Alle Kapitel aufklappen
Alle Kapitel zuklappen
1.1 Warum digitale Souveränität jetzt wichtig ist
26
1.2 Die besondere Rolle Deutschlands im internationalen Vergleich
28
1.3 Was dieses Buch nicht ist
30
1.4 Wer dieses Buch lesen sollte
31
1.5 Wie Sie dieses Buch lesen können
33
1.6 Was Sie aus diesem Buch mitnehmen sollen
35
TEIL I Die digitale Souveränität in Deutschland
39
2 Grundlagen der digitalen Souveränität
41
2.1 Datensouveränität, technologische und operative Souveränität
42
2.1.1 Digitale Souveränität als übergeordneter Gestaltungsanspruch
44
2.1.2 Datensouveränität als Kontrolle über Daten
45
2.1.3 Technologische Souveränität
45
2.1.4 Operative Souveränität als Fähigkeit zur Umsetzung
47
2.1.5 Das Zusammenspiel der drei Dimensionen
47
2.1.6 Missverständnisse und verkürzte Debatten
48
2.1.7 Die Bedeutung für Staat, Wirtschaft und Gesellschaft
49
2.2 Warum Deutschland strukturell verwundbar ist
49
2.2.1 Abhängigkeit entlang der digitalen Wertschöpfungskette
51
2.2.2 Kompetenzverlagerung und asymmetrische Innovationsdynamik
52
2.2.3 Fragmentierung durch föderale und sektorale Strukturen
52
2.2.4 Hohe Regulierung bei begrenzter Umsetzungskapazität
53
2.2.5 Historische IT-Landschaften und Pfadabhängigkeit
53
2.2.6 Kritische Infrastrukturen und systemische Bedeutung
54
2.2.7 Einordnung und Ableitung
55
2.2.8 Warum diese Verwundbarkeit kein Sonderfall ist
55
2.3 Digitale Souveränität als Standort-, Wettbewerbs- und Sicherheitsfaktor
56
2.3.1 Einordnung der Wirkungsdimension digitaler Souveränität
56
2.3.2 Digitale Souveränität als Standortfaktor
57
2.3.3 Wettbewerbsfähigkeit durch strategische Wahlfreiheit
58
2.3.4 Resilienz als wirtschaftlicher Erfolgsfaktor
59
2.3.5 Digitale Souveränität als Sicherheitsfaktor
59
2.3.6 Vertrauen als strategische Ressource
60
2.3.7 Zusammenführung der Perspektiven
60
2.4 Risiken globaler Abhängigkeiten
60
2.4.1 Geopolitische Risiken
61
2.4.2 Wirtschaftliche Risiken und Marktmacht
62
2.4.3 Operative und technische Risiken
63
2.4.4 Rechtliche und regulatorische Risiken
64
2.4.5 Gesellschaftliche und strategische Auswirkungen
65
2.4.6 Strategische Einordnung für Entscheider
65
2.4.7 Einordnung und Ausblick
67
2.5 Europäische Strategien und Regulierungsrahmen
67
2.5.1 Europäische Digitalstrategie als Ordnungsrahmen
68
2.5.2 Regulierung als strategisches Instrument
69
2.5.3 Cybersicherheit und Resilienz durch NIS2
70
2.5.4 EuroStack und strategische Investitionen
70
2.5.5 Zusammenspiel von EU-Rahmen und nationaler Umsetzung
71
2.5.6 Die europäische Dimension als strategischer Bezugspunkt
72
2.6 Individuelle und gesellschaftliche Souveränität
72
2.6.1 Digitale Souveränität als mehrstufiges Gefüge
73
2.6.2 Individuelle digitale Souveränität und Selbstbestimmung
74
2.6.3 Digitalkompetenz als Voraussetzung gesellschaftlicher Teilhabe
74
2.6.4 Demokratische Partizipation im digitalen Raum
75
2.6.5 Überwachungskapitalismus und individuelle Autonomie
76
2.6.6 Die Rolle von Kommunen und Zivilgesellschaft
76
2.6.7 Vertrauen als strategische Ressource
77
2.6.8 Einordnung und Verbindung zu den vorherigen Ebenen
77
2.7 Open Source und offene Standards als Enabler digitaler Souveränität
78
2.7.1 Open Source als Grundlage souveräner digitaler Infrastrukturen
78
2.7.2 ZenDiS als institutionelle Verankerung von Open Source auf Bundesebene
79
2.7.3 Offene Standards als Voraussetzung für Interoperabilität
79
2.7.4 Open Source ist keine automatische Souveränität
80
2.7.5 Herausforderung in Wartung, Sicherheit und Kompetenzaufbau
80
2.7.6 Von strukturellen Enablern zu wirksamer Steuerung
80
2.8 Messung und Steuerung digitaler Souveränität
81
2.8.1 Souveränität ohne Messung bleibt politisches Narrativ
83
2.8.2 Reifegradmodelle als Orientierung im Entwicklungsprozess
83
2.8.3 Bewertungsdimensionen für digitale Souveränität
84
2.8.4 Sovereignty Assessment als Entscheidungsinstrument
85
2.8.5 Governance und Steuerung im operativen Alltag
85
2.8.6 Von der Bewertung zur Steuerung
86
2.9 Strategische Handlungsfelder für digitale Souveränität
86
2.9.1 Internationaler Vergleich: Europa, USA und China
87
2.9.2 Handlungsfelder für Staat und Verwaltung
88
2.9.3 Handlungsfelder für Unternehmen
89
2.9.4 Handlungsfelder für Gesellschaft und Individuen
89
2.9.5 Quick Wins und langfristige Transformation
90
2.9.6 Einordnung und Ausblick
90
2.9.7 Von strategischen Handlungsfeldern zur politischen Umsetzung
91
3 Der politische Rahmen in Deutschland
93
3.1 Nationale Strategien
93
3.1.1 Die EU als Rahmen deutscher digitaler Souveränität
94
3.1.2 Der strategische Gestaltungsanspruch des Bundes
94
3.1.3 Zentrale Akteure
95
3.1.4 Föderale Umsetzung
97
3.2 Die Souveränitätsziele der Bundesregierung
98
3.2.1 Abhängigkeiten als Ausgangspunkt staatlicher Strategie
98
3.2.3 Open Source als strategisches Instrument
99
3.2.4 Das »Sovereignty Premium«
100
3.3 Die operative Bedeutung für Verwaltung und kritische Infrastrukturen
100
3.3.1 Die öffentliche Verwaltung
100
3.3.2 Kritische Infrastrukturen (KRITIS)
101
3.3.3 Regulierungen zwischen Anspruch und Umsetzung
102
3.3.4 Der Faktor Mensch
102
3.4 Digitalstrategie, Beschaffung und operative Vorgaben
102
3.4.1 Beschaffung als strategisches Steuerungsinstrument
102
3.4.2 Souveränität in Vertragsform
103
3.4.3 Standards und Nachweise für Prüfbarkeit
103
3.4.4 Governance-Mechanismen zwischen Strategie und Betrieb
104
3.4.6 Zielkonflikte als Normalzustand
106
3.5 Die Rolle der Parlamente und politischen Institutionen
107
3.5.1 Parlamentarische Steuerung im digitalen Zeitalter
107
3.5.2 Haushalt, Finanzierung und Prioritätensetzung
107
3.5.3 Föderale Institutionen und europäische Einbettung
108
3.5.4 Die Grenzen parlamentarischer Steuerung
110
3.5.5 Was der politische Rahmen für Organisationen konkret bedeutet
110
3.5.6 Demokratische Verantwortung im digitalen Raum
112
4 Die Vorgaben der EU und die nationale Umsetzung
113
4.1 Die Cloud-Regulierungen
113
4.1.1 NIS2 als Mindestniveau für Resilienz
115
4.1.2 GDPR und internationale Datentransfers
115
4.1.3 EU Data Act als Hebel gegen Lock-in
116
4.1.4 Weitere horizontale und sektorale Regelwerke
116
4.2 Extraterritoriale Risiken und Kontrolle durch anwendbares Recht
119
4.2.2 FISA 702 und RISAA
119
4.2.3 Executive Order 12333
120
4.2.4 Strategische Konsequenz
120
4.2.5 Architekturmodelle und regulatorische Anforderungen
121
4.3 Europäische Sicherheitsstandards und Zertifizierungen
121
4.3.1 Nationale Referenzrahmen
122
4.3.2 Fragmentierung als strukturelles Problem
122
4.3.3 EUCS - der europäische Harmonisierungsversuch
123
4.3.4 Strategische Einordnung
123
4.4 Rückbindung an die deutsche Umsetzung
123
TEIL II Sovereign Cloud: Markt, Anbieter und Realität
125
5 Das deutsche Ökosystem
127
5.1 Deutsche Anbieter
127
5.1.2 T-Systems Sovereign Cloud
128
5.1.4 Landesrechenzentren
129
5.1.5 Einordnung der deutschen Anbieterlandschaft
129
5.2 Bedeutung für die deutsche Verwaltung und KRITIS
130
5.3 Souveränität für Industrie und Mittelstand
132
5.4 Markttrends und Herausforderungen
133
6 Internationale Anbieter aus deutscher Perspektive
137
6.1 AWS European Sovereign Cloud
137
6.2 Microsoft EU Data Boundary and Sovereign Controls
139
6.3 Google Cloud Sovereign Controls
140
6.4 Europäische Player: Outscale, OVHCloud
142
6.5 Alibaba Cloud als geopolitischer Vergleichspunkt
143
6.6 Vergleichende Einordnung und strategische Konsequenzen
144
6.7 Referenzarchitektur für eine deutsche Landesbehörde
147
7 SAP und die deutsche Souveränitätslandschaft
151
7.1 Die Rolle von SAP in Deutschland: Staat, Verwaltung, Industrie
152
7.2 SAPs Sovereign Cloud: Architektur und Governance-Modelle
154
7.3 Partnerschaften: OpenAI, Mistral und Delos
157
7.4 Die Schlüsselrolle von SAP im deutschen Markt
160
7.5 Relevanz für KRITIS, den öffentlichen Bereich und den Mittelstand
161
7.6 Grenzen heutiger Sovereign-Modelle im SAP-Kontext
163
8 Executive Insights - Markt und Anbieter
167
8.1 Drei Anbieterlogiken
168
8.1.1 Kontrollierte Abhängigkeit
168
8.1.2 Eigentumsbasierte Nähe
168
8.1.3 Politische kuratierte Hybridität
169
8.1.4 Die Realität souveräner Hybridmodelle
169
8.2 Zwischen Plattformmacht und Kontrolle
171
8.2.1 Microsoft - Governance und Kontrolle der Abhängigkeit
171
8.2.2 AWS - regionale Infrastruktur und Kontrolle
172
8.2.3 Kontrollierbare Abhängigkeit statt vollständiger Isolation
173
8.3 Nähe allein schafft noch keine Souveränität
174
8.4 Swisscom - Souveränität als nationale Infrastrukturfrage
177
8.5 SAP - Geschäftsprozesse als Souveränitätsebene
179
8.6 Red Hat - Open Source als Exit- und Kontrollschicht
181
8.7 IBM - Technology Optionality als strategischer Kern
183
8.8 Die Konflikte des Sovereign-Cloud-Marktes
186
8.8.1 Global gegen lokal
186
8.8.2 Innovation gegen Kontrolle
187
8.8.3 Globale Skalierung gegen regionale Jurisdiktion
187
8.8.4 Kosten gegen Kontrolltiefe
188
8.8.5 Der Markt bleibt hybrid
188
8.9 Die Realität souveräner Cloud-Strategien
190
8.9.1 Bewertungsebenen für Sovereign-Cloud-Angebote
191
8.9.2 Risiken kritischer Systeme
192
8.9.3 Konsequenzen für Entscheider
193
8.9.4 Die unterschiedlichen Lager
193
8.9.5 Die neue Realität souveräner Architekturen
194
TEIL III Deployment-Modelle und operative Souveränität
197
9 Sovereign Cloud: Deployment-Modelle und strategische Einordnung
199
9.1 Deployment-Modelle sind Führungsentscheidungen
201
9.1.1 Regulierung verändert die Architekturfrage
201
9.1.2 Geopolitik macht Deployment zur strategischen Frage
202
9.1.3 Mehr als Public Cloud oder On-Premises
203
9.2 Hosted-Sovereign-Modelle
204
9.2.1 Ein kontrollierter Mittelweg
204
9.2.2 Wo diese Modelle entstehen
205
9.2.3 Beispiele aus der Praxis
206
9.3 Sovereign Controls bei Hyperscalern
207
9.3.1 Die gestufte Logik der Hyperscaler
207
9.3.2 Control-Plane statt nur Datenresidenz
209
9.3.3 Admin-Zugriffe und Just-in-Time-Access
209
9.3.4 Customer-Managed Keys und Provider-Managed Keys
209
9.3.5 Stärken und Grenzen der Hyperscaler-Modelle
210
9.3.6 Beispielhafte Einsatzmuster
210
9.3.7 Zwischen Kontrolle und Plattformabhängigkeit
210
9.4 Public-Sovereign-Cloud-Ansätze
211
9.4.1 Rechtsklarheit als Ausgangspunkt
212
9.4.2 Verbindung zu europäischen Initiativen
212
9.4.3 Die Grenzen europäischer Sovereign-Modelle
213
9.5 Fully-Sovereign-On-Premises- und Onsite-Modelle
215
9.5.1 Wo maximale Kontrolle erforderlich wird
215
9.5.2 Souveränität als Dauerverantwortung
216
9.5.3 Kontrolle versus Innovationszugang
216
9.6 Sovereign AI als Bestandteil von Deployment-Strategien
217
9.6.1 KI verändert Datenflüsse und Kontrollfragen
217
9.6.2 Neue Bewertungskriterien für KI-Deployments
218
9.6.3 Beispiel aus der Praxis
218
9.7 Entscheidungslogik für Deployment-Modelle
219
9.7.1 Nicht das souveränste Modell, sondern das passendste
219
9.7.2 Sechs Kriterien für die Entscheidung
221
9.7.3 Vergleich zentraler Deployment-Modelle
222
10 Die technische Architektur souveräner Cloud-Umgebungen
225
10.1 Identität und Zugriff ohne Fremdzugriff
226
10.1.1 Grundprinzipien souveräner Identitätsarchitekturen
226
10.1.2 Souveränitätsebene: Trennung zwischen Kunde und Anbieter
227
10.1.3 Der Sovereign Identity-Layer als Architekturprinzip
229
10.1.4 Break-Glass-Szenarien und Notfallzugriffe
230
10.1.5 Regulatorische Anforderungen an Identität und Zugriff
231
10.1.6 Typische Architekturfehler
232
10.2 Schlüsselmanagement
233
10.3 Netzwerkisolierung, Zero Trust und Mandantentrennung
235
10.4 Protokollierung, Überwachung und Auditierbarkeit
237
10.5 Datenkontrolle und Sovereign AI in der Architektur
238
10.6 Referenzarchitekturen für Behörden, KRITIS und Industrie
240
11 Sicherheit, Compliance und Zertifizierung in Deutschland
243
11.1 Warum Compliance-Projekte in der Praxis scheitern
243
11.2 BSI C5 und IT-Grundschutz als nationale Basis
245
11.3 EUCS und das EU Cloud Sovereignty Framework
247
11.4 SecNumCloud, ENS und europäische Benchmarks im Vergleich
249
11.5 Prüfbare Souveränität
251
12 Executive Insights - Architektur und Umsetzung
255
12.1 Souveränität beginnt mit Klarheit über die Risiken
256
12.2 Die größte Lücke liegt in der Governance
257
12.3 Die Architektur ist nicht neu, aber die Anforderungen sind schärfer
259
12.4 Exit-Fähigkeit wird zur Architekturdisziplin
260
12.6 Multi-Cloud erhöht nicht automatisch die Souveränität
264
12.7 Open Source als operative Kontrolloption
267
12.8 Souveränität bedeutet Handlungsfähigkeit unter Unsicherheit
268
TEIL IV Einführung in die Sovereign Cloud: Roadmaps, Kosten und Organisation
273
13 Souveränitätsanalyse und Entscheidungsmatrix
275
13.1 Kosten-Risiko-Kompetenz-Matrix
276
13.1.1 Typische Organisationsprofile und ihre Realität
277
13.1.2 Typische Fehlannahme
278
13.2 Stakeholder-Politik in der Organisation
279
13.2.1 Typische Konfliktlinien souveräner Transformationen
280
13.3 Governance für deutsche Organisationen
281
13.3.1 Governance als kontinuierliche Steuerungsaufgabe
282
13.3.2 Das Sovereignty Operating Model
283
13.4 Reifegradmodell: Sovereign Readiness Assessment
284
13.5 Der souveräne Entscheidungsprozess
285
13.6 Souveränität über den gesamten Lifecycle
287
13.7 Make or buy: Strategische Souveränitätsentscheidung
288
13.7.1 Risikoentscheidungen unter Unsicherheit
290
13.7.2 Eskalationsmodelle und souveräne Handlungsfähigkeit
291
13.7.3 Readiness Assessment: Wie souverän ist Ihre Organisation wirklich?
292
13.8 Risikobasierte Szenarioplanung
294
14 Einführungsszenarien für Wirtschaft und Verwaltung
297
14.1 Mittelstand: Einstieg und Skalierung
298
14.2 Verwaltung: Souveränität im föderalen System
299
14.3 Industrie zwischen Innovation und Plattformabhängigkeit
301
14.4 KRITIS-Betreiber: Resilienz unter geopolitischem Druck
302
14.5 Wie Vorstände Souveränität wirtschaftlich rechtfertigen
303
15 Migration und Change-Management
307
15.1.1 Migration als Spannungsfeld zwischen Stabilität und Veränderung
308
15.1.2 Was die Wahl des Migrationswegs wirklich bestimmt
309
15.2 Typische Fehler und Lessons Learned
310
15.2.1 Souveränität als technisches Projekt
310
15.2.2 Die Illusion späterer Exit-Fähigkeit
311
15.2.3 Unterschätzte Datenabhängigkeiten
311
15.2.4 Späte Einbindung kritischer Akteure
312
15.3 Change-Management in Behörden und Industrie
313
15.3.1 Unterschiedliche Geschwindigkeiten, gleiche Herausforderung
313
15.3.2 Die Kommunikation ist wichtiger als die Technologie
314
15.3.3 Kompetenzaufbau als strukturelle Voraussetzung
314
15.3.4 Pilotprojekte als Stabilitätsanker
314
15.4 Betrieb und Weiterentwicklung
315
15.4.1 Die stille Erosion der Souveränität
315
15.4.2 Operating Model als Gegenmaßnahme
316
15.4.3 Nur was gemessen wird, wird gesteuert
316
15.5 Exit-Planung als integraler Bestandteil
317
15.5.1 Exit als Designprinzip
317
15.5.2 Drei Dimensionen der Exit-Fähigkeit
318
15.5.3 Warum der Exit selten getestet wird
319
TEIL V KI als neue Souveränitätsschicht
321
16 Der AI Act und Deutschlands Weg zur souveränen KI
323
16.1 Der AI Act der Europäischen Union
323
16.1.1 Vom Infrastrukturdenken zur Entscheidungskontrolle
323
16.1.2 Warum das für Unternehmen und Behörden ein Bruch ist
323
16.1.3 KI als neue regulatorische Schicht
324
16.1.4 KI als dauerhafter Bestandteil der Governance
325
16.2 Risiko-Klassen und Compliance-Folgen
326
16.3 Warum KI ohne Souveränität nicht mehr möglich ist
328
16.4 Die politische Zielsetzung Deutschlands
330
16.5 Deutschlands Abhängigkeit bei KI - und wie Sovereign AI sie reduziert
331
16.5.1 Vollständige Unabhängigkeit ist keine realistische Option
332
16.5.2 Die zentralen Hebel souveräner KI
333
16.6 Ein Governance-Framework für Sovereign AI
334
16.6.1 Zentrale Rollen im Governance-Framework
334
16.6.2 Policy-Dimensionen souveräner KI
335
16.6.3 Der kritische Moment vor dem Deployment
336
17.1 Was mit Ihren Daten im LLM (Large Language Model) passiert
339
17.2 Europäische Modelle
341
17.4 On-Premises-Ansätze und Edge-Architekturen als Weg zu maximaler Kontrolle mit hohem Aufwand
344
17.5 Governance, Auditierbarkeit und Modellkontrolle
345
17.6 Foundation Models
346
17.7 Die Illusion der Souveränität
348
17.8 Architekturmuster für Sovereign AI
350
18.1 Der Einfluss von KI auf die öffentliche Verwaltung
353
18.1.1 Vom Werkzeug zur Einflussgröße
354
18.1.2 Kontrolle der Entscheidungslogik
354
18.2 Justiz und Sicherheitsbehörden unter Unsicherheit
355
18.2.1 Wahrscheinlichkeit ist keine Entscheidung
355
18.2.2 Grenzen klassischer KI-Nutzung
355
18.2.3 Erklärbarkeit als Voraussetzung
356
18.3 Gesundheitswesen und Energieversorgung als kritische Systeme
356
18.3.1 Wenn Daten zu Verantwortung werden
357
18.3.2 Die stille Verschiebung
357
18.3.3 Die Energieversorgung als kritische Infrastruktur
358
18.3.4 Die Grenzen klassischer IT-Logik
358
18.4 Industrielle Produktion und Wertschöpfung
359
18.4.1 Vom Prozess zur Modelllogik
359
18.4.2 Daten als Träger von Wettbewerb
359
18.4.3 Die schleichende Verlagerung der Kontrolle
360
18.4.4 Die unterschätzte Dynamik
360
18.4.5 Vergleich der Einsatzfelder
361
18.5 Souveräne KI als strategische Schlüsseltechnologie
362
18.5.1 Die Verschiebung von Kontrolle
362
18.5.2 Warum diese Entwicklung strategisch relevant ist
362
18.5.3 Souveräne KI als Fähigkeit, nicht als Zustand
363
18.5.4 Die strukturelle Bedeutung für Deutschland
363
19 Executive Insights - KI und Souveränität
367
19.1 Warum KI die Souveränitätsfrage verschärft
368
19.2 Europäische Modelle zwischen Anspruch und Realität
370
19.3 Vertrauen ohne Skalierung reicht nicht aus
372
19.4 Souveränität beginnt bei der Recheninfrastruktur
374
19.5 Modelle, Kontext und kontrollierte Nutzung
376
19.6 Offene Betriebsmodelle und kontrollierbare Plattformen
378
19.7 Nationale Infrastruktur als strategischer Faktor
379
19.8 Kontrollierte Nutzung statt pauschaler Entscheidungen
381
19.9 Souveränität als industriepolitische Aufgabe
383
TEIL VI Ausblick: Deutschlands digitale Unabhängigkeit 2030+
387
20 Strategische Roadmap für Deutschland
389
20.1 Politik: Leitplanken und Prioritäten
390
20.2 Verwaltung: Vom Projekt zum Plattformdenken
392
20.3 Wirtschaft: Souveräne Wettbewerbsfähigkeit
393
20.4 Infrastruktur: Von Projekten zu Ökosystemen
394
20.5 Szenarien: Drei Pfade nach 2030
395
20.5.1 Szenario 1: Strategische Souveränität
395
20.5.2 Szenario 2: Der Komfort-Lock-in
397
20.5.3 Szenario 3: fragmentierte Souveränität
397
20.5.4 An welcher Zukunft wirken Sie mit?
398
21.1 Europas wirtschaftliche Interessen
399
21.2 Europa zwischen Plattformmacht und Regulierung
400
21.3 Deutschland als Stabilisator
401
21.4 Wohin sich souveräne Cloud und KI entwickeln
402
21.5 Das KI-Rennen wird über die Infrastruktur entschieden
403
21.6 Drei mögliche Zukunftsszenarien für Europa
404
21.6.1 Szenario 1: Europa als regulierter Absatzmarkt
404
21.6.2 Szenario 2: Fragmentierte Souveränität
405
21.6.3 Szenario 3: Koordinierte europäische Handlungsfähigkeit
405
22 Schlussbetrachtung: Souveränität als strategische Entscheidung
407
22.1 Was Deutschland jetzt entscheiden muss
408
22.2 Die Illusion vollständiger Unabhängigkeit
408
22.3 Warum die nächsten Jahre entscheidend sein werden
409
22.4 Handlungsempfehlungen für Politik, Verwaltung und Wirtschaft
410
A Executive-Toolkit für souveräne Entscheidungen
413
A.1 Strategische Entscheidungsmatrix für souveräne Cloud-Modelle
413
A.2 Souveränitätscheckliste
414
A.3 Readiness-Assessment zur Souveränität
415
A.4 Rollen und Verantwortlichkeiten
417
A.5 Regulatorische Schnellübersicht
418
A.6 Entscheidungsfragen für die Führungsebene
420