Risiken

Wenn Bayern und Deutschland digitale Souveränität nicht rasch genug stärken, drohen vor allem wachsende Abhängigkeiten, Sicherheitsrisiken und ein Verlust politischer Handlungsfähigkeit. Digitale Souveränität bedeutet dabei nicht, jede Software selbst zu entwickeln, sondern kritische Systeme, Daten und Lieferketten kontrollieren, wechseln und im Krisenfall eigenständig weiterbetreiben zu können.

Die wichtigsten Risiken

1. Erpressbarkeit durch einzelne Anbieter

Bleiben Verwaltung, Unternehmen und kritische Infrastrukturen dauerhaft von wenigen außereuropäischen Cloud-, Software-, Plattform- oder Netzwerkanbietern abhängig, können diese ihre Preise, Vertragsbedingungen oder technischen Vorgaben weitgehend durchsetzen.

Besonders problematisch sind:

kurzfristige Preissteigerungen oder Lizenzänderungen,
die Einstellung eines Produkts,
fehlende Möglichkeit, Daten und Anwendungen vollständig zu einem anderen Anbieter mitzunehmen,
technische Abhängigkeit von proprietären Dateiformaten und Schnittstellen,
ein faktischer Zwang, immer weitere Dienste desselben Konzerns zu nutzen.

Das kann für Behörden und Unternehmen zu einem Vendor-Lock-in werden: Ein Wechsel wäre theoretisch möglich, praktisch aber so teuer und aufwendig, dass er unterbleibt. Die IHK München nennt deshalb offene Standards, Exit-Strategien und ein besseres Monitoring von Abhängigkeiten als zentrale Handlungsfelder.[ihk-muenchen]

2. Größere Angriffsfläche für Cyberangriffe

Je stärker zentrale Verwaltungs- und Wirtschaftsprozesse digital vernetzt und von wenigen technischen Ökosystemen abhängig sind, desto größer kann der Schaden eines erfolgreichen Angriffs oder einer großflächigen Störung werden.

Mögliche Folgen wären:

Ausfälle bei Kommunen, Krankenhäusern und Versorgungsunternehmen,
nicht verfügbare Bürger- und Unternehmensdienste,
Produktionsstillstände,
Ransomware-Erpressung,
Spionage und Abfluss sensibler Daten,
langwierige Wiederherstellungskosten.

Die Gesellschaft für Informatik bezeichnet die Angreifbarkeit kritischer IT-Systeme und Infrastrukturen als eines der vier zentralen Risiken für Deutschlands digitale Souveränität. Nach Angaben der IHK München war 2025 fast jeder fünfte bayerische Betrieb von einem erheblichen Cyberangriff betroffen; als häufige Angriffsmuster werden Betrug, Ransomware und Spionage genannt.[ihk-muenchen][gi]

Digitale Souveränität ersetzt allerdings keine IT-Sicherheit. Auch Open-Source-Software kann Schwachstellen enthalten. Entscheidend ist, ob Deutschland Sicherheitsprüfungen, Updates, Notfallbetrieb und Wiederherstellung selbst kontrollieren kann.

3. Verlust der Datenhoheit

Daten über Bürger, Unternehmen, Forschung und staatliche Abläufe sind nicht nur ein Datenschutzthema. Sie bilden auch die Grundlage für wirtschaftliche Innovation, künstliche Intelligenz, Verwaltung und strategische Planung.

Wenn solche Daten dauerhaft in fremden Plattformen verarbeitet werden, entstehen Risiken durch:

Zugriffsmöglichkeiten ausländischer Behörden nach deren nationalem Recht,
unklare Speicher- und Verarbeitungsorte,
Profilbildung und kommerzielle Auswertung,
Abhängigkeit von den Analyse- und KI-Funktionen eines Anbieters,
erschwerte Kontrolle über Löschung, Kopien und Sicherungen.

Das BSI weist ausdrücklich auf zwei Risiken bei Produkten ausländischer Anbieter hin: die mögliche technische Einflussnahme durch Akteure außerhalb der EU und den Datenabfluss aus der EU.[bsi.bund]

Für Bayern wären etwa Steuer-, Gesundheits-, Sozial-, Melde- und Bildungsdaten besonders sensibel. Ein Anbieterwechsel oder eine rechtliche Auseinandersetzung dürfte nicht dazu führen, dass der Staat den Zugriff auf solche Daten oder seine eigenen Arbeitsabläufe verliert.

4. Einschränkung staatlicher Handlungsfähigkeit

In einer geopolitischen Krise könnten Sanktionen, Exportbeschränkungen, politische Konflikte oder neue gesetzliche Vorgaben dazu führen, dass Dienste eingeschränkt, abgeschaltet oder nicht mehr aktualisiert werden.

Das gilt beispielsweise für:

Cloud-Dienste,
Betriebssysteme,
Büro- und Kommunikationssoftware,
Netzwerk- und Sicherheitsprodukte,
Chips und andere Hardware,
KI-Modelle und digitale Entwicklungswerkzeuge.

Das Bundesministerium für Digitales und Staatsmodernisierung hebt hervor, dass der Krieg gegen die Ukraine und globale Lieferengpässe die Verwundbarkeit Deutschlands durch ausländische Technologieabhängigkeiten offengelegt haben. Betroffen seien unter anderem Cloud-Dienste, Netzwerktechnik und Betriebssysteme.[bmds.bund]

Das Risiko besteht nicht darin, dass morgen zwangsläufig alle Systeme abgeschaltet werden. Problematisch ist vielmehr, dass Deutschland im Ernstfall keine ausreichenden Alternativen und keinen kontrollierten Notbetrieb besitzt.

5. Verlust von Wettbewerbsfähigkeit und Innovation

Unternehmen, die bei Cloud, KI, Plattformen, Chips oder Cybersecurity fast ausschließlich auf ausländische Anbieter zurückgreifen, zahlen nicht nur Nutzungsgebühren. Sie geben möglicherweise auch Teile ihrer Daten, Entwicklungsfähigkeit und strategischen Kontrolle ab.

Langfristig kann das bedeuten:

europäische Unternehmen bleiben bei Schlüsseltechnologien Nutzer statt Gestalter,
besonders kleine und mittlere Unternehmen geraten in Abhängigkeit,
Forschungsergebnisse und Unternehmensdaten fließen zu Plattformbetreibern,
innovative Start-ups müssen sich an fremde Ökosysteme anpassen,
deutsche Anbieter verlieren wichtige Märkte und Fachkräfte.

Die DIHK beschreibt die Abhängigkeiten Deutschlands und Europas bei Cloud-Infrastrukturen, Plattformen, KI-Frameworks und Teilen der öffentlichen IT als strategisches Risiko für Handlungsfähigkeit und Wettbewerbsfähigkeit.[dihk]

6. Höhere Kosten – trotz scheinbar günstiger Lösungen

Eine kurzfristig günstige Standardlösung kann später teuer werden, wenn:

Lizenzen regelmäßig erhöht werden,
Datenmigrationen notwendig werden,
Spezialisten für ein proprietäres System fehlen,
Sicherheitsvorfälle behandelt werden müssen,
parallele Ersatzsysteme aufgebaut werden,
Behörden oder Unternehmen in Krisen unter Zeitdruck wechseln müssen.

Das ist mit dem Kauf eines Autos vergleichbar, für das es nur einen einzigen Hersteller von Ersatzteilen gibt: Der Anschaffungspreis kann attraktiv sein, aber Wartung, Reparatur und ein späterer Wechsel werden teuer.

7. Fachkräftemangel und schwindende eigene Kompetenz

Wenn kritische Systeme vollständig als fertige Dienste eingekauft werden, kann innerhalb von Behörden und Unternehmen das technische Wissen verloren gehen. Dann weiß man zwar, wie man einen Dienst benutzt, aber nicht mehr, wie man ihn unabhängig betreibt, prüft oder ersetzt.

Gleichzeitig fehlen Fachkräfte in:

IT-Sicherheit,
Administration und Betrieb,
Softwareentwicklung,
Chip- und Hardwaretechnik,
Datenmanagement,
KI,
Notfallplanung.

Der Fachkräftemangel wird von der Gesellschaft für Informatik neben Cyberrisiken, Datenhoheit sowie Rohstoff- und Vorproduktabhängigkeiten als eines der vier wesentlichen Risiken genannt.[gi]

Besondere Bedeutung für Bayern

Bayern ist besonders betroffen, weil der Freistaat gleichzeitig

ein großer Industriestandort,
ein Zentrum der Automobil- und Maschinenbauindustrie,
ein wichtiger Forschungs- und Hochschulstandort,
von vielen mittelständischen Unternehmen geprägt,
und für zahlreiche kommunale Verwaltungsprozesse verantwortlich ist.

Eine verzögerte Souveränität könnte deshalb nicht nur Ministerien betreffen, sondern auch Fahrzeugproduktion, Logistik, Gesundheitsversorgung, Energie, Kommunen und mittelständische Zulieferer. Die Folgen würden wahrscheinlich schleichend sichtbar: steigende Kosten, weniger Auswahl, langsamere Verwaltung und größere Abhängigkeit – nicht erst bei einem spektakulären Cyberangriff.

siehe auch Webseite zu Digitale Souveränität

Fazit und Handlungsempfehlungen

Kritische Abhängigkeiten erfassen: Welche Systeme, Daten und Anbieter wären bei einem Ausfall unverzichtbar?
Offene Standards verlangen: Daten und Dokumente müssen in portablen, gut dokumentierten Formaten vorliegen.
Exit-Strategien vertraglich festlegen: Anbieter müssen vollständige Datenexporte, Übergangshilfe und nachvollziehbare Löschungen ermöglichen.
Mehrere Betriebsoptionen schaffen: etwa europäische Cloud-Angebote, kommunale Rechenzentren und notfalls lokal betreibbare Systeme.
Open Source gezielt einsetzen: besonders dort, wo Transparenz, Prüfbarkeit und langfristige Wartbarkeit entscheidend sind.
Notbetrieb üben: Behörden und kritische Unternehmen sollten auch bei Cloud-, Netz- oder Anbieter-Ausfällen arbeitsfähig bleiben.
Fachkräfte und eigene Kompetenz ausbauen: Ohne qualifiziertes Personal bleibt auch souveräne Software abhängig von externen Dienstleistern.

Der Kernpunkt lautet: Nicht jede ausländische Technologie ist automatisch unsicher, und nicht jede europäische Lösung automatisch gut. Das eigentliche Risiko entsteht, wenn Bayern und Deutschland bei kritischen digitalen Funktionen keine realistische Wechselmöglichkeit, keine ausreichende Kontrolle und keinen funktionsfähigen Notbetrieb mehr besitzen.