IT-Giganten im Blick: Was digitale Souveränität für den Mittelstand bedeutet

Kurz zusammengefasst: Große digitale Anbieter bündeln Cloud, Software, Plattformen und zunehmend KI in miteinander verbundenen Diensten. Für kleine Unternehmen und den Mittelstand geht es dabei nicht um pauschale Ablehnung, sondern um belastbare Betriebsentscheidungen: Welche Abhängigkeiten sind vertretbar, welche Daten und Prozesse müssen kontrollierbar bleiben, und wie lässt sich ein Ausfall oder Wechsel im Notfall tatsächlich bewältigen? Digitale Souveränität bedeutet deshalb vor allem Transparenz, vertragliche Handlungsfähigkeit, technische Ausweichoptionen und eine getestete Wiederanlauffähigkeit.

Warum Abhängigkeiten eine Betriebsfrage sind

Viele Unternehmen nutzen mehrere Dienste großer internationaler Anbieter: E-Mail, Bürosoftware, Identitätsverwaltung, Cloudspeicher, Backup, Hosting, Kommunikationsplattformen und zunehmend KI. Der einzelne Dienst kann wirtschaftlich sinnvoll sein. Kritisch wird die Kombination, wenn ein Anbieter mehrere zentrale Funktionen bereitstellt und ein Ausfall dadurch technische, organisatorische oder finanzielle Folgen für mehrere Geschäftsbereiche gleichzeitig hat.

Für den Mittelstand ist deshalb nicht die Größe oder Herkunft eines Anbieters allein entscheidend. Maßgeblich sind die konkreten Verbindungen im eigenen Betrieb: Welche Systeme hängen voneinander ab, welche Konten ermöglichen den Zugriff, welche Datenformate werden verwendet und wie lange kann ein Prozess ohne den Dienst fortgeführt werden?

Die Europäische Kommission beschreibt im Rahmen des Digital Markets Act besondere Pflichten für bestimmte Gatekeeper und zentrale Plattformdienste. Daraus folgt jedoch weder eine pauschale Bewertung aller Technologiekonzerne noch ein automatischer Anspruch auf einen einfachen Anbieterwechsel. Die eigene Architektur und die eigene Ausweichfähigkeit bleiben Managementaufgaben.

Digitale Souveränität als kontrollierbare Betriebsfähigkeit

Digitale Souveränität heißt nicht, jede ausländische Software auszuschließen. Gemeint ist die Fähigkeit, digitale Leistungen bewusst auszuwählen, ihre Risiken zu verstehen und bei Bedarf handlungsfähig zu bleiben. Dazu gehören Kontrolle über Daten und Identitäten, nachvollziehbare Vertragsbedingungen, geeignete Verschlüsselung, dokumentierte Schnittstellen, exportierbare Daten und ein getesteter Ausweichweg.

Ein Unternehmen sollte zwischen Datenhoheit und Betriebsfähigkeit unterscheiden. Ein Vertrag kann festlegen, wer Daten verarbeitet. Er beantwortet aber nicht automatisch, ob Daten vollständig exportiert werden können, ob proprietäre Funktionen fehlen oder wie schnell ein Ersatzbetrieb möglich wäre. Souveränität entsteht erst, wenn rechtliche, technische und organisatorische Maßnahmen zusammenpassen.

Bei Cloud- und SaaS-Diensten sind deshalb mindestens Datenstandorte und Unterauftragsverarbeiter, Rollen- und Rechtekonzept, Protokollierung, Backup, Wiederherstellung, Exit-Regeln, Support, Preisänderungen und Kündigungsfolgen zu prüfen. Für besonders kritische Informationen kann zusätzlich eine getrennte Schlüsselverwaltung oder eine Architektur sinnvoll sein, in der der Anbieter nicht allein über den Zugriff entscheidet.

Der Data Act enthält Anforderungen zur Unterstützung des Wechsels zwischen bestimmten Datenverarbeitungsdiensten und zur Interoperabilität. Das verbessert den regulatorischen Rahmen, ersetzt aber nicht die technische Prüfung des konkreten Dienstes und die praktische Erprobung einer Migration.

Konzentration, Plattformen und KI im Betriebsrisiko

Große Technologiekonzerne bieten häufig mehrere miteinander verbundene Dienste an, etwa Cloudinfrastruktur, Identitätsverwaltung, Betriebssysteme, Plattformen oder KI-Angebote. Für Kunden kann diese Integration komfortabel sein. Sie kann aber auch dazu führen, dass ein Ausfall oder eine Änderung bei einem Dienst weitere technische, vertragliche oder organisatorische Abhängigkeiten berührt.

Beim Einsatz generativer KI kann ein Anbieter Modellzugang, Schnittstellen, Speicher, Protokollierung und Abrechnung in einer Plattform bündeln. Vor einer produktiven Nutzung sollte deshalb geklärt werden, welche Daten eingegeben werden dürfen, wie Ausgaben geprüft werden, welche Nutzungsbedingungen gelten und wie der Prozess ohne diesen Dienst fortgeführt werden könnte.

Die Konzentrationsbewertung sollte nicht allein nach dem Sitz eines Anbieters erfolgen. Maßgeblich sind konkrete Dienstabhängigkeiten, technische Wechselbarrieren, vertragliche Bindungen, Datenzugänge, privilegierte Konten und die Fähigkeit des Unternehmens, einen Ausfall oder Wechsel zu bewältigen.

Regulatorische Vorgaben können dabei als Prüfraster dienen. Der Data Act adressiert unter anderem den Wechsel zwischen Datenverarbeitungsdiensten. NIS2 verlangt für die erfassten Einrichtungen geeignete Cybersicherheits-Risikomanagementmaßnahmen. Ob ein konkretes Unternehmen unmittelbar unter eine Regel fällt, hängt von Branche, Größe, Rolle und nationaler Umsetzung ab und muss im Einzelfall geprüft werden.

Ein belastbarer Prüfprozess für den Mittelstand

Am Anfang steht ein vollständiges Abhängigkeitsverzeichnis. Es sollte nicht nur Verträge, sondern auch technische Verbindungen enthalten: Identitätsanbieter, Single Sign-on, DNS, Backup, Schnittstellen, Datenexporte, mobile Geräte und Administratorzugänge. Danach werden Systeme nach Geschäftskritikalität und Ausfallfolgen priorisiert.

Für jeden priorisierten Dienst sollten Verantwortliche vier Fragen beantworten: Welche Daten und Funktionen liegen dort? Wie kann der Betrieb bei Ausfall weitergehen? Wie werden Daten und Konfiguration exportiert? Und wann wurde die Wiederherstellung zuletzt praktisch getestet? Ein Papierkonzept ohne Test ist keine belastbare Ausweichfähigkeit.

Anschließend lassen sich Maßnahmen staffeln. Kurzfristig helfen getrennte Notfallkonten, unabhängige Backups, dokumentierte Administratorzugänge und ein aktueller Export. Mittelfristig sind offene Schnittstellen, standardisierte Formate, geringere Herstellerbindung und vertragliche Exit-Regeln wichtig. Langfristig kann für einzelne besonders kritische Dienste eine lokale oder hybride Ausweicharchitektur sinnvoll sein. Entscheidend ist nicht das Etikett des Anbieters, sondern die nachweisbare Kontrolle und Wiederanlauffähigkeit.

Beispiel: Ein mittelständischer Maschinenbauer nutzt eine internationale Cloudplattform für E-Mail, Dateien, Identitäten und die Zusammenarbeit mit externen Partnern. Die Lösung ist im Alltag effizient, aber ein kompromittiertes Administratorkonto könnte mehrere Bereiche gleichzeitig betreffen. Das Unternehmen inventarisiert deshalb privilegierte Konten, trennt Notfallzugänge, sichert geschäftskritische Daten unabhängig und dokumentiert den Export von Dateien, Benutzerkonten und Berechtigungen. Für die Produktionsplanung wird zusätzlich ein Wiederanlaufverfahren mit einem begrenzten Ersatzbetrieb getestet. Die bestehende Plattform bleibt bestehen, aber kritische Abhängigkeiten werden sichtbar, begrenzt und regelmäßig überprüft.

Beispiel aus der Praxis

Chancen für Unternehmen

Abhängigkeiten werden früh sichtbar und können nach Geschäftskritikalität statt nach Bauchgefühl behandelt werden.
Offene Schnittstellen, exportierbare Daten und getestete Backups verbessern die Wiederanlauffähigkeit und die Verhandlungsposition.
Lokale oder hybride Architekturen können für ausgewählte Daten oder besonders kritische Prozesse eine zusätzliche Ausweichoption schaffen.
Ein einheitliches Inventar unterstützt Datenschutz, Informationssicherheit, Notfallplanung und die Bewertung neuer KI-Dienste.

Grenzen und Prüfpunkte

Ein Anbieterwechsel ist nicht automatisch sicherer; auch lokale oder hybride Lösungen müssen auf Verfügbarkeit, Sicherheit, Support, Kosten und Exit-Fähigkeit geprüft werden.
Regulatorische Anforderungen gelten nicht für jedes Unternehmen in gleicher Weise. Eine Einordnung nach Branche, Größe, Rolle und nationaler Umsetzung bleibt erforderlich.
Mehrere Anbieter können Abhängigkeiten reduzieren, aber Betrieb, Schnittstellen, Verantwortlichkeiten und Kosten erhöhen.
Datenexporte und Backups helfen nur, wenn Formate, Schlüssel, Konfigurationen und Wiederherstellungsprozesse tatsächlich funktionieren und getestet wurden.