Eine eigene Sicht auf die nächsten Jahre.

Datenresidenz beantwortet nur die Frage, wo Daten liegen. Für die Handlungsfähigkeit einer Organisation zählt, wer im Ernstfall Zugriff erhält. Ein Anbieter mit Sitz in den USA unterliegt auch mit europäischen Rechenzentren weiterhin US-Recht wie dem CLOUD Act. Ein Vertreter von Microsoft konnte im Juni 2025 vor dem französischen Senat nicht garantieren, dass Daten nie an US-Behörden herausgegeben werden.

Torsten Maier bewertet Souveränität deshalb entlang von acht Fragen. Wem gehört der Betreiber, wer hat Administrationszugriff, wo werden Schlüssel erzeugt und gehalten, aus welchem Software-Stack besteht der Dienst, wer liefert die Updates, wie sieht die Lieferkette aus, wie schnell ist ein Ausstieg möglich und was kostet er.

Nicht jede Anwendung braucht die höchste Stufe. Für viele Schutzbedarfe genügen europäischer Betrieb und kundeneigene Schlüssel. Für hoheitliche Daten, kritische Infrastruktur und Verteidigung reicht das nicht. Wer Souveränität nach Risiko stuft, vermeidet Aufschläge dort, wo sie nicht nötig sind. Kontrolle entsteht dann dort, wo sie zählt.

Die Debatte über Souveränität konzentriert sich oft auf US-Hyperscaler. Die Abhängigkeiten sind breiter. Halbleiter kommen überwiegend aus Asien, Seltene Erden werden größtenteils in China verarbeitet, deutsche Mobilfunknetze enthalten noch Komponenten chinesischer Hersteller und zentrale Software beruht auf Open-Source-Projekten mit wenigen Maintainern. Die 2024 entdeckte Hintertür in der Software-Bibliothek xz hat gezeigt, wie verwundbar diese Lieferketten sind.

Europa hat zugleich eigene Hebel, etwa bei Lithografie, Netzausrüstung, Satellitenbetreibern und industrieller Software. Strategisch klug ist es, diese Stärken gezielt zu nutzen und Abhängigkeiten dort zu verringern, wo ein Lieferstopp oder ein politischer Eingriff den Betrieb unmittelbar treffen würde.

Energie und Netzanschlüsse werden zur härteren Grenze als die Technologie selbst. Ein Rechenzentrum ohne Netzanschluss nützt keine noch so souveräne Architektur.

Die Erfahrungen aus der Ukraine zeigen, wie schnell eine kommerzielle Satellitenverbindung zur kritischen Abhängigkeit werden kann. Europa hat dafür kurzfristig keinen gleichwertigen Ersatz. Ähnliche Fragen stellen sich bei Cloud, Betriebssystemen, Kommunikationsplattformen, Halbleitern und KI-Modellen.

Schnellere Beschaffung erhöht das Risiko, neue Abhängigkeiten schneller einzukaufen. Das Gesetz verlangt deshalb bei Rüstungskäufen außerhalb der EU eine Prüfung der technologischen Souveränität. Diese Prüfung braucht Kriterien, die über den Herkunftsort hinausgehen und Betrieb, Updates, Schlüssel und Ersatzfähigkeit einbeziehen.

Neue Technologieanbieter bringen Tempo. Ihr Nutzen entsteht aber erst, wenn ihre Lösungen in bestehende Führungsprozesse, Sicherheitsanforderungen und Betriebsmodelle passen. Diese Übersetzung ist eine Führungsaufgabe und keine reine Integrationsfrage.

Jede Umlaufbahn hat ihre Stärke. Geostationäre Satelliten bieten gehärtete, planbare Verbindungen mit hoher Latenz. Mittlere Umlaufbahnen verbinden hohen Durchsatz mit moderater Latenz. Niedrige Umlaufbahnen liefern geringe Latenz, brauchen aber sehr viele Satelliten und Bodenstationen. Keine Umlaufbahn allein deckt die Anforderungen von Staat, Verteidigung und kritischer Infrastruktur ab.

Die europäischen Betreiber haben sich neu aufgestellt. SES hat 2025 Intelsat übernommen und betreibt Satelliten in mehreren Umlaufbahnen, Frankreich ist größter Aktionär von Eutelsat. Mit IRIS², GOVSATCOM und nationalen Systemen entstehen mehrere Programme nebeneinander. Ihr Nutzen hängt davon ab, ob Terminals, Bodensegment und Betrieb zusammenpassen.

Satellit ersetzt keine terrestrischen Netze. Die Schäden an Ostseekabeln und der Anschlag auf die Berliner Stromversorgung im Januar 2026 zeigen, dass Resilienz aus der Kombination von Glasfaser, Mobilfunk und Satellit entsteht.

Rechenleistung ist notwendig, aber nicht hinreichend. Die Hardware und wesentliche Software-Schichten stammen überwiegend von einem US-Hersteller und unterliegen US-Exportkontrollen. Souverän ist dann zunächst der Betrieb, nicht die Technologie.

Torsten Maier prüft KI-Infrastruktur deshalb an sechs Kriterien. Wer betreibt und besitzt sie, woher kommen Energie und Netzanschluss, welche Chips und welcher Software-Stack werden genutzt, welche Modelle laufen darauf, welche Daten dürfen verarbeitet werden und wer erhält zu welchen Bedingungen Zugang.

Das größte wirtschaftliche Risiko liegt in der Auslastung. Hardware veraltet in wenigen Jahren, eine Anlage ohne eigene Anwendungen und Ankerkunden wird schnell teuer. Europa fehlen häufig eher produktive Anwendungen als Rechenleistung.

Die drei Regelwerke haben unterschiedliche Aufsichten, Fristen und Meldewege. Werden sie getrennt bearbeitet, entstehen Doppelarbeit und Lücken. Die Geschäftsleitung trägt dabei Verantwortung für Umsetzung und Überwachung.

Die größten Risiken liegen oft außerhalb der eigenen IT, bei zentralen Dienstleistern, Software-Lieferanten und physischen Anlagen. Die Angriffe auf große Handelsunternehmen in Großbritannien 2025 liefen über Social Engineering und Zugänge von Drittanbietern.

Resilienz zeigt sich im geübten Wiederanlauf. Eine Organisation, die ihre kritischen Abläufe kennt, Alternativen vorbereitet und Entscheidungen im Ernstfall geübt hat, erfüllt die Pflichten fast nebenbei.