Übersicht
Der Begriff „digitale Souveränität“ wird seit dem Jahr 2025 in deutschen Unternehmen erkennbar häufiger diskutiert. Geopolitische Entwicklungen, zunehmende Regulierung auf europäischer Ebene und gestiegene Risiken in den Lieferketten haben aus einem politischen Schlagwort eine konkrete Frage für Unternehmensleitungen gemacht. Viele Mittelständler überlegen daher, was Souveränität für ihr eigenes Unternehmen praktisch bedeutet und welche Schritte sich tatsächlich lohnen. Der vorliegende Beitrag ordnet den Begriff ein, beschreibt die sechs Felder, in denen Souveränitäts-Entscheidungen anfallen, und skizziert einen pragmatischen Umsetzungsweg.
Was ist „Digitale Souveränität“?
Digitale Souveränität ist die Fähigkeit eines Unternehmens, eigenständig über seine digitale Infrastruktur, seine Daten, seine Anwendungen und seine Geschäftsprozesse zu entscheiden, ohne dabei in einseitige Abhängigkeiten von einzelnen Anbietern, Rechtsräumen oder Technologien zu geraten. In der Praxis betrifft das sechs Felder: Daten, Cloud, Künstliche Intelligenz, Software, Lieferkette und Wissen. Während die Digitale Transformation auf Modernisierung und Effizienzgewinne ausgerichtet ist, geht es bei der Souveränität um Resilienz und um die Wahrung der eigenen Entscheidungsfähigkeit auch unter veränderten Rahmenbedingungen.
Warum die Diskussion 2025 zur strategischen Frage wurde
Der Begriff existiert nicht erst seit kurzem. Auf Fachkonferenzen, in Strategiepapieren des BSI und in europäischen Initiativen wie Gaia-X war die digitale Souveränität schon seit Jahren ein wiederkehrendes Thema, das jedoch in der Breite der mittelständischen Wirtschaft kaum Resonanz fand. Verändert hat sich im Jahr 2025 vor allem die Wahrnehmung in Geschäftsleitungen und Aufsichtsräten. Drei Werte aus dem aktuellen Bitkom Cloud Report verdeutlichen den Umschwung.
78 %
halten Deutschland für zu abhängig von US-Cloud-Anbietern
82 %
wünschen Hyperscaler aus Deutschland oder Europa
50 %
überdenken aktuell ihre Cloud-Strategie
Bitkom Cloud Report 2025 · Befragung von 604 Unternehmen ab 20 Beschäftigten
Hinter den Zahlen steht eine Wahrnehmung, die sich in den vergangenen zwölf Monaten in vielen Geschäftsleitungen und Aufsichtsräten verfestigt hat: Die digitale Aufstellung deutscher Unternehmen hat eine geopolitische Komponente bekommen, die sich nicht mehr ausblenden lässt. Beigetragen haben dazu mehrere Entwicklungen parallel. Die zweite Trump-Administration in den Vereinigten Staaten hat die Belastbarkeit transatlantischer Datenschutz- und Handelsvereinbarungen erneut in Frage gestellt. Die europäischen Vorhaben rund um Digital Markets Act und Data Act haben den regulatorischen Rahmen verändert. Die NIS-2-Richtlinie hat die Lieferkettenanforderungen spürbar verschärft. Hinzu kommt die nach wie vor strikte Auslegung des US-amerikanischen CLOUD Act, der den Zugriff amerikanischer Behörden auf Daten ermöglicht, die bei US-Unternehmen liegen, unabhängig vom physischen Speicherort. In Summe ergibt sich daraus eine Lage, in der viele Unternehmen prüfen, welche praktischen Konsequenzen sie ziehen wollen.
Drei verbreitete Missverständnisse
Bevor wir die einzelnen Felder durchgehen, ist eine Klärung der Begriffe hilfreich. In der Diskussion vermischen sich häufig Vorstellungen, die mit dem eigentlichen Konzept der Souveränität wenig zu tun haben. Drei davon begegnen uns in Mandantengesprächen besonders oft.
„Alles muss in Deutschland gehostet werden“
Damit ist keine vollständige technische Selbstversorgung gemeint. Kein mittelständisches Unternehmen wird Microsoft 365 durch eine deutsche Eigenentwicklung ersetzen können, und ein solcher Anspruch wäre wirtschaftlich auch kaum zu rechtfertigen. Bei der Souveränität geht es um die Frage, welche Anwendungen bei welchem Anbieter sinnvoll betrieben werden, welche Risiken damit verbunden sind und ob im Bedarfsfall ein Anbieterwechsel realistisch wäre. Diese Überlegungen sind Bestandteil einer durchdachten IT-Architektur und müssen sich nicht über die Frage des physischen Standorts entscheiden lassen.
„Hyperscaler sind das Problem“
Microsoft, Amazon und Google bieten in vielen Bereichen eine Funktionstiefe, eine Integration künstlicher Intelligenz und eine Skalierungsfähigkeit, die europäische Anbieter heute noch nicht in vergleichbarer Breite leisten. Eine pauschale Ablehnung der Hyperscaler ist daher in den meisten Fällen wirtschaftlich nicht zu vertreten. Sinnvoller ist eine differenzierte Betrachtung pro Anwendungsfall, die für jeden Workload prüft, welcher Anbieter unter welchen Schutzmaßnahmen geeignet ist. Damit verschiebt sich die Diskussion von der politischen Grundsatzfrage hin zu einer technisch-wirtschaftlichen Bewertung.
„Souveränität ist nur ein neues Wort für Transformation“
Beide Begriffe verfolgen unterschiedliche Ziele und sollten in der internen Diskussion nicht vermischt werden. Die Digitale Transformation ist eine Wachstumsagenda, die auf Modernisierung, Effizienzgewinne und neue Geschäftsmöglichkeiten zielt. Die digitale Souveränität ist demgegenüber eine Risikoagenda, bei der Selbstbestimmung und Resilienz im Vordergrund stehen. Die beiden Stoßrichtungen können sich gegenseitig verstärken, sie können sich aber auch widersprechen. Eine Migration zu einem US-Hyperscaler ist im Sinne der Transformation häufig sinnvoll, sie geht aber mit einem Souveränitätsverlust einher, der gesondert bewertet werden muss.
Die sechs Felder digitaler Souveränität
Die Diskussion um digitale Souveränität wird häufig auf den Bereich der Cloud verkürzt. Die Cloud ist tatsächlich eines der wichtigeren Felder, sie ist aber nicht das einzige. Wer die eigene Souveränitäts-Position systematisch bewerten will, muss in sechs Feldern bewusst Stellung beziehen. Jedes Feld trägt eigene Fragestellungen, jede Fragestellung erlaubt eine eigene Antwort. Die Souveränität entsteht in der Summe dieser Einzelentscheidungen und nicht durch eine einmalige Grundsatzfestlegung.
Feld 1 — Daten
Welche Datenklassen gibt es im Unternehmen, wo werden sie gespeichert, und wer hat darauf Zugriff? Die zentrale Aufgabe besteht darin, sich einen Überblick über Geschäftsgeheimnisse, personenbezogene Daten und IP-relevante Forschungs- und Entwicklungsdaten zu verschaffen und für jede dieser Klassen den anwendbaren Rechtsrahmen zu identifizieren. Ohne dieses Grundverständnis bleiben alle weitergehenden Diskussionen über Cloud-Architekturen oder KI-Governance abstrakt.
Feld 2 — Cloud
Welche Workloads laufen heute bei welchem Anbieter, und welche Risiken sind damit verbunden? Zur Cloud-Souveränität gehören Fragen der Hyperscaler-Abhängigkeit ebenso wie das Verhältnis zu europäischen Anbietern, die Architektur hybrider Aufstellungen und der Umgang mit verbleibenden On-Premises-Komponenten. Die operative Tiefe dieses Feldes behandeln wir in unserer Cloud-Migrations-Beratung.
Feld 3 — Künstliche Intelligenz
Welche KI-Modelle setzt das Unternehmen ein, mit welchen Daten werden sie betrieben, und unter welcher Kontrolle stehen sie? Die KI-Souveränität ist das jüngste der sechs Felder und entwickelt sich am schnellsten. Sie umfasst die Auswahl von Foundation Models von Anbietern wie OpenAI, Anthropic oder Mistral, die Entscheidung über eigene Hosting-Optionen, den Umgang mit unkontrollierter Schatten-KI in den Fachbereichen sowie die Konformität mit dem EU AI Act.
Feld 4 — Software-Stack
Welche Anwendungen sind proprietär, welche sind Open Source, und wo liegen jeweils die Risiken? Eine bewusste Software-Strategie berücksichtigt die Empfehlungen des BSI zu Open-Source-Komponenten, die laufenden Sovereign-Stack-Initiativen sowie Lizenz-Risiken bei kritischen US-amerikanischen Software-Anbietern. Eine Abhängigkeit vom spezifischen Wissen einzelner Anbieter entsteht häufig schleichend und wird oft erst dann bemerkt, wenn ein Wechsel anstünde.
Feld 5 — Lieferkette
Welche Drittanbieter sind für den Geschäftsbetrieb kritisch, und was geschieht im Fall eines Ausfalls? Die Lieferketten-Dimension umfasst Single-Source-Risiken, ICT-Lieferanten unter NIS-2 und DORA sowie die zunehmenden Anforderungen von Cyber-Versicherern. Sie ist das regulatorisch dringlichste der sechs Felder und verzahnt sich eng mit dem Business Continuity Management sowie mit der NIS-2-Vorbereitung.
Feld 6 — Wissen
Welches Wissen sollte im eigenen Haus aufgebaut werden, und wo ist eine bewusste Auslagerung sinnvoll? Die Wissens-Souveränität betrifft die Beratungs-Abhängigkeit, die Bindung an Spezialisten einzelner Anbieter und den Aufbau eigener Kompetenzen im Bereich der Künstlichen Intelligenz. Diese Dimension wird häufig übersehen, sie entscheidet aber langfristig darüber, ob die fachliche Steuerungsfähigkeit über die anderen fünf Felder erhalten bleibt.
Warum sechs Felder
Die Aufteilung in sechs Felder ist keine akademische Konstruktion, sondern bildet ab, an welchen Stellen in Strategie-Workshops tatsächlich Entscheidungen getroffen werden müssen. Andere Beratungshäuser arbeiten mit vier oder acht Feldern. Welche Granularität gewählt wird, ist weniger wichtig als die Vollständigkeit der Betrachtung. Wenn eines der genannten Felder in der internen Diskussion fehlt, entstehen blinde Flecken, die im Ernstfall teuer werden können.
Mittelstandsperspektive: Was sich lohnt und was überzogen wäre
Die Souveränitäts-Diskussion stammt zu einem großen Teil aus dem Konzern-Umfeld und aus der europäischen Politik. Für mittelständische Unternehmen mit fünfzig bis tausend Beschäftigten gelten andere wirtschaftliche Realitäten. Die folgende Einordnung versucht, die für den Mittelstand relevanten Hebel von den überzogenen Forderungen zu trennen.
Sinnvolle Schwerpunkte
- Klassifikation der Daten und Klärung der Standorte. Wo liegen Geschäftsgeheimnisse, wer hat Zugriff, welcher Rechtsrahmen ist anwendbar. Das ist der pragmatische Einstieg in jede ernsthafte Diskussion.
- Hybride Cloud-Architekturen. Produktivitätsgetriebene Workloads bei Hyperscalern, sensitive Anwendungen bei europäischen Anbietern. Diese Aufteilung ist wirtschaftlich tragfähig und regulatorisch absicherbar.
- Exit-Klauseln in Cloud-Verträgen. Seit Inkrafttreten des EU Data Acts im September 2025 ohnehin vorgeschrieben. Ein Souveränitäts-Element, das ohne wesentlichen Mehraufwand realisierbar ist.
- KI-Governance. Eine bewusste Festlegung darüber, welche KI-Modelle für welche Aufgaben mit welchen Daten verwendet werden. Verhindert den Wildwuchs von Schatten-KI und reduziert Risiken aus dem EU AI Act.
- Bestandsaufnahme der kritischen Drittanbieter. Durch NIS-2 und DORA ohnehin verpflichtend. Die Erhebung schafft gleichzeitig Transparenz über die Lieferketten-Souveränität.
- Diversifikation der Beratung und des Wissens. Vermeidung einer Mono-Abhängigkeit von einem einzelnen Berater oder Cloud-Spezialisten. Erhalt der fachlichen Kompetenz im eigenen Haus.
Eher überzogene Forderungen
- Vollständiger Verzicht auf Hyperscaler. Wirtschaftlich in den meisten Fällen nicht tragfähig und in der Regel auch nicht erforderlich. Hybride Architekturen erreichen einen Großteil der Souveränitäts-Wirkung bei deutlich niedrigeren Kosten.
- Eigenes Hosting von Foundation-Modellen. Der Aufwand für selbst betriebene Sprachmodelle übersteigt im Mittelstand fast immer den erkennbaren Nutzen. Die pragmatische Antwort sind in Europa gehostete API-Optionen.
- Vollständige Migration auf Open Source. Der Wechsel auf Open-Source-Stacks wie LibreOffice anstelle von Microsoft 365 oder Nextcloud anstelle von OneDrive bringt Aufwand und Akzeptanz-Hürden, die wirtschaftlich nur selten gerechtfertigt sind.
- Eigenständige Halbleiter- oder Hardware-Souveränität. Eine Frage für Konzerne und politische Entscheider, im Mittelstand aber kein realistischer Hebel. Hardware-Risiken werden über die Diversifikation der Lieferanten adressiert.
- Souveränität als Selbstzweck. Maßnahmen ohne wirtschaftlichen oder regulatorischen Zusatznutzen sollten kritisch geprüft werden. Wenn ein Souveränitäts-Hebel nicht an ein konkretes Risiko oder eine konkrete Anforderung gekoppelt ist, verfehlt er in der Regel seinen Zweck.
Sechs Schritte zur eigenen Souveränitäts-Position
Eine belastbare Souveränitäts-Position entsteht durch eine strukturierte Bestandsaufnahme und einen pragmatischen Umsetzungsplan. Ein typisches Mandat im Mittelstand läuft in sechs Schritten ab, vom ersten Workshop bis zur Beschlussvorlage für die Geschäftsführung. Realistisch sollten dafür vier bis acht Wochen veranschlagt werden, deutlich weniger als für ein vollständiges Cloud-Migrations- oder ISMS-Mandat. Der Grund liegt darin, dass auf dieser Ebene zunächst die strategische Einordnung erarbeitet wird, während die operative Tiefe in nachgelagerten Themenmandaten erfolgt.
Schritt 1 — Bestandsaufnahme (1 bis 2 Wochen)
In strukturierten Gesprächen mit Geschäftsleitung, IT-Verantwortlichen, Datenschutz und ausgewählten Fachbereichen wird der Status quo erhoben. Erfasst werden die genutzten Anbieter, die wesentlichen Datenklassen, der Software-Stack, die kritischen Lieferanten und die intern vorhandenen Wissensbestände. Die Tiefe der Erhebung ist je nach Feld unterschiedlich, sollte aber überall ausreichen, um vorhandene Lücken erkennen zu können.
Schritt 2 — Risiko-Heatmap je Feld (1 bis 2 Wochen)
Jedes der sechs Felder wird nach drei Kriterien bewertet: Eintrittswahrscheinlichkeit eines Souveränitäts-Vorfalls, Schadenpotenzial und Steuerbarkeit aus dem eigenen Haus. Aus der Bewertung ergibt sich eine zweidimensionale Matrix, in der sich die Schwerpunkte für die weitere Bearbeitung deutlich abzeichnen.
Schritt 3 — Soll-Bild definieren (1 Woche)
Welche Souveränitäts-Position will das Unternehmen einnehmen? Möglich sind eine pragmatische Ausrichtung mit Risiko-Mitigation ohne Disruption, eine ambitionierte Ausrichtung mit substantieller Diversifikation der Anbieter, einer ausgebauten KI-Governance und einem Aufbau eigener Kompetenzen, oder eine defensive Ausrichtung auf das Compliance-Minimum bei weiterhin Hyperscaler-zentrierter Aufstellung. Diese Festlegung ist eine Aufgabe der Geschäftsleitung und sollte nicht in die IT-Abteilung delegiert werden.
Schritt 4 — Maßnahmen-Roadmap (1 bis 2 Wochen)
Aus dem Soll-Bild werden konkrete Maßnahmen je Feld abgeleitet und nach ihrer zeitlichen Wirkungsperspektive gestaffelt. Quick Wins lassen sich in null bis sechs Monaten umsetzen, strukturelle Veränderungen benötigen sechs bis achtzehn Monate, die langfristige Positionierung erstreckt sich über achtzehn bis sechsunddreißig Monate. Jede Maßnahme erhält eine Budget-Schätzung, einen Verantwortlichen und ein nachvollziehbares Erfolgskriterium.
Schritt 5 — Beschluss der Geschäftsleitung (1 Woche)
Die Ergebnisse werden in einer Beschlussvorlage zusammengeführt, die der Geschäftsführung oder dem Aufsichtsrat vorgelegt wird. Sie umfasst die Einschätzung der Lage, das definierte Soll-Bild, die priorisierte Maßnahmen-Roadmap und den daraus resultierenden Investitionsbedarf. Mit der Beschlussfassung wird die Souveränität von einer Diskussion zu einer beschlossenen Position des Unternehmens.
Schritt 6 — Operative Umsetzung (laufend)
Die beschlossenen Maßnahmen werden anschließend in den jeweils zuständigen Fachmandaten umgesetzt. Die Cloud-bezogenen Schritte fallen in die Cloud-Migrations-Beratung, die KI-bezogenen Maßnahmen in die KI-Strategie, die Lieferketten-Themen in den BCM-Aufbau, der Aufbau interner Kompetenzen ist Teil eines Informationssicherheits-Management-Systems. Die Souveränitäts-Position wirkt dabei als gemeinsamer Bezugsrahmen für die einzelnen operativen Bausteine.
Häufige Fragen zur digitalen Souveränität
Ist digitale Souveränität nicht nur ein Modethema?
Der Begriff wird derzeit häufiger verwendet als noch vor wenigen Jahren, das ist zutreffend. Die Substanz dahinter ist jedoch belastbar. Erkennbar sind konkrete Verschiebungen in der Geopolitik durch die zweite Trump-Administration und die europäische Regulierung, neue Pflichten aus NIS-2 und DORA sowie eine spürbar gestiegene Sensibilität in Geschäftsleitungen und Aufsichtsräten. Verändert hat sich zwischen 2023 und 2025 nicht der Begriff selbst, sondern die Bereitschaft mittelständischer Unternehmen, in entsprechende Strategien Zeit und Geld zu investieren.
Müssen wir tatsächlich von US-amerikanischen Anbietern weg?
In den meisten Fällen nicht vollständig. Eine sachlich begründete Souveränitäts-Strategie erkennt an, dass Hyperscaler in vielen Workloads wirtschaftlich überlegen sind, und konzentriert die Souveränitäts-Hebel auf die Bereiche, in denen sie wirklich wirken. Dazu zählen sensitive Daten, regulatorisch anspruchsvolle Workloads sowie kritische Lieferketten-Abhängigkeiten. Hybride Architekturen mit klar zugeordneten Workloads sind im Mittelstand in der Regel der pragmatischere Weg als eine pauschale Vermeidung amerikanischer Anbieter.
Wer im Unternehmen sollte digitale Souveränität verantworten?
Die Verantwortung gehört auf die Ebene der Geschäftsleitung. Souveränität betrifft die Risiko-Vorsorge, regulatorische Pflichten und die strategische Positionierung des Unternehmens und damit Bereiche, die nach Aktien-, GmbH- und Sorgfaltspflicht-Recht ohnehin der Geschäftsführung obliegen. Die IT, der Datenschutz und die Compliance-Funktion liefern fachliche Zuarbeit, die eigentliche Entscheidung sollte aber dort getroffen werden, wo auch die übrige strategische Verantwortung liegt. Erfahrungsgemäß sind die wirksamsten Mandate solche, in denen sich Geschäftsführung und Aufsichtsrat aktiv einbringen.
Wie hängt Souveränität mit der NIS-2-Richtlinie zusammen?
Die Verbindung ist eng. NIS-2 verlangt von besonders wichtigen und wichtigen Einrichtungen eine systematische Steuerung kritischer ICT-Drittanbieter und greift damit unmittelbar in das Lieferketten-Feld der Souveränität ein. Wer einen NIS-2-Aufbau betreibt, hat einen erheblichen Teil der Lieferketten-Souveränität bereits strukturiert. Umgekehrt führt ein Souveränitäts-Workshop häufig zu der Erkenntnis, dass NIS-2-Pflichten ohnehin anstehen, was den Aufwand zusätzlich legitimiert. Eine ausführliche Einordnung enthält unsere NIS-2-Übersicht.
Worin unterscheidet sich eine Souveränitäts-Beratung von einer Cloud-Beratung?
Die beiden Ansätze unterscheiden sich in Reichweite und Tiefe. Eine Cloud-Beratung beantwortet operative Fragen wie die Auswahl des passenden Anbieters für einen bestimmten Workload, die Vertragsgestaltung oder die Migrations-Roadmap. Eine Souveränitäts-Beratung beantwortet die übergeordnete Frage, in welchen sechs Feldern eine bestimmte Souveränitäts-Position eingenommen werden soll und welche operativen Mandate sich daraus ergeben. Eine Cloud-Beratung kann auch ohne Souveränitäts-Klammer durchgeführt werden, eine ernsthafte Souveränitäts-Beratung mündet hingegen in der Regel in nachgelagerte operative Mandate, etwa zur Cloud-Migration, zur Microsoft-365-Beratung, zum BCM oder zum ISMS-Aufbau.
Welche Größenordnung hat ein Souveränitäts-Mandat?
Für ein typisches mittelständisches Unternehmen mit klar abgrenzbarem Geltungsbereich liegt ein Mandat aus Status-Audit, Risiko-Heatmap, Soll-Bild und Roadmap einschließlich Beschlussvorlage erfahrungsgemäß im niedrigen bis mittleren fünfstelligen Bereich. Das ist nur ein Bruchteil dessen, was die anschließenden operativen Mandate kosten, doch genau diese vorgelagerte Klärung verhindert, dass operative Investitionen ohne strategischen Bezug erfolgen. Eine konkretere Einordnung nehmen wir gerne im Erstgespräch vor.
