Was ist digitale Souveränität?

Unter digitaler Souveränität versteht man die Fähigkeit eines Unternehmens, seine digitalen Ressourcen zu kontrollieren, also zu entscheiden, wo die Daten liegen, wie die Systeme laufen und wer Zugang zu ihnen hat. 

Unternehmen behalten dabei stets die Kontrolle über ihre Daten und Technologie, anstatt diese einem externen Anbieter zu überlassen. 

Digitale Souveränität betrifft die Infrastruktur, Abläufe, KI-Workloads und weitere Bereiche.

Lösungen für digitale Souveränität von Red Hat

Sowohl Unternehmen als auch Regierungen können digitale Souveränität anstreben. Einige Regierungen verfügen über Gesetze, die die digitale Kontrolle in ihren Rechtssystemen definieren und durchsetzen, wie die Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union (EU) oder der CLOUD-Act (Clarifying Lawful Overseas Use of Data Act) in den USA. Diese Gesetze sollen Verbraucherinnen und Verbraucher sowie geistiges Eigentum schützen, Eigenständigkeit und Resilienz erhalten und die Risiken senken. 

In diesem Artikel liegt der Fokus auf digitaler Souveränität für Unternehmen. 

Mehr über Strategien zur digitalen Souveränität für Serviceanbieter erfahren 

Stellen Sie sich digitale Souveränität so vor, als würden Sie ein Auto kaufen, anstatt es zu mieten oder zu leasen. Mit dem Kauf eines Autos verschaffen Sie sich mehr Freiheit, Privatsphäre, Flexibilität und Unabhängigkeit. Aber der Kauf ist auch mit hohen Anschaffungskosten, Wartungspflichten und einer gültigen Fahrerlaubnis verbunden. 

Genauso wie der Besitz eines Autos bringt digitale Souveränität große Verantwortung mit sich und kann sehr aufwendig sein. Aber für Unternehmen mit den folgenden Prioritäten könnte sich die Investition auszahlen: 

• Business Continuity: Mit digitaler Souveränität haben Sie die Kontrolle, wenn etwas falsch läuft – und müssen sich nicht auf einen Drittanbieter verlassen. 

  Wenn Sie die Kontrolle über Ihre Systeme haben, können Sie sicherstellen, dass sie portierbar und interoperabel sind. So können Sie bei einer unerwarteten Störung migrieren oder im schlimmsten Fall unmittelbar auf Ihre Software, Ihren Support und Ihre Modelle zugreifen. All diese Faktoren tragen dazu bei, dass Sie die Abläufe nach Ihren Vorstellungen weiterlaufen lassen können.

• Anbieterflexibilität: Mit digitaler Souveränität können Sie frei aus verschiedenen Tools und Diensten von unterschiedlichen Anbietern wählen. 

  Wenn Sie Ihre Infrastruktur selbst kontrollieren, können Sie die Ausfallrisiken minimieren, einen Anbieterwechsel vereinfachen und sich alle Optionen offenhalten.

• Risikomanagement: Mit digitaler Souveränität können Sie Ihre kritische Infrastruktur vor Störungen jenseits Ihrer Kontrolle schützen und Risiken präventiv reduzieren.

  Die Abhängigkeit von externen Anbietern – mit eigenen Prioritäten – kann zu ungewollten Schwachstellen führen. Wenn Sie die Kontrolle über Ihre Infrastruktur, Daten und Anbieter haben, können Sie Abhängigkeiten eingrenzen, die mit Sicherheits-, Compliance- oder geopolitischen Risiken einhergehen könnten. 

Zusammengefasst lässt sich sagen, dass digitale Souveränität eine robuste Strategie für Unternehmen ist, die „ihr eigenes Auto“ haben und dafür die Bequemlichkeit des „Mietens“ gegen Autonomie eintauschen möchten.

Zum Red Hat Sovereignty Readiness Assessment

Digitale Souveränität verfügt über 4 Säulen, auf denen die ganzheitliche Strategie zur Kontrolle der digitalen Ressourcen basiert.

1. Datensouveränität befasst sich mit der Einhaltung lokaler Gesetze beim Erstellen, Speichern und Verwenden von Daten. Bei Daten gelten normalerweise die Gesetze des Landes, in dem sie gesammelt oder verarbeitet werden; manchmal gelten allerdings internationale Regelungen. Das ist auch bei KI-Modellen und Trainingsdaten der Fall. Diese Gesetze unterscheiden sich von Land zu Land. 

   In Deutschland erhobene Daten müssen zum Beispiel der Datenschutz-Grundverordnung (DSGVO) entsprechen. 

2. Bei technischer Souveränität geht es um die Kontrolle darüber, wie Ihre Systeme aufgebaut sind. Wenn Sie bei Ihrer Technologie darauf achten, sie portierbar und interoperabel aufzubauen, ist sie nicht an spezielle Umgebungen gebunden und kann technologieübergreifend verwendet werden. Mit dem Einsatz von offenen Standards und quelloffenen Technologien kann auch die Abhängigkeit von der proprietären Infrastruktur oder Software eines einzelnen Anbieters verringert werden. So können neue Tools leicht eingeführt, Umgebungen einfach gewechselt und Ihre Architektur unkompliziert weiterentwickelt werden – ohne dass alles neu aufgebaut werden muss.

   Entscheidet beispielsweise ein Unternehmen darüber, welche Workloads On-Premise und welche in der Cloud ausgeführt werden, stellt die limitierte Architektur eines Anbieters kein Hindernis dar. 

3. Operative Souveränität thematisiert die Kontrolle darüber, wie Ihre Systeme täglich ausgeführt, zugänglich gemacht und gewartet werden. Wenn Sie entscheiden, wie Ihre Infrastruktur betrieben, verwaltet und überwacht wird, können Sie nachprüfen, wer Zugang zu Ihren Systemen hat und sicherstellen, dass diese verlässlich ausgeführt werden. 

   Wennbeispielsweise Ihr internes IT-Team steuert, wer Zugang zu Systemen hat, wer auf Vorfälle reagiert und wer unmittelbar Änderungen vornehmen kann, entfällt die Wartezeit, bis ein Anbieter die notwendigen Schritte ergreift. 

4. Bei Sicherheitssouveränität geht es darum, selbstbestimmt dafür zu sorgen, dass Ihre Technologie sicher und verlässlich ist sowie den Compliance-Anforderungen entspricht. Dazu sind regelmäßige Systemtests notwendig, um sicherzugehen, dass die lokalen rechtlichen Anforderungen erfüllt sind, sowie Audits, um bei den Richtlinien auf dem aktuellen Stand zu bleiben. Auch die IT-Infrastruktur, Software und Abläufe unterliegen der Verifizierung.

   So führt ein Anbieter von Gesundheitsleistungen die Audits seiner Systeme selbst durch, um Patientendaten zu schützen und den Anforderungen des Gesetzes über die Portierbarkeit und Rechenschaftspflicht der Krankenversicherung (HIPAA) zu entsprechen. 

Mehr darüber erfahren, warum digitale Souveränität über Compliance hinausgeht

Bei digitaler Souveränität geht es darum, innerhalb Ihres Unternehmens die Kontrolle über Ihre Technologie zu behalten, auch wenn Sie mit Drittanbietern zusammenarbeiten. 

Datensouveränität (1 der 4 Säulen der digitalen Souveränität) reguliert Daten – genauso wie KI-Modelle und Trainingsdaten – gemäß den Gesetzen des Landes, in dem sie erfasst, gespeichert oder verarbeitet werden. Hier überlappen sich rechtliche Compliance und Unternehmensstrategie. 

Daten unterliegen lokalen Gesetzen, selbst wenn sich die Muttergesellschaft oder Rechenzentren an einem anderen Ort befinden. Wenn Daten weltweit erhoben werden, kann das sehr knifflig sein. 

Verfügt beispielsweise ein in Amerika ansässiges Unternehmen über eine Niederlassung in Paris, werden in Frankreich Kundendaten erhoben. Diese Daten müssen mit EU-Gesetzen wie der DSGVO konform sein, obwohl sich die Muttergesellschaft in den USA befindet.

Es ist wichtig, digitale und Datensouveränität nicht zu verwechseln – oder diese beiden mit einem weiteren verwandten Begriff durcheinanderzubringen: Cyberspace-Souveränität bezieht sich auf Regierungen, die mittels Gesetzen und Zensur innerhalb ihrer Rechtssysteme Kontrolle über das Internet ausüben. 

Es gibt beispielsweise einige Länder, die den Zugang zu Inhalten einschränken, die andere frei zugänglich belassen. 

Zwei weitere wichtige Begriffe, die bei der Diskussion von digitaler Souveränität und Governance nicht fehlen sollten, sind folgende:

• Datenresidenz: Dies bezieht sich auf den Ort, wo Daten physisch gespeichert werden. In unserem Beispiel liegt die Datenresidenz in Frankreich.
• Datenlokalisierung: Dies bezieht sich auf die Gesetze, gemäß denen bestimmte Daten innerhalb des Rechtssystems eines Landes gespeichert und manchmal auch verarbeitet werden müssen. In unserem Beispiel kann es für das in den USA ansässige Unternehmen erforderlich sein, die in Frankreich erhobenen Daten innerhalb der EU zu belassen oder einen genehmigten Prozess zur Überführung anzuwenden. 

Zusammengefasst heißt das, dass digitale Souveränität Ihnen die Kontrolle über Ihre Unternehmenstechnologie und Infrastrukturentscheidungen verschafft, während sich Datensouveränität mit der Anwendung spezifischer Gesetze auf lokale Daten befasst. Zusammen ermöglichen es diese Praktiken Unternehmen, im Ausland zu agieren und Geldstrafen zu vermeiden.

Jegliches Unternehmen, das Daten speichert, verarbeitet oder übermittelt, sollte sicherstellen, dass Datensouveränität in seinen gesetzlichen, datenschutzrechtlichen und sicherheitspolitischen Strategien berücksichtigt wird.

Digitale Souveränität ist für so viele Organisationen interessant, weil sie für Kontrolle und Sicherheit sorgt. Wenn Sie einen Überblick über Ihre gesamte digitale Landschaft haben, liegt die Entscheidung darüber, wie Ihre Infrastruktur, Daten und Sicherheit verwaltet werden, bei Ihnen. Von diesem Grad an Autonomie können folgende Bereiche profitieren:

• Einhaltung gesetzlicher Vorschriften: Sie können sicherstellen, dass Sie lokale Datenvorschriften befolgen und globale Datenübertragungen intern steuern. Das sorgt für verbesserte ganzheitliche Sicherheit und Business Continuity.
• Operative Resilienz: Wenn Sie für Disaster Recovery-Pläne zuständig sind, können Sie so schnell, wie Sie es für richtig halten, Workloads verschieben und anpassen, anstatt auf die Genehmigung Ihres Anbieters warten zu müssen.
• Risikomanagement: Je geringer die Abhängigkeit von externen Plattformen, desto weniger betreffen Sie Ausfälle auf Anbieterseite – und die Frage, wer für die Sicherheit verantwortlich ist, stellt sich nicht.
• Kostentransparenz: Souveränität bedeutet nicht automatisch verringerte Kosten, aber sie verbessert definitiv die Kostentransparenz, damit Sie Ihre Ressourcen und Ihr Budget entsprechend anpassen können.
• KI-Governance und Modellkontrolle: Anstatt KI vollständig auszulagern, haben Sie die Kontrolle über Ihre Trainingsdaten, Modellupdates und darüber, wie KI bereitgestellt wird. So können Sie KI-Systeme mittels Fine Tuning an Ihre Bedürfnisse anpassen, damit sie Ihre geschäftlichen Anforderungen optimal erfüllen. Außerdem ist die dadurch zusätzlich gesteigerte Sicherheit für streng regulierte Geschäftsbereiche wie etwa Gesundheits- und Finanzwesen bedeutsam. 

Mehr Kontrolle heißt für Unternehmen mehr Flexibilität, eindeutigere Governance und auf lange Sicht eine nachhaltigere Technologiestrategie.

Aber beachten Sie Folgendes: Es ist möglich, dass ein Erlangen der größtmöglichen Kontrolle über alle Technologiebereiche nicht für jedermann von Vorteil ist. Manche Plattformen benötigen eine Public Cloud, um ihr Potenzial optimal zu entfalten. Es sind wahrscheinlich Ihre Workloads, über die Sie weiterhin die Entscheidungsgewalt besitzen und digitale Souveränität aufrechterhalten möchten.

Unternehmen sind nicht ohne Grund vorsichtig, wenn es darum geht, ihre gesamte Technologie selbst zu warten. Der Aufwand ist für Unternehmen jeglicher Größe nicht zu unterschätzen. 

Digitale Souveränität bedeutet, dass Sie für die Compliance, Lieferkette, Datenresidenz, KI und vieles mehr verantwortlich sind. Und die gleichzeitige Kontrolle über all diese Bereiche birgt folgende Herausforderungen: 

• Kosten: Digitale Souveränität erfordert normalerweise eine anfängliche Investition in Ihre eigene Infrastruktur, Software und Governance-Plattformen für Daten sowie die jeweilige Wartung. Hybrid- und Multi Cloud-Architekturen können teuer sein, sorgen aber dafür, dass Sie sich der sich weiterentwickelnden Technologie flexibel anpassen können. 

  Beachten Sie: Souveränität bedeutet nicht, dass Sie alles neu aufbauen müssen. Aber sie bedeutet durchaus, dass Sie beim Entwickeln Ihrer Infrastruktur die Souveränitätsanforderungen beachten sollten. 

• Expertise: Das richtige Team zusammenzubringen und mit Mitteln auszustatten, kann schwierig sein. Für digitale Souveränität benötigen Sie vor Ort Expertinnen und Experten – wie Platform und Security Engineers – die Ihre speziellen Use Cases verstehen.
• Einhaltung gesetzlicher Vorschriften: Daten stammen häufig aus mehreren Ländern, von denen jedes seine eigenen Gesetze hat. Diese Vorschriften können sich überschneiden oder sogar widersprechen. Außerdem ändern sie sich häufig, sodass sie genau verfolgt werden müssen, um operative Verzögerungen und Sicherheitsrisiken zu vermeiden.
• Vendor Lock-in: Es kann schwierig sein, digitale Ressourcen von proprietären Anbietern zu lösen, ohne den laufenden Geschäftsbetrieb zu stören. Eine Migration erfordert sorgfältige Planung und eine gut durchdachte Architektur, um neue Risiken zu vermeiden.
• Organisatorische Komplexität: All Ihre Teams müssen an einem Strang ziehen – egal ob IT, Sicherheit, Finanzen, Recht oder die ausführenden Bereiche. Damit Ihre Strategie aufgeht, müssen Sie sicherstellen, dass Ihre Teams teamübergreifend dieselben Prioritäten für Souveränität setzen. 

Strategien für digitale Souveränität gibt es mit unterschiedlichen Kontroll- und Komplexitätsebenen, sodass die Herausforderungen sich abhängig von Ihrem Use Case unterscheiden. 

• Eine selbst gemanagte Infrastruktur bietet die größtmögliche Kontrolle, erfordert wahrscheinlich aber auch die größte Investition und die meiste Wartungsarbeit.
• Souveräne Cloud-Lösungen können in der Anschaffung ebenfalls teuer sein und bringen eine Reihe von Anbietereinschränkungen mit sich.
• Hybrid oder Multi Cloud-Architekturen bieten die meiste Flexibilität, sind aber mit operativen Komplexitäten und Governance-Anforderungen für unterschiedliche Umgebungen verbunden.

Hier ist es nochmals hilfreich, sich die Autoanalogie vor Augen zu führen. Ihre Lösung für digitale Souveränität wird ein Kompromiss sein: Mehr Kontrolle und Unabhängigkeit im Vergleich zu weniger Komplexität und niedrigeren Anschaffungskosten.

Eine souveräne Cloud ist eine Cloud-Umgebung, die so aufgebaut ist, dass zwingend 3 Kontrollschichten vorhanden sind: Wo befinden sich die Daten, welche Gesetze sind auf sie anzuwenden und wer betreibt die Infrastruktur? 

• Datensouveränität definiert in Verbindung mit Datenresidenz und -lokalisierung, wo Daten gespeichert und wie sie in Übereinstimmung mit den örtlichen Rechtsvorschriften bewegt werden können.
• Das Rechtssystem definiert, welche Gesetze auf die Daten zutreffen und wer Zugang zu ihnen hat. Es beschränkt den Zugang für ausländische Regierungen und Drittparteien, wie beispielsweise das Personal des Cloudanbieters, das die zugrundeliegenden Systeme verwaltet.
• Die operative Kontrolle bestimmt, wer die Infrastruktur betreibt. Dies beinhaltet häufig lokal betriebene Infrastruktur, regionale Supportteams sowie strenge Identitäts- und Zugangsmanagementkontrollen. 

Souveränität ist ein Spektrum. Manche souveräne Clouds legen ihren Schwerpunkt in erster Linie auf die Datenresidenz, während andere zusätzliche Schichten bieten, die für strengen operativen und gesetzeskonformen Zugang sorgen.

Die souveräne Cloud kann leicht mit anderen beliebten Cloud-Begriffen wie Multi Cloud oder Hybrid Cloud verwechselt werden. Aber bei der souveränen Cloud geht es um mehr als nur Flexibilität, Compliance und Verschlüsselung von Daten. 

Die Infrastruktur einer souveränen Cloud unterstützt Sie bei der Durchsetzung der Kontrolle über Daten, Abläufe und das Rechtssystem, während Sie gleichzeitig von den flexiblen und skalierbaren Eigenschaften des Cloud Computings profitieren. Souveräne Clouds tragen zu Datenschutz und Compliance bei, aber die Unternehmen sind noch immer für Governance, Konfiguration und interne Sicherheitspraktiken verantwortlich. 

Ihre Cloud, Ihre Regeln: Lesen Sie mehr zum Engagement von Red Hat für eine souveräne Cloud

Cyber-Resilienz beschreibt die Fähigkeit eines Unternehmens, sich vor bösartigen Angriffen, Systemausfällen und Lieferkettenstörungen zu schützen, sich dagegen zu verteidigen und sich davon zu erholen. Sie ist ein wichtiges Element beim Streben nach digitaler Souveränität: Wenn Sie keine Kontrolle über Ihre Technologie haben, können Sie auch nicht vollständig kontrollieren, wie Sie sie schützen. 

Die Aufrechterhaltung von Cyber-Resilienz lässt sich in 3 Hauptschritte einteilen:

• Prävention: Es ist hilfreich, Schwachstellen zu identifizieren, bevor Kriminelle sie sich zunutze machen können. Eine proaktive Sicherheitsstrategie verfügt über strenge Zugangskontrollen, zieht Zero Trust-Architekturen in Betracht und prüft kontinuierlich auf ungewöhnliche Vorgänge. Sowohl Datenpannen außerhalb der Unternehmen wie auch interne Bedrohungen können Risiken darstellen.
• Verteidigung: Ihr Hauptziel während eines Cyberangriffs ist die Eindämmung. Schließen Sie die Lücke, die den Zugang zu Ihrer Technologie ursprünglich ermöglicht hat, und isolieren Sie die betroffenen Systeme. Versuchen Sie, kritische Geschäftsfunktionen in nicht betroffenen Bereichen aufrechtzuerhalten.
• Wiederherstellung: Ihr Plan für die Maßnahmen nach einem Angriff sollte Folgendes umfassen: die Wiederherstellung der Systeme aus vertrauenswürdigen Backups, die Beseitigung bestehender Schwachstellen, die Reparatur der betroffenen Elemente und die Erstellung eines Plans zum Schließen der Lücken, die Angreifern zuvor offenstanden. Auch das Zurückgewinnen des Vertrauens Ihrer Kunden ist Teil der Wiederherstellung. 

Eine souveräne Infrastruktur verschafft Ihnen mehr Kontrolle darüber, wie Sie Ihre Systeme sichern, überwachen und wiederherstellen, anstatt sich diesbezüglich auf Dritte verlassen zu müssen.

Mehr über Red Hat und den EU Cyber Resilience Act erfahren

Souveräne KI wendet die Prinzipien der digitalen Souveränität auf KI-Systeme wie Plattformen, Modelle, Workloads und Daten an. Sie verschafft Ihnen die Kontrolle darüber, wie Sie Ihre KI-Systeme entwickeln, bereitstellen und betreiben, damit sie Ihre Werte widerspiegeln und gesetzliche Vorschriften erfüllen.

Es erfolgt eine Verschiebung weg vom Mieten der KI hin zum Besitzen der eigenen KI. 

Anstatt Technologiegiganten (wie OpenAI oder Google) für die Nutzung ihrer KI-Systeme zu bezahlen, ermöglicht die souveräne KI es Ihnen, KI gemäß Ihren eigenen Vorstellungen zu erstellen, zu besitzen und zu betreiben. 

Souveräne KI bedeutet nicht zwingend, dass Sie Ihre eigenen Modelle besitzen müssen. Sie könnten auch intern Open Source-Modelle hosten, KI mit Infrastruktur ausführen, die die regionalen rechtlichen Vorschriften erfüllt, oder sie in einer souveränen Cloud bereitstellen. 

Der Besitz Ihrer eigenen KI ist die teuerste Option, aber sie bietet auch die größtmögliche Kontrolle über Datenschutz, Governance und geistiges Eigentum – vorausgesetzt, sie wird richtig verwaltet. 

Allerdings verändert sich KI nahezu täglich, was die digitale Souveränität vor neue Herausforderungen stellt. Diese Entwicklung erweitert den Bedarf für Governance und verändert die Art und Weise, wie wir Infrastruktur und Datenkontrolle priorisieren.

Mehr über souveräne KI erfahren

Die Open Source-Lösungen von Red Hat unterstützen digitale Souveränität, indem Sie weiterhin die Kontrolle behalten. Unsere Plattformen und Dienste versehen Sie mit den Tools zum Verwalten Ihrer eigenen Daten und Technologie. 

Sprechen Sie mit Red Hat

Deshalb konzentrieren wir uns auf diese Hauptelemente:

• Transparenz: Produkte wie Red Hat® AI, Red Hat Enterprise Linux® und Red Hat OpenShift® verschaffen Ihnen Transparenz bezüglich Ihrer Software, damit Sie im Detail verstehen können, wie Ihre Systeme arbeiten.
• Hybrid Cloud-Architektur: Ihre Anwendungen können ortsunabhängig ausgeführt werden – On-Premise, auf lokalen Anbieter-Clouds oder am Edge – mit einer einzigen, konsistenten Plattform.
• Interoperabilität: Das bedeutet, dass Vendor Lock-in kein Thema ist. Die Produkte von Red Hat basieren auf offenen Standards, sodass Sie verschiedene Tools von unterschiedlichen Anbietern ganz nach Ihren Bedürfnissen zusammenstellen können.
• Open Source-Innovation: Globale Entwickler-Communities nehmen ständig Iterationen bei Open Source-Projekten vor, wovon wiederum die Produkte von Red Hat profitieren. So gibt es mehr Ideen und weniger Tunnelblick durch Roadmaps einzelner Unternehmen.
• Kontrolle: Wenn Sie einen Überblick über Ihre Deployments haben, können Sie größere operative Souveränität erreichen. Passen Sie Ihre Deployments und Workloads an Ihre Bedürfnisse an, um das bestmögliche Ergebnis für Ihre Use Cases zu erhalten. 

Open Source-Software kann Ihnen dabei helfen, Ihre digitale Souveränität zu stärken – und zwar ortsunabhängig. Red Hat bietet Kunden in Ländern weltweit Lösungen für digitale Souveränität. 

Mehr darüber erfahren, wie Red Hat Souveränität in der EU fördert