Was wir tun, wenn wir von digitaler Souveränität sprechen

Seit mehr als einem Jahrzehnt diskutieren wir in Deutschland und Europa darüber, was digitale Souveränität eigentlich ist. Die Frage hat Definitionen, Kriterienkataloge, Strategien und Zertifizierungsansätze hervorgebracht, ohne dass sich eine allgemein akzeptierte Antwort herausgebildet hätte. Vielleicht liegt das nicht daran, dass wir uns noch nicht genügend angestrengt haben, sondern daran, dass wir nach der einen richtigen Bedeutung eines Begriffs suchen, dessen Bedeutung sich mit den politischen, technologischen und wirtschaftlichen Verhältnissen verändert. Für den Auftakt dieser Blogreihe möchte ich deshalb eine andere Frage vorschlagen: Was tun wir eigentlich, wenn wir etwas als digital souverän bezeichnen?

Der Politikwissenschaftler Jens Bartelson hat eine ähnliche Verschiebung für den klassischen Souveränitätsbegriff vorgenommen. In seiner Genealogy of Sovereignty behandelt er Souveränität nicht als eine über Jahrhunderte gleichbleibende Eigenschaft politischer Ordnung, deren Wesen nur richtig bestimmt werden müsse, sondern untersucht, wie sich ihre Bedeutung mit den Ordnungen verändert, in denen der Begriff gebraucht wird. In einem späteren Essay beschreibt er Sprache ausdrücklich nicht als neutrales Medium, sondern als an der Konstitution politischer und rechtlicher Wirklichkeit beteiligt. Für unsere Diskussion ist daran entscheidend: Souveränität beschreibt politische Wirklichkeit nicht nur, sondern hilft mit, sie zu ordnen.

Das lässt sich auf digitale Souveränität übertragen, ohne Bartelson deshalb zum Theoretiker digitaler Politik zu machen. Wenn eine Regierung, eine Verwaltung oder ein Unternehmen eine Technologie als »souverän« oder »nicht souverän« bezeichnet, wird nicht lediglich eine vorhandene Eigenschaft festgestellt. Aus solchen Zuschreibungen entstehen Erwartungen an Anbieter, Anforderungen in Ausschreibungen, politische Förderentscheidungen und schließlich technische Architekturen. In diesem Sinne hat die Sprache der digitalen Souveränität performative Züge: Wir beschreiben mit ihr nicht nur eine digitale Ordnung, wir wirken an ihrer Entstehung mit.

Derselbe Begriff, unterschiedliche Probleme

Wie stark diese Wirkung vom historischen Kontext abhängt, zeigt schon die kurze Geschichte der digitalen Souveränität. Nach den Snowden-Enthüllungen 2013 stand vor allem der Schutz vor Überwachung im Vordergrund; mit Gaia-X ab 2019 rückten europäische Cloud-Infrastrukturen, Datenräume und industriepolitische Handlungsfähigkeit stärker ins Zentrum. Nach dem russischen Angriff auf die Ukraine 2022 wurde Abhängigkeit zunehmend als Sicherheitsrisiko gelesen, während generative KI und ein unsicherer gewordenes transatlantisches Verhältnis heute die Frage zuspitzen, wer die Systeme kontrolliert, mit denen wir Wissen erzeugen, Entscheidungen vorbereiten und Organisationen steuern. Das Wort blieb weitgehend dasselbe, aber das Problem, das wir damit bearbeiten, hat sich mehrfach verändert.

Das ist kein Defekt des Begriffs, sondern Teil seiner politischen Funktion. Schutz vor Zugriff, Aufbau eigener Fähigkeiten, Verringerung strategischer Abhängigkeit und langfristige Handlungsfähigkeit sind unterschiedliche, aber miteinander verbundene Anliegen, die sich unter dem Begriff angesammelt haben. Keine dieser Bedeutungen ist einfach falsch, und keine hat die vorhergehenden vollständig ersetzt. Gerade deshalb sollten wir weniger Energie darauf verwenden, sie in einer endgültigen Definition zu versöhnen, und genauer offenlegen, welches Problem wir in einer bestimmten Situation mit »digitaler Souveränität« lösen wollen.

Wenn aus Begriffen Märkte werden

Diese Unterscheidung wird wichtig, sobald aus politischen Vorstellungen Kriterien werden. Firmensitz, Datenresidenz, Rechtsraum, Eigentümerstruktur, europäischer Betrieb, Open Source, Wechselmöglichkeiten oder Zertifizierungen adressieren reale Risiken und haben die Debatte professionalisiert. Aber keines dieser Kriterien ist für sich genommen Souveränität, und nicht jedes ist in jedem Einsatz gleich wichtig. Entscheidend ist die Verbindung zwischen einem Kriterium und der konkreten Handlungsfähigkeit, die damit geschützt werden soll.

Denn Kriterien beschreiben Märkte nicht nur, sie gestalten sie. Die Forderung nach europäischer Datenresidenz erzeugt Nachfrage nach europäischen Rechenzentren; Anforderungen an Eigentümerstrukturen beeinflussen Finanzierung und Governance; Vorgaben zur Portabilität verändern technische Schnittstellen und Geschäftsmodelle. Unternehmen investieren über Jahre gegen ihre Erwartung dessen, was Politik und Kunden künftig unter »souverän« verstehen werden. Ein Souveränitätsframework ist deshalb nicht nur eine Messlatte, sondern auch ein Bauplan für den Markt.

Das erzeugt Verantwortung für diejenigen, die solche Kriterien formulieren. Ein gutes Framework sollte über einen Investitionszyklus hinreichend stabil sein, sich in überprüfbare Technik, Verträge und Betriebsmodelle übersetzen lassen und vor allem einen nachvollziehbaren Zweck haben. Jedes Kriterium sollte eine konkrete Abhängigkeit reduzieren oder die Handlungsfähigkeit einer Organisation erhöhen, statt nur politische Zugehörigkeit oder Vertrauen zu signalisieren. Damit kommen wir von der semantischen Debatte zu einer praktischen Frage: Was soll eine Organisation in einem konkreten Einsatz tatsächlich können?

Vom Etikett zur Fähigkeit

Statt zunächst zu entscheiden, ob eine Technologie souverän ist, könnten wir beim Einsatz beginnen. Ein möglicher Ausgangspunkt sind fünf Fähigkeiten: entscheiden, eingreifen, durchhalten, wechseln und wiederherstellen. Diese fünf Verben sind keine neue Definition digitaler Souveränität und beanspruchen keine Vollständigkeit; sie sind eine Arbeitshypothese, mit der sich die abstrakte Forderung nach Souveränität in überprüfbare Handlungsfähigkeit übersetzen lässt. Entscheidend ist nicht das Etikett eines Produkts, sondern ob die für den jeweiligen Einsatz benötigte Fähigkeit unter normalen Bedingungen und unter Störung tatsächlich verfügbar bleibt.

Bei den Endpunkten einer Landesverwaltung kann beispielsweise entscheidend sein, dass sie während eines Cyberangriffs eingreifen, Richtlinien verändern und anschließend einen vertrauenswürdigen Zustand wiederherstellen kann. Bei einem KI-Assistenten, der Verwaltungsentscheidungen vorbereitet, können dagegen die eigene Entscheidungsfähigkeit und die Möglichkeit zum Wechsel von Modell oder Anbieter wichtiger sein. Bei einer Plattform für besonders sensible Zusammenarbeit kann die zentrale Frage lauten, ob die Organisation auch dann Kontrolle über ihre Daten behält, wenn Betreiber, Dienstleister oder staatliche Stellen Zugriff verlangen. Derselbe abstrakte Begriff führt damit in unterschiedlichen Anwendungen zu unterschiedlichen Anforderungen.

Diese Perspektive verändert auch den Umgang mit Abhängigkeit. Moderne digitale Systeme entstehen fast immer in internationalen Wertschöpfungs- und Innovationsnetzwerken, sodass vollständige Unabhängigkeit weder realistisch noch notwendigerweise wünschenswert ist. Die relevante Frage ist nicht, ob eine Abhängigkeit existiert, sondern ob sie unsere Handlungsfähigkeit an einer kritischen Stelle gefährdet und ob wir mit ihren Folgen umgehen können. Digitale Souveränität wird damit weniger zum Versprechen von Autarkie als zu einer Disziplin im bewussten Umgang mit Interdependenz.

Herkunft ist eine Kette

Gerade deshalb bleibt Herkunft wichtig, muss aber präziser verstanden werden als über ein nationales oder europäisches Etikett. Aus dem Strategiepapier »Wir bauen die Cybernation« des Wirtschaftsrats lässt sich eine Kette von fünf Fragen ableiten: Wer entwickelt eine Technologie, wer produziert und betreibt sie, wer erbringt den Service, wer führt und beaufsichtigt das Unternehmen und wer finanziert es? Hinter jeder Frage steht eine andere Form möglicher Abhängigkeit, vom Zugriff auf Code und Infrastruktur bis zu Entscheidungen unter Krisenbedingungen oder einem späteren Eigentümerwechsel. Erst zusammengenommen entsteht ein belastbareres Bild davon, wo tatsächliche Kontrolle liegt.

Eine Lösung kann ihren Firmensitz und ihre Datenhaltung in Europa haben und trotzdem bei Entwicklung, Kapital oder entscheidenden Servicefunktionen außerhalb Europas abhängig sein. Umgekehrt kann eine global entwickelte Technologie in einem bestimmten Einsatz so betrieben, vertraglich eingebettet und technisch kontrolliert werden, dass wesentliche Handlungsmöglichkeiten beim europäischen Nutzer verbleiben. Die fünf Fragen sind deshalb kein Ausschlussmechanismus für nicht-europäische Anbieter, sondern Instrumente des Risikomanagements. Besonders relevant werden sie an strategischen Kontrollpunkten wie Endpunkten, Identitäten, sensiblen Datenräumen und zentralen Steuerungsebenen, an denen einzelne Abhängigkeiten unverhältnismäßig große Auswirkungen entfalten können.

Erst der Befund, dann die Therapie

Damit ergibt sich eine andere Reihenfolge für die Diskussion. Zunächst sollten wir den konkreten Einsatz betrachten und bestimmen, welche Handlungsfähigkeit dort erhalten bleiben muss; danach untersuchen wir, an welchen Kontrollpunkten diese Fähigkeit von Dritten abhängt und welche Glieder der Entwicklungs-, Betriebs-, Service-, Führungs- und Finanzierungskette dafür relevant sind. Erst daraus folgt die angemessene Antwort: europäische Eigenentwicklung, ein bestimmtes Betriebsmodell, technische Isolation, vertragliche Absicherung, offene Schnittstellen, mehrere Anbieter oder auch eine globale Standardlösung. Herkunft wird so vom Ausgangspunkt der Analyse zu einem ihrer Ergebnisse.

Diese Reihenfolge schützt davor, politische Vorstellungen zu früh in technische Architekturen einzufrieren. Wir könnten sonst europäische Alternativen fördern, ohne genau zu wissen, welche Abhängigkeit sie beseitigen sollen, oder lokale Betriebsmodelle verlangen, obwohl das eigentliche Risiko an einer anderen Stelle liegt. Umgekehrt können strategische Abhängigkeiten unsichtbar bleiben, weil ein Anbieter formal alle sichtbaren Souveränitätskriterien erfüllt. Gute Souveränitätspolitik beginnt deshalb mit einer möglichst präzisen Diagnose und nicht mit der bevorzugten Therapie.

Genau diese Diagnose zeigt auch, wo Europa eigene Fähigkeiten aufbauen sollte. Wenn ein kritischer Einsatz eine bestimmte Handlungsfähigkeit erfordert und diese heute mit keiner vertretbaren Abhängigkeitsstruktur verfügbar ist, haben wir eine strategische Lücke identifiziert. Dort können gemeinsame Beschaffung, Forschungsförderung, Industriepolitik oder europäische Kooperation gezielt ansetzen. Strategische Autonomie entsteht nicht dadurch, alles selbst zu bauen, sondern das Richtige selbst bauen, kontrollieren oder im Krisenfall ersetzen zu können.

Souveränität im größeren Rahmen

An diesem Punkt berührt digitale Souveränität die größere Frage nach Resilienz. Eine Organisation kann formale Souveränitätskriterien erfüllen und dennoch im Krisenfall kaum handlungsfähig sein; umgekehrt können globale Technologien Resilienz erhöhen, wenn Abhängigkeiten verstanden, kritische Kontrollpunkte abgesichert und Alternativen vorbereitet sind. Souveränität fragt besonders scharf danach, wo Kontrolle und Abhängigkeit liegen, während Resilienz fragt, ob das daraus entstehende Gesamtsystem unter veränderten Bedingungen weiter handeln kann. Beide Konzepte konkurrieren deshalb nicht, sondern verbinden sich in der Frage nach dauerhafter Handlungsfähigkeit.

Im European Resilience Summit verstehen wir Resilienz als Fähigkeit, in Disruption nicht nur zu bestehen, sondern zu gedeihen: langfristig Fähigkeiten, Institutionen und Beziehungen aufzubauen und gleichzeitig taktisch anpassungsfähig zu bleiben. Diese Perspektive akzeptiert Interdependenz als Grundbedingung moderner Gesellschaften, ohne gegenüber Abhängigkeiten naiv zu werden. Sie fragt nicht nach vollständiger Kontrolle, sondern danach, welche Kontrolle an welchen Stellen notwendig ist, damit Entscheiden, Eingreifen, Durchhalten, Wechseln und Wiederherstellen möglich bleiben. Digitale Souveränität wird so zu einem wichtigen Baustein einer umfassenderen Resilienzstrategie.

Eine Einladung zur Debatte

Vielleicht ist das die produktivste Ausgangsposition für diese Blogreihe. Die folgenden Beiträge müssen nicht dieselbe Definition digitaler Souveränität teilen; interessanter ist, welche Probleme die Autorinnen und Autoren mit dem Begriff sichtbar machen, welche Abhängigkeiten sie für kritisch halten und welche Handlungsmöglichkeiten sie daraus ableiten. Gerade die Unterschiede können zeigen, wie stark unser Verständnis davon abhängt, ob wir auf Verwaltung, Wirtschaft, Technologie, Recht, Sicherheit oder gesellschaftliche Selbstbestimmung schauen. Die Reihe kann damit mehr leisten als eine weitere Suche nach dem kleinsten gemeinsamen Nenner einer Definition.

Bartelsons Perspektive erinnert uns daran, Begriffe nicht mit den Dingen zu verwechseln, die sie beschreiben sollen. Digitale Souveränität ist keine natürliche Eigenschaft digitaler Systeme, die wir irgendwann nur präzise genug vermessen müssen, sondern ein politischer und organisatorischer Begriff, mit dem wir festlegen, welche Abhängigkeiten wir akzeptieren, welche Fähigkeiten wir schützen und welche digitale Ordnung wir bauen wollen. Gerade deshalb sollten wir sorgfältig mit ihm umgehen: Seine Bedeutung liegt nicht nur darin, was wir unter ihm verstehen, sondern auch darin, welche Entscheidungen wir mit ihm legitimieren. Die Leitfrage dieser Reihe lautet deshalb nicht nur: Was ist digitale Souveränität? Sondern auch: Was wollen und können wir mit ihr tun?

Quellen und Links

• Jens Bartelson: A Genealogy of Sovereignty. Cambridge University Press, 1995
• Jens Bartelson: »The Concept of Sovereignty Revisited.« European Journal of International Law, Vol. 17, No. 2, 2006, S. 463–474
• Wirtschaftsrat der CDU e.V.: »Wir bauen die Cybernation. Eine Strategie für eine sichere, souveräne und prosperierende Zukunft«, 24.06.2026
• European Resilience Summit