Digitale Souveränität ist die Fähigkeit eines Unternehmens, die Kontrolle über seine kritischen digitalen Abläufe zu behalten und sie aufrechtzuerhalten, wenn sich Anbieter, Vorschriften oder geopolitische Bedingungen ändern.
Die Adresse eines Rechenzentrums verrät, wo Informationen liegen. Sie verrät nicht, wie diese Informationen fließen, wer darauf zugreifen kann, welches Recht gilt und wie schnell das Unternehmen reagieren könnte, wenn ein Anbieter ausfällt.
Nehmen wir ein Unternehmen, das Kundendaten im richtigen Land speichert. Sein Cloud-Anbieter kann trotzdem von einer ausländischen Muttergesellschaft abhängen, von Unterauftragnehmern in anderen Rechtsordnungen, von einem externen Identitätsdienst und von Verschlüsselungsschlüsseln, die das Unternehmen nicht selbst kontrolliert. Der Vertrag sieht womöglich zudem eine lange Übergangsfrist vor, falls die Geschäftsbeziehung endet. Die Daten liegen lokal, die Abhängigkeit bleibt extern.
Was ist digitale Souveränität?
Digitale Souveränität ist die Fähigkeit eines Unternehmens, die Kontrolle über seine kritischen digitalen Abläufe zu behalten und sie aufrechtzuerhalten, wenn sich Anbieter, Vorschriften oder geopolitische Bedingungen ändern.
Datenresidenz ist ein Teil davon. Vorgaben zur lokalen Speicherung können bestimmen, wo Informationen liegen und welche Anbieter sie verarbeiten dürfen. Aber Datenresidenz beantwortet nur eine Frage. Digitale Souveränität fragt außerdem: Wer kontrolliert die Infrastruktur? Wer kann auf die Daten zugreifen? Welche Rechtsordnung kann eine Herausgabe erzwingen? Kann das Unternehmen den Anbieter wechseln? Und laufen kritische Dienste bei einer Störung weiter?
Diese weiter gefasste Definition ist wichtig, weil Kontrolle zwischen Rechenzentrum und Vertrag verloren gehen kann. Ein Workload kann lokal gehostet sein und trotzdem von Software, Supportteams oder Schlüsseln abhängen, die anderswo kontrolliert werden.
Was umfasst digitale Souveränität?
Die Studie des Capgemini Research Institute aus dem Jahr 2026 ordnet digitale Souveränität 8 Dimensionen zu: Cloud, Daten, KI, Energie, Hardware, Software, Cybersicherheit und Konnektivität. Das Raster ist hilfreich, weil Souveränität der Abhängigkeitskette folgt.
Daten und KI
Bei Daten geht es um Klassifizierung, Residenz, grenzüberschreitende Übermittlungen und Zugriffsrechte. KI wirft zusätzliche Fragen auf: welche Modelle eingesetzt werden, mit welchen Daten sie arbeiten, wer darauf zugreifen kann und welche Aufzeichnungen nötig sind, um zu erklären, wie ein folgenreiches Ergebnis zustande kam. Rechtsabteilungen beschäftigen sich mit diesen Fragen bereits im Datenschutz, in der Regulierung und in der Vertragsarbeit. Ein Blick auf KI-Governance-Versagen in der Rechtspraxis zeigt, warum Quellenprüfung, menschliche Freigabe und Kontrollen für den Umgang mit Daten zusammengehören.
Infrastruktur und Konnektivität
Cloud, Hardware, Energie und Konnektivität bestimmen, wo Dienste laufen und wie sie bei Störungen weiterlaufen. Die Regionenkarte eines Anbieters verrät der Rechtsabteilung nicht, ob ein Dienst von einem einzigen Chiplieferanten, einer einzigen Netzwerkroute oder einem einzigen Unterauftragnehmer abhängt. Solche Abhängigkeiten betreffen die Resilienz, sie spiegeln sich aber auch in Beschaffungsbedingungen, Leistungszusagen, Auditrechten und Exit-Klauseln wider.
Software und Cybersicherheit
Software bestimmt, wie portabel ein Workload ist. Cybersicherheit bestimmt, wer darauf zugreifen kann, wie mit Vorfällen umgegangen wird und ob das Unternehmen nachweisen kann, dass seine Kontrollen funktionieren. Über alle 8 Dimensionen hinweg bleibt die rechtliche Frage dieselbe: Was kontrolliert das Unternehmen, was nimmt es in Kauf, und welche Nachweise stützen diese Position?
Welche Rolle spielt die Rechtsabteilung?
Die Rechtsabteilung ist unmittelbar mit Daten, KI und Cybersicherheit befasst, doch ihre Rolle reicht weiter. Die Frage der Rechtsordnung zieht sich durch jede Dimension. Das Recht, das für einen Datensatz gilt, ist nicht unbedingt das Recht des Landes, in dem der Server steht. Eigentümerstruktur, Supportmodell oder Unterauftragskette eines Anbieters können das Risiko des Unternehmens verändern.
Im Vertrag werden viele dieser Entscheidungen konkret. Er regelt Zugriffsrechte, Grenzen der Datennutzung, Auditrechte, Meldepflichten, die Zulässigkeit von Unterbeauftragungen, das anwendbare Recht, Kündigungsrechte und Pflichten zur Datenrückgabe. Die Gesellschaft, die ihn unterzeichnet hat, bestimmt, welches Konzernunternehmen die Verpflichtung trägt. Der zugrunde liegende Gremienbeschluss zeigt, ob das Risiko verstanden und bewusst akzeptiert wurde.
Deshalb ist digitale Souveränität ebenso ein Rechtsthema wie ein Technologiethema. Die Rechtsabteilung muss nicht jede technische Kontrolle selbst verantworten. Sie muss aber wissen, welche Zusagen das Unternehmen gemacht hat, welche Abhängigkeiten daraus entstehen und ob die Dokumentation einer Prüfung standhält.
Digitale Souveränität ist zur strategischen Priorität geworden
Digitale Souveränität ist in den Führungsetagen angekommen. Capgemini haben 93 % der Unternehmen das Thema auf Vorstandsebene diskutiert, während nur 14 % durchgängige Transparenz über die Abhängigkeiten in ihrer Technologie-Lieferkette angeben. Diese Lücke zwischen Aufmerksamkeit und Nachweis soll die Rechtsabteilung schließen helfen. Rechtsabteilungen stehen ohnehin unter Druck, und Souveränität fügt eine weitere Frage hinzu: Kann die Rechtsabteilung das Risiko des Unternehmens erklären, ohne die Antwort aus getrennten Systemen zusammenzusetzen?
Nehmen wir eine Sitzung von Vorstand oder Aufsichtsrat, in der es um einen kritischen Anbieter geht. Das Gremium will wissen, ob das Unternehmen innerhalb von 12 Monaten aussteigen könnte. Eine brauchbare Antwort braucht mehr als ein Architekturdiagramm. Sie braucht den Vertrag, die unterzeichnende Gesellschaft, die Unterauftragnehmer, das anwendbare Recht, die Kündigungs- und Übergangsregelungen, etwaige genehmigte Ausnahmen und den Beschluss, mit dem die Abhängigkeit akzeptiert wurde. Liegen diese Unterlagen in verschiedenen Ordnern, hat das Unternehmen womöglich eine Technologielandkarte, aber noch keine belastbare Antwort.
Auch der regulatorische Druck ist real. Für Finanzunternehmen in der EU rückt DORA das IKT-Drittparteienrisiko und die Exit-Planung in die Arbeit an der operationalen Resilienz. DORA verteilt die Verantwortung über das gesamte Unternehmen und macht Vertragsnachweise, Aufsicht und Kontinuitätsplanung zum Teil der Resilienzarbeit.
Wie sieht digitale Souveränität in der Praxis aus?
Absolute Unabhängigkeit ist für die meisten Unternehmen unrealistisch. Capgemini halten 59 % der Führungskräfte eine vollständige digitale Souveränität im heutigen Technologie-Ökosystem für nicht erreichbar. Moderne Dienste hängen von internationalen Anbietern, spezialisierter Infrastruktur und Standards ab, die kein einzelnes Unternehmen wirtschaftlich nachbilden kann.
Das praktische Ziel ist kontrollierte Interdependenz. Ein Unternehmen kann einen globalen Anbieter dort nutzen, wo das Risiko vertretbar ist, und zugleich einen geschützten Kern aus Daten, Workloads, Schlüsseln und Entscheidungen unter direkter oder abgesicherter Kontrolle halten.
Nehmen wir einen sensiblen juristischen Workload auf einer globalen Cloud-Plattform. Eine realistische Souveränitätsposition würde keine vollständige Unabhängigkeit behaupten. Sie würde zeigen, wo die Daten verarbeitet werden, wer darauf zugreifen kann, welcher Anbieter und welche Unterauftragnehmer den Dienst erbringen, wie die Verschlüsselungsschlüssel verwaltet werden, was passiert, wenn der Anbieter seine Bedingungen ändert, und wie der Workload umgezogen werden könnte. Sie würde außerdem zeigen, wer dieses Maß an Risiko genehmigt hat und wann die Entscheidung überprüft werden soll.
Diesen Maßstab sollte die Rechtsabteilung anlegen. Kann das Unternehmen die Abhängigkeit über den direkten Lieferanten hinaus nachverfolgen? Kann es belegen, dass seine Kontrollen in der Praxis greifen? Kann es die Werte schützen, auf die es am meisten ankommt? Kann es aussteigen, wenn eine regulatorische, operative oder geopolitische Veränderung die Geschäftsbeziehung untragbar macht? Lautet die Antwort Nein, liegt die eigentliche Lücke bei Nachweisen und Entscheidungsdisziplin.
Wie können Unternehmen ihre digitale Souveränität strukturieren?
Ein tragfähiger Ansatz beginnt beim Geschäft und seinen kritischsten Abhängigkeiten. Die Rechtsabteilung kann eine klarere Souveränitätsposition aufbauen, indem sie die Regeln und Entscheidungen nachverfolgt, die diese Abhängigkeiten prägen, und daraus Kontrollen macht, die das Unternehmen überprüfen und verteidigen kann.
Bei den lokalen Vorgaben beginnen
Erfassen Sie Anforderungen zu Datenresidenz, Datenlokalisierung, Branchenregulierung und extraterritorialer Wirkung auf Ebene der einzelnen Gesellschaft und des einzelnen Datensatzes. Ein Konzern, der in mehreren Märkten tätig ist, sollte nicht davon ausgehen, dass eine einzige Richtlinie jede Frage der Rechtsordnung beantwortet.
Einen kritischen Dienst nachverfolgen
Verfolgen Sie einen kritischen Geschäftsprozess von Ende zu Ende. Bestimmen Sie den Prozess, auf den das Unternehmen nicht verzichten kann, und verfolgen Sie dann Cloud-Anbieter, Software, Datenflüsse, Supportzugriffe, Unterauftragnehmer und vertragliche Zusagen. Wer mit einem einzigen Dienst beginnt, macht die Abhängigkeit sichtbar, ohne die Übung in ein Inventarprojekt zu verwandeln, an dessen Ende keine Entscheidung steht.
Nach Risiko priorisieren
Nutzen Sie diese Übersicht, um Prioritäten zu setzen. Ein Dienst mit geringer Tragweite und mehreren realistischen Alternativen kann vertretbar sein. Ein einzelner Anbieter, der einen regulierten Prozess unterstützt, sensible Daten hält oder den einzigen praktikablen Ausstiegsweg kontrolliert, verdient eine andere Aufsichtsintensität. Die Analyse der Rechtsabteilung zu Haftung, anwendbarem Recht, Kündigungsfristen und Übergangsrechten sollte diese Entscheidung früh prägen.
Exit-Fähigkeit operativ machen
Definieren Sie die Ereignisse, die eine Überprüfung auslösen, etwa einen Verstoß gegen regulatorische Vorgaben, einen anhaltenden Dienstausfall oder eine wesentliche geopolitische Veränderung. Prüfen Sie Alternativen, bevor Sie sie brauchen, testen Sie Ihre Annahmen zu Datenrückgabe und Migration und halten Sie die Freigabehistorie aktuell. DORA hat Teile dieser Arbeit im Bankensektor vertraut gemacht, doch die Disziplin dahinter gilt für jedes Unternehmen mit kritischen digitalen Abhängigkeiten.
Für die Rechtsabteilung ist der letzte Test einfach: Wenn Vorstand, Aufsichtsrat oder eine Aufsichtsbehörde fragen, warum eine Abhängigkeit akzeptiert wurde, kann das Team die Antwort als zusammenhängende Dokumentation vorlegen? Sie sollte Vertrag, Gesellschaft, Verpflichtung, Entscheidung, Verantwortliche und aktuelles Risiko zeigen, ohne Suche in Postfächern und unverbundenen Dateien.
Genau hier kann ein Legal Operating System ansetzen. Das Legal Operating System von DiliTrust verbindet Verträge, Gesellschaften, Rechtsangelegenheiten und Gremienbeschlüsse, damit Rechtsabteilungen die Nachweise hinter einer Abhängigkeit nachverfolgen und die Position des Unternehmens souverän erklären können. Die Technologie macht diese Interdependenz leichter steuerbar, weil sie der Rechtsabteilung eine klarere Dokumentation davon gibt.
Häufige Fragen zur digitalen Souveränität
Was ist digitale Souveränität?
Digitale Souveränität ist die Fähigkeit eines Unternehmens, seine kritischen digitalen Abläufe zu kontrollieren und fortzuführen, wenn sich Anbieter, Vorschriften oder geopolitische Bedingungen ändern. Sie umfasst Daten, Infrastruktur, Software, Cybersicherheit, Konnektivität sowie die rechtlichen und vertraglichen Beziehungen, die all das regeln.
Was ist der Unterschied zwischen digitaler Souveränität und Datenresidenz?
Datenresidenz betrifft den Ort, an dem Daten gespeichert oder verarbeitet werden. Digitale Souveränität geht weiter: Sie umfasst auch, wer die Infrastruktur kontrolliert, wer auf die Daten zugreifen kann, welche Gesetze auf sie zugreifen können, wie abhängig das Unternehmen von einem Anbieter ist und ob es den Betrieb fortführen oder aussteigen kann, wenn sich die Bedingungen ändern.
Warum ist digitale Souveränität für Rechtsabteilungen wichtig?
Die Rechtsabteilung verwaltet einen großen Teil der Nachweise hinter digitalen Abhängigkeiten, darunter Verträge, Gesellschaftsdaten, Verpflichtungen, Zugriffsrechte und Gremienbeschlüsse. Sie hilft dem Unternehmen zu verstehen, welche Zusagen es gemacht hat, welche Rechtsordnungen greifen können und ob seine Exit- und Kontinuitätspläne tragfähig sind.
Wie kann ein Unternehmen seine digitale Souveränität verbessern?
Erfassen Sie zuerst die Vorgaben, die für jede Gesellschaft und jeden Datensatz gelten. Verfolgen Sie dann einen kritischen Geschäftsprozess über seine Anbieter, Unterauftragnehmer, Datenflüsse und Verträge. Priorisieren Sie die Abhängigkeiten mit der größten geschäftlichen Tragweite, Konzentration oder regulatorischen Relevanz, und definieren Sie Exit-Auslöser und Alternativen, bevor Sie sie brauchen.
Was sollten Rechtsabteilungen Cloud- und KI-Anbieter fragen?
Fragen Sie, wo Daten verarbeitet werden, welche Gesellschaften und Unterauftragnehmer darauf zugreifen können, welches Recht anwendbar sein kann, ob der Anbieter den Dienst ändern oder die Daten nutzen darf, wie Audits und Vorfälle gehandhabt werden, wer die Verschlüsselungsschlüssel kontrolliert und was mit den Daten bei Vertragsende geschieht. Die Antworten sollten so dokumentiert sein, dass das Unternehmen sie prüfen und verteidigen kann.
