Lange Zeit wurde Datensouveränität als ein abstraktes Thema betrachtet – als Angelegenheit für Spezialisten oder schlicht als ein weiterer Punkt auf der Roadmap des CIO. Doch im Zeitalter von künstlicher Intelligenz und Multicloud-Architekturen holt die Realität alle Organisationen ein. Souveränität ist längst keine reine Sicherheitsfrage mehr: Sie ist zu einer strategischen geschäftlichen Herausforderung und zu einer zentralen Voraussetzung für unternehmerische Handlungsfreiheit geworden.
Auf der Viva Technology 2026 hatte ich die Gelegenheit, meine Sichtweise zu diesem Thema während einer Podiumsdiskussion am Stand von OVHcloud zu teilen. Souveränität ist keineswegs eine Barriere, hinter der sich Unternehmen verschanzen. Vielmehr garantiert sie die Kontrolle über geschäftskritische Prozesse und unternehmerische Entscheidungen.
Warum das so ist – und warum die Unternehmensleitung dieses Thema aktiv vorantreiben sollte – erläutere ich im Folgenden.
1. Souveränität ist kein IT-Thema, sondern ein Geschäfts- und Entscheidungsthema
Der erste Fehler besteht darin, das Thema Souveränität ausschließlich den technischen Teams zu überlassen und sie lediglich mit der Auswahl einer Hosting-Lösung zu beauftragen. Das greift zu kurz.
Im Kern geht es bei Souveränität um Daten, und Daten sind die Grundlage jedes Unternehmens: Kundendaten, Mitarbeiterdaten, Verträge oder Finanzprozesse. Darüber hinaus ist Datensouveränität ein entscheidender Faktor für fundierte Entscheidungen.
Geschäftsleitungen treffen ihre Entscheidungen auf Basis von Daten, die in Form von Dashboards und Berichten aufbereitet werden. Wer seine Daten nicht beherrscht, kontrolliert letztlich auch seine Entscheidungen nicht.
Mit dem Aufkommen generativer KI verlangen Führungsgremien heute zunehmend Analysen in natürlicher Sprache, die direkt auf Unternehmensdaten zugreifen – ohne den Umweg über die IT-Abteilung. Werden diese strategischen Daten ohne souveräne Garantien gespeichert oder verarbeitet, sind Governance, Vertraulichkeit und Entscheidungsfähigkeit des Unternehmens gefährdet.
2. Bewusstsein schaffen, Mitarbeitende schulen und Shadow AI bekämpfen
Souveränität wird nicht allein auf Infrastruktur-Ebene entschieden; sie entsteht auch durch die täglichen Handlungen jedes einzelnen Mitarbeitenden.
Wir alle tauschen Daten über Kollaborationsplattformen wie Microsoft Teams oder Unternehmens-Messaging-Dienste aus. Jeder Nutzer sollte sich bewusst sein, dass Souveränität mit einer einfachen Frage beginnt: „Was teile ich, wohin gehen diese Informationen und wer kann darauf zugreifen?“
Diese Herausforderung wird durch das Phänomen der Shadow AI verstärkt – also die unkontrollierte Nutzung öffentlicher generativer KI-Werkzeuge durch Mitarbeitende. Werden Unternehmensdaten oder Besprechungsprotokolle an nicht-souveräne Drittanbieter-LLMs übermittelt, entspricht dies faktisch einer Preisgabe des geistigen Eigentums des Unternehmens.
Datensouveränität muss daher zu einem täglichen Reflex werden und durch umfangreiche Sensibilisierungs- und Schulungsmaßnahmen unterstützt werden – für Berater, Führungskräfte und Vertriebsteams gleichermaßen.
3. Wie beginnt man? Risiken und Abhängigkeiten kartieren
Für Organisationen, die die Kontrolle zurückgewinnen möchten, stellt sich die Frage: Wo anfangen?
Wir empfehlen einen pragmatischen Ansatz in drei Schritten.
Schritt 1: Daten kategorisieren und kartieren
Es ist unmöglich, alles gleichermaßen zu schützen. Daher müssen Unternehmen zunächst ihre kritischen Daten identifizieren.
Eine zentrale Frage auf Geschäftsleitungsebene lautet: „Herr Vorstandsvorsitzender, wenn morgen alle Ihre Daten verschwinden würden – welche wären unverzichtbar, um Ihr Geschäft weiterzuführen?“
Die Antwort darauf sollte den Ausgangspunkt jeder Souveränitätsstrategie bilden.
Schritt 2: Abhängigkeiten von Anbietern bewerten
In einer Welt hybrider Architekturen und Multicloud-Umgebungen stellt Datensouveränität auch die Frage nach der tatsächlichen Unabhängigkeit von Technologieanbietern.
Was passiert, wenn ein ausländischer Cloud-Anbieter seine Preise jedes Jahr um 7 % erhöht? Oder wenn staatliche Vorgaben ihn zwingen, seine Dienste in Europa einzuschränken oder auszusetzen? Welche Alternative steht dann zur Verfügung?
Souveränität bedeutet daher auch, Software-Abhängigkeiten aktiv zu steuern, um Vendor Lock-in zu vermeiden und die eigene Handlungshoheit zu bewahren.
Schritt 3: Souveränität bereits in der Projektplanung berücksichtigen
Souveränität darf nicht erst am Ende eines IT-Projekts als zusätzliche Anforderung betrachtet werden.
Bereits in der Konzeptionsphase eines neuen Projekts – insbesondere im Bereich Künstliche Intelligenz – sollten die Sensibilität der Daten bewertet und die passende Architektur gewählt werden: On-Premises, Public Cloud oder souveräne Cloud-Lösungen, die durch robuste Zertifizierungsrahmen wie SecNumCloud in Frankreich oder die Standards der ENISA auf europäischer Ebene abgesichert sind.
4. Zugriffe prüfen: Wer, was und warum?
Zu wissen, wo Daten gespeichert werden, ist das eine. Zu wissen, wer darauf zugreift, das andere.
Eine unverzichtbare Maßnahme zur Sicherung der Datensouveränität sind regelmäßige Audits der Zugriffsrechte – idealerweise mindestens einmal jährlich.
Dabei geht es nicht nur darum festzustellen, wer auf welche Daten zugreifen kann, sondern auch zu verstehen, warum diese Zugriffsrechte bestehen. In vielen Unternehmen decken Audits erhebliche Schwächen im Berechtigungsmanagement auf. Bleiben die Ergebnisse jedoch ohne konkrete Maßnahmen, besteht das Problem unverändert fort.
Hier kommt dem Management eine entscheidende Rolle zu. Damit Datensouveränität wirksam umgesetzt wird, braucht sie einen Sponsor auf Vorstandsebene, der Prioritäten setzen, Entscheidungen treffen und die erforderlichen Ressourcen bereitstellen kann.
Souveränität bedeutet Vertrauen und Effizienz
Ein weit verbreitetes Missverständnis besteht darin anzunehmen, dass Datensouveränität lediglich zusätzliche Einschränkungen mit sich bringt. Das Gegenteil ist der Fall.
Souveränität sollte durch die Brille des Vertrauens betrachtet werden: Vertrauen in die eigenen Daten, in die Dienstleister und in die getroffenen Entscheidungen.
Eine effektive Datenkontrolle – also zu wissen, wo Daten gespeichert sind, ihre Integrität sicherzustellen und ihre Qualität zu gewährleisten – ist genau die Voraussetzung dafür, dass Algorithmen und Large Language Models zuverlässig funktionieren.
Indem Unternehmen Datensouveränität mit modernen Prinzipien wie Zero Trust und Interoperabilität verbinden, schotten sie sich nicht ab. Im Gegenteil: Sie sichern sich die Freiheit, die besten Technologien am Markt zu nutzen, Anbieter jederzeit wechseln zu können und die Kontrolle über ihre digitale Zukunft selbst zu behalten.
