Wie Unternehmen digitale Abhängigkeiten in fünf Schritten beherrschbar machen: Souverän im Ernstfall

Kein Unternehmen existiert losgelöst von seiner Umwelt. Besonders deutlich zeigt sich das an der Herstellung moderner Mikrochips, auf denen nahezu alle digitalen Systeme basieren. Ihre Produktion verbindet Rohstoffe, Technologien und spezialisierte Unternehmen aus zahlreichen Ländern. Materialien wie Silizium, Gallium, Germanium und hochreine Metalle gewinnen und verarbeiten Unternehmen in unterschiedlichen Regionen – bei einigen davon nimmt China eine dominierende Stellung ein.

In Deutschland fertigt Zeiss hochpräzise optische Systeme, die das niederländische Unternehmen ASML in seine
Lithografie-Systeme integriert. Chipdesign, Wafer-Fertigung, Prüfung und Verpackung verteilen sich auf Unternehmen in den USA, Europa und Asien.

Diese Wertschöpfungskette zeigt: Eine moderne IT-Infrastruktur lässt sich zwar lokal betreiben, ihre technologischen Grundlagen hängen aber von einem hochgradig internationalen Netzwerk ab. Wirtschaftliche Arbeitsteilung zwischen verschiedenen Akteuren schafft zwangsläufig Abhängigkeiten. Entscheidend ist, dass sie beherrschbar bleiben, denn neben der Geopolitik gefährden auch Ransomware, Stromausfälle, Preissteigerungen oder der Ausfall eines Partners die Handlungsfähigkeit. Souveränität verhindert das nicht, aber sie schafft Ausweichmöglichkeiten.

Die Leitfrage lautet damit nicht „Wie werden wir unabhängig?“, sondern „Welche Abhängigkeiten können wir uns leisten?“ Die ersten vier der folgenden Schritte klären, wie viel Kontrolle über die eigene Technik nötig ist. Der fünfte stellt sicher, dass sie im Ernstfall auch jemand ausübt.

Schritt 1 1: Klären, welche Prozesse wirklich kritisch sind

Für den Aufbau unternehmerischer Resilienz brauchen Entscheider einen Überblick darüber, welche Leistungen für ihre Handlungs- und Lieferfähigkeit unverzichtbar sind. In einer Business-Impact-Analyse (BIA) untersuchen die Fachbereiche die Folgen eines Ausfalls ihrer Prozesse: Wie schnell hätte ein Stopp kritische Auswirkungen? Wie lange wäre eine Unterbrechung tolerierbar?

Neben finanziellen Schäden fließen Lieferfähigkeit, Sicherheit, Compliance, vertragliche Verpflichtungen und Reputation in die Bewertung ein. Zusätzlich zu einer organisationsweiten Abstimmung braucht es eine Evaluierung von Abhängigkeiten, Konzentrationsrisiken und objektivierbaren Schadensfolgen. Nur so stellen Unternehmen sicher, dass existenzielle Prozesse, die wenige spezialisierte Bereiche erbringen, in der quantitativen Bewertung nicht untergehen.

Erst auf dieser Grundlage gelingt die Betrachtung konkreter Risikoszenarien. Darin beurteilen Verantwortliche Eintrittswahrscheinlichkeit und Schadensausmaß getrennt voneinander. Anschließend gleichen sie die Bewertung mit der Tragfähigkeit sowie der Risikobereitschaft des Unternehmens ab.

Die Verantwortung dafür liegt nicht allein bei der IT. Datenschutz, Informationssicherheit, Einkauf, Recht und Unternehmensleitung entscheiden gemeinsam, welche Risiken akzeptabel sind und wo zusätzliche Schutzmaßnahmen oder Investitionen erforderlich werden.

Schritt 2: Plattformen daran messen, was ihr Ausfall kostet

Steht fest, welche Prozesse laufen müssen, lassen sich die Systeme dahinter bewerten – weniger nach Herstellungsland als nach der Beeinträchtigung der Handlungsfähigkeit. Jedes wirtschaftlich agierende Unternehmen ist auf andere Marktteilnehmer angewiesen, sei es für die Lieferung von Rohmaterialien, die Bereitstellung von Services oder von Speicherkapazitäten. Das gilt auch für Software-Anbieter.

Ein kompletter Verzicht auf US-amerikanische oder chinesische Soft- und Hardware greift zu kurz. Selbst wenn ein Tool das Siegel „Made in Germany“ oder „Made in EU“ trägt, kommen einzelne Bestandteile oftmals von außerhalb der europäischen Grenzen.

Neben Funktionalität und Interoperabilität entscheidet die Kontrolle, die Anbieter ihren Nutzern zugestehen, darüber, ob ein Programm zur digitalen Souveränität beitragen kann. Komplexe Plattformen bieten leistungsfähige Ökosysteme, die von Kommunikation und Geräteverwaltung über Sicherheit bis zur Automatisierung eine breite Palette an Unternehmensbereichen abbilden. Das erleichtert das Onboarding neuer Arbeitsprozesse enorm, birgt aber auch die Gefahr eines Lock-ins.

Ob die bestehende Programmlandschaft zur Handlungsfähigkeit passt, zeigt sich daran, ob sie Anwendern in einem Notfall Ausweichmöglichkeiten gewährt. Erschwert eine Plattform durch proprietäre Datenformate oder beschränkte Schnittstellen einen späteren Wechsel, fließt dieses Lock-in-Risiko in die Anbieterbewertung ein.

Preissteigerungen, Lizenzänderungen oder die Einstellung einer Funktion verlangen aus unternehmerischer Sicht nach flexiblen Handlungsräumen. Dafür testen Zuständige Datenexport, Zugänglichkeit der Schnittstellen und Vertragslaufzeiten. Liegen zu viele Abläufe außerhalb des betrieblichen Wirkungsbereichs, sollten Unternehmer eine Neuorganisation erwägen.

Schritt 3: Rechtliche Spielräume ausloten, statt pauschal zu verbieten

Zur digitalen Souveränität gehört neben technischer und wirtschaftlicher Handlungsfähigkeit die Klärung der Frage, unter welchen Bedingungen Unternehmen eine gewünschte Technologie rechtssicher einsetzen können. Datenschutz und Compliance prägen von Beginn an die Anbieterwahl.

Für eine effektive Nutzung prüfen Führungskräfte Risiken auf ihre Reduzierbarkeit. Die Anonymisierung vertraulicher und personenbezogener Daten bewahrt sensible Informationen vor der Auslesung; Zugriffsrechte und technische Maßnahmen sichern die Verarbeitung ab. Liegen jeder Einwilligung umfassende Informationen zugrunde, bilden sie Rechtsgrundlagen für Nutzungsanlässe.

Eine technisch leistungsfähige Plattform blockiert den Arbeitsfluss, wenn sie aufgrund der eigenen Datenverarbeitung nur eingeschränkt zum Einsatz kommt. Eine pauschale Verbotslogik ist jedoch gleichermaßen kontraproduktiv. Erst die Prüfung, welche Risiken sich durch rechtliche oder technische Maßnahmen tragen lassen, macht die vorhandenen Gestaltungsmöglichkeiten sichtbar.

Schritt 4: Systeme so bauen, dass Teile ersetzbar bleiben

Bleibt die Frage, wie sich eine einmal getroffene Entscheidung wieder korrigieren lässt. Bevor ein ganzes System ausgetauscht wird, sollte zunächst die saubere Trennung von Daten, Identitäten, Prozessen und Integrationen eine Entkopplung einzelner Komponenten ermöglichen. Das erleichtert Veränderungen: Beim Teilausfall der Systemlandschaft übertragen Zuständige relevante Informationen auf laufende Programme und überbrücken dadurch den Notfall.

Entscheidend ist eine durchdachte Modularität. Weder ein proprietäres Ökosystem noch ein Sammelsurium von Spezialwerkzeugen stärkt Unternehmen nachhaltig. Die Einführung mehrerer Einzellösungen geht durch zusätzliche Schnittstellen mit erhöhtem Sicherheitsrisiko einher. Fehlende Kompatibilität bedeutet mehr Aufwand bei der Integration, und neue Tools verlangen weitere Kompetenzen.

Zudem sind verschiedene Programme keine Garanten für Souveränität. Liegen sie beispielsweise alle in derselben Cloud oder Datenbank, bleibt die Anfälligkeit für Ausfälle gleich hoch. Nicht die Zahl verfügbarer Alternativen beeinflusst den Handlungsspielraum, sondern die Fähigkeit des Unternehmens, Redundanzen und Notfallmaßnahmen einzusetzen und zu beherrschen. Der Prüfstein ist einfach: Lassen sich einzelne Funktionen ersetzen, ohne den laufenden Betrieb zu gefährden?

Schritt 5: Wissen auf mehrere Schultern verteilen

Technische Vorsorge greift nur, wenn jemand sie im Ernstfall bedienen kann. Auch eine Programmlandschaft mit funktionalem Datenexport und ausreichend Redundanzen kommt zum Erliegen, wenn nur wenige Mitarbeiter das nötige Know-how besitzen, um sie effektiv einzusetzen. Verlagern Betriebe essenzielle Abläufe alternativlos zu externen Dienstleistern, führt deren Ausfall zum Stillstand.

Deshalb gehört zur organisatorischen Resilienz neben der digitalen Souveränität auch die Verteilung von Wissen. Wer Betriebsfähigkeit sichern will, diversifiziert – bei Anbietern ebenso wie bei Zuständigkeiten. Im besten Fall befassen sich mehrere Verantwortliche gemeinsam mit Plänen für Parallelbetrieb und Datenmigration.

Fazit

Mit einem klaren Bild der eigenen Abhängigkeiten, einem ausgeprägten Risikobewusstsein und einer Exit-Strategie wird digitale Souveränität zum Baustein organisatorischer Resilienz. Nur Unternehmen, die eine Vorstellung davon haben, welche Prozesse auch unter veränderten Bedingungen laufen müssen, können eine entsprechende Strategie entwickeln.

Nicht die Herkunft oder die Menge der Programme steigert die Zukunftsfähigkeit eines Betriebs, sondern die Fähigkeit, selbstbestimmt zu handeln.