Die Zukunft der Datensouveränität wird gestaltet, nicht verhandelt

Im Juni 2025 wurde der Rechtsdirektor von Microsoft Frankreich vor dem französischen Senat unter Eid gefragt, ob er garantieren könne, dass Daten französischer Bürger niemals ohne französische Zustimmung an US-Behörden übermittelt würden. Seine Antwort war schlicht: Nein. Dieses eine Wort bestätigte, worüber viele europäische Sicherheitsverantwortliche seit Jahren debattieren. Datensouveränität ist keine Einstellung, die man aktiviert. Sie ist kein Häkchen im Anbietervertrag. Und sie ist längst nicht mehr in erster Linie eine juristische Frage. Sie ist eine Architekturentscheidung - und das Zeitfenster, sie richtig zu treffen, schließt sich.

Drei Kräfte laufen derzeit zusammen und machen das Thema für jeden europäischen CISO und IT-Verantwortlichen dringlich: geopolitische Fragmentierung, extraterritorialer Datenzugriff und die Cyber-Exposition der Lieferkette. Jede für sich verlangt Aufmerksamkeit. Zusammen verändern sie grundlegend, wie europäische Organisationen darüber nachdenken müssen, wo ihre Daten liegen, wer an sie herankommt und wie widerstandsfähig ihre Infrastruktur tatsächlich ist.

Geopolitische Fragmentierung: Die Karte vom letzten Quartal kann schon wieder falsch sein

Die meisten Enterprise-Netzwerkarchitekturen wurden für eine Welt entworfen, die von stabilem Routing, neutraler Infrastruktur und grenzenlosen Cloud-Regionen ausging. Diese Welt existiert nicht mehr.

Als Russland im Februar 2022 in die Ukraine einmarschierte, mussten Organisationen, deren SD-WAN-Pfade durch Osteuropa liefen, ihren Traffic innerhalb weniger Tage umleiten. Am schnellsten erholten sich diejenigen, deren Architekturen Policy-gesteuertes Rerouting erlaubten, ohne dass alles neu aufgebaut werden musste. Das war kein Glück. Das war Design.

Seither hat sich die Fragmentierung beschleunigt. Die EU-Gesetzgebung zur digitalen Souveränität zieht an. Die USA haben sich aus multilateralen Technologiezusagen zurückgezogen. China baut seine staatlich kontrollierte Netzinfrastruktur weiter aus. Sanktionen und Exportkontrollen verändern, auf welche Cloud-Regionen, Anbieter und Transitpfade sich Organisationen operativ verlassen können - mitunter über Nacht. Im November 2025 verabschiedeten die EU-Mitgliedstaaten eine Erklärung zur europäischen digitalen Souveränität - unverbindlich, aber ein klares politisches Signal, dass digitale Autonomie inzwischen strategische Priorität hat. Parallel dazu hat die Europäische Kommission Untersuchungen eingeleitet, ob AWS und Microsoft Azure als zentrale Plattformdienste im Sinne des Digital Markets Act einzustufen sind.

Für Sicherheitsverantwortliche heißt das: Die Netzwerkkarte vom letzten Quartal kann bereits überholt sein. Eine Architektur, die sich an geopolitische Veränderungen anpassen kann, ist keine Option mehr. Sie ist das Fundament.

Extraterritorialer Datenzugriff: Die Jurisdiktion folgt dem Unternehmen, nicht den Daten

Der 2018 verabschiedete US CLOUD Act erlaubt es US-Behörden, amerikanische Unternehmen zur Herausgabe von Daten zu verpflichten - unabhängig davon, wo diese Daten physisch gespeichert sind. Für europäische Organisationen, die Cloud-, Security- oder SASE-Plattformen mit US-Hauptsitz nutzen, entsteht daraus ein struktureller Konflikt mit der DSGVO und europäischen Datenschutzprinzipien.

Das ist nicht theoretisch. In seiner Aussage vor dem französischen Senat bestätigte Anton Carniaux von Microsoft Frankreich unter Eid, dass einem gültigen Ersuchen der US-Regierung stattgegeben werden müsste - auch bei Daten auf europäischem Boden. Etwa zur selben Zeit kündigte der Internationale Strafgerichtshof in Den Haag an, Microsoft Office durch OpenDesk zu ersetzen, eine europäische Open-Source-Alternative - nachdem sein Chefankläger infolge von US-Sanktionen vorübergehend aus seinem Microsoft-Konto ausgesperrt worden war. Der IT-Leiter des Gerichtshofs erklärte öffentlich, man müsse Abhängigkeiten reduzieren und die technologische Autonomie stärken, auch wenn das teuer und unbequem sei.

Und dann ist da der Fall Solvinity in den Niederlanden. Niederländische Behörden, darunter die Stadt Amsterdam und das Justizministerium, hatten sich ganz bewusst für Solvinity entschieden, einen niederländischen Managed-Cloud-Anbieter - gerade um die Abhängigkeit von amerikanischen Firmen zu verringern und CLOUD-Act-Risiken zu entschärfen. Im November 2025 kündigte das US-Unternehmen Kyndryl an, Solvinity zu übernehmen. Amsterdam wurde einen Tag vor der öffentlichen Bekanntgabe informiert. Über Nacht unterlag eine souveräne Cloud-Entscheidung der US-Jurisdiktion. Das niederländische Parlament hat inzwischen über einen Antrag abgestimmt, Investitionen in europäische Cloud-Alternativen zu beschleunigen.

Für CISOs ist die Konsequenz klar: Wo Ihr Anbieter seinen Hauptsitz hat, zählt genauso viel wie der Speicherort Ihrer Daten. Ein europäisches Rechenzentrum garantiert keine europäische Souveränität, wenn die Muttergesellschaft US-Recht unterliegt.

Cyber-Exposition der Lieferkette: Die weiche Flanke ist Ihr Anbieter

Staatliche Akteure haben gelernt, dass es teuer ist, Unternehmen direkt anzugreifen. Die Anbieter ins Visier zu nehmen, denen diese Unternehmen vertrauen, ist weitaus effizienter. Ein einziger kompromittierter Managed Service Provider oder eine kompromittierte Security-Plattform verschafft Angreifern privilegierten Zugriff auf Dutzende oder Hunderte Organisationen gleichzeitig.

Das Muster ist inzwischen fest etabliert. Im Januar 2024 nutzten chinesische staatsnahe Akteure (von Mandiant unter der Bezeichnung UNC5221 geführt) Zero-Day-Schwachstellen in Ivanti Connect Secure aus, einem weit verbreiteten Secure-Access-Produkt. Tausende Organisationen weltweit waren betroffen. Die Angreifer zielten nicht auf Endpoints oder User. Sie kamen durch das Sicherheitsprodukt selbst herein.

Und das Muster hat sich seither wiederholt. Anfang 2026 legte Ivanti zwei weitere kritische Zero-Day-Schwachstellen in seinem Produkt Endpoint Manager Mobile offen - diesmal traf es unter anderem die Europäische Kommission und die niederländische Datenschutzbehörde. Forscher schrieben derselben China-nahen Gruppe knapp 20 Angriffe zu, mit Opfern quer durch Telekommunikation, Gesundheitswesen sowie Luft- und Raumfahrt in Europa.

Ihre SASE-Plattform steht nicht außerhalb Ihrer Lieferkette. Sie ist Ihre Lieferkette für Netzwerkzugang, Policy-Enforcement und Security-Telemetrie. Die Organisationen mit der stärksten Sicherheitsaufstellung verlassen sich nicht allein auf Anbieter-Fragebögen zur Risikobewertung. Sie bauen kontinuierliche Verifikation in die Netzwerkebene ein, damit selbst bei einem kompromittierten Anbieter Lateral Movement eingedämmt bleibt.

Warum diese drei Risiken gerade jetzt zusammenlaufen

Jede dieser Kräfte ist für sich genommen ernst. Was den aktuellen Moment anders macht: Es sind keine getrennten Probleme mehr. Sie konvergieren.

Geopolitische Fragmentierung beschleunigt die extraterritoriale Reichweite, weil Regierungen Notstandsbefugnisse und Abkommen zum Austausch von Geheimdienstinformationen ausweiten. Extraterritorialer Datenzugriff exponiert Lieferketten, weil ein Anbieter unter fremder Jurisdiktion zum legalen Zugangspunkt zu Ihren Daten wird. Und Kompromittierungen der Lieferkette werden zu Souveränitätsereignissen, weil Angreifer zunehmend genau die Plattformen ausnutzen, auf die sich Organisationen für Policy-Enforcement und Sicherheit verlassen.

Die Organisationen, die das gut meistern, reagieren nicht auf jede Krise einzeln. Es sind jene, die Datensouveränität bereits zur Architekturentscheidung gemacht haben: kontinuierliche Verifikation, Transparenz über die Lieferkette und Policy-gesteuerte Kontrollen, von Anfang an in die Netzwerkebene eingebaut.

Deshalb überdenkt eine wachsende Zahl europäischer Organisationen, wie Netzwerk- und Sicherheitsarchitekturen überhaupt konzipiert werden. Statt auf global zentralisierte Plattformen zu setzen, bewegen sie sich hin zu souveränen, Policy-gesteuerten SASE-Modellen, die innerhalb klar definierter Jurisdiktionen operieren und die operative Kontrolle näher dort halten, wo Daten und Nutzer tatsächlich sind.

Genau diesen Ansatz verfolgen wir bei Open Systems mit Managed SASE - denn wir haben aus erster Hand erlebt, dass jene Organisationen vorn bleiben, die das als Designprinzip begreifen und nicht als Krisenreaktion.

Was europäische Sicherheitsverantwortliche jetzt tun sollten

Auditieren Sie die Jurisdiktion Ihrer Anbieter, nicht nur Ihre Datenresidenz. Verstehen Sie, wo Ihre SASE-, Cloud- und Managed-Service-Provider ihren Hauptsitz haben und welche rechtliche Exposition daraus entsteht. Bauen Sie eine Policy-gesteuerte Architektur auf, die sich an veränderte geopolitische Realitäten anpassen lässt, ohne dass ein Neuaufbau nötig wird. Und fordern Sie Transparenz über die Lieferkette ein, die über Fragebögen hinausgeht - mit kontinuierlicher Verifikation als festem Bestandteil Ihres Netzwerkdesigns.

Datensouveränität ist nichts mehr, was man in einem Vertrag verhandelt. Sie ist etwas, das man in die eigene Infrastruktur hineinkonstruiert. Die Organisationen, die das jetzt verstehen, werden diejenigen sein, die beim nächsten Umbruch noch stehen.

Datensouveränität wird nicht durch Regulierung allein gelöst. Sie wird durch Architektur gelöst. Bei Open Systems arbeiten wir mit europäischen Unternehmen daran, souveräne SASE-Architekturen zu entwerfen und zu betreiben, die genau diese Herausforderungen adressieren.

Sprechen Sie mit dem Open-Systems-Team* über Managed SASE, gebaut für die Realitäten, mit denen europäische Organisationen heute konfrontiert sind.*