Digitale Souveränität prüfen: Sechs Kriterien gegen Abhängigkeit

Deutschland und Frankreich haben digitale Souveränität im Juni 2026 erstmals in einem gemeinsamen Kriterienrahmen konkretisiert. Gleichzeitig zeigen aktuelle Unternehmens- und Marktdaten, wie stark Wirtschaft und Handel von außereuropäischen Cloud-, Software-, KI- und Zahlungsanbietern abhängen. Wer digitale Souveränität prüfen will, muss deshalb tiefer schauen als auf Firmensitz und Serverstandort.

Digitale Souveränität prüfen heißt Risiken statt Flaggen bewerten

Digitale Souveränität bedeutet nicht, jede Technologie in Deutschland oder Europa selbst herzustellen. Vollständige Autarkie wäre angesichts globaler Lieferketten weder realistisch noch wirtschaftlich sinnvoll. Entscheidend ist die Fähigkeit, digitale Technologien selbstbestimmt auszuwählen, zu betreiben, anzupassen und bei Bedarf zu ersetzen.

Die gemeinsame deutsch-französische Definition digitaler Souveränität vom 17. Juni 2026 verfolgt deshalb einen risikobasierten Ansatz. Für ein öffentliches Melderegister, eine Bank oder ein Warenwirtschaftssystem gelten höhere Anforderungen als für eine unkritische Marketinganwendung. Das Papier ist politisch und rechtlich nicht bindend. Es liefert aber einen brauchbaren Maßstab, mit dem Unternehmen digitale Souveränität prüfen und das bisher unscharfe Schlagwort in konkrete Kriterien zerlegen können.

Der Standort eines Rechenzentrums beantwortet dabei nur einen Teil der Fragen. Ebenso wichtig sind Eigentümerstruktur, anwendbares Recht, Unterauftragnehmer, administrative Zugriffe, Verschlüsselungsschlüssel, Softwareabhängigkeiten und vorhandene Migrationswege. Ein Server in Frankfurt kann weiterhin von proprietärer Software, außereuropäischen Chips oder Supportzugriffen aus Drittstaaten abhängen.

Die Abhängigkeit reicht von der Cloud bis zum Checkout

Eine Sonderbefragung des ifo Instituts vom Juli 2026 zeigt das Ausmaß aus Sicht deutscher Unternehmen. Knapp 88 Prozent nutzen digitale Produkte oder Dienste US-amerikanischer Anbieter. 31 Prozent bezeichnen sich als stark abhängig. Von den Unternehmen, die darin ein Risiko erkennen, planen mehr als vier von zehn dennoch keine Gegenmaßnahmen. Diese Angaben beruhen auf Selbsteinschätzungen und sind keine technische Bestandsaufnahme. Sie zeigen aber, dass Abhängigkeit im Alltag häufig akzeptiert wird, solange Preis, Leistung und Komfort stimmen.

Besonders sichtbar wird die Konzentration im Cloud-Markt. Synergy Research schätzt den Anteil von AWS, Microsoft und Google am europäischen Markt für Cloud-Infrastruktur auf rund 70 Prozent. Europäische Anbieter kommen zusammen auf etwa 15 Prozent. Gleichzeitig nutzten laut Eurostat 2025 bereits 53 Prozent der Unternehmen in der EU kostenpflichtige Cloud-Dienste. E-Mail, Office, Datenspeicherung, ERP-Systeme und KI werden damit zunehmend auf einer Infrastruktur betrieben, die von wenigen Konzernen kontrolliert wird.

Im Zahlungsverkehr entsteht eine zweite Abhängigkeit. Nach Angaben der Europäischen Zentralbank unterliegen etwa zwei Drittel der Kartentransaktionen im Euroraum den Regeln nicht-europäischer Systeme. Händler können zwar einen europäischen Payment Service Provider wählen. Läuft die Zahlung anschließend über Visa oder Mastercard, bleibt das zugrunde liegende Kartensystem außereuropäisch. Händler, die digitale Souveränität prüfen, müssen deshalb auch hinter die sichtbare Zahlart schauen. Der Beitrag über Europas Alternativen zu US-Tech zeigt, welche europäischen Angebote bei Cloud, KI, Office und Payment bereits bestehen und wo weiterhin Lücken bleiben.

Sechs Kriterien machen das Schlagwort überprüfbar

Die deutsch-französische Definition nennt sechs Dimensionen. Erstens müssen Staaten und Unternehmen ihre Anforderungen rechtlich, wirtschaftlich und technisch durchsetzen können. Dazu gehört Transparenz darüber, welchem Recht ein Anbieter unterliegt und welche Abhängigkeiten zu Drittstaaten bestehen.

Zweitens braucht Europa eigenes technisches Wissen. Wer digitale Souveränität prüfen will, muss Architektur und Datenflüsse verstehen, statt Software lediglich einzukaufen. Fachkräfte, Forschung, offene Standards und die Fähigkeit, Systeme selbst zu betreiben, sind deshalb ebenso wichtig wie neue Rechenzentren.

Drittens geht es um Wertschöpfung. Europäische Anbieter müssen wettbewerbsfähige Produkte entwickeln und skalieren können. Politische Herkunftslabels reichen nicht, wenn Leistung, Preis, Serviceumfang oder Entwicklerwerkzeuge im Alltag nicht bestehen. Öffentliche Beschaffung kann Nachfrage schaffen, darf aber schwache Produkte nicht dauerhaft vor Wettbewerb schützen.

Viertens müssen sensible Daten kontrollierbar bleiben. Zu klären ist, wer Daten lesen, entschlüsseln, übertragen oder löschen kann. Fünftens müssen Systeme austauschbar sein. Offene Schnittstellen, dokumentierte Datenformate, modulare Architekturen und vertragliche Exit-Regeln reduzieren den Vendor Lock-in. Sechstens braucht es belastbare Infrastruktur: Rechenkapazität, Netze, Energie, Chips, Sicherheitstechnik und Personal müssen auch bei Störungen verfügbar bleiben.

Damit Unternehmen digitale Souveränität prüfen können, müssen diese Dimensionen in konkrete Abhängigkeiten übersetzt werden. Die folgende Tabelle zeigt, welche Nachweise nicht nur versprochen, sondern dokumentiert und getestet werden sollten.

Ein europäischer Anbieter ist noch kein Beweis

Wer digitale Souveränität prüfen möchte, sollte nicht allein auf den Firmensitz achten. Eine europäische Software kann auf einem US-Hyperscaler laufen. Ein deutscher Cloud-Anbieter kann kritische Komponenten aus Drittstaaten einsetzen. Und eine offene Software hilft wenig, wenn niemand Sicherheitslücken schließt oder den Betrieb beherrscht.

Auch Zertifizierungen beantworten nur Teilfragen. Prüfungen nach Sicherheitsstandards können Kontrollen, Prozesse und Transparenz belegen. Sie garantieren jedoch nicht automatisch, dass ein Anbieterwechsel wirtschaftlich machbar ist, alle Unterauftragnehmer europäischem Recht unterliegen oder die gesamte Lieferkette unabhängig betrieben werden kann. Der Vergleich einer souveränen Cloud zwischen AWS und Schwarz Digits zeigt, warum Datenstandort, Betreiberkontrolle und Servicebreite getrennt bewertet werden müssen.

Der EU Data Act setzt an einem dieser Probleme an. Er gilt seit dem 12. September 2025 und verlangt unter anderem, Hindernisse beim Wechsel zwischen Cloud-Diensten abzubauen. Ab dem 12. Januar 2027 sollen Wechsel- und Datenübertragungsentgelte vollständig entfallen. Das erleichtert den Anbieterwechsel rechtlich. Wer digitale Souveränität prüfen will, muss dennoch klären, ob komplexe Anwendungen technisch tatsächlich portabel sind. Das entscheidet sich an Architektur, Dokumentation und proprietären Plattformdiensten.

Unternehmen brauchen einen belastbaren Plan B

Für Händler beginnt die Arbeit mit einer Abhängigkeitskarte. Sie sollte Cloud, Shopsoftware, ERP, KI-Dienste, Entwicklerplattformen, Marktplätze, Payment, Wallets und Logistikschnittstellen erfassen. Für jede kritische Komponente ist zu klären, was bei einem Ausfall passiert, wie lange ein Wechsel dauert und welche Daten oder Funktionen nicht übertragbar sind.

Digitale Souveränität prüfen bedeutet anschließend, Exit-Pläne praktisch zu testen. Lassen sich Daten vollständig exportieren? Funktionieren Backups außerhalb des bisherigen Anbieters? Kann ein zweiter Zahlungsweg den Checkout aufrechterhalten? Sind Schnittstellen dokumentiert? Wer erst in einer Krise herausfindet, dass sein Plan B nur aus einer Vertragsklausel besteht, hat keinen Plan B.

Digitale Souveränität prüfen: kritische Systeme zuerst

Nicht jede Anwendung benötigt dieselbe Unabhängigkeit. Händler sollten zuerst die Systeme absichern, deren Ausfall unmittelbar Bestellungen, Zahlungen, Kundenzugriffe oder Lieferprozesse stoppt. Dazu gehören Shopplattform, Checkout, Payment, ERP, Warenwirtschaft, Identitätsverwaltung, Kundendaten und zentrale Logistikschnittstellen. Für diese Systeme sollten ein verantwortlicher Mitarbeiter, ein dokumentierter Notbetrieb und ein realistischer Wechselpfad benannt sein.

Zur zweiten Stufe gehören Office, Kommunikation, Analyse, KI-Dienste und Entwicklerplattformen. Ein Ausfall ist auch dort kostspielig, legt den Verkauf aber nicht zwingend innerhalb weniger Minuten still. Einzelne Marketing-, Design- oder Produktivitätswerkzeuge können in einer dritten Stufe behandelt werden, sofern sie keine exklusiven Kundendaten oder unersetzbaren Arbeitsstände enthalten.

Digitale Souveränität prüfen in 30 Tagen

Digitale Souveränität prüfen muss nicht mit einem jahrelangen Transformationsprojekt beginnen. In den ersten zehn Tagen sollten Unternehmen ihre zehn wichtigsten digitalen Dienste erfassen. Für jeden Dienst werden Geschäftszweck, Verantwortlicher, Anbieter, Eigentümer, Rechtsraum, Datenstandort und Folgen eines Ausfalls dokumentiert. Entscheidend ist nicht die Zahl aller eingesetzten Programme, sondern die Konzentration auf die Systeme, ohne die kein Umsatz mehr entsteht.

Zwischen Tag 11 und Tag 20 werden Verträge und technische Unterlagen geprüft. Benötigt werden die Liste der Unterauftragnehmer, Regeln für Administratorzugriffe, Datenexporte, Kündigung, Löschung, Wiederherstellung und Support. Fehlen diese Angaben, sollte der Anbieter sie schriftlich liefern. Eine Marketingaussage wie „Hosting in Europa“ ersetzt keine Auskunft darüber, wer die Plattform kontrolliert und welche Zugriffe aus Drittstaaten möglich sind.

Zwischen Tag 21 und Tag 30 folgt mindestens ein praktischer Test. Das kann der vollständige Export eines Produktkatalogs, die Wiederherstellung eines Backups außerhalb der produktiven Cloud oder eine Testzahlung über einen zweiten Zahlungsweg sein. Das Ergebnis wird mit Dauer, Kosten, Datenverlusten und offenen Problemen dokumentiert. Erst ein erfolgreicher Test zeigt, ob sich digitale Souveränität prüfen lässt oder nur vertraglich behauptet wird.

Welche Nachweise Anbieter liefern müssen

Wer digitale Souveränität prüfen will, sollte Anforderungen bei neuen Verträgen nicht erst nach einer Störung verhandeln. Für kritische Systeme gehören mindestens die folgenden Punkte in Ausschreibung, Vertrag oder Leistungsbeschreibung:

Für Händler kommen zwei praktische Anforderungen hinzu. Im Payment sollte neben dem wichtigsten Verfahren ein technisch unabhängiger zweiter Weg verfügbar sein. Bei Cloud, Shop und ERP müssen Backups außerhalb der produktiven Umgebung liegen und regelmäßig wiederhergestellt werden. Ein Backup, das nie geöffnet wurde, ist keine nachgewiesene Absicherung.

Digitale Souveränität prüfen mit zwölf Punkten

Als redaktionelle Arbeitshilfe lässt sich jede der sechs Abhängigkeiten mit null bis zwei Punkten bewerten. Null Punkte bedeuten, dass Transparenz, Nachweise oder eine realistische Wechselmöglichkeit fehlen. Einen Punkt erhält ein Bereich, wenn Anforderungen teilweise dokumentiert, aber nicht praktisch getestet sind. Zwei Punkte setzen voraus, dass Verträge, technische Nachweise und ein erfolgreicher Test vorliegen. Dieses Modell ist kein offizieller Standard, macht den internen Handlungsbedarf aber sichtbar.

Neun bis zwölf Punkte sprechen für eine vergleichsweise belastbare Position. Fünf bis acht Punkte zeigen konkreten Verbesserungsbedarf. Bei null bis vier Punkten hängt ein kritischer Dienst weitgehend von Versprechen und Strukturen des Anbieters ab. Unternehmen sollten diese Bewertung mindestens jährlich sowie vor größeren Vertragsverlängerungen wiederholen. So wird digitale Souveränität prüfen zu einem fortlaufenden Kontrollprozess statt zu einer einmaligen Einkaufsaussage.

Neue europäische Infrastruktur bleibt dennoch notwendig. Das geplante Rechenzentrum der Schwarz Gruppe in Dummerstorf zeigt, welche Investitionen dafür erforderlich sind. Bis 2033 sind dort 240 Megawatt Anschlussleistung und Investitionen von bis zu 5,6 Milliarden Euro vorgesehen. Zusätzliche Kapazität allein schafft aber noch keinen konkurrenzfähigen Cloud-Stack. Chips, Plattformdienste, Software, Energie, Fachkräfte und reale Kunden entscheiden mit.

Europa muss daher zwei Ziele verbinden: eigene wettbewerbsfähige Angebote aufbauen und gleichzeitig internationale Technologie weiter nutzen können. Digitale Souveränität prüfen heißt nicht, Zusammenarbeit abzusagen. Entscheidend ist die Fähigkeit, Kooperation zu eigenen Bedingungen einzugehen und sie zu beenden, ohne dass zentrale Geschäftsprozesse zusammenbrechen.

Faktenbox