Digitale Souveränität Europas – Ein zentraler Wettbewerbsfaktor
Sabine Kuch, Enginsight, sprach mit dem Security-Experten der Transferstelle Cybersicherheit im Mittelstand, ein bundesweites, öffentlich gefördertes Unterstützungsangebot für kleine und mittlere Unternehmen (KMU), Handwerksbetriebe und Start-ups. Ziel ist es, diese Unternehmen bei der Prävention, Erkennung und Bewältigung von Cyberangriffen zu unterstützen.
Das Projekt wird federführend vom BVMW (Bundesverband mittelständische Wirtschaft) gemeinsam mit mehreren Partnern aus Forschung und Technologietransfer betrieben und ist Teil der Initiative Mittelstand-Digital. Die Angebote können deshalb in der Regel kostenfrei genutzt werden.
Sabine Kuch: Herr Dönges, ich möchte mit einem politischen Zitat einsteigen. Bundeskanzler Friedrich Merz hat gesagt: „Digitale Souveränität Europas ist zentral, für unsere Wettbewerbsfähigkeit, für unsere Sicherheit und für unsere Verteidigung.“ Ganz ehrlich, viele Mittelständler denken dabei wahrscheinlich: schöne Worte, aber weit weg vom Alltag. Täuscht dieser Eindruck?
Marc Dönges : Ja, absolut. Im Alltag ist das Thema längst angekommen, nur oft unter einem anderen Namen. Digitale Souveränität betrifft Bereiche wie Datensouveränität, technologische Abhängigkeiten und stellt dieHandlungsfähigkeit von Betrieben sicher. Das betrifft auch das Thema Cybersicherheit, das für kleine und mittlere Unternehmen immer wichtiger wird. Im Bereich Cybersicherheit liest man regelmäßig über Angriffe auf Betriebe, vermehrt auch auf KMU. Plötzlich stehen Geschäftsführer:innen vor der Situation, dass ihre Systeme nicht mehr funktionieren. Die Produktion steht, Daten sind nicht verfügbar und Prozesse brechen weg. In genau diesem Moment merken Betroffene, wie viel oder wie wenig digitale Souveränität tatsächlich vorhanden ist.
Sabine Kuch: Das heißt, der Begriff wird erst greifbar, wenn etwas schiefgeht?
Marc Dönges: Genau. Solange alles läuft, wirkt das Thema abstrakt. Aber nehmen Sie ein typisches Szenario: Eine Phishing-Mail landet im Postfach, ein Mitarbeitender klickt auf einen Link und die Zugangsdaten zu wichtigen Konten werden abgefangen. Der Angriff bleibt erst unentdeckt, aber dann werden die Konsequenzen spürbar. Und plötzlich reicht die IT-Perspektive nicht mehr. Dann geht es um Führung: Wer entscheidet jetzt? Welche Maßnahmen müssen umgesetzt werden? Was hat Priorität? Wenn das nicht geklärt ist, verliert ein Unternehmen in genau diesem Moment die Kontrolle.
Sabine Kuch: Viele Diskussionen drehen sich gerade um Abhängigkeiten von großen Tech-Anbietern, vor allem aus den USA. Ist das aus Ihrer Sicht die richtige Debatte?
Marc Dönges: Es ist ein Teil der Debatte und ein Teilaspekt im Bereich der Digitalen Souveränität. Dabei handelt es sich um die technologische Unabhängigkeit. Viele Unternehmer:innen unterschätzen die massiven Auswirkungen eines sogenannten Vendor Lock-ins. Dabei handelt es sich um die Bindung an einen technologischen Anbieter. Aufgrund von technischen, organisatorischen, ökonomischen und rechtlichen Bedingungen ist es für Betriebe oftmals nur mit viel Aufwand möglich, zu einem anderen Anbieter zu wechseln. Auch bei diesem Beispiel wird die Abhängigkeit oftmals erst dann greifbar, wenn es zu spät ist. Deshalb sollten sich Geschäftsführer:innen die Frage stellen, ob sie die Kontrolle über ihre Systeme und Daten haben, wenn es darauf ankommt.
Sabine Kuch: Welche konkreten Risiken sehen Sie für Unternehmen?
Marc Dönges: Die Risiken liegen in vielen Fällen in den eigenen Strukturen. Es gibt regelmäßig Konstellationen wie:
- Ein ERP-System, das nur ein Dienstleister versteht
- Eine IT-Landschaft, die über Jahre gewachsen ist, ohne saubere Dokumentation
- Sicherheitslösungen, die nebeneinander laufen, aber nicht zusammenspielen
Oder Cloud-Lösungen, die hervorragend funktionieren, solange alles gut läuft, aber bei einem Ausfall stellt sich plötzlich die Frage: Wie schnell bekomme ich meinen Zugriff zurück? Das sind reale Abhängigkeiten.
Sabine Kuch: Das klingt fast so, als sei das eigentliche Problem weniger Technik als Organisation?
Marc Dönges: Genau wie Cybersicherheit muss auch das Thema Digitale Souveränität klar als Chef:innensache verstanden und konsequent in der Geschäftsstrategie verankert werden. Struktur, Klarheit und Vorbereitung sind dabei entscheidend. Wenn Unternehmer:innen das Thema de-priorisieren, haben sie im Ernstfall große Herausforderungen, die viel Zeit kosten. Und im Ernstfall ist Zeit der entscheidende Faktor.
Sabine Kuch: Welche Rolle spielt die Transferstelle Cybersicherheit im Mittelstand in dieser Diskussion? Wie positionieren Sie sich?
Marc Dönges: Die Transferstelle Cybersicherheit im Mittelstand ist ein Förderprojekt des Bundesverband Mittelständische Wirtschaft (BVMW) und richtet sich mit ihren kostenfreien Angeboten gezielt an kleine und mittlere Unternehmen, Handwerksbetriebe und Start-ups. Sowohl bei uns als auch beim BVMW sehen wir digitale Souveränität als strategisches Kernthema für einen zukunftsfähigen Mittelstand. Für uns bedeutet das vor allem drei Dinge:
Erstens, Unternehmen müssen die Hoheit über ihre Daten behalten, also wissen, wo sie liegen und wer Zugriff hat.
Zweitens, sie brauchen Wahlfreiheit, also offene Systeme, Schnittstellen und die Möglichkeit, Anbieter zu wechseln.
Und drittens, sie dürfen nicht in neue Abhängigkeiten geraten, etwa durch geschlossene Plattformen.
Unser Ansatz ist ganz klar: Nicht Abschottung, sondern Kontrolle und Entscheidungsfähigkeit.
Sabine Kuch: Gleichzeitig wächst der Druck durch Regulierung, Stichwort NIS2. Viele Unternehmen empfinden das eher als Belastung. Wie sehen Sie das?
Marc Dönges: Natürlich ist ein neues Gesetz mit zusätzlichem Aufwand verbunden. Aber Unternehmen sollten die NIS2-Richtlinie als Chance verstehen, um das Thema Cybersicherheit strukturiert anzugehen und die eigenen Betriebe cyberresilient aufzustellen. Wir haben bei uns und in unserem Netzwerk konkrete Hilfestellungen, wie Tools, Online-Workshops und Webimpulse, die KMU dabei unterstützen, die NIS2-Richtlinie zu verstehen, anzugehen und umzusetzen.
Sabine Kuch: Wenn Sie auf Unternehmen schauen, die gut durch Angriffe kommen, was machen die anders?
Marc Dönges: Sie sind vorbereitet. Nicht perfekt, aber vorbereitet. Dabei möchte ich betonen, dass oftmals schon Grundlagen der IT-Sicherheit, wie komplexe Passwortrichtlinien, eine konsequente Backupstrategie und regelmäßige Updates einen entscheidenden Unterschied machen können. Auch ein IT-Notfallplan sollte von den Unternehmer:innen angelegt und kontinuierlich gepflegt werden. Mit diesen Maßnahmen schließt man zum einen die Einfallstore für Cyberkriminelle und zum anderen ist man besser auf den Ernstfall vorbereitet.
Sabine Kuch: Wenn wir noch einmal auf das Thema Digitale Souveränität schauen und das auf eine praktische Ebene runterbrechen. Was sollten Geschäftsführer:innen konkret heute hinterfragen?
Marc Dönges: Ich würde es wirklich auf vier Fragen reduzieren:
Wo sind wir eigentlich abhängig?
Wo liegen unsere kritischen Daten?
Was passiert in den ersten 24 Stunden eines Cyberangriffs?
Und wer trifft dann die Entscheidungen?
Das klingt einfach, aber genau daran scheitert es oft.
Sabine Kuch: Letzte Frage. Digitale Souveränität. Pflicht oder Chance?
Marc Dönges: Beides. Aber wer es richtig angeht, hat einen klaren Vorteil. Unternehmen mit hoher digitaler Souveränität sind einfach robuster. Sie reagieren schneller, entscheiden besser und bleiben handlungsfähig. Und in der aktuellen Lage ist das kein Luxus mehr, sondern ein echter Wettbewerbsfaktor.
