Digitale Souveränität heißt Kontrolle
Interview zur digitalen Souveränität mit Michael Pütz
Digitale Souveränität gilt als Leitbegriff für resiliente IT. In der Praxis fehlt vielen Unternehmen aber der Überblick über ihre kritischen Abhängigkeiten. – Über Kontrolle, Exit-Fähigkeit und den Mittelstand.
Digitale Souveränität im Unternehmen: Anspruch und Realität
Digitale Souveränität ist politisch und wirtschaftlich ein viel benutzter Begriff. Was bedeutet er für Unternehmen konkret?
Digitale Souveränität heißt für Unternehmen vor allem Kontrolle. Gemeint ist die Kontrolle über die eigenen Daten, über kritische Geschäftsprozesse und über die technischen Abhängigkeiten, auf denen diese Prozesse basieren. Solange ein Unternehmen nicht belastbar beantworten kann, wo seine Daten liegen, wer Zugriff auf zentrale Systeme hat, wie wechselbar Anbieter sind und welche Ausfallrisiken bestehen, fehlt diese Kontrolle.
Wird dieser Anspruch in deutschen Unternehmen bereits ausreichend umgesetzt?
Nach meiner Einschätzung: klar nein. Viele Unternehmen arbeiten weiterhin in starken Abhängigkeiten, etwa von einzelnen Cloud-Plattformen, internationalen Sicherheitsanbietern oder ausgelagerten Betriebsmodellen, bei denen wesentliche Teile der Kontrolle nicht mehr im eigenen Einflussbereich liegen. Digitale Souveränität ist in vielen Fällen noch kein operatives Steuerungsthema, vielmehr eher noch ein Kommunikationsbegriff. Im Management ist oft nicht ausreichend angekommen, dass es dabei vor allem um Handlungsfähigkeit im Krisenfall geht.
Kritische Abhängigkeiten und Exit-Fähigkeit
Welche Abhängigkeiten halten Sie derzeit für besonders kritisch?
Zunächst die Abhängigkeit von einzelnen Cloud-Diensten und Plattformanbietern. Wenn zentrale Anwendungen, Daten und Sicherheitsfunktionen stark auf einem Anbieter konzentriert sind, entstehen nicht nur technische, sondern auch strategische Lock-in-Effekte. Das zweite Problem ist die Exit-Fähigkeit. Viele Unternehmen stellen erst spät fest, wie schwierig ein Wechsel wird, wenn Daten, Prozesse, Schnittstellen und Betriebslogik eng an eine Plattform gebunden sind. Hinzu kommt, dass europäische Rechenzentren internationaler Anbieter zwar die Standortfrage teilweise entschärfen, aber nicht automatisch die Frage nach Kontrolle, Zuständigkeit und struktureller Abhängigkeit.
Sie beziehen das Thema ausdrücklich auch auf Cybersecurity. Warum?
Weil Sicherheitsstrategie ohne Kenntnis der eigenen Abhängigkeiten nicht belastbar ist. Unternehmen gehen oft noch von einem Schutzverständnis aus, das zu stark auf Prävention fokussiert ist. In der Realität muss man heute davon ausgehen, dass Angriffe grundsätzlich möglich sind. Entscheidend ist deshalb nicht nur, ob ein Angriff stattfindet. Entscheidender ist, ob daraus realer Schaden entsteht. Alle Unternehmen, die nicht wissen, welche Systeme kritisch sind, welche Partner involviert sind und wie Kommunikation, Erkennung und Reaktion im Ernstfall funktionieren, können das Risiko nicht wirksam steuern.
Souveräne Angriffserkennung
Unsere Deception-Technologie erkennt Angreifer, bevor Schaden entsteht – entwickelt und patentiert in Deutschland, ohne Datenabfluss an internationale Plattformen. Entdecken Sie unsere Lösungen für souveräne IT-Sicherheit.
Lösungen entdeckenKeine echte Kontrolle
Wie ist der Reifegrad in deutschen Unternehmen?
Unsere Einschätzung ist, dass 80 bis 90 Prozent der Unternehmen keine echte Kontrolle über ihre Cybersecurity- und Souveränitätsstrategie haben. Das zeigt sich in technischen Lücken, und bereits schon davor im Grundverständnis. Wir erleben regelmäßig, dass Geschäftsführer oder Verantwortliche eine vorhandene Firewall mit zeitgemäßer Angriffserkennung gleichsetzen. Das reicht heute nicht mehr aus. Zwischen klassischer Perimetersicherheit und einer belastbaren Erkennungs- und Reaktionsfähigkeit liegt ein erheblicher Unterschied.
80–90 % der Unternehmen haben keine echte Kontrolle über ihre Cybersecurity- und Souveränitätsstrategie.
Mittelstand: großes Risiko, begrenzte Steuerungsfähigkeit
Ist das vor allem ein Problem des Mittelstands?
Im Mittelstand ist es besonders sichtbar, weil dort spezialisierte interne Ressourcen oft fehlen und Sicherheitsverantwortung neben anderen Aufgaben mitläuft. Gleichzeitig sind mittelständische Unternehmen wirtschaftlich hochgradig abhängig von funktionierenden IT-gestützten Abläufen. Das Risiko ist also groß, die Steuerungsfähigkeit aber häufig begrenzt. Daher ist das Thema betriebswirtschaftlich relevant.
Wie können sich Unternehmen orientieren, wenn intern das Know-how fehlt?
Dann braucht es Partner, die das Thema spezialisiert und kontinuierlich bearbeiten. Unternehmen treffen in anderen Bereichen ja ebenfalls keine Grundsatzentscheidungen ohne Fachkompetenz. Wichtig ist aus meiner Sicht, auf konkrete Betriebs- und Supportmodelle zu schauen. Im Ernstfall ist relevant, ob Ansprechpartner verfügbar sind, ob Kommunikation schnell funktioniert und ob rechtliche wie operative Zuständigkeiten klar sind. So kann es sehr sinnvoll sein, Anbieter mit Sitz, Support und Ansprechpartnern in Deutschland oder zumindest in der EU bevorzugt zu prüfen.
Sprechen Sie mit uns über digitale Souveränität
Prüfen Sie mit uns, wo Ihre kritischen Abhängigkeiten liegen und was ein Ausfall Ihr Unternehmen kosten würde.
Ihr Ansprechpartner
Michael Pütz