Europa bleibt bei kritischer Technologie zu abhängig Digitale Souveränität braucht messbare Kriterien

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Digitale Souveränität ist politisch gefordert, aber in der Praxis fehlen mess­bare Kriterien. Viele europäische Unternehmen wissen nicht, wo ihre Daten verarbeitet werden, wer darauf zugreift und wie sie im Krisenfall die Kon­t­rol­le behalten. Strategische Autonomie entsteht erst, wenn Ver­trau­lich­keit, Integrität und Verfügbarkeit überprüfbar sind.

Digitale Souveränität ist zum politischen Leitbegriff geworden. Ob auf EU-Ebene oder zuletzt in Davos – die Botschaft ist eindeutig. Europa will unabhängiger werden, vor allem bei kritischer Technologie. In der Praxis bleibt jedoch oft unklar, woran sich diese Unabhängigkeit messen lässt. Denn entscheidend ist nicht, wie häufig ein Begriff fällt, sondern ob Unternehmen im Alltag Kontrolle über Daten, Systeme und Sicherheitsprozesse haben.

Ein Beispiel aus der Praxis zeigt die bestehende Lücke klar auf. Ein europäisches Unternehmen will im Rahmen einer Risikoanalyse nachvollziehen, welche sicherheitsrelevanten Daten das eingesetzte Endpoint-Tool sammelt. Es geht um drei einfache Fragen. Wo werden die Daten verarbeitet? Wer kann darauf zugreifen? Und welche Einflussmöglichkeiten gibt es bei Anpassungen oder im Incident-Fall? Die Antworten sind unbefriedigend. Denn die Dokumentationen sind lückenhaft, Logdaten liegen außerhalb Europas und individuelle Anpassungen sind kaum möglich. Noch bevor ein Sicherheitsvorfall eintritt, wird sichtbar, dass Kontrolle fehlt. Nicht auf technischer Ebene, sondern strukturell.

Security-Insider Podcast – Folge 113

Digital souverän, aber ohne den Hype!

Warum es nicht ausreicht, nur zu diskutieren

Viele Organisationen sind in zentralen Bereichen von nicht-europäischen Anbietern abhängig, ohne dass diese Abhängigkeiten im Alltag sofort sichtbar werden. Häufig treten sie erst im Ernstfall offen zutage. Dabei zeigen sich die strukturellen Lücken schon vorher. Bei Cloud- und Hosting-Anbietern ist die Datenresidenz zwar oft vertraglich geregelt, die tatsächliche Zugriffskette bleibt jedoch unklar. Updates und Patches lassen sich nur begrenzt steuern, Support- und Incident-Response-Strukturen liegen nicht selten außerhalb Europas. Zusätzlich erschweren komplexe Lieferketten die Transparenz, weil Rollen, Zuständigkeiten und Zugriffsmöglichkeiten nicht vollständig nachvollziehbar sind.

Dass diese Unsicherheit längst in der Praxis angekommen ist, zeigt auch der Blick auf Beschaffungsentscheidungen. In unserer letzten Umfrage gaben 59 Prozent der deutschen IT-Sicherheitsentscheider an, dass digitale Souveränität ein entscheidendes Kaufkriterium bei Sicherheitslösungen ist. 74 Prozent sehen Europa weiterhin zu stark von ausländischen Technologien abhängig. 72 Prozent sorgen sich zudem, dass Lösungen aus Nicht-EU-Staaten ausländischen Überwachungsgesetzen unterliegen könnten.

Diese Zahlen sind kein kurzfristiges Stimmungsbild, sondern Ergebnis einer jahrelangen Entwicklung. Viele IT-Architekturen und Beschaffungsmodelle orientieren sich noch immer an globalen Anbietern. Europa verfügt zwar über fundierte Expertise in der IT-Sicherheit, nutzt sie aber gerade in kritischen Infrastrukturen zu wenig. Gleichzeitig wirken rechtliche Zugriffsrechte oft asymmetrisch. Europäische Unternehmen unterliegen fremden Rechtsräumen, während europäische Regeln für außereuropäische Anbieter nur eingeschränkt durchsetzbar sind. Zudem ist es schwierig, sich auf einheitliche europäische Regeln und Verfahren zu verständigen, da jedes Land seine eigenen Besonderheiten hat, was die Schaffung eines gemeinsamen Marktes für lokale Akteure erschwert. Der Begriff digitale Souveränität ist zwar politisch aufgeladen und suggeriert einen Kontrollanspruch, wird aber in dem global vernetzten IT-Ökosystem praktisch nicht immer eingehalten. Zielführender ist der Blick auf das Prinzip der strategischen Autonomie. Gemeint ist die überprüfbare Fähigkeit, Daten, Systeme, Prozesse und Partner so zu steuern, dass Organisationen im Normalbetrieb und im Krisenfall handlungsfähig bleiben.

Interview mit Gartner-Analyst René Büst

Digitale Souveränität ist nahezu unmöglich

Autonomie messbar machen: drei Dimensionen der Kontrolle

Strategische Autonomie wird greifbar, wenn Unternehmen klare Maßstäbe anlegen. Im Kern geht es um drei Dimensionen.

• 1. Vertraulichkeit: Entscheidend ist, wer technisch und rechtlich auf sensible Daten zugreifen kann. Datenverarbeitung innerhalb Europas ist dafür eine Grundlage. Ebenso wichtig sind transparente Zugangswege sowie der Schutz vor Zugriffen durch nicht autorisierte Stellen und Personen.

• 2. Integrität: Unternehmen müssen nachvollziehen können, wer Systeme verändert und nach welchen Regeln Updates erfolgen. Auditierbarkeit von Code, Architektur und Sicherheitsfunktionen ist dabei ebenso relevant wie der Überblick über Drittanbieter und Abhängigkeiten.

• 3. Verfügbarkeit: Im Ernstfall zählt, ob Organisationen handlungsfähig bleiben. Dazu gehören belastbare Support- und Incident-Response-Strukturen in Europa, klare Eskalationswege im europäischen Rechtsrahmen und die Fähigkeit, Systeme auch unter Krisenbedingungen weiter zu betreiben.

Strategische Autonomie entsteht nur dann, wenn alle drei Dimensionen zusammenspielen. Sie ist damit keine Eigenschaft einzelner Technologien, sondern das Ergebnis konsequenter Architektur- und Beschaffungsentscheidungen. Wichtig ist es, bereits heute zu prüfen, wie belastbar die Autonomie der Unternehmen tatsächlich ist. Dazu gehört, Abhängigkeiten systematisch offenzulegen und entlang der drei Dimensionen zu bewerten.

Wie uns fehlende Digitalsouveränität erpressbar macht

Warum digitale Souveränität jeden von uns angeht

Europa muss Autonomie gemeinsam denken

Der Markt wird diese Herausforderungen nicht von selbst lösen. Solange Beschaffung vor allem nach Preislogik funktioniert, und Lieferketten, Vertrauen und Kontrollfähigkeit vernachlässigt bleiben, werden Abhängigkeiten bestehen bleiben. Deshalb braucht es einen europäischen Rahmen, der Sicherheit und Resilienz systematisch belohnt. Öffentliche Auftraggeber müssen Vertrauen und Lieferkette stärker gewichten, europäische Zertifizierungen gegenseitig anerkennen und verbindlich nutzen. Frankreich geht dabei aktuell mit einem praktischen Beispiel voran. Die französische Regierung hat angekündigt, Microsoft Teams und Zoom in staatlichen Behörden durch eine eigene, in Frankreich entwickelte Videokonferenzplattform zu ersetzen, die bis 2027 in allen Ministerien und Ressorts eingeführt werden soll. Der Schritt ist Teil einer Strategie, die Kontrolle über kritische digitale Infrastruktur zurückzugewinnen und Sicherheits- und Vertraulichkeitsfragen in der öffentlichen Kommunikation stärker im europäischen Kontext zu verankern.

Damit solche Regeln Wirkung entfalten, müssen sie europaweit anschlussfähig sein. Andernfalls bleibt Europa ein Flickenteppich aus Einzelinitiativen, während außereuropäische Anbieter ihre strukturellen Vorteile behalten. Deutschland und Frankreich spielen dabei eine Schlüsselrolle. Beide Länder verfügen über hohes öffentliches Beschaffungsvolumen, politischen Einfluss und industrielle Umsetzungskraft. Wenn gemeinsame Standards anerkannt werden, entstehen de facto europäische Maßstäbe.

Der Eurostack als europäische Digitalstrategie

So könnte Europas digitale Souveränität konkret aussehen

Über den Autor: Grégoire Germain ist Mitgründer und CEO von HarfangLab. Bevor er das Unternehmen 2018 gegründet hat, war er mehr als zwanzig Jahre lang beim französischen Ver­tei­di­gungs­mi­nis­te­ri­um tätig, wo er maßgeblich zum Aufbau und zur Erweiterung der Cyberabteilung beitrug. Als ehemaliger Ma­ri­ne­of­fi­zier hatte er mehrere Führungspositionen inne und spe­zi­a­li­sie­rte sich auf Kommunikationssysteme und Nach­rich­ten­dienst. Anschließend wechselte er zu Thales als Direktor für Cy­ber­ab­wehr, bevor er sich dem Unternehmertum zuwandte, um einen europäischen Ansatz für Cybersicherheit zu entwickeln. Grégoire ist Absolvent der Marineakademie und hat einen Master-Ab­schluss in Naturwissenschaften sowie einen MBA der HEC Paris.

(ID:50827138)