Digitale Souveränität: Was Unternehmen tatsächlich kontrollieren können

Digitale Souveränität bedeutet nicht, jede Software selbst zu entwickeln oder ausschließlich europäische Anbieter einzusetzen. Für Unternehmen ist sie vor allem die Fähigkeit, kritische digitale Abhängigkeiten zu kennen und genügend Kontrolle zu behalten, um entscheiden, prüfen, wechseln und weiterarbeiten zu können.

Souveränität ist keine Herkunftsangabe

Die Europäische Kommission beschreibt technologische Souveränität als Fähigkeit Europas, im digitalen Raum unabhängig zu handeln, zentrale Technologien, Daten und Infrastruktur zu entwickeln oder zu kontrollieren und kritische Abhängigkeiten zu reduzieren. Gleichzeitig grenzt der europäische Ansatz Souveränität ausdrücklich von Abschottung ab: Europa soll offen und mit globalen Netzen verbunden bleiben.

Für Unternehmen ist diese Unterscheidung entscheidend. Wer digitale Souveränität mit „europäischer Anbieter“ gleichsetzt, macht aus einer Architektur- und Governancefrage eine Herkunftsangabe. Ein europäischer SaaS-Anbieter kann technisch stark von einzelnen außereuropäischen Plattformen abhängen. Umgekehrt kann eine Lösung nicht-europäische Komponenten nutzen und trotzdem Daten, Betrieb, Wechselmöglichkeiten und Zugriffe eng kontrollieren. Die bessere Frage lautet deshalb nicht: Woher kommt der Anbieter? Sondern: Welche Entscheidungen könnten wir morgen noch selbst treffen?

2026 wird aus dem Schlagwort ein Raster

Im Juni 2026 hat die EU-Kommission ihr Cloud Sovereignty Framework näher erläutert. Es bewertet Souveränität mit 48 Kriterien in acht Kategorien: strategische Aspekte, Recht und Jurisdiktion, Daten und KI, Betrieb, Lieferkette, Technologie, Security und Compliance sowie ökologische Nachhaltigkeit.

Auch die Einstufung ist nicht binär. Das Framework arbeitet mit Sovereignty Effectiveness Assurance Levels. Bei der 2026 vergebenen souveränen Cloud-Beschaffung der EU mussten Anbieter mindestens SEAL-2 erreichen. Drei der vier ausgewählten Provider-Konstellationen erreichten nach Angaben der Kommission SEAL-3, eine SEAL-2. Die Kommission wertete dabei eine Konstellation auf Basis von Google-Cloud-Technologie nicht automatisch als ausgeschlossen. Herkunft bleibt relevant, ist aber nicht die einzige Variable.

Parallel stellte die Kommission am 3. Juni 2026 ein Paket zur technologischen Souveränität vor. Dazu gehören Chips Act 2.0, der vorgeschlagene Cloud and AI Development Act, eine Open-Source-Strategie und ein Fahrplan für Digitalisierung und KI im Energiesektor. Der CADA-Vorschlag verbindet Autonomie ausdrücklich mit Kapazitätsausbau und Innovation.

Sechs Kontrollen, die Unternehmen selbst prüfen können

Das EU-Framework ist für öffentliche Beschaffung entwickelt worden. Unternehmen müssen seine 48 Kriterien nicht kopieren. Seine Logik lässt sich aber auf sechs praktische Kontrollfelder verdichten.

Diese sechs Felder ergeben keinen universellen Souveränitäts-Score. Sie leisten etwas Nützlicheres: Sie machen Abhängigkeit diskutierbar.

Deutschland-Hosting ist wichtig – aber nicht die ganze Antwort

Der Speicherort von Daten kann aus Datenschutz-, Vertrags-, Risiko- oder Beschaffungsgründen relevant sein. Trotzdem beantwortet „Hosting in Deutschland“ allein nur einen Teil der Souveränitätsfrage. Ein Rechenzentrum in Frankfurt sagt noch nicht, ob ein Kunde seine Daten vollständig herausbekommt. Es sagt nichts über proprietäre Schnittstellen, administrative Zugriffe, Subprozessoren oder den Aufwand eines Anbieterwechsels.

Der unterschätzte Test ist der Exit

Am 25. Juni 2026 teilte die EU-Kommission ihre vorläufige Auffassung mit, dass AWS und Microsoft Azure bei Cloud-Diensten als Gatekeeper nach dem Digital Markets Act eingestuft werden sollten. In ihrer Begründung verweist sie unter anderem auf Lock-in-Effekte und hohe Wechselkosten. Das ist eine vorläufige Position, keine endgültige Feststellung. Für die Souveränitätsfrage ist der Mechanismus trotzdem relevant.

Ein System kann im laufenden Betrieb hervorragend funktionieren und trotzdem eine strategische Abhängigkeit erzeugen. Sichtbar wird sie oft erst beim Wechsel. Deshalb lohnt sich vor einer Beschaffung der Rückwärtstest: Angenommen, wir müssten diesen Dienst in drei Jahren verlassen. Welche Daten und Historien müssten migriert werden? Welche APIs existieren? Welche Eigenentwicklungen hängen an proprietären Diensten? Welche Berechtigungsmodelle müssten nachgebaut werden? Welche Dokumentation besitzt nur der Anbieter?

Wer diese Fragen vor dem Kauf beantworten kann, verhandelt nicht nur über Funktionen. Er verhandelt über zukünftige Handlungsfähigkeit.

Die Gegenposition: Zu viel Souveränität kann Wahlfreiheit kosten

Es wäre bequem, daraus eine Regel abzuleiten: möglichst alles selbst betreiben und jede nicht-europäische Technologie vermeiden. Genau das gibt die Evidenz nicht her. Globale Plattformen bieten Dienste, Skalierung und Entwicklungsökosysteme, die für viele Organisationen wirtschaftlich oder technisch attraktiv sind. Ein Unternehmen kann seine Handlungsfähigkeit auch schwächen, wenn es aus einem abstrakten Souveränitätsziel komplexe Eigenlösungen betreibt, die es personell kaum beherrscht.

Auch die EU verfolgt keinen vollständigen Abschottungsansatz. Der CADA-Vorschlag arbeitet mit abgestuften Souveränitätsniveaus und soll hochkritische Einsatzfelder anders behandeln als den breiten Markt. Die Kommission betont, dass der überwiegende Teil des Marktes für Partner offen bleiben soll.

Ein Beschaffungstest statt eines Labels

Vor einer strategisch relevanten Cloud-, SaaS- oder KI-Entscheidung sollten mindestens folgende Fragen beantwortbar sein:

1. Welche Daten, Metadaten und Prozesszustände liegen im System?
2. Welche Unternehmen und Jurisdiktionen sind an Betrieb und Verarbeitung beteiligt?
3. Welche kritischen technischen Abhängigkeiten bestehen unterhalb des sichtbaren Produkts?
4. Können Daten und relevante Historien vollständig und maschinenlesbar exportiert werden?
5. Welche dokumentierten Schnittstellen stehen für Integration und Migration bereit?
6. Welche Funktionen würden bei einem Anbieterwechsel den größten Umbau verursachen?
7. Wie werden Identitäten und administrative Zugriffe kontrolliert?
8. Was ist der realistische Exit-Plan mit Zeit, Daten und Verantwortlichkeiten?
9. Welche Abhängigkeiten akzeptieren wir bewusst, weil ihr Nutzen größer ist als ihr Risiko?

Digitale Souveränität bedeutet nicht, Abhängigkeiten auf null zu setzen. Sie bedeutet, sie nicht versehentlich einzugehen.

Souverän ist, wer noch entscheiden kann

2026 bewegt sich die europäische Debatte weg vom abstrakten Wunsch nach Unabhängigkeit und hin zu Kriterien, Abstufungen und konkreten Kontrollfragen. Für Unternehmen folgt daraus eine einfache Leitidee: Ein digitaler Prozess ist nicht deshalb souverän, weil auf dem Angebot „EU“, „Open Source“ oder „Hosting in Deutschland“ steht. Diese Eigenschaften können wichtig sein, beantworten aber nie die gesamte Frage.

Souveränität zeigt sich dann, wenn eine Organisation ihre kritischen Abhängigkeiten kennt, sie bewusst akzeptiert und eine Entscheidung später noch ändern kann. Der beste Test findet deshalb nicht beim Einstieg statt, sondern gedanklich beim Ausgang: Kommen wir wieder heraus – mit unseren Daten, unserem Prozesswissen und unserer Handlungsfähigkeit?