Aktuell

Souveränität beginnt im Ernstfall: Warum es nicht reicht, wo die Daten liegen

Digitale Souveränität endet nicht beim Datenstandort. Warum es im Ernstfall auf Handlungsfähigkeit ankommt und wie wir operative Souveränität verstehen.

21. Oktober 2026

Security
Managed Services
Kommunen

Wo liegen unsere Daten? Diese Frage steht meist am Anfang, wenn über digitale Souveränität gesprochen wird. Sie ist berechtigt, aber sie beantwortet nicht das Wichtigste: Können wir im Ernstfall selbst handeln?

Ein Angriff in der Nacht, ein ausgefallener Cloud-Dienst, ein Update, das den Mailserver lahmlegt: In solchen Momenten zählt nicht, welches Rechenzentrum im Vertrag steht. Es zählt, wer entscheiden darf, wo die nötigen Informationen zu finden sind und welche Werkzeuge dann noch funktionieren.

Kernaussage

Positionsbeitrag

Digitale Souveränität entscheidet sich nicht nur daran, wo Daten liegen, sondern daran, ob ein Unternehmen oder eine Kommune im Ernstfall selbst handeln kann. Dazu braucht es klare Zuständigkeiten, Informationen, die an einer Stelle zusammenlaufen, und Werkzeuge, die auch dann funktionieren, wenn ein Anbieter oder System ausfällt. KI kann dabei helfen – entscheiden muss am Ende ein Mensch.

Mehr als die Frage nach dem Datenstandort

Wenn über digitale Souveränität gesprochen wird, geht es meist um Rechenzentren in Europa, um Cloud-Anbieter und um Rechtsräume. Das ist wichtig, greift aber zu kurz. Markus Ehrenmann, CTO von Open Systems, beschreibt das in einem Gastbeitrag bei Security-Insider treffend als operative Souveränität: die Fähigkeit, sicherheitskritische Entscheidungen jederzeit nachzuvollziehen, zu steuern und umzusetzen – auch wenn viele Plattformen und Dienstleister beteiligt sind.

Wir teilen diese Sicht ausdrücklich. In unserem Alltag mit mittelständischen Unternehmen und Kommunen sehen wir immer wieder dasselbe Muster: Solange alles läuft, fällt nicht auf, wie verteilt Zuständigkeiten und Informationen sind. Im Vorfall zeigt sich dann, wer tatsächlich handeln kann – und wer erst auf Rückrufe, Tickets und Freigaben warten muss.

Drei Fragen, die über Handlungsfähigkeit entscheiden

Wer entscheidet?

Wer darf im Ernstfall einen Server vom Netz nehmen, ein Konto sperren oder eine Verbindung kappen – ohne erst drei Stellen fragen zu müssen?

Wo laufen Informationen zusammen?

Laufen Warnungen aus Firewall, Endpoint-Schutz, Mailsystem und Anmeldungen an einer Stelle zusammen, oder muss man sie im Vorfall aus fünf Oberflächen zusammensuchen?

Was bleibt, wenn etwas ausfällt?

Was funktioniert noch, wenn ein Cloud-Dienst, ein Dienstleister oder das eigene Netz ausfällt? Sind Notfallplan, Kontakte und Sicherungen dann erreichbar?

Komplexität ist ein Sicherheitsrisiko

Jedes zusätzliche Werkzeug verspricht mehr Schutz. In der Summe entsteht aber oft das Gegenteil: Richtlinien in vielen Oberflächen, Warnungen, die niemand zusammenführt, und Zuständigkeiten, die zwischen interner IT, Systemhaus und Herstellern verschwimmen. Gerade kleinere Organisationen haben nicht das Personal, um ein Dutzend Konsolen im Blick zu behalten. Weniger, aber gut verzahnte Systeme sind hier fast immer die bessere Wahl.

Wie schwer ein Wiederanlauf wird, wenn viele Abhängigkeiten zusammenkommen, zeigt der Angriff auf das HSZ-BW. Wir haben ihn im Beitrag „Elf Tage nach dem Angriff auf das HSZ-BW“ eingeordnet.

Wie wir operative Souveränität verstehen

Für uns ist Souveränität kein Schlagwort, sondern eine Arbeitsweise. Einige Beispiele aus den vergangenen Wochen zeigen, was wir damit meinen:

Selbst reagieren statt warten: Unsere Active-Defense-Pipeline sperrt Angreifer bei Password Spraying automatisch an der Firewall, statt auf eine Meldung aus der Herstellerkonsole zu warten. Mehr dazu in den Beiträgen zur automatischen Firewall-Sperre und zu VPN-Spray-Attacken.
Probleme messbar machen: Als die Oktober-Updates Exchange-Server instabil machten, haben wir nicht auf einen Fix gewartet, sondern ein Überwachungsskript gebaut, das warnt, bevor der Server ausfällt. Beschrieben im Beitrag „Zähler überwachen statt Ausfall abwarten“.
Vorsorge statt Reaktion: Wer Systeme konsequent aktuell und gehärtet hält, ist bei vielen Lücken schon geschützt, bevor sie bekannt werden – wie bei der Veeam-Lücke mit CVSS 9.4.
Automatik mit Kontrolle: Automatische Abwehr braucht klare Regeln und die Möglichkeit, schnell einzugreifen. Was passiert, wenn das fehlt, haben wir offen im Beitrag „Wenn das SIEM Kunden und Mitarbeiter aussperrt“ beschrieben.

KI: vorbereiten ja, entscheiden nein

KI kann große Mengen an Ereignissen auswerten, Zusammenhänge sichtbar machen und Wichtiges von Unwichtigem trennen. Gerade bei knappem Personal ist das eine echte Entlastung. Entscheidend ist aber, dass klar geregelt ist, was eine KI selbstständig tun darf und wo ein Mensch entscheidet. Bei weitreichenden Maßnahmen – ein System abschalten, Konten sperren, Daten löschen – bleibt die Verantwortung beim Menschen.

Dazu gehört auch die Frage, wo die Daten verarbeitet werden, die eine KI zu sehen bekommt. Wir setzen deshalb bevorzugt auf Lösungen, bei denen sensible Daten im eigenen Haus bleiben. Unsere Grundsätze dazu stehen im Beitrag „KI-gestützte Entwicklung – mit klaren Leitplanken“.

Fünf Fragen für Ihre eigene Standortbestimmung

Ist Ihr Notfallplan auch offline erreichbar? Ein Plan, der nur auf dem verschlüsselten Fileserver liegt, hilft im Ernstfall nicht.
Wissen alle Beteiligten, wer was entscheiden darf? Einschließlich der Frage, was ein Dienstleister ohne Rückfrage tun darf – und was nicht.
Kommen Sie an Ihre Sicherungen, wenn ein Konto oder Cloud-Dienst nicht verfügbar ist? Eine Sicherung, die nur über das kompromittierte System erreichbar ist, ist keine.
Laufen Warnungen an einer Stelle zusammen? Und gibt es jemanden, der sie auch nachts und am Wochenende sieht?
Kennen Sie Ihre Abhängigkeiten? Welche Dienstleister, Fernwartungszugänge und Cloud-Dienste müssen funktionieren, damit Ihr Betrieb läuft?

Einordnung

Europa wird noch lange von Technologie aus anderen Teilen der Welt abhängig sein. Das lässt sich auf Ebene eines einzelnen Unternehmens oder einer Kommune kaum ändern. Was sich sehr wohl ändern lässt, ist die eigene Handlungsfähigkeit: klare Zuständigkeiten, überschaubare Systeme, Informationen an einer Stelle und Abläufe, die auch unter Druck funktionieren. Das ist weniger spektakulär als die Debatte über Rechenzentren – aber im Ernstfall entscheidend.

Handlungsfähig bleiben, wenn es darauf ankommt

Wir prüfen mit Ihnen, wo Ihre Abhängigkeiten liegen, wie Ihre Abläufe im Ernstfall aussehen und wo sich Komplexität reduzieren lässt.

Gespräch vereinbaren

Quellen & weiterführende Links

Stand: 21. Oktober 2026.