Selbstbestimmt handeln im digitalen Raum – warum Digitale Souveränität für KMU immer wichtiger wird Interview mit Prof. Dr. Dennis-Kenji Kipker vom cyberintelligence.institute

Cybersicherheit gewinnt auch für kleine und mittlere Unternehmen (KMU) immer mehr an Bedeutung: Cyberangriffe, Datenverlust und digitale Abhängigkeiten sind längst keine abstrakten Risiken mehr – und sie betreffen Unternehmen jeder Größe. Gerade kleine und mittlere Unternehmen (KMU) stehen vor der Herausforderung, ihre digitalen Prozesse sicher und eigenständig zu gestalten. Deshalb ist Cybersicherheit eines der Schwerpunktthemen des diesjährigen Mittelstand-Digital Kongresses am 13. November. Mit dabei: Cybersicherheits-Experte Prof. Dr. Dennis-Kenji Kipker vom cyberintelligence.insitute. Im Vorfeld zum Kongress hat er uns im Interview erklärt, warum Cybersicherheit und Digitale Souveränität Hand in Hand gehen, welche Schritte KMU für selbstbestimmte Entscheidungen über ihre Daten gehen sollten – und was uns in seiner Keynote beim Kongress erwartet.

Herr Kipker, was ist eigentlich Digitale Souveränität und warum spielt das Thema Digitale Souveränität gerade im Zeitalter von KI und Cybersicherheit eine immer wichtigere Rolle?

Prof. Dr. Dennis-Kenji Kipker: Digitale Souveränität beschreibt die Fähigkeit eines Individuums, einer Organisation oder eines Staates, die Kontrolle über seine Daten, Technologien und Infrastrukturen im digitalen Raum zu behalten. Es geht darum, nicht von externen, nicht kontrollierbaren Akteuren oder Technologien abhängig zu sein, insbesondere von solchen, die nicht den eigenen rechtlichen und ethischen Standards unterliegen. Das Ziel ist es, Entscheidungsfreiheit und Autonomie im digitalen Umfeld zu gewährleisten. Gerade im Zeitalter von Künstlicher Intelligenz (KI) und zunehmender Cyber(un)sicherheit gewinnt die Digitale Souveränität massiv an Bedeutung. KI-Systeme basieren auf der Verarbeitung großer Datenmengen. Wenn diese Daten auf Infrastrukturen und Plattformen Dritter liegen, die außerhalb der eigenen Jurisdiktion oder Kontrolle stehen, besteht das Risiko des Datenabflusses und der unautorisierten Nutzung von Daten. Die Abhängigkeit von wenigen globalen Tech-Giganten in Bereichen wie Cloud-Diensten oder KI-Modellen kann zu einer technologischen Abhängigkeit führen, die die Wettbewerbsfähigkeit und die nationale Sicherheit nachhaltig gefährdet. Im Kontext der Cybersicherheit spielt Souveränität eine wichtige Rolle, da die Kontrolle über die eigenen IT-Systeme die Resilienz gegenüber externen Bedrohungen erhöht, insbesondere solchen aus der digitalen Lieferkette, denn gerade hier ereignen sich immer mehr Kompromittierungen von Wirtschaftsbetrieben bis hin zu Kritischer Infrastruktur. Nur wenn Staaten und Unternehmen die Schlüsseltechnologien und deren Betrieb im eigenen Land oder nach eigenen Regeln gestalten können, lassen sich auch Sicherheitsstandards und Datenschutzvorgaben effektiv durchsetzen und die digitale Selbstbestimmung bewahren.

Können Sie aus Ihrer Erfahrung ein Praxisbeispiel nennen, wie Digitale Souveränität auch kleine oder mittlere Unternehmen betrifft?

Prof. Dr. Dennis-Kenji Kipker: Aus der Praxis zeigt sich, dass Digitale Souveränität für kleine und mittlere Unternehmen (KMU) besonders relevant ist, wenn es um die Wahl ihrer Kollaborations- und Datenmanagement-Tools geht. Viele KMU nutzen standardmäßig Cloud-Lösungen großer, oft außereuropäischer Anbieter für E-Mail, Dokumentenspeicherung und Projektmanagement. Die Bequemlichkeit dieser Lösungen führt jedoch zu einer starken Abhängigkeit (sog. „Vendor Lock-in“). Ein Praxisbeispiel:   Ein KMU hostet seine gesamte Kundenkommunikation und Produktentwicklung auf einem Cloud-Speicher, dessen Server in einem Land stehen, das nicht den strengen europäischen Datenschutzbestimmungen (wie der DSGVO) unterliegt. Bei einer plötzlichen Änderung der Geschäftsbedingungen des Anbieters, einer Preiserhöhung oder gar einer behördlichen Anordnung zur Datenherausgabe im Ausland, verliert das KMU die Kontrolle über seine essenziellen Geschäftsdaten und riskiert möglicherweise hohe Bußgelder oder den Verlust von Geschäftsgeheimnissen oder sensiblen personenbezogenen Daten. Digitale Souveränität bedeutet hier die bewusste Entscheidung für alternative, oft regionale oder Open-Source-Lösungen, die innerhalb der eigenen Rechtsordnung operieren und dem Unternehmen die Datenhoheit zurückgeben, um die Geschäftsresilienz zu sichern.

Betrifft das Thema alle Unternehmen gleichermaßen, beziehungsweise können Sie hier branchenspezifische Unterschiede beschreiben?

Prof. Dr. Dennis-Kenji Kipker: Wichtig ist das Thema Digitale Souveränität mit Sicherheit für alle Branchen, wenn man eine nachhaltige digitale Zukunft gestalten will. Dennoch gibt es auch branchenspezifische Unterschiede in Relevanz und Ausprägung der aktuellen Diskussion. Unternehmen im kritischen Infrastrukturbereich (sog. KRITIS), wie Energieversorger, Gesundheitswesen oder Finanzdienstleister, haben aufgrund der nationalen Sicherheitsrelevanz ihrer Systeme und Daten die höchste Notwendigkeit für Digitale Souveränität. Hier geht es primär um die Kontrolle über operative Technologien (OT) und die Minimierung von Cyberrisiken durch ausländische Abhängigkeiten nicht nur im Sinne der Datenvertraulichkeit, sondern vor allem auch der Datenverfügbarkeit als Schutzziel digitaler Resilienz. Im Gegensatz dazu ist es für ein normales Unternehmen zwar wichtig, seine Kundendaten zu schützen, aber die Bedrohung der systemischen Stabilität ist geringer. Besonders betroffen sind auch Unternehmen im produzierenden Gewerbe, die auf industrielle Steuerungssysteme und die Datenhoheit über ihre Smart Factory-Daten angewiesen sind, um ihre Fertigungsgeheimnisse zu wahren und einen Produktionsstillstand durch externe Zugriffe zu verhindern. Kurz gesagt: Je sensibler die Daten, je kritischer die Infrastruktur und je höher der Schutzbedarf des geistigen Eigentums, desto dringlicher ist die Forderung nach umfassender Digitaler Souveränität.

Welche Schritte würden Sie kleinen und mittleren Unternehmen zum Einstieg in Digitale Souveränität empfehlen? Welche Möglichkeiten gibt es für den Arbeitsalltag, ohne zeitintensive Schulungen besuchen zu müssen?

Prof. Dr. Dennis-Kenji Kipker: Um den Einstieg in die Digitale Souveränität für kleine und mittlere Unternehmen (KMU) praktikabel zu gestalten, ist der erste strategische Schritt eine Analyse der kritischsten Abhängigkeiten (Vendor Lock-in) in der IT-Architektur. Es sollte identifiziert werden, welche Daten und Prozesse bei großen, nicht-europäischen Cloud-Anbietern (Hyperscalern) liegen und welche davon als geschäftskritisch oder datenschutzrelevant (z.B. Kundendaten, IP) gelten. Ein weiterer wichtiger Schritt ist die Diversifizierung der Infrastruktur, also die Vermeidung von Single Points of Failure durch die Nutzung mehrerer Anbieter oder durch die Verlagerung sensitiver Daten in eine als datensouverän zertifizierte Trusted Cloud oder eine lokale Lösung on-premise. Zudem sollten für sensible interne Kommunikation Open-Source-Lösungen für Kollaboration und Messaging in Betracht gezogen werden, die die Datenhoheit gewährleisten und den Abfluss von Know-how verhindern. Die Auswahl lokaler IT-Dienstleister für Support und Wartung stärkt ebenfalls die Souveränität, da diese der eigenen Rechtsordnung unterliegen, die Reaktionsfähigkeit bei Sicherheitsproblemen oft höher ist und individuelle Lösungen angeboten werden können. Gerade die Vertrauenswürdigkeit des IT-Dienstleisters spielt für die Cybersicherheit eine große Rolle.

Spannende und praxisorientierte Einblicke! Beim Mittelstand-Digital Kongress am 13. November stehen Sie als Keynote-Speaker auf unserer Bühne im Humboldt-Carré. Können Sie uns schon einen Vorgeschmack auf Ihren Vortrag geben?

Prof. Dr. Dennis-Kenji Kipker: Vor allem soll es darum gehen, basierend auf den soeben beschrieben Erkenntnissen die Erfolgsfaktoren zu identifizieren, die für den sicheren und souveränen Einsatz von KI in Unternehmen erforderlich sind. Dazu möchte ich zunächst einmal Hintergründe geben, was KI überhaupt bedeuten kann, wenn sie im Mittelstand eingesetzt wird – denn auch hier haben wir noch lange nicht alle Anwendungsszenarien ausgeschöpft. Gleichzeitig möchte ich aber auch unbedingt das Risikobewusstsein im Sinne der Technologiefolgenabschätzung stärken – also aufzeigen, welche Abhängigkeiten durch die betriebliche KI-Nutzung aufgebaut werden können, und welche Fallstricke es zu verhindern gilt, wenn wir an KI denken. Denn auch die Künstliche Intelligenz ist letztlich nichts anderes als ein technisches Hilfsmittel – und nach wie vor steht der Mensch im Mittelpunkt, der mit ihr arbeitet.

Ein passendes Schlusswort! Vielen Dank für das Interview, Herr Kipker! Wir freuen uns auf Ihre Keynote am 13. November beim Mittelstand-Digital Kongress.