Meine These ist, der Ruf nach unabhängiger IT-Infrastruktur (#DigitaleSouveränität) ist eine Folge aus 9/11. Ich habe die Berichte und Studien der letzten Jahre leider nicht systematisch gesammelt, daher kann das nur eine These bzw. Meinung sein. Ich will sie hier aber gerne festhalten.

Nach 9/11 etablierte sich in der amerikanischen Politik ein Denken, das Misstrauen gegenüber anderen in den Mittelpunkt stellte. Die USA bauten politisch und ökonomisch ihre Haltung auf Überlegenheit zunehmend aus.

Die Veröffentlichungen von WikiLeaks machten sichtbar, wie weit das Misstrauen reichte. Edward Snowden legte 2013 offen, dass die USA auch ihre Verbündeten abhörten, bis in die Handys von Regierungschefs.

Mit Donald Trump zog 2017 ein Präsident ins Weiße Haus, der Bündnisse als Last bezeichnete. Er stellte die NATO infrage und begann Handelskonflikte mit Europa. Seine zweite Amtszeit ab 2025 setzt diese Linie fort. Die USA bzw. die aktuelle US-Regierung beanspruchen inzwischen offen die Führung der westlichen Welt und erwarten, dass sich die Verbündeten unterordnen.

Europa hat auf diese Entwicklung reagiert, indem es neue Gesetze schuf. Die Datenschutz-Grundverordnung (DSGVO) trat 2018 in Kraft, der Digital Services Act (DSA) und der Digital Markets Act (DMA) folgten. Diese Gesetze begrenzen die Macht großer US-Plattformen und schützen Europäische Werte. Sie sind Ergebnis der Haltung, sich nicht dem Kurs der USA zu unterwerfen.

Der Wunsch nach digitaler Souveränität geht auf den gleichen Grund zurück. Das Bemühen zielt auf eigene Infrastruktur, eigene Cloud-Dienste und eigene Halbleiterfertigung. Was klingt wie eine Frage für Nerds, ist inzwischen viel mehr eine Frage nach der politischen Haltung.

Solange sich die Fronten verhärten, werden die Staaten nicht auf Augenhöhe miteinander kommunizieren. Wer ausschließlich eigene Interessen verfolgt und sich selbst in den Mittelpunkt stellt, schafft die Grundlage für Wirtschaftskriege und militärische Konflikte. Es wird erst besser, wenn die Staaten wieder auf Augenhöhe miteinander reden, handeln, kollaborieren und insgesamt gemeinsame Interessen verfolgen.

Es ist kritisiert worden, dass die Delos Cloud eine Abhängigkeit zu Microsoft quasi zementiert. Wieso ist die Delos Cloud dennoch eine gute Idee?

Delos Cloud ist eine gute Idee, weil die Delos Cloud für Deutschland eine Technologie souverän anbietet, die Deutschland sonst nicht souverän hätte. Die Abhängigkeit von Microsoft sehe ich entspannt. Wir haben Verträge.

Die Delos Cloud hat einen Vertrag mit Microsoft geschlossen, um deren Technologie als deutsche Firma, gehostet in deutschen Rechenzentren anzubieten. Aber was ist ein Vertrag wert, wenn die US-Regierung wie bei Anthropic vor Kurzem die Anweisung gibt, dass eine Technologie nicht mehr von Nicht-US-Kunden genutzt werden darf?

Auf internationaler Geschäftsebene vertraue ich ehrlich gesagt auf geschlossene Verträge. So wie sich die SAP an Verträge hält, hält sich Microsoft an Verträge.

Microsoft und die Delos beziehungsweise SAP, wir sind so vertraglich verbunden, dass wir die Leistungen langfristig erbringen werden. Die Delos Cloud wird eine Marktgröße sein, die kein Partner aufgeben wollen wird.

Delos-Cloud-CEO Nikolaus Hagl ignoriert, dass Verträge wertlos sind, wenn sie der heimischen Gesetzgebung widersprechen. Unter diesen Umständen ist das Unternehmen nicht vertrauenswürdig.

Und immer wieder stellt sich heraus, dass auch Riesen auf den Schultern von Zwergen stehen. Wer sich die „Software Bill of Materials“, die Abhängigkeiten einiger bekannter Anbieter anschaut, wird erstaunt sein, wie oft Bestandteile integriert sind, die eher der Kategorie Hobbyentwickler zuzuordnen sind.

Oder von Entwicklern, die weit jenseits des eigenen Rechtskreises agieren.

Das Streben nach Souveränität lässt sich ähnlich betrachten wie das Streben nach Sicherheit. So wie Software immer Sicherheitslücken haben wird, wird es auch immer Abhängigkeiten geben. Entscheidend ist, wie man handelt, wenn solche Lücken oder kritische Abhängigkeiten bekannt werden. Bislang akzeptieren wir sie oder lassen uns von Versprechen beruhigen.

Denn die Zukunft der KI entscheidet sich nicht nur daran, wer das größte Modell baut. Sie entscheidet darüber, wem Unternehmen, Behörden und Menschen ihre sensibelsten Informationen anvertrauen. DeepL hat lange gezeigt, dass Europa bei KI nicht nur regulieren, sondern auch liefern kann. Jetzt muss DeepL zeigen, dass europäisches Vertrauen nicht zur austauschbaren Cloud-Option wird. Sonst bleibt am Ende nur ein bitterer Satz: Wir wollten eine europäische Alternative bauen – und haben sie auf amerikanischer Infrastruktur skaliert.

Mit Software-Tools lassen sich KI-Modelle so modifizieren, dass deren Sicherheitsvorkehrungen keine Anwendung mehr finden (Abliteration). Dadurch lassen sich Informationen über die Ausbreitung von Chlorgas, tödliche Rizin-Dosierungen, Code zum Diebstahl von Kreditkartendaten und Geschichten über Kindesmissbrauch erzeugen.

Wie die Financial Times (FT) in Zusammenarbeit mit der Forschungsgruppe Alice herausfand, sind derartige Tools dazu in der Lage, die Sicherheitsvorkehrungen des Open-Source-KI-Modells Llama 3.3 in weniger als 10 Minuten und ohne spezielle Hardware zu entfernen. Das Modell reagierte daraufhin auch auf Eingabeaufforderungen, die das Original verweigert hatte.

Der Digitalminister versprach, dass bei allen neuen Beschaffungen Open Source Vorrang habe, wo immer es eine tragfähige Lösung gebe. Als Beispiel nannte er Open Desk, mit dem nun 30 Prozent der Arbeitsplätze im Ministerium ausgestattet seien.

Damit die Zendis diese Softwarealternative noch schneller ausbauen und ausrollen kann, soll sie künftig auch mehr Geld erhalten. „Wir müssen sie natürlich finanziell anders ausstatten, das ist ganz klar“, sagte Wildberger.

In diesem kurzen Textausschnitt steckt eine gewisse Ironie. Vorrangig Open Source, jedoch openDesk nur zu 30 Prozent.

Zum ZenDiS wurde hier bereits einiges geschrieben. Ursprünglich sollte sich die Organisation bis zum Jahreswechsel selbst finanzieren. Inzwischen ist vorgesehen, sie weiter öffentlich zu fördern. In einer von Juristen geprägten Politik sind Fachleute mit technischer Expertise zwingend notwendig. Diese sollten nicht gezwungen sein, sich wirtschaftlich selbst zu tragen.

Vom ZenDis sls erfolgreich vorangetriebenes Produkt ist vor allem openCode zu nennen. openDesk hingegen wird faktisch kaum weiterentwickelt. Aus dem Umfeld ist zu hören, dass sich auch StackIT schrittweise zurückzieht. Es entsteht der Eindruck, dass dem ZenDiS die technische Kompetenz fehlt, obwohl entsprechendes Know-how im Partnernetzwerk vorhanden ist.

Vollständige technologische oder digitale Souveränität lässt sich nach Einschätzung von Gartner derzeit kaum außerhalb der USA und Chinas erreichen. Ursachen dafür sind die Dominanz der großen Hyperscaler sowie anhaltende Abhängigkeiten bei Infrastruktur, Plattformdiensten und Lieferketten. Darauf wies Gartner-VP-Analyst Douglas Toombs auf der Konferenz „IT Infrastructure, Operations & Cloud Strategies“ in Sydney hin.

1. Strategische Souveränität: Der Cloud-Anbieter muss EU- oder deutschem Recht unterliegen. Deutsche oder EU-Behörden müssen eine effektive Kontrolle vornehmen können. Wenn sich ein amerikanischer, chinesischer oder sonstiger Nicht-EU-Akteur in einen Cloud-Anbieter einkauft oder ihn übernimmt, muss das Unternehmen drei Monate im Voraus seine Kunden davor warnen.
2. Rechtliche Souveränität: Einmal im Jahr muss der Cloud-Anbieter Nicht-EU-Gesetze identifizieren, die sich auf sein Geschäft auswirken, und eine Risikoanalyse vornehmen. Ein Beispiel wäre der US Cloud Act. Außerdem enthält der Abschnitt ein Kriterium für den Verteidigungsfall. Als souverän gelten Cloud-Anbieter, die Wissen, Fähigkeiten und Personal vorhalten, sodass der Staat die Cloud-Services im Verteidigungsfall selbst steuern kann.
3. Datensouveränität: Dieser Punkt ist sehr umfangreich. Hier spezifizieren Kriterien, ob und wie viel Kontrolle die Kunden über die Metadaten und Daten haben und wo diese gespeichert werden. Es wird verlangt, dass der Cloud-Anbieter ein externes Management für kryptografische Schlüssel zulässt. Dadurch würde gewährleistet, dass er Kundendaten nicht selbst entschlüsseln kann. Auch die Möglichkeit, die Nutzeridentitäten außerhalb der Cloud zu managen, gilt als Muss.
4. Betriebssouveränität: Auch dieser Punkt ist sehr umfangreich. Unter anderem finden sich hier die eingangs erwähnten Kriterien, dass die Rechenzentren 90 Tage lang ohne jegliche Verbindung zu Nicht-EU-Staaten laufen können müssen. „Wir müssen die Kabel zu den US-Backbones physisch rausziehen können und trotzdem muss ein Rechenzentrum in Europa betriebsfähig bleiben“, sagt BSI-Vize Caspers.
5. Lieferketten: Hier müssen souveräne Unternehmen ihre Abhängigkeiten in Software, Hardware und Diensten inventarisieren und am besten einen dokumentierten Prozess für den Problemfall vorhalten.
6. Technologische Souveränität: Hier verlangt das Bundesamt, dass es ein Backup des Quellcodes auf einem Speicher in der EU gibt. Der Code darf nicht älter sein als 24 Stunden und muss dokumentiert sein. Cloud-Anbieter, die in Deutschland tätig sein wollen, müssen für den Notfall eine Strategie vorhalten, wie sie ihre Dienste weiter liefern können. Zusätzlich können sie nachweisen, dass sie eigene Leute haben, die die Entwicklung und Wartung der Dienste übernehmen können, falls die Lieferung aus dem EU-Ausland abbricht.

Der Artikel ist auch über das oben genannte Zitat hinaus interessant. Den C3A-Katalog kann man hier einsehen.

Drei Aufgaben, die jetzt entscheiden

• Anwendung vor Symbolpolitik. Kein Fokus auf „wir bauen das nächste Modell“, sondern auf produktive Nutzung in Industrie, Mittelstand und (öffentliche) Verwaltung: Prozessintegration, Standards, Beschaffung, Skalierung. Gerade in der öffentlichen Verwaltung ist das Transformationspotenzial mit Blick auf Produktivität und Effizienz besonders groß.
• Regulatorische Klarheit für die Anwendungsebene. DSGVO und EU-Regeln so operationalisieren, dass Unternehmen wissen, was sie tun können, inklusive Muster-Governance, Datenklassifizierung und Audit-Standards.
• Breitenkompetenz als nationale Infrastruktur behandeln. KI-Kompetenz muss so selbstverständlich werden wie Office-Kenntnisse – in Ausbildung, Umschulung, Verwaltung, Betrieben: schnell, niedrigschwellig, wirksam.

Die Organisation schlägt vor, dass die EU-Mitgliedstaaten entweder selbst in den Aufbau souveräner Suchinfrastrukturen investieren oder bestehende europäische Suchmaschinen als Standard in der öffentlichen Verwaltung einführen. Aktuell werde bereits an souveränen Suchindizes für Frankreich und Deutschland gearbeitet. Die Initiative betont, dass Suchmaschinen als strategische öffentliche Infrastruktur zu behandeln seien – vergleichbar mit Energie- oder Telekommunikationsnetzen.

Ich halte das für eine nutzlose Forderung. Es ist fraglich, ob neue Suchmaschinen in absehbarer Zeit mit der Qualität bestehender Angebote mithalten können, ohne enorme Summen zu investieren. Zugleich verändert Künstliche Intelligenz den Markt grundlegend.

Wer langfristig denkt, sollte an Lösungen für ein Web3 arbeiten, in dem es keinen zentralen Zugangspunkt für Suchanfragen gibt. Das wäre ein souveräner Ansatz. Alles andere wirkt wie Symbolpolitik.

Digitale Souveränität entsteht nicht dadurch, dass Alternativen bereitliegen. Sie entsteht dadurch, dass sie im Regelbetrieb genutzt werden. Nur so lassen sich Abhängigkeiten tatsächlich reduzieren, Kostenstrukturen verändern und eigene technologische Kompetenzen aufbauen. Eine Definition, die Nutzung ausdrücklich offenlässt, erklärt Stillstand zur souveränen Option.

Genau so ist es. Ergänzend gilt: Digitale Souveränität entsteht nur dort, wo Wissen vorhanden ist und kontinuierlich weiterentwickelt wird. Angebote von Big Tech wie „as a Service“, Cloud und Containertechnologien haben dazu geführt, dass Wissen und praktische Erfahrung nicht mehr in ausreichendem Maß aufgebaut und gehalten werden. Für souveränes Handeln wären sie jedoch notwendig. Kein Plan B und ebenso reicht der bloße Zukauf von Open-Source-Software nicht aus.

Neben der Sorge vor Datenabflüssen soll auch ein „Kill-Switch-Szenario“ ausgeschlossen werden, also das Abschalten von Diensten auf politischen Druck. „Wir können alles auf unbegrenzte Zeit weiterbetreiben und können auch Software im Extremfall selbst weiterentwickeln“, sagte Michael Hanisch, Technologiechef bei AWS Deutschland. Eine aktuelle Kopie der Quellcodes werde in hiesigen Rechenzentren gespeichert. Die Programme könnten in den europäischen AWS-Entwicklungszentren bei Bedarf gewartet oder ergänzt werden.

Ich bin weiterhin skeptisch gegenüber den vermeintlich souveränen Lösungen der US-Konzerne. Zwar ist davon auszugehen, dass AWS Deutschland über ausreichend Personal und Fachwissen verfügt, um ein solches Angebot weiterzuentwickeln. Offen bleibt in der Berichterstattung jedoch eine zentrale Frage: Wie aktuell ist die zugrunde liegende Kopie des Quellcodes überhaupt? Sollte im Ernstfall auf Basis einer stark veralteten Version weitergearbeitet werden müssen, wäre damit wenig gewonnen. Im folgenden Zitat wird meine Skepsis erneut unterstrichen.

Durch die deutschen Gesellschaften soll auch der Zugriff von US-Behörden auf Grundlage des Cloud Acts erschwert werden. „Alle Anfragen von Gerichten werden innerhalb der EU beantwortet“, sagt Hanisch. Damit sei man nur an EU-Recht gebunden und die Haftungsfrage in Streitfällen anders. Der AWS-Manager weist aber auch darauf hin, dass auf Grundlage des Cloud Acts noch nie Daten von Kunden außerhalb der USA herausgeben werden mussten – zumindest seit dem Jahr 2020, in dem entsprechende Dokumentationen begonnen wurden.

Beim Lesen entsteht der Eindruck, dass selbst der Autor nicht davon ausgeht, die souveräne deutsche Amazon-Cloud sei tatsächlich vor dem Cloud Act geschützt. Schließlich ist lediglich davon die Rede, der Zugriff werde erschwert, nicht ausgeschlossen.

Hinter der glänzenden Fassade der Gebührenfreiheit für Endkunden tobt seit Längerem ein Verteilungskampf um die sogenannten Interoperator-Entgelte. Wenn ein Tourist in Albanien surft, muss sein heimischer Provider dem albanischen Netzbetreiber eine Großhandelsgebühr zahlen. Diese ist zwar gedeckelt, liegt aber nach Ansicht von Beobachtern immer noch deutlich über den tatsächlichen Marktkosten. Während Tourismus-Hotspots im Süden an diesen Gebühren verdienen, klagen Betreiber in nordischen und baltischen Staaten über einen stetigen Kapitalabfluss.

Ein interessantes Detail. Vermutlich haben die großen Netzbetreiber in Europa das durchgesetzt. Die Annahme, der Markt werde es schon regeln, greift hier offenbar nicht wie erhofft.

Eine deutlich kleinere Rolle als in den vergangenen Monaten annonciert, spielte das Thema Open Source. Zwar erwähnte Merz sowohl das neue Konsortium für digitale Gemeinschaftsgüter (Digital Commons Edic) und die Open-Desk-Software vom Zendis, von der auch im Kanzleramt Komponenten im Einsatz seien. Doch in den strategischen Ausführungen aus Paris und Berlin spielte Open Source keine Rolle. Und auch in der Erklärung der EU-Mitgliedsstaaten werden Open-Source-Lösungen nur mit einer Einschränkung erwähnt. Der nach müssten sie hohe Cybersicherheitsstandards erfüllen und im Zweifel mit verlässlichen proprietären Technologien ergänzt werden.

Cristina Caffarra schreibt in »Digitale Souveränität: Jetzt zählt nur noch das Machen!« für tagesspiegel.de

Es wird immer offensichtlicher, welchem Irrglauben wir in den vergangenen Jahren aufgesessen sind: Wir haben geglaubt, wenn wir möglichst viel Energie in die Regulierung von Apps und Diensten der Digitalgiganten stecken, würde am Ende schon irgendwie eine erfolgreiche europäische Technologie-Branche herauskommen. Anstatt unsere Kraftanstrengung in den Aufbau eigener Infrastrukturen zu stecken, haben wir uns mit Regulierung des E-Commerce und der Suchmaschinen begnügt. Währenddessen haben die von uns regulierten Tech-Konzerne im Hintergrund ihre grenzüberschreitenden Technologien tief in unseren Infrastrukturräumen verankert.

Die Analyse fällt überzeugend aus und die Aufforderung ist klar formuliert.

Ab jetzt zählt deshalb nur noch das Machen: Keine weiteren Positionspapiere, Diskurse und Podiumsdiskussionen mehr über unsere Grundfreiheiten und demokratische Steuerung bitte. All diese Dinge verändern nichts. Wir müssen jetzt Angebot und Nachfrage zusammenbringen.

Oft ist auch von KI als “bloßem Werkzeug” die Rede, das ist Mühlhoff zufolge nicht so. Technologie präge die Zwecke ihres Einsatzes selbst mit und sei nicht neutral. Transparenz sei wichtig, aber keine Garantie – denn in komplexen Gesellschaften könne nicht jeder die inneren Mechanismen verstehen. Entscheidend sei vielmehr Prüfbarkeit durch unabhängige Akteure und Institutionen.

Auf diese nationalen Besonderheiten geht die Regierung an verschiedenen Stellen genauer ein. Denn gerade beim Glasfaserausbau sind andere Mitgliedsstaaten schon deutlich weiter als Deutschland. Deshalb ist es aus Sicht der Regierung nicht sinnvoll, in dem geplanten Rechtsakt ein EU-weites Abschaltdatum für Kupfernetze vorzugeben. Ein solches Datum sei ein zu starker Eingriff in die unternehmerische Freiheit der Telkos. Nach geltendem Recht kann derzeit hierzulande nur die Deutsche Telekom als Eigentümerin der Kupfernetze beantragen, diese in einer Region abzuschalten. Genau dieses Recht plant der Bund zu überarbeiten und hat bereits erste Eckpunkte vorgelegt (Tagesspiegel Background berichtete). Weiterhelfen könnte aber ein unverbindlicher Instrumentenkasten an Migrationskonzepten.

Ich teile nicht jede Entscheidung der Telekom, halte es aber für falsch, ihr die Freiheit zu nehmen, selbst über die Abschaltung des Kupfernetzes zu entscheiden. Dabei geht es im Kern um wirtschaftliche Interessen. Anders als bei Funknetzen wird die Infrastruktur nach einer Abschaltung nicht weitergenutzt, die Leitungen bleiben einfach im Boden. Die Stilllegung dient vor allem dazu, andere Geschäftsmodelle zu fördern. Die Telekom sollte das Netz so lange betreiben dürfen, wie es wirtschaftlich sinnvoll ist.

Gleichzeitig hat sie damit die Möglichkeit, den Wettbewerb zu beeinflussen. Eine enge Abstimmung mit der Bundesnetzagentur könnte helfen, hier für mehr Fairness zu sorgen.

Tagesspiegel Background schreibt in »Russland: Whatsapp und Telegram eingeschränkt nutzbar«

Whatsapp und Telegram seien wichtige Dienste für Erpressung, Betrug und Verwicklung russischer Bürger in Sabotageakte, hieß es.

Das von der EU-Kommission entwickelte Konzept legt acht Souveränitätsziele fest, nach denen Cloud-Dienste künftig bewertet werden. Über das SEAL-System mit fünf Stufen (0 bis 4) wird erfasst, wie stark ein Anbieter von außereuropäischen Akteuren abhängig ist. Daraus ergibt sich ein Souveränitäts-Score, der öffentliche Vergaben transparenter machen und Europas digitale Eigenständigkeit fördern soll.

Die acht Souveränitätsziele (SOV) sind:

• Strategische Souveränität
• Rechtliche und juristische Souveränität
• Daten- und KI-Souveränität
• Operative Souveränität
• Lieferketten-Souveränität
• Technologie-Souveränität
• Sicherheits- und Compliance-Souveränität
• Umwelt- und Nachhaltigkeit