Dieser Blogbeitrag ist der erste einer Reihe zum Thema digitale Souveränität.
Da Unternehmen ihre Aktivitäten auf mehrere Clouds, Regionen und KI-gestützte Dienste ausweiten, lassen sich Fragen zur Kontrolle immer schwerer ignorieren.
Digital sovereignty ist längst weit mehr als ein Nischenthema, das nur Regierungen und stark regulierte Branchen betrifft. In der Finanzbranche, im Gesundheitswesen, im öffentlichen Sektor und in multinationalen Unternehmen überdenken Sicherheitsverantwortliche, wo Anwendungen ausgeführt werden, wer kritische Dienste kontrolliert und wie abhängig sie von externen Technologieanbietern geworden sind.
“Digital sovereignty ist kein festes Ziel. Sie ist ein fortlaufender Prozess, bei dem es darum geht, Kontrolle, Resilienz, Flexibilität und betriebliche Einfachheit in einer Welt in Einklang zu bringen, in der sich Vorschriften, Technologien und Vertrauensmodelle ständig weiterentwickeln.”
In Teilen des Nahen Ostens beispielsweise haben strenge Datenschutzvorschriften großen Einfluss darauf, wo diese Organisationen ihre Daten speichern, was häufig zu lokal gehosteten Lösungen führt. Dennoch setzen viele dieser Organisationen weiterhin auf cloudbasierte DNS-Dienste und Dienste zum Schutz vor volumetrischen DDoS-Angriffen, da diese keine Kundennutzdaten prüfen. Das Ergebnis ist keine Abkehr vom Cloud-Computing, sondern ein selektiverer und strategischerer Ansatz für digitale Souveränität.
Diese Unterscheidung ist wichtig. Digital sovereignty bedeutet nicht, auf die Cloud zu verzichten oder die Infrastruktur vom Rest der Welt abzuschotten. Vielmehr geht es darum, die Kontrolle zu behalten, während sich Vorschriften weiterentwickeln, Vertrauensmodelle verändern und operative Risiken immer schwerer vorhersehbar werden. Für multinationale Unternehmen werden Souveränitätsanforderungen zunehmend zu einem beweglichen Ziel, das von regionalen Gesetzen, Beschaffungsstandards, Anforderungen an die operative Resilienz, internationalen Beziehungen und dem rasanten Aufstieg der KI geprägt wird.
Infolgedessen zwingt die digitale Souveränität Führungskräfte dazu, ihre Daten, Betriebsabläufe, technologischen Abhängigkeiten und KI-Systeme neu zu bewerten. Bei der Ausarbeitung ihrer Strategien für digitale Souveränität sollten sich Sicherheitsverantwortliche vier Fragen stellen:
1. Wer kann auf meine Daten zugreifen?
Datensouveränität ist für viele Unternehmen nach wie vor eines der drängendsten Anliegen. Im Kern geht es darum, die Kontrolle darüber zu behalten, wo Daten gespeichert werden, wer darauf zugreifen kann und welchen Gesetzen sie unterliegen.
Diese Bedenken werden vor allem durch Compliance-Anforderungen und Zuständigkeitskonflikte verstärkt. Vorschriften wie die DSGVO, der EU AI Act und regionale Vorgaben zur Datenresidenz erhöhen den Druck auf Unternehmen, die sensible Daten grenzüberschreitend übertragen. Gleichzeitig beeinflussen Bedenken hinsichtlich ausländischer Rechtsordnungen und des Zugriffs durch Dritte weiterhin die Entscheidung darüber, wo Anwendungen bereitgestellt und Daten gespeichert werden.
Als Reaktion darauf verlangsamen einige Unternehmen die Migration sensibler Workloads in öffentliche Cloud-Umgebungen. Andere verlagern ausgewählte Anwendungen und Daten zurück in private oder lokale Infrastrukturen. Dies gilt insbesondere für Branchen wie den Finanzsektor und die öffentliche Verwaltung, in denen die Risikotoleranz geringer und die Compliance-Anforderungen höher sind.
Wichtig ist, dass nicht jeder Workload dasselbe Maß an Souveränität erfordert. Viele Unternehmen setzen auf hybride Ansätze, bei denen hochsensible Anwendungen und Daten lokal verbleiben, während weniger kritische Dienste weiterhin von Cloud-Anbietern bezogen werden.
2. Gibt es einen „Notausschalter“?
Unternehmen stellen sich zunehmend die Frage, ob sie ihren Betrieb aufrechterhalten können, wenn der Zugang zu externen Plattformen oder Diensten beeinträchtigt wird. Diese Sorge kann auf veränderte Vorschriften, sich wandelnde Vertrauensverhältnisse oder eine allgemeinere betriebliche Unsicherheit zurückzuführen sein. In manchen Fällen befürchten Unternehmen, bei kritischen Diensten zu stark von einem einzigen Anbieter abhängig zu werden.
Operative Souveränität verlagert die Diskussion von der Compliance hin zur Kontrolle – und hier kommt das Konzept eines „Notausschalters“ ins Spiel. Bei operativer Souveränität geht es nicht darum, Systeme abzuschalten. Vielmehr soll sichergestellt werden, dass eine externe Instanz Ihre kritischen Betriebsabläufe nicht unerwartet stören oder außer Kraft setzen kann.
Für einige Organisationen bedeutet dies, Infrastrukturen zu priorisieren, die in selbstverwalteten oder sogar physisch isolierten Umgebungen unabhängig betrieben werden können. Andere prüfen, ob zentrale Funktionen für die Anwendungsbereitstellung, Sicherheit und Verwaltung auch bei Dienstunterbrechungen oder Änderungen regionaler Anforderungen weiterhin verfügbar bleiben.
Das übergeordnete Thema ist die Resilienz. Je stärker Unternehmen von digitalen Diensten abhängig werden, desto enger ist die operative Souveränität mit der Geschäftskontinuität verknüpft. Für viele Unternehmen bedeutet dies auch, die Flexibilität zu bewahren, Anwendungen und Dienste bei Bedarf in eine andere Umgebung zu verlagern – auch im Rahmen einer Cloud-Exit-Strategie.
3. Wie abhängig bin ich von einem einzigen Technologie-Stack oder Anbieter?
Technologische Souveränität zielt auf langfristige Resilienz und Flexibilität ab.
Viele Organisationen erkennen inzwischen, dass heute getroffene Infrastrukturentscheidungen morgen zu Einschränkungen führen können. Regulatorische Anforderungen können sich ändern. Beschaffungsstandards können strenger werden. Regionale Vorgaben können sich weiterentwickeln. Daher beginnen Organisationen zu prüfen, wie schwierig es wäre, Workloads zwischen verschiedenen Umgebungen zu verschieben oder Anwendungen an neue betriebliche Gegebenheiten anzupassen.
Für einige bedeutet das, die Abhängigkeit von proprietären Technologien oder Ökosystemen einzelner Anbieter zu verringern. Für andere bedeutet es, in Open-Source-Technologien, Kubernetes-basierte Architekturen, lokal oder regional entwickelte Technologien oder hybride Bereitstellungsmodelle zu investieren, die langfristig eine größere Portabilität ermöglichen.
Das bedeutet nicht, dass jedes Unternehmen Hyperscaler oder Public-Cloud-Dienste aufgibt. Tatsächlich bauen viele ihre Cloud-Präsenz weiter aus. Gleichzeitig setzt sich zunehmend die Erkenntnis durch, dass Flexibilität entscheidend ist. Unternehmen möchten ihre Workloads immer häufiger dort betreiben können, wo es im Hinblick auf Compliance, Leistung, betriebliche Risiken und geschäftliche Prioritäten am sinnvollsten ist.
In vielerlei Hinsicht geht es bei Technologiesouveränität weniger darum, wo Anwendungen heute ausgeführt werden, sondern vielmehr darum, künftige Optionen offenzuhalten.
4. Wer kontrolliert, wie meine KI-Systeme auf sensible Daten zugreifen und diese nutzen?
KI-Souveränität könnte die nächste wichtige Phase dieser Diskussion werden.
Da KI-Systeme immer stärker in Geschäftsabläufe integriert werden, stellen sich Unternehmen zunehmend neue Fragen dazu, wo KI-Modelle ausgeführt werden, wie die Inferenz erfolgt und ob sensible Daten unter der Kontrolle des Unternehmens bleiben.
Dies ist besonders wichtig, da Unternehmen ihre KI-Infrastruktur auf GPU-basierten „KI-Fabriken“ und umfangreichen Datenpipelines aufbauen. Unternehmen möchten verstehen, wie KI-Systeme mit sensiblen Anwendungen und Daten verbunden sind, wie KI-Interaktionen gesteuert werden und wie sich die operative Kontrolle auch bei zunehmender Skalierung aufrechterhalten lässt.
In Europa und anderen Regionen prüfen einige Organisationen bereits Initiativen für souveräne KI, die darauf abzielen, die Abhängigkeit von externen KI-Plattformen zu verringern und gleichzeitig mehr Kontrolle über Infrastruktur und Datenflüsse zu behalten.
Die Herausforderung besteht darin, dass KI viele der bereits mit digitaler Souveränität verbundenen Bedenken verstärkt. Daten-Governance, betriebliche Resilienz, Skalierbarkeit, Sicherheit und die Einhaltung regulatorischer Vorgaben werden komplexer, sobald KI-Systeme in die Umgebung integriert werden.
Warum Flexibilität entscheidend ist
Analysten warnen davor, dass ein unzureichendes Management der mit digitaler Souveränität verbundenen Risiken multinationale Unternehmen in den kommenden Jahren finanziellen, rechtlichen und rufschädigenden Folgen aussetzen könnte. Gleichzeitig entwickeln sich auch die Anforderungen an die digitale Souveränität stetig weiter.
Deshalb könnte Flexibilität letztlich zum wichtigsten Kriterium überhaupt werden.
Unternehmen suchen zunehmend nach Möglichkeiten, unterschiedliche Souveränitätsanforderungen für verschiedene Anwendungen zu erfüllen, ohne Betriebsabläufe zu fragmentieren oder übermäßige Komplexität zu schaffen. Hybrid- und Multicloud-Strategien, der gezielte Einsatz von On-Premises-Infrastruktur, eine einheitliche Durchsetzung von Richtlinien und übergreifende Betriebsmodelle rücken dabei immer stärker in den Fokus.
Digital sovereignty ist kein festes Ziel. Sie ist ein fortlaufender Prozess, bei dem Kontrolle, Resilienz, Flexibilität und betriebliche Einfachheit in einer Welt in Einklang gebracht werden müssen, in der sich Vorschriften, Technologien und Vertrauensmodelle ständig weiterentwickeln.
Wenn Sie mehr über digitale Souveränität und den richtigen Umgang damit erfahren möchten, sehen Sie sich dieses Video an und besuchen Sie unsere Webseite zum Thema digitale Souveränität.
Freuen Sie sich außerdem auf den nächsten Blogbeitrag dieser Reihe, in dem wir die operative Souveränität genauer beleuchten und der Frage nachgehen, warum es für Unternehmen immer wichtiger wird, die Kontrolle über kritische digitale Abläufe zu behalten.
Über den Autor
Ähnliche Blogbeiträge
Vier Gründe, warum Sie den F5 Post-Mythos Security Summit nicht verpassen sollten
Holen Sie sich Expertenrat, um Ihre Apps, APIs und Modelle in der Post-Mythos-Welt zu schützen.
Von einer App zu einer Flotte von KI-Agenten: Ein 90-Tage-Framework für KI-Sicherheit
Vermeiden Sie den kostspieligen Ansatz „Erst bereitstellen, später absichern“ – mit einem umfassenden Framework zum Schutz von KI-Modellen, Anwendungen und autonomen Agenten.
Fünf Stufen antifragiler Cyberresilienz verwandeln Praxis in Ergebnisse
Erfahren Sie, wie fünf Stufen antifragiler Resilienz Störungen in adaptive Verhaltensweisen überführen, die Ausfälle begrenzen und hybride Multicloud-Architekturen stärken.
Warum Ihre KI-Richtlinien, Governance und Leitplanken nicht warten können
KI-Richtlinien und -Governance dürfen nicht länger als reine Formalitäten oder Zukunftsthemen betrachtet werden. Sie müssen durch praktische, durchsetzbare Leitplanken ergänzt werden.
Wenn „privat“ nicht privat ist: Wie ChatGPT-Unterhaltungen öffentlich wurden
KI verändert die Arbeitsabläufe in Unternehmen, doch eine übersehene Einstellung hat bereits Tausende vertraulicher Unterhaltungen öffentlich zugänglich gemacht
KI-Nutzung verstehen: Warum Unternehmen Transparenz brauchen
Anstatt einen zu laxen oder zu strengen Ansatz zu verfolgen, können Unternehmen durch mehr Transparenz bei der KI-Nutzung fundierte und durchsetzbare Entscheidungen treffen.