Ihr Unternehmen arbeitet mit Microsoft und anderen internationalen Cloud-Plattformen? Damit sind Sie nicht allein: Die Systeme sind etabliert, Mitarbeiter kennen die Anwendungen und ein Wechsel erscheint im laufenden Betrieb oft kaum realistisch.
Aber wissen Sie genau, welche sensiblen Daten in diesen Systemen verarbeitet werden? Kennen Sie die beteiligten Anbieter, Unterauftragnehmer und Rechtsräume? Und könnten Sie bei einem Ausfall, einem erzwungenen Zugriff oder veränderten politischen Rahmenbedingungen kurzfristig auf eine Alternative ausweichen? Lassen sich diese Fragen nicht eindeutig beantworten, fehlt es nicht zwangsläufig an sicheren Systemen. Es fehlt aber möglicherweise an vollständiger Kontrolle über die eigenen Daten und Abhängigkeiten.
Abhängigkeit erkannt – und jetzt?
Das Bewusstsein für digitale Abhängikeiten wächst: Laut Bitkom Cloud Report 2026 halten 85 % der befragten Unternehmen Deutschland für zu abhängig von US-Cloud-Anbietern. Fast zwei Drittel der Cloud-Nutzer überdenken aufgrund der Politik der US-Regierung ihre Cloud-Strategie. Gleichzeitig betrachten 59 % Lock-in-Effekte wie schwierige Datenexporte oder aufwendige Migrationen als größte Hürde für einen Anbieterwechsel.
Die Konsequenz ist zunächst klar: Deutsche und europäische Alternativen müssen her. In der Praxis scheint eine Migration dann aber im laufenden Betrieb kaum umsetzbar – zu teuer, zu komplex. Bestehende Systeme sind eng mit Prozessen verbunden, Mitarbeiter haben sich an Anwendungen gewöhnt und nicht für jeden Dienst steht eine unmittelbar gleichwertige Alternative bereit. Vor allem der Mittelstand, kleine und mittlere Unternehmen (KMU), kämpfen mit den Anforderungen.
Die gute Nachricht ist, dass das keinen Grund zum Stillstand bedeutet: Datensouveränität beginnt bereits dort, wo Unternehmen Transparenz über ihre Daten und Abhängigkeiten schaffen, Risiken priorisieren und besonders kritische Datenwege gezielt besser kontrollieren. Denken Sie Datensouveränität als Prozess, nicht als den Austausch aller IT-Systeme – auch wenn dies oft, aber eben fälschlicherweise, angenommen und kommuniziert wird. Wir zeigen Ihnen in sechs Schritten, wie auch KMU praktisch vorgehen können.
Schritt 1: Daten, Anwendungen und Dienstleister erfassen
Wer die Kontrolle über seine Daten verbessern will, muss zunächst wissen, wo sie verarbeitet werden. Das klingt selbstverständlich, ist in gewachsenen IT-Strukturen aber häufig nicht vollständig geklärt. Neben offiziell eingeführten Unternehmenssystemen kommen oft weitere Dienste zum Einsatz:
Cloud-Speicher einzelner Abteilungen,
kostenlose Filesharing-Angebote,
externe Projektplattformen,
Kommunikations- und Kollaborationstools,
Anwendungen von Steuerberatern, Agenturen oder IT-Dienstleistern,
sowie Software, die weitere Unterauftragnehmer und Cloud-Komponenten nutzt.
Hinzu kommt die sogenannte Schatten-IT: Mitarbeiter greifen auf Anwendungen zurück, die schnell verfügbar und einfach zu bedienen sind, aber nie zentral geprüft oder freigegeben wurden. Gerade beim Versand großer Dateien oder bei der Zusammenarbeit mit Externen entstehen so Datenwege, die der Unternehmensleitung oder IT nicht bekannt sind.
Für jede relevante Anwendung sollten zunächst einige grundlegende Informationen festgehalten werden:
Welche Daten werden darin verarbeitet?
Wer nutzt das System?
Wer ist für die Anwendung verantwortlich?
Welcher Anbieter betreibt sie?
Wo werden die Daten gespeichert?
An welche weiteren Dienste werden Daten übertragen?
Können die Daten vollständig exportiert werden?
Ergebnis dieses Schritts: Ihr Unternehmen besitzt erstmals einen nachvollziehbaren Überblick über seine wichtigsten Datenbestände, Anwendungen und externen Dienstleister.
Schritt 2: Schutzbedarf und geschäftliche Kritikalität bewerten
Die Anforderungen an Kontrolle unterscheiden sich nach Typ und Anwendung der Daten. Eine nachvollziehbare Priorisierung ist daher zielführender, als eine pauschale Vorgabe. Sämtliche Daten ausschließlich in einer bestimmten Umgebung zu verarbeiten? Für viele KMU ist das weder notwendig noch wirtschaftlich.
Folgende Datentypen sind besonders kritisch:
Geschäftsgeheimnisse und geistiges Eigentum,
Entwicklungs- und Forschungsdaten,
Verträge und Transaktionsunterlagen,
Finanz- und Steuerinformationen,
Personalunterlagen,
personenbezogene Kunden- und Patientendaten,
Gremien- und Strategieunterlagen,
sowie Dokumente, deren kurzfristige Nichtverfügbarkeit den Geschäftsbetrieb beeinträchtigen würde.
Für die Bewertung helfen zwei einfache Fragen:
Welcher Schaden entstünde, wenn Unbefugte auf diese Daten zugreifen?
Welcher Schaden entstünde, wenn die Daten oder das dazugehörige System mehrere Tage nicht verfügbar wären?
Dadurch unterscheiden Sie den Bedarf nach hoher Vertraulichkeit und hohe betriebliche Relevanz. Ein internes Strategiepapier muss vor allem vor unbefugtem Zugriff geschützt werden. Eine täglich benötigte Projektplattform kann dagegen auch dann geschäftskritisch sein, wenn die dort gespeicherten Inhalte weniger sensibel sind.
Diese Unterscheidung hilft, Anforderungen passend zum Risiko festzulegen. Besonders schutzbedürftige Daten benötigen beispielsweise strengere Zugriffsrechte, nachvollziehbare Aktivitäten und kontrollierte Weitergabe. Für geschäftskritische Systeme stehen dagegen Verfügbarkeit, Wiederherstellung und alternative Zugangswege im Vordergrund.
Ergebnis dieses Schritts: Sie wissen, welche Daten und Prozesse zuerst behandelt werden müssen.
Schritt 3: Den gesamten Lebenszyklus sensibler Dateien prüfen
Für Datensouveränität ist neben dem Speicherort auch wichtig, was mit den Daten während ihrer Bearbeitung und Weitergabe geschieht. Betrachten Sie deshalb den gesamten Lebenszyklus besonders sensibler Dokumente:
Daten in Ruhe, gespeicherte Daten („Data at Rest“)
Zunächst geht es um die Ablage:
Wo wird die Datei gespeichert?
Ist sie verschlüsselt?
Wer kann sie sehen, ändern oder löschen?
Gibt es Backups und ein Löschkonzept?
Werden ältere Versionen kontrolliert aufbewahrt?
Daten in Bearbeitung und Zusammenarbeit („Data in Use“)
Prüfen Sie anschließend, was während der gemeinsamen Nutzung geschieht:
Werden Dateien z.B. per E-Mail hin- und hergeschickt?
Entstehen mehrere unkontrollierte Versionen?
Arbeiten externe Personen mit denselben Rechten wie interne Mitarbeiter?
Können Zugriffe später nachvollzogen werden?
Werden Berechtigungen nach dem Ende eines Projekts wieder entzogen?
Daten in Bewegung („Data in Transit“)
Besonders leicht geht Kontrolle bei der externen Weitergabe verloren. Typische Beispiele sind:
E-Mail-Anhänge,
offene oder unbegrenzt gültige Downloadlinks,
private Filesharing-Konten,
Uploads auf Plattformen von Kunden und Dienstleistern,
Upload in Collaboration-Plattformen (z.B. Microsoft Teams)
sowie lokal gespeicherte Kopien bei externen Projektpartnern.
Sobald eine Datei das Unternehmen verlässt, sollte nachvollziehbar sein, wer sie erhalten und heruntergeladen hat, wie lange der Zugriff möglich bleibt und ob der Empfänger eindeutig überprüft wurde. So erfassen Sie den gesamten Weg der sensiblen Daten: Von der Erstellung über die gemeinsame Bearbeitung bis zu ihrer Weitergabe und späteren Löschung.
Ergebnis dieses Schritts: Sie erkennen die konkreten Stellen, an denen Kontrolle über sensible Daten verloren geht – oder gehen kann.
Schritt 4: Anbieter und Abhängigkeiten prüfen
Für eine belastbare Anbieterbewertung eines Dienstleisters müssen Sie wissen, wer hinter einem Dienst steht und von welchen weiteren Parteien seine Leistung abhängt. Die Prüfung sollte drei Ebenen umfassen:
Rechtliche Abhängigkeit
Wo sitzt das anbietende Unternehmen?
Wem gehört es?
Welchen Gesetzen unterliegen Anbieter und Eigentümer?
In welchen Ländern werden Daten verarbeitet?
Welche Behördenzugriffe können grundsätzlich relevant werden?
Technische Abhängigkeit
Welche Cloud-Infrastruktur und Unterauftragnehmer werden eingesetzt?
Kann der Anbieter technisch auf die Kundendaten zugreifen?
Wie werden Daten übertragen und gespeichert?
Welche Authentifizierungs- und Berechtigungsfunktionen stehen zur Verfügung?
Wie werden Sicherheitsvorfälle erkannt und kommuniziert?
Operative Abhängigkeit
Können Daten vollständig und in einem nutzbaren Format exportiert werden?
Wie aufwendig wäre ein Anbieterwechsel?
Welche Funktionen, Metadaten oder Protokolle gingen dabei verloren?
Was geschieht nach Vertragsende mit verbleibenden Daten?
Existiert eine Alternative bei einem längeren Ausfall?
Bitkom empfiehlt ebenfalls einen risikobasierten Ansatz: Unternehmen sollten kritische Systeme, Daten und Prozesse kennen, Abhängigkeiten bewusst bewerten und Maßnahmen für Architektur, Governance und Beschaffung ableiten. Datensouveränität entsteht dabei nicht durch pauschale Technologievermeidung, sondern durch informierte Entscheidungen und echte Wahlmöglichkeiten.
Ergebnis dieses Schritts: Sie bewerten Anbieter nicht nur nach Funktionen und Preis, sondern nach dem tatsächlichen Maß an Kontrolle und Wechselmöglichkeit.
Schritt 5: Besonders kritische Datenwege zuerst souverän gestalten
Nach der Bestandsaufnahme ist es in der Regel sinnvoll, dass Sie besonders sensible Prozesse zuerst zu verändern. Geeignete Einstiegsbereiche sind beispielsweise:
der Versand vertraulicher oder besonders großer Dateien,
die Zusammenarbeit mit externen Beratern und Projektpartnern,
die Bereitstellung von Dokumenten für Audits,
der Austausch von Verträgen und Finanzunterlagen,
die Kommunikation von Geschäftsführung und Gremien,
die Vorbereitung von Unternehmenstransaktionen,
oder die geschützte Ablage geistigen Eigentums.
Diese Prozesse lassen sich häufig aus unsicheren E-Mail-, Cloud- oder Filesharing-Strukturen herauslösen, ohne gleichzeitig zentrale ERP-, CRM- oder Office-Systeme ersetzen zu müssen. Dadurch entsteht kurzfristig ein messbarer Fortschritt:
sensible Dateien liegen in einer kontrollierten Umgebung,
Zugriffe werden gezielt vergeben,
externe Nutzer erhalten nur die benötigten Rechte,
Aktivitäten lassen sich nachvollziehen,
und Daten werden nicht länger unkontrolliert über verschiedene Kanäle verteilt.
Eine solche Priorisierung entspricht einem risikobasierten Vorgehen: Je größer der mögliche Schaden, desto höher sind die Anforderungen an Souveränität und Kontrolle.
Ergebnis dieses Schritts: Sie erzielen einen konkreten Sicherheits- und Souveränitätsgewinn, ohne die gesamte IT auf einmal umbauen zu müssen.
Schritt 6: Verantwortung und regelmäßige Kontrolle verankern
Ein Kernaspekt der Datensouveränität ist es, den Erfolg regelmäßig zu überprüfen. Denn: Anbieter, Eigentümerstrukturen, technische Komponenten und ganz besonders rechtliche Rahmenbedingungen verändern sich. Gleichzeitig kommen laufend neue Anwendungen und Datenwege hinzu.
Ordnen Sie dem Thema deshalb eine klare organisatorische Verantwortung zu. Eine benannte Person oder Rolle sollte mindestens:
den Überblick über kritische Daten und Systeme pflegen,
neue Anwendungen vor ihrer Einführung prüfen,
Anbieter und Verträge regelmäßig neu bewerten,
Zugriffsrechte kontrollieren,
Sicherheitsnachweise und Testate dokumentieren,
Exit- und Notfallszenarien vorbereiten,
sowie Mitarbeiter für freigegebene Datenwege sensibilisieren.
Diese Aufgabe kann insbesondere in KMU auch bei der IT, dem Datenschutz, der Informationssicherheit oder der Geschäftsführung liegen und durch einen externen Dienstleister unterstützt werden. Hauptsache ist, die Verantwortung ist eindeutig geregelt und bleibt im Tagesgeschäft nicht liegen.
Ein sinnvoller Rhythmus kann sein:
Zugriffsrechte bei personellen oder organisatorischen Änderungen sofort prüfen,
kritische Anbieter und Verträge mindestens jährlich bewerten,
neue Anwendungen vor der Nutzung freigeben,
und Export- beziehungsweise Notfallprozesse regelmäßig praktisch testen.
Ergebnis dieses Schritts: Datensouveränität wird Teil Ihrer Unternehmensorganisation und bleibt nicht von einmaligen Einzelmaßnahmen abhängig.
Schnellcheck: Wo besteht akuter Handlungsbedarf?
Machen Sie den Schnellcheck: Je häufiger Sie die folgenden Fragen mit „Nein“ beantworten müssen, desto größer ist Ihr unmittelbare Handlungsbedarf:
Wissen Sie, wo Ihre sensibelsten Daten gespeichert werden?
Kennen Sie alle Cloud- und Filesharing-Dienste, die Ihre Mitarbeiter nutzen?
Wissen Sie, welchen Unternehmen und Eigentümern diese Dienste gehören?
Können Sie nachvollziehen, wer vertrauliche Dateien angesehen oder heruntergeladen hat?
Können Sie Daten vollständig aus Ihren wichtigsten Cloud-Systemen exportieren?
Gibt es eine Alternative, wenn ein geschäftskritischer Dienst ausfällt?
Sind die Zuständigkeiten für Anbieter, Zugriffsrechte und Datenwege eindeutig geregelt?
Werden externe Freigaben nach Projektende zuverlässig beendet?
Wichtig: Dieser Schnellcheck ersetzt keine vollständige Analyse. Für weitergehende Tipps und Informationen stellt zum Beispiel der Branchenverband Bitkom einen Praxis-Leitfaden bereit.
Wie netfiles kritische Datenwege souveräner gestaltet
netfiles unterstützt Unternehmen dabei, besonders sensible Dokumentenprozesse kontrolliert abzubilden, ohne dafür die gesamte bestehende IT-Infrastruktur ersetzen zu müssen. Mit netfiles Datenräumen lassen sich vertrauliche Dateien zentral ablegen, mit internen und externen Beteiligten teilen und über klar definierte Rollen und Rechte kontrollieren. Aktivitäten bleiben nachvollziehbar, während Dokumente nicht länger unstrukturiert über E-Mail-Anhänge oder offene Cloud-Ordner verteilt werden.
netfiles Send ist darüber hinaus auf den einfachen und sicheren Versand großer und vertraulicher Dateien ausgerichtet. Dateien und Ordner bis 150 GB können über geschützte Downloadlinks bereitgestellt werden. Optionen wie Ablauffristen, Empfangsbestätigung, Passwortschutz und E-Mail-Verifikation erhöhen die Kontrolle über externe Übergabepunkte.
Firmensitz, Entwicklung und Hosting von netfiles befinden sich in Deutschland. netfiles ist nach ISO/IEC 27001 und ISO 22301 zertifiziert sowie nach BSI C5 und SOC 2 unabhängig testiert.
Damit eignet sich netfiles insbesondere für Prozesse, bei denen sensible Daten sicher abgelegt, gemeinsam bearbeitet oder extern weitergegeben werden müssen. Der Anspruch ist nicht, jede bestehende Unternehmensanwendung zu ersetzen. Vielmehr erhalten KMU eine souveräne Alternative für diejenigen Datenwege, bei denen Kontrolle, Vertraulichkeit und Nachvollziehbarkeit besonders wichtig sind.
Fazit: Datensouveränität beginnt mit einem ersten Schritt
Das Wichtigste zu Datensouveränität in einem Satz? Warten Sie nicht, bis eine „vollständige“ Cloud- oder IT-Strategie beschlossen ist – weder in Ihrem Unternehmen noch vonseiten der Gesetzgebung. Ihr erster und einfacher Schritt besteht darin, die eigenen Daten, Systeme und Abhängigkeiten sichtbar zu machen. Anschließend lassen sich Risiken priorisieren und besonders kritische Datenwege gezielt souveräner gestalten.
Datensouveränität entsteht nicht durch einen einmaligen Komplettumbau Ihrer IT. Sie entsteht Schritt für Schritt – durch Transparenz und klare Prioritäten, gezielte Lösungen und die Fähigkeit, auch bei veränderten Rahmenbedingungen handlungsfähig zu bleiben.
Erfahren Sie mehr – netfiles ist Ihr souveräner Daten-Partner
Europäische Cloud-Lösungen sind keine Notlösung – sie sind die strategisch richtige Wahl für Unternehmen, die Kontrolle über ihre Daten behalten wollen.
Überzeugen Sie sich selbst – testen Sie netfiles 14 Tage kostenlos. Keine US-Abhängigkeit, voller Funktionsumfang. Jetzt kostenlos testen →
Haben Sie Fragen zur Cloud-Souveränität? Sprechen Sie mit unserem Team →