Seit der US Cloud Act US-Behörden das Recht einräumt, auf Daten zuzugreifen, die von US-amerikanischen Unternehmen verarbeitet werden – unabhängig davon, wo auf der Welt die Server stehen –, ist die Kontrolle über eigene Daten für europäische Unternehmen und Behörden zu einer handfesten rechtlichen Frage geworden. Wer seine Kommunikationsprozesse über Dienste US-amerikanischer Cloud-Anbieter abwickelt, kann sich diesem Zugriffsanspruch faktisch nicht entziehen, selbst wenn die Datenverarbeitung formal in Europa stattfindet. Aus dieser Erkenntnis ist ein Begriff zum festen Bestandteil von Beschaffungsentscheidungen geworden, der zuvor vor allem in politischen Debatten kursierte: Digitale Souveränität. Was einst als Forderung nach technologischer Unabhängigkeit von US-amerikanischen Hyperscalern begann, ist heute ein konkretes technisches Auswahlkriterium für Unternehmen und Behörden. Doch was bedeutet digitale Souveränität konkret, und warum führt die Diskussion fast zwangsläufig zu einer zweiten Frage: der nach dem Betriebsort der eigenen IT-Infrastruktur?

Digitale Souveränität beschreibt die Fähigkeit einer Organisation, über ihre Daten, Systeme und digitalen Prozesse selbstbestimmt zu verfügen – unabhängig von einzelnen Anbietern, Lizenzmodellen oder der Jurisdiktion ausländischer Provider. Es geht dabei nicht um Abschottung, sondern um Kontrolle: Wer entscheidet, wo Daten verarbeitet werden? Wer hat Zugriff auf Kommunikationsinhalte? Und was passiert, wenn ein Cloud-Anbieter seinen Dienst einstellt, Preise ändert oder aus regulatorischen Gründen den Zugang beschränkt oder schlimmstenfalls sogar für staatliche Akteure öffnen muss? Für Unternehmen in regulierten Branchen ist diese Frage längst keine akademische mehr.

Souveränität erfordert Resilienz.

Aus der Souveränitätsdebatte ergibt sich fast zwangsläufig der Begriff der Resilienz. Resilienz meint die Fähigkeit von IT-Infrastrukturen, Störungen, Ausfälle oder Angriffe zu überstehen und den Betrieb aufrechtzuerhalten oder schnell wiederherzustellen. Während digitale Souveränität die strategische Kontrolle über die eigene IT beschreibt, ist Resilienz die operative Konsequenz daraus: Eine Organisation, die nicht weiß, wo ihre Daten verarbeitet werden oder von einem einzelnen externen Anbieter abhängig ist, kann im Ernstfall – etwa bei einem Cyberangriff, einer Sanktion oder einem regionalen Internetausfall – nur eingeschränkt reagieren.

Wie schnell aus einer abstrakten Anforderung ein handfestes Betriebsrisiko wird, zeigte der CrowdStrike-Vorfall im Sommer 2024: Ein fehlerhaftes Software-Update eines einzigen Sicherheitsanbieters legte weltweit Flughäfen, Krankenhäuser und Behörden lahm. Betroffen waren nicht nur die Systeme des Anbieters, sondern alle Organisationen, die sich auf dessen zentralisierte Infrastruktur verlassen hatten. Der Vorfall zeigte: Resilienz ist keine Eigenschaft, die im Ernstfall einfach da ist, sondern eine Frage der Architektur.

Gesetzgeber haben diesen Zusammenhang erkannt: Die NIS2-Richtlinie, das KRITIS-Dachgesetz, die BSI-Kritisverordnung und im Finanzsektor DORA verlangen von Betreibern kritischer und wichtiger Infrastrukturen inzwischen nachweisbare Kontrolle über Kommunikationswege, Datenflüsse und IT-Risikomanagement. Resilienz ist damit nicht mehr nur eine Frage der Betriebssicherheit, sondern eine regulatorische Pflicht.

Eigenes Rechenzentrum unterstützt Resilienz.

Damit rückt die dritte Ebene der Kette in den Fokus: der On-Premises-Einsatz von IT. On-Premises bezeichnet den Betrieb von Software und Infrastruktur auf eigenen Servern im eigenen Netzwerk – im Gegensatz zu Cloud-Lösungen, bei denen Daten und Verarbeitung bei externen Anbietern liegen. On-Premises ist dabei kein Selbstzweck und keine grundsätzliche Absage an die Cloud, sondern ein technisches Mittel, um die zuvor beschriebenen Anforderungen an Souveränität und Resilienz zu erfüllen. Wenn Verarbeitung und Speicherung innerhalb der eigenen IT-Grenzen stattfinden, bleibt die Kontrolle über sensible Daten bei der Organisation selbst – unabhängig davon, ob ein externer Dienst verfügbar, erreichbar oder rechtlich zugänglich ist.

Deutlich wird dieser Zusammenhang unter anderem bei KI-gestützten Funktionen, die zunehmend in Kommunikations- und Messaging-Lösungen integriert werden. Ob Sprachverarbeitung, Texterkennung oder Analysefunktionen die eigene Netzwerkgrenze verlassen und in eine externe Cloud übertragen werden, ist damit längst nicht mehr nur eine technische Detailfrage, sondern eine Frage der Beschaffungsstrategie – gerade für Betreiber kritischer Infrastrukturen aus den Bereichen Gesundheitswesen, Energie, Finanzwesen und öffentliche Verwaltung.

Souveränität ist eine Frage der Strategie.

Für Systemhäuser und IT-Verantwortliche bedeutet das: Digitale Souveränität lässt sich nicht isoliert betrachten. Sie beginnt mit strategischen Entscheidungen über Anbieter und Architektur, wird über Resilienzanforderungen regulatorisch konkretisiert und mündet in der praktischen Frage, welche Komponenten einer Kommunikationsinfrastruktur tatsächlich lokal betrieben werden können (oder sogar müssen) – und damit die Datenhoheit des Betreibers sicherstellen.

Wie sich diese Kette in der Praxis umsetzen lässt, zeigt die Version 9 der OfficeMaster Suite des Berliner Herstellers Ferrari electronic. Die Unified-Messaging-Lösung integriert Kommunikationskanäle wie Next Generation Document Exchange (NGDX), Fax, Voicemail, SMS und RCS auf einer Plattform und wird in bestehende Microsoft- oder HCL-Domino-Infrastrukturen eingebunden.

Lokale KI und Stand-alone-Browser im Produkt.

Wer jedoch nicht auf eine der großen Kollaborations-Plattformen setzen will, kann den im Rahmen der Version 9 als Tech Preview vorgestellten, browserbasierten und plattformunabhängigen Stand-alone-Client einsetzen. Ohne Abhängigkeit von einem Unternehmen empfängt er Messaging-Nachrichten und Dokumente, rechtssicher und unabhängig. Er richtet sich an Organisationen, die den OfficeMaster Suite-Client nicht in eine bestehende Groupware integrieren wollen oder keine Groupware einsetzen. Der Client ermöglicht den Empfang von Dokumenten unabhängig von den üblichen Kollaborationslösungen, die Nutzer behalten dabei die vollständige Datenhoheit.

Ein weiteres Beispiel für lokale Verarbeitung ist die neue Funktion OfficeMaster Speech AI, die Sprachnachrichten in Text umwandelt. Die Verarbeitung erfolgt dabei im lokalen Netzwerk, ohne Anbindung an externe Cloud-Dienste. Für Organisationen, die unter KRITIS- oder NIS2-Anforderungen stehen, bedeutet das: Sensible Kommunikationsdaten verlassen zu keinem Zeitpunkt die eigene IT-Umgebung. Weitere KI-Funktionen wie Text-to-Speech sind schon angekündigt, wobei das Prinzip der lokalen Ausführung beibehalten wird.

Fazit.

Das Beispiel Ferrari electronic aus Berlin zeigt: KI aus dem lokalen Netzwerk, rechtssicherer Dokumentenempfang unabhängig von Outlook & Co. sowie Service und Support aus Deutschland sorgen dafür, dass digitale Souveränität kein abstraktes Ziel bleiben muss. Wer die Architekturentscheidung richtig trifft, bleibt unabhängig und resistent gegen Angriffe bis auf Produkt- und Feature-Ebene.

https://www.ferrari-electronic.de/

Illustration: © Maja Brncic | Dreamstime.com

1668 Artikel zu „digitale Souveränität“

Ausgabe 9-10-2026 | IT-Security | Künstliche Intelligenz | News | Security Spezial 9-10-2026

NIS2 im Praxistest: Europas digitale Souveränität wird am Ernstfall gemessen – nicht im Audit

23. Oktober 2026

NIS2 schafft auf europäischer Ebene einen einheitlichen Cybersicherheitsrahmen. Das stellt KRITIS-Betreiber vor konkrete Herausforderungen: Was passiert, wenn das Monitoring anschlägt? Wann läuft die Meldefrist – und wer trägt die Verantwortung?