Digitale Souveränität braucht mehr als offenen Quellcode

Der Wechsel weg von den Hyperscalern ist für viele Unternehmen nur der erste Schritt. Echte digitale Souveränität entsteht erst, wenn Organisationen ihre IT unabhängig, sicher und dauerhaft beherrschen können.

Von unserem Gastauto Yves Sandfort, CEO der comdivision consulting GmbH

[datensicherheit.de, 03.08.2026] Digitale Souveränität gehört derzeit zu den meistdiskutierten Themen in der Unternehmens-IT. Viele Organisationen hinterfragen ihre Abhängigkeit von AWS, Microsoft Azure oder Google Cloud. Gründe sind regulatorische Anforderungen, Datenschutz, geopolitische Entwicklungen und der Wunsch nach mehr Kontrolle über geschäftskritische Daten und Prozesse. Die Schlussfolgerung lautet häufig: Weg von den Hyperscalern, hin zu Open Source.

Doch genau hier entsteht ein Risiko, das in vielen Diskussionen unterschätzt wird. Digitale Souveränität entsteht nicht automatisch durch offenen Quellcode. Sie entsteht durch die Fähigkeit, Systeme sicher, kontrolliert und auch unter kritischen Bedingungen zuverlässig betreiben zu können.

Digitale Souveränität: Die neue Herausforderung heißt Betriebsverantwortung

Open Source ist aus modernen IT-Landschaften nicht mehr wegzudenken. Linux, Kubernetes oder PostgreSQL bilden das Fundament zahlreicher Plattformen und Anwendungen. Die Frage ist daher nicht, ob Open Source sicher oder leistungsfähig genug ist.

Die entscheidende Verantwortung liegt im sicheren Betrieb der Gesamtplattform.

Viele Unternehmen betrachten bei der Bewertung neuer Plattformen zunächst technische Funktionen oder Lizenzkosten. Wesentlich wichtiger ist jedoch, wie Sicherheit, Lifecycle-Management, Patch-Prozesse und Incident Response organisiert werden. Denn Sicherheitsvorfälle entstehen selten in einer einzelnen Komponente. Sie entstehen häufig an den Schnittstellen zwischen Infrastruktur, Netzwerk, Betriebssystem, Virtualisierung und Management-Ebene. Genau dort entscheidet sich, ob eine Organisation handlungsfähig bleibt.

Support ist nicht dasselbe wie Verantwortung

Ein weit verbreitetes Missverständnis betrifft den Begriff Support. Für viele Open-Source-Projekte existieren heute professionelle Enterprise-Support-Angebote. Das ist positiv und wichtig. Support bedeutet jedoch nicht automatisch Gesamtverantwortung. Ein Anbieter unterstützt sein Produkt. Ein anderer unterstützt das Betriebssystem. Ein dritter verantwortet das Monitoring oder die Storage-Komponenten.

Tritt jedoch ein kritischer Sicherheitsvorfall auf, stellen sich andere Fragen:

• Wer koordiniert die Analyse?
• Wer priorisiert die Eskalation?
• Wer übernimmt die Verantwortung für die Wiederherstellung des Betriebs?

Gerade bei sicherheitskritischen Umgebungen wird dieser Unterschied entscheidend. Denn im Ernstfall zählt nicht, wie viele Supportverträge existieren, sondern wie schnell und koordiniert reagiert werden kann.

KI verkürzt die Reaktionszeiten dramatisch

Zusätzlichen Druck erzeugt die zunehmende Nutzung Künstlicher Intelligenz. Cyberkriminelle nutzen KI bereits heute zur schnelleren Analyse von Schwachstellen, zur Automatisierung von Angriffen und zur Identifikation neuer Angriffsvektoren. Die Zeitspanne zwischen der Veröffentlichung einer Sicherheitslücke und ersten Angriffen wird immer kürzer.

Unternehmen müssen deshalb schneller reagieren als jemals zuvor. Patches müssen bewertet, getestet und ausgerollt werden. Sicherheitsvorfälle müssen eingeordnet, Systeme isoliert und Geschäftsprozesse geschützt werden. Für viele Organisationen wird damit nicht die Technologie selbst zum Engpass, sondern die Fähigkeit, komplexe Plattformen unter Sicherheitsgesichtspunkten dauerhaft beherrschbar zu halten.

Moderne Private Clouds sind ein zentraler Baustein digitaler Souveränität.

Vor diesem Hintergrund gewinnt die Private Cloud erneut an Relevanz. Allerdings nicht als klassische Infrastruktur von gestern, sondern als modernes Betriebsmodell zwischen Public Cloud und Eigenintegration. Viele Unternehmen suchen nach einer Möglichkeit, die Kontrolle über Daten, Sicherheitsprozesse und Compliance zurückzugewinnen, ohne gleichzeitig die gesamte Verantwortung für die Integration zahlreicher Einzelkomponenten übernehmen zu müssen.

Plattformen wie z.B. VMware Cloud Foundation verfolgen genau diesen Ansatz. Netzwerk, Storage, Virtualisierung, Security und Lifecycle-Management werden als integrierte Plattform bereitgestellt und folgen gemeinsamen Betriebs- und Sicherheitsprozessen. Der eigentliche Mehrwert liegt dabei nicht in einzelnen Technologien, sondern in klar definierten Verantwortlichkeiten, standardisierten Prozessen und einer deutlich besseren Beherrschbarkeit der Gesamtumgebung. Gerade im Kontext von NIS2, KRITIS-Anforderungen und steigenden Cyberrisiken wird diese Planbarkeit für viele Unternehmen zu einem entscheidenden Faktor.

Checkliste für Sicherheitsverantwortliche

Vor einer Infrastrukturentscheidung sollten folgende Punkte bewertet werden:

• Wer trägt die Gesamtverantwortung für die Plattform im Sicherheitsvorfall?
• Wie schnell können kritische Schwachstellen analysiert und behoben werden?
• Sind Patch- und Lifecycle-Prozesse standardisiert und nachvollziehbar?
• Verfügt die Organisation über ausreichend Fachkräfte für Betrieb und Security?
• Werden regulatorische Anforderungen langfristig unterstützt?
• Ist die Plattform auch unter Krisenbedingungen beherrschbar?
• Können Sicherheitsrisiken eindeutig zugewiesen und eskaliert werden?
• Ist der Schutz geschäftskritischer Prozesse jederzeit gewährleistet?

Fazit

Die Diskussion über digitale Souveränität wird häufig auf die Frage reduziert, ob Software offen oder proprietär ist. Aus Sicht der Informationssicherheit greift das zu kurz. Entscheidend ist nicht, wem der Quellcode gehört, sondern wie sicher, kontrolliert und resilient eine Plattform betrieben werden kann. Für viele Unternehmen stellt sich deshalb nicht die Frage „Public Cloud oder Open Source“, sondern vielmehr:

Das richtige Betriebsmodell entscheidet über Sicherheit, Reaktionsgeschwindigkeit und Kontrolle im Krisenfall.

Gerade vor dem Hintergrund zunehmender Cyberbedrohungen und regulatorischer Anforderungen gewinnen integrierte Private-Cloud-Plattformen deshalb wieder an Bedeutung. Nicht weil sie einfacher sind als Public Clouds oder Open Source, sondern weil sie für viele Organisationen einen beherrschbaren Weg zu mehr digitaler Souveränität darstellen.

Yves Sandfort, CEO der comdivision consulting GmbH, Bild: Witte Wattendorff

Über den Autor

Yves Sandfort ist CEO der comdivision consulting GmbH, Unternehmer und Experte für moderne IT-Infrastrukturen, Cloud-Strategien, digitale Souveränität und Enterprise-Transformationen. Seit mehr als zwei Jahrzehnten begleitet er Unternehmen, Behörden und internationale Organisationen bei der strategischen Weiterentwicklung geschäftskritischer IT-Plattformen

Weitere Informationen zum Thema:

datensicherheit.de, 27.07.2026
Schwarz Digits bietet Campus für Digitale Souveränität: Neuer High-Tech-Standort für Europa

datensicherheit.de, 05.07.2026
US Supreme Court: FTC-Urteil finaler Weckruf für Datensouveränität