An der Technologie-Nadel: Warum digitale Souveränität keine Ideologie ist, sondern Betriebssicherheit. Und ein Markt.

Es ist beruhigend, wenn ein Mainstream-Medium wie der stern digitale Abhängigkeit nicht mehr als Nerd-Hobby fusselbärtiger Linux-Geeks behandelt, sondern als das, was sie ist: kritische Infrastruktur. Der Text “Was passiert, wenn Washington uns digital abklemmt?” ist kein Sci-Fi, sondern eine nüchterne Risikoanalyse mit zwei sehr realen “Aha, Mist”-Momenten.

1) Fall #1: Wenn ein US-Update den OP-Plan frisst

Am 19. Juli 2024 kippt weltweit ein fehlerhaftes Update von CrowdStrike Legacy-Systeme. Flughäfen stolpern, Unternehmen stolpern — und im Universitätsklinikum Schleswig-Holstein werden selektive Eingriffe abgesagt und Ambulanzen geschlossen. Nicht weil “Hacker”, sondern weil: Single Point of Failure im Sicherheitsstack.

Das ist der lehrbuchhafte Unterschied zwischen:

• “Wir haben ein Produkt gekauft” und
• “Wir haben uns an eine Lieferkette für Betriebsfähigkeit angeschlossen”.

Wenn der Hersteller hustet, hat dein Krankenhaus Fieber.

2) Fall #2: Wenn Politik dich digital auf 1998 zurücksetzt

Der zweite Fall ist perfider, weil er nicht technisch ist, sondern juristisch-politisch: Nicolas Guillou, Richter am Internationalen Strafgerichtshof in Den Haag, wird nach US-Sanktionen im August 2025 praktisch aus dem digitalen Alltag geschubst: kein Google-Konto, kein Netflix, kein Apple App Store, kein Office, kein PayPal, Probleme mit Mastercard und Visa — Hotel buchen wird plötzlich zum Abenteuer “Barzahlung & Faxgerät”.

Der Auslöser ist politische Reibung (Haftbefehl gegen Benjamin Netanjahu; US-Druck unter Donald Trump), aber die Wirkung passiert über Dienstleister, Plattformen und Zahlungsrails.

Und damit ist klar: Digitale Abhängigkeit ist nicht nur “Cloud”. Sie ist auch Rechtsexport.

Der eigentliche Punkt: Privat ist es unbequem. Für Organisationen ist es existenziell.

Wenn Privatleute abgeklemmt werden, ist das "Drama" vor allem sozial: Fotos, Chats, Kalender und ganz viel Entertainment. Extrem nervig, aber eigentlich unproblematisch überlebbar.

Wenn Unternehmen oder Behörden abgeklemmt werden, ist es Betriebsunterbrechung:

• Identitäten/SSO wackeln → Zugriff weg
• Kollaboration/Dokumente wackeln → Arbeit weg
• Zahlungswege wackeln → Umsatz weg
• Sicherheitsupdates wackeln → Audit-Hölle & reales Risiko

Nicht “Blackout”, eher Bürokratie-Apokalypse in Zeitlupe.

Gesundheitswesen: Erst Vendor-Lock-in, dann “Prinzip Hoffnung”

Der stern-Artikel trifft im Gesundheitsbereich gleich zwei Nerven:

1. SAP stellt ein Klinik-System ein → Kliniken müssen neu beschaffen (teuer, Vergaberecht, wenig echte Alternativen).
2. Die Charité – Universitätsmedizin Berlin entscheidet sich im Dezember 2025 ausgerechnet für einen US-Anbieter: Epic Systems wird das “digitale Herzstück”.

Die Charité betont “Daten nur in Europa”. Das ist nett. Aber der Guillou-Fall zeigt ziemlich brutal: Datenlokation bedeutet NICHT Dienstkontrolle. Wenn Geschäftsbeziehungen untersagt werden, bringt dir “EU-Region” genau so viel wie ein Airbag ohne Auto.

Und beim Thema ePA wird’s noch schöner: IBM berichtet selbst, dass für die ePA (“ePA für alle”) Akten für 50+ Millionen Versicherte auf IBM-Systemen angelegt wurden.
Das kann technisch gut gemacht sein. Aber strategisch heißt es: kritischer Baustein, kritischer Lieferant, kritische Abhängigkeit.

“Souveräne Cloud” ist kein Zauberspruch, sondern ein Vertrag mit Extras

Spannend ist, dass die Hyperscaler auf den europäischen Druck reagieren: Amazon Web Services startet/öffnet die “European Sovereign Cloud” in Brandenburg, mit angekündigten Investitionen von rund 7,8 Mrd. Euro.
Das ist ein Signal: Der Markt verlangt Souveränitäts-Features (Governance, Betrieb, Schlüssel, Personal, Trennung). Also liefert man, weil viel Budget.

Parallel baut Schwarz Digits in Lübbenau ein Rechenzentrum als größtes Invest der Schwarz-Gruppe (Lidl/Kaufland-Mutter), angekündigt mit 11 Mrd. Euro.

Und die Politik? Karsten Wildberger klingt im stern eher nach “läuft schon, USA sind Partner”, während Experten wie Daniel Voelsen deutlich warnen, dass die USA in relevanten Hinsichten gegen europäische Interessen arbeiten könnten.

Das ist die perfekte Mischung für europäischen Stillstand: Risiko erkannt, Budget klein, Hoffnung groß.

Schleswig-Holstein und Nextcloud: Zwei Beweise, dass “geht nicht” oft nur “wollen nicht” heißt

• Schleswig-Holstein stellt in der Verwaltung massiv auf Open Source um (u. a. LibreOffice), laut Landesmeldung sind schon ~80% umgestellt.
• Nextcloud spricht von 500.000+ Servern weltweit und legt ein Invest-Programm “Sovereignty 2030” (250 Mio. Euro) auf.

Das ist wichtig, weil es die Debatte in Deutschland von “wir können nicht” zu “wir organisieren anders” verschiebt. Von den anderen europäischen Ländern wir der Schweiz, Frankreich, Österreich etc. ganz zu schweigen.

Der Pandolin-Twist: Das ist ein entstehender Markt und weitsichtige Partner können daran verdienen

Hier wird’s für Systemhäuser/ISVs/Integratoren interessant: Digitale Souveränität ist nicht nur Moral, Ethik und Politik. Sie ist ein neues Projekt- und Managed-Service-Feld, das gerade aus der Nische in die Pflicht rutscht.

Ein pragmatisches Stufenmodell (aus der Vortragslogik heraus gedacht):

1. Transparenz (Inventory & Abhängigkeiten)
   “Welche Dienste halten unsere Kernprozesse am Leben? Und welche davon sind US-kontrolliert (technisch und/oder rechtlich)?”
2. Kontrollfähigkeit (Exit-Design)
   Portabilität, Standards, Datenmodelle, Identitäten, Schlüsselmanagement, Vertragsklauseln.
3. Resilienz (Notbetriebsfähigkeit)
   “Was passiert, wenn Dienst X 72 Stunden weg ist?” — und: können wir dann noch liefern, abrechnen, kommunizieren?
4. Wertschöpfung (Produktisierung)
   Aus Projekten werden Angebote: Assessment-Pakete, Migrationspfade, Betriebsmodelle, Schulungen, Governance.

Das ist abrechenbar. Und es verkauft sich aktuell sogar leichter, weil der CFO plötzlich verstanden hat, dass “Cloud” kein Wetter ist, sondern kontinuitätsbewusste Geopolitik mit GUI.

Konkrete Handlungsempfehlungen (ohne Glaubenskrieg)

Für Unternehmen / Öffentliche Hand (Top 6):

1. Abhängigkeits-Landkarte erstellen (inkl. Zahlungsverkehr, App-Stores, Identity, Security-Telemetry).
2. “72-Stunden-Plan” je kritischem Dienst definieren (Notbetrieb, Fallbacks, Entscheidungsrechte).
3. Identität & Schlüsselhoheit priorisieren (SSO/PKI/KMS: das ist der eigentliche Hebel).
4. Kollaboration entmonokulturisieren (nicht “weg von X”, sondern “fähig zum Wechsel”).
5. Verträge: Sanktions-/Export-/Jurisdiktionsrisiken explizit bewerten, nicht herstellernah wegmoderieren.
6. Partner: Managed Souveränitäts-Services aufbauen (Assessment → Roadmap → Betrieb).

Für Privatpersonen (kleine Schritte, große Wirkung):

• Kommunikations-Alternativen, die du kontrollieren kannst (Matrix und Co zeigen hier, “es geht wirklich”).
• Eigene Datenablage / Fotos / Kalender entkoppeln (damit “Account weg” nicht “Leben weg” bedeutet).
• Zahlungs-Redundanz (mindestens eine EU-Option und Offline-Fallback).

Die Digital Independende Day Initiavte DID, vorangetrieben vom Känguruh-Chroniken-Autor Marc-Uwe Kling, zeigt, wie es im Kleinen für jeden von

Schluss: Der Stecker muss nicht erst gezogen werden, um dich zu kontrollieren

Niemand muss den großen roten “OFF”-Knopf drücken, um dich (oder deine Organisation) lahmzulegen.

Der CrowdStrike-Tag zeigt: Technik reicht.
Der Guillou-Fall zeigt: Politik reicht.
Und die Charité-Epic-Entscheidung zeigt: Bequemlichkeit + Vergaberecht + Marktstruktur reichen leider auch.

Manchmal reicht ein fehlerhaftes Update. Manchmal reicht ein Sanktionsbescheid. Und manchmal reicht ganz banal: der bequemste oder "kreativste" Anbieter gewinnt die Ausschreibung.
Digitale Souveränität ist keine Weltanschauung. Sie ist das, was passiert, wenn man IT endlich wie Infrastruktur behandelt, statt wie Shopping, Sie ist das, was Erwachsene “Risikomanagement” nennen, wenn sie nicht gerade “Transformation” sagen wollen.

Und ja: Wer das für Kunden sauber löst, kann damit Geld verdienen, Gehälter bezahlen richtige Wertschöpfung generieren.
Sogar in Deutschland. Ich weiß. Absurd.