Digitale Souveränität: Wie viel Kontrolle haben Sie über Ihre digitale Geschäftstätigkeit?

Heute vertrauen Unternehmen immer mehr ihrer Daten, Anwendungen und Geschäftsprozesse Cloud-Diensten, digitalen Plattformen und externen Dienstleistern an. Das bringt zahlreiche Vorteile: schnellere Implementierung von Lösungen, höhere Flexibilität und Zugang zu Technologien, die eigenständig schwer zu entwickeln oder zu warten wären. 

Zugleich steigt auch die Abhängigkeit von Anbietern, deren Technologien, Geschäftsbedingungen und Infrastrukturen. Daher wird die Frage immer wichtiger, wie viel Kontrolle ein Unternehmen dabei tatsächlich behält. 

Digitale Souveränität bedeutet nicht, dass ein Unternehmen alle Systeme selbst entwickeln und hosten muss. Sie bedeutet auch nicht vollständige Unabhängigkeit von externen Anbietern. Vor allem heißt sie, dass das Unternehmen seine digitalen Abhängigkeiten versteht, die Kontrolle über seine kritischen Daten und Systeme behält und handeln kann, wenn sich Technologie, Anbieter oder geschäftliche Rahmenbedingungen ändern. 

Es geht um die Fähigkeit zu wählen, sich anzupassen und kontinuierlich zu arbeiten. Daher ist digitale Souveränität nicht nur für öffentliche Institutionen und große Konzerne wichtig, sondern für jede Organisation, deren Geschäft von digitalen Lösungen abhängt. 

Wer kontrolliert unsere Daten? 

Wenn wir über digitale Souveränität sprechen, fragen wir uns oft zuerst, wo die Daten gespeichert sind. Das ist wichtig, doch der Ort allein sagt noch nicht, wer tatsächlich die Kontrolle darüber hat. 

Selbst wenn Daten physisch in der Europäischen Union gespeichert sind, bedeutet das noch nicht, dass die Organisation die vollständige Kontrolle darüber hat. Unter bestimmten Umständen können Cloud-, Hosting- und Business-Software-Anbieter oder andere gemanagte IT-Services sowie deren Subunternehmer und weitere autorisierte Personen darauf zugreifen. 

Daher ist es neben dem Standort wichtig zu prüfen, wer Zugriff auf die Daten hat, auf welcher rechtlichen und vertraglichen Grundlage und unter welchen Bedingungen. Ebenso muss die Organisation Zugriffe angemessen beschränken, protokollieren und regelmäßig überprüfen. 

Wichtig ist auch die Frage, wer die Verschlüsselungsschlüssel verwaltet. Sind Daten verschlüsselt, werden die Schlüssel aber ausschließlich vom Anbieter verwaltet, hat der Kunde weniger direkten Einfluss auf deren Schutz, als es auf den ersten Blick scheint. Bei sensibleren Daten ist es daher sinnvoll zu prüfen, ob die Organisation die Schlüssel selbst verwalten beziehungsweise deren Nutzung, Rotation und Widerruf steuern kann. 

Die Kontrolle über Daten umfasst auch klare Antworten auf praktische Fragen: 

• wer Administratorzugang hat, 

• ob die Zugriffsrechte regelmäßig überprüft werden, 

• wie Konten ehemaliger Mitarbeiter und externer Dienstleister deaktiviert werden, 

• ob sich nachvollziehen lässt, wer wann auf Daten zugegriffen hat und 

• wer für das Handeln im Falle eines möglichen Missbrauchs verantwortlich ist. 

Digitale Souveränität beginnt daher nicht beim Server, sondern bei der Transparenz. Die Organisation muss wissen, welche Daten für sie kritisch sind, wo sie sich befinden, wer sie verarbeitet und wer in sie eingreifen kann. 

Die Frage »Wo sind unsere Daten?« ist ein guter Anfang. Für echte Kontrolle müssen wir jedoch eine weitere hinzufügen: »Wer hat alles die Schlüssel dazu?« 

Wie abhängig sind wir von einem einzelnen Anbieter? 

Der Einsatz externer Anbieter ist heute ein üblicher Bestandteil des digitalen Geschäfts. Cloud-Services, Business-Software und gemanagte IT-Lösungen ermöglichen Unternehmen eine schnellere Entwicklung, höhere Flexibilität und Zugang zu Know-how, das sie selbst möglicherweise nicht haben. Das Problem ist daher nicht die Abhängigkeit an sich, sondern eine Abhängigkeit, die wir nicht gut genug kennen oder nicht im Griff haben. 

Eine Organisation kann aus Gründen der Technologie, der Vertragsbedingungen, der Arbeitsweise oder spezieller Funktionen, die andernorts nicht einfach zu ersetzen sind, stark an einen einzelnen Anbieter gebunden sein. Eine solche Bindung zeigt sich häufig erst, wenn das Unternehmen den Dienst wechseln, dessen Umfang reduzieren oder seine Prozesse an eine andere Umgebung anpassen möchte. 

Daher ist es wichtig zu wissen: 

• wie stark unsere Prozesse, unser Wissen und unser Tagesgeschäft an einen einzelnen Anbieter gebunden sind, 

• ob die Lösung eine gut dokumentierte und möglichst standardisierte Anbindung an andere Systeme ermöglicht, 

• ob die Lösung von einem anderen Dienstleister übernommen werden kann, 

• ob die Organisation Zugriff auf Dokumentation, Konfigurationen und Administratorkonten hat, 

• wie viel Zeit und Ressourcen ein Anbieterwechsel erfordern würde und 

• welche vertraglichen und technischen Einschränkungen beim Ende der Zusammenarbeit gelten. 

Vollständige Unabhängigkeit von Anbietern ist in der Praxis selten sinnvoll. Der Einsatz spezialisierter Lösungen bringt oft wesentliche Vorteile, die Entscheidung für ihren Einsatz sollte jedoch bewusst getroffen werden. Das Unternehmen sollte die Vorteile der gewählten Lösung kennen – ebenso die Kosten und Folgen eines möglichen Ausstiegs. 

Digitale Souveränität bedeutet daher nicht, Anbieterbindungen um jeden Preis zu vermeiden. Sie bedeutet, dass wir verstehen, wo wir abhängig sind, warum wir uns dafür entschieden haben und wie wir handeln würden, wenn sich die Bedingungen der Zusammenarbeit ändern. 

Gute Frage ist nicht nur: »Sind wir mit unserem Anbieter zufrieden?« Ebenso wichtig ist: »Was würde passieren, wenn wir ihn wechseln müssten?« 

Können wir den Betrieb bei einer Störung fortsetzen? 

Digitale Souveränität hängt nicht nur mit der Kontrolle über Daten und Anbieter zusammen, sondern auch mit der Resilienz des Geschäfts. Die Schlüsselfrage ist, ob die Organisation die Arbeit fortsetzen kann, wenn ein wichtiger digitaler Dienst vorübergehend ausfällt oder nicht verfügbar ist. 

Störungen können verschiedene Ursachen haben: Ausfall eines Cloud-Dienstes, Unterbrechung der Internetverbindung, ein Cybervorfall, ein Fehler beim Anbieter, Verlust des Zugriffs auf Benutzerkonten oder ein Problem bei der Systemintegration. In solchen Fällen ist nicht nur relevant, ob es ein Backup gibt, sondern auch, wie schnell sich der Betrieb wiederherstellen lässt und welche Geschäftsprozesse in der Zwischenzeit anders ausgeführt werden können. 

Die Organisation sollte daher die Antworten auf einige grundlegende Fragen kennen: 

• welche Systeme für den Betrieb wirklich kritisch sind, 

• wie lange ein einzelnes System ausfallen kann, 

• ob nutzbare und geprüfte Backups existieren, 

• wer für die Wiederherstellung des Betriebs verantwortlich ist, 

• ob die Abläufe im Incidentfall dokumentiert sind und 

• welche alternativen Kommunikationskanäle Mitarbeitenden und Kunden während der Störung zur Verfügung stehen. 

Wichtig ist auch der Unterschied zwischen einem Backup und einem Business-Continuity-Plan. Ein Backup ermöglicht die Wiederherstellung von Daten, stellt aber nicht zwingend sicher, dass die Organisation schnell weiterarbeiten kann. Sind Verantwortung für die Einleitung der Wiederherstellung, die Priorisierung der Services und die erwarteten Wiederanlaufzeiten nicht im Voraus festgelegt, gewährleistet ein Backup für sich genommen keine Geschäftskontinuität. 

Eine Organisation, die ihre digitale Souveränität stärken möchte, rechnet daher nicht damit, dass es zu keinen Störungen kommt. Sie muss ihre kritischen Abhängigkeiten kennen, definierte Prozesse für Reaktion und Wiederherstellung haben und regelmäßig prüfen, ob diese auch in der Praxis funktionieren. 

Die Frage ist also nicht nur: »Haben wir Backups?« Wichtiger ist: »Können wir bei einer Störung weiter geschäftlich tätig sein?« 

Können wir unsere Systeme und Daten anderswohin migrieren? 

Die Möglichkeit, Daten und Systeme zu verlagern, ist eine der konkretesten Prüfungen digitaler Souveränität. Eine Organisation kann gute Kontrolle über die aktuelle Umgebung haben, ihre tatsächliche Freiheit ist jedoch eingeschränkt, wenn sie Anbieter, Plattform oder Infrastruktur nicht ohne unverhältnismäßige Kosten, langwierige Unterbrechungen oder Datenverluste wechseln kann. 

Daher reicht es nicht aus, dass der Anbieter einen Datenexport ermöglicht. Wichtig ist auch, in welchem Format exportiert werden kann, ob die Daten vollständig, verständlich und nutzbar sind und ob sie ohne größere Schwierigkeiten in eine andere Umgebung übertragen werden können. Ein Export in einem anbieterspezifischen oder unzureichend dokumentierten Format bedeutet nämlich noch keine echte Portabilität. 

Bei der Bewertung ist es sinnvoll zu prüfen: 

• ob alle Schlüsseldaten zusammen mit Metadaten und Historie exportiert werden können, 

• ob die Formate dokumentiert sind und auch in anderen Systemen unterstützt werden, 

• ob Integrationen und Anbindungen an andere Lösungen angemessen dokumentiert sind, 

• ob die Organisation Zugriff auf Konfigurationen, Dokumentation und Quellcode hat, sofern relevant, 

• wie viel Zeit, Kosten und technischer Aufwand eine Migration erfordern würde und 

• ob der Vertrag das Verfahren beim Ende der Zusammenarbeit klar regelt. 

Wichtig ist auch die Frage, ob das System nach der Migration weiterhin in vergleichbarer Weise funktionieren kann. Daten lassen sich oft übertragen, deutlich schwieriger ist es jedoch, die Geschäftsregeln, Automatisierungen, Integrationen und speziellen Funktionalitäten zu ersetzen, die sich über die Jahre rund um eine einzelne Plattform entwickelt haben. 

Portabilität ist daher nicht nur eine technische Eigenschaft. Sie ist eine Kombination aus Datenformaten, Dokumentation, vertraglichen Regelungen, Systemarchitektur und der Bereitschaft der Organisation zur Veränderung. 

Digitale Souveränität erfordert nicht, dass ein Unternehmen den Anbieter tatsächlich wechselt. Wichtig ist, dass es die reale Möglichkeit dazu hat, wenn geschäftliche, technologische oder sicherheitsbezogene Gründe dafür sprechen. 

Gute Frage ist daher nicht nur: »Können wir Daten exportieren?« Wichtiger ist: »Können wir sie anderswo auch effektiv nutzen?« 

Digitale Souveränität beginnt mit dem Verständnis von Abhängigkeiten 

Digitale Souveränität bedeutet nicht, dass eine Organisation alle Daten auf eigenen Servern speichern, eigene Software entwickeln oder externe Anbieter meiden muss. Ein solcher Ansatz wäre für die meisten Unternehmen teuer, aufwendig und oft auch weniger sicher. 

Sie bedeutet jedoch, dass die Organisation versteht, von welchen Technologien, Anbietern und Prozessen sie abhängig ist. Sie muss wissen, wer ihre Daten kontrolliert, wie sie bei einer Störung arbeiten würde und ob sie bei Bedarf Schlüsselsysteme in eine andere Umgebung migrieren könnte. 

Vollständige Unabhängigkeit in der digitalen Welt ist kaum möglich und oft auch nicht sinnvoll. Wichtig ist jedoch, dass die Organisation ihre Abhängigkeiten kennt, deren Auswirkungen versteht und Risiken angemessen managt. 

Kurzer Test der digitalen Souveränität: Welche Fragen sollte sich eine Organisation stellen? 

Für eine erste Einschätzung des Grades digitaler Souveränität kann sich die Organisation einige Schlüsselfragen stellen:  

• Wissen wir, wo unsere kritischen Daten liegen und wer darauf zugreifen kann?

• Haben wir die Kontrolle über Administratorkonten und Zugriffsrechte? 

• Wissen wir, welche Systeme für unser Geschäft kritisch sind? 

• Verfügen wir über erprobte Prozesse für Reaktion und Wiederherstellung? 

• Können wir unsere Daten in einem nutzbaren und dokumentierten Format exportieren? 

• Könnten wir den Anbieter ohne unverhältnismäßige Kosten oder langwierige Unterbrechung wechseln? 

• Haben wir genügend Dokumentation und Wissen, damit ein anderes Team das System übernehmen kann? 

Sind die Antworten auf diese Fragen klar, hat die Organisation bereits einen wichtigen Schritt zu größerer digitaler Souveränität gemacht. Wenn nicht, ist das noch kein Grund zur Beunruhigung. Es ist jedoch ein guter Anlass, die eigenen digitalen Abhängigkeiten systematischer zu überprüfen. 

Am Ende ist digitale Souveränität keine Frage, ob wir von anderen abhängig sind. Die Frage ist, ob wir unsere Abhängigkeiten kennen und steuern können.