Vor einigen Jahren wurde digitale Souveränität noch weitgehend als eine Frage der Einhaltung von Vorschriften betrachtet. Wenn man Daten am richtigen Standort speicherte, die entsprechenden regulatorischen Anforderungen erfüllte und bei der Prüfung eine Handvoll Fragen beantwortete, konnte man in der Regel weitermachen. Das ist nicht mehr der Fall.
Heute ist Souveränität zu einem Thema auf Vorstandsebene geworden. Regierungen überarbeiten ihre Richtlinien. Aufsichtsbehörden verstärken ihre Kontrollen. Und Führungskräfte in der Wirtschaft beginnen zu erkennen, dass es bei der Souveränität nicht nur darum geht, wo sich Daten befinden – es geht darum, wie Unternehmen ihren Betrieb aufrechterhalten können, wenn sich geopolitische, rechtliche oder betriebliche Rahmenbedingungen plötzlich ändern.
In der ersten Folge unserer STRIVE-Reihe zum Thema digitale Souveränität habe ich mich mit Max Mortillaro, Mitbegründer und Chief Research Officer bei der Osmium Data Group, unterhalten. Gemeinsam erörtern wir, was Souveränität eigentlich bedeutet, warum die Debatte darüber so schnell an Fahrt gewonnen hat und wo Unternehmen am ehesten Fehler machen. Sehen Sie sich die ganze Folge an.
Die wichtigsten Erkenntnisse
- Digitale Souveränität ist nicht mehr nur eine Frage der Einhaltung von Vorschriften – sie ist zu einem Thema der Resilienz und der Geschäftskontinuität geworden.
- Der Speicherort der Daten ist nur ein Teil des Puzzles. Auch die rechtliche Zuständigkeit, die Betriebsabläufe, die technologischen Abhängigkeiten und die Governance spielen eine Rolle.
- Viele Unternehmen konzentrieren sich auf technische Kontrollmaßnahmen, bevor sie das geschäftliche Problem, das sie zu lösen versuchen, überhaupt verstanden haben.
- Geopolitische Unsicherheiten beschleunigen Bestrebungen nach Souveränität, insbesondere in ganz Europa.
- Eine vollkommen sichere Umgebung gibt es nicht. Jede Organisation muss fundierte Abwägungen zwischen Risiko, Kosten und betrieblichen Anforderungen treffen.
Warum der Speicherort der Daten nicht alles ist
Eines der häufigsten Missverständnisse im Zusammenhang mit digitaler Souveränität ist, dass sie sich ausschließlich auf geografische Aspekte beschränkt. Wenn Daten in einem lokalen Rechenzentrum gespeichert werden, so die Argumentation, sei das Problem der Souveränität gelöst. Das ist eine nachvollziehbare Annahme. Schließlich drehten sich viele der frühen Diskussionen zum Thema Souveränität vor allem um Anforderungen an den Speicherort von Daten und darum, wo Informationen rechtmäßig gespeichert werden dürfen.
Doch wie Max in unserer Diskussion hervorhebt, ist dies nur eine Dimension einer viel größeren Herausforderung. Bei der Souveränität geht es nicht nur darum, wo sich ein Rechenzentrum befindet. Es geht auch darum, wer es betreibt, welche Gesetze dafür gelten, wer Zugriff darauf hat und welche Abhängigkeiten hinter den Kulissen bestehen.
Ein „Cloud“-Dienst mag zwar physisch in einem bestimmten Land angesiedelt sein, doch bedeutet dies nicht zwangsläufig, dass er vor rechtlichen, betrieblichen oder technologischen Einflüssen aus anderen Ländern geschützt ist. An dieser Stelle wird die Diskussion deutlich komplexer.
Die verborgenen Abhängigkeiten, die die meisten Unternehmen übersehen
Wenn Unternehmen beginnen, sich mit Souveränität auseinanderzusetzen, betrachten sie das Thema oft als Technologieprojekt. Sie bewerten Hosting-Standorte. Sie prüfen Replikationsstrategien. Sie untersuchen, wo Workloads ausgeführt werden sollten. Diese Gespräche sind wichtig, können aber auch ein falsches Gefühl der Sicherheit vermitteln.
Wie Max erklärt, basieren moderne Technologieumgebungen auf mehreren Ebenen von Abhängigkeiten, die nicht immer sichtbar sind. Ein Dienst mag auf den ersten Blick lokal erscheinen, stützt sich jedoch möglicherweise auf Infrastruktur, Managementsysteme, Telemetriedienste oder Betriebssteuerungen, die an anderer Stelle vorhanden sind.
Deshalb ist Souveränität nicht einfach nur eine Frage des Standorts. Es ist eine Frage des Einflusses. Wer hat letztendlich die Kontrolle über den Dienst? Welche Rechtsordnung gilt bei Streitigkeiten? Was passiert, wenn geopolitische Spannungen zu neuen Beschränkungen, Vorschriften oder Zugangsbeschränkungen führen? Das sind keine hypothetischen Fragen mehr. Sie fließen zunehmend in reale Risikobewertungen ein.
Vorschau: Souveränität ist mehr als nur ein technisches Problem
In diesem Ausschnitt aus dem Gespräch erläutert Max, warum Unternehmen Diskussionen zum Thema Souveränität oft am falschen Ende ansetzen – und warum das Verständnis der rechtlichen, betrieblichen und geschäftlichen Ziele Vorrang vor jeglichen technologischen Entscheidungen haben muss.
Warum Europa die Debatte anführt
Einer der interessantesten Aspekte unserer Diskussion dreht sich darum, warum Souveränität in ganz Europa zu einem so zentralen Thema geworden ist. Die Antwort liegt nicht nur in der Regulierung, sondern auch in der Abhängigkeit. Europäische Organisationen sind sich zunehmend bewusst geworden, dass viele der Technologien, auf die sie täglich angewiesen sind, außerhalb ihrer direkten Kontrolle liegen – sei es hinsichtlich der Eigentumsverhältnisse, des Betriebs oder der Steuerung. Jahrelang wurde diese Tatsache weitgehend als Teil des globalen Technologie-Ökosystems hingenommen.
Heute wird diese Annahme neu bewertet. Geopolitische Spannungen, sich wandelnde regulatorische Rahmenbedingungen und wachsende Bedenken hinsichtlich der strategischen Autonomie haben dazu geführt, dass das Thema Souveränität sowohl für Regierungen als auch für Unternehmen an Bedeutung gewinnt. Was einst als Randthema galt, ist mittlerweile zu einem zentralen Anliegen der Wirtschaft geworden. Das Ergebnis ist die zunehmende Erkenntnis, dass es bei der Ausfallsicherheit nicht nur darum geht, technische Ausfälle zu beheben. Es geht auch darum, externe Abhängigkeiten zu verstehen und zu steuern, bevor sie zu Betriebsstörungen führen.
Souveränität und Resilienz sind ein und dasselbe Thema
Eines der Themen, das im Laufe der Diskussion immer wieder zur Sprache kommt, ist die enge Verbindung zwischen Souveränität und Resilienz. Auf den ersten Blick mögen sie wie getrennte Disziplinen erscheinen. Die eine konzentriert sich auf Governance, Regulierung und Kontrolle. Die andere konzentriert sich auf Recovery, Kontinuität und Readiness.
In der Praxis sind sie jedoch eng miteinander verflochten. Wenn ein Unternehmen aufgrund eines geopolitischen Ereignisses, behördlicher Auflagen oder der Abhängigkeit von Dritten keinen Zugriff auf kritische Systeme hat, unterscheidet sich die Folge kaum von anderen Störungen, auf die sich Unternehmen seit Jahren vorbereiten.
Das Unternehmen muss weiterarbeiten. Kunden müssen weiterhin bedient werden. Recovery muss weiterhin erfolgen. Deshalb betrachte ich Souveränität zunehmend aus derselben Perspektive wie Cyber-Resilienz. Bei beiden geht es im Wesentlichen darum, das Risiko von Ereignissen zu verringern, die den Betrieb stören könnten, und die Organisation darauf vorzubereiten, auch dann weiterzuarbeiten, wenn solche Ereignisse eintreten.
Beginnen Sie mit dem geschäftlichen Problem
Der vielleicht praktischste Rat, den Max gibt, ist zugleich auch der einfachste. Bevor Unternehmen Angebote im Bereich „Sovereign Cloud“ bewerten, Anbieter beauftragen und technische Architekturen erörtern, sollten sie sich zunächst darüber im Klaren sein, welches Problem sie eigentlich lösen wollen. Das bedeutet, Folgendes zu verstehen:
- Welche Geschäftsprozesse sind am wichtigsten?
- Welche Datenbestände sind am wichtigsten?
- Welche regulatorischen Anforderungen gelten?
- Welche Risiken werden tatsächlich gemindert?
Erst wenn diese Fragen geklärt sind, ist es sinnvoll, die verschiedenen technischen Optionen zu prüfen. Allzu oft gehen Unternehmen von Lösungen aus und arbeiten sich rückwärts zum Problem vor. Souveränität erfordert den umgekehrten Ansatz. Die Strategie sollte an erster Stelle stehen. Die Architektur folgt.
Warum es keine perfekte Antwort gibt
Eine der Tatsachen, die Führungskräfte akzeptieren müssen, ist, dass es so etwas wie ein vollkommen souveränes Umfeld nicht gibt. Jedes Unternehmen agiert innerhalb eines Netzwerks von Abhängigkeiten. Jede Technologieentscheidung bringt Kompromisse mit sich. Jede Risk-Bewertung erfordert einen Abwägungsprozess zwischen betrieblichen Anforderungen, Compliance-Verpflichtungen, Kostenaspekten und Geschäftsergebnissen.
Das Ziel ist nicht Perfektion. Das Ziel ist es, diese Abwägungen gut genug zu verstehen, um fundierte Entscheidungen treffen zu können. Unternehmen, die Souveränität als eine binäre Ja-oder-Nein-Frage betrachten, sind oft frustriert. Unternehmen, die sie als Teil des Risikomanagements betrachten, erzielen in der Regel bessere Fortschritte.
Warum dieses Gespräch wichtig ist
Die digitale Souveränität entwickelt sich rasch von einem Nischenthema im Bereich der Compliance zu einer strategischen geschäftlichen Herausforderung. Vorstände stellen Fragen. Die Aufsichtsbehörden verschärfen ihre Kontrollen. Kunden werden sich zunehmend bewusst, wo ihre Daten gespeichert sind und wer die Kontrolle darüber hat. Gleichzeitig verändert die geopolitische Unsicherheit weiterhin die Art und Weise, wie Unternehmen mit Risiken umgehen. Das bedeutet nicht, dass jedes Unternehmen schon morgen einen radikalen Wandel in Sachen Souveränität vollziehen muss.
Es bedeutet jedoch, dass jene Organisationen, die bereits heute damit beginnen, eine klare Strategie zu entwickeln, in einer weitaus stärkeren Position sein werden als diejenigen, die abwarten, bis die Diskussion unvermeidlich wird. Souveränität ist keine technologische Entscheidung, die sich als geschäftliches Problem tarnt. Es handelt sich um ein geschäftliches Problem, das ein Zusammenspiel rechtlicher, betrieblicher und technischer Entscheidungen erfordert.
Die gesamte Folge ansehen
In dieser Folge beschäftigen sich Max und ich mit folgenden Themen:
- Was digitale Souveränität eigentlich bedeutet.
- Warum der Standort der Daten allein nicht ausreicht.
- Die rechtlichen und betrieblichen Aspekte, die von Organisationen oft übersehen werden.
- Wie geopolitische Entwicklungen die Souveränitätsstrategien beeinflussen.
- Warum Souveränität und Resilienz untrennbar miteinander verbunden sind.
FAQs
F: Was versteht man unter digitaler Souveränität?
A: Unter digitaler Souveränität versteht man die Fähigkeit einer Organisation, innerhalb bestimmter rechtlicher und hoheitlicher Grenzen die Kontrolle über ihre Daten, Technologien, Betriebsabläufe und Führungsstrukturen zu behalten.
F: Ist digitale Souveränität dasselbe wie der Datenstandort?
A: Nein. Die Datenlokalisierung ist ein Bestandteil der Souveränität, doch zur Souveränität gehören auch die rechtliche Zuständigkeit, die operative Kontrolle, technologische Abhängigkeiten und die Governance.
F: Warum hat die digitale Souveränität in letzter Zeit an Bedeutung gewonnen?
A: Die zunehmende geopolitische Unsicherheit, sich wandelnde regulatorische Rahmenbedingungen und wachsende Bedenken hinsichtlich der Abhängigkeit von Technologien haben das Interesse an Initiativen zur Wahrung der Souveränität verstärkt.
Frage: Was ist der größte Fehler, den Unternehmen begehen?
A: Die Souveränität als rein technische Herausforderung zu betrachten, anstatt sie als umfassenderes Thema im Zusammenhang mit Geschäftsrisiken und Resilienz zu sehen.
F: In welchem Zusammenhang steht Souveränität mit Cyber-Resilienz?
A: Beide Disziplinen konzentrieren sich darauf, die Geschäftskontinuität angesichts von Störungen aufrechtzuerhalten, unabhängig davon, ob es sich dabei um technische, rechtliche, geopolitische oder regulatorische Störungen handelt.
F: Wo sollten Unternehmen ansetzen?
A: Verschaffen Sie sich zunächst einen Überblick darüber, welche Geschäftsergebnisse Sie schützen möchten, welche Risiken Sie mindern möchten und welche Daten und Prozesse für Ihren Betrieb am wichtigsten sind.
Alex Zinin ist Vice President und General Manager des Bereichs Managed Service Providers bei Commvault.
