// HEISE ONLINE — MODA & SOCIETÀ
Datensouveränität scheitert oft schon am fehlenden Überblick
Datensouveränität steht hoch im Kurs. Doch häufig fehlt es an der Basis: Wo liegen die eigenen Daten, wie sensibel sind sie und wer darf darauf zugreifen?
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Geopolitische Risiken und ein möglicher Zugriff ausländischer Behörden auf Unternehmensdaten haben das Bewusstsein für die Datensouveränität geschärft. Der Datenmanagementanbieter Everpure hat hierzu mit Vanson Bourne eine Studie erstellt, in der global 85 Prozent der befragten Führungskräfte angeben, dass sie auf Funktionen und Leistungsmerkmale verzichten würden, um mit einem lokalen oder souveränen Anbieter zusammenzuarbeiten. 88 Prozent befürchten, dass ein Versagen bei der Datensouveränität persönliche berufliche Konsequenzen haben könnte.
Viele Anbieter haben auf das zunehmende Problembewusstsein reagiert: Cloud-Provider werben mit regionalen Betriebsmodellen, kontrollierten Zugriffsrechten und kundenseitigem Schlüsselmanagement. Analysten, Berater und Branchenorganisationen haben Architekturmodelle und Handlungsempfehlungen entwickelt. Diese reichen von zusätzlichen Sicherheits- und Governance-Maßnahmen bis zum Betrieb besonders sensibler Workloads in abgeschotteten Umgebungen.
Doch bevor Unternehmen die passende Architektur auswählen und implementieren können, müssen sie eine grundlegende Frage beantworten: Welche Daten sind überhaupt vorhanden, wo liegen diese und wer kann darauf zugreifen? Genau an dieser Voraussetzung hapert es offenbar vielerorts. Laut dem Everpure-Report fehlt 62 Prozent der Unternehmen der Überblick darüber, wo sich die Daten befinden, wer sie kontrolliert, verwaltet und darauf zugreifen kann.
Wie gelingt der Ausstieg aus Abhängigkeiten von M365, VMware oder US-amerikanischen Cloud- und KI-Anbietern? Auf dem IT Summit 2026 stellen Fachleute aus der Praxis Alternativen für Unternehmen und öffentliche Einrichtungen vor, die sich bewährt haben. Das Programm des IT Summit ist von der iX-Redaktion kuratiert. Weitere Informationen und Tickets auf it-summit.heise.de.
Mehr als die Hälfte gibt zudem an, nicht über die notwendigen Kompetenzen und Kapazitäten für die Umsetzung von Souveränitätsinitiativen zu verfügen. Zu einem ähnlichen Ergebnis kommt der von S&P Global Market Intelligence und 451 Research erstellte „Thales Data Threat Report“. Danach wissen nur 34 Prozent der befragten Unternehmen, wo ihre Daten gespeichert sind und lediglich 39 Prozent geben an, sämtliche Daten klassifizieren zu können.
Das bedeutet nicht, dass die Unternehmen ihre Speicherorte nicht kennen, sondern dass eine Gesamtsicht auf verteilte Bestände, Zugriffsrechte und Schutzanforderungen nicht vorhanden ist.
Zusätzliche Bedeutung gewinnt diese Frage durch generative KI und autonome Agenten. Sie sollen Informationen aus unterschiedlichen Unternehmenssystemen zusammenführen, auswerten und zunehmend eigenständig weiterverarbeiten. Damit entstehen weitere Zugriffswege auf Daten. Besonders kritisch wird es, wenn KI-Agenten auf sensible Informationen zugreifen, die bislang nur für bestimmte Mitarbeiter oder Anwendungen vorgesehen waren. Dann reicht es nicht aus, bestehende Zugriffsrechte einfach auf die neuen Systeme zu übertragen. Unternehmen müssen auch festlegen, welche Daten Agenten für welche Aufgaben verwenden dürfen und ob dabei Informationen an externe KI-Dienste übermittelt werden. Damit wird die Datensouveränität zu einer Frage der Kontrolle über die gesamte Verarbeitungskette.
Everpure empfiehlt dafür einen risikobasierten Ansatz unter der Bezeichnung „Sovereignty by Design“. Danach sollen nicht alle Daten pauschal denselben Souveränitätsanforderungen unterworfen werden. Stattdessen bestimmen Sensibilität, geschäftliche Bedeutung und rechtliche Risiken, welche Schutzmaßnahmen erforderlich sind. Die Datenmanagementsoftware des Unternehmens soll die dafür notwendigen Informationen liefern. Auf dieser Grundlage können U