EU-Digitalsouveränität: Warum sie wichtig ist

Das Argument für europäische Digitalsouveränität

Über weite Teile zweier Jahrzehnte haben europäische Organisationen ihre digitale Infrastruktur auf Plattformen aufgebaut, die von amerikanischen Hyperscalern betrieben werden. Cloud-Speicher, Kollaborationswerkzeuge, Identitätsverwaltung und Kommunikation haben sich allesamt auf eine Handvoll Anbieter mit Sitz in den USA konzentriert. Der Komfort war unbestreitbar. Die strategischen Kosten werden erst jetzt sichtbar.

Digitale Souveränität ist das Prinzip, dass Staaten, Institutionen und Unternehmen sinnvolle Kontrolle über ihre Daten, ihre Infrastruktur und die Software behalten sollen, die kritische Abläufe trägt. Es geht nicht um Isolationismus oder Protektionismus. Es geht darum, sicherzustellen, dass die Regeln, die europäische Daten regieren, von europäischem Recht gesetzt, von europäischen Gerichten durchgesetzt und von einer Infrastruktur getragen werden, die nicht einseitig von fremden Regierungen gestört werden kann.

Warum das jetzt wichtig ist

Mehrere Entwicklungen haben digitale Souveränität vom Rand der Politikdebatte in die Vorstandssitzungen geholt.

Extraterritoriale Reichweite ausländischen Rechts. Der US-CLOUD-Act erlaubt amerikanischen Behörden, in den USA ansässige Anbieter zur Herausgabe von Daten zu zwingen, die irgendwo auf der Welt gespeichert sind — unabhängig davon, wo die betroffene Person wohnt. Für europäische Organisationen, die sensible personenbezogene Daten, Patientenakten, anwaltliche Kommunikation oder klassifizierte Regierungsinformationen verarbeiten, entsteht damit ein unauflösbarer Konflikt mit der Datenschutz-Grundverordnung.

Fragile Lieferketten. Geopolitische Spannungen, Handelsstreitigkeiten und Sanktionsregime haben gezeigt, dass der Zugang zu von ausländischen Akteuren kontrollierten Diensten mit kurzer Vorwarnung eingeschränkt werden kann. Organisationen, die für tägliche Kommunikation und Zusammenarbeit vollständig auf nicht-europäische Plattformen angewiesen sind, tragen ein Konzentrationsrisiko, das wenige Vorstände vollständig quantifiziert haben.

Regulatorische Dynamik. Der EU Data Act, das europäische Cybersicherheits-Zertifizierungsschema und die fortlaufende Auslegung der Schrems-II-Entscheidungen verschärfen die Anforderungen daran, wo Daten verarbeitet werden dürfen und wer auf sie zugreifen kann. Compliance wird nicht mehr durch ein vertragliches Versprechen eines US-Anbieters erfüllt; sie verlangt zunehmend nachweisbare technische und jurisdiktionelle Kontrollen.

Öffentliches Vertrauen. Bürger, Patienten und Mandanten erwarten, dass ihre Kommunikation und Aufzeichnungen durch die Rechtsrahmen geschützt werden, für die sie gestimmt haben. Wenn ein europäisches Krankenhaus seine Videosprechstunden über eine Infrastruktur abwickelt, die ausländischem Überwachungsrecht unterliegt, wird diese Erwartung still und leise verletzt.

Was digitale Souveränität in der Praxis erfordert

Echte Souveränität zu erreichen ist keine Frage der Rhetorik. Sie verlangt konkrete architektonische Entscheidungen.

Jurisdiktion der Infrastruktur. Server müssen physisch innerhalb der EU stehen und von Rechtsträgern betrieben werden, die nach EU-Recht gegründet wurden — ohne Muttergesellschaft, die widersprüchlichen ausländischen Pflichten unterliegt.

Garantien zur Datenresidenz. Daten müssen im Ruhezustand, während der Übertragung und während der Verarbeitung innerhalb definierter Jurisdiktionsgrenzen verbleiben. Das schließt Metadaten, Logs und Verschlüsselungsschlüssel ein.

Transparente Governance. Die Unternehmensstruktur, das Eigentum und die rechtlichen Pflichten des Betreibers müssen prüfbar sein. Souveränitätsversprechen sind nur so stark wie die Governance dahinter.

Offene Standards. Die Abhängigkeit von proprietären Protokollen und Formaten erzeugt eine andere Form des Lock-ins. Souveräne Plattformen sollten Interoperabilität annehmen, damit Organisationen frei migrieren, integrieren und prüfen können.

Verschlüsselung unter Nutzerkontrolle. End-to-End-Verschlüsselung stellt sicher, dass selbst der Plattformbetreiber nicht auf die Inhalte der Kommunikation zugreifen kann. Wenn Verschlüsselungsschlüssel vom Kunden verwaltet werden, erstreckt sich die Souveränität von der Infrastruktur bis auf die Daten selbst.

Mandrakis Ansatz

Mandraki wurde von Anfang an konzipiert, um diese Anforderungen zu erfüllen. Die Plattform wird ausschließlich auf einem in europäischem Besitz befindlichen Hyperscaler betrieben, der die Skalierung liefert, die unsere Arbeitslasten benötigen — mit allen Daten, die innerhalb der EU-Grenzen verarbeitet und gespeichert werden. Es gibt kein US-Mutterunternehmen, keine ausländische Tochtergesellschaft mit Zugriff und keinen rechtlichen Weg, auf dem nicht-europäische Behörden eine Offenlegung erzwingen könnten.

Jede Schicht des Stacks — vom Infrastrukturanbieter bis zum Anwendungscode — folgt dem Grundsatz, dass europäische Organisationen nicht zwischen modernen Kollaborationswerkzeugen und echter Kontrolle über ihre Daten wählen müssen sollten.

Digitale Souveränität ist keine Funktion. Sie ist ein Fundament. Alles, was Mandraki baut, ruht darauf.