(Symbolbild)
Digitale Souveränität in Gefahr: Wenn Cloud-Abhängigkeiten und fremder Code zum Geschäftsrisiko werden
Die digitale Infrastruktur moderner Unternehmen ruht auf zwei zunehmend brüchigen Säulen: Cloud-Diensten, deren Lebensdauer kürzer ist als die der Produkte, die auf ihnen aufbauen, sowie Software-Lieferketten, die Code aus geopolitisch kritischen Regionen enthalten. Beide Probleme treffen zusammen auf ein Kernanliegen der digitalen Souveränität – die Kontrolle über eigene technologische Systeme.
Das Ende der Cloud: Wenn vernetzte Produkte zu digitalem Schrott werden
Connected Cars demonstrieren das Problem besonders drastisch. Automobilhersteller binden Fahrzeuge zunehmend an Cloud-Backends für Navigation, Fernzugriff, Software-Updates und Fahrerassistenzsysteme. Doch wenn der Hersteller den Dienst einstellt – aus wirtschaftlichen Gründen, bei Insolvenz oder strategischer Neuausrichtung – verlieren Fahrzeuge massiv an Funktionalität. Die Hardware bleibt, die Software wird unbrauchbar. (Ars Technica)
Für Unternehmen jenseits der Automobilindustrie lässt sich das Szenario direkt übertragen: IoT-Geräte in der Fertigung, Gebäudetechnik, Logistik oder Medizintechnik basieren auf ähnlichen Modellen. Die TCO-Berechnung muss künftig den möglichen Verlust von Cloud-Abhängigkeiten berücksichtigen – nicht nur beim ursprünglichen Anbieter, sondern auch bei dessen Subunternehmern und Plattformpartnern.
Undurchsichtige Code-Herkunft als Sicherheitsrisiko
Parallel zur Infrastruktur-Abhängigkeit wächst die Bedrohung durch unsichtbare Software-Lieferketten. Apps, die gezielt an US-Militärangehörige vermarktet werden, enthalten Code chinesischer und russischer Herkunft – ohne dass Nutzer dies erkennen könnten. Die Analyse betrifft dabei nicht nur die Hauptanwendungen, sondern eingebettete SDKs, Analyse-Tools und Werbenetzwerke, die sich tief in die Codebasis einnisten. (Ars Technica)
Die Implikation übersteigt den militärischen Kontext erheblich. Jede Branche, die mit sensiblen Daten, geistigem Eigentum oder kritischer Infrastruktur arbeitet, trägt vergleichbare Risiken. Die Herkunft von Code lässt sich in komplexen Build-Prozessen kaum nachvollziehen; die rechtliche Zuordnung zu einem Unternehmenssitz sagt wenig über die tatsächliche Entwicklungsorte und -teams aus.
Verpflichtungen ohne Kontrolle
Beide Phänomene vereint eine strukturelle Asymmetrie: Unternehmen übernehmen technologische Verpflichtungen gegenüber Kunden und Regulierern, ohne die Kontrolle über die zugrundeliegenden Systeme zu besitzen. Der Cloud-Anbieter bestimmt über Verfügbarkeit und Preis; der SDK-Anbieter über Datenzugriff und Code-Updates. Die eigene Haftung bleibt davon unberührt.
Die EU-Digitalisierungspolitik adressiert Teile des Problems mit dem Cyber Resilience Act und der Data Act, doch die Umsetzung in Unternehmensstrukturen hinkt hinterher. Vendor Lock-in und Supply-Chain-Opacity sind keine rein technischen, sondern ökonomisch motivierte Phänomene, die regulatorisch nur schwer zu durchbrechen sind.
Für deutschsprachige Unternehmen ergeben sich daraus konkrete Handlungsfelder: Bei Neuanschaffungen vernetzter Systeme sind Exit-Strategien und Offline-Funktionalität als Vertragsbestandteil zu verhandeln. In der Software-Entwicklung gewinnt SBOM (Software Bill of Materials) an Bedeutung – nicht nur als Compliance-Checkliste, sondern als aktives Risikomanagement-Instrument. Langfristig wird die Frage der digitalen Souveränität zur strategischen Positionierung: Wer kritische Abhängigkeiten reduziert, schafft nicht nur Resilienz, sondern potenziell Wettbewerbsvorteile gegenüber Konkurrenten, die auf scheinbar günstige, aber unsichere Standardlösungen setzen.
