatten von einem Tag auf den anderen keinen Zugang mehr zu wichtigen Cloud-Diensten, Softwarelizenzen oder Updates – ein faktischer Kill Switch.

Stellen Sie sich vor, die komplette Kollaboration Ihres Unternehmens läuft über eine einzige Cloud-Plattform. Wenn der Anbieter entscheidet, Sie aus politischen oder kommerziellen Gründen zu blockieren, sind alle Dokumente, E-Mails und Chats mit einem Schlag unerreichbar. Auch der Versuch, über Support oder rechtliche Schritte gegenzusteuern, braucht Zeit – Zeit, die in einer akuten Krisensituation nicht vorhanden ist.

Dieses Risiko betrifft nicht nur Grosskonzerne. Auch kleine und mittlere Unternehmen, die ihre IT vollständig in die Hände eines internationalen Providers legen, sind abhängig vom Goodwill dieses Anbieters. Wer keinen Plan B hat, riskiert im Ernstfall einen kompletten Stillstand.

Digitale Souveränität bedeutet, sich gegen diese Abhängigkeit zu wappnen: durch dezentrale Lösungen, Backups und klare Exit-Strategien.

3. Kontrolle / Lock-in

Das dritte Risiko ist subtiler, aber nicht weniger gefährlich: der Verlust der Kontrolle durch Lock-in-Effekte.

Lock-in bedeutet, dass ein Unternehmen in einem System gefangen ist, aus dem es nur mit hohen Kosten oder Verlusten herauskommt. Anbieter bauen diese Abhängigkeit bewusst auf, etwa durch proprietäre Schnittstellen, exklusive Funktionen oder komplizierte Vertragsbedingungen.

Das Ergebnis: Fehlende Wahlfreiheit. Sie können nicht einfach wechseln, auch wenn der Preis steigt oder der Service nachlässt. In der Praxis bedeutet das, dass Unternehmen zwar theoretisch andere Lösungen evaluieren könnten, faktisch aber an die bestehende Plattform gebunden bleiben.

Ein Beispiel: OneDrive ist untrennbar mit Microsoft verbunden und kann ausschliesslich über deren Infrastruktur betrieben werden. Ein Wechsel von Ihrem OneDrive zu einem Cloud-Anbieter Ihrer Wahl ist nicht möglich.

Diese Abhängigkeit hat direkte Konsequenzen:

Kostenkontrolle: Preiserhöhungen müssen akzeptiert werden, weil ein Wechsel teurer wäre.
Innovation: Neue Tools können nicht integriert werden, wenn Schnittstellen fehlen.
Handlungsfähigkeit: Probleme lassen sich nicht selbst beheben, sondern nur durch langwierige Eskalationen beim Anbieter adressieren.

Im schlimmsten Fall blockiert der Lock-in nicht nur die IT, sondern auch die strategische Entwicklung. Digitale Souveränität bedeutet deshalb: Systeme so gestalten, dass jederzeit ein Ausstieg oder Wechsel möglich ist, ohne dass das Unternehmen dabei in eine Krise gerät.

Empfehlungen für Unternehmen: Wie wird man digital souverän?

Souveräne Alternativen prüfen: Setzen Sie auf offene Standards und Open-Source-Lösungen. Beispiele wie OPEN CIRCLE Nextcloud zeigen, dass kollaboratives Arbeiten auch ohne Abhängigkeit von internationalen Konzernen funktioniert. Anbieter wie OpenDesk oder Open Circle entwickeln souveräne Arbeitsplätze auf Basis von Open Source und Deutschem/Schweizer Hosting, die unabhängig von einem Anbieter betrieben werden können.
Verträge klug verhandeln: Wenn Ihr Unternehmen weiterhin auf Microsoft oder andere grosse Anbieter setzt, dann möglichst gemeinsam mit Partnern oder in Branchenverbünden. So lassen sich bessere Konditionen erzielen und Abhängigkeiten reduzieren.
Exit-Strategien entwickeln: Digitale Souveränität braucht Notfallpläne. Sichern Sie regelmässig Backups, halten Sie ein Business Continuity Management (BCM) vor und stellen Sie sicher, dass Sie im Ernstfall die Systeme selbst wieder hochfahren können.

Fazit: Digitale Souveränität entscheidet über Handlungsfähigkeit

KI-Tools, Cloud-Dienste und digitale Plattformen sind unverzichtbar geworden. Doch ohne Souveränität bleibt Ihr Unternehmen abhängig von den Geschäftsbedingungen internationaler Anbieter, von politischen Entscheidungen, lokalen Rechtsgrundlagen und von Systemen, die Sie nicht kontrollieren.

Was Sie tun können: klare Richtlinien schaffen, vertrauenswürdige und souveräne Tools wählen, das Team schulen und eine Exit-Strategie bereithalten. So nutzen Sie die Chancen der Digitalisierung, ohne die Handlungsfreiheit zu verlieren.