Souveränität in der Cybersicherheit: Sicherheit in einer geopolitischen Ära neu denken (Teil 5)

In den ersten vier Teilen dieser Serie haben wir uns eingehend mit IT-Souveränität befasst: den geopolitischen und regulatorischen Faktoren, der Infrastruktur-Ebene, der Cloud-Ebene und der wachsenden Herausforderung der Souveränität im Bereich der KI. Jede Ebene offenbarte dasselbe zugrunde liegende Spannungsfeld – wie man von globalen digitalen Ökosystemen profitieren kann, ohne die Kontrolle abzugeben.

Nirgendwo ist dieses Spannungsfeld so ausgeprägt wie in der Cybersicherheit.

Sicherheit ist mittlerweile stark plattformorientiert. Identität wird zunehmend „als Dienstleistung“ bereitgestellt. Die Erkennung von Bedrohungen erfolgt mithilfe von Cloud-Analysen. Die Reaktion auf Vorfälle hängt von Telemetrie-Pipelines, Update-Kanälen und von Anbietern verwalteten Informationen ab.

Dies wirft eine neue Frage auf Vorstandsebene auf: Wenn Ihr Sicherheitsstack – teilweise oder vollständig – unter ausländischer Rechtshoheit betrieben wird, wer kontrolliert dann wirklich Ihre Sicherheit?

Bei der Souveränität in der Cybersicherheit geht es nicht darum, globale Sicherheitstools abzulehnen. Es geht darum, sicherzustellen, dass die sensibelsten Elemente der Sicherheit – Identität, Telemetrie, Schlüssel und Reaktionsbefugnisse – weiterhin nach Ihren Bedingungen geregelt werden.

Was Souveränität in der Cybersicherheit wirklich bedeutet

Cybersecurity sovereignty is an organization’s ability to protect its digital assets while retaining control over:

Souveränität im Bereich Cybersicherheit ist die Fähigkeit einer Organisation, ihre digitalen Vermögenswerte zu schützen und gleichzeitig die Kontrolle über folgende Bereiche zu behalten:

• Identitätssysteme: Authentifizierung, privilegierter Zugriff und administrative Kontrolle
• Sicherheitstelemetrie: Protokolle, Warnmeldungen, Endpunkt-/Netzwerkdaten und Vorfallartefakte
• Kryptografische Schlüssel: Verschlüsselung und Schlüsselverwaltung, die unerwünschten Zugriff verhindern
• Sicherheitsmassnahmen: die Fähigkeit, ohne externe Abhängigkeiten zu erkennen, einzudämmen und wiederherzustellen

In der Praxis bedeutet dies, dass Ihre Sicherheitslage nicht durch undurchsichtige Verarbeitungsprozesse durch Dritte, grenzüberschreitende rechtliche Risiken oder Dienstunterbrechungen ausserhalb Ihrer Kontrolle geschwächt werden sollte.

Warum Cybersicherheit zu einem Brennpunkt der Souveränität geworden ist

Die Souveränität im Bereich Cybersicherheit hat sich aus drei Gründen von einem Nischenthema zu einer strategischen Priorität entwickelt.

1) Sicherheitsdaten gehören zu Ihren sensibelsten Daten

Moderne Erkennungsplattformen sammeln umfangreiche Telemetriedaten – darunter häufig Benutzerkennungen, Gerätemetadaten, Konfigurationsdetails und forensische Artefakte. Zusammengenommen können diese Daten Aufschluss darüber geben, wie ein Unternehmen arbeitet und wo es anfällig ist. Das Senden dieser Telemetriedaten an extern kontrollierte Umgebungen kann zu unbeabsichtigter Offenlegung führen.

2) Compliance wandelt sich von einer „Best Practice“ zu einer durchsetzbaren Verpflichtung

In der Europäischen Union hat NIS2 die Cybersicherheitsanforderungen in kritischen und wichtigen Sektoren erweitert und verschärft, wobei der Schwerpunkt ausdrücklich auf Risikomanagement und Sicherheit der Lieferkette liegt. Die Umsetzungsfrist für die Mitgliedstaaten war der 17. Oktober 2024, und NIS2 ersetzte das ursprüngliche NIS-Rahmenwerk ab dem 18. Oktober 2024 (siehe auch: Digitale Strategie).

Parallel dazu werden die EU-Sicherheitszertifizierungssysteme erweitert. Das EUCC (EU-Cybersicherheitszertifizierungssystem auf Basis der Common Criteria) wurde verabschiedet und ist in Kraft getreten. (siehe auch: certification.enisa.europa.eu)

3) Abhängigkeit von Cybersicherheit ist eine operative Abhängigkeit

Wenn eine ausländisch kontrollierte Identitätsplattform ausfällt, kann Ihre Belegschaft ausgesperrt werden. Wenn eine cloudbasierte Überwachungspipeline unterbrochen wird, verlieren Sie möglicherweise genau dann die Übersicht, wenn Sie sie am dringendsten benötigen. Bei der Souveränität in Sachen Sicherheit geht es daher nicht nur um Vertraulichkeit, sondern auch um Kontinuität.

Die Risiken nicht-souveräner Sicherheitsmodelle

Die Souveränität der Cybersicherheit lässt sich am besten anhand konkreter Risikokategorien verstehen.

Offenlegung von Sicherheitstelemetriedaten

Wenn Protokolle und Vorfallartefakte in Umgebungen verarbeitet werden, die ausländischen Rechtsordnungen unterliegen, können Unternehmen rechtlichen Risiken, Vertraulichkeitsproblemen oder regulatorischen Komplikationen ausgesetzt sein – insbesondere wenn die Telemetriedaten personenbezogene Daten oder sensible Geschäftsinformationen enthalten.

Identitäts- und Zugriffsabhängigkeit

Viele Unternehmen verlassen sich bei der Authentifizierung und Zugriffskontrolle auf global betriebene IAM-Plattformen. Diese Dienste sind leistungsstark – aber auch eine einzige Fehlerquelle. Souveränität erfordert, dass die Identität auch unter Stressbedingungen widerstandsfähig und kontrollierbar bleibt.

Risiko der Schlüsselverwahrung

Verschlüsselung schützt die Souveränität nur, wenn das Unternehmen die Schlüssel kontrolliert. Wenn die Schlüsselverwaltung extern geregelt wird, kommt der Vorteil der Souveränität angesichts rechtmässiger Zugriffsanforderungen zum Tragen.

Risiken in der Lieferkette und bei Update-Kanälen

Sicherheitsprodukte sind nicht neutral. Sie sind Teil einer Lieferkette. Der Standort des Anbieters, die Governance und die Update-Mechanismen spielen eine Rolle, da der Sicherheitsstack selbst zu einem Weg für Kompromittierungen oder Zwangsmassnahmen werden kann.

Strategien zur Erlangung der Souveränität im Bereich Cybersicherheit

Moderne Sicherheitsarchitekturen können globale Innovation mit souveräner Kontrolle in Einklang bringen. Vier Strategien prägen ausgereifte Souveränitätsprogramme.

1) Behalten Sie sensible Telemetriedaten unter Ihrer rechtlichen Kontrolle

Nicht alle Sicherheitsdaten müssen gleich behandelt werden. Viele Unternehmen verwenden ein mehrstufiges Modell:

• Hochsensible Protokolle und Vorfallartefakte bleiben lokal oder souverän gehostet
• Aggregierte Indikatoren und anonymisierte Signale können für Analysen und Benchmarking weitergegeben werden.

Der entscheidende Punkt ist Klarheit: Wohin gehen Ihre Telemetriedaten, wer kann darauf zugreifen und unter welchen Gesetzen?

2) Kontrollieren Sie Verschlüsselungsschlüssel durchgängig

Kundenverwaltete Schlüssel und lokal verwaltete Hardware Security Module (HSMs) gehören zu den wirksamsten Massnahmen zur Souveränität. Das Ziel ist einfach: Selbst extern bleibt es ohne vom Unternehmen kontrollierten Schlüssel unlesbar.

3) Identitätsresilienz gestalten

Souveränität in der Cybersicherheit erfordert nicht die Aufgabe moderner Identity & Access Management (IAM)-Lösungen, sondern Sicherheitsvorkehrungen wie:

• Resiliente Identitätsarchitektur (einschliesslich Notfallzugriffspfaden)
• Strenge Kontrolle privilegierter Administratorrollen
• Lokale Überwachung von Identitätsvorgängen für kritische Umgebungen

4) Reduzierung der Abhängigkeit von einem einzigen Anbieter und einer einzigen Gerichtsbarkeit

Souveränität ist nicht nur eine Frage von „EU vs. Nicht-EU”. Es geht auch um Konzentrationsrisiken. Eine mehrschichtige Sicherheit verbessert die Widerstandsfähigkeit, wenn:

• Anbieter ihre Bedingungen ändern
• geopolitische Risiken zunehmen
• ein Anbieter einen systemischen Vorfall erlebt

Der Fokus von NIS2 auf Risiken von Lieferanten und Dienstleistern macht diese strategische Diversifizierung zunehmend relevant. (siehe auch: Digitale Strategie)

Wann ist die Souveränität im Bereich Cybersicherheit entscheidend – und wann ist sie optional?

Die Souveränität im Bereich Cybersicherheit ist entscheidend, wenn:

• Das Unternehmen in einem regulierten oder kritischen Sektor mit strengen Anforderungen an die Widerstandsfähigkeit tätig ist (Hinweis: Der Anwendungsbereich der NIS2 ist grösser als viele erwarten, siehe auch: Digitale Strategie)
• Die Telemetrie personenbezogene Daten, regulierte Daten oder sensible Betriebsinformationen umfasst
• Sicherheitssysteme wahrscheinlich von staatlichen Akteuren angegriffen werden oder einer geopolitischen Eskalation ausgesetzt sind
• Identitäts- und Schlüsselverwaltung die Grundlage für die Aufrechterhaltung des Geschäftsbetriebs bilden

Die Souveränität im Bereich Cybersicherheit kann flexibler sein, wenn:

• Sicherheitswerkzeuge handelsüblich sind und keine sensiblen Telemetriedaten exportieren.
• Daten anonymisiert, minimiert oder stark verschlüsselt sind.
• Die Organisation die volle Kontrolle über Schlüssel, Administratorzugriff und Reaktionsbefugnisse behält.

Kurz gesagt: Souveränität ist dort am wichtigsten, wo ein Kontrollverlust inakzeptable rechtliche, betriebliche oder sicherheitstechnische Folgen hätte. Sie ist weniger kritisch, wenn die Abhängigkeit risikoarm ist und starke Abhilfemassnahmen getroffen werden.

Annehmbare Abhängigkeiten vom Ausland

Eine praktikable Souveränitätsstrategie erfordert nicht die vollständige Abschaffung aller ausländischen Technologien. Die meisten Unternehmen werden weiterhin globale Sicherheitsanbieter nutzen, da globale Bedrohungsinformationen, Erkennungsfunktionen und Sicherheitsforschung und -entwicklung von Natur aus international sind.

Der entscheidende Unterschied liegt in der Kontrolle sensibler Daten und kritischer Funktionen.

Viele Unternehmen akzeptieren daher ausländische Tools, wenn:

• sensible Telemetriedaten lokalisiert oder geschützt bleiben,
• Kryptografieschlüssel vom Unternehmen kontrolliert werden,
• der administrative Zugriff eingeschränkt und überprüfbar ist,
• das Risiko des Anbieters bewertet und vertraglich geregelt ist.

Dies ist die Souveränitätshaltung, die sich skalieren lässt: Schützen Sie, was souverän bleiben muss, und nutzen Sie globale Ökosysteme, wenn dies die Kontrolle nicht beeinträchtigt.

Die entscheidende Frage

Cybersicherheit wird oft als technische Ebene der IT behandelt. Aber in Bezug auf die Souveränität ist sie etwas anderes: die Kontrollebene des Vertrauens.

Wenn Ihre Identität, Telemetrie und Reaktionsbefugnis ausserhalb der von Ihnen gewählten rechtlichen und operativen Grenzen beeinflusst oder offengelegt werden können, haben Sie dann wirklich die Kontrolle über Ihre Sicherheit?

Was kommt als Nächstes?

Im nächsten Teil dieser Reihe werden wir uns mit der Netzwerksouveränität befassen – wo Routing, Konnektivitätsabhängigkeiten und verschlüsselter Transport darüber entscheiden, wie zuverlässig (und unter wessen Einfluss) Ihre Daten übertragen werden können.



Bild: AdobeStock, mit KI ergänzt