Im Handelskonflikt mit den USA ist sich Europa der potenziellen Konsequenzen seiner Abhängigkeit von den US-amerikanischen Cloud-Hyperscalern bewusst geworden. „Digitale Souveränität“ ist seitdem in der EU das Gebot der Stunde. Doch was bedeutet das eigentlich?
Obwohl sich Europa langsam emanzipiert, wird die Macht der US-Giganten noch lange anhalten. Technologische Unabhängigkeit ist somit vorerst unmöglich – sehr wohl aber IT-Souveränität. Solange sie als die Fähigkeit verstanden wird, jederzeit handlungsfähig zu sein. Die Abhängigkeit von bestimmten Technologieanbietern und von politischen Rahmenbedingungen können Institute nicht überwinden. Autonomie ist daher eine Illusion – im Gegensatz zu Souveränität. IT-Souveränität lässt sich jedoch nicht delegieren oder einkaufen. Unternehmen müssen sie aktiv selbst entwickeln und strategische Entscheidungen daran ausrichten.
Einordnung und Leitprinzip
Souverän ist ein Institut nur dann, wenn es die Kontrolle über vier IT-Dimensionen gleichzeitig ausübt: Infrastruktur und Betrieb, Technologie, Daten sowie Governance als verbindendes Rahmenwerk. Eines der Schlüsselelemente sind beispielsweise Sicherheitsfunktionen, vor allem ein durchgängiges Identity-und-Access-Management. Geht in nur einer dieser Dimensionen die Kontrolle verloren, entstehen systemische Abhängigkeiten, die existenzgefährdend sein können.
IT beherrschen – statt beschaffen
Rechenzentrumsstandorte, Zertifikate oder Herstellerversprechen reichen nicht aus, um digitale Souveränität tatsächlich zu ermöglichen. Rechtliche Risiken werden erst durch konkrete Technologien neutralisiert. Sicherheitsmechanismen wie Bring bzw. Hold Your Own Key, die Entkopplung der Identität vom Cloud-Anbieter oder Confidential Computing reduzieren die Abhängigkeit von vertraglichen Zusicherungen und verankern Souveränität in der technischen Architektur.
Auf Ebene der Datensicherheit gilt die Kombination aus EU-Datenhaltung für kritische Informationen, konsequenter Schlüsselhoheit und maschinenlesbaren Voll-Exporten als Mindeststandard. Ein Data-in-Use-Schutz verhindert die Einsicht in die Datenverarbeitung. Offene Standards, die konsequente Nutzung von Containern und standardisierten Orchestrierungsplattformen sowie die Vermeidung proprietärer Abhängigkeiten sichern die technologische Portabilität. Getestete Exitpläne mit definierten Zielzeiten (Time-to-Exit, RTO/RPO) sind operativ verbindlich. Die entsprechende Governance stellt sicher, dass für kritische Dienstleistungen europäische Rechtsräume berücksichtigt, Subdienstleisterketten transparent gemacht und wirksame Oversight-Mechanismen etabliert werden.
Aus Anfangsfrage (Was ist Souveränität im Finanzsektor?) und Leitthese (Wir müssen Souveränität gewährleisten.) entsteht ein konkreter Fahrplan: Schaffung von Transparenz über bestehende Abhängigkeiten, um diese steuerbar zu machen. Gefolgt von der Umsetzung technischer Maßnahmen zur Stärkung der Souveränität wie beispielsweise die Erstellung von Backups bei europäischen Anbietern und Erhöhung von Portabilität und Exit-Fähigkeit insbesondere durch die Nutzung von Open Source.
Hybride Souveränitätsmodelle
Die Asymmetrie aus der oligopolistischen Struktur des Cloud-Marktes und europäischen Alternativen mit oft eingeschränkter Skalierbarkeit und Feature-Qualität zwingt Finanzunternehmen in ein hybrides Souveränitätsmodell. Dieses basiert zunächst auf den zwei Pfeilern finanzielle und vertragliche Unabhängigkeit sowie Datenhoheit und Sicherheit.
Finanzielle und vertragliche Unabhängigkeit
Eine Strategie für mehr Resilienz erfordert die fundamentale Verschiebung der IT- bzw. Cloud-Investitionen: weg von reinen Nutzungsgebühren, hin zum Aufbau eigener Vermögenswerte (Assets) und geistigen Eigentums (IP). Ähnlich wie in der physischen Produktion benötigt auch die IT strategische Tiefe. Souveräne Akteure setzen auf vertikale Integration und vermeiden „Black Box“-Lösungen – also Software, deren Funktionsweise und Datenflüsse undurchsichtig sind. Stattdessen wenden sie sich „White Box“-Ansätzen zu.
Zusätzlich sollten Unternehmen Kontrolle über ihre Schnittstellen (APIs) erlangen, indem sie neutrale Verbindungsschichten (Middleware) nutzen, anstatt sich tief und irreversibel in proprietäre Plattformen zu integrieren. Dadurch bleibt die darunterliegende Infrastruktur jederzeit austauschbar. Das Wertschöpfungspotenzial ist darin begründet, verschiedene Dienste zu orchestrieren. Schließlich gilt es für die Branche, lokale Innovation zu fördern und so eigenes Know-how aufzubauen. Wer beispielsweise in KI investiert, sollte nicht nur das fertige Modell nutzen, sondern sicherstellen, dass Training und Anpassung in der eigenen Infrastruktur oder in rechtssicheren Räumen stattfinden.
Datenhoheit und Sicherheit: Härtung durch Confidential Computing und Kryptoagilität
Souveränität ist das Ergebnis klarer Managemententscheidungen. Wenn der Einkauf nur den günstigsten Preis berücksichtigt, können Abhängigkeiten entstehen. Wer hingegen auf den Best Sovereignty Value setzt, schafft hingegen dauerhafte Resilienz. Im Hinblick auf die Fortschritte im Quantencomputing wachsen IT-Risiken exponentiell. Was heute als sicher verschlüsselt gilt, könnte morgen durch massive Rechenleistung dechiffriert werden. Eine zukunftssichere Governance darf sich daher nicht auf den aktuellen Standard verlassen. Bisher konzentrierte sich Sicherheitsarchitektur auf Daten im Ruhezustand (Storage) und in Bewegung (Transit). Die größte Schwachstelle blieb jedoch die Verarbeitung: Um Daten zu nutzen, mussten sie bislang entschlüsselt im Arbeitsspeicher liegen – sichtbar für den Cloud-Provider und angreifbar.
Die Antwort für hochkritische Workloads lautet Confidential Computing. Hierbei werden Daten in isolierten Hardware-Enklaven verarbeitet. Selbst das Betriebssystem des Cloud-Anbieters und der Hypervisor haben keinen Einblick. Niemand kann heute garantieren, welcher Verschlüsselungsalgorithmus in zehn Jahren noch sicher ist. Anwendungen müssen daher so ausgestaltet sein, dass kryptografische Verfahren ausgetauscht werden können, ohne die gesamte Applikationslogik neu zu programmieren. Durch Hardwareanker (HSM) im eigenen Besitz und Confidential Computing entsteht Unentschlüsselbarkeit, selbst bei einem richterlichen Beschluss im Land des Cloud-Providers.
Der Faktor Mensch
Der dritte Baustein im Rahmen hybrider Souveränitätsmodelle ist der Faktor Mensch. Die fortschrittlichsten Trusted Execution Environments (TEE) und die strengsten Datenschutzgesetze sind wirkungslos, wenn auf der operativen Ebene das Verständnis für die Systeme fehlt. Gleichzeitig ist der Fachkräftemangel im Bereich Cyber Security und Cloud-Architektur jedoch das größte Sicherheitsrisiko. Um es zu minimieren, müssen Mitarbeiter technisch auf Augenhöhe mit Hyperscalern agieren können. Dazu sollten Unternehmen interne Kompetenzzentren schaffen, in denen Cloud-Verträge und technische Architekturen streng überprüft werden. Die dortigen Experten müssen in der Lage sein, Quellcodes zu auditieren, Verschlüsselungsalgorithmen zu bewerten und Notfallszenarien (z. B. Cloud-Exit) technisch zu simulieren.
Langfristige digitale Souveränität erfordert nicht nur die Fähigkeit, neue Technologien schnell zu integrieren und kompetent zu nutzen. Sie setzt auch voraus, dass technologische Innovation, Forschung und Produktentwicklung nachhaltig in Europa verankert sind. Finanzinstitute können hierzu beitragen, indem sie Anforderungen einbringen, Pilotierungen begleiten und Innovationen gemeinsam mit Anbietern weiterentwickeln. Die eigentliche technologische Forschung und Weiterentwicklung muss jedoch durch ein leistungsfähiges europäisches Technologie-Ökosystem erfolgen. Investitionen in Forschung und Entwicklung, Open-Source-Initiativen und europäische Technologieanbieter stärken die Innovationskraft und schaffen langfristig tragfähige Alternativen zu dominanten Marktstandards. Digitale Souveränität entsteht nur durch die Fähigkeit, technologische Abhängigkeiten bewusst zu steuern. Wer die dafür notwendigen Kompetenzen, Technologien und Governance-Strukturen aufbaut, schafft die Grundlage für Innovation, Resilienz und nachhaltige Wettbewerbsfähigkeit.
Autorin, Christine Müller Partnerin, Bereich Financial Services, KPMG
