Ein Gedankenexperiment
Stellen Sie sich vor, von heute auf morgen fällt der Zugang zu Ihren zentralen Cloud-Systemen aus. Nicht wegen eines technischen Defekts, sondern weil politische Entscheidungen auf der anderen Seite des Atlantiks oder in Asien die Spielregeln geändert haben. Keine Mails, keine CRM-Daten, keine ERP-Steuerung – und kein Zugriff mehr auf die eigenen Dokumente im ECM.
Ein extremes Szenario? Vielleicht. Aber die Ereignisse der letzten Jahre – geopolitische Spannungen, veränderte Gesetzgebungen, drastische Lizenzpreiserhöhungen einzelner Tech-Konzerne – zeigen deutlich: Die Frage nach der eigenen digitalen Unabhängigkeit ist längst keine theoretische IT-Debatte mehr, sondern eine strategische Frage für die Geschäftsführung.
Laut Bitkom Cloud Report 2026 halten 85 % der befragten Unternehmen Deutschland für zu abhängig von US-Cloud-Anbietern – ein Jahr zuvor waren es 78 %. Gleichzeitig nutzen die meisten weiterhin genau diese Angebote. Wenn es darum geht, Konsequenzen zu ziehen, regiert oft noch die Bequemlichkeit.
Wer das ändern will, braucht zuerst eine ehrliche Standortbestimmung. Die zentrale Frage lautet: Welches digitale Souveränitätslevel wollen und müssen wir erreichen?
Die vier Stufen digitaler Souveränität
Nicht jedes Unternehmen muss jedes Bit im eigenen Serverraum betreiben. In der Praxis lassen sich vier Level unterscheiden:
Level 1: Die bequeme Abhängigkeit (Status quo)
Das Prinzip: minimale Kosten, maximale Funktionalität, schneller Markteintritt.
Die Realität: Daten und Prozesse liegen vollständig bei globalen Anbietern. Zugriffsmöglichkeiten ausländischer Behörden, etwa über den US CLOUD Act, werden in Kauf genommen. Ein Anbieterwechsel ist technisch und finanziell nahezu unmöglich (Lock-in-Effekt).
Für wen geeignet? Unkritische Start-ups oder Prozesse ohne sensible Daten und ohne strenge Regulierungsanforderungen.
Level 2: Compliance- und Datenschutz-Fokus
Das Prinzip: Einhaltung europäischer Vorgaben wie der DSGVO, ohne die grundlegende Infrastruktur infrage zu stellen.
Die Realität: Nutzung ausländischer Anbieter, aber mit Datenstandorten in der EU und vertraglichen Zusatzvereinbarungen. Das Risiko eines Zugriffs über die Muttergesellschaft im Drittstaat bleibt bestehen, wird aber administrativ abgefedert.
Für wen geeignet? Unternehmen mit Standard-B2B-Anforderungen, die rechtlich sauber agieren wollen, aber kein hohes geopolitisches Risiko sehen.
Level 3: Operative Wahlfreiheit und Interoperabilität (das Souveränitätsziel)
Das Prinzip: Cloud-Infrastrukturen, die nach europäischem Recht betrieben werden und auf offene Standards setzen.
Die Realität: Die Datenhoheit liegt vollständig im eigenen Rechtsraum. Offene Schnittstellen und standardisierte Architekturen halten das Unternehmen portabel: Ein Wechsel zu einem anderen Anbieter ist ohne existenzbedrohende Migrationskosten möglich.
Für wen geeignet? Gehobener Mittelstand, Industrieunternehmen mit wertvollem geistigem Eigentum und alle, die Preisdiktaten und Lock-in-Effekten aktiv vorbeugen wollen.
Level 4: Höchste Cyber-Resilienz und IT-Survivability
Das Prinzip: Garantiertes Weiterlaufen aller Kernprozesse – selbst bei massiven Cyberangriffen, kriegerischen Konflikten oder vollständigen Netzwerkausfällen.
Die Realität: Höchste Sicherheitsstandards, hybride Multi-Cloud-Strategien, strikte Zugangskontrollen und redundante, autarke Systeme, die im Notfall auch isoliert funktionieren.
Für wen geeignet? Kritische Infrastrukturen (KRITIS) wie Krankenhäuser, Energieversorger, Finanzinstitute, Behörden und der Verteidigungssektor.
| Level | Leitfrage | Typischer Betrieb | Wechselfähigkeit |
|---|---|---|---|
| 1 · Bequeme Abhängigkeit | Was ist am günstigsten? | Globaler SaaS-Anbieter, Standort egal | kaum gegeben |
| 2 · Compliance | Sind wir DSGVO-konform? | Ausländischer Anbieter, EU-Rechenzentrum | eingeschränkt |
| 3 · Wahlfreiheit | Können wir jederzeit wechseln? | Europäischer Betreiber, offene Standards | planbar |
| 4 · Survivability | Läuft es auch isoliert weiter? | Hybrid, redundant, autark betreibbar | jederzeit |
Die Standortbestimmung: Wo steht Ihr Unternehmen?
Um das passende Level zu bestimmen, reichen Bauchgefühl und Werbeversprechen nicht aus. Neuere Prüfrahmen wie der European Sovereign Stack Standard (ES³) von Schwarz Digits, der ebenfalls mit einem vierstufigen Reifegradmodell arbeitet, oder das Cloud Sovereignty Framework der EU laufen im Kern auf drei einfache, aber hartnäckige Fragen hinaus:
- Wo genau liegen Ihre Daten? Physischer und rechtlicher Standort.
- Wer kann im Zweifel darauf zugreifen? Jurisdiktion der Betreibergesellschaft und globale Wartungszugänge.
- Wie schnell und teuer ist ein Anbieterwechsel? Echter Ausstieg oder dauerhafte Abhängigkeit.
Mit der schnellen Verbreitung künstlicher Intelligenz verschärft sich der Druck weiter. Die Milliardeninvestitionen der großen KI-Entwickler müssen refinanziert werden. Wer sich heute vollständig an proprietäre KI-Umgebungen bindet, wird die Preisschraube morgen besonders deutlich spüren.
Was das für Ihr ECM bedeutet
Das ECM ist das Langzeitgedächtnis eines Unternehmens: Verträge, Personalakten, Konstruktionsunterlagen, steuerrelevante Belege mit zehnjähriger Aufbewahrungspflicht. Gerade hier wiegt Abhängigkeit schwer, weil Dokumente den Lebenszyklus jeder Softwareversion überdauern. Bei einer ECM-Auswahl lohnt es sich daher, die drei Prüffragen konkret zu stellen:
- Betriebsmodell: Ist das System neben SaaS auch On-Premises oder in einer europäischen Private Cloud betreibbar? Das ist die Voraussetzung für Level 3 und 4.
- Exportfähigkeit: Lassen sich Dokumente mit Metadaten, Versionen und Berechtigungen in offenen Formaten (z. B. PDF/A, XML, CMIS) exportieren? Ohne Metadaten ist ein Export nur ein Dateihaufen – mehr dazu im Beitrag zur Metadaten-Architektur.
- Eigentümerstruktur: Wo sitzen Hersteller und Mutterkonzern? Auch europäische Anbieter können Investoren aus Drittstaaten haben – das ECM-Radar weist dies in den Profilen aus.
- KI-Komponenten: Laufen KI-Funktionen bei einem US-Hyperscaler oder lassen sich europäische bzw. lokal betriebene Modelle anbinden?
- Notbetrieb: Bleibt das Archiv lesbar, wenn die Verbindung zum Anbieter abreißt?
Fazit: Zeit für eine bewusste Entscheidung
Digitale Souveränität bedeutet nicht Abschottung. Sie bedeutet Wahlfreiheit: die Fähigkeit, im Ernstfall „Nein“ sagen zu können und einen funktionierenden Plan B in der Hinterhand zu haben.
Es gibt kein allgemeingültiges „richtiges“ Level. Aber es gibt ein gefährliches Versäumnis: sich nicht bewusst zu entscheiden.
Wie sieht es in Ihrem Unternehmen aus? Welches Souveränitätslevel deckt Ihre Risiken ab – und wo stehen Sie heute wirklich auf diesem Weg?
Redaktionelle Einordnung des ECM-Radar, Stand 19. Oktober 2026. Quellen: Bitkom Cloud Report 2026 (repräsentative Befragung von 603 Unternehmen ab 20 Beschäftigten in Deutschland, veröffentlicht Juni 2026); öffentliche Unterlagen von Schwarz Digits zum European Sovereign Stack Standard (ES³). Die Nennung von Prüfrahmen ist keine Empfehlung für einzelne Anbieter. Keine Rechtsberatung.