• Durchsetzungsfähigkeit
• Fähigkeit zur Entwicklung, Bereitstellung und Nutzung von Technologien
• Fähigkeit und Kapazität zur wirtschaftlichen Wertschöpfung
• Schutz sensibler Daten
• Substituierbarkeit und Interoperabilität von Systemen
• Resilienz der Infrastruktur

Der Stand ist noch vorläufig, bietet aber interessante Einblicke.

Die heise online vorliegende CISPE-Analyse macht große Schlupflöcher im C3A-Katalog aus. So sehe das Framework zwar vor, dass der primäre Cloud-Anbieter unter europäischer Kontrolle stehen müsse. Bei den weitaus wichtigeren Subunternehmern weiche das BSI diese Linie aber drastisch auf: Für sie wird lediglich eine registrierte Hauptniederlassung in Deutschland oder der EU verlangt.

Anfangs habe ich den Katalog ebenfalls kritisch gesehen. Nachdem ich aber viele Definitionen und Vorgaben zur Souveränität gelesen habe, die von Akteuren aus der öffentlichen Verwaltung stammen, bin ich zu einer anderen Einschätzung gekommen. Definitionen lassen sich zwar einmal festlegen, doch der politische Diskurs entwickelt sich weiter und überholt sie. Wer zurückblickt, erkennt, dass Souveränität über die Jahre immer wieder einen anderen Schwerpunkt bekommen hat. Ich halte all diese Definitionen für sinnvoll, weil sie ein gemeinsames Ziel verfolgen. Sie sollen helfen, neues Wissen aufzubauen, bestehendes zu sichern und Entscheidungen bewusst zu treffen.

Der C3A kann nur ein Leitfaden sein und keine feste Vorgabe oder Verordnung. Die Welt verändert sich zu schnell, und die Abhängigkeiten sind zu groß. Ähnlich wie bei der IT-Sicherheit können Entscheidungsträger vor allem Risiken abwägen und minimieren. Vollständige Souveränität wird es ebenso wenig geben wie vollständige Sicherheit. Aus diesem Grund halte ich den C3A als Leitfaden für gut, weil er Entscheidungsträgern eine Orientierung bietet.

1. Strategische Souveränität: Der Cloud-Anbieter muss EU- oder deutschem Recht unterliegen. Deutsche oder EU-Behörden müssen eine effektive Kontrolle vornehmen können. Wenn sich ein amerikanischer, chinesischer oder sonstiger Nicht-EU-Akteur in einen Cloud-Anbieter einkauft oder ihn übernimmt, muss das Unternehmen drei Monate im Voraus seine Kunden davor warnen.
2. Rechtliche Souveränität: Einmal im Jahr muss der Cloud-Anbieter Nicht-EU-Gesetze identifizieren, die sich auf sein Geschäft auswirken, und eine Risikoanalyse vornehmen. Ein Beispiel wäre der US Cloud Act. Außerdem enthält der Abschnitt ein Kriterium für den Verteidigungsfall. Als souverän gelten Cloud-Anbieter, die Wissen, Fähigkeiten und Personal vorhalten, sodass der Staat die Cloud-Services im Verteidigungsfall selbst steuern kann.
3. Datensouveränität: Dieser Punkt ist sehr umfangreich. Hier spezifizieren Kriterien, ob und wie viel Kontrolle die Kunden über die Metadaten und Daten haben und wo diese gespeichert werden. Es wird verlangt, dass der Cloud-Anbieter ein externes Management für kryptografische Schlüssel zulässt. Dadurch würde gewährleistet, dass er Kundendaten nicht selbst entschlüsseln kann. Auch die Möglichkeit, die Nutzeridentitäten außerhalb der Cloud zu managen, gilt als Muss.
4. Betriebssouveränität: Auch dieser Punkt ist sehr umfangreich. Unter anderem finden sich hier die eingangs erwähnten Kriterien, dass die Rechenzentren 90 Tage lang ohne jegliche Verbindung zu Nicht-EU-Staaten laufen können müssen. „Wir müssen die Kabel zu den US-Backbones physisch rausziehen können und trotzdem muss ein Rechenzentrum in Europa betriebsfähig bleiben“, sagt BSI-Vize Caspers.
5. Lieferketten: Hier müssen souveräne Unternehmen ihre Abhängigkeiten in Software, Hardware und Diensten inventarisieren und am besten einen dokumentierten Prozess für den Problemfall vorhalten.
6. Technologische Souveränität: Hier verlangt das Bundesamt, dass es ein Backup des Quellcodes auf einem Speicher in der EU gibt. Der Code darf nicht älter sein als 24 Stunden und muss dokumentiert sein. Cloud-Anbieter, die in Deutschland tätig sein wollen, müssen für den Notfall eine Strategie vorhalten, wie sie ihre Dienste weiter liefern können. Zusätzlich können sie nachweisen, dass sie eigene Leute haben, die die Entwicklung und Wartung der Dienste übernehmen können, falls die Lieferung aus dem EU-Ausland abbricht.

Der Artikel ist auch über das oben genannte Zitat hinaus interessant. Den C3A-Katalog kann man hier einsehen.

Zwei Details im Papier fallen auf. Als Plattform für den Konsultationsprozess empfiehlt das Papier openCode. Betrieben wird openCode vom ZenDiS selbst. Außerdem soll es für KI eine gesonderte Regelung geben. Warum, erklärt das Papier nicht.

Beides muss kein Problem sein. Erklärungsbedarf besteht trotzdem, denn solche Diskussionspapiere beeinflussen Beschaffungsentscheidungen in Behörden.

Unternehmen in der DACH-Region betrachten ihre Abhängigkeit von großen Cloud-Anbietern zunehmend als strategisches Risiko. Laut einer aktuellen Studie von Lünendonk & Hossenfelder halten 83 Prozent der befragten Unternehmen ein sogenanntes Kill-Switch-Szenario für realistisch – also die Möglichkeit, dass ein Cloud-Provider den Zugang zu kritischen IT-Services einseitig einschränkt oder komplett abschaltet. Gleichzeitig verfügen nur 57 Prozent über eine Exit-Strategie für den Wechsel des Providers. Fast die Hälfte hat demnach keinen Plan B für den Ernstfall.

Die Organisation schlägt vor, dass die EU-Mitgliedstaaten entweder selbst in den Aufbau souveräner Suchinfrastrukturen investieren oder bestehende europäische Suchmaschinen als Standard in der öffentlichen Verwaltung einführen. Aktuell werde bereits an souveränen Suchindizes für Frankreich und Deutschland gearbeitet. Die Initiative betont, dass Suchmaschinen als strategische öffentliche Infrastruktur zu behandeln seien – vergleichbar mit Energie- oder Telekommunikationsnetzen.

Ich halte das für eine nutzlose Forderung. Es ist fraglich, ob neue Suchmaschinen in absehbarer Zeit mit der Qualität bestehender Angebote mithalten können, ohne enorme Summen zu investieren. Zugleich verändert Künstliche Intelligenz den Markt grundlegend.

Wer langfristig denkt, sollte an Lösungen für ein Web3 arbeiten, in dem es keinen zentralen Zugangspunkt für Suchanfragen gibt. Das wäre ein souveräner Ansatz. Alles andere wirkt wie Symbolpolitik.

Gerade in der Lieferkettensicherheit liegt oftmals eine Schwachstelle von Open-Source-Entwicklungen. Wer Open-Source-Software ‚kostenfrei‘ nutzen möchte, muss selbst erheblich in Wissen und Programmierfähigkeiten investieren. Denn insbesondere beim Einsatz von Open-Source-Produkten in zertifizierten sicheren Betriebsumgebungen muss zu jedem Zeitpunkt sichergestellt sein, dass neu aufgetretene Sicherheitslücken schnell geschlossen werden können. Kann man diese Anforderungen selber nicht erfüllen, muss hierfür ein externer Dienstleister beauftragt werden. So entstehen neue Abhängigkeiten.

Zu keinem Zeitpunkt ging es darum, Software ohne eingekauften Support zu nutzen. Der Unterschied liegt woanders. Es gibt nicht den einen festen Dienstleister. Da die Software offen verfügbar ist, können verschiedene Anbieter Support leisten. Ob und in welchem Umfang sie das tun, wird vertraglich geregelt. Das passiert übrigends jeden Tag, in jedem Rechenzetrum, Stichwort Red Hat.

Ich befasse mich seit mehreren Jahren intensiv mit digitaler Souveränität. Das begann lange bevor der Begriff zum Modewort wurde und dabei an Kontur verlor.

Mythos 1: Digitale Souveränität nur mit Open Source?

Open Source wird häufig mit digitaler Souveränität gleichgesetzt. Diese Gleichsetzung greift zu kurz. Open Source kann den Vendor Lock-in verringern, ihn aber nicht vollständig vermeiden. Der öffentliche Diskurs richtet sich oft auf große und vergleichsweise leicht umsetzbare Migrationen. Dazu zählen Groupware wie E-Mail, Kalender und Kontakte, Kommunikationsplattformen oder Office-Lösungen. Solche Wechsel lassen sich politisch gut vermitteln, auch weil es inzwischen ausreichend nutzbare Alternativen gibt. Die zentrale Herausforderung liegt dabei weniger in der Technik als in den finanziellen Rahmenbedingungen.

Deutlich komplizierter ist die Lage bei hochspezialisierten Fachanwendungen. In diesen Bereichen gibt es häufig nur wenige oder gar keine Alternativen. Ein Grund ist, dass Open-Source-Software oft aus privaten Initiativen hervorgeht. Sobald spezielle Hardware erforderlich ist oder das Problem nur einen sehr kleinen Nutzerkreis betrifft, setzen sich meist proprietäre Lösungen durch.

Das führt dazu, dass kleine und spezialisierte Anwendungen nur von wenigen Anbietern entwickelt und betrieben werden. Hinzu kommt spezifisches Domänenwissen über Technik, Prozesse oder auch veraltete Programmiersprachen und Systeme. Unter diesen Bedingungen spielt es praktisch keine Rolle, ob der Quellcode offen oder geschlossen ist. Realistisch können nur wenige Anbieter solche Produkte betreiben und weiterentwickeln.

Häufig wird an dieser Stelle darauf verwiesen, dass Open Source grundsätzlich den Eigenbetrieb von Software ermögliche. Formal ist das richtig. In der Praxis bleibt es jedoch meist theoretisch. Das notwendige Spezialwissen ist selten und entsprechend teuer. Der Markt ist klein, wodurch faktisch erneut ein Vendor Lock-in entsteht, unabhängig vom Lizenzmodell.

Open Source kann Abhängigkeiten reduzieren. Einen vollständigen Schutz vor Vendor Lock-in bietet es jedoch nicht.

Mythos 2: Souveränität mit proprietärer Software ist unmöglich erreichbar

Häufig heißt es, digitale Souveränität lasse sich mit proprietärer Software grundsätzlich nicht erreichen, weil stets eine Abhängigkeit vom Hersteller bestehe. Dass solche Abhängigkeiten auch bei Open-Source-Software auftreten können, ist bereits beschrieben worden. Hilfreich ist es, den sperrigen Begriff der digitalen Souveränität durch „Selbstbestimmtheit“ zu ersetzen. Dann wird deutlicher, worum es geht und dass dieses Ziel unter bestimmten Voraussetzungen auch mit nicht freier Software erreichbar sein kann.

Digitale Souveränität bedeutet nicht zwangsläufig freie Software. Im Kern geht es um die Vermeidung von Lock-in-Effekten, um Möglichkeiten zur Mitgestaltung und um Transparenz.

Denkbar ist etwa ein Produkt, das auf offenen Standards basiert, sodass Daten jederzeit importiert und exportiert werden können. Offene Schnittstellen erlauben die freie Nutzung der eigenen Daten. Der Hersteller ist bereit, gegen ein angemessenes Entgelt individuelle Anforderungen umzusetzen, und gewährt Einblick in den Quellcode, ohne ihn unter eine freie Lizenz zu stellen. Juristisch wie kaufmännisch ist ein solches Modell möglich.

Warum ist es dennoch selten? Unternehmen müssen nicht nur kurzfristig wirtschaftlich arbeiten, sondern auch langfristige Planungssicherheit gewährleisten. Insbesondere börsennotierte Firmen sind verpflichtet, verlässliche Perspektiven für Investoren zu bieten. Daraus entstehen Geschäftsmodelle, die auf wiederkehrende Einnahmen ausgerichtet sind.

Unabhängig von Unternehmensphilosophie oder guten Absichten sind Hersteller darauf angewiesen, Kunden zu binden. Nur so lassen sich Weiterentwicklung, Personal und Betrieb finanzieren. Die beschriebenen offenen Modelle stellen für viele Anbieter daher ein erhebliches wirtschaftliches Risiko dar.

Realistisch bleiben meist nur Geschäftsmodelle, wie sie teilweise im Open-Source-Umfeld zu finden sind, etwa über Dienstleistungen, Support oder individuelle Anpassungen.

Zusammengefasst gilt: In der Theorie können auch proprietäre Produkte digitale Souveränität fördern. In der Praxis scheitert dies am Geschäftsmodell.

Mythos 3: Ist Open Source automatisch und immer sicherer?

Ein weiterer Mythos besagt, Open Source sei grundsätzlich sicherer als proprietäre Software. Auch diese Annahme greift zu kurz. Zwar ist offen einsehbarer Code grundsätzlich überprüfbar. Daraus ergibt sich jedoch nicht automatisch ein höheres Sicherheitsniveau. Sicherheit entsteht erst dann, wenn der Code tatsächlich geprüft wird. Ein Blick auf Plattformen wie GitHub zeigt, dass es Millionen von Projekten gibt, die nie auditiert wurden.

Die Vorstellung, für jede Open-Source-Lösung stünden ausreichend qualifizierte Prüfer bereit, ist unrealistisch. Regelmäßige Sicherheitsprüfungen müssen organisiert oder eingekauft werden. Beides ist aufwendig und teuer.

Bei proprietärer Software übernimmt der Hersteller diese Verantwortung gegen Bezahlung, auch bei Spezial- oder Nischenprodukten. Das setzt Vertrauen voraus, das nur eingeschränkt überprüfbar ist. Externe Audits unterscheiden sich darin jedoch kaum.

Ausschlaggebend ist daher nicht die Lizenzform. Entscheidend ist, ob eine Software genug Verbreitung, Aufmerksamkeit und Ressourcen erhält, um dauerhaft geprüft und gepflegt zu werden.

Mythos 4: Digitale Souveränität lässt sich durch Beschaffung herstellen

Wie bereits beschrieben wird digitale Souveränität oft mit Selbstbestimmtheit im Digitalen gleichgesetzt. Schon daraus ergibt sich, dass reine Beschaffung nicht ausreicht.

Souverän handeln kann nur, wer über Wissen verfügt. Ohne Klarheit über eingesetzte Dienste, Lock-in-Effekte, Architektur und Sicherheitsfragen ist selbstbestimmtes Handeln nicht möglich. Entscheidungen werden dann von äußeren Zwängen bestimmt.

In diesem Zusammenhang stellen sich grundlegende Fragen:

• Wie funktioniert die eingesetzte Technik?
• Welche Daten liegen wo?
• Ist die Lieferkette langfristig abgesichert?
• Welche Abhängigkeiten bestehen?
• Wie aufwendig ist ein Technologiewechsel?
• Kann der Anbieter kurzfristig gewechselt werden, ohne die Organisation wirtschaftlich zu gefährden?
• Ist das notwendige Know-how vorhanden?
• Wie angreifbar ist die eingesetzte Software?

Nur Organisationen, die diese Fragen für sich beantworten können, sind in der Lage, eigenständig Entscheidungen zu treffen. Das kann auch bedeuten, sich bewusst für proprietäre Systeme zu entscheiden, mit einem klaren Verständnis der Folgen. Ebenso kann es bedeuten, sich gezielt dagegen zu entscheiden.

Mythos 5: Vollständige Souveränität scheitert auf Chip-Ebene

Häufig wird behauptet, vollständige Souveränität sei unmöglich, weil die Chipproduktion nicht im eigenen Land stattfindet. Das ist nicht falsch, greift aber zu kurz. Die Herstellung von Computerchips ist global organisiert und so groß, dass einzelne Akteure kaum vollständig ausgeschlossen oder dauerhaft vom Markt gedrängt werden können. Das zeigte sich in den vergangenen Monaten, als die USA versuchten, China von der Lieferung von KI-Chips abzuschneiden. Über Zwischenhändler gelangten die benötigten Komponenten dennoch ans Ziel. Und wo das nicht geschieht, entsteht in der Regel ein Markt, der die Lücke füllt. Deutlich schwieriger ist es, souveräne Alternativen dort aufzubauen, wo der Markt keine Lösungen hervorbringt. Das betrifft Bereiche mit geringem Bedarf. Der Fachkräftemangel verschärft diese Situation zusätzlich.

Vollständige digitale Souveränität ist ohnehin nicht erreichbar. Die Computerindustrie befindet sich in ständigem technologischen und wirtschaftlichen Wandel. Dadurch verändert sich auch die Ausgangslage fortlaufend. Ähnlich wie in der IT-Sicherheit geht es weniger um einen festen Endzustand als um kontinuierliche Arbeit, um einen selbst definierten Stand zu halten.

Aktuelle Lage und ein Ausblick

In Deutschland und Europa ist ein Teil der digitalen Souveränität verloren gegangen. Kompetenzen wurden nicht mehr aufgebaut oder gepflegt. Stattdessen kauften öffentliche und private Akteure Dienstleistungen und Produkte großer Tech-Anbieter ein, mit dem Hinweis auf angebliche wirtschaftliche Vorteile. Diese Annahme hat sich als falsch erwiesen. Die Abhängigkeit ist teuer geworden, zugleich ging Know-how verloren oder konnte mit der technischen Entwicklung nicht Schritt halten. Der Rückstand ist real und aufholbar. Alles, was es dafür braucht, ist politischer und privatwirtschaftlicher Wille.

Wirkliche Souveränität ist daher nach Ansicht Schrödters nur mit Open Source erreichbar. „Digitale Souveränität ist schlicht keine Governancefrage, sondern eine der technischen Eigentums- und Kontrollarchitektur“, schreibt Schrödter. „Die Fähigkeiten und Möglichkeiten, die die Sicherung digitaler Souveränität erfordert, lassen sich nicht vertraglich herstellen und auch nicht regulatorisch erzwingen, solange der Quellcode und die Verfügungsgewalt über die zentrale technologische Basis außerhalb staatlicher Kontrolle liegen.“ Proprietäre Systeme würden immer eine strukturelle Abhängigkeit erzeugen, Open Source kehre dieses Verhältnis um.

Ich halte es für sinnvoll, Dirk Schrödter in Debatten über digitale Souveränität und Open Source in der Verwaltung stärker einzubeziehen. Schleswig-Holstein ist bislang das einzige Bundesland, das diesen Weg konsequent verfolgt. Andere Länder beobachten die Entwicklung seit Jahren oder entscheiden sich bewusst gegen einen solchen Kurs.

Gleichzeitig ist die Gleichsetzung von Open Source und digitaler Souveränität nicht zutreffend und die Aussagen “Proprietäre Systeme würden immer eine strukturelle Abhängigkeit erzeugen” ist nicht korrekt. Beides ist nicht identisch und schließt sich auch nicht gegenseitig ein. Diese Unterscheidung lässt sich nicht in einem kurzen Statement zu einer Pressemeldung erläutern. Dafür braucht es einen eigenen Text. To be continued.

Inhaltlich entscheidend sei die Verfügbarkeit von Alternativen und Wahlmöglichkeiten. „Unsere Definition von Souveränität ist es, immer einen Plan B zu haben“, sagte Hölscher bei einer Veranstaltung des Bitkom. Schon im Januar hatte Tagesspiegel Background berichtet, dass die Wechselfähigkeit von Systemen ein wichtiges Element der Definition werden soll. Auch die Einflussfähigkeit auf Anbieter, technologische Gestaltungsfähigkeit, die Resilienz der Infrastruktur und die Förderung wirtschaftlicher Wertschöpfungsfähigkeit sind Teil der Begriffsbestimmung.

Die Neudefinition ist aber innerhalb der Bundesregierung noch nicht final abgestimmt. Im nächsten Schritt soll die Definition auch mit Frankreich diskutiert werden, Ziel ist eine gemeinsame Definition.

Begriffserklärung:

Wirkungsvoller wäre ohnehin etwas anderes: 300 Milliarden Euro an privatem Kapital verlassen Europa jährlich und fließen in die US-Kapitalmärkte. Und wir finanzieren unsere Abhängigkeit auch noch mit unseren Steuergeldern – durch öffentliche Aufträge an US‑Technologiekonzerne. Big Tech zu besteuern, ist richtig. Vor allem sollten wir diese Firmen aber nicht weiter mit öffentlichen Geldern für Dienstleistungen päppeln, die europäische Unternehmen genauso gut erbringen könnten. Die EU hat zudem ein wirkungsvolles Instrument, wenn ausländische Mächte Druck ausüben, um politische Veränderungen zu erzwingen – wie es die USA bei der EU-Digitalregulierung versuchen. Frankreich hat zu Recht gefordert, dieses »Anti-Zwang-Instrument« zu aktivieren, nicht nur für den Handel, auch für digitale Dienstleistungen.

He added: “In fact, the datacenter, where it runs, is the least important thing.”

Bemerkenswert ist, wie Microsoft gemeinsam mit SAP Delos ein souveränes Office aus einem deutschen Rechenzentrum vermarktet, während der eigene CEO an anderer Stelle erklärt, dass dies nichts mit Souveränität zu tun hat.

Unter dem Namen „Cloudbasierte Kommunikation im Krisenfall“ (CKKI) startete vor wenigen Tagen ein Pilotprojekt, das einen Perspektivwechsel markiert. Die Deutsche Rentenversicherung Bund, die Bundesagentur für Arbeit sowie die IT-Dienstleister Bitmarck und BG-Phoenics erproben dabei OpenDesk, die vom Zentrum für digitale Souveränität (Zendis) entwickelte Open-Source-Alternative zum Office-Paket Microsoft 365. Ziel ist die Etablierung eines voll funktionsfähigen Notfallarbeitsplatzes, der unabhängig von der primären IT-Infrastruktur existiert.

Ich halte openDesk für eine geeignete Kommunikationsplattform im Krisenfall. Die browserbasierte Architektur ist nicht immer ideal. Da Nextcloud jedoch als Dateispeicher dient, lassen sich Client und LibreOffice nachinstallieren. Damit wird die Plattform insgesamt gut nutzbar. Man könnte von einem openDesk+ sprechen.

In Deutschland steht die Partnerschaft „Open AI for Germany” von SAP für den öffentlichen Sektor exemplarisch für dieses Problem. Vermarktet als Souveränität – „gebaut in Deutschland, für Deutschland” – entpuppt sich der Deal als Augenwischerei. Abhängigkeit von Anbietern wird als Unabhängigkeit verkauft. Der öffentliche Sektor wird aus Steuergeldern finanziert. Wenn er KI-Dienste einkauft, bezahlt er damit unmittelbar den Aufbau der Infrastruktur. Deshalb müssen auch die Vertragsbedingungen offengelegt werden – etwa die Regelungen zu Ausstiegsrechten, Interoperabilität und den Umweltauswirkungen.

Im Jahr 2026 soll eine zentrale Funktion zur Koordination der Open-Source-Aktivitäten und zur Umsetzung der Strategie stehen. 2027 soll die aktuelle Software hinsichtlich ihres Risikos bewertet sein. 2028 sollen alle Mitarbeiter:innen der Berliner Verwaltung die für sie wichtigen Schulungen gemacht haben. 2029 sollen dann bereits die Hälfte der proprietären Softwareprodukte auf Open-Source-Alternativen untersucht worden sein. 2030 möchte Berlin an mindestens 30 Projekten auf Open Code des Zendis beteiligt sein. 2031 will Berlin 50 Prozent des für Software ausgegebenen Geldes in Open-Source-Software investieren.

André Glenzer schreibt in »Realitätssinn statt Ideologie: Digitale Souveränität ist nicht Schwarz-Weiß« für tagesspiegel.de

Hundertprozentige Souveränität gibt es genauso wenig wie hundertprozentige Informationssicherheit. Viel wichtiger ist es, den jeweils angemessenen Grad an Souveränität für die individuellen Anwendungsszenarien zu definieren.

Cristina Caffarra schreibt in »Digitale Souveränität: Jetzt zählt nur noch das Machen!« für tagesspiegel.de

Es wird immer offensichtlicher, welchem Irrglauben wir in den vergangenen Jahren aufgesessen sind: Wir haben geglaubt, wenn wir möglichst viel Energie in die Regulierung von Apps und Diensten der Digitalgiganten stecken, würde am Ende schon irgendwie eine erfolgreiche europäische Technologie-Branche herauskommen. Anstatt unsere Kraftanstrengung in den Aufbau eigener Infrastrukturen zu stecken, haben wir uns mit Regulierung des E-Commerce und der Suchmaschinen begnügt. Währenddessen haben die von uns regulierten Tech-Konzerne im Hintergrund ihre grenzüberschreitenden Technologien tief in unseren Infrastrukturräumen verankert.

Die Analyse fällt überzeugend aus und die Aufforderung ist klar formuliert.

Ab jetzt zählt deshalb nur noch das Machen: Keine weiteren Positionspapiere, Diskurse und Podiumsdiskussionen mehr über unsere Grundfreiheiten und demokratische Steuerung bitte. All diese Dinge verändern nichts. Wir müssen jetzt Angebot und Nachfrage zusammenbringen.