Im Sommer 2026 hat die Digitalpolitik ein Tempo aufgenommen, das man aus Berlin lange nicht kannte: eine gemeinsame deutsch-französische Definition digitaler Souveränität im Juni, eine engere Zusammenarbeit bei KI im Juli, ein Kabinettsbeschluss zur Cybersicherheit wenige Tage später. Für mittelständische Unternehmen stellt sich dabei eine sehr praktische Frage, die in keiner Pressemitteilung beantwortet wird: Was davon ist für den eigenen Betrieb handlungsleitend — und was ist Standortpolitik?
Dieser Artikel ist ein vertiefender Fachbeitrag aus unserem Content-Cluster. Entdecken Sie die vollständige Übersicht auf unserer Hauptseite:Leistungen & Beratung →
- Souveränität ist ein Politikbegriff mit betrieblicher Übersetzung: Deutschland und Frankreich haben im Juni 2026 eine gemeinsame Definition vorgelegt und im Juli engere Zusammenarbeit bei KI vereinbart. Für ein Unternehmen wird daraus keine Verbotsliste, sondern eine Anforderung an die eigene Wechselfähigkeit.
- Reversibilität schlägt Migration: Der vollständige Umzug in europäische Infrastruktur ist für die meisten Mittelständler weder nötig noch wirtschaftlich. Die belegbare Fähigkeit, innerhalb definierter Zeit zu wechseln, bringt denselben Schutz zu einem Bruchteil der Kosten.
- Vier Prüfpunkte reichen: Speicherort, Exportformat, Exit-Klausel, erprobter Wiederherstellungspfad. Wer diese vier Punkte je System beantworten kann, hat den größten Teil der Souveränitätsdiskussion für sein Haus erledigt.
Souverän ist nicht, wer nirgends abhängig ist
Souverän ist, wer seine Abhängigkeiten kennt und beenden kann. Der Unterschied zwischen diesen beiden Sätzen entscheidet darüber, ob Digitalsouveränität ein Millionenprojekt wird oder eine Vertragsanpassung.
1. Was im Sommer 2026 beschlossen wurde
Die Bundesregierung begründet ihre Neuausrichtung offen geopolitisch: Technologische Abhängigkeiten gelten als strategisches Risiko, betroffen sind unter anderem Cloud-Dienste, Netzwerktechnik und Betriebssysteme. Drei Ereignisse aus dem Sommer 2026 markieren den Stand.
Deutschland und Frankreich verständigen sich auf ein gemeinsames Vorgehen. Der Gipfel ist der Ausgangspunkt für die konkreten Schritte des Folgejahres und verankert Souveränität als europäisches statt nationales Vorhaben.
Beide Länder präsentieren eine gemeinsame Definition digitaler Souveränität. Das klingt akademisch, ist aber praktisch relevant: Definitionen wandern in Beschaffungsrichtlinien, und Beschaffungsrichtlinien wandern in Ausschreibungen.
Beim Deutsch-Französischen Ministerrat vereinbaren Bundesdigitalminister Karsten Wildberger und seine französische Amtskollegin Anne Le Hénanff eine engere Kooperation bei künstlicher Intelligenz und digitaler Souveränität.
Das Bundeskabinett beschließt ein neues Programm zur Stärkung der Cybersicherheit in Deutschland — die Bundesregierung reagiert damit ausdrücklich auf die angespannte Bedrohungslage.
Ergänzend läuft seit Oktober 2025 der Konsultationsprozess zum Deutschland-Stack, der gemeinsame Standards für die staatliche Digitalisierung erarbeiten soll. Institutionell flankiert wird das durch das bereits im Dezember 2022 gegründete Zentrum für Digitale Souveränität und die Deutsche Verwaltungscloud aus dem Juli 2023.
Für den Mittelstand ist die Wirkungskette indirekt, aber verlässlich: Was in der öffentlichen Beschaffung zur Anforderung wird, taucht zwei bis vier Jahre später in den Lieferantenfragebögen der Konzerne auf. Wer heute an öffentliche Auftraggeber oder deren Zulieferer liefert, tut gut daran, die Begriffe zu kennen, bevor sie im Vergabeverfahren auftauchen.
Erwähnenswert ist auch der Kontext, in dem diese Politik entsteht. Deutschland trat im Juni 2026 als Partnerland der VivaTech in Paris auf, und im August startete das Digitalministerium einen Beteiligungsprozess zur Weiterentwicklung des strategischen Rahmens für Open Data. Beides zeigt eine Richtung: Souveränität wird nicht als Abschottung, sondern als europäische Kooperation und als Investition in Schlüsseltechnologien verstanden. Wer die Debatte als Aufruf zum Rückzug aus internationalen Plattformen liest, liest sie falsch.
Diese Nuance ist für die betriebliche Praxis wichtig, weil sie den Handlungsspielraum vergrößert. Es geht nicht um die Frage, ob ein deutsches Unternehmen amerikanische Software einsetzen darf — sondern darum, ob es weiß, was passiert, wenn es sie nicht mehr einsetzen kann oder will. Das ist eine Frage der Vorbereitung, nicht der Gesinnung, und sie lässt sich mit den Mitteln beantworten, die jedes Unternehmen ohnehin hat: Verträge, Dokumentation und ein Testtermin.
2. Die drei Ebenen der Abhängigkeit
Die Souveränitätsdebatte leidet daran, dass sehr unterschiedliche Sachverhalte unter einem Wort verhandelt werden. Für eine betriebliche Bewertung lohnt die Trennung in drei Ebenen, die unterschiedlich schwer zu lösen sind.
Datenhaltung und Rechtsraum
Wo liegen die Daten physisch, und welchem Recht unterliegt der Betreiber? Der CLOUD Act kann US-Anbieter zur Herausgabe verpflichten, auch wenn die Server in Europa stehen. Diese Ebene ist rechtlich komplex, technisch aber am einfachsten zu adressieren — durch Anbieterwahl oder Verschlüsselung mit eigener Schlüsselhoheit.
Technische Bindung
Wie tief ist die Anwendung mit proprietären Diensten der Plattform verwoben? Ein Container auf verwalteter Infrastruktur ist portabel, eine Anwendung aus zwölf plattformspezifischen Diensten ist es nicht. Diese Ebene entsteht schleichend und ist am teuersten rückabzuwickeln.
Kompetenz und Betrieb
Kann Ihr Team oder Ihr Dienstleister die Alternative überhaupt betreiben? Souveränität, die vollständig auf einem externen Partner ruht, verschiebt die Abhängigkeit nur. Diese Ebene wird in Strategiepapieren fast immer übersehen.
Wechselkosten
Die drei Ebenen münden in eine Zahl: Was kostet der Wechsel, und wie lange dauert er? Solange diese Zahl unbekannt ist, ist jede Aussage über Souveränität eine Vermutung. Bekannt ist sie erst nach einem Test, nicht nach einer Schätzung.
3. Warum der Totalumzug selten die Antwort ist
Die naheliegende Reaktion auf die politische Debatte wäre der Umzug in europäische Infrastruktur. Für einen Teil der Anwendungsfälle ist das richtig; als Generalstrategie ist es für den Mittelstand in aller Regel weder finanzierbar noch nötig.
Vergleich: Totalumzug vs. Reversibilitätsstrategie
- Aufwand: Einmalig sehr hoch, bindet über Monate genau die Personen, die auch den Regelbetrieb tragen.
- Nutzen: Löst Ebene 1 vollständig, Ebene 2 nur, wenn zugleich entkoppelt wird.
- Risiko: Der neue Anbieter erzeugt binnen zwei Jahren dieselbe Bindung wie der alte.
- Wirtschaftlichkeit: Rechnet sich vor allem bei ohnehin anstehender Modernisierung.
- Aufwand: Verteilt, überwiegend vertraglich und architektonisch, ohne Betriebsunterbrechung.
- Nutzen: Adressiert Ebene 2 dauerhaft und macht Ebene 1 jederzeit umsetzbar.
- Risiko: Wird ohne Test zur Behauptung — deshalb gehört ein Probelauf dazu.
- Wirtschaftlichkeit: Deutlich günstiger und zusätzlich ein Verhandlungshebel bei Preisrunden.
Der zweite Punkt in der rechten Spalte ist der ökonomisch interessanteste. Ein Unternehmen, das seinen Wechselaufwand kennt und belegen kann, verhandelt bei jeder Vertragsverlängerung anders. Reversibilität ist insofern keine reine Risikomaßnahme, sondern ein Preisinstrument.
4. Die vier Prüfpunkte je System
Für die Bestandsaufnahme genügen vier Fragen je System. Sie lassen sich in einer Tabelle beantworten und ergeben zusammen ein realistisches Bild — deutlich schneller als jedes Strategiepapier.
Region, Betreiber, anwendbares Recht und die Frage, wer die Schlüssel hält. Bei verwalteten Diensten gehört auch dazu, wo Sicherungskopien und Protokolldaten liegen — sie folgen nicht immer der Hauptregion.
Ein vollständiger Export in einem offenen, dokumentierten Format ist die Grundvoraussetzung. Ein proprietäres Sicherungsformat, das nur die Plattform selbst lesen kann, ist kein Export.
Frist, Umfang, Kosten und Löschnachweis. Fehlt die Exit-Klausel, ist der Wechsel formal möglich und praktisch teuer — genau darauf beruht die Bindungswirkung vieler Verträge.
Ein einmaliger Export mit anschließendem Probeimport in eine Testumgebung. Erst dieser Test verwandelt eine Vertragszusage in eine belastbare Fähigkeit — und liefert die Zahl für das Wechselfenster.
Experten-Tipp: Der Exporttest gehört in den Jahresrhythmus
Legen Sie einmal jährlich einen Termin für den Vollexport Ihrer zwei wichtigsten Systeme fest, inklusive Probeimport. Der Aufwand liegt typischerweise bei einem Tag, das Ergebnis ist eine belegbare Zahl für das Wechselfenster. In mehreren Projekten hat allein dieser Test Lücken aufgedeckt, die im Vertrag anders zugesagt waren — etwa fehlende Anhänge, abgeschnittene Historien oder nicht exportierbare Konfigurationen.
Ein häufiger Einwand lautet, für all das fehle im Mittelstand die Zeit. Das stimmt für den Totalumzug und stimmt nicht für die Prüfpunkte. Die Systemliste entsteht in einem halben Tag, weil die Informationen bereits vorliegen — sie stehen nur in vier verschiedenen Ordnern. Der einzige Posten mit echtem Zeitbedarf ist der Exporttest, und der lässt sich an einem ohnehin ruhigen Tag im Jahr einplanen.
Wertvoll ist dabei ein Nebeneffekt, den wir in fast jedem Projekt beobachten: Die Systemliste deckt regelmäßig Dienste auf, die niemand mehr aktiv nutzt, für die aber weiterhin gezahlt wird. In mehreren Fällen hat die Bestandsaufnahme ihre eigenen Kosten allein über gekündigte Altverträge wieder eingespielt. Souveränität ist insofern zunächst schlicht Übersicht — und Übersicht war noch nie ein Kostenfaktor.
5. Was in den Vertrag gehört
Der wirksamste Teil einer Souveränitätsstrategie steht nicht im Architekturdiagramm, sondern im Vertrag. Fünf Punkte lohnen die Verhandlung, und keiner davon ist unüblich genug, um Anbieter zu verschrecken.
Datenrückgabe mit Frist und Format. Vollständiger Export in einem dokumentierten Format innerhalb einer benannten Frist nach Vertragsende, zu im Voraus festgelegten Kosten. Ohne Kostenangabe ist die Zusage wertlos.
Unterauftragsverhältnisse und Standorte. Liste der Unterauftragnehmer mit Sitz und Verarbeitungsort sowie Informationspflicht bei Änderungen. Das ist ohnehin datenschutzrechtlich geboten und wird trotzdem selten gepflegt.
Schlüsselhoheit. Wo möglich Verschlüsselung mit eigenen Schlüsseln, deren Verwaltung außerhalb der Plattform liegt. Das entschärft Ebene 1 unabhängig davon, wo die Server stehen.
Fortführung im Krisenfall. Regelungen für Insolvenz, Übernahme oder Einstellung des Dienstes, inklusive Zugriff auf Daten und, wo sinnvoll, Hinterlegung von Quellcode oder Konfigurationen.
Preisanpassungsmechanik. Obergrenzen und Ankündigungsfristen für Preiserhöhungen. Ohne Wechselfähigkeit ist jede Preisrunde eine einseitige Verhandlung — mit ihr eine beidseitige.
Ein weiterer Aspekt betrifft die Interoperabilität. Der europäische Rechtsrahmen bewegt sich seit einiger Zeit in Richtung erleichterter Anbieterwechsel — Regelungen zu Datenzugang und Portabilität sind Teil des laufenden Vereinfachungspakets, dessen Datenteil im Sommer 2026 noch im Parlament lag. Für Unternehmen heißt das: Was heute Verhandlungssache ist, könnte in wenigen Jahren gesetzlicher Mindeststandard sein. Wer die entsprechenden Klauseln jetzt schon einfordert, hat später nichts nachzuholen. Den Stand des Verfahrens haben wir im Beitrag Digital Omnibus eingeordnet.
Praktisch bewährt hat sich, die Klauseln nicht als Sonderwunsch zu formulieren, sondern als Standardanhang der eigenen Einkaufsbedingungen. Anbieter reagieren auf einen mitgelieferten Textbaustein deutlich entspannter als auf eine Diskussion im Freitext, und die interne Durchsetzung wird einfacher, weil niemand pro Vertrag neu argumentieren muss.
6. Wo Souveränität wirklich zwingend ist
Es gibt Konstellationen, in denen Reversibilität nicht ausreicht und die Datenhaltung tatsächlich im eigenen Rechtsraum liegen muss. Diese Fälle sind seltener, als die Debatte nahelegt, aber sie sind real.
Berufsrechtliche Geheimnisse
Mandanten-, Patienten- und vergleichbare Daten mit besonderer Verschwiegenheitspflicht. Hier zählt nicht das Restrisiko, sondern die Rechtslage — und die verlangt teils ausdrückliche Zusagen zu Verarbeitungsort und Zugriff.
Konstruktions- und Verfahrensdaten
Kerngeschäftsgeheimnisse mit jahrzehntelanger Wettbewerbsrelevanz. Sie sind zugleich der klassische Fall für die Post-Quanten-Betrachtung, die wir im Beitrag Krypto-Inventar beschrieben haben.
Öffentliche Auftraggeber
Wo Vergabeunterlagen Anforderungen an Verarbeitungsort oder Betreiberrecht stellen, ist die Frage entschieden. Hier lohnt der frühe Blick in die Unterlagen ähnlicher Ausschreibungen des Vorjahres.
KI-Verarbeitung sensibler Bestände
Sobald interne Dokumente durch ein Modell laufen, verlässt Wissen das Haus in verdichteter Form. Für sensible Bestände ist der lokale Betrieb die sauberere Antwort — Details im Beitrag On-Premise AI in DACH.
Für alles Übrige gilt: Der pragmatische Weg ist die abgestufte Antwort. Sensible Bestände lokal oder mit eigener Schlüsselhoheit, der Rest dort, wo er wirtschaftlich am besten läuft — verbunden mit der belegten Fähigkeit, das jederzeit zu ändern.
7. Umsetzung in fünf Schritten
-
Schritt 1: Systemliste mit den vier Prüfpunkten
Alle produktiven Systeme mit Speicherort, Exportformat, Exit-Klausel und Teststand. Eine Tabelle mit fünf Spalten genügt; der Erkenntnisgewinn liegt in den leeren Feldern.
-
Schritt 2: Klassifizierung der Datenbestände
Drei Stufen reichen: frei, vertraulich, besonders schutzbedürftig. Nur die dritte Stufe rechtfertigt die teuren Antworten — und sie umfasst in den meisten Häusern weniger als zehn Prozent des Bestands.
-
Schritt 3: Exporttest für die zwei wichtigsten Systeme
Vollexport mit Probeimport in eine Testumgebung, Zeit und Vollständigkeit protokolliert. Ergebnis ist die belastbare Zahl für Ihr Wechselfenster — die Grundlage jeder weiteren Entscheidung.
-
Schritt 4: Vertragsanpassung bei der nächsten Verlängerung
Die fünf Punkte aus Kapitel 5 in die anstehenden Verlängerungen einbringen. Der Zeitpunkt ist entscheidend: Während der Laufzeit nachzuverhandeln gelingt selten, zur Verlängerung fast immer.
-
Schritt 5: Entkopplung bei der nächsten Modernisierung
Keine eigenen Migrationsprojekte starten, sondern anstehende Modernisierungen nutzen, um plattformspezifische Abhängigkeiten zu reduzieren. So entsteht Reversibilität ohne eigenes Budget.
Zum Abschluss ein Hinweis auf die Reihenfolge. Wir erleben regelmäßig, dass Unternehmen mit Schritt 5 beginnen wollen, weil er technisch der interessanteste ist. Das ist verständlich und meist verschwendete Mühe: Ohne die Systemliste aus Schritt 1 entkoppelt man das falsche System, und ohne den Exporttest aus Schritt 3 fehlt der Maßstab dafür, ob die Entkopplung überhaupt etwas gebracht hat. Die unspektakulären Schritte zuerst zu erledigen, spart hier messbar Budget.
Die politische Debatte fragt, wo die Server stehen. Die betriebliche Frage lautet, wie lange es dauert, sie zu verlassen. Nur auf die zweite Frage hat ein Unternehmen selbst eine Antwort.
Quick-Check: Ihre Wechselfähigkeit
Fazit
Die Digitalpolitik des Sommers 2026 hat einen Begriff geschärft, der lange unscharf war. Für Unternehmen ist die wichtigste Erkenntnis dabei nicht die Definition selbst, sondern der Weg, auf dem sie ankommt: über Beschaffungsrichtlinien, Ausschreibungen und Lieferantenanforderungen — nicht über ein Gesetz, das jemandem etwas verbietet.
Wer daraus ein Migrationsprojekt macht, überinvestiert. Wer daraus gar nichts macht, wird bei der nächsten Ausschreibung oder der nächsten Preisrunde daran erinnert. Der mittlere Weg ist der wirtschaftlich vernünftige: Abhängigkeiten kennen, Wechselfähigkeit belegen, sensible Bestände gesondert behandeln.
Der Einstieg kostet weniger, als die Debatte vermuten lässt. Eine Tabelle mit vier Spalten, ein Exporttest an einem Tag und fünf Sätze in der nächsten Vertragsverlängerung. Damit ist ein mittelständisches Unternehmen in dieser Frage besser aufgestellt als der Großteil seines Wettbewerbs — und zwar belegbar, was in einer Ausschreibung den Unterschied macht.
Haben Sie Fragen zur digitalen Souveränität Ihrer IT?
Kostenlose Erstberatung vereinbarenUnsere Expertise vor Ort
Wir sind Ihr digitaler Partner – regional verankert und überregional erfolgreich.
Haben Sie eine Vision?
Lassen Sie uns gemeinsam prüfen, wie wir Ihre Idee zum Fliegen bringen.
Jetzt kostenloses Strategiegespräch buchenErweitertes Fachglossar
Reversibilität
Die Fähigkeit, eine getroffene Technologieentscheidung mit vertretbarem Aufwand rückgängig zu machen. In der Cloud bemisst sie sich daran, wie schnell und vollständig Daten und Prozesse zu einem anderen Anbieter oder in eigene Infrastruktur überführt werden können.
CLOUD Act
Ein US-Gesetz von 2018, das US-Anbieter verpflichten kann, Daten auch dann herauszugeben, wenn diese auf Servern außerhalb der Vereinigten Staaten liegen. Es ist der Kern der Souveränitätsdebatte über Rechenzentrumsstandorte.
Deutschland-Stack
Ein Vorhaben des Bundes zur Erarbeitung gemeinsamer Standards und Bausteine für die staatliche Digitalisierung. Der Konsultationsprozess dazu startete im Oktober 2025.
Exit-Klausel
Eine Vertragsbestimmung, die Umfang, Format, Frist und Kosten der Datenrückgabe bei Vertragsende festlegt. Ohne sie ist der Anbieterwechsel technisch möglich, aber wirtschaftlich häufig unattraktiv.
Souveräne Cloud
Ein Cloud-Angebot, bei dem Betrieb, Datenhaltung und rechtliche Kontrolle innerhalb eines definierten Rechtsraums liegen. Der Begriff ist nicht geschützt, weshalb die konkreten Zusagen im Vertrag zählen und nicht das Etikett.
