Digitale Souveränität im Mittelstand: was sie praktisch bedeutet
Digitale Souveränität heißt für ein mittelständisches Unternehmen: Es weiß, von welchen Anbietern Daten, Software und Betrieb abhängen, und kann jeden davon in planbarer Zeit ersetzen. Gemessen wird das an einem geprobten Ausstieg, nicht am Firmensitz des Anbieters.
Drei denkbare Fälle: Ein Steuerbüro kündigt seinem Softwareanbieter und stellt fest, dass die Mandantendaten nur als PDF-Ausdrucke exportierbar sind. Ein Händler will den Hoster wechseln, aber die Domain läuft auf den Namen eines früheren Mitarbeiters. Ein Produktionsbetrieb bekommt eine Preiserhöhung für seine Cloud-Telefonie und merkt erst dann, dass die Rufnummern beim Anbieter liegen. Keiner dieser Fälle ist eine Frage der Politik. Es sind Fragen der Verfügbarkeit: Wer kann im Ernstfall entscheiden, und wie lange dauert der Wechsel?
Um diese praktische Seite geht es hier. Die Rechtslage zu Datenübermittlungen in die USA ordnet EU-Hosting: Mehr als nur Schrems II ein. Warum proprietäre Cloud-Dienste besonders fest binden, steht unter Vendor-Lock-in: Auch Cloud ist eine Falle. Und wer Hosting-Kosten gegen Hyperscaler rechnen will, findet die Rechnung in unserem Report Hosting-Souveränität mit Hetzner.
Begriff
Ein Begriff ohne politische Aufladung
Im politischen Gebrauch meint digitale Souveränität oft die Unabhängigkeit Europas von US-Konzernen. Für ein Unternehmen mit 50 oder 500 Mitarbeitern ist eine engere Fassung brauchbarer. Wir verstehen darunter die Fähigkeit, drei Dinge selbst zu bestimmen: wo die eigenen Daten liegen und in welcher Form man sie zurückbekommt, welche Software man einsetzt und wie man sie wieder loswird, und wer den Betrieb übernimmt, wenn der bisherige Partner ausfällt.
Unabhängig von jedem Anbieter muss dafür niemand sein. Ein Unternehmen darf Microsoft 365, einen Hyperscaler oder eine Branchensoftware nutzen. Es sollte nur wissen, was ein Wechsel kostet, und diese Kosten bewusst tragen. Die Abhängigkeit wird damit zu einer Entscheidung, die man begründen kann, statt zu einem Zustand, den man erst bei der Kündigung entdeckt. Für die Bindung an einen Anbieter gibt es einen eigenen Begriff, den Vendor-Lock-in; souverän ist, wer seinen Lock-in kennt und beziffern kann.
Drei Ebenen
Daten, Software, Betrieb
Die drei Ebenen hängen zusammen, werden aber getrennt geprüft, weil jede einen anderen Ausstiegsweg hat.
Daten. Hier zählt, ob Sie Ihre Daten vollständig, in einem lesbaren Format und in vertretbarer Zeit bekommen. Ein Export als CSV oder SQL-Dump mit allen Feldern ist ein Ausstiegsweg, ein PDF je Datensatz ist keiner. Bei Auftragsverarbeitern verlangt Art. 28 Abs. 3 lit. g DSGVO, dass der Vertrag die Rückgabe oder Löschung aller personenbezogenen Daten nach Ende der Leistung regelt. Das Format legt die Vorschrift nicht fest, das muss der Vertrag tun.
Software. Gemeint ist alles, was Daten verarbeitet: Fachanwendung, CMS, Shop, Warenwirtschaft, eigene Entwicklungen. Die Frage lautet, ob ein anderer Dienstleister die Software weiterbetreiben oder ablösen kann. Bei eigener Software heißt das: Quellcode im eigenen Repository, Nutzungsrechte im Vertrag, Dokumentation, die ohne den Autor verständlich ist. Wie man ein Projekt übernimmt, wenn der Entwickler nicht mehr verfügbar ist, steht unter Entwickler weg, Code da.
Betrieb. Server, Domain, DNS, Postfächer, Zertifikate, Sicherungen, Überwachung. Hier entscheidet sich, ob jemand anderes mit den vorhandenen Zugängen weiterarbeiten kann. Eine Sicherung, die nur beim Hoster liegt und nur dort eingespielt werden kann, bindet so fest wie ein proprietäres Datenformat.
Inventur
Abhängigkeiten im eigenen Unternehmen finden
Die Tabelle ist eine Vorlage für die Inventur. Gehen Sie sie mit der Person durch, die Verträge verwaltet, und mit der, die die Zugänge kennt. Jede Zeile bekommt einen Namen, ein Datum der letzten Prüfung und eine Einschätzung, wie viele Tage der Ausstieg dauern würde.
| Ausstiegsfrage | Ausstiegsweg, wenn die Antwort fehlt | |
|---|---|---|
| Domain und DNS | Ist das Unternehmen als Inhaber eingetragen, und wer hat die Zugangsdaten beim Registrar? | Inhaber umschreiben lassen, Zugang auf eine Funktionsadresse legen, DNS-Zone exportieren und ablegen |
| E-Mail und Kalender | Lassen sich alle Postfächer mit Ordnern und Kalendern in ein Standardformat exportieren? | Export einmal testweise für ein Postfach durchführen, Dauer und Format notieren |
| Dateiablage | Gibt es einen Gesamtexport mit Ordnerstruktur und Berechtigungen? | Ordnerstruktur und Rechte dokumentieren, Export mit einem Teilbereich proben |
| Fachanwendung, ERP, CRM | Welche Daten kommen in welchem Format heraus, und sind Anhänge und Historie dabei? | Exportumfang schriftlich beim Anbieter erfragen, Probeexport anfordern |
| Website und CMS | Liegen Inhalte, Medien und Vorlagen beim Unternehmen oder nur im System des Anbieters? | Inhaltsexport und Medienarchiv anlegen, Rechte an Gestaltung und Code klären |
| Eigene Software | Liegt der Quellcode in einem Repository des Unternehmens, mit Nutzungsrechten im Vertrag? | Repository übertragen lassen, Build- und Deployment-Schritte schriftlich festhalten |
| Server und Hosting | Kann ein anderer Dienstleister die Umgebung aus Dokumentation und Skripten neu aufbauen? | Aufbau dokumentieren, einmal auf einer leeren Maschine nachbauen |
| Anmeldung und Identität | Hängen Logins an einem Anbieterkonto, das andere Systeme mitbenutzen? | Liste aller angebundenen Systeme führen, Notfallzugang ohne diesen Anbieter einrichten |
| Sicherungen | Liegt eine Sicherung außerhalb des Anbieters, und wurde sie zuletzt zurückgespielt? | Zweite Sicherung an einem anderen Ort, Wiederherstellung einmal im Jahr testen |
| Wissen und Personen | Wissen mindestens zwei Personen, wie Zugänge, Verträge und Abläufe zusammenhängen? | Zugangsliste und Ablaufbeschreibung an zwei Stellen hinterlegen |
Maßstab
Exit-Fähigkeit als Maßstab
Souveränität lässt sich an zwei Zahlen festmachen: an den Tagen, die ein Wechsel dauert, und an den Kosten, die er verursacht. Eine Abhängigkeit mit einem Ausstieg in zwei Tagen ist harmlos, auch bei einem US-Anbieter. Eine mit einem Ausstieg in sechs Monaten ist ein Risiko, auch bei einem Anbieter aus dem Nachbarort.
Für Cloud-Dienste gibt das Recht seit dem 12.09.2025 einen Rahmen vor. Der Data Act, Verordnung (EU) 2023/2854, verpflichtet Anbieter von Datenverarbeitungsdiensten zu Vertragsklauseln für den Wechsel, etwa einer Kündigungsfrist für den Wechsel von höchstens zwei Monaten und einer Liste der Daten, die mitgenommen werden können; Einzelheiten fasst EU Data Act: Was Hersteller vernetzter Geräte leisten müssen im Abschnitt zum Cloud-Wechsel zusammen. Der Rahmen hilft beim Verhandeln. Ob Ihre Daten danach in einem Format vorliegen, das die nächste Software lesen kann, regelt er nicht für Sie.
Einen Prüfmaßstab für Verträge liefert das BSI. Der Kriterienkatalog C5:2026 für Cloud-Dienste (Fassung 1.1.0 vom 11.08.2026, Nachfolger von C5:2020; Prüfberichte müssen ihn ab 01.06.2027 anwenden) nennt im Basiskriterium PI-02.01B, was für die Zeit nach Vertragsende vertraglich definiert sein soll. Für die Inventur zählen vor allem vier Punkte: Art, Umfang und Format der übergebenen Daten, die Frist, in der der Anbieter sie nach Vertragsende verfügbar macht, der Zeitpunkt der Löschung und die Mitwirkungspflichten des Kunden. Diese vier Punkte eignen sich als Prüfliste für jeden Vertrag in der Tabelle oben, auch wenn der Anbieter kein C5-Testat hat.
Der Ausstiegstest
Ob eine Exit-Strategie trägt, zeigt erst ein Probelauf. Wir rechnen für den folgenden Test mit einem halben bis zwei Arbeitstagen, weil der größte Teil der Zeit auf das Warten auf den Export und das Einspielen in ein zweites System entfällt. Die Schritte:
Wählen Sie eine Zeile aus der Inventur, bei der ein Ausfall weh täte, zum Beispiel die Fachanwendung oder die Postfächer.
Fordern Sie den vollständigen Export an, so wie Sie ihn bei einer Kündigung bekämen, über den regulären Weg des Anbieters.
Notieren Sie, wie lange die Lieferung dauerte, welches Format kam und wer intern daran beteiligt war.
Spielen Sie die Daten in ein zweites System ein: eine Testinstanz, eine leere Datenbank, ein anderes Postfach.
Prüfen Sie Stichproben gegen das Original: Anzahl der Datensätze, Anhänge, Umlaute, Datumsangaben, Historie.
Schreiben Sie auf, was gefehlt hat, und tragen Sie den Aufwand für den echten Wechsel in Tagen in die Inventur ein.
Wiederholen Sie den Test für dieselbe Zeile nach einem Jahr oder nach einem größeren Update des Anbieters.
Der Test braucht keinen neuen Anbieter. Schon das Einspielen in eine leere Datenbank zeigt, ob Fremdschlüssel, Dateien oder Benutzerkonten fehlen.
Erste Schritte
Kleine Schritte mit großer Wirkung
Die wirksamsten Maßnahmen kosten wenig Geld und betreffen Zugänge und Verträge. Domains auf das Unternehmen eintragen und den Registrar-Zugang an eine Funktionsadresse binden. Eine Zugangsliste führen, die an zwei Orten liegt. Bei jedem neuen Vertrag die vier Punkte aus PI-02.01B abfragen. Eine Sicherung der wichtigsten Daten an einem zweiten Ort ablegen und einmal zurückspielen; wie man das testet, steht unter Backups richtig testen.
Bei neuer Software lohnt der Blick auf offene Formate und Standardtechnik. Eine Anwendung auf Linux mit PostgreSQL oder MySQL und Dateien in S3-kompatiblem Speicher lässt sich zu jedem Hoster mitnehmen, der diese Bausteine anbietet. Wir hosten auf Hetzner und bauen die Anwendungen so, dass sie dort nicht festsitzen. Wo ein Hyperscaler trotzdem die bessere Wahl ist, etwa bei weltweiter Auslieferung, nennt unser Vergleich Hetzner oder AWS die Gründe.
Laufende Abonnements gehören ebenfalls in die Inventur. Wer ohnehin aufräumt, findet in SaaS-Abos aufräumen ein Vorgehen, das sich mit der Ausstiegsfrage je Dienst verbinden lässt.
Aus Gesprächen mit Geschäftsführern
Häufige Fragen
-
Das ist vereinbar, wenn Sie die Abhängigkeit kennen und den Ausstieg geprobt haben. Microsoft sagt für Kunden aus der EU und der EFTA zu, Kundendaten von Microsoft 365 innerhalb der EU Data Boundary zu speichern und zu verarbeiten, und dokumentiert die Fälle, in denen Daten sie verlassen. Die Bindung an Konto, Formate und Lizenzmodell bleibt davon unberührt; prüfen Sie deshalb einmal, wie lange der Export eines Postfachs und einer Dateiablage dauert.
-
Eine Exit-Strategie beschreibt für ein System, wie Sie es verlassen: welche Daten in welchem Format herauskommen, wer das neue System betreibt, wie lange beide parallel laufen und was es kostet. Sie gehört zu jeder Anbieterwahl und liegt am besten schriftlich vor, bevor der Vertrag unterschrieben ist. Belastbar wird sie erst durch einen Probeexport.
Wie lange dauert Ihr Ausstieg?
Bringen Sie die ausgefüllte Inventur in ein kostenfreies Erstgespräch von 30 Minuten. Wir sehen uns die Zeilen mit dem längsten Ausstieg an und besprechen, welche davon sich mit wenig Aufwand verkürzen lassen.
Artikel teilen