Wer hat die Kontrolle über Ihre IT?

Der Serverstandort allein macht Patientendaten nicht souverän. Warum Kontrollstruktur, Schnittstellen und Exitstrategie zählen.

Überblick:

• Digitale Souveränität heißt Kontrolle und Wahlfreiheit, nicht nur Datenlokalisierung: Entscheidend ist, welchem Rechtsraum der Anbieter unterliegt.
• US-Gesetze wie der CLOUD Act können auch Daten in Deutschland erfassen; dieser Normenkonflikt lässt sich vertraglich nicht vollständig auflösen.
• Risikobasiert statt alles oder nichts: Kritische Kernsysteme unter europäischer Kontrolle betreiben, weniger kritische IT-Anwendungen flexibel einsetzen und Exitstrategien jederzeit ermöglichen.

Stellen Sie sich vor, die Patienten- oder Versichertendaten Ihres Hauses liegen in einem Rechenzentrum in Frankfurt. DSGVO-konform, ISO-zertifiziert, physisch gesichert. Und trotzdem sind sie nicht ohne Weiteres souverän. Der Grund ist ein Denkfehler, der sich hartnäckig hält: „Unsere Daten liegen in Deutschland, also gilt deutsches Recht.“ Doch diese Annahme greift zu kurz. Denn maßgeblich ist nicht allein, wo die Server stehen, sondern welchem Rechtsraum der Anbieter unterliegt, der sie betreibt, und welche Kontrolle Sie tatsächlich über Ihre Daten haben.

Nach Patriot Act, CLOUD Act und FISA 702 können Softwareunternehmen aus den USA verpflichtet werden, Daten auf behördliche Anordnung herauszugeben beziehungsweise Zugriff darauf zu gewähren, unabhängig davon, wo die Server physisch stehen. Die Hürden dafür sind hoch, und ein solcher Zugriff ist stets eine Einzelfallfrage. Doch ein Restrisiko bleibt, denn betroffen sind nicht nur US-Mutterkonzerne, sondern indirekt auch deren europäische Töchter. Für Entscheider:innen im Gesundheitswesen verschiebt das die Fragestellung: Anstatt „Wo liegen die Daten?“ sollten sie sich fragen: „Wer hat rechtlich und operativ die Kontrolle über meine IT?“

Kein Wunder, dass „souverän“ 2026 zum meistgenutzten und zugleich am wenigsten definierten Wort der Gesundheits-IT geworden ist. Fast jeder Anbieter trägt das Label, kaum jemand meint dasselbe. In einem offenen Brief an die EU-Kommission warnen 25 europäische Cloud-CEOs sogar vor „Souveränitäts-Washing“: Anbieter werben mit EU-Rechenzentren und Zertifikaten, ohne echte Kontrolle abzugeben.

Souveränität und Resilienz sind verwandt, aber nicht identisch

Resilienz und Souveränität gleichzusetzen, ist naheliegend, berücksichtigt aber nicht alle entscheidenden Aspekte. Abhängigkeit, also das Fehlen von Souveränität, ist eine Form der Verwundbarkeit, das hat der CrowdStrike-Ausfall 2024 mit weltweit lahmgelegten Unternehmen und Milliardenschäden gezeigt. Insofern stärkt Kontrolle die Resilienz.

Zugleich sind die beiden Begriffe nicht deckungsgleich und können sich sogar widersprechen. Maximale Eigenkontrolle kann weniger resilient sein als ein professionell betriebener externer Cloud-Dienst. Ein Krankenhaus oder eine Krankenkasse, die die gesamte IT selbst betreibt, trägt auch das volle Risiko für Ausfallsicherheit, Sicherheitsupdates und Fachkräftemangel. Dies dauerhaft auf höchstem Niveau zu leisten, ist für viele Häuser nicht realistisch. Cloud-Hyperscaler investieren in Sicherheit, Angriffserkennung und Redundanz mehr, als dies eine einzelne IT-Organisation je könnte. Souveränität steht damit in einem Zielkonflikt mit Sicherheit, Innovationstempo und Kosten. Wer diesen Konflikt ausblendet, trifft schlechte Entscheidungen.

Warum digitale Souveränität geschichtet ist, nicht binär

Souveränität ist nicht allein am Rechenzentrumsstandort festzumachen. Tatsächlich umfasst sie eine Reihe von Schichten, und das gesamte Gebäude ist nur so stabil wie seine schwächste Ebene:

• Organisatorische Ebene: Welchem Recht unterliegt die betreibende Gesellschaft? Ein EU-Standort schützt nicht vor Drittstaatengesetzen, wenn die Muttergesellschaft in den USA sitzt und dortige Gesetze umsetzen muss.
• Operative Prozessebene: Wer darf die Umgebung unter welchen Bedingungen betreiben, warten und darauf zugreifen? Betrieb, Störungsbearbeitung und Eskalation sollten nicht nach dem „Follow the sun“-Prinzip global aus Drittstaaten erfolgen, sondern in vertrauenswürdigen Rechtsräumen verbleiben und damit ausschließlich bei sicherheitsüberprüftem, national zugelassenem Personal.
• Software- und Datenebene: Selbst eine in Deutschland betriebene Infrastruktur ist nur teilweise souverän, wenn auf ihr weiterhin proprietäre Software aus einem Drittstaat läuft. Auch wenn Daten in abgeschotteten und nicht interoperablen Anwendungen liegen, wie häufig in der Klinik-IT, ist man stark abhängig vom Softwarehersteller und hat keine tatsächliche und wirksame Kontrolle.
• Physische Ebene, das heißt Infrastruktur und deren Lieferkette: Rund 90 Prozent der digitalen Endgeräte und etwa 69 Prozent der Bauteile stammen aus dem Ausland. Wer auf der Anwendungsebene US-Technologie meidet, aber bei der Hardware von chinesischen Herstellern abhängt, hat das Problem nur verschoben. Auch das Thema IT-Sicherheit spielt hier eine Rolle, zum Beispiel im Bereich der Verschlüsselung. Kundenseitig verwaltete Schlüssel sind oft der wirksamste Schutz. Souveränität entsteht erst, wenn alle kritischen Schichten zusammen betrachtet werden.

Die neue Baustelle: Daten und KI

Mit dem Vormarsch klinischer Datenplattformen und KI verschiebt sich die Souveränitätsfrage erneut, weg von der Cloud und Infrastruktur, hin zur Software-, Daten- und Modellebene. KI ist nur so gut wie ihre Datenbasis. Wer keine Kontrolle über Qualität, Herkunft und Struktur der Daten hat, kann KI weder verantwortungsvoll noch wirtschaftlich einsetzen. Datensouveränität wird damit zur Voraussetzung für sinnvolle KI.

Drei Fragen entscheiden sich in der Architektur, lange bevor die erste Anwendung produktiv geht:

1. Wer betreibt die klinische Datenplattform?
2. Mit welchen Daten wird ein Modell trainiert, und verlassen diese den kontrollierten Raum?
3. Wer kontrolliert am Ende das Modell?

Wie dringlich das ist, zeigt der Leopoldina-Policy-Brief zu agentischer KI vom Juni 2026: Die Nationale Akademie warnt, dass gerade der Gesundheitsmarkt von US-Unternehmen dominiert wird, und macht die Stärkung technologischer Souveränität über domänenspezifische Foundation Models und eine unabhängige digitale Infrastruktur zu ihrer ersten Handlungsempfehlung.