News

Wie ein deutscher Managed Service Provider seine komplette Cloud-Infrastruktur in nur zwölf Monaten von VMware auf OpenStack umstellte – und was daraus für jedes Unternehmen folgt, das heute noch von Hyperscalern und US-Diensten abhängt.

Unstete wirtschaftliche und politische Marktbedingungen setzen deutsche IT-Unternehmen zusehends unter Druck. Gleichzeitig zeigen wirtschaftliche Entscheidungen amerikanischer Unternehmen, wie die der Firma Broadcom, die Abhängigkeit von einzelnen Anbietern. UPONU zeigt, wie mit einer klaren Orientierung zu Open Source Lösungen, echte Souveränität gelebt werden kann.

Als Broadcom kürzlich seine neue Kostenstruktur vorstelle, ging ein Beben durch den Markt der Bertreiber von Cloud Stacks. VMware war lange die Standardlösung in diesem Sektor. Nach der Übernahme durch Broadcom und dem Wandel, weg von unbefristeten Lizenzen (Perpetual Licenses), hin zu gebündelten Abonnements mit deutlich höheren Einstiegspreisen und verändertem Funktionszuschnitt, führte dies von plötzlichen Preiserhöhungen von 800% und mehr. Vor allem aber machte dieses Ereignis schlagartig ein massives Risiko sichtbar: die tiefe Abhängigkeit von einer einzigen, proprietären Plattform. Für UPONU war die Frage war nicht länger, ob eine Alternative sinnvoll wäre, sondern wie schnell sie sich umsetzen ließe.

Wenn sich die Rahmenbedingungen einseitig ändern

Das Szenario eines „Vendor Lock-in“ wird selten als akutes Risiko wahrgenommen. Eine etablierte Plattform funktioniert, das Team kennt die Werkzeuge, Prozesse sind eingespielt, die Abhängigkeit bleibt unsichtbar. Umso schwerwiegender die Situation, wenn das Risiko plötzlich zur Realität wird. Wenn der Anbieter die Bedingungen einseitig verändert, beispielsweise bei Preisen, Lizenzmetriken, Produktbündelung, Support-Konditionen oder der Vertragslaufzeit, kann das die Planung eines Unternehmens massiv in Schieflage bringen. Und genau das ist im Zuge der VMware-Übernahme für einen großen Teil des Marktes eingetreten: Bei vielen Service Providern wandelte sich ein stabiles Geschäftskonzept plötzlich in ein defizitäres Geschäft. Auch für viele KMUs, die ihre betriebsinterne Virtualisierung auf VMware realisiert haben, explodierten die Kosten schlagartig.

Das eigentliche Problem ist aber nicht nur die Technologie, sondern insbesondere die Asymmetrie der Verhandlungsposition: Wer seine gesamte Wertschöpfung auf einer proprietären Basis betreibt, hat im Konfliktfall kaum Spielraum. Ein kurzfristiger Wechsel ist technisch aufwendig, organisatorisch riskant und finanziell schwer kalkulierbar. Diese fehlende Ausweichoption ist der Kern des Lock-in und verwandelt eine reine Lieferantenbeziehung in eine strukturelle Abhängigkeit und bringt den Anbieter in eine quasi-monopolistische Position.

Proprietäre Abhängigkeit gegenüber souveräner Offenheit – die strukturellen Unterschiede auf einen Blick. © 2026 UPONU GmbH

Für UPONU kam ein zweiter Aspekt hinzu: Als Unternehmen mit hoher Affinität zu Open Source Lösungen, war die Abhängigkeit von einem einzelnen, amerikanischen Anbieter schon lange ein Dorn im Auge. Weshalb bereits seit geraumer Zeit nach Alternativen auf Basis von Open Source gesucht wurde.

Die Entscheidung: OpenStack auf Basis des Sovereign Cloud Stack

UPONU entschied sich bewusst gegen einen erneuten Wechsel von einem proprietären Anbieter zum nächsten – und damit gegen die Wiederholung desselben Abhängigkeits-Musters. Stattdessen fiel die Wahl auf OpenStack, das etablierte Open-Source-Framework für den Betrieb von Cloud-Infrastrukturen. Offene Standards bedeuten in diesem Kontext mehr als nur einsehbaren Quellcode: Sie sichern Portabilität, verhindern die Bindung an die Preispolitik eines einzelnen Herstellers und geben die strategische Kontrolle über die eigene Infrastruktur zurück.

Als Bauplan diente die Referenzarchitektur des Sovereign Cloud Stack (SCS) – eine europäische Open-Source-Initiative, die einen standardisierten, souverän betreibbaren Aufbau für Cloud-Infrastrukturen definiert. SCS liefert nicht nur eine technische Blaupause, sondern einen erprobten, gemeinschaftlich gepflegten Standard, der Interoperabilität zwischen Betreibern ermöglicht und sich an den Anforderungen an digitale Souveränität in Deutschland und Europa orientiert. Für UPONU bedeutete das: nicht jede Entscheidung von Grund auf selbst treffen zu müssen, sondern auf einem konsistenten, zukunftsfähigen Fundament aufzubauen.

Der Anspruch war dabei klar umrissen: eine Plattform, die denselben Funktionsumfang und dieselbe Betriebsreife bietet wie die abgelöste Umgebung, ohne die Abhängigkeit von einem einzelnen Lizenzgeber – und die zugleich anschlussfähig an die Idee eines europäischen, souverän betriebenen „Deutschland-Stack“ ist.

Zwölf Monate unter Druck

Eine vollständige Infrastruktur-Migration ist unter komfortablen Bedingungen schon anspruchsvoll. Unter Zeitdruck – bevor neue Lizenzkosten dauerhaft wirksam werden – wird sie zur Belastungsprobe für Technik, Organisation und Finanzplanung gleichermaßen. UPONU stellte die gesamte Rechenzentrums-Infrastruktur innerhalb von zwölf Monaten um. Drei Dimensionen prägten das Projekt:

Technisch

Virtualisierungs-Schichten, Netzwerk- und Storage-Konzepte, Backup- und Hochverfügbarkeitsmechanismen mussten auf der neuen Basis nachgebildet und in vielen Fällen neu gedacht und entwickelt werden. Hunderte virtuelle Maschinen waren zu migrieren, ohne den laufenden Betrieb zu gefährden. OpenStack folgt anderen Konzepten als eine klassische Hypervisor-Umgebung; eine reine Eins-zu-eins-Übertragung war weder möglich noch sinnvoll. Gefragt war eine saubere Neukonzeption von Automatisierung, Netzsegmentierung und Betriebsabläufen entlang der SCS-Referenz. Dazu hat UPONU ein eigenes Migrationstool entwickelt.

Organisatorisch

Eine neue Plattform verlangt neues Wissen. Betriebsteams mussten Kompetenzen in OpenStack und den zugehörigen Werkzeugketten aufbauen, Runbooks und Monitoring neu schreiben, Verantwortlichkeiten neu ordnen. Parallel lief der reguläre Betrieb weiter – inklusive der Verpflichtungen gegenüber Kunden. Migration im laufenden Geschäft bedeutet, zwei Welten zugleich zu beherrschen, bis die alte Umgebung endgültig abgeschaltet werden kann.

Finanziell

Dem absehbaren Anstieg der Lizenzkosten standen die einmaligen Investitionen der Migration gegenüber – Personal, Projektaufwand, paralleler Doppelbetrieb über eine Übergangsphase. Entscheidend war hier weniger die kurzfristige Ersparnis als die langfristige Planbarkeit: eine Kostenstruktur, die nicht mehr von den strategischen Interessen eines einzelnen Anbieters abhängt und sich verlässlich kalkulieren lässt.

Dass die Umstellung in diesem Zeitfenster gelang, lag nicht zuletzt an der konsequenten Orientierung an einem etablierten Standard statt einer Eigenkonstruktion. Der SCS-Ansatz reduzierte Designrisiken und beschleunigte Entscheidungen, weil viele Architekturfragen bereits beantwortet waren.

Datensouveränität als operative Notwendigkeit

Datensouveränität wird häufig als politische Forderung behandelt – als Frage nationaler oder europäischer Eigenständigkeit. Aus Betreibersicht ist sie zuallererst etwas anderes: eine operative Notwendigkeit. Wer kontrolliert, auf welcher Plattform Daten liegen, nach welchen Regeln sie verarbeitet werden und wer im Ernstfall den Zugriff bestimmt, hält die Kontrolle über die eigene Handlungsfähigkeit.

Der VMware-Fall zeigt diesen Zusammenhang exemplarisch: Eine Veränderung in der Eigentümer- und Lizenzstruktur eines außereuropäischen Anbieters kann Geschäftsmodelle hierzulande unmittelbar unter Druck setzen. Souveränität heißt in diesem Sinne nicht Abschottung, sondern Wahlfreiheit – die Fähigkeit, Anbieter zu wechseln, Betriebsmodelle anzupassen und Daten dort zu halten, wo es rechtlich und strategisch geboten ist. Offene Standards wie OpenStack und SCS sind dafür die technische Voraussetzung, weil sie Portabilität erst möglich machen.

Wichtige Erkenntnisse für den Mittelstand

Die Erfahrung von UPONU lässt sich auf viele Organisationen übertragen, die heute noch in vergleichbaren Abhängigkeiten stehen. Vier Konsequenzen stechen hervor:

• Lock-in bewerten, bevor er akut wird. Die zentrale Frage lautet nicht „Funktioniert die Plattform?“, sondern „Was kostet uns ein Wechsel – und wie schnell wäre er möglich?“. Wer diese Antwort nicht kennt, kennt sein Risiko nicht.
• Offene Standards als Versicherung verstehen. Portabilität ist kein technisches Detail, sondern eine Verhandlungsposition. Sie wirkt auch dann, wenn man sie nie in Anspruch nimmt.
• Auf erprobte Referenzen setzen. Ein gemeinschaftlich gepflegter Standard wie der Sovereign Cloud Stack senkt Risiko und Zeitaufwand gegenüber einer Eigenentwicklung erheblich.
• Souveränität operativ denken. Datenhoheit, Kostenplanbarkeit und Wechselfähigkeit gehören in die Betriebs- und Finanzplanung – nicht nur in Strategiepapiere.

Der Wechsel muss dabei nicht im Alleingang erfolgen. Genau hier setzt das Angebot an, das aus dem eigenen Migrationsweg von UPONU entstanden ist.

Ein Weg in die souveräne Cloud: der infra:u Cloud Stack

Aus der eigenen Migration hat UPONU den infra:u Cloud Stack entwickelt – eine nach dem Sovereign Cloud Stack aufgebaute und damit „Deutschland-Stack“-konforme Cloud-Plattform, die anderen Unternehmen denselben Weg in eine souveräne, europäische Cloud-Umgebung eröffnet, ohne ihn von Grund auf selbst gehen zu müssen. Der Stack ist bewusst auf unterschiedliche Ausgangslagen zugeschnitten und in mehreren Bezugsmodellen verfügbar:

Der infra:u Cloud Stack – eine Plattform, vier Bezugsmodelle. © 2026 UPONU GmbH

• Private Cloud Stack im Rechenzentrum des Kunden – betrieben auf der Hardware des Kunden oder auf Hardware der UPONU, mit voller Datenhoheit vor Ort.
• Private Cloud Stack im Rechenzentrum der UPONU – auf dedizierter, exklusiv zugeordneter Hardware in deutschen Rechenzentren.
• Shared Cloud Stack als klassischer Managed Service – als geteilte Plattform für einen schnellen, ressourcenschonenden Einstieg.

In allen Varianten übernimmt UPONU Aufbau und Betrieb des Cloud Stack, unterstützt im Projektmanagement und mit den üblichen Betriebsleistungen wie dem Patch-Management und bietet 24/7-Support. So wird aus der Referenzarchitektur des Sovereign Cloud Stack ein konkret betreibbares Angebot – und aus der Idee digitaler Souveränität eine praktikable Option für Unternehmen, die ihre Abhängigkeit von einem einzelnen proprietären Anbieter beenden wollen.

Die Lehre aus zwölf Monaten Migration lässt sich kompakt zusammenfassen: Souveränität ist eine Frage der Haltung: Wer offene Standards wählt, behält die Kontrolle – auch dann, wenn sich die Rahmenbedingungen ändern.

Unternehmensprofil

Die UPONU GmbH aus Siegen schafft ein verlässliches Fundament für die digitale Zukunft von Organisationen. Getreu unserem Markenclaim „Echt performant“ entwickeln und betreiben wir souveräne Cloud Infrastruktur und verschlüsselte Kommunikationslösungen. Im Zentrum unserer Arbeit steht dabei die absolute Datensouveränität.

Kontakt

Frank Schmidt
Geschäftsführer
UPONU GmbH
info@uponu.com

Bereits seit 2013 wird über digitale Souveränität diskutiert. Seit dem vergangenen Jahr hat das Thema jedoch nochmals deutlich an Bedeutung gewonnen. Immer mehr Unternehmen erkennen, wie stark sie von sogenannten Big-Tech-Konzernen abhängig sind – und dass sie sich nicht darauf verlassen können, dass die Rahmenbedingungen morgen noch dieselben sind wie heute. Diese Unsicherheit führt zu einem wachsenden Bedürfnis nach Unabhängigkeit von einzelnen Anbietern und proprietären Lösungen.

Mit TUXEDO digitale Souveränität vorantreiben

TUXEDO ist und bleibt in diesem Kontext ein unabhängiges Unternehmen, das digitale Souveränität aktiv fördert. Unser Ansatz ist klar: frei konfigurierbare Geräte, die standardmäßig mit dem offenen Betriebssystem Linux ausgeliefert werden. Mit TUXEDO OS bieten wir zudem ein speziell auf unsere Hardware abgestimmtes Betriebssystem an.

Ein entscheidender Baustein digitaler Souveränität ist die enge Abstimmung von Hardware und Betriebssystem. Wenn beides aus einer Hand kommt, entsteht Kontrolle statt Abhängigkeit. Unternehmen profitieren von klaren Zuständigkeiten und müssen sich nicht zwischen verschiedenen Ansprechpartnern für Hard- und Software aufteilen. Dadurch werden Supportprozesse effizienter und Ausfallzeiten reduziert.

Darüber hinaus sind Betriebssystem, Treiber und Hardware bei TUXEDO optimal aufeinander abgestimmt. Das sorgt nicht nur für Stabilität, sondern erhöht auch Transparenz und Kontrolle – insbesondere bei Updates und sicherheitsrelevanten Anpassungen.

Auch aus technischer Sicht bieten Linux-basierte Notebooks klare Vorteile. Sie sind in der Regel schlanker konfiguriert, da weniger unnötige Hintergrunddienste aktiv sind. Dadurch arbeiten sie robuster, lassen sich besser kontrollieren und flexibler einsetzen. Gleichzeitig sind Linux-Systeme für Angreifer häufig weniger attraktiv, da ein Großteil der Schadsoftware nach wie vor auf Windows-Systeme ausgerichtet ist.

„Made in Germany – Made in Europe“

Digitale Souveränität endet nicht beim Betriebssystem. Ebenso wichtig sind regionale Wertschöpfung, kurze Kommunikationswege und europäische Datenschutzstandards.

Datenschutz und Sicherheit stehen bei TUXEDO an erster Stelle. Onlineshop, myTUXEDO-Cloud und die gesamte Server-Infrastruktur befinden sich in Deutschland und werden vom eigenen Team in Augsburg betreut. Als regional verwurzeltes Unternehmen entwickelt TUXEDO seine Linux-Hardware mit Fertigung in Leipzig. Assemblierung, Installation sowie die Integration eigens entwickelter Treiber, Skripte und Add-ons erfolgen vollständig im eigenen Haus. Ergänzt wird dies durch eine eigene Infrastruktur für Reparatur-, Service- und Supportleistungen am Standort Augsburg.

Bei Fragen rund um Geräte oder Versand steht Kundinnen und Kunden ein rund 20-köpfiges Team aus Kundenservice und technischem Support telefonisch sowie per E-Mail zur Verfügung.

So profitieren Kundinnen und Kunden nicht nur von kurzen Wegen und persönlichem Support, sondern auch von europäischem Datenschutz, hoher Transparenz und maximaler Kontrolle über ihre Daten.

Nachhaltigkeit und Langlebigkeit

Digitale Souveränität geht Hand in Hand mit Hardware-Souveränität. Dazu gehört auch, Geräte möglichst lange nutzen, reparieren und aufrüsten zu können, anstatt sie aufgrund künstlicher Softwarebeschränkungen ersetzen zu müssen.

Regelmäßige Wartung, insbesondere die Reinigung der Lüfter, trägt dazu bei, dass ein TUXEDO-Notebook kühler, leiser und damit langfristig zuverlässiger arbeitet. Deshalb gibt TUXEDO seinen Kundinnen und Kunden bewusst die Möglichkeit, Geräte für Wartungs- und Aufrüstungsarbeiten selbst zu öffnen – ohne Garantieverlust. Auf der Website sowie auf den Social-Media-Kanälen, beispielsweise auf YouTube, finden sich dafür ausführliche Anleitungen und Schritt-für-Schritt-Tutorials. Die Reinigung von Lüfter und Kühlsystem empfehlen wir alle sechs bis zwölf Monate.

Auch Komponenten wie Arbeitsspeicher, SSD, Akku, WLAN-Modul oder CMOS-Batterie sind bei den meisten TUXEDO-Geräten verschraubt und können bei Bedarf unkompliziert ausgetauscht werden.

Digitale Souveränität bedeutet in diesem Zusammenhang auch, Anwenderinnen und Anwender zu befähigen. Unabhängigkeit entsteht nicht allein durch offene Technologien, sondern auch dadurch, dass Menschen verstehen, wie ihre Geräte funktionieren, und die Möglichkeit erhalten, selbst aktiv zu werden.

Datensicherheit durch bewusste Hardware-Entscheidungen

Ein anschauliches Beispiel dafür ist der Unterschied zwischen intransparenter Hardwareverschlüsselung und kontrollierbarer softwarebasierter Verschlüsselung.

Manche Standards versprechen eine herstellerübergreifend einheitliche Verwaltung. In der Praxis hängt ihre tatsächliche Funktionsweise jedoch stark von der jeweiligen Firmware ab. Genau darin liegt das zentrale Problem: Die Implementierung bleibt weitgehend eine Blackbox. Unabhängige Audits, Debugging und eine fundierte Fehleranalyse werden dadurch erheblich erschwert. Gerade im Bereich der IT-Sicherheit ist mangelnde Transparenz ein entscheidender Nachteil.

Auch wissenschaftliche Untersuchungen zeigen seit Jahren, dass Theorie und Praxis häufig auseinandergehen. Sicherheitsforscher konnten wiederholt nachweisen, dass verschiedene Hardwareverschlüsselungen aufgrund von Spezifikations-, Design- oder Implementierungsfehlern erhebliche Sicherheitslücken aufweisen können.

Standardverfahren zur Festplattenverschlüsselung unter Linux

TUXEDO setzt deshalb auf LUKS (Linux Unified Key Setup), den etablierten Standard zur Festplattenverschlüsselung unter Linux. LUKS ist fester Bestandteil des Linux-Ökosystems, transparent dokumentiert und breit erprobt. Es verschlüsselt Partitionen oder Container und schützt den Zugriff über Passphrasen oder andere Schlüsselverfahren.

Im Gegensatz zu proprietären Lösungen ist LUKS portabel. Ein verschlüsselter Datenträger kann auf jedem kompatiblen Linux-System geöffnet werden, sofern die erforderlichen Zugangsdaten vorliegen. Gleichzeitig erleichtert die offene Architektur Fehleranalysen und Audits und ermöglicht eine langfristig nachvollziehbare Sicherheitsstrategie.

Extern beginnen, intern weiter ausbauen

Ebenso wichtig wie die Wahl der richtigen Technologien ist der Aufbau eigener digitaler Kompetenzen im Unternehmen. Sie stärken die Unabhängigkeit von externen Anbietern und schaffen die Grundlage für langfristige Innovations- und Wettbewerbsfähigkeit.

Fazit

Digitale Souveränität bedeutet nicht, alles selbst entwickeln oder auf externe Lösungen verzichten zu müssen. Entscheidend ist vielmehr, bewusste Entscheidungen zu treffen und die eingesetzten Technologien zu verstehen, zu kontrollieren und langfristig selbstbestimmt einsetzen zu können.

Wer Hardware, Betriebssystem und Support ganzheitlich betrachtet, reduziert Komplexität, stärkt die eigene Handlungsfähigkeit und macht IT vom reinen Kostenfaktor zum strategischen Wettbewerbsvorteil. TUXEDO unterstützt Unternehmen dabei als kompetenter Partner.

Unternehmensprofil

TUXEDO entwickelt Linux-optimierte Notebooks und PCs mit perfekt abgestimmter Hard- und Software. Individuelle Konfiguration, vorkonfiguriertes Linux, eigene Software, deutscher Support sowie Entwicklung, Service und Datenschutz aus Deutschland machen TUXEDO zur Linux-Alternative.

Kontakt

Annika Litzel
TUXEDO Computers
Marketing/PR
presse@tuxedocomputers.com

Bilder: © 2026 TUXEDO Computers. Alle Rechte vorbehalten

Viele Unternehmen stehen vor einer ähnlichen Herausforderung: Sie benötigen moderne digitale Infrastruktur, wollen oder können zentrale Systeme aber nicht vollständig in die Public Cloud verlagern. Gleichzeitig fehlen intern oft Ressourcen und Spezialwissen, um komplexe Software dauerhaft professionell zu betreiben.

Dabei geht es längst nicht mehr nur um Server oder einzelne Anwendungen. Entwicklungsplattformen, Such- und Logging-Systeme, Datenbanken, Monitoring-Lösungen oder zunehmend auch KI-Anwendungen werden zu zentralen Bestandteilen der Wertschöpfung. Gleichzeitig steigen die Anforderungen an Sicherheit, Verfügbarkeit, Compliance und technische Kontrolle.

Die einfache Antwort „Dann betreiben wir es eben selbst“ reicht deshalb immer seltener aus. Moderne Software lässt sich häufig schnell installieren. Die eigentliche Herausforderung beginnt danach: Updates, Security-Patches, Monitoring, Backups, Skalierung und der zuverlässige Betrieb über Jahre hinweg.

Was wir dabei in vielen Projekten beobachten: Die Diskussion wird seltener als „Cloud oder On-Premise?“ geführt. Stattdessen suchen Unternehmen nach Wegen, moderne Plattformen zu nutzen, ohne sensible Daten, kritische Prozesse oder die Kontrolle über zentrale Systeme vollständig aus der Hand zu geben.

Warum klassische Cloud-Strategien nicht für jedes Unternehmen passen

Die Public Cloud bietet viele Vorteile: schnelle Skalierung, standardisierte Services und hohe Flexibilität. Für zahlreiche Anwendungsfälle ist sie eine passende und wirtschaftliche Lösung.

Trotzdem ist sie nicht für jedes Unternehmen und jeden Use Case automatisch die richtige Antwort. In vielen mittelständischen Unternehmen gibt es gute Gründe, bestimmte Systeme nicht vollständig auszulagern:

• regulatorische Anforderungen
• Datenschutz
• Kundenvorgaben
• branchenspezifische Sicherheitsregeln
• bestehende Infrastrukturinvestitionen
• strategische Datenhoheit

Diese Anforderungen sind nicht Ausdruck von Cloud-Skepsis. Sie sind Teil einer verantwortungsvollen IT-Strategie.

Während viele Standardanwendungen weiterhin selbstverständlich in der Cloud betrieben werden, rücken einzelne Plattformen – etwa im Umfeld von Daten, KI oder geschäftskritischen Prozessen – wieder näher an das Unternehmen heran.

Dafür gibt es mehrere Gründe. Mit KI werden zunehmend unternehmenskritische Daten verarbeitet. Gleichzeitig steigen regulatorische Anforderungen und Erwartungen an Nachvollziehbarkeit, Sicherheit und Kontrolle. Hinzu kommt: Viele Unternehmen haben in den vergangenen Jahren wertvolle Erfahrungen mit Cloud-Plattformen gesammelt und können heute deutlich differenzierter beurteilen, welche Systeme von den Vorteilen der Cloud profitieren – und bei welchen Anwendungen Datenhoheit, Integrationsanforderungen oder betriebliche Kontrolle stärker ins Gewicht fallen.

Die eigentliche Frage lautet deshalb nicht: Cloud oder keine Cloud?

Sie lautet: Welches Betriebsmodell passt zu den Anforderungen des Unternehmens?

Welche Herausforderungen entstehen beim Eigenbetrieb moderner Software?

Wenn Public Cloud nicht infrage kommt, scheint Eigenbetrieb zunächst naheliegend. Viele Systeme sind Open Source, gut dokumentiert und technisch schnell aufgesetzt. Eine erste Installation ist oft in wenigen Stunden oder Tagen möglich.

Doch produktiver Betrieb beginnt nicht mit dem erfolgreichen Setup. Er beginnt danach.

In Projekten erleben wir immer wieder ähnliche Situationen: Unternehmen entscheiden sich bewusst gegen eine Cloud-Lösung, weil sensible Daten verarbeitet werden oder regulatorische Anforderungen erfüllt werden müssen. Die technische Einführung gelingt häufig schneller als erwartet. Erst Monate später wird sichtbar, dass Updates, Monitoring, Backup-Tests, Security-Patches und die laufende Betreuung dauerhaft Kapazitäten binden, die im Tagesgeschäft kaum vorhanden sind.

Warum moderne Plattformen mehr brauchen als eine Installation

Ein GitLab-System braucht nicht nur eine URL und Speicherplatz. Es braucht regelmäßige Updates, Sicherheits-Patches, Backup- und Recovery-Prozesse, Runner, Registry, Rechtekonzepte, Monitoring und Dokumentation.

Eine Such- oder Logging-Plattform wie OpenSearch oder Elasticsearch benötigt Speicherplanung, Index-Management, Performance-Überwachung, Alerting, Skalierung und klare Zuständigkeiten.

Ein lokales KI- oder RAG-System besteht nicht nur aus einem Sprachmodell. Es braucht Dokumentenpipelines, Vektordatenbanken, Zugriffsschutz, Aktualisierungsprozesse und Betriebsüberwachung.

Warum Betriebsverantwortung immer komplexer wird

Viele IT-Teams verantworten heute Netzwerke, Arbeitsplatzsysteme, Fachanwendungen, Security, Compliance und Support. Gleichzeitig wächst die Zahl der Plattformen, die für den Geschäftserfolg immer wichtiger werden. GitLab, Kubernetes, OpenSearch, Datenbanken oder lokale KI-Stacks bringen jeweils eigene Anforderungen an Betrieb, Sicherheit, Monitoring und Weiterentwicklung mit.

Die Herausforderung besteht dabei meist nicht darin, ein System einzuführen, sondern es dauerhaft sicher, stabil und zuverlässig zu betreiben. Updates müssen geplant, Sicherheitslücken bewertet, Backups getestet und Ausfälle abgefangen werden. Gleichzeitig steigen die Erwartungen an Verfügbarkeit, Nachvollziehbarkeit und Skalierbarkeit.

Gerade im Mittelstand entsteht daraus ein Spannungsfeld: Die Anforderungen an den Betrieb wachsen, die verfügbaren Ressourcen jedoch nicht im gleichen Maß. Für viele Unternehmen wird deshalb weniger die Technologie zur Herausforderung als die Frage, wie der langfristige Betrieb organisiert werden soll.

Wer übernimmt dauerhaft Updates, Backups, Monitoring und Incident Management? Diese Aufgaben sind selten sichtbar, für die Stabilität digitaler Geschäftsprozesse jedoch entscheidend.

Dadurch entsteht eine wachsende Nachfrage nach Betriebsmodellen zwischen klassischem Eigenbetrieb und vollständiger Auslagerung.

Wie funktionieren Managed Services in On-Premise-Umgebungen?

Managed Services werden häufig mit Hosting oder Cloud-Angeboten gleichgesetzt. Dabei ist der Gedanke dahinter breiter: Ein spezialisierter Partner übernimmt definierte Verantwortung für Betrieb, Wartung, Monitoring und Weiterentwicklung eines Systems.

Übertragen auf On-Premise- oder private Infrastrukturen entsteht daraus ein interessantes Modell. Das Unternehmen behält die Kontrolle über Daten und Infrastruktur, während der Betrieb professionell organisiert und durch externe Spezialisten unterstützt wird.

Das System kann im eigenen Rechenzentrum laufen, auf kundeneigenen Servern, in einer privaten Virtualisierungsumgebung, in einem internen Kubernetes-Cluster oder in einem dedizierten Hosting-Setup. Entscheidend ist dabei weniger der physische Standort als die klare Verteilung von Verantwortung.

Ein solches Modell umfasst typischerweise Konzeption, Installation, Absicherung, Monitoring, Updates, Backup, Dokumentation, Incident-Prozesse und kontinuierliche Weiterentwicklung. Der Zugriff erfolgt über definierte Administrationswege, etwa VPN, Jump-Hosts, rollenbasierte Berechtigungen und nachvollziehbare Freigabeprozesse. Dadurch bleibt der Betrieb kontrollierbar und transparent.

Für Unternehmen entsteht so ein Mittelweg: Sie müssen komplexe Spezialthemen nicht vollständig intern abdecken, geben aber auch nicht alle Daten und Systeme an eine externe Plattform ab.

Wie Managed Services Datenhoheit und professionellen Betrieb verbinden

In der Diskussion um digitale Souveränität steht häufig die Frage im Vordergrund, wo Daten gespeichert werden und welche Anbieter genutzt werden. Das ist wichtig, greift aber zu kurz. Denn Kontrolle entsteht nicht allein dadurch, dass ein System auf eigener Infrastruktur läuft. Entscheidend ist, ob Unternehmen auch praktisch in der Lage sind, diese Systeme sicher, stabil und nachvollziehbar zu betreiben.

Genau hier setzen Managed Services für On-Premise-Umgebungen an. Unternehmen behalten Hoheit über Daten, Architektur und Infrastruktur, während spezialisierte Partner Verantwortung für Wartung, Monitoring, Updates und operative Stabilität übernehmen. Damit entsteht ein Modell zwischen vollständigem Eigenbetrieb und vollständiger Auslagerung: Kontrolle bleibt erhalten, der Betrieb wird professionell organisiert.

Der Nutzen liegt dabei nicht allein darin, dass Systeme laufen. Unternehmen machen technologische Komplexität beherrschbarer, reduzieren Risiken und entlasten interne Teams. Statt für jedes Spezialthema eigenes Expertenwissen aufbauen zu müssen, können sie sich stärker auf strategische Aufgaben und ihr Kerngeschäft konzentrieren. Gleichzeitig sorgen etablierte Betriebsprozesse, klare Verantwortlichkeiten und kontinuierliche Weiterentwicklung für mehr Stabilität und Zukunftsfähigkeit.

Gerade bei Plattformen, die langfristig betrieben werden müssen, wird professionelle Betriebsverantwortung damit zu einem wichtigen Erfolgsfaktor.

Fazit: Nicht der Standort entscheidet, sondern der Betrieb

Cloud ist nicht automatisch richtig. On-Premise ist nicht automatisch sicher. Und die Wahl der Technologie allein entscheidet selten über den Erfolg eines Systems.

Die entscheidende Frage lautet nicht nur: Welche Plattform setzen wir ein? Sondern: Wer betreibt sie dauerhaft sicher, stabil und zuverlässig?

Unsere Erfahrung zeigt: Viele Unternehmen investieren viel Zeit in die Auswahl von Plattformen, Cloud-Anbietern oder Technologien. Die langfristige Betriebsverantwortung wird dagegen häufig erst dann konkret, wenn ein System bereits produktiv ist. Genau dann werden fehlende Zuständigkeiten, Ressourcenengpässe oder Wissenslücken sichtbar.

Das eigentliche Comeback erlebt deshalb nicht On-Premise. Das Comeback erlebt die Betriebsverantwortung.

Unternehmensprofil

Esono unterstützt Unternehmen wie Ihres dabei, komplexe digitale Entscheidungen sicher zu treffen, umzusetzen und auf Dauer zu leben. Wir entwickeln digitale Systeme und übernehmen Verantwortung für deren Betrieb. So schaffen wir die Grundlage für nachhaltige, skalierbare Geschäftsmodelle und effiziente Prozesse.

Kontakt

Maximilian Heinrich

Esono AG
Vorstand Service und Infrastruktur
maximilian.heinrich@esono.de

Digitale Souveränität ist längst kein politisches Schlagwort mehr. Für viele IT-Dienstleister, Softwareunternehmen und öffentliche Einrichtungen ist sie zu einer strategischen Notwendigkeit geworden. Die Frage lautet heute nicht mehr, ob wir unabhängiger von außereuropäischen Plattformen werden müssen – sondern wie.

Für Martin Flechsig, Gründer und Geschäftsführer der mitteldeutsche IT (mIT), begann diese Suche bereits vor fast zehn Jahren. Als damaliges IT-Systemhaus suchte er nach einer Cloud-Lösung, die einfach zu administrieren, datenschutzkonform und flexibel genug für unterschiedlichste Kundenanforderungen ist. Doch die Lösung, die er sich für seine Kunden wünschte, konnte er am Markt nicht finden.

Also entschied er sich, sie selbst zu entwickeln.

Aus dieser Idee entstand Schritt für Schritt eine digitale Wertschöpfungskette für mehr digitale Souveränität: von Cloud-Infrastrukturen über datenschutzkonforme Office-Lösungen bis hin zu souveränen KI-Anwendungen aus Deutschland. Dabei geht es nicht nur um Technologie, sondern um die digitale Freiheit die die mitteldeutsche IT als zuverlässiger deutscher Cloud-Anbieter erreichen will.

Viele Kunden der mitteldeutsche IT stehen heute vor denselben Herausforderungen, die Martin damals bewegt haben. Wie dieser Weg in der Praxis aussehen kann, zeigen die Erfahrungen eines IT-Dienstleisters und eines Softwareherstellers, die sich bewusst für souveräne Lösungen aus Deutschland entschieden haben.

Digitale Souveränität in der Praxis – Erfahrung eines Softwareherstellers aus Leipzig

Warum levelbuild seine No-Code-Plattform bei mitteldeutsche IT hostet.

Viele Jahre betrieb levelbuild seine No-Code-Plattform auf der Infrastruktur eines amerikanischen Hyperscalers. Technisch funktionierte die Lösung zuverlässig, dennoch wurden Fragen rund um Datenschutz, Datensouveränität und die langfristige Kontrolle über geschäftskritische Daten zunehmend wichtiger – sowohl für levelbuild selbst als auch für seine Kunden.

Besonders in den vergangenen Jahren nahmen die Nachfragen zu. Immer häufiger wollten Kunden wissen, wo ihre Daten gespeichert werden, wer darauf zugreifen kann und welche Auswirkungen internationale Gesetzgebungen auf ihre Unternehmensinformationen haben könnten.

Für Michael Woitag von levelbuild war klar: Diese Bedenken sind berechtigt und verdienen eine nachhaltige Antwort. Deshalb entschied sich levelbuild für den Wechsel zur Cloud-Infrastruktur der mitteldeutsche IT.

Heute profitiert das Unternehmen von einer vollständig in Deutschland betriebenen Cloud-Umgebung und kann seinen Kunden eine deutlich höhere Datensouveränität bieten. Gleichzeitig gewann levelbuild mehr Flexibilität bei der Skalierung seiner Plattform sowie eine langfristig planbare und transparente Kostenstruktur.

Ein weiterer Vorteil zeigte sich schnell im Tagesgeschäft: Statt anonyme Ticketsysteme zu nutzen, stehen direkte Ansprechpartner zur Verfügung, die technische Fragen schnell und unkompliziert lösen können. Die Zusammenarbeit erfolgt partnerschaftlich und auf Augenhöhe – ein Aspekt, der für Michael Woitag ebenso wichtig ist wie die technische Leistungsfähigkeit der Plattform.

Neben den organisatorischen und sicherheitsrelevanten Vorteilen konnte levelbuild die Infrastrukturkosten im Vergleich zum bisherigen Hyperscaler um bis zu 30 Prozent reduzieren.

Für levelbuild war der Wechsel deshalb weit mehr als eine technische Migration. Er war ein Schritt hin zu mehr Unabhängigkeit, mehr Kontrolle und einer Cloud-Strategie, die den Anforderungen europäischer Unternehmen langfristig gerecht wird.

Erfahrung eines IT-Dienstleisters aus Bocholt

Im Mai 2024 entschied sich Dennis, neue Wege zu gehen. Auf einer Branchenveranstaltung lernte er die mitteldeutsche IT GmbH kennen. Was ihn überzeugte, war nicht nur die Technik, sondern vor allem ein Ansatz, der in vielen Cloud-Projekten fehlt: Selbstbestimmung.

Statt auf starre Prozesse und lange Supportwege zu setzen, bietet die mIT ihren Partnern umfangreiche Self-Service-Möglichkeiten. IT-Admins können Ressourcen in der mIT Cloud selbst verwalten, Anpassungen eigenständig vornehmen und Projekte ohne Wartezeiten umsetzen. Gleichzeitig standen Themen wie Datenschutz, Performance, persönliche Erreichbarkeit und transparente Abrechnungsmodelle im Fokus.

Für Dennis war schnell klar: Hier geht es nicht nur um eine weitere Cloud-Plattform. Hier geht es darum, IT-Dienstleistern die Kontrolle zurückzugeben und auf Augenhöhe zusammenzuarbeiten.

Die erste Kundenmigration erfolgte gemeinsam mit einem Techniker der mitteldeutschen IT. Bereits nach kurzer Zeit war das Team in der Lage, weitere Projekte eigenständig umzusetzen. Kostenfreie Schulungen, ein durchdachtes Administrationsportal und ein direkter technischer Ansprechpartner sorgten dafür, dass die Umstellung nicht zum Risiko wurde, sondern zum Erfolgsprojekt.

Selbst komplexe technische Herausforderungen konnten schnell gelöst werden. Oft stellte die mIT individuelle Skripte bereit, um Migrationen zu automatisieren oder Altlasten aus bestehenden Umgebungen zu beseitigen.

Das Ergebnis war nicht nur eine moderne Infrastruktur, sondern auch ein deutlich entspannteres Tagesgeschäft. Heute erstellt das Team von Dennis Kundenabrechnungen automatisiert über die Schnittstellen der mIT. Prozesse laufen schneller, Fehlerquellen werden reduziert und die Techniker können sich wieder auf ihre eigentliche Arbeit konzentrieren. „Meine Techniker sind viel zufriedener, da wir heute nahezu alle technischen Aufgaben selbst erledigen können.“

Auch wirtschaftlich zahlte sich die Entscheidung aus. Durch das Partner- und Preismodell der mIT konnte das Unternehmen seinen Deckungsbeitrag um mehr als 15 Prozent steigern. Der eigentliche Gewinn liegt für Dennis jedoch an anderer Stelle: Mehr Kontrolle. Mehr Flexibilität. Mehr Unabhängigkeit.

Digitale Souveränität braucht eine vollumfängliche Office-Alternative ohne Toolwechsel

Vor ein paar Jahren wurde Martin wieder getriggert und stellte sich die Frage, welche datenschutzkonforme Office-Alternativen gibt es? Schnell wurde ihm klar, dass es viele Insellösungen gibt, aber keine Plattform, auf der alles zu finden ist: E-Mail, Chat, Videokonferenz, Kalender, Telefonie, Projektmanagement oder eine API-Schnittstelle.

„Wir brauchen keine nachgeahmten Office-Lösungen, die nur DSGVO-konform sind. Wir brauchen heute eine Office-Alternative, die Prozesse vereinfacht, die interne E-Mailflut aufhebt und alle Tools, die wir zum Arbeiten brauchen in einer Plattform vereint und sich zudem auch mit dem Smartphone bedienen lässt. Mit jeder weiteren Anwendung die wir verwenden steigen Komplexität, Administrationsaufwand und Integrationskosten. Die Folge: Ein wachsender Toolwildwuchs.“

Aus dieser Erfahrung und Überzeugung entstand das mIT Office. Statt verschiedene Werkzeuge miteinander zu verbinden, vereint die Plattform zentrale Arbeitsprozesse in einer gemeinsamen Umgebung. Ziel ist nicht der Ersatz einzelner Anwendungen, sondern die Schaffung einer vollständigen digitalen Arbeitsumgebung aus einem Guss: E-Mail, Kalender, Chat, Videokonferenzen, Kontakte, Telefonie, Projektmanagement, Office-Programmen wie Text, Tabellen und Präsentationen sowie einer API-Schnittstelle.

Wie erhält man das mIT Office?

Das mIT Office wird ausschließlich über die Partner der mitteldeutsche IT vermarktet. Partner erhalten nach einer kurzen Onboarding-Phase Zugriff auf das Cloud- und Partnerportal. Dort können innerhalb weniger Minuten Cloud-Ressourcen bereitgestellt, Kunden verwaltet und Projekte umgesetzt werden. Die Lösungen werden dabei unter eigenem Namen vermarktet, da alle Lösungen der mitteldeutsche IT whitelabelfähig sind. Die mIT unterstützt ihre Partner technisch, bei Migrationen und macht Sie fit für die Vermarktung.

Office-Migration ohne Risiko?

Ein häufiger Einwand gegen neue Office-Lösungen lautet: „Wie aufwendig wird die Umstellung?“

Genau dafür hat die mitteldeutsche IT eigene Migrationstools entwickelt für eine einfache Datenmigration vom lokalen Microsoft-Exchange-Server, M365 oder Tobit David hin zum mIT Office. E-Mails, Kontakte, Kalender und weitere Daten können automatisiert übernommen werden. Gleichzeitig ermöglicht die Plattform einen Parallelbetrieb, sodass Anwender Schritt für Schritt wechseln können. Das reduziert Risiken, vermeidet Ausfallzeiten und sorgt für eine sanfte Eingewöhnung der Nutzer.

Erfahrung aus dem eigenen Unternehmen

Bevor die mitteldeutsche IT ihre Lösungen Kunden angeboten hat, musste die Plattform den härtesten Test bestehen: den eigenen Alltag. Das Unternehmen hat seine rund 150 Mitarbeitenden vollständig auf die eigene Infrastruktur und das mIT Office umgestellt. Seitdem werden die Lösungen täglich im Livebetrieb genutzt und kontinuierlich weiterentwickelt. Jede Herausforderung, die Kunden später begegnen könnte, wird zunächst im eigenen Unternehmen erlebt, analysiert und verbessert.

Unternehmensprofil

Die mitteldeutsche IT ist ein BSI C5-Typ2 testierter Cloud-Provider und Internetanbieter. Mit der Vision „Digitale Freiheit für Europa“ gestaltet sie digitale Infrastrukturen, beteiligt sie sich aktiv am Glasfaserausbau, betreibt eigene Netze und entwickelt Cloud-, Office- und KI-Lösungen für Softwarehersteller und IT-Dienstleister.

Kontakt

Martin Flechsig
CEO
mitteldeutsche IT GmbH
info@mitteldeutsche-it.de

Die Verabschiedung und nationale Umsetzung der NIS2-Richtlinie (Network and Information Security Directive 2) sorgt in den Chefetagen und IT-Abteilungen des deutschen Mittelstands vielfach für tiefe Sorgenfalten. Die neuen regulatorischen Vorgaben sind umfangreich, die Fristen drängen, die potenziellen Sanktionen bei Nichtbeachtung sind drakonisch und die persönliche Haftung der Geschäftsleitung schiebt das Thema IT-Sicherheit endgültig aus dem Serverraum in den Vorstand. Die vorherrschende Reaktion in vielen Unternehmen ist daher ein resigniertes Seufzen: NIS2 wird primär als das nächste große Bürokratiemonster aus Brüssel betrachtet, das wertvolle personelle und finanzielle Ressourcen bindet und den agilen Geschäftsalltag erschwert.

Doch diese defensive, rein Compliance-getriebene Sichtweise greift zu kurz. Wenn wir NIS2 lediglich als lästige Checklisten-Übung verstehen, bei der es nur darum geht, Bußgelder zu vermeiden, vergeben wir eine historische Chance für den Wirtschaftsstandort Deutschland und ganz Europa. Es ist an der Zeit, die Perspektive radikal zu drehen: Weg vom reinen Pflichtprogramm hin zur strategischen Kür. NIS2 ist nicht unser Feind, sondern der stärkste Hebel, den wir aktuell haben, um echte digitale Souveränität zu erlangen.

Die Monopol-Falle: Warum Abhängigkeit unser größtes Risiko ist

Um zu verstehen, warum wir NIS2 als Chance begreifen müssen, lohnt ein ungeschönter Blick auf die IT-Architekturen vieler mittelständischer Unternehmen. Die Digitalisierung der europäischen Wirtschaft fand in den vergangenen zwei Jahrzehnten primär auf Basis von Technologien statt, die nicht in Europa entwickelt wurden. Getrieben von Komfort, scheinbarer Kosteneffizienz und exzellentem Marketing haben wir unsere kritischen Unternehmensdaten in die Clouds amerikanischer Hyperscaler ausgelagert und unsere Unternehmensnetzwerke mit Hard- und Software aus den USA oder Asien abgesichert.

Das Resultat ist eine erhebliche Asymmetrie der Macht, ein gefährlicher Monokultur-Ansatz und eine tiefe Abhängigkeit (Vendor Lock-in). Wenn eine Handvoll globaler Konzerne weltweit die Infrastrukturen für Millionen von Unternehmen stellt, werden diese zu ultimativen Single Points of Failure. Wir sind gebunden an die Produktzyklen, die Preisgestaltungen und vor allem an die rechtlichen Rahmenbedingungen (wie beispielsweise den US CLOUD Act) ausländischer Akteure.

In Krisenzeiten wird diese Abhängigkeit zur existenziellen Bedrohung für die Handlungsfähigkeit europäischer Unternehmen. Wahre IT-Sicherheit kann niemals in einer Blackbox stattfinden, über deren Quellcode und strategische Entscheidungen wir keine Kontrolle haben. Digitale Souveränität bedeutet die Fähigkeit zur unabhängigen Selbstbestimmung im digitalen Raum. Wer technologisch nicht souverän agieren kann, wird niemals echte Cyber-Resistenz erreichen.

Lieferkettensicherheit als Katalysator der Souveränität

Genau hier setzt die NIS2-Richtlinie an und bietet uns das perfekte Werkzeug zur Emanzipation. Einer der zentralsten Bausteine der Richtlinie ist die verpflichtende Absicherung der Lieferketten (Supply Chain Security). Unternehmen müssen zukünftig nicht nur ihre eigene interne Infrastruktur härten, sondern auch die Sicherheitsstandards ihrer Dienstleister, Cloud-Provider und Software-Lieferanten kritisch überprüfen und vertraglich absichern.

Dies ist der strategische Hebel, den wir nutzen müssen! Wenn wir im Zuge der NIS2-Compliance ohnehin unsere Lieferketten durchleuchten, umfassende Risikobewertungen durchführen und Verträge neu bewerten müssen, sollten wir diese Evaluation nutzen, um gezielt auf europäische Alternativen umzusteigen. Statt blind weitere Lizenzen der üblichen außereuropäischen Giganten nachzukaufen, um Compliance-Lücken zu füllen, zwingt uns NIS2, die kritische Frage zu stellen: Wer garantiert uns, dass unsere sensiblen Konstruktions- oder Kundendaten wirklich sicher sind und nicht in falsche Hände geraten?

Die europäische IT-Sicherheitsbranche, insbesondere der von uns im BITMi vertretene starke IT-Mittelstand, ist innovativ und bietet exzellente, souveräne Alternativen. Ob sichere Open-Source-Lösungen, europäische Cloud-Anbieter oder spezialisierte Security-Dienstleister – der Markt ist reich an hochqualitativen Produkten, die den strengen europäischen Datenschutz- und Sicherheitsvorgaben entsprechen. Ohne versteckte Hintertüren und ohne extraterritoriale Zugriffsrechte ausländischer Behörden.

Eine IT-Sicherheitsarchitektur „Made in Europe“ bietet handfeste Vorteile, die weit über das bloße Erfüllen regulatorischer Vorgaben hinausgehen. Wenn Ihr Security-Operations-Center (SOC) oder Ihr Identitätsmanagement auf europäische Infrastrukturen setzt, behalten Sie die volle Datenhoheit. Das Prinzip „Privacy by Design“ und „Security by Design“ ist hier keine Marketing-Floskel, sondern juristische und technische Basis.

In unserer täglichen Praxis bei der Basec GmbH erleben wir hautnah, wie befreiend dieser Ansatz für mittelständische Unternehmen sein kann. Wir verstehen uns als Partner, der ganzheitliche IT-Sicherheit und pragmatische Compliance vereint. Wenn wir unsere Kunden bei der NIS2-Umsetzung begleiten, lautet das Ziel nicht nur, das nächste Audit zu bestehen. Unser Anspruch ist es, Sicherheitsarchitekturen gemeinsam mit den IT-Verantwortlichen so zu restrukturieren, dass gefährliche Abhängigkeiten abgebaut werden. Wer bei der Erfüllung von NIS2-Vorgaben gezielt auf diversifizierte, europäische Lösungen setzt, erhöht seine Datensouveränität massiv und schafft oftmals sogar agilere und langfristig kosteneffizientere IT-Architekturen. Die anfängliche regulatorische Hürde wird durch einen unbezahlbaren Zuwachs an Handlungsfreiheit belohnt.

Vom Getriebenen zum Gestalter: Drei pragmatische Schritte

Wie kommen wir nun vom passiven Reagieren ins aktive Agieren? Ich empfehle Unternehmen folgende Schritte, um NIS2 als Hebel zu nutzen:

1. Radikale Transparenz und Risikoanalyse: Verschaffen Sie sich im Zuge der NIS2-Betroffenheitsanalyse einen schonungslosen Überblick über Ihre Abhängigkeiten. Identifizieren Sie kritische Prozesse, die bei außereuropäischen Monopolisten liegen, und bewerten Sie die geopolitischen Risiken.
2. Souveränität als hartes Bewertungskriterium: Integrieren Sie die digitale Souveränität fest in Ihr Risikomanagement und Ihre Beschaffungsprozesse. Eine interne Leitlinie bei Neuanschaffungen kann den Grundstein für mehr Unabhängigkeit legen. Prüfen Sie immer zuerst europäische Alternativen.
3. Auf offene Standards setzen: Bevorzugen Sie Lösungen, die auf Open-Source-Technologien und offenen Standards basieren. Sie verhindern Lock-ins, gewährleisten Transparenz des Quellcodes und erleichtern bei Bedarf den Wechsel von Dienstleistern.

NIS2 ist nur dann ein bürokratisches Monster, wenn wir es dazu machen. In einer geopolitisch zunehmend instabilen und fragmentierten Welt ist die Richtlinie vielmehr ein notwendiger Weckruf. Lassen Sie uns die regulatorischen Vorgaben nicht als lästige Pflicht verstehen, sondern als längst überfälligen Impuls, um unsere IT-Landschaften strategisch neu auszurichten.

Wenn der Mittelstand diese Perspektive einnimmt und die Marktmacht bündelt, um gezielt souveräne Technologien zu fördern, transformiert sich NIS2 von einem Kostentreiber zu einem strategischen Werkzeug. Wir erreichen damit nicht nur Compliance, sondern bauen ein starkes europäisches digitales Ökosystem auf und etablieren eine echte, widerstandsfähige Cyber-Resistenz – Made in Europe.

Unternehmensprofil

Die Basec GmbH ist Ihr verlässlicher Partner für Informationssicherheit und pragmatische Compliance. Wir begleiten den Mittelstand bei der NIS2-Umsetzung. Unser Fokus liegt auf der Schaffung von echter Cyber-Resilienz und digitaler Souveränität durch Lösungen „Made in Europe“.

Kontakt

Dr. Jannik Schumann
Basec GmbH
Geschäftsführer, Mitglied der Fachgruppe IT-Sicherheit des BITMi
jannik.schumann@basec.de

2023 haben wir bei VITAS eine weitreichende Entscheidung getroffen: Wir verabschieden uns bei der Verarbeitung von Patientendaten konsequent von US-Anbietern und stellen unsere technologische Strategie auf Datensouveränität um.

Das war keine einfache Entscheidung. Sie war teuer, aufwendig und betrifft bis heute nahezu unsere gesamte Plattform. Trotzdem haben wir uns bewusst dafür entschieden – auch wenn diese Strategie nur für einen Teil des Marktes wirklich relevant ist. Warum? Weil wir davon überzeugt sind, dass Datensouveränität im Gesundheitswesen in den kommenden Jahren von einer Zusatzanforderung zu einer Grundvoraussetzung wird.

Warum der Serverstandort allein nicht ausreicht

Viele KI-Anbieter werben mit Aussagen wie „Serverstandort in Deutschland“ oder „Hosting in Europa“. Aus unserer Sicht greift das zu kurz.

Der physische Standort eines Servers sagt wenig darüber aus, welchem Rechtsraum Daten tatsächlich unterliegen.

Ein Beispiel machte das 2025 besonders deutlich: Ein Microsoft-Manager musste in Frankreich öffentlich einräumen, dass Microsoft nicht garantieren kann, europäische Daten vollständig vor rechtmäßigem Zugriff durch US-Behörden zu schützen. Hintergrund ist der CLOUD Act, der US-Unternehmen unter bestimmten Voraussetzungen verpflichtet, Daten bereitzustellen – unabhängig davon, wo sie gespeichert sind.

Selbst Daten auf deutschen Servern können also von außereuropäischen Rechtsräumen betroffen sein. Gerade im Gesundheitswesen reicht ein deutscher Serverstandort deshalb aus unserer Sicht nicht aus.

Datensouveränität bedeutet mehr als Datenschutz

Für uns geht es aber nicht nur um Datenschutz. Es geht ebenso um Eigenständigkeit und Unabhängigkeit.

Ein Beispiel, das europaweit diskutiert wurde: Nachdem die US-Regierung Sanktionen gegen den Chefankläger des Internationalen Strafgerichtshofs verhängt hatte, wurde dessen Microsoft-E-Mail-Konto laut Medienberichten zeitweise eingeschränkt beziehungsweise deaktiviert.

Für viele europäische Organisationen war das ein Weckruf. Selbst internationale Institutionen können potenziell von Entscheidungen externer Anbieter betroffen sein. Genau diese Abhängigkeiten wollten wir reduzieren.

Denn wenn wir kritische Infrastruktur für das Gesundheitswesen bereitstellen, möchten wir möglichst viele Entscheidungen selbst treffen können.

Warum wir uns bewusst für diesen Weg entschieden haben

In Gesprächen mit Kunden aus dem Gesundheitswesen und dem Public Sector haben wir immer häufiger dieselbe Rückmeldung erhalten: „Der Serverstandort ist uns gar nicht so wichtig. Entscheidend ist, dass die Datenverarbeitung ohne US-Anbieter erfolgt.“

Wir haben darin eine bislang kaum besetzte Nische erkannt. Der Aufwand ist erheblich, aber genau darin liegt heute ein wichtiger Wettbewerbsvorteil von VITAS. Unsere Plattform kann genutzt werden, ohne dass sensible Patientendaten an US-Anbieter übertragen werden. In Kombination mit unseren Zertifizierungen nach ISO 27001 und C5 konnten wir insbesondere bei großen Healthcare- und Public-Sector-Kunden überzeugen – darunter beispielsweise Asklepios oder das Universitätsklinikum Schleswig-Holstein (UKSH).

Eine Plattform neu denken

Diese Entscheidung bedeutete deutlich mehr, als nur einzelne Anbieter auszutauschen. Wir haben große Teile unserer Plattform neu aufgebaut und auf die Open Telekom Cloud (OTC) verlagert, wo wir zentrale Komponenten selbst betreiben. Dazu gehören unter anderem Systeme für automatische Spracherkennung (ASR), Sprachsynthese (TTS), große Sprachmodelle (LLMs) sowie unsere Kommunikationsinfrastruktur.

Auch unsere Telefonie haben wir neu gedacht. Dafür mussten wir uns sogar als Telekommunikationsanbieter bei der Bundesnetzagentur registrieren – ein Schritt, den man bei einem HealthTech-Unternehmen vermutlich nicht als Erstes erwarten würde. Genau das macht diesen Weg aber besonders. Wir haben nicht einfach Anbieter ersetzt, sondern bewusst Kompetenzen aufgebaut, die weit über das klassische Aufgabenfeld eines Softwareunternehmens hinausgehen.

Aus Infrastruktur wurde eine Kernkompetenz

Ein positiver Nebeneffekt war der Aufbau von internem Wissen. Mittlerweile haben wir eine dedizierte Vollzeitstelle für einen VoIP-Engineer geschaffen und können große Teile unserer Infrastruktur eigenständig betreiben und weiterentwickeln. Davon profitieren auch unsere Kundinnen und Kunden unmittelbar. Statt auf lange Supportketten oder externe Anbieter angewiesen zu sein, können wir heute deutlich individueller beraten und schneller auf Anforderungen reagieren. Gerade im Gesundheitswesen, wo jede Einrichtung eigene Prozesse und technische Voraussetzungen mitbringt, ist das ein großer Vorteil.

Unsere wichtigsten Learnings

Der Weg zur Datensouveränität bringt nicht nur Vorteile mit sich. Eine wichtige Erkenntnis ist, dass nicht alle Kunden die Unterschiede sofort verstehen.

Viele verbinden Datenschutz automatisch mit einem Serverstandort in Deutschland oder Frankfurt. Dass Daten trotzdem einem außereuropäischen Rechtsraum unterliegen können, ist häufig nicht bekannt. Hier sehen wir auch eine Aufklärungsaufgabe. Gleichzeitig haben wir uns bewusst für einen Weg entschieden, der technologisch anspruchsvoller ist. Während andere Anbieter neue Dienste direkt anbinden können, müssen wir zunächst prüfen, ob sie datensouverän betrieben oder selbst gehostet werden können.

Eine direkte Integration des neuesten Modells eines US-Anbieters wäre oftmals schneller und einfacher. Unsere Strategie bedeutet deshalb auch, dass wir an manchen Stellen bewusst eine etwas langsamere Innovationsgeschwindigkeit in Kauf nehmen. Diese Entscheidung treffen wir jedoch bewusst. Denn langfristig halten wir die Vorteile für wichtiger als kurzfristige Geschwindigkeitsgewinne.

Unser Fazit

Datensouveränität ist für uns kein Marketingbegriff. Sie ist eine strategische Entscheidung. Eine Entscheidung für Datenschutz, Unabhängigkeit und langfristige Verantwortung. Dieser Weg ist aufwendiger, teurer und manchmal langsamer. Aber er ermöglicht uns, eine Plattform aufzubauen, die den besonderen Anforderungen des Gesundheitswesens gerecht wird. Denn Vertrauen entsteht nicht allein durch gute KI. Vertrauen entsteht durch die Infrastruktur, auf der sie betrieben wird.

Unternehmensprofil

VITAS entlastet Arztpraxen, Kliniken und MVZs mit einem KI-Telefonassistenten, der Anrufe automatisiert entgegennimmt, Informationen dokumentiert und Termine integriert vereinbart. So gewinnt das Team Zeit für Patient:innen. DSGVO-konform, ISO-27001- und C5-konform, ohne US-Drittanbieter.

Kontakt

Amélie Roth
VITAS GmbH
Teamlead Marketing & Brand
amelie.roth@vitas.ai
 

Der Druck auf europäische Unternehmen und die öffentliche Verwaltung wächst stetig. Geopolitische Spannungen und immer strengere regulatorische Anforderungen, wie der EU Data Act oder die NIS2-Richtlinie, machen digitale Unabhängigkeit zu einer strategischen Notwendigkeit für den deutschen IT-Mittelstand.

Wer sich heute unbedacht in eine tiefgreifende technologische Abhängigkeit von globalen IT-Giganten begibt, riskiert nicht nur unvorhersehbare Kostensteigerungen, sondern im Ernstfall auch den Verlust der eigenen operativen Handlungsfähigkeit.

Die Illusion der Souveränität

In der Vergangenheit herrschte oft der Irrglaube, dass die reine Datenspeicherung innerhalb europäischer Grenzen für technologische Unabhängigkeit ausreicht. Doch das ist eine gefährliche Illusion. Nur weil Daten physisch in Europa liegen, sind die dahinterliegenden Lösungen nicht automatisch souverän. Eine solche rein standortbezogene Betrachtungsweise greift deutlich zu kurz und maskiert oftmals weitreichende strukturelle Abhängigkeiten.

Durch extraterritoriale Gesetze wie beispielsweise den US Cloud Act behalten Behörden außerhalb der Europäischen Union oftmals weitreichende Zugriffsmöglichkeiten auf sensible Unternehmensdaten – und zwar selbst dann, wenn die Server physisch in Frankfurt am Main oder in Amsterdam stehen.

Zudem droht bei der Nutzung proprietärer Software-Stacks großer Hyperscaler ein massives Sicherheitsrisiko: Bricht die Verbindung zum Anbieter aus geopolitischen, wirtschaftlichen oder technischen Gründen ab, wird die gesamte betroffene IT-Infrastruktur mangels Patches und Updates binnen weniger Tage zum Sicherheitsrisiko. Wie aber können Entscheider aus Industrie und Mittelstand in diesem unübersichtlichen und hochkomplexen Umfeld sicher, fundiert und souverän über ihre kritische digitale Infrastruktur entscheiden?

Der European Sovereign Stack Standard (ES³)

Um genau diese Marktlücke zu schließen, hat Schwarz Digits, die IT- und Digitalsparte der Schwarz Gruppe, den „European Sovereign Stack Standard“, entwickelt, kurz ES³. Mit dem ES³ überführt Schwarz Digits das oftmals sehr abstrakte und rein theoretisch diskutierte Leitbild der digitalen Souveränität in eine klar messbare, zertifizierte und vor allem praxisorientierte Realität. Damit setzt das Unternehmen einen neuen europäischen Standard für digitale Souveränität, der Transparenz in einen bislang undurchsichtigen Markt bringt.

Das dem ES³ zugrunde liegende Reifegrad-Modell bewertet und klassifiziert die digitale Souveränität von IT-Services in vier übersichtlichen, kumulativen Stufen. Ziel dieser wegweisenden Initiative ist es, die Komplexität von IT-Infrastrukturen für den Anwender beherrschbar zu machen und deren digitale Souveränität objektiv bewerten und vergleichen zu können. Echte digitale Souveränität erfordert zwingend die volle Transparenz über den gesamten Tech-Stack hinweg. Wer auf den European Sovereign Stack Standard setzt, entscheidet sich proaktiv für eine geprüfte Sicherheit, ohne dabei jegliche Kompromisse bei der Performance oder Skalierbarkeit hinnehmen zu müssen.

Vier Reifegrad-Stufen für belastbare Entscheidungen

Die systematische Bewertung der Souveränität von IT-Services und -Lösungen in der Cloud erfolgt nach dem ES³ in den folgenden vier aufeinander aufbauenden Stufen: Basic, Initial, Advanced und Future-Proof. Die höchste Reifestufe dieses umfassenden Frameworks ist als „Future-proof“ (zukunftssicher) definiert. Sie unterstreicht die nahezu vollständige digitale Autonomie sowie die absolute und uneingeschränkte Handlungsfähigkeit der Anwender in jeder denkbaren regulatorischen oder geopolitischen Situation. Das Framework bietet somit eine am Markt bisher einzigartige Faktenbasis und Transparenz, die eine systematische, risikominimierte Entscheidung für wirklich souveräne IT-Lösungen ermöglicht.

Unabhängige Verifizierung durch BDO schafft absolutes Vertrauen

Um sicherzustellen, dass dieser neu geschaffene Standard neutral, nachvollziehbar und vor allem absolut objektiv bleibt, wurde das Modell nicht nur intern entwickelt, sondern durch eine externe, unabhängige Instanz auf Herz und Nieren geprüft. Die renommierte Wirtschaftsprüfungsgesellschaft BDO hat das Reifegrad-Modell, das auf einem höchst differenzierten Katalog mit mehr als 100 detaillierten Kriterien basiert, umfassend und kritisch verifiziert.

Diese tiefgreifende Validierung bietet Entscheidern im IT-Mittelstand drei entscheidende strategische Vorteile bei der Beschaffung: Erstens eine verlässliche und absolut belastbare Vergleichbarkeit unterschiedlicher IT-Services verschiedener Anbieter. Zweitens eine extrem hohe regulatorische Sicherheit im Hinblick auf aktuelle und kommende EU-Richtlinien. Und drittens ein signifikant verringertes Investitionsrisiko, da teure Fehlinvestitionen in proprietäre technologische Sackgassen von vornherein vermieden werden. Das Reifegrad-Modell folgt dabei in Gänze der Struktur, den tiefen Werten und den Prinzipien des Cloud Sovereignty Frameworks der Europäischen Kommission. Langfristig soll mit dieser Vorarbeit ein bindender Industriestandard für die gesamte EU etabliert werden, der eine praxisorientierte Bewertung und eine deutlich größere Detailtiefe als bisherige Modelle erlaubt.

Eigene IT-Infrastruktur auf digitale Souveränität prüfen lassen

Doch wie lässt sich dieser hohe Standard in der tatsächlichen Praxis des Mittelstands anwenden? Hinter dem ES³ liegt ein tiefgreifendes, ganzheitliches und durchdachtes Programm: Ein eigens dafür entwickeltes Presales-Tool ES³-Lens bestimmt in einem ersten Schritt detailliert den spezifischen Reifegrad der Souveränität von interessierten Unternehmen. Mithilfe dieser tiefgehenden Analyse erstellt STACKIT, der Cloud-Anbieter von Schwarz Digits, eine vollumfänglich maßgeschneiderte Empfehlung für IT-Lösungen, die absolut passgenau gleichzeitig dem technischen Bedarf und dem individuellen regulatorischen Bedarf an digitaler Souveränität des Kunden entspricht. Unternehmen können bereits heute ihrer IT-Infrastruktur hinsichtlich der digitalen Souveränität prüfen lassen auf Grundlage des ES³.

Mehr über den ES³ erfahren

Als europäischer Hyperscaler mit Sitz in Deutschland bietet STACKIT hochmoderne Rechenzentren, die sich ausnahmslos und exklusiv in Deutschland und Österreich befinden. Der absolut entscheidende Unterschied zu vielen globalen Mitbewerbern am Markt liegt jedoch auf einer fundamental anderen, weitaus tieferen Ebene: Die vollständige und unumschränkte Kontrolle über den gesamten Technologie-Stack liegt zu jedem einzelnen Zeitpunkt ausschließlich bei Schwarz Digits.

Darüber hinaus werden die IT-Lösungen von diversen externen Technologie-Partnern, die über die Cloud der STACKIT verfügbar sind, ebenfalls nach diesem strengen Reifegrad-Modell detailliert klassifiziert. Durch die Vergabe entsprechender Souveränitäts-Badges erhalten diese Partner eine extrem hohe Visibilität in einem rasant wachsenden Marktsegment. Dies schafft letztendlich eine perfekte Win-win- Situation für ausnahmslos alle Beteiligten: Die Kunden aus dem Mittelstand profitieren massiv von einem stetig wachsenden, dynamischen Ökosystem aus erstklassigen, verlässlichen Partnern, deren angebotene Services nach den strengsten Souveränitäts-Kriterien unabhängig geprüft und verifiziert wurden.

Erprobt unter den extremsten Bedingungen der Industrie

Dass dieser konsequente, kompromisslose Weg der digitalen Souveränität nicht nur in der Theorie auf dem Papier, sondern auch in der extrem harten Realität des Geschäftsalltags funktioniert, beweist Schwarz Digits jeden Tag aufs Neue. Die eigenen technologischen Lösungen werden prinzipiell immer zuerst vom kritischsten und forderndsten aller Kunden ausführlich und unter realen Bedingungen auf Herz und Nieren getestet: den Unternehmen Schwarz Gruppe selbst. Die gesamte, hochkomplexe IT-Infrastruktur der Unternehmen der Schwarz Gruppe, die mit Lidl und Kaufland eine der größten und dynamischsten Handelsgruppen der gesamten Welt darstellt, wird auf genau dieser souveränen, hier beschriebenen Basis betrieben. Das bedeutet, dass das System hochverfügbar, grenzenlos skalierbar und erprobt unter den absolut extremsten Lastspitzen ist, die im weltweiten Einzelhandel auftreten.

Fazit: Autonomie als unverzichtbare Basis für Innovation

Zusammenfassend lässt sich festhalten: Digitale Souveränität ist für den deutschen IT-Mittelstand weder ein Selbstzweck noch ein reines, lästiges Compliance-Thema zum reinen Abhaken regulatorischer Checklisten. Sie ist vielmehr die zwingend notwendige, fundamentale Basis für souveräne Innovationen und die langfristige, nachhaltige Zukunft der gesamten europäischen Wirtschaft. Mit dem European

Sovereign Stack Standard (ES³) steht der Industrie und dem Mittelstand nun endlich ein mächtiges, transparentes Werkzeug zur Verfügung, um in einer zunehmend fragmentierten globalen Ordnung die digitale Selbstbestimmung als den entscheidenden Faktor für Resilienz, Wachstum und Wohlstand aktiv zu sichern. Gemeinsam mit starken, verlässlichen Partnern aus dem deutschen und europäischen Mittelstand kann so ein nachhaltiges Ökosystem etabliert werden, das kompromisslos auf offenen Standards und echter technologischer Wahlfreiheit basiert – für ein langfristig digital handlungsfähiges, sicheres und wirtschaftlich starkes Europa.

Unternehmensprofil

Schwarz Digits ist die IT- und Digitalsparte der Schwarz Gruppe. Sie bietet überzeugende digitale Produkte und Services an, die den hohen deutschen Datenschutzstandards entsprechen. Damit garantiert Schwarz Digits größtmögliche digitale Souveränität. Mit diesem Anspruch stellt Schwarz Digits die IT-Infrastruktur und Lösungen für das umfangreiche Ökosystem der Unternehmen der Schwarz Gruppe bereit und entwickelt dieses zukunftsfähig weiter. Zu den souveränen Kernleistungen von Schwarz Digits gehören Cloud, Cyber Security, Data und AI, Communication und Workspace.

Kontakt

Jo-Ann Sophie Gosemann
Complex Deals Lead & Programmleitung European Sovereign Stack Standard
Schwarz Digits

es3@digits.schwarz