Datensouveränität gefährdet – jedes dritte Unternehmen 2025 von einem Vorfall betroffen

Laut aktuellem Kiteworks-Report geben Unternehmen zwar Millionen für ihre Datensouveränitätsbemühungen aus und doch tut sich eine Souveränitätslücke auf

[datensicherheit.de, 04.04.2026] Obwohl 80 Prozent der europäischen Unternehmen glaubten, ihre Datensouveränität im Griff zu haben, haben nach Erkenntnissen aus dem „Kiteworks Data Sovereignty Report 2026“ im letzten Jahr – 2025 – 32 Prozent dennoch einen Vorfall gemeldet, wodurch sich eine kritische „Souveränitätslücke“ auftue. Das Problem ist demnach nicht mangelndes Wissen, sondern eine operative Schwäche. Trotz Millionen-Budgets klaffe eine Kluft zwischen „Compliance“-Richtlinien und technischer Architektur.

Abbildung: Kiteworks

„2026 Data Security and Compliance Risk: Data Sovereignty Report“ – Erkenntnisse für die EU

Auffällige Diskrepanz bei den Unternehmen auf ihrem Weg zur Datensouveränität

Der aktuelle „2026 Data Security and Compliance Risk: Data Sovereignty Report“ von Kiteworks deckt eine auffällige Diskrepanz auf dem Weg zur Datensouveränität auf. Die zugrundeliegende Umfrage zeige, dass Unternehmen die Vorschriften zur Datensouveränität zwar besser denn je kennen würden, jedoch auch jedes dritte Unternehmen in den letzten zwölf Monaten einen Vorfall im Zusammenhang mit Datensouveränität verzeichnet habe.

• Für diesen Report wurden laut Kiteworks 286 Fachleute, meist IT-Manager, CIOs oder CTOs, in Europa (189), Kanada (43) und dem Nahen Osten (54) befragt. Die Einhaltung der DSGVO und neue Rahmenwerke zur KI-Governance hätten dabei in Europa im Mittelpunkt gestanden. Signifikantes Ergebnis des Reports sei das Aufzeigen einer Lücke zwischen Bewusstsein für die Anforderungen von Datensouveränität und der Häufigkeit von Vorfällen.

44 Prozent der Befragten in jeder Region bezeichneten sich als „sehr gut informiert“ über die Anforderungen an die Datensouveränität. In Europa fühlten sich 80 Prozent „gut“ (36%) bis „sehr gut“ (44%) informiert. Dennoch bestätigten 32 Prozent der europäischen Befragten einen Vorfall (23% in Kanada, 44% im Nahen Osten). Zu diesen Vorfällen zählten am häufigsten unbefugte grenzüberschreitende Datenübermittlungen, behördliche Auskunftsersuche, Datenschutzverletzungen mit Auswirkungen auf die Souveränität sowie „Compliance“-Verstöße durch Dritte.

Souveränitätslücke der Unternehmen ist operativer, nicht informativer Natur

Es zeige sich: „Die verbleibende Lücke ist operativer, nicht informativer Natur – und um sie zu schließen, bedarf es einer geeigneten Architektur, nicht unbedingt weiterer Schulungen.“

• Als größtes Bedenken und Hindernis bei den Souveränitätsbestrebungen würden 44 Prozent der Befragten in Europa die Souveränitätsgarantien der Anbieter nennen – es sei der höchste Wert aller befragten Regionen und das, obwohl die DSGVO fast überall eingehalten werde.

Viele „Cloud“-Umgebungen erfüllten zwar die rechtlichen Anforderungen an den Datenstandort, böten jedoch keine alleinige Kontrolle über die Encryption-Schlüssel – „was bedeutet, dass der Anbieter weiterhin technisch in der Lage ist, auf Kundendaten zuzugreifen“. Diese Lücke untergrabe die Souveränitätsgarantien, welche viele Unternehmen benötigten.

Unternehmen in allen untersuchten Regionen geben Millionen für die Einhaltung von Datenschutzbestimmungen aus…

Des Weiteren empfänden 40 Prozent den „EU AI Act“ als Hindernis – und 36 Prozent politische Kurswechsel in den USA, 34 Prozent die Durchsetzung der Datenschutzgesetze und 23 Prozent mögliche Änderungen bei den sogenannten Angemessenheitsentscheidungen. Keine andere Region sehe sich mit so vielen regulatorischen Herausforderungen gleichzeitig konfrontiert.

• „Unternehmen in allen von uns untersuchten Regionen geben Millionen für die Einhaltung von Datenschutzbestimmungen aus, weisen ein hohes Bewusstsein für die Thematik auf und sind dennoch von Datenschutzverletzungen, unbefugten Datenübertragungen und behördlichen Auskunftsersuchen betroffen“, kommentiert Dario Perfettibile, „Vice President & GM of European Operations“ bei Kiteworks.

Er führt weiter aus: „Die Lücke liegt nicht im Wissen. Es ist die Kluft zwischen den Richtlinien und der Architektur, die die Datenresidenz tatsächlich durchsetzt, den Zugriff kontrolliert und bei Bedarf auditierbare Nachweise liefert.“

Datensouveränität mit Fokus auf unternehmenseigener Architektur

In Europa führten 58 Prozent Änderungen an der technischen Infrastruktur (59% insgesamt) sowie Fachwissen in den Bereichen Recht und „Compliance“ (53% Europa und insgesamt) als ressourcenintensivste Bereiche an. Danach kämen Dokumentation und Auditierung mit 41 Prozent als größter Ressourcenfresser (42% insgesamt).

• Die Mehrheit der Unternehmen gebe jährlich mehr als eine Million US-Dollar für die Einhaltung von Souveränitätsvorschriften aus.

Souveränität liefere einen klaren geschäftlichen Mehrwert: So sähen 61 Prozent, dass ihre Bestrebungen mit einer erhöhten Sicherheit (insgesamt 63%) sowie einem gesteigerten Kundenvertrauen einhergingen (51% in Europa, 52% insgesamt). Mehr als die Hälfte in Europa (55%) plane, in den nächsten zwei Jahren in die Automatisierung von „Compliance“-Prozessen zu investieren (insgesamt 53%). Auch verbesserte technische Kontrollen stünden in Europa (51%) wie in allen drei Regionen im Mittelpunkt der Zweijahresplanung.

KI-„Governance“ der Unternehmen entwickelt sich zum nächsten Schauplatz

Der Kiteworks-Report beleuchtet zudem die wachsende Herausforderung bei der Datensouveränität mit Blick auf den Einsatz Künstlicher Intelligenz (KI). Etwa ein Drittel aller Befragten bewahre alle KI-Trainingsdaten innerhalb der eigenen Region auf (36%), ein weiteres Drittel verfolge einen je nach Sensibilität variierenden Ansatz (34%).

• Der Rest sei noch dabei, seine KI-Souveränitätsstrategie zu entwickeln oder möchte dazu keine Aussage treffen. In Europa spiegelten sich diese Zahlen: 34 Prozent der Befragten bewahrten alle KI-Trainingsdaten innerhalb der EU auf und weitere 34 Prozent verfolgten einen gemischten Ansatz, welcher sich nach der Sensibilität der Daten richte.

„Früher bedeutete Souveränität vor allem Geographie – man musste die Daten nur im richtigen Land aufbewahren und schon war man auf der sicheren Seite“, so Perfettibile. Indes sei diese Ära nun vorbei. Abschließend gibt er zu bedenken: „Aufsichtsbehörden, Kunden und Beschaffungsteams verlangen heute Nachweise: Wer hat Zugriff auf die Daten, wer verwaltet die Schlüssel und lässt sich die Einhaltung der Vorschriften auf Anfrage nachweisen? Die Unternehmen, die diese Nachweise in ihre Architektur integrieren, werden die Nase vorn haben. Alle anderen werden zwar weiterhin die Regeln kennen, aber immer wieder ins Straucheln geraten.“

Weitere Informationen zum Thema:

Kiteworks
Über Kiteworks: Zero-Trust-Datenaustausch ermöglichen

Kiteworks
Management: Lernen Sie das Team kennen, das das Team führt

Kiteworks, 2026
2026 Data Security and Compliance Risk / Data Sovereignty Report / Awareness is high. Incidents are higher. How organizations across Canada, the Middle East, and Europe are navigating the new rules of data residency

Kiteworks, 2026
Executive Summary: 2026 Data Security and Compliance Risk: Data Sovereignty in Europe / The Most Regulated Market in the World Is Still Learning That Contracts Can’t Override Laws – and Architecture Is the Real Defence

datensicherheit.de, 23.02.2026
Regionale Datensouveränität im Zeitalter der KI: Spannungsfeld zwischen Freiheit und Regulierung mit maximalem Mehrwert / Während sich Künstliche Intelligenz rasant beschleunigt und Datenvolumina exponentiell wachsen, müssen Unternehmen in nie dagewesener Geschwindigkeit innovieren im Rahmenzunehmend strenger regulatorischer, geopolitischer und Souveränitäts-bezogener Rahmenbedingungen.

datensicherheit.de, 24.12.2025
Cloud-Nutzung: Auswege für KMU aus dem Dilemma der Datensouveränität / Mit „Hyperkonvergenter Infrastruktur“ können KMU einfacher und kostengünstiger „Hybrid Clouds“ aufbauen – und so garantieren, dass ihre kritischen Daten jederzeit am richtigen Ort zugänglich sind

datensicherheit.de, 21.03.2025
Zero Trust noch sicherer durch europäische Datensouveränität / IT-Security in hybriden IT-Infrastrukturen

datensicherheit.de, 21.03.2025
US-Clouds: Erste Warnungen vor Gefährdung der Datensouveränität in Europa / Unternehmen und Organisationen speichern und verarbeiten sensible Daten bei US-basierten „Cloud“-Anbietern – mangels europäischer Alternativen

datensicherheit.de, 29.11.2024
Datensouveränität: Bedeutung der Self Sovereign Identities / Annahme der novellierte eIDAS-Verodnung durch das EU-Parlament

datensicherheit.de, 28.02.2019
WebEngine: Stärkung der Datensouveränität / Mit der dezentralen Suchmaschine sollen Nutzer die vollständige Kontrolle über ihre Daten behalten