Cloud-Strategie und digitale Souveränität Digitale Abhängigkeiten erkennen und konsequent verringern

Anbieter zum Thema

RITTAL GmbH & Co. KG

Die US-Politik bringt bestehende Cloud-Abhängigkeiten stärker ins Bewusstsein. Unternehmen sollten jetzt prüfen, wo ihre kritischen Abhängigkeiten liegen und welche Maßnahmen ihre digitale Handlungsfähigkeit erhöhen.

Die Hälfte der deutschen Unternehmen, die Cloud-Computing nutzen, sehen sich aufgrund der Politik der aktuellen US-Regierung gezwungen, die eigene Cloud-Strategie zu überdenken. Zu diesem Ergebnis kommt der „Cloud Report 2025” des Digitalverbands Bitkom, für den 604 Unternehmen ab 20 Beschäftigten in Deutschland repräsentativ befragt wurden. Gleichzeitig zeigt dieselbe Studie: Mehr als drei Viertel (78 Prozent) der Firmen in Deutschland halten sich für zu abhängig von US-Cloud-Anbietern.

Datenhoheit, Sicherheit, Unabhängigkeit und Flexibilität gehören zur Datacenter-Planung

Digitale Souveränität im „Dreiklang“

Was diese Zahlen nicht aussagen: Wie viele dieser Unternehmen tatsächlich wissen, welche ihrer Systeme sich im Ernstfall als Erstes abschalten würden. Und ob sie eine realistische Einschätzung ihrer eigenen Ausfalltoleranz haben. Die Antwort aus der Praxis ist ernüchternd: Es kommt vor, dass ein Mittelständler glaubt, sein Betrieb sei so weit autark, dass er einen IT-Blackout von zwei Wochen verkraften könne. Wenn dann aber zum Beispiel wegen abgelaufener Softwarelizenzen der gesamte Internetzugriff nicht mehr möglich ist, ist der Druck bereits nach zwei Stunden so groß, dass trotz eigener IT-Abteilung externe Unterstützung angefordert wird. Das ist kein Einzelfall: Die subjektive Einschätzung der eigenen Resilienz und die operative Realität liegen oft weit auseinander.

Laut Bitkom ist die Abhängigkeit von den USA im Laufe des vergangenen Jahres weiter gestiegen: 51 Prozent der deutschen Unternehmen sahen sich im November 2025 „stark abhängig” von den Vereinigten Staaten – noch im Januar waren dies nur 41 Prozent.

Rechtslage und Risikobewertung

Rechtlich ist am Einsatz nicht-europäischer Subunternehmer, als solche gelten US-Hyperscaler, wenn IT-Dienstleister auf sie zurückgreifen, zunächst einmal nichts auszusetzen. Im Kontext von DSGVO, NIS2, DORA und des KRITIS-Dachgesetzes kann das jedoch relevante Compliance-, Resilienz- und Souveränitätsrisiken auslösen. In regulierten Umfeldern reicht es dabei in der Regel nicht aus, allein auf den physischen Speicherort der Daten innerhalb der EU abzustellen. Entscheidend ist vielmehr auch, ob konzernrechtliche Strukturen, externe Rechtszugriffsmöglichkeiten oder operative Abhängigkeiten außerhalb der EU die tatsächliche Kontrolle über Daten, Systeme und Prozesse beeinträchtigen könnten.

Insofern ist der Einsatz nicht-europäischer Subunternehmer stets als konkretes Risikoszenario zu bewerten, sollte unbedingt nachvollziehbar dokumentiert und mit angemessenen Gegenmaßnahmen abgesichert werden. Dazu zählen insbesondere vertragliche, technische und organisatorische Schutzmaßnahmen, Transparenz in der Subunternehmerkette sowie eine tragfähige Exit-Strategie für den Fall regulatorischer, technischer oder geopolitischer Veränderungen. Gerade DORA und NIS2 verstärken die Erwartung, dass Risiken in der Liefer- und Leistungskette frühzeitig identifiziert, beherrschbar gemacht und laufend überwacht werden.

Drei Ebenen – drei verschiedene Handlungsspielräume

Um aus der Debatte heraus in die Praxis zu kommen, braucht es zunächst begriffliche Klarheit. Digitale Souveränität ist kein einheitlicher Zustand, sondern ein Schichtenmodell – und jede Schicht erfordert ihre eigene Handlungslogik.

Die erste Ebene ist die Data Residency: Wo liegen die Daten physisch? Diese Frage ist vergleichsweise einfach zu beantworten und zu steuern; durch die Wahl des Rechenzentrums, durch vertragliche Festlegungen und durch technische Konfiguration. Wer seine Daten in einem deutschen oder europäischen Rechenzentrum betreibt, hat auf dieser Ebene eine klare Ausgangslage. Data Residency bezeichnet dabei den physischen Standort der Rechenzentren. Sie impliziert aber nicht zwingend eine rechtliche Kontrolle durch das Land, in dem die Daten gespeichert sind. Das ist ein Unterschied, der in der Praxis oft unterschätzt wird. Der US Cloud Act bezieht sich auch auf Daten, die auf in Europa betriebenen Servern von US-Unternehmen liegen.

Die Kontrolle über Daten und Betriebsmodelle

Souveränität ist keine Frage des Ortes

Die zweite Ebene meint die Operational Sovereignty: Wer darf auf die Daten zugreifen – und von wo? Hier geht es um Berechtigungsmanagement, um die Frage, ob Support-Personal aus Drittstaaten auf produktive Systeme zugreifen kann, und um die Auditierbarkeit dieser Zugriffe. Managed-Service-Anbieter, die Rechenzentren in Deutschland betreiben, können vertraglich und technisch sicherstellen, dass Zugriffe ausschließlich durch Personal aus der EU erfolgen, und zwar nachweisbar und prüffähig, konkret in Vertragswerken und Audit-Prozessen definiert.

Die dritte Ebene, die der technischen Souveränität, ist die schwierigste. Sie betrifft die Frage, von welchen Herstellern die eingesetzte Hardware und Software stammen: Etwa Server, Virtualisierungsschicht, Betriebssysteme, Datenbanken. Die Antwort ist eindeutig: Software, Hardware, Cloud-Speicher, künstliche Intelligenz – nahezu alle großen Lösungen und die wichtigsten Komponenten stammen von US-Unternehmen. Und das betrifft nicht nur die großen Konzerne.

Risikobewusstsein statt Wunschvorstellung

Wer eine IT-Bestandsaufnahme in einem typischen mittelständischen Betrieb durchführt, findet häufig 100 bis 150 und mehr Applikationen und stellt dabei fest, dass der überwiegende Teil davon in irgendeiner Form auf Microsoft-Betriebsumgebungen angewiesen ist.

Diese technische Abhängigkeit ist eine unter vielen und vor allem der Tatsache geschuldet, dass es fast ausschließlich US-Unternehmen sind, die in den vergangenen Jahrzehnten Marktstandards in der IT gesetzt haben.

Viele Unternehmen sind deshalb von marktbeherrschenden Softwarelösungen abhängig, die durch ihre Verbreitung und Kompatibilität faktisch als Branchenstandard gelten. Europäische Alternativen sind für die meisten weder praktikabel noch finanzierbar. Zudem ist man von einer, durchaus wünschenswerten, deutschen oder europäischen Cloud noch sehr weit entfernt. Auf sie zu warten, würde schlicht zu lange dauern. Jetzt richtig und zielbewusst zu handeln, erfordert einen Paradigmenwechsel: weg von der (aktuell utopischen) Idee vollständiger Autarkie hin zu pragmatischem Risikobewusstsein.

Von der Debatte zur Handlungslogik: Fünf Aspekte, die Unternehmen jetzt angehen müssen

Aus dem dreistufigen Souveränitätsmodell lassen sich fünf konkrete Handlungsfelder ableiten, die IT-Entscheider unabhängig von ihrer aktuellen Anbieterstruktur angehen können.

1. Abhängigkeitsinventur vor Strategieentscheidung

Bevor Unternehmen über Anbieterwechsel nachdenken, müssen sie ihre tatsächlichen Abhängigkeiten kennen. Die Qualifizierung digitaler Souveränität ermöglicht es, Stärken und Schwächen systematisch zu identifizieren und gezielt Maßnahmen abzuleiten. Dies gilt insbesondere für Organisationen in regulierten Branchen, für Behörden oder auch für Unternehmen der kritischen Infrastruktur wie beispielsweise Energieversorger.

Ihre Spielräume und Vorgaben sind durch Regulatorik relativ eng und definiert. Nun kommt es darauf an, die Einschätzung der veränderten geopolitischen Lage auch konsequent ehrlich darauf umzusetzen. In Branchen, die weniger oder gar nicht reguliert sind, wird die Bewertung digitaler Abhängigkeiten erstaunlich oft vernachlässigt.

Bei global agierenden, nicht regulierten Unternehmen liegt der Risikofokus traditionell auf der Bewertung von politischen Situationen auf das Kerngeschäft. Aber auch hier gilt: Ohne diese Grundlage sind alle weiteren Maßnahmen ein Schuss ins Blaue.

Geopolitische Realität trifft auf digitale Abhängigkeit

Wie viele Rechenzentren braucht Deutschland für eine Unabhängigkeit von US-Cloud-Diensten?

2. Operational Sovereignty als erreichbares Zwischenziel definieren

Während technische Souveränität für die meisten Unternehmen mittelfristig nur schwer erreichbar sein wird, ist Operational Sovereignty konkret umsetzbar. Diese operative Handlungsfähigkeit lässt sich nicht losgelöst von Geschäftskontinuität und Resilienz betrachten.

Business Continuity konzentriert sich bisher oft auf physische Unterbrechungen oder Cyberangriffe, ignoriert aber andere Risiken: Unvorhergesehene gesetzliche Änderungen etwa rund um den grenzüberschreitenden Datenverkehr oder Sanktionen können den Betrieb ebenso stark und sogar nachhaltiger beeinträchtigen.

Konkret geht es darum zu verhindern, dass Personen und Organisationen, etwa Hardware-, Software- und Servicepartner, ganz regulär Zugriff auf Daten und Systeme haben, die potenziell von einem auf den anderen Tag nicht mehr im Sinne ihres Kunden handeln, sondern sich beispielsweise staatlichen Interessen unterordnen.

Wer also sicherstellt, dass Zugriffe auf produktive Systeme ausschließlich durch EU-Personal erfolgen und dass Berechtigungskonzepte transparent sowie auditierbar sind, hat einen wesentlichen Souveränitätsgewinn erzielt – ohne den gesamten Stack austauschen zu müssen.

3. Resilienz realistisch messen – anstatt nur zu schätzen.

Die Diskrepanz zwischen gefühlter und tatsächlicher Ausfalltoleranz ist eines der größten operativen Risiken. Unternehmen sollten ihre Recovery Time Objectives (RTOs) und Recovery Point Objectives (RPOs) nicht nur definieren, sondern regelmäßig testen. Dazu gehört zunächst eine systematische Analyse der bestehenden Abhängigkeiten:

• Welche geschäftskritischen Prozesse sind direkt an einen einzelnen Anbieter gebunden?

• Wo wird proprietäre Technologie eingesetzt, die einen Wechsel oder eine Integration erschwert?

• Wo und in welchem Maße ist der Einsatz redundanter Systeme sinnvoll?

• Was darf in die Cloud und was sollte unter eigener Kontrolle bleiben bzw. aus der Cloud zurückgeholt werden?

Auf dieser Basis lassen sich risikorelevante Migrations- und Diversifizierungsstrategien entwickeln, die den schrittweisen Aufbau einer souveränen Infrastruktur ermöglichen, etwa durch die Nutzung mehrerer Anbieter oder hybrider Architekturen.

4. Kritische Systeme durch europäische Back-up-Infrastruktur absichern

Vom Assessment über Analyse und pragmatische Lösungsansätze: Man muss Abhängigkeiten verstehen, Risiken bewerten, Maßnahmen priorisieren und dabei sowohl eigene Rechenzentrumslösungen als auch hybride Architekturen als mögliche Antworten einbeziehen.

Konkrete Sofortmaßnahmen können beispielsweise ein Backup kritischer Systeme in einem europäischen Rechenzentrum umfassen, eine eigene Schlüsselverwaltung beispielsweise über ein Hardware Security Module (HSM) sowie klare Festlegungen, welcher Dienst wie lange ausfallen darf, bevor es geschäftskritisch wird.

5. Souverän entscheiden – auch mit Hyperscalern

Ein häufiges Missverständnis in der aktuellen Debatte ist die Gleichsetzung von Souveränität mit dem Verzicht auf US-amerikanische Anbieter. Das ist jedoch nicht dasselbe. Wer bewusst entscheidet, seine SAP-Umgebung bei einem Hyperscaler zu betreiben, wer die damit verbundenen Risiken kennt, bewertet und für definierte Szenarien Ausweichmechanismen vorbereitet hat, der handelt souverän.

Was ist jetzt zu tun?

Volle Kontrolle über Daten, Anwendungen und Workloads: Nur wer Datenhaltung, IT-Betrieb und Technologie autonom steuern kann, besitzt die Hoheit über seine digitalen Strukturen. Weil technische Souveränität in vielen Bereichen derzeit aus den bereits genannten Gründen nicht erreichbar ist, helfen nur pragmatische Lösungen, die das Beste aus dem Möglichen herausholen.

Für Unternehmen heißt das jetzt: mit einem umfassenden Risiko-Assessment starten, um Abhängigkeiten zu identifizieren, Risiken zu erkennen und abzusichern. Und wenn Unternehmen gerade jetzt von ihren IT-Dienstleistern oft ausdrücklich EU-only- oder EU-sovereign-Services verlangen, hat das genau damit zu tun. Es geht dabei nicht unbedingt um die Frage, ob etwas unzulässig ist, sondern darum, dass sich innerhalb des EU-Regelwerks regulatorische Risiken, Prüfaufwand und strategische Abhängigkeiten deutlich besser beherrschen lassen.

Externe Dienstleister können bei der Bewertung und beim Aufbau risikoausgewogener IT-Landschaften zielführend unterstützen, denn sie bringen neben breiter Erfahrung auch einen unternehmensübergreifenden Blick mit. Denn auch wenn jedes Unternehmen anders ist, so gibt es angesichts der aktuellen Marktsituation hinsichtlich digitaler Abhängigkeiten und Risikostrukturen eindeutige Muster. So kommen Erfahrungen aus bisherigen Assessments auch anderen Unternehmen zugute.

(ID:50932661)