Digitale Souveränität bezeichnet die Fähigkeit von Staaten, Organisationen und Einzelpersonen, im digitalen Raum selbstbestimmt zu handeln – also eigenständig über eingesetzte Technologien, verarbeitete Daten und die Wahl von Anbietern zu entscheiden. Digitale Souveränität bedeutet nicht technologische Autarkie, sondern die Fähigkeit, Abhängigkeiten zu erkennen, zu begrenzen und im Bedarfsfall zu wechseln.

Was ist digitale Souveränität?

Digitale Souveränität beschreibt Handlungsfähigkeit, nicht Besitz. Entscheidend ist nicht, ob eine Organisation ihre Technik selbst herstellt, sondern ob sie über deren Einsatz frei entscheiden kann – und ob sie diese Entscheidung revidieren kann, wenn sich Rahmenbedingungen ändern.

Der Begriff wird auf drei Ebenen verwendet, die sich gegenseitig bedingen. Auf staatlicher Ebene geht es um die Fähigkeit, öffentliche Aufgaben unabhängig von Entscheidungen ausländischer Regierungen oder Konzerne zu erfüllen. Auf organisationaler Ebene um die Kontrolle über Daten, Prozesse und Systeme eines Unternehmens oder einer Behörde. Auf individueller Ebene um die informationelle Selbstbestimmung des Einzelnen.

Praktisch lässt sich digitale Souveränität an einer einzigen Frage messen: Was passiert, wenn ein Anbieter seine Bedingungen ändert, den Dienst einstellt, den Preis verdreifacht oder durch eine Rechtsordnung zur Herausgabe von Daten verpflichtet wird? Eine Organisation, die darauf keine Antwort hat, ist in diesem Bereich nicht souverän – unabhängig davon, wie gut der Dienst funktioniert und wo der Server steht.

Welche Dimensionen hat digitale Souveränität?

Digitale Souveränität wird üblicherweise in mehrere Dimensionen unterteilt, die getrennt bewertet werden können und in der Praxis unterschiedlich stark ausgeprägt sind.

Dimension	Leitfrage	Typische Stellschrauben
Datensouveränität	Wer hat Zugriff auf welche Daten, und nach welchem Recht?	Speicher- und Verarbeitungsorte, Schlüsselhoheit, Unterauftragsverarbeiter
Technologische Souveränität	Sind Schlüsseltechnologien verfügbar und beherrschbar?	Eigene Entwicklungskompetenz, Zugang zu Hardware, Standards
Anbietersouveränität	Lässt sich der Anbieter wechseln?	Datenportabilität, offene Schnittstellen, Exit-Strategie, Vertragslaufzeiten
Rechtliche Souveränität	Welcher Rechtsordnung unterliegt der Anbieter?	Sitz des Unternehmens und der Muttergesellschaft, Konzernstruktur
Betriebliche Souveränität	Lässt sich der Dienst ohne den Anbieter betreiben?	Betriebsmodell, lokale Installierbarkeit, Notfallbetrieb
Kompetenzsouveränität	Versteht die Organisation, was sie einsetzt?	Eigenes Personal, Architekturwissen, Prüf- und Auditfähigkeit

Die letzte Dimension wird am häufigsten übersehen. Eine Organisation, die vollständig auf externe Dienstleister angewiesen ist, um ihre eigene IT zu verstehen und zu bewerten, ist auch dann abhängig, wenn alle Server im Inland stehen. Kompetenz ist die Voraussetzung dafür, die übrigen Dimensionen überhaupt beurteilen zu können.

Wie grenzt sich digitale Souveränität von Datensouveränität und Autarkie ab?

Datensouveränität ist eine Teilmenge der digitalen Souveränität und betrifft ausschließlich die Kontrolle über Daten – wo sie liegen, wer darauf zugreifen darf, welchem Recht sie unterliegen und wie sie sich wieder herausholen lassen. Digitale Souveränität ist weiter gefasst und schließt Technologie, Betrieb, Kompetenz und die Fähigkeit zum Anbieterwechsel ein.

Autarkie wiederum ist etwas grundsätzlich anderes und wird in der Debatte regelmäßig mit Souveränität verwechselt. Autarkie bedeutet Unabhängigkeit durch Selbstversorgung – alles selbst entwickeln, selbst betreiben, nichts einkaufen. Das ist für keine Organisation und für keinen Staat realistisch, und es wäre auch ökonomisch unsinnig: Niemand baut eigene Prozessoren, um souverän zu sein.

Souveränität setzt stattdessen auf Wahlfreiheit und Wechselfähigkeit. Eine Organisation darf abhängig sein, solange sie diese Abhängigkeit kennt, bewusst eingegangen ist und im Bedarfsfall auflösen kann. Der Unterschied zwischen einer Abhängigkeit und einem Lock-in liegt nicht darin, ob ein externer Dienst genutzt wird, sondern darin, ob ein realistischer, geübter Ausstiegspfad existiert.

Warum ist digitale Souveränität zum Thema geworden?

Digitale Souveränität ist von einem Fachbegriff zu einem Beschaffungskriterium geworden, weil mehrere Entwicklungen zusammengefallen sind.

Erstens die Konzentration des Marktes: Ein erheblicher Teil der weltweit genutzten Cloud-Infrastruktur, Betriebssysteme, Bürosoftware und Kommunikationsdienste stammt von wenigen Anbietern mit Sitz außerhalb Europas. Diese Konzentration schafft Klumpenrisiken, die weniger politisch als betriebswirtschaftlich problematisch sind – ein Ausfall oder eine Preisänderung wirkt sofort branchenweit.

Zweitens rechtliche Konflikte zwischen europäischem Datenschutzrecht und ausländischen Zugriffsbefugnissen, die durch die Rechtsprechung des Europäischen Gerichtshofs seit 2020 unübersehbar geworden sind und Organisationen zu Prüfungen zwingen, die vorher niemand verlangt hat.

Drittens geopolitische Unsicherheit: Handelskonflikte, Exportbeschränkungen und die Erfahrung, dass Lieferketten politisch unterbrochen werden können, haben die Frage aufgeworfen, welche Technologien im Krisenfall verfügbar bleiben.

Viertens regulatorischer Druck: NIS-2 verlangt Risikomanagement in der Lieferkette, der Cyber Resilience Act macht Produktsicherheit nachweispflichtig, und für Finanzunternehmen fordert die Verordnung über digitale operationale Resilienz ausdrücklich dokumentierte Ausstiegsstrategien. Souveränitätsfragen sind damit unabhängig von der politischen Debatte zu Compliance-Anforderungen geworden.

Welche Bedeutung hat der CLOUD Act für die digitale Souveränität?

Der US-amerikanische CLOUD Act von 2018 ist der meistdiskutierte Einzelfaktor der Souveränitätsdebatte. Er ermöglicht US-Behörden, von Anbietern, die US-Recht unterliegen, die Herausgabe gespeicherter Daten zu verlangen – unabhängig davon, in welchem Land diese Daten physisch liegen. Maßgeblich ist damit nicht der Serverstandort, sondern die rechtliche Kontrolle über den Anbieter.

Für europäische Organisationen entsteht daraus ein Spannungsverhältnis: Eine Herausgabe auf Grundlage einer ausländischen Anordnung kann datenschutzrechtlich unzulässig sein, während die Nichtbefolgung den Anbieter in seiner Heimatrechtsordnung angreifbar macht. Ergänzend bestehen nachrichtendienstliche Zugriffsbefugnisse, deren Reichweite und Fortbestand regelmäßig Gegenstand gesetzgeberischer Verfahren sind.

Auf europäischer Seite haben Angemessenheitsbeschlüsse und Standardvertragsklauseln die Übermittlung praktisch handhabbar gemacht, ohne den Grundkonflikt aufzulösen. Verantwortliche bleiben verpflichtet, im Rahmen einer Übermittlungsfolgenabschätzung zu prüfen, ob das Recht des Ziellandes das zugesagte Schutzniveau aushöhlt – Details dazu gehören in die Dokumentation zum Auftragsverarbeitungsvertrag. Da sowohl die Angemessenheitsbeschlüsse als auch die zugrunde liegenden ausländischen Befugnisse fortlaufend Gegenstand von Verfahren und Gesetzgebung sind, sollte der aktuelle Stand vor Festlegungen geprüft werden.

Welche europäischen Initiativen fördern digitale Souveränität?

Auf europäischer und nationaler Ebene existieren mehrere Ansätze, die unterschiedliche Dimensionen adressieren.

Rechtsrahmen für Datenzugang und Wechsel: Der EU Data Act enthält Vorgaben zum Wechsel zwischen Datenverarbeitungsdiensten, einschließlich des schrittweisen Wegfalls von Wechselentgelten; der Data Governance Act regelt Datenvermittlung und Datenaltruismus.
Zertifizierung: Ein europäisches Zertifizierungsschema für Cloud-Dienste wird seit Jahren erarbeitet; die Frage, ob und wie stark Souveränitätsanforderungen darin verankert werden, war und ist dabei umstritten. National dient der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik als etablierter Prüfmaßstab.
Infrastrukturinitiativen: Föderierte Dateninfrastrukturprojekte und europäische Vorhaben von gemeinsamem Interesse zielen auf interoperable, standardbasierte Cloud-Ökosysteme.
Souveräne Arbeitsplätze in der Verwaltung: In Deutschland arbeitet ein vom Bund getragenes Zentrum an einem quelloffenen Arbeitsplatz für die öffentliche Verwaltung; einzelne Länder haben Migrationen zu quelloffener Software beschlossen.
Hardware und Schlüsseltechnologien: Förderprogramme für Halbleiterfertigung und Schlüsseltechnologien adressieren die technologische Dimension.

Der Reifegrad dieser Ansätze ist sehr unterschiedlich, und mehrere Vorhaben sind hinter ihren ursprünglichen Zeitplänen zurückgeblieben. Für die Bewertung im Einzelfall empfiehlt sich deshalb der Blick auf den konkreten Umsetzungsstand statt auf die Programmatik.

Welche Rolle spielt Open Source für die digitale Souveränität?

Quelloffene Software adressiert mehrere Souveränitätsdimensionen zugleich und wird deshalb in Strategiepapieren regelmäßig als Hebel genannt. Sie ermöglicht Nachvollziehbarkeit, weil der Quellcode geprüft werden kann; sie reduziert Anbieterbindung, weil Betrieb und Weiterentwicklung nicht an einen einzelnen Hersteller gebunden sind; und sie erlaubt den Betrieb in eigener Verantwortung.

Der Zusammenhang ist allerdings kein Automatismus. Quelloffenheit allein schafft keine Souveränität, wenn niemand den Code prüft, wenn die Weiterentwicklung faktisch von einem einzelnen Unternehmen kontrolliert wird, wenn der Betrieb nur als gehosteter Dienst eines externen Anbieters erfolgt oder wenn die Organisation nicht über das Personal verfügt, die Software zu betreiben und zu bewerten. Umgekehrt kann proprietäre Software souveränitätsverträglich sein, wenn Rechtsordnung, Schlüsselhoheit, Betriebsmodell und Ausstiegspfad stimmen.

Hinzu kommt ein Punkt, der seit einigen Jahren stärker beachtet wird: Auch quelloffene Komponenten sind Lieferkette. Der Cyber Resilience Act adressiert das, indem er für kommerziell verwertete Produkte eine Softwarestückliste und einen dokumentierten Umgang mit Schwachstellen verlangt.

Woran lässt sich digitale Souveränität bei einem Anbieter prüfen?

Digitale Souveränität lässt sich bei einem Anbieter anhand konkreter, überprüfbarer Kriterien bewerten – unabhängig von Marketingaussagen und Herkunftsangaben. Bewährt haben sich acht Prüfpunkte:

Rechtsordnung: Sitz des Anbieters und aller beherrschenden Muttergesellschaften, Konzernstruktur, mögliche extraterritoriale Zugriffsbefugnisse
Verarbeitungsorte: alle Standorte einschließlich Support, Wartung, Monitoring und Backup – nicht nur der Ort der Primärspeicherung
Schlüsselhoheit: wer die Schlüssel erzeugt, hält und verwenden kann; ob Inhalte für den Betreiber lesbar sind
Unterauftragsverarbeiter: vollständige, aktuelle Liste, Ankündigungsfristen, wirksames Einspruchsrecht
Metadatenanfall: welche Verbindungs- und Nutzungsdaten entstehen, wo sie liegen, wie lange sie aufbewahrt werden und wer darauf zugreifen kann
Exit-Fähigkeit: Exportformate, dokumentierte Schnittstellen, Migrationspfade, vertraglich zugesicherte Unterstützung beim Wechsel
Betriebsmodell: ob ein Betrieb in eigener Verantwortung oder in einem eigenen Rechenzentrum möglich ist
Nachweise: Zertifizierungen und Prüfberichte mit Blick auf ihren tatsächlichen Geltungsbereich

Der Punkt zum Metadatenanfall wird dabei am häufigsten übersehen. Selbst wenn Inhalte durch Ende-zu-Ende-Verschlüsselung geschützt sind, bleiben Metadaten – wer wann mit wem – beim Betreiber sichtbar und unterliegen dessen Rechtsordnung. Bei Behörden, Kliniken und Betreibern kritischer Infrastrukturen kann bereits dieses Kommunikationsmuster schutzbedürftig sein.

Welche Kritik gibt es an der Debatte um digitale Souveränität?

Die Souveränitätsdebatte wird auch kritisch geführt, und einige Einwände verdienen ernsthafte Beachtung.

Der häufigste lautet, dass Souveränität als Etikett verwendet wird, ohne dass sich an den Kontrollverhältnissen etwas ändert. Angebote, die mit lokalem Rechenzentrum und europäischem Betreibernamen werben, deren beherrschende Gesellschaft aber weiterhin ausländischem Recht unterliegt, verschieben das Risiko nicht, sondern verdecken es. Maßgeblich ist die Kontrollstruktur, nicht die Adresse im Impressum.

Ein zweiter Einwand betrifft Kosten und Leistungsfähigkeit. Europäische Alternativen sind in einzelnen Bereichen weniger ausgereift oder teurer, und eine Beschaffungsentscheidung allein nach Herkunft kann zu schlechteren Ergebnissen führen als eine nach Eignung. Kritiker verweisen zudem darauf, dass Souveränitätsargumente sich für protektionistische Zwecke instrumentalisieren lassen.

Ein dritter Einwand ist methodischer Natur: Souveränität wird häufig als Eigenschaft eines Produkts diskutiert, obwohl sie eine Eigenschaft der eigenen Architektur und Organisation ist. Wer über keine Exit-Strategie, kein Architekturwissen und keine geübten Alternativen verfügt, gewinnt durch die Wahl eines anderen Anbieters wenig.

Befürworter halten dem entgegen, dass die genannten Punkte für eine sorgfältigere Anwendung des Konzepts sprechen, nicht gegen das Konzept selbst – und dass die rechtlichen und geopolitischen Risiken real sind, unabhängig davon, wie unscharf der Begriff mitunter verwendet wird. Für die Praxis führt beides zum selben Schluss: Souveränität ist kein Siegel, sondern das Ergebnis überprüfbarer Kriterien und einer belastbaren Ausstiegsfähigkeit.

Zusammenfassung: Wichtige Punkte zur digitalen Souveränität

Digitale Souveränität ist die Fähigkeit, im digitalen Raum selbstbestimmt zu entscheiden – über Technologien, Daten und Anbieter.
Sie bedeutet nicht Autarkie: Abhängigkeiten sind zulässig, solange sie bekannt, bewusst eingegangen und auflösbar sind.
Unterschieden werden Daten-, Technologie-, Anbieter-, Rechts-, Betriebs- und Kompetenzsouveränität; die letzte wird am häufigsten übersehen.
Datensouveränität ist eine Teilmenge der digitalen Souveränität und betrifft nur die Kontrolle über Daten.
Treiber der Debatte sind Marktkonzentration, rechtliche Konflikte um Drittlandzugriffe, geopolitische Unsicherheit und regulatorischer Druck.
Beim CLOUD Act entscheidet nicht der Serverstandort, sondern die rechtliche Kontrolle über den Anbieter.
Open Source ist ein Hebel, aber kein Automatismus: Ohne Prüfkompetenz, Betriebsfähigkeit und offene Weiterentwicklung entsteht keine Souveränität.
Prüfbar wird Souveränität über Rechtsordnung, Verarbeitungsorte, Schlüsselhoheit, Unterauftragsverarbeiter, Metadatenanfall, Exit-Fähigkeit, Betriebsmodell und Nachweise.
Auch bei verschlüsselten Inhalten bleiben Metadaten beim Betreiber sichtbar und unterliegen dessen Rechtsordnung.
Berechtigte Kritik richtet sich gegen Souveränität als Etikett ohne veränderte Kontrollstruktur – maßgeblich ist die Kontrollstruktur, nicht die Adresse im Impressum.