Wer hat die Kontrolle über Ihre IT? 

Der Serverstandort allein macht Patientendaten nicht souverän. Warum Kontrollstruktur, Schnittstellen und Exitstrategie zählen.

Stellen Sie sich vor, die Patienten- oder Versichertendaten Ihres Hauses liegen in einem Rechenzentrum in Frankfurt. DSGVO-konform, ISO-zertifiziert, physisch gesichert. Und trotzdem sind sie nicht ohne Weiteres souverän. Der Grund ist ein Denkfehler, der sich hartnäckig hält: „Unsere Daten liegen in Deutschland, also gilt deutsches Recht.“ Doch diese Annahme greift zu kurz. Denn maßgeblich ist nicht allein, wo die Server stehen, sondern welchem Rechtsraum der Anbieter unterliegt, der sie betreibt, und welche Kontrolle Sie tatsächlich über Ihre Daten haben. 

Bild: Florian Benthin - Partner EY-Parthenon, EY Strategy & Transactions GmbH | Deutschland

Überblick:

• Digitale Souveränität heißt Kontrolle und Wahlfreiheit, nicht nur Datenlokalisierung: Entscheidend ist, welchem Rechtsraum der Anbieter unterliegt.
• US-Gesetze wie der CLOUD Act können auch Daten in Deutschland erfassen; dieser Normenkonflikt lässt sich vertraglich nicht vollständig auflösen.
• Risikobasiert statt alles oder nichts: Kritische Kernsysteme unter europäischer Kontrolle betreiben, weniger kritische IT-Anwendungen flexibel einsetzen und Exitstrategien jederzeit ermöglichen.

Nach Patriot Act, CLOUD Act und FISA 702 können Softwareunternehmen aus den USA verpflichtet werden, Daten auf behördliche Anordnung herauszugeben beziehungsweise Zugriff darauf zu gewähren, unabhängig davon, wo die Server physisch stehen. Die Hürden dafür sind hoch, und ein solcher Zugriff ist stets eine Einzelfallfrage. Doch ein Restrisiko bleibt, denn betroffen sind nicht nur US-Mutterkonzerne, sondern indirekt auch deren europäische Töchter. Für Entscheider:innen im Gesundheitswesen verschiebt das die Fragestellung: Anstatt „Wo liegen die Daten?“ sollten sie sich fragen: „Wer hat rechtlich und operativ die Kontrolle über meine IT?“

Der US CLOUD Act und Artikel 48 DSGVO stehen in einem echten Normenkonflikt. Ein Anbieter mit US-Konzernbezug kann rechtlich in beide Richtungen verpflichtet sein, und dieses Dilemma lässt sich vertraglich nicht vollständig auflösen. Für Kliniken und Krankenkassen heißt das: Souveränität entscheidet sich bereits bei der Wahl des Anbieters und seiner Kontrollstruktur. - Dr. Tristan Kalenborn - Rechtsanwalt, EY Law

Kein Wunder, dass „souverän“ 2026 zum meistgenutzten und zugleich am wenigsten definierten Wort der Gesundheits-IT geworden ist. Fast jeder Anbieter trägt das Label, kaum jemand meint dasselbe. In einem offenen Brief an die EU-Kommission warnen 25 europäische Cloud-CEOs sogar vor „Souveränitäts-Washing“: Anbieter werben mit EU-Rechenzentren und Zertifikaten, ohne echte Kontrolle abzugeben.

• Was bedeutet digitale Souveränität?

Digitale Souveränität ist nicht Autarkie und nicht Abschottung. Sie beschreibt die Fähigkeit, selbstbestimmt über die eigene digitale Infrastruktur, Daten und Technologieentscheidungen zu verfügen und jederzeit die Option zu behalten, den Anbieter zu wechseln. Die reine Datenlokalisierung, also „Server in der EU“, deckt nur einen Teilaspekt ab.

Souveränität und Resilienz sind verwandt, aber nicht identisch

Resilienz und Souveränität gleichzusetzen, ist naheliegend, berücksichtigt aber nicht alle entscheidenden Aspekte. Abhängigkeit, also das Fehlen von Souveränität, ist eine Form der Verwundbarkeit, das hat der CrowdStrike-Ausfall 2024 mit weltweit lahmgelegten Unternehmen und Milliardenschäden gezeigt. Insofern stärkt Kontrolle die Resilienz.

Zugleich sind die beiden Begriffe nicht deckungsgleich und können sich sogar widersprechen. Maximale Eigenkontrolle kann weniger resilient sein als ein professionell betriebener externer Cloud-Dienst. Ein Krankenhaus oder eine Krankenkasse, die die gesamte IT selbst betreibt, trägt auch das volle Risiko für Ausfallsicherheit, Sicherheitsupdates und Fachkräftemangel. Dies dauerhaft auf höchstem Niveau zu leisten, ist für viele Häuser nicht realistisch. Cloud-Hyperscaler investieren in Sicherheit, Angriffserkennung und Redundanz mehr, als dies eine einzelne IT-Organisation je könnte. Souveränität steht damit in einem Zielkonflikt mit Sicherheit, Innovationstempo und Kosten. Wer diesen Konflikt ausblendet, trifft schlechte Entscheidungen.

Warum digitale Souveränität geschichtet ist, nicht binär

Souveränität ist nicht allein am Rechenzentrumsstandort festzumachen. Tatsächlich umfasst sie eine Reihe von Schichten, und das gesamte Gebäude ist nur so stabil wie seine schwächste Ebene:

• Organisatorische Ebene: Welchem Recht unterliegt die betreibende Gesellschaft? Ein EU-Standort schützt nicht vor Drittstaatengesetzen, wenn die Muttergesellschaft in den USA sitzt und dortige Gesetze umsetzen muss.
• Operative Prozessebene: Wer darf die Umgebung unter welchen Bedingungen betreiben, warten und darauf zugreifen? Betrieb, Störungsbearbeitung und Eskalation sollten nicht nach dem „Follow the sun“-Prinzip global aus Drittstaaten erfolgen, sondern in vertrauenswürdigen Rechtsräumen verbleiben und damit ausschließlich bei sicherheitsüberprüftem, national zugelassenem Personal.
• Software- und Datenebene: Selbst eine in Deutschland betriebene Infrastruktur ist nur teilweise souverän, wenn auf ihr weiterhin proprietäre Software aus einem Drittstaat läuft. Auch wenn Daten in abgeschotteten und nicht interoperablen Anwendungen liegen, wie häufig in der Klinik-IT, ist man stark abhängig vom Softwarehersteller und hat keine tatsächliche und wirksame Kontrolle.
• Physische Ebene, das heißt Infrastruktur und deren Lieferkette: Rund 90 Prozent der digitalen Endgeräte und etwa 69 Prozent der Bauteile stammen aus dem Ausland. Wer auf der Anwendungsebene US-Technologie meidet, aber bei der Hardware von chinesischen Herstellern abhängt, hat das Problem nur verschoben. Auch das Thema IT-Sicherheit spielt hier eine Rolle, zum Beispiel im Bereich der Verschlüsselung. Kundenseitig verwaltete Schlüssel sind oft der wirksamste Schutz. Souveränität entsteht erst, wenn alle kritischen Schichten zusammen betrachtet werden.

Souveränität entsteht nicht durch Abschottung, sondern durch Interoperabilität. Erst wenn Datenräume nach gemeinsamen Standards zusammenarbeiten, behalten Kliniken die Kontrolle über ihre Daten und können sie trotzdem für Forschung und Versorgung nutzbar machen. Der Standort des Rechenzentrums ist dabei zweitrangig, entscheidend sind nutzbare Schnittstellen und die Hoheit über die eigenen Daten. - Dr. Anja Burmann - Abteilungsleiterin Healthcare, Fraunhofer ISST

Die neue Baustelle: Daten und KI

Mit dem Vormarsch klinischer Datenplattformen und KI verschiebt sich die Souveränitätsfrage erneut, weg von der Cloud und Infrastruktur, hin zur Software-, Daten- und Modellebene. KI ist nur so gut wie ihre Datenbasis. Wer keine Kontrolle über Qualität, Herkunft und Struktur der Daten hat, kann KI weder verantwortungsvoll noch wirtschaftlich einsetzen. Datensouveränität wird damit zur Voraussetzung für sinnvolle KI.

Drei Fragen entscheiden sich in der Architektur, lange bevor die erste Anwendung produktiv geht:

1. Wer betreibt die klinische Datenplattform?
2. Mit welchen Daten wird ein Modell trainiert, und verlassen diese den kontrollierten Raum?
3. Wer kontrolliert am Ende das Modell?

Wie dringlich das ist, zeigt der Leopoldina-Policy-Brief zu agentischer KI vom Juni 2026: Die Nationale Akademie warnt, dass gerade der Gesundheitsmarkt von US-Unternehmen dominiert wird, und macht die Stärkung technologischer Souveränität über domänenspezifische Foundation Models und eine unabhängige digitale Infrastruktur zu ihrer ersten Handlungsempfehlung.

Digitale Souveränität ist kein Zustand, den man kauft, sondern eine Steuerungsaufgabe, die man behält.

Der europäische Weg: Allein geht es nicht

Die Verordnung zum European Health Data Space (EHDS) macht interoperable Datenhaltung ab März 2027 von der Vision zur Pflicht, flankiert vom Gesetz für Daten und digitale Innovation im Gesundheitswesen (GeDIG) und dem Standard ISiK (Informationstechnische Systeme in Krankenhäusern). Letztere setzen auf dem FHIR-Standard (Fast Healthcare Interoperability Resources) -basierende Schnittstellen faktisch voraus und brechen monolithische Strukturen von Krankenhausinformationssystemen (KIS) auf. Die ernüchternde Praxislücke: Viele Hersteller haben die ISiK-Zertifizierung, bieten die Schnittstellen aber nicht aktiv oder nur im Minimalumfang an. Darüber hinaus wird die EHDS-Verordnung ihren kompletten Nutzen erst im März 2031 entfalten.

Auf Infrastrukturebene liefert Gaia-X das Gegenstück: eine gemeinsame Grundlage für interoperable Datenräume, die Souveränität über Standards und Vertrauen herstellt statt über Abschottung. Wie das im Gesundheitswesen konkret aussieht, zeigt das Gaia-X-Projekt „HEALTH-X dataLOFT“, an dem auch das Fraunhofer-Institut für Software- und Systemtechnik (ISST) beteiligt ist: Es baut einen bürgerzentrierten Gesundheitsdatenraum auf, in dem Patient:innen ihre Daten selbst bereitstellen, nutzen und kontrollieren, von der klinischen Akte bis zu Aktivitätsdaten aus dem zweiten Gesundheitsmarkt.

Neben dem EHDS definiert parallel die EU-Kommission mit dem Cloud Sovereignty Framework (CSF) seit Oktober 2025 einen „Sovereignty Score“ für die Beschaffung, der digitale Souveränität im Bereich Cloud-Technologie prüfbar macht. Konkret wird das in zwei Großprojekten: Das IPCEI-CIS baut seit Ende 2023 mit zwölf Mitgliedstaaten und rund 1,2 Milliarden Euro öffentlicher Förderung sowie 1,4 Milliarden Euro weiteren Investments aus der Industrie das erste anbieterneutrale Multi-Provider-Cloud-Edge-Kontinuum Europas auf. Das seit 2025 vorbereitete IPCEI-AI, für das allein Deutschland mit über 1 Milliarde Euro Förderung plant, ebenfalls zuzüglich weiterer Investments aus der Industrie, zielt auf ein souveränes KI-Ökosystem mit offenen europäischen Basismodellen und sektorspezifischen KI-Modellen, ausdrücklich auch für regulierte Bereiche wie das Gesundheitswesen. Beide IPCEI-Projekte sind über die Dachinitiative „8ra“ verzahnt, die Cloud-Edge-Infrastruktur und KI zusammenführt.

Glossar

• EHDS (engl.: European Health Data Space): europäischer Gesundheitsdatenraum für den sicheren Zugang zu elektronischen Gesundheitsdaten sowie für deren grenzüberschreitende Primär- und Sekundärnutzung
• ISiK (Informationstechnische Systeme im Krankenhaus): von der gematik spezifizierter, FHIR-basierter Standard für den interoperablen Austausch von Gesundheitsdaten mit IT-Systemen im Krankenhaus
• FHIR (engl.: Fast Healthcare Interoperability Resources): von der HL7-Organisation entwickelter internationaler Protokoll-Standard für den strukturierten und interoperablen Austausch elektronischer Gesundheitsinformationen
• IPCEI-CIS (engl.: Important Project of Common European Interest on Next Generation Cloud Infrastructure and Services): europäisches Großvorhaben zum Aufbau einer souveränen Cloud- und Dateninfrastruktur in Europa
• IPCEI-AI (engl.: Important Project of Common European Interest – Artificial Intelligence): europäisches Gemeinschaftsprojekt zum Aufbau eines industrieorientierten KI-Ökosystems, das Unternehmen Zugang zu neuen Fördermöglichkeiten eröffnet

Ob Wachstums- oder Differenzierungsstrategie, M&A oder Restrukturierungen: Wir helfen, den Unternehmenswert langfristig zu steigern.

Mehr erfahren

Handlungsempfehlung: risikobasiert statt alles oder nichts

Eine 100-prozentige Souveränität ist mit Blick auf die Globalisierung der letzten Jahrzehnte, mit dem aktuellen Technologievorsprung der USA sowie dem Kostendruck für viele Kliniken und Krankenkassen heute nicht umfänglich umzusetzen. Es gibt aber sinnvolle Kompromisse, und die Branche gibt die Antwort selbst. In einer Umfrage des SEMECO-Forschungsprojekts Cluster4Future bevorzugten 65 Prozent der Entscheider:innen im Gesundheitssektor eine Hybridstrategie aus souveräner europäischer Infrastruktur und Hyperscaler-Ökosystemen. Nur zehn Prozent setzten rein auf Hyperscaler. Das übersetzt sich in bewusste Portfolio-Entscheidungen:

• Souverän betreiben, was den Kern schützt. Primär- und Notfallsysteme, Patientenstammdaten und alles, was bei einem erzwungenen Zugriff die Versorgung gefährdet, gehört unter europäische Kontrolle. Anbieter wie STACKIT zeigen, dass das im Klinikbetrieb funktioniert. Sana reduziert zum Beispiel mit einer autarken Cloud-Umgebung die Abhängigkeit von globalen Hyperscalern, und die Charité hat mit Schwarz Digits ein gemeinsames Unternehmen gegründet, das klinische Daten auf souveräner STACKIT-Infrastruktur für Forschungszwecke harmonisiert.
• Hyperscaler nutzen, wo Innovation zählt. Punktuelle, nicht geschäftskritische Datenverarbeitung und KI-Pilotprojekte profitieren von einem Innovationstempo, das kein deutscher Anbieter allein halten kann. Entscheidend ist, dass keine sensiblen Rohdaten unkontrolliert abfließen.
• Reversibilität einbauen. Kundenseitige Verschlüsselung, Datenportabilität und eine echte Exitstrategie sind der Unterschied zwischen Abhängigkeit und Wahlfreiheit.

Digitale Souveränität ist damit kein Zustand, den man kauft, sondern eine Steuerungsaufgabe, die man behält. Für Kliniken und Kostenträger heißt das nicht, Hyperscaler zu meiden, sondern jeden Workload bewusst einzuordnen: Was muss unter eigener Kontrolle bleiben und was darf für den Innovationsvorteil in eine externe Cloud? Wer diese Frage beantworten kann, hat Souveränität verstanden. Wer sie an ein Rechenzentrum delegiert, hat sie bereits abgegeben.

Fazit

Für Klinikleitungen entscheidet sich digitale Souveränität nicht am Serverstandort, sondern an der Kontrolle über Rechtsraum, Betrieb, Software und Schlüssel. Wer diese Ebenen kennt, kann Abhängigkeiten bewusst steuern. Kernsysteme der Versorgung gehören unter eigene oder europäische Kontrolle, während Innovationsprojekte externe Clouds nutzen können. Entscheidend bleibt die Option, den Anbieter zu wechseln. Wer diese Weichen jetzt in der Architektur stellt, schafft die Grundlage für sichere Versorgung und den verantwortungsvollen Einsatz von KI.

Quelle: Ernst & Young Global Limited (EYG)