Souveräne IT-Architektur: Wie Sie Abhängigkeiten reduzieren, ohne Ihr Geschäft auszubremsen

Vergangenes Wochenende wurde durch eine von der US-Regierung erlassene Ausfuhrbestimmung der Einsatz eines KI-Modells für Nicht-US-Bürger und Kunden kurzfristig eingestellt. Wäre Ihre IT so aufgestellt, dass Sie einen Wegfall einer geschäftskritischen Anwendung verkraften? Die Antwort hängt nicht davon ab, ob Sie US-Dienste nutzen - fast jeder tut das, und das ist auch in Ordnung. Sie hängt davon ab, wie Sie sie nutzen.

Souveränität heißt Kontrolle, nicht Autarkie

Souveränität bedeutet nicht, alles selbst zu betreiben oder ausschließlich europäische Anbieter einzusetzen. Wer das versucht, zahlt oft mit Funktionsverlust, höheren Kosten und einer IT, die schlechter ist als das, was am Markt verfügbar wäre. Souveränität bedeutet, dass Sie die Kontrolle über Ihre Daten, Ihre Prozesse und Ihre Handlungsoptionen behalten - unabhängig davon, wer die einzelnen Bausteine liefert.

Diese Kontrolle entsteht aus vier Bereichen, die wir im Folgenden durchgehen: Datenhaltung, Identitäten, Backup und Wiederherstellung sowie die Anbindung von Anwendungen. Zusammen bilden sie das Fundament, auf dem sich entscheiden lässt, wie viel europäisches Hosting sinnvoll ist und wo internationale Dienste weiter ihren Platz haben.

Baustein 1: Datenhaltung mit klarer Hoheit

Die erste Frage jeder souveränen Architektur lautet: Wo liegen Ihre Daten wirklich, und wer hat darauf Zugriff? „In der Cloud" ist keine ausreichende Antwort. Es macht einen erheblichen Unterschied, ob Ihre Daten in einem europäischen Rechenzentrum liegen, ob sie verschlüsselt sind, und vor allem, wer die Schlüssel verwaltet. Eine Verschlüsselung, deren Schlüssel beim Anbieter liegen, schützt Sie gegen Diebstahl von außen, aber nur eingeschränkt gegen den Anbieter selbst oder gegen rechtliche Zugriffe, denen dieser unterliegt.

Für besonders sensible Datenbestände - Mandantendaten einer Kanzlei, Patientendaten einer Praxis, Konstruktionsdaten eines Maschinenbauers - empfehlen wir daher ein Modell, bei dem die Verschlüsselung in europäischer Hoheit erfolgt und die Schlüssel unter Ihrer Kontrolle bleiben. Damit wird der Speicherort technisch zur Nebensache: Selbst wenn ein Anbieter zur Herausgabe von Daten gezwungen würde, erhielte er nur unlesbare Inhalte. Das ist einer der wenigen Mechanismen, der unabhängig von politischen Rahmenabkommen funktioniert.

Baustein 2: Identitäten als kritische Infrastruktur

Identitäts- und Zugriffsverwaltung ist der am meisten unterschätzte Teil der IT-Souveränität. In vielen Unternehmen hängt heute praktisch alles an einem einzigen zentralen Verzeichnisdienst: die Anmeldung am Arbeitsplatz, der Zugriff auf E-Mail, die Anbindung von Fachanwendungen. Fällt dieser Dienst aus oder wird er unzugänglich, steht das gesamte Unternehmen - nicht nur ein einzelner Dienst.

Eine souveräne Architektur stellt sicher, dass Identitäten nicht ausschließlich an die Mechanismen eines einzigen Anbieters gekoppelt sind. Das kann bedeuten, kritische administrative Zugänge zusätzlich unabhängig abzusichern, Notfallkonten vorzuhalten, die auch bei Ausfall des zentralen Dienstes funktionieren, und die Verwaltung so zu dokumentieren, dass ein Wechsel grundsätzlich möglich bleibt. Ziel ist nicht, den zentralen Dienst zu vermeiden, sondern zu verhindern, dass sein Ausfall zum Totalausfall wird.

Baustein 3: Backup, das den Anbieter überlebt

Ein Backup innerhalb derselben Plattform, die es sichern soll, ist nur die halbe Miete. Wird ein Konto gesperrt, ein Dienst eingestellt oder ein Vertragsverhältnis beendet, kann auch der Zugriff auf das plattforminterne Backup verloren gehen. Deshalb gehört zu einer souveränen Architektur ein vom Hauptanbieter unabhängiges Backup - idealerweise in europäischer Infrastruktur, in einem Format, das sich auch außerhalb der Ursprungsplattform wiederherstellen lässt.

Genauso wichtig wie das Backup selbst ist seine regelmäßige Erprobung. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Hoffnung, keine Gewissheit. In unseren Managed-Backup-Leistungen testen wir Wiederherstellungen deshalb planmäßig, statt uns auf den grünen Haken in der Statusanzeige zu verlassen. Der Ernstfall ist der falsche Zeitpunkt, um herauszufinden, ob das Backup funktioniert.

Baustein 4: Anwendungen sauber anbinden

Der vierte Baustein betrifft die Art, wie Ihre Fachanwendungen mit Diensten sprechen. Wo immer möglich, setzen wir auf offene, standardisierte Schnittstellen statt auf proprietäre Sonderlösungen, die nur mit einem einzigen Anbieter funktionieren. Das senkt nicht nur die Wechselkosten, es macht die gesamte Architektur transparenter und leichter prüfbar. Eine Anwendung, die über ein dokumentiertes Standardprotokoll angebunden ist, lässt sich im Zweifel auf eine Alternative umstellen. Eine Anwendung, die tief in das Ökosystem eines Anbieters verwoben ist, lässt sich das nicht.

Der pragmatische Weg: bewerten, priorisieren, gestalten

Niemand baut seine IT über Nacht um, und das wäre auch nicht klug. Der sinnvolle Weg ist schrittweise. Am Anfang steht eine Bewertung: Welche Daten und Prozesse sind so kritisch oder so sensibel, dass sie erhöhte Souveränität rechtfertigen? Bei diesen setzen wir an – etwa mit europäischer Verschlüsselung unter eigener Schlüsselhoheit, unabhängigem Backup und einer entkoppelten Identitätsabsicherung. Für weniger kritische Bereiche kann der bequeme, leistungsfähige internationale Dienst völlig in Ordnung bleiben.

Dieser abgestufte Ansatz ist das Gegenteil von Ideologie. Er erlaubt es Ihnen, dort Souveränität herzustellen, wo sie zählt, und dort Effizienz zu nutzen, wo das Risiko vertretbar ist. Welche Datenkategorie in welche Schublade gehört, ist allerdings keine rein technische Frage – hier greifen rechtliche Anforderungen wie DSGVO, branchenspezifische Vorgaben und seit Kurzem auch NIS2 ineinander. Deshalb gestalten wir solche Architekturen gemeinsam mit unserer Schwestergesellschaft CS Infowerk, die die rechtliche und Compliance-Seite verantwortet. So entsteht eine Lösung, die technisch funktioniert und rechtlich trägt.

Sicherer Betrieb in Europa als Gesamtbild

Am Ende ergibt sich aus diesen Bausteinen mehr als die Summe der Teile: ein Betrieb, der in Europa stattfindet, dessen kritische Daten unter europäischer Hoheit stehen, der einen erprobten Plan B für den Wegfall einzelner Dienste hat und der gegenüber Kunden, Partnern und Aufsichtsbehörden nachweisbar ist. Das ist die eigentliche Bedeutung von Datensouveränität für ein mittelständisches Unternehmen – nicht der Verzicht auf gute Werkzeuge, sondern die Fähigkeit, sie zu nutzen, ohne die Kontrolle abzugeben.