Vom Serverstandort zur Steuerungsfähigkeit: Was digitale Souveränität für Unternehmen wirklich bedeutet

Aktualisiert am: 28. September 2026

Titelbild zum Blogartikel: Vom Serverstandort zur Steuerungsfähigkeit

Wo stehen unsere Server? Diese Frage prägt die Debatte über digitale Souveränität seit Jahren. Sie ist wichtig, aber sie greift zu kurz. Entscheidend ist, ob ein Unternehmen im Ernstfall handlungsfähig bleibt: über seine Daten, seine Technologie und seinen Betrieb. Beim 15. DextraData Executive Summit im Schlosshotel Hugenpoet haben wir diese These mit Führungskräften aus Revision, Recht, IT und öffentlicher Verwaltung diskutiert. Die wichtigsten Erkenntnisse im Überblick.

Der Serverstandort ist die Eintrittskarte, nicht das Ziel

Für viele Unternehmen bedeutet Souveränität bislang vor allem eines: Daten in Deutschland oder der EU. Das ist für bestimmte Daten eine zwingende Voraussetzung, etwa bei Übermittlungen in Drittländer. Es beantwortet aber nur einen kleinen Teil der Fragen, die im Ernstfall zählen. Wer kann auf die Daten zugreifen, und nach welchem Recht? Wer darf Updates einspielen? Und wie schnell läuft das Geschäft nach einem Ausfall wieder an?

Unsere Kernthese lautet deshalb: Souveränität ist nicht nur eine Frage des Hostings. Entscheidend ist die Steuerungsfähigkeit über Daten, Technologie und Betrieb.

Drei Ebenen, neun Prüffragen

Souveränität lässt sich auf drei Ebenen betrachten, die eng miteinander verbunden sind. Jede Ebene lässt sich mit drei einfachen Fragen prüfen: Wo? Wer? Was, wenn?

Der Serverstandort beantwortet genau eine dieser neun Fragen. Die übrigen acht entscheiden darüber, ob ein Unternehmen tatsächlich souverän handeln kann.

Warum der Standort allein nicht schützt

Zwei Ereignisse zeigen, worum es geht:

Rechtlicher Zugriff: Im Juni 2025 erklärte der Rechtschef von Microsoft France unter Eid vor dem französischen Senat, er könne nicht garantieren, dass bestimmte Daten französischer Bürger nie ohne Zustimmung französischer Behörden an US-Behörden gehen. Nach seiner Aussage ist das bislang nie vorgekommen. Das Beispiel zeigt ein offengelegtes Rechtsrisiko: Der Speicherort allein schließt ausländische Herausgabepflichten nicht aus.
Betriebliche Abhängigkeit: Im Juli 2024 legte ein fehlerhaftes Update eines Sicherheitsanbieters nach Schätzung von Microsoft rund 8,5 Millionen Windows-Geräte lahm. Wo die Server standen, war dafür unerheblich.

Die EU-Agentur für Cybersicherheit ENISA bestätigt dieses Muster in ihrem Threat Landscape 2026 vom 22. September 2026. Angriffe über Lieferketten, Drittanbieter und Cloud-Umgebungen führten 2025 in der Regel zu großflächigen oder besonders folgenreichen Vorfällen. 73 Prozent der erfassten Vorfälle betrafen wesentliche oder wichtige Einrichtungen im Sinne von NIS-2. Und bei rund der Hälfte der unter NIS-2 gemeldeten Ereignisse mit böswilliger Ursache wurde die Grundursache als unbekannt gemeldet. Wer Ursachen und Abhängigkeiten nicht kennt, kann nur eingeschränkt steuern.

Die Exit-Lücke: Wollen, wissen, können

Aktuelle Studien zeigen, wie groß der Abstand zwischen Einsicht und Umsetzung ist:

Wollen: Laut Bitkom Cloud Report vom Juni 2026 beziehen 71 Prozent der Unternehmen Cloud-Dienste aus den USA. Bevorzugen würden das nur 8 Prozent.
Wissen: Laut Lünendonk halten 83 Prozent der Befragten eine einseitige Abschaltung durch einen Cloud-Provider für realistisch. Eine Exit-Strategie haben nur 57 Prozent.
Können: Nur rund jedes dritte Unternehmen, das Cloud nutzt, hat überhaupt schon einmal den Anbieter gewechselt. 59 Prozent nennen Lock-in als größte Wechselbarriere.

Vertraglich austauschbar heißt noch lange nicht praktisch ersetzbar. Eine Kündigungsklausel ist kein Ausstieg, wenn Datenexport, Identitäten, Schnittstellen und Wiederanlaufwissen beim selben Anbieter liegen.

Europa misst Souveränität in Stufen

Die europäische und deutsche Debatte hat sich 2026 deutlich weiterentwickelt. Alle aktuellen Ansätze behandeln den Standort als Ausgangspunkt, nicht als Ziel:

Cloud and AI Development Act: Der Vorschlag der EU-Kommission vom 3. Juni 2026 sieht für den öffentlichen Sektor vier Sicherheitsstufen vor. Stufe 1 ist die Verarbeitung und Speicherung von Daten in der EU, die weiteren Stufen fragen nach Unabhängigkeit, Kontrolle und Transparenz der Software-Lieferkette. Es handelt sich um einen Vorschlag, nicht um geltendes Recht.
Cloud Sovereignty Framework der EU-Kommission: Es bewertet acht Souveränitätsziele. Die Gesamtstufe richtet sich nach dem schwächsten Ziel.
BSI-Kriterien C3A: Das BSI hat im April 2026 Souveränitätskriterien für Cloud-Dienste veröffentlicht. Sie ergänzen die Frage „Ist der Dienst sicher?“ um die Frage „Kann ich ihn selbstbestimmt nutzen?“. Die Kriterien sind freiwillig und sollen auditierbar sein.
Gemeinsame Definition von Deutschland und Frankreich (Juni 2026): Sie beschreibt Austauschbarkeit als Wechsel in angemessener Zeit und zu angemessenen Kosten.

Blog Souveraenitaet 04 Souveraenitaet in Stufen

Regulierung verlangt Steuerungsfähigkeit

Auch der regulatorische Rahmen fragt selten nur nach dem Standort, sondern danach, ob Unternehmen steuern und nachweisen können:

NIS-2 (BSIG, seit 6. Dezember 2025): Risikomanagement einschließlich Lieferkettensicherheit. Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen.
DORA (Finanzsektor): ein Register der IKT-Dienstleistungsverträge und getestete Exit-Strategien für Dienste, die kritische oder wichtige Funktionen unterstützen.
EU Data Act (seit 12. September 2025): Er erleichtert den Wechsel von Cloud-Diensten, ab dem 12. Januar 2027 sind Wechselentgelte unzulässig.

Steuerungsfähigkeit erleichtert die Erfüllung dieser Pflichten. Ersetzen kann sie die konkrete Umsetzung nicht.

So wird Steuerungsfähigkeit praktisch

Steuerungsfähigkeit ruht auf vier Bausteinen:

Rollen

Jede kritische Abhängigkeit hat einen benannten Verantwortlichen mit Entscheidungsrecht.

Kontrollen

Schwellenwerte, Abschaltpunkte und Exit-Auslöser sind definiert, bevor eine Krise eintritt.

Transparenz

Abhängigkeiten, Sub-Dienstleister und Datenflüsse sind aktuell und miteinander verknüpft.

Nachweis

Ausstieg und Wiederanlauf sind getestet, dokumentiert und prüfbar.

Messbar wird das über wenige, klar verantwortete Kennzahlen:

Exit-Reife: der Anteil kritischer Dienstleister mit getestetem Exit-Plan.
Time-to-Exit: die realistische Wechseldauer und die Wechselkosten für die wichtigsten Abhängigkeiten.
Konzentrationsrisiko: der Anteil kritischer Prozesse, die an einem einzigen Anbieter oder Rechtsraum hängen.

Jede Kennzahl braucht einen Verantwortlichen und eine Entscheidungsschwelle. Sonst entsteht nur ein weiterer Bericht.

Souveränität verlangt dabei keinen Wechsel um jeden Preis. Laut Bitkom sehen 43 Prozent der Unternehmen keine gleichwertigen europäischen Alternativen. Es geht deshalb um eine bewusste Entscheidung je Anwendung: Nutzen, Restrisiko und realistische Handlungsoptionen gegeneinander abwägen.

Blog Souveraenitaet 05 Bausteine und Kennzahlen

Drei Schritte für die nächste Woche

Auch der regulatorische Rahmen fragt selten nur nach dem Standort, sondern danach, ob Unternehmen steuern und nachweisen können:

Stellen Sie Ihrem Leitungsgremium die neun Prüffragen und markieren Sie ehrlich, welche heute offen sind.
Wählen Sie Ihre drei kritischsten Abhängigkeiten und testen Sie die entscheidenden Schritte des Ausstiegs, nicht nur auf dem Papier.
Machen Sie Souveränität zur Kennzahl im Bericht an Geschäftsleitung und Aufsichtsgremium.

Wie GRASP dabei unterstützt

GRASP, die GRC-Plattform der DextraData GRC Technologies GmbH, unterstützt Unternehmen dabei, Abhängigkeiten sichtbar und steuerbar zu machen:

Transparenz: ein Asset- und Prozessinventar einschließlich Dienstleistern mit gerichteten Abhängigkeiten.
Kontrollen: Die Business Impact-Analyse leitet Wiederanlaufanforderungen aus diesen Abhängigkeiten ab.
Nachweis: eine gemeinsame Stammdatenbasis für Informationssicherheit, Datenschutz und BCM.

Sie möchten wissen, wie steuerungsfähig Ihre Organisation heute ist?

Sprechen Sie uns an!