Datensouveränität beginnt mit dem Wissen über die eigenen Daten
Mindverse News
KI-gestützt erstellt 4 Quellen Originalmeldung: heise.de Arbeitsweise
Das Wichtigste in Kürze
- Eine von Everpure mit Vanson Bourne erstellte Studie berichtet, dass 62 Prozent der befragten Unternehmen keinen vollständigen Überblick über Speicherorte, Kontrolle und Zugriffe auf ihre Daten haben. [1]
- Ein weiterer Bericht kommt laut heise online zu ähnlichen Transparenzlücken, misst aber andere Aspekte: 34 Prozent wissen demnach, wo ihre Daten gespeichert sind; 39 Prozent können alle Daten klassifizieren. [1]
- Datensouveränität lässt sich nicht auf den Serverstandort reduzieren: Anbieter, Rechtsraum, Zugriffsrechte, Datenflüsse und organisatorische Zuständigkeiten gehören ebenfalls zur Kontrolle. [1][2][4]
- KI-Agenten können zusätzliche Zugriffswege auf Unternehmensinformationen schaffen. Unternehmen müssen deshalb festlegen, welche Daten Agenten für welche Aufgaben verwenden und ob Informationen an externe Dienste fließen dürfen. [1]
- Die Umfragewerte belegen keine allgemeine Abkehr von Public Clouds: Everpure beobachtet nach eigener Darstellung bislang keine größeren Rückverlagerungen von Workloads in unternehmenseigene Rechenzentren. [1]
// Inhalt · 7 Abschnitte
- Die Lücke liegt vor der Architekturentscheidung
- Die Kennzahlen messen unterschiedliche Dinge
- Souveränität umfasst mehr als den Serverstandort
- Eine belastbare Bestandsaufnahme verbindet Daten, Rechte und Zuständigkeiten
- KI-Agenten erweitern die Zahl möglicher Zugriffswege
- Risikobasiert planen, Versprechen von Ergebnissen trennen
- Kontrolle bedeutet nicht automatisch den Abschied von Public Clouds
- Quellen
Die Lücke liegt vor der Architekturentscheidung
Datensouveränität wird häufig mit der Wahl eines Cloud-Modells oder eines regionalen Rechenzentrums verbunden. Doch bevor Unternehmen entscheiden können, welche Daten sie wo verarbeiten lassen, müssen sie ihre Bestände und deren Nutzung kennen. Genau an dieser Voraussetzung hapert es laut einer von Everpure, einem Datenmanagementanbieter, gemeinsam mit Vanson Bourne erstellten Studie: 62 Prozent der befragten Unternehmen fehlt demnach der Überblick darüber, wo ihre Daten liegen, wer sie kontrolliert und verwaltet und wer darauf zugreifen kann. [1]
Die Befragung verweist zugleich auf einen Abstand zwischen dem Bewusstsein für Risiken und der Fähigkeit, darauf zu reagieren. Global 85 Prozent der befragten Führungskräfte würden der Studie zufolge Funktionen oder Leistungsmerkmale aufgeben, um mit einem lokalen oder souveränen Anbieter zusammenzuarbeiten. 88 Prozent befürchten, dass ein Versagen bei der Datensouveränität persönliche berufliche Konsequenzen haben könnte. Mehr als die Hälfte gibt laut dem Bericht außerdem an, nicht über die nötigen Kompetenzen und Kapazitäten zur Umsetzung entsprechender Initiativen zu verfügen. [1]
Die Kennzahlen messen unterschiedliche Dinge
Ein zweiter Bericht, der laut heise online von S&P Global Market Intelligence und 451 Research erstellt wurde, deutet ebenfalls auf Lücken beim Datenüberblick hin. Demnach wissen nur 34 Prozent der befragten Unternehmen, wo ihre Daten gespeichert sind. 39 Prozent geben an, sämtliche Daten klassifizieren zu können. Die Zahlen ergänzen die Everpure-Erhebung, sind aber nicht unmittelbar mit ihr gleichzusetzen: Die Berichte fragen unterschiedliche Aspekte ab, und die verfügbaren Angaben weisen keine identische Messgrundlage aus. [1]
Die Werte sind zudem Umfrageergebnisse und keine technische Bestandsaufnahme der IT-Landschaften. In der Berichterstattung werden keine Stichprobengrößen oder Erhebungszeiträume genannt; daraus lässt sich deshalb nicht ableiten, wie repräsentativ die Angaben für einzelne Branchen oder Unternehmensgrößen sind. Die Zahlen sind als Hinweis auf wahrgenommene Defizite zu lesen, nicht als vollständiges Inventar sämtlicher Unternehmensdaten. [1]
Für die Praxis ist die Unterscheidung zwischen fehlendem Wissen über einzelne Speicherorte und fehlender Gesamtsicht wichtig. Eine Organisation kann den Standort bestimmter Systeme kennen und dennoch nicht zuverlässig nachvollziehen, welche Daten über mehrere Anwendungen verteilt sind, welche Schutzanforderungen gelten und welche Personen oder Dienste Zugriff besitzen. Das ist eine analytische Einordnung der in den Berichten getrennt abgefragten Aspekte, keine zusätzliche Messung. [1]
Souveränität umfasst mehr als den Serverstandort
Ein Datenbestand ist nicht allein deshalb souverän kontrolliert, weil er in einer bestimmten Region gespeichert wird. Zu prüfen sind auch der Betreiber des Dienstes, die rechtliche Zuständigkeit, interne und externe Zugriffsrechte sowie die Wege, über die Daten verarbeitet oder weitergegeben werden. Skribble beschreibt in seinem Anbieterbeitrag den Speicherort ebenfalls nur als einen von mehreren Prüfpunkten und verweist zusätzlich auf Anbieterstruktur, Rechtsraum, Zugriffe und Transparenz der Datenflüsse. Da Skribble selbst Anbieter ist, ist dies als Anbieterperspektive zu verstehen, nicht als unabhängige Prüfung eines konkreten Dienstes. [2]
Auch die technische Architektur beeinflusst, wie viel Wahlfreiheit ein Unternehmen tatsächlich hat. QUNIS-Gründer Steffen Vierkorn argumentiert, dass proprietäre Services und eng gekoppelte Daten- und Verarbeitungsstrukturen einen Anbieterwechsel erschweren können. Mehrere Cloud-Anbieter zu nutzen, bedeute nicht automatisch, dass Daten und Anwendungen problemlos zwischen ihnen übertragbar seien. Das ist eine Experteneinschätzung eines Beratungsunternehmens; sie unterstreicht aber einen praktischen Prüfpunkt: Entscheidend ist nicht nur, ob ein alternativer Anbieter existiert, sondern ob Daten, Logik und Abläufe mit vertretbarem Aufwand dorthin bewegt werden können. [4]
IBM unterscheidet in seiner Erläuterung Datensouveränität, Datenresidenz und Datenlokalisierung und weist darauf hin, dass Daten bei Speicherung oder Verarbeitung über Landesgrenzen hinweg mehreren Rechtsanforderungen unterliegen können. Für Unternehmen folgt daraus, dass ein Standortverzeichnis allein keine vollständige Aussage über die rechtliche und operative Kontrolle ermöglicht. Welche Pflichten im Einzelfall gelten, hängt von den betroffenen Daten, den beteiligten Regionen und den konkreten Verarbeitungswegen ab. [5]
Eine belastbare Bestandsaufnahme verbindet Daten, Rechte und Zuständigkeiten
Die Zahlen legen nahe, dass Unternehmen Datensouveränität nicht erst bei der Auswahl einer Cloud-Plattform behandeln sollten. Zunächst braucht es eine belastbare Übersicht darüber, welche Daten in welchen Systemen liegen, wofür sie verwendet werden und welche Personen, Anwendungen oder Dienstleister sie erreichen können. Everpure empfiehlt in dem Zusammenhang einen risikobasierten Ansatz, der Schutzmaßnahmen nach Sensibilität, geschäftlicher Bedeutung und rechtlichen Risiken abstufen soll. [1]
Für die Organisation heißt das: Ein Inventar sollte nicht bei Systemnamen und Rechenzentrumsstandorten enden. Es muss mit Klassifizierung, Zugriffsrechten und Verantwortlichkeiten verknüpft sein, damit technische und geschäftliche Entscheidungen auf denselben Informationen beruhen. QUNIS nennt Data Owner, Data Stewards und Governance-Gremien als mögliche Rollen, um Verantwortung für Zugang und Nutzung zu verankern. Das ist eine Beratungsempfehlung, keine Aussage darüber, dass ein bestimmtes Rollenmodell für jedes Unternehmen zwingend oder ausreichend wäre. [4]
Eine solche Übersicht kann zugleich die Grundlage für differenzierte Architekturentscheidungen bilden: Informationen mit hohen Schutzanforderungen lassen sich anders behandeln als Daten, die für weniger sensible Anwendungen genutzt werden. Everpure nennt als Beispiel, besonders kritische Informationen von externen KI-Diensten auszuschließen, während weniger kritische Bestände weiterhin in Public-Cloud-Umgebungen verarbeitet werden könnten. Der Anbieteransatz schafft jedoch zunächst eine Entscheidungsgrundlage; er beseitigt für sich genommen weder mögliche Zugriffsrechte Dritter noch geopolitische oder vertragliche Abhängigkeiten. [1]
KI-Agenten erweitern die Zahl möglicher Zugriffswege
Mit generativer KI und autonomen Agenten wird die Kontrolle über Daten komplexer. Solche Systeme sollen Informationen aus verschiedenen Unternehmenssystemen zusammenführen, auswerten und teilweise eigenständig weiterverarbeiten. Damit können zusätzliche Wege entstehen, über die sensible Informationen genutzt werden. Der heise-Bericht warnt insbesondere davor, bestehende Berechtigungen unverändert auf neue Agenten zu übertragen, wenn diese damit Zugriff auf Daten erhielten, die bislang nur bestimmten Beschäftigten oder Anwendungen zugänglich waren. [1]
Für die Architekturplanung folgt daraus, dass Berechtigungen nicht nur nach System oder Nutzergruppe, sondern auch nach Aufgabe und Verarbeitungsschritt betrachtet werden müssen. Unternehmen sollten festlegen, welche Daten ein Agent für einen konkreten Zweck verwenden darf und ob Informationen an einen externen KI-Dienst übermittelt werden können. Das ist eine aus den beschriebenen Risiken abgeleitete Analyse: Der Bericht nennt diese Kontrollfragen, liefert aber keine empirischen Angaben dazu, wie verbreitet unkontrollierte Agentenzugriffe bereits sind. [1]
Die Fragestellung reicht damit über die Wahl eines Modells hinaus. Relevant ist die gesamte Verarbeitungskette: Woher stammen die Daten, über welche Systeme gelangen sie zum Modell, wer kann auf Eingaben und Ergebnisse zugreifen und wohin werden sie weitergegeben? Je mehr Anwendungen und Dienste beteiligt sind, desto wichtiger wird eine konsistente Dokumentation der Datenflüsse und Berechtigungen. Diese Konsequenz ergibt sich aus den im Bericht beschriebenen zusätzlichen Zugriffspfaden, nicht aus einer quantifizierten Messung. [1]
Risikobasiert planen, Versprechen von Ergebnissen trennen
Ein pauschales Souveränitätsziel für sämtliche Daten kann an den unterschiedlichen Schutz- und Geschäftsanforderungen vorbeigehen. Everpure schlägt deshalb vor, Anforderungen nach Datenempfindlichkeit, geschäftlicher Relevanz und rechtlichem Risiko abzustufen. Für Unternehmen kann eine solche Differenzierung helfen, Architekturentscheidungen zu begründen, statt allein auf eine allgemeine Forderung nach lokaler Speicherung oder auf einen Anbieterwechsel zu setzen. Die konkrete Gewichtung bleibt jedoch eine organisationsspezifische Entscheidung. [1]
Der Anbieter verbindet sein Datenmanagementangebot auch mit wirtschaftlichen Versprechen für KI-Anwendungen. Everpure zufolge soll der Key-Value Accelerator PureKVA Kontextinformationen für Sprachmodelle effizienter bereitstellen und die Zeit bis zum ersten ausgegebenen Token um bis zu den Faktor 20 verkürzen. Für eine Referenzarchitektur zur Reduzierung des Tokenverbrauchs stellte Enterprise Architect Markus Grau eine mögliche Verringerung um 50 bis 75 Prozent in Aussicht. Im Bericht wird diese Spanne ausdrücklich als interne Erwartung und nicht als bereits erzielter Messwert eingeordnet. Die Angaben sind daher Anbieterbehauptungen und kein unabhängiger Nachweis der Wirksamkeit. [1]
Für Beschaffungs- und Architekturteams ist diese Trennung relevant: Eine technische Funktion, eine angekündigte Leistungsverbesserung und ein nachgewiesenes Ergebnis sind unterschiedliche Evidenzstufen. Wer Anbieterangebote bewertet, sollte deshalb nicht nur zugesagte Funktionen vergleichen, sondern auch prüfen, unter welchen Bedingungen Leistungswerte gemessen wurden und ob sie für die eigene Daten- und Modellumgebung gelten. Diese Einordnung folgt aus der im Bericht ausdrücklich kenntlich gemachten internen Erwartung; konkrete unabhängige Vergleichstests liegen in den bereitgestellten Quellen nicht vor. [1]
Kontrolle bedeutet nicht automatisch den Abschied von Public Clouds
Die in der Studie geäußerte Bereitschaft, für Souveränität Funktionen aufzugeben, bedeutet nicht zwangsläufig, dass Unternehmen ihre Cloud-Strategien grundsätzlich beenden. Everpure beobachtet nach Aussage von Markus Grau bislang keine größeren Rückverlagerungen von Cloud-Workloads in eigene Rechenzentren. Das ist eine Einschätzung des Unternehmens und keine branchenweite Messung; sie steht aber nicht im Widerspruch zu den Befragungswerten, denn eine erklärte Bereitschaft zu Einschränkungen ist nicht dasselbe wie eine tatsächlich umgesetzte Migration. [1]
Der Bericht beschreibt vielmehr ein Spannungsverhältnis: Unternehmen wollen mehr Kontrolle, während die Vorteile globaler Plattformen für sie relevant bleiben. Daraus lässt sich als Analyse ableiten, dass Souveränitätsentscheidungen häufig innerhalb bestehender Cloud-Strategien getroffen werden dürften – etwa durch differenzierte Datenklassen, gezielte Zugriffsbeschränkungen oder eine bewusstere Verteilung von Workloads. Die Quellen belegen jedoch weder, welche dieser Maßnahmen sich in der Breite durchsetzen, noch wie viele Unternehmen sie bereits umgesetzt haben. [1]
Für Verantwortliche in IT, Recht und Datenmanagement liegt die unmittelbare Aufgabe daher zunächst darin, Transparenz herzustellen und Zuständigkeiten festzulegen. Erst wenn Speicherorte, Datenflüsse, Zugriffe und Abhängigkeiten gemeinsam betrachtet werden, lassen sich Risiken priorisieren und Anbieter- oder Architekturentscheidungen begründet treffen. Die Quellen zeigen, dass genau dieser Überblick in vielen befragten Unternehmen fehlt; sie belegen nicht, dass ein einzelnes Werkzeug oder ein regionaler Speicherort diese Lücke allein schließen kann. [1][4]
Quellen
- [1] Datensouveränität scheitert oft schon am fehlenden Überblick | heise online — https://www.heise.de/news/Datensouveraenitaet-scheitert-oft-schon-am-fehlenden-Ueberblick-11496066.html (abgerufen am 2026-10-22)
- [2] Datensouveränität: Bedeutung, Risiken und wie Sie die Kontrolle über Ihre Daten behalten — https://www.skribble.com/de-de/blog/datensouveraenitaet (abgerufen am 2026-10-22)
- [4] Datensouveränität entsteht nicht zufällig, sie muss bewusst gestaltet und gesteuert werden — https://qunis.de/wissen/expertenmeinung/datensouver%C3%A4nit%C3%A4t-entscheidet-%C3%BCber-ihre-strategische-handlungsf%C3%A4higkeit (abgerufen am 2026-10-22)
- [5] Was ist Datensouveränität? | IBM — https://www.ibm.com/de-de/think/topics/data-sovereignty (abgerufen am 2026-10-22)
//Nächster Artikel
Modelle & Forschung
IBM bündelt vier Granite-Modelle zu einem Zeitreihen-EnsembleIBM kombiniert vier Granite-Zeitreihenmodelle für Prognosen ohne Nachtraining. Benchmarkdaten zeigen kleine Genauigkeitsvorteile und klare Grenzen.
// Artikel teilen
// Dranbleiben
Mindverse News folgen
Neue Meldungen erhalten Sie über unseren RSS-Feed oder auf LinkedIn.
Passend dazu in Mindverse Studio
Recherchieren Sie KI-News wie diese selbst — mit Mindverse Studio.
7 Tage kostenlos testen — ohne Kreditkarte, mit 200 Credits. Für Fragen zur Umsetzung buchen Sie eine persönliche Demo.