Wissen, wo Ihre Daten liegen (und was zu tun ist, wenn der Anbieter ausfällt): Digitale Souveränität für den Berliner Mittelstand

Teil 2

FachartikelOpen SourceIT-Sicherheit

Wissen, wo Ihre Daten liegen (und was zu tun ist, wenn der Anbieter ausfällt): Digitale Souveränität für den Berliner Mittelstand

Kevin Hofius | 03.08.2026

Lesedauer: 7 min

Artikel teilen

Wissen, wo Ihre Daten liegen (und was zu tun ist, wenn der Anbieter ausfällt): Digitale Souveränität für den Berliner Mittelstand

Eine Kundin bittet Ihre Steuerberatungskanzlei um Auskunft, wo genau ihre Daten verarbeitet werden. Ein Zulieferer fragt Ihr Planungsbüro, ob die genutzte Cloud-Software DSGVO-konform ist. Sie erhalten eine E-Mail Ihres US-amerikanischen CRM-Anbieters: Das Preismodell wird zum Quartalsende umgestellt, die Kosten steigen um 30 Prozent. Sie könnten wechseln. Theoretisch. Praktisch wissen Sie nicht einmal, ob und wie Sie Ihre Daten dort überhaupt wieder herausbekommen.

Zwei Fragen, ein Problem

Im ersten Teil dieser Reihe haben wir gezeigt, dass digitale Souveränität für den Berliner Mittelstand kein abstraktes Konzept ist, sondern sich in sehr konkreten Situationen zeigt: einem Anbieter, der den Support einstellt, einer Preiserhöhung, der keine Alternative entgegensteht. Genau das bestätigen aktuelle Zahlen des Bitkom Cloud Reports 2026: 85 Prozent der deutschen Unternehmen halten Deutschland mittlerweile für zu abhängig von US-Cloud-Anbietern. 2025 waren es noch 78 Prozent. 91 Prozent würden lieber einen deutschen oder europäischen Cloud-Anbieter nutzen. Tatsächlich tut das nur gut die Hälfte. Der Rest bleibt bei US-Diensten, nicht aus Überzeugung, sondern weil ein Wechsel zu aufwendig, zu teuer oder schlicht zu unklar erscheint.

Diese Lücke zwischen Wunsch und Wirklichkeit ist der Ausgangspunkt für diesen zweiten Beitrag. Wir vertiefen zwei Aspekte, die im ersten Artikel nur angerissen wurden, und zeigen, wie sie zusammenhängen:

Erstens die Frage der Datensouveränität. Wo liegen meine Daten wirklich, und wer kann darauf zugreifen?

Zweitens die praktische Konsequenz daraus. Wie bereiten Sie sich vor, damit ein Anbieterausfall oder eine plötzliche Vertragsänderung Ihren Betrieb nicht kalt erwischt?

Wer nicht weiß, wo seine Daten liegen, kann im Ernstfall auch nicht schnell reagieren. Beide Fragen gehören deshalb zusammen.

Wessen Daten sind das eigentlich?

Kundendaten, Gehaltsabrechnungen, Angebotskalkulationen, Gesundheitsdaten von Patientinnen und Patienten: Die meisten kleinen und mittleren Unternehmen verarbeiten täglich personenbezogene Daten, ohne sich intensiv damit zu beschäftigen, wo diese gespeichert sind und wer theoretisch Zugriff hat.

Die Datenschutz-Grundverordnung (DSGVO) schreibt vor, dass personenbezogene Daten von EU-Bürgerinnen und -Bürgern bestimmten Schutzstandards unterliegen, unabhängig davon, wo sie in einer Cloud gespeichert sind. Das Problem: Viele gängige Cloud-Dienste werden von US-amerikanischen Unternehmen betrieben, die dem US Cloud Act unterliegen. Dieser verpflichtet amerikanische Unternehmen, US-Behörden unter bestimmten Umständen Zugriff auf Daten zu gewähren, unabhängig davon, ob die Server in Frankfurt oder Dublin stehen. Ein Angemessenheitsbeschluss zwischen der EU und den USA (das EU-US Data Privacy Framework) besteht zwar seit 2023, ein echtes Rechtshilfeabkommen, das diesen Konflikt auflöst, gibt es aber weiterhin nicht. Cloud Act und DSGVO stehen sich also nach wie vor ungelöst gegenüber.

Das bedeutet nicht automatisch, dass Ihre Daten täglich abgerufen werden. Es bedeutet aber, dass Sie keine vollständige Kontrolle darüber haben und dass im Zweifelsfall nicht europäisches, sondern amerikanisches Recht greifen kann.

Verschärft wird die Lage durch neue Regulierung: Das NIS2-Umsetzungsgesetz stellt inzwischen auch für kleinere Unternehmen in bestimmten Branchen konkrete Anforderungen an Nachvollziehbarkeit und Meldefähigkeit bei Sicherheitsvorfällen. Wer nicht weiß, welche Daten wo liegen, kann diese Anforderungen im Ernstfall kaum erfüllen.

Datensouveränität beginnt deshalb mit einer simplen Frage: Wo liegen meine Daten, und wer kann unter welchen Umständen darauf zugreifen?

Der Preis der Bequemlichkeit: Was Vendor Lock-in aktuell bedeutet

Im ersten Artikel haben wir Vendor Lock-in als schleichenden Prozess beschrieben: Man startet mit einer günstigen Lösung, baut Prozesse und Integrationen darauf auf, und irgendwann ist ein Wechsel faktisch nicht mehr möglich. Aktuelle Zahlen zeigen, wie verbreitet dieses Problem inzwischen ist. Laut Bitkom nennen 59 Prozent der befragten Unternehmen Lock-in-Effekte als größtes Hindernis für einen Anbieterwechsel. Gleichzeitig verteuerten sich die Cloud-Betriebskosten im vergangenen Jahr bei 64 Prozent der Unternehmen. Für 2026 erwartet mehr als die Hälfte weiter steigende Ausgaben.

Schon für ein Unternehmen mit 10-20 Mitarbeitenden können solche Preisanpassungen schnell mehrere tausend Euro im Jahr ausmachen. Und ein Anbieterwechsel ist oft schwer. Darin zeigt sich ein Abhängigkeitsproblem, auch wenn aktuell alles reibungslos läuft.

Eine Entwicklung gibt hier immerhin Anlass zu vorsichtigem Optimismus: Der EU Data Act verpflichtet Cloud-Anbieter zunehmend dazu, den Wechsel zu erleichtern. Seit September 2025 dürfen Anbieter beim Anbieterwechsel nur noch die direkten Kosten des Wechselprozesses selbst in Rechnung stellen, sogenannte Switching Charges. Ab Januar 2027 fallen diese Wechselgebühren vollständig weg. Das ändert nichts an der technischen und organisatorischen Abhängigkeit, macht den Wechsel aber zumindest finanziell planbarer.

Vom Risiko zur Vorsorge: Der digitale Notfallkoffer

Die ehrliche Erkenntnis aus beiden Themen ist: Vollständige digitale Souveränität ist für die meisten Berliner KMU kein realistisches Ziel und auch nicht zwingend nötig. Realistisch und nötig ist dagegen, im Ernstfall handlungsfähig zu bleiben. Genau dafür braucht es keinen kompletten Strategiewechsel, sondern einen digitalen Notfallkoffer: eine Sammlung von Informationen und Vorkehrungen, die Sie im Alltag kaum bemerken, die im Ernstfall aber über Wochen an Verzögerung entscheiden.

Fünf Bausteine für den Notfallkoffer:

1. Datenexport kennen, bevor Sie ihn brauchen

Prüfen Sie für jeden zentralen Dienst (Cloud-Speicher, CRM, Buchhaltung, E-Mail), ob und wie sich Ihre Daten vollständig exportieren lassen. Testen Sie den Export mindestens einmal im Jahr aktiv, nicht nur theoretisch. Ein Anbieter, der Insolvenz anmeldet, reagiert nicht mehr auf Supportanfragen.

2. Verträge auf Exit-Klauseln prüfen

Wie lange dauert eine Kündigungsfrist? Welche Kosten fallen bei vorzeitiger Beendigung an? Wird Ihnen der Datenexport vertraglich zugesichert oder nur mündlich versprochen? Seit dem EU Data Act haben Sie hier bessere Karten als noch vor zwei Jahren, aber nur, wenn Sie die eigenen Vertragsunterlagen tatsächlich kennen.

3. Ein Backup außerhalb der Plattform

Kritische Daten, insbesondere Kundendaten und Buchhaltungsunterlagen, sollten nicht ausschließlich bei einem einzigen Anbieter liegen. Ein regelmäßiges, unabhängiges Backup, etwa auf einem separaten Speicher entkoppelt Ihre Handlungsfähigkeit vom Wohlergehen eines einzelnen Unternehmens.

4. Verantwortlichkeiten klären

Wer im Betrieb weiß, welche Dienste geschäftskritisch sind? Wer würde im Ernstfall den Wechsel koordinieren? Gerade in kleinen Teams ist dieses Wissen oft nur einer Person bekannt. Eine einfache, aktuelle Liste aller zentralen Dienste mit Verantwortlichkeiten und Vertragsdaten reicht meist aus.

5. Alternativen bereits kennen, nicht erst suchen

Sie müssen nicht heute wechseln. Es hilft aber, bereits zu wissen, welche ein oder zwei Alternativanbieter für Ihre wichtigsten Systeme infrage kämen. Die Mittelstand-Digital Zentren des Bundes bieten hierzu kostenfreie Übersichten europäischer Alternativen, ebenso die Digitalagentur Berlin im persönlichen Gespräch.

Infokasten: KMU-Checkliste Datensouveränität und Notfallvorsorge

Bereich	Maßnahme	Intervall
Datenstandort	Für zentrale Dienste klären, wo Daten liegen und welchem Recht sie unterliegen	einmalig + bei neuen Diensten
Datenexport	Export aus allen kritischen Systemen aktiv testen	1x jährlich
Verträge	Kündigungsfristen, Exit-Kosten und Datenrückgabe prüfen	bei Vertragsabschluss/jährlich
Backup	Unabhängiges Backup kritischer Daten außerhalb der Hauptplattform	fortlaufend
Verantwortlichkeiten	Liste kritischer Dienste mit Zuständigkeiten führen	fortlaufend, 1x jährlich prüfen
Alternativen	Ein bis zwei Ausweichanbieter je kritischem System kennen	1x jährlich

Sofortmaßnahmen bei akutem Anbieterausfall

Wenn ein Anbieter plötzlich Insolvenz anmeldet, den Support einstellt oder eine Preiserhöhung ankündigt, die Sie nicht tragen können oder wollen:

1. Ruhe bewahren und Datenexport sofort starten, auch wenn Sie den Anbieter noch nicht verlassen wollen. Ein Export kostet nichts und sichert Ihre Handlungsfähigkeit.

2. Vertrag prüfen: Welche Fristen, Kosten und Zusagen zur Datenrückgabe bestehen tatsächlich?

3. Betroffene Mitarbeitende informieren und, falls nötig, vorübergehende Arbeitsabläufe festlegen.

4. Bei Verdacht auf Datenschutzverstöße oder unklarer Zugriffslage: Die Cyberhotline der Digitalagentur Berlin kontaktieren, um den Vorfall einzuordnen und nächste Schritte zu besprechen.

5. Alternativanbieter aus Ihrer Vorbereitung kontaktieren und Migrationszeitraum realistisch einplanen. Überstürzte Wechsel erzeugen meist neue Fehler.

Fazit: Souveränität heißt Handlungsfähigkeit, nicht Perfektion

Digitale Souveränität wird oft als Alles-oder-nichts-Frage missverstanden: entweder vollständige Kontrolle über die eigene IT oder vollständige Abhängigkeit. Für den Berliner Mittelstand ist diese Sichtweise wenig hilfreich. Realistischer ist ein abgestuftes Verständnis: Wissen, wo die eigenen Daten liegen. Wissen, was im Ernstfall zu tun ist. Und die wichtigsten Weichen dafür stellen, bevor der Ernstfall eintritt.

Die gute Nachricht: Keiner der fünf Bausteine des digitalen Notfallkoffers erfordert eine große Investition oder tiefes technisches Wissen. Es braucht vor allem eines: den Anstoss, sich einmal bewusst mit diesen Fragen zu beschäftigen, bevor eine E-Mail vom Anbieter Sie dazu zwingt.

Die Digitalagentur Berlin unterstützt Sie dabei in einem kostenfreien Orientierungsgespräch zur digitalen Souveränität. Gemeinsam werfen wir einen Blick auf Ihre zentralen digitalen Abhängigkeiten, ordnen die damit verbundenen Risiken ein und erarbeiten mit Ihnen konkrete, umsetzbare nächste Schritte. Ganz ohne Empfehlung bestimmter Anbieter, wie es sich für eine anbieterneutrale Landesinitiative gehört.