Wie Unternehmen Abhängigkeiten wirklich bewältigen können Von Souveränität zu Resilienz

Anbieter zum Thema

Dataiku GmbH

DataCore Software GmbH

Seit zwei Jahren dominiert das Thema „digitale Souveränität“ Diskussionen über KI und Cloud-Strategien in europäischen Führungsgremien. Insbesondere für deutsche KI-, Tech- und Data-Führungskräfte hat sich die Debatte auf wenige Fragen verengt: Wo stehen die Server, unter welcher Flagge operiert der Cloud-Anbieter, ist das Modell europäisch? Eine bequeme Checkliste, aber die falsche.

„Souveränität ist ein grundlegendes Merkmal von Staaten und supranationalen Organisationen.“ So bringen es Unternehmensvertreter und Wirtschaftsakteure aus Deutschland, Frankreich, den Niederlanden und Belgien in einem gemeinsamen Positionspapier auf den Punkt. Eine Regierung kann souverän sein, ein Unternehmen nicht. Es kann nur mehr oder weniger resilient sein, mehr oder weniger die Kontrolle über seine Abhängigkeiten haben.

Diese Unterscheidung zwischen Souveränität und Resilienz ist in der Praxis wichtig. Souveränität verweist nur auf beschaffungstechnische Lösungen (europäische Produkte kaufen, lokal hosten, Kästchen ankreuzen), während Resilienz Governance-bezogene Lösungen verlangt: Abhängigkeiten sichtbar machen, wissen, wo sie liegen, und wissen, wie man handeln kann, sollte eine davon ausfallen.

Warum ist das gerade jetzt wichtig?

• Extraterritoriales Recht ist keine reine Theorie: Der US-amerikanische CLOUD Act und das FISA-Gesetz geben US-Behörden das Recht, Daten von US-Unternehmen anzufordern, unabhängig davon, wo sich diese Daten physisch befinden. Europas eigene Antwort, der Cloud and AI Act (CADA), verzögert sich weiterhin aufgrund von Meinungsverschiedenheiten darüber, wie Souveränität überhaupt definiert werden soll. Unternehmen fehlt dadurch regulatorische Sicherheit und eine Planungsgrundlage.

• Geopolitik wird zum direkten operativen Faktor: Sowohl die USA als auch China erwägen Beschränkungen für den Export ihrer eigenen Technologie. Europäische Unternehmen sind damit Entscheidungen ausgesetzt, die anderswo getroffen werden.

• Kosten steigen schneller als die Budgets: Gartner hat festgestellt, dass die Kosten für SaaS-Abonnements bei großen Anbietern um bis zu 20 Prozent steigen, während das prognostizierte Wachstum der IT-Budgets bei etwa 3 Prozent liegt. Eine Cigref-Studie beziffert das zugrunde liegende Risiko: Rund 80 Prozent der europäischen Software- und Cloud-Ausgaben (etwa 265 Milliarden Euro pro Jahr) fließen an US-amerikanische Anbieter.

Governance muss mit der zu kontrollierenden Technologie Schritt halten

Die Dringlichkeit ist dementsprechend nicht abstrakt, und die Gefahren steigen. Im Juli 2026 drangen im Rahmen interner Sicherheitsüberprüfungen Modelle von OpenAI in Teile der internen Infrastruktur sowie in die Plattform „Hugging Face“ ein – autonom, ohne dass ein Mensch den Angriff gelenkt hätte und ohne dass das Unternehmen davon etwas mitbekam. Eine unabhängige Analyse ergab später, dass rund 700 koordinierende Agenten daran beteiligt waren. Unabhängig davon, wie man diesen Vorfall bewertet, ist er ein konkretes Beispiel dafür, wie agentische KI die Angriffsfläche schneller vergrößert, als sich Governance-Strukturen anpassen können.

Das Abhängigkeitsrisiko umfasst nun also auch das Verhalten der Modelle selbst und nicht mehr nur das der Anbieter. Dies spricht dafür, Resilienz als fortlaufende operative Disziplin zu behandeln und nicht als einmalige Architekturentscheidung.

Dafür braucht es die Rolle des Chief Resilience Officers. In der Praxis bedeutet dies, Abhängigkeiten zu bewerten, bevor sie kritisch werden, und regelmäßige Übungen zu Ausfällen durchzuführen. Ausfälle von wichtigen Anbietern oder Modellen sollten dabei so getestet werden, wie es mit Brandschutzübungen üblich ist, damit eine Reversibilitätsklausel nicht erst dann zum ersten Mal getestet wird und in den Einsatz kommt, wenn sie tatsächlich gebraucht wird.

Eine aktuelle Gartner-CIO-Studie ergab, dass Führungskräfte, die geopolitische Risiken und Risiken im Zusammenhang mit der digitalen Souveränität proaktiv managen, mit einer um 51 Prozent höheren Wahrscheinlichkeit eine bessere Leistung erzielen als ihre Kollegen – doch derzeit tun dies nur 28 Prozent der Führungskräfte. Genau in dieser Lücke liegt die Chance.

Mythen werden von der Praxis überholt

Spricht man hingegen mit einigen anderen CDOs und CIOs über diese Themen, tauchen häufig die gleichen Irrtümer auf. Resilienz ist nämlich kein reines Compliance-Thema für regulierte Branchen. Sie ist nicht optional, und es geht nicht nur darum, Standards zu erfüllen. Es geht darum, genau zu wissen, wovon man abhängig ist, um handeln zu können – nicht falls, sondern sobald sich etwas ändert; genau zu wissen, welche Aspekte man ausgelagert hat und zu welchen Bedingungen. Resilienz wird dementsprechend auch nicht automatisch erreicht, indem zum Beispiel ausschließlich europäische Anbieter gewählt werden. Wenn man lokal hostet, ein europäisches Modell betreibt und dennoch einen externen Partner mit der KI-Strategie beauftragt, bleibt einem keine operative Resilienz. Infrastruktur ohne Wissenstransfer ist immer noch nur Infrastruktur; die Abhängigkeit und die Wissenslücke werden dadurch langfristig nur noch größer.

Governance messbar machen: der Digital Resilience Index

Das Problem zu benennen, löst es natürlich noch nicht. Im Januar 2026 hat ein Konsortium bedeutender europäischer Organisationen (aDRI, eine gemeinnützige Organisation) ein Instrument veröffentlicht, um die Cigref-Doktrin in die Praxis umzusetzen: den Digital Resilience Index (Indice de Résilience Numérique, IRN).

Anstatt von einer allgemeinen IT-Bestandsaufnahme auszugehen, arbeitet die Methodik top-down: von kritischen Geschäftsfunktionen hin zu den Anwendungen, Daten, Plattformen, Infrastruktur und Kompetenzen, die diese unterstützen.

In die Bewertung fließen mit ein: der Anteil der Software-Ausgaben an außereuropäische Anbieter, der physische Speicherort der Daten, die Umsetzbarkeit eines Anbieterwechsels und ob in Verträgen überhaupt Rücktrittsklauseln vorhanden sind. Das Rahmenwerk wird unter einer Creative-Commons-Lizenz (CC BY-NC-ND) veröffentlicht, damit Organisationen eine Selbstbewertung vornehmen können; dabei ziehen die Entwickler bewusst einen Vergleich zum B-Corp-Label: eine glaubwürdige, vergleichbare und nach außen hin nachvollziehbare Bewertung statt eines internen Gesprächsthemas.

Versteckte Kosten sichtbar machen

Der schwierigste Part ist nicht technischer, sondern finanzieller Natur. Reversibilität (parallel laufende Systeme, Multi-Cloud, Schulung von Teams) ist mit Kosten verbunden, die man sehen, diskutieren und kürzen kann. Abhängigkeiten funktionieren gegenteilig: Es fallen keine Kosten an, bis der Tag kommt, an dem ein Vertrag ausläuft oder ein Preis sprunghaft ansteigt.

Das Argument, das bei vielen CFOs ankommt, ist kein Compliance-Argument, sondern ein Risikoargument. Abhängigkeiten sollten so bewertet werden wie Kreditrisiken: Welche bedrohen die Geschäftskontinuität, und wie hoch ist das Risiko, wenn sie ausfallen? So betrachtet wird aus der Option, Anbieter wechseln zu können, eine echte Verhandlungsbasis. Ein Unternehmen, das glaubhaft den Anbieter wechseln kann, handelt bei der Vertragsverlängerung günstigere Konditionen aus. Eines, das dies nicht kann, muss die Kosten der Verlängerung einfach hinnehmen.

Welche Punkte für Vorstände wichtig sind

• Verzichten auf Souveränität als Häkchen bei Beschaffungen: stattdessen messbare und breiter gefasste Kriterien für Resilienz definieren: Reversibilität, Datenstandort, Lieferantenkonzentration, Zugriffssteuerung.

• Bewerten von Abhängigkeiten über Benennungen hinaus: Ein Rahmenwerk wie das IRN (oder ein gleichwertiges internes Verfahren) wandelt die Aussage „Wir glauben, dass wir gefährdet sind“ in eine Zahl um, auf deren Grundlage Vorstände und CFOs handeln können.

• Sichtbare Kosten für Wahlfreiheit einplanen: Die Alternative bestünde darin, die unsichtbaren Kosten der Abhängigkeit auf den Zeitplan anderer zu vertragen.

• Üben von Zugriffsverlusten: Wenn Sie noch nie den Ausstieg aus einem kritischen KI-Modell oder einem Cloud-Anbieter geübt haben, ist das die Lücke, die Sie als Erstes schließen sollten.

Es ging bei Souveränität nie wirklich darum, wo Server stehen. Es geht um Resilienz und darum, ob Unternehmen auch noch Entscheidungen treffen können, wenn Dinge nicht so laufen wie erwartet.

* Die Autorin: Stephanie Griffiths, Field CDO bei Dataiku

Sicherheit für Unternehmensdaten, Teil 1

Storage-Security: Replikation und Verschlüsselung

(ID:50994937)