Wie sich digitale Souveränität im Banking-Sektor messen lässt

Banken, Versicherer und öffentliche Verwaltungen wollen digital souveräner werden. Doch solange nicht klar ist, woran sich Souveränität erkennen lässt, bleibt das Ziel anfällig für politische Schlagworte und Anbieter-Marketing. Die ersten systematischen Bewertungsmodelle aus Deutschland machen Abhängigkeiten inzwischen vergleichbarer. Für eine belastbare IT-Entscheidung genügt ein einzelner Score jedoch nicht.

Die Diskussion über digitale Souveränität hat sich in den vergangenen Jahren deutlich verschoben. Lange stand vor allem die Herkunft eines Anbieters im Mittelpunkt: Europäische oder deutsche Lösungen galten als souveräner als Angebote internationaler Technologiekonzerne. Inzwischen setzt sich eine differenziertere Sicht durch. Entscheidend ist nicht allein, wo ein Unternehmen seinen Hauptsitz oder ein Rechenzentrum hat, sondern welche Kontrolle ein Kunde über Daten, Betrieb und Weiterentwicklung behält – und welche Möglichkeiten ihm bleiben, wenn sich Preise, Vertragsbedingungen, Eigentümerstrukturen oder politische Rahmenbedingungen verändern.

Damit wird digitale Souveränität zu einer wirtschaftlich und technisch messbaren Eigenschaft von IT-Architekturen. Für Banken und Versicherer ist das besonders relevant. Sie verarbeiten sensible Daten, unterliegen umfangreichen regulatorischen Anforderungen und betreiben zahlreiche geschäftskritische Anwendungen über viele Jahre. Ein kurzfristiger Wechsel des Kernbankensystems, der Cloud-Plattform oder eines zentralen Softwareanbieters ist in solchen Umgebungen meist weder technisch noch organisatorisch möglich.

Die entscheidende Frage lautet daher nicht, ob ein Finanzunternehmen von externen Anbietern abhängig ist. Abhängigkeiten sind in komplexen, arbeitsteiligen IT-Landschaften unvermeidbar. Entscheidend ist vielmehr, ob das Institut diese Abhängigkeiten kennt, wirtschaftlich bewerten und im Bedarfsfall beherrschen kann.“

Drei deutsche Modelle nähern sich dem Problem aus unterschiedlichen Richtungen

Mit der Stadt München, dem Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) haben inzwischen drei öffentliche Akteure Ansätze vorgelegt, die digitale Souveränität anhand konkreter Kriterien beurteilen sollen.

Stadt München – Score für Digitale Souveränität und Bewertung von IT-Services — IT-Referat der Stadt München

München konzentriert sich auf einzelne Anwendungsservices und ordnet diese mit seinem Score für Digitale Souveränität, kurz SDS, einer von fünf Kategorien zu. Untersucht werden unter anderem Hersteller- und Anbieterabhängigkeiten, Wechselmöglichkeiten, offene Standards, Open-Source-Komponenten, Einflussmöglichkeiten auf Betrieb und Daten sowie Sicherheits- und Rechtsaspekte. Die Methodik wurde wissenschaftlich von der Technischen Universität München begleitet und steht unter einer offenen Lizenz zur Verfügung. Im September und Oktober 2025 bewertete die Stadt 194 besonders geschäftskritische Services aus einem Bestand von insgesamt 2.780 Anwendungsservices. 74 Prozent der untersuchten Dienste wurden den Kategorien 1 bis 3 zugerechnet, 21 Prozent landeten in der schlechtesten Kategorie 5. München weist allerdings selbst darauf hin, dass ein solcher Wert nicht automatisch bedeutet, dass ein Service unsicher oder fachlich ungeeignet ist. Auch gesetzlich vorgeschriebene Verfahren und Lösungen deutscher Spezialanbieter können wegen geringer Wechselmöglichkeiten schlecht abschneiden.

ZenDiS setzt breiter an. Der dort entwickelte Kriterienkatalog soll nicht nur Anwendungen und Infrastruktur, sondern auch die Organisation selbst erfassen. Ein Unternehmen oder eine Behörde kann demnach nicht allein dadurch souverän werden, dass es ein bestimmtes Produkt einkauft. Es benötigt ebenso eine belastbare Digitalstrategie, eigene technische Kompetenzen, ein Risikomanagement und die Fähigkeit, Anforderungen gegenüber Dienstleistern durchzusetzen. Der im März 2026 gestartete Konsultationsprozess soll hierfür einen breiteren Konsens zwischen Verwaltung, Wissenschaft, Wirtschaft und Zivilgesellschaft herstellen. Die Kriterien sollen mit Risiken verknüpft und später durch konkrete Prüffragen und Nachweise bewertbar werden. ZenDiS nimmt damit ausdrücklich Strategien und Kompetenzen in den Blick und behandelt digitale Souveränität nicht ausschließlich als Produkteigenschaft.

Das BSI fokussiert mit den „Criteria enabling Cloud Computing Autonomy“, kurz C3A, wiederum speziell die Nutzung von Cloud-Diensten. Die Kriterien ergänzen die Sicherheitsbetrachtung des etablierten C5-Katalogs um die Frage, unter welchen Bedingungen ein Kunde einen Cloud-Service selbstbestimmt kontrollieren und nutzen kann. Sicherheit und Souveränität überschneiden sich dabei, sind aber nicht identisch: Ein technisch sicher betriebener Cloud-Service kann trotzdem eine schwer auflösbare wirtschaftliche oder operative Abhängigkeit erzeugen.

Der Serverstandort ist nur ein Teil der Bewertung

Die drei Modelle machen deutlich, weshalb eine einfache Herkunftskennzeichnung nicht ausreicht. Ein Rechenzentrum in Deutschland kann regulatorische und datenschutzrechtliche Vorteile bieten. Daraus folgt aber noch nicht, dass die zugrundeliegende Plattform ohne den Hersteller weiterbetrieben oder durch einen anderen Anbieter ersetzt werden kann. Ebenso wenig ist Open Source automatisch mit digitaler Souveränität gleichzusetzen. Ein offener Quellcode schafft grundsätzlich Transparenz und ermöglicht unabhängige Weiterentwicklung. In der Praxis hilft das allerdings nur, wenn ausreichend Dokumentation, interne Kompetenz, verfügbare Entwickler und alternative Dienstleister vorhanden sind. Wird eine komplexe Open-Source-Lösung faktisch nur von einem einzigen Integrator beherrscht, entsteht trotz offenen Quellcodes eine erhebliche Abhängigkeit.

Umgekehrt kann eine proprietäre Anwendung vergleichsweise souverän eingesetzt werden, wenn Daten in dokumentierten Formaten exportiert werden können, standardisierte Schnittstellen existieren, die Schlüssel unter Kontrolle des Kunden bleiben und der Weiterbetrieb vertraglich abgesichert ist. Auch der Zugriff auf Dokumentation, Quellcode oder alternative Supportstrukturen kann die Risiken eines proprietären Systems reduzieren. Für Finanzunternehmen bedeutet das:

Die Herkunft des Herstellers ist ein Kriterium, aber kein hinreichendes Urteil. Auch ein europäischer Anbieter kann einen ausgeprägten Lock-in erzeugen. Ein internationaler Anbieter kann dagegen zumindest für bestimmte, weniger kritische Anwendungen vertretbar sein, wenn technische und vertragliche Ausstiegsmöglichkeiten bestehen.“

Ein Score darf unterschiedliche Risiken nicht verdecken

Die Attraktivität eines Punktwerts liegt auf der Hand. Komplexe Sachverhalte lassen sich auf einer Skala darstellen, Produkte vergleichen und IT-Portfolios priorisieren. Für Vorstände, Aufsichtsräte und Beschaffungsverantwortliche entsteht damit eine scheinbar eindeutige Entscheidungsgrundlage. Darin liegt allerdings auch das Risiko. Zwei Anwendungen können denselben Gesamtwert erhalten, obwohl ihre Schwächen völlig unterschiedlich gelagert sind. Bei einer Lösung fehlt möglicherweise nur eine alternative Supportorganisation. Bei einer anderen können Daten nicht vollständig exportiert werden, während zugleich der Betrieb von einer proprietären Cloud-Infrastruktur abhängt. Für die betroffene Organisation sind das grundlegend verschiedene Risikoprofile.

Ein guter Souveränitätscheck sollte deshalb nicht nur eine Gesamtnote liefern. Er muss zeigen, aus welchen Einzelbewertungen sie entsteht. Mindestens getrennt betrachtet werden sollten die Kontrolle über Daten, die technische Portabilität, die Abhängigkeit vom Betreiber, die rechtliche Einflussnahme, die Verfügbarkeit von Alternativen sowie die eigenen Fähigkeiten des Kunden.“

Für die Finanzwirtschaft kommt die Kritikalität des jeweiligen Prozesses hinzu. Ein schlecht austauschbares Werkzeug für die interne Grafikgestaltung ist anders zu bewerten als eine Plattform für Zahlungsverkehr, Identitätsprüfung, Kreditentscheidung oder Betrugserkennung. Derselbe technische Abhängigkeitsgrad kann je nach Geschäftsprozess ein geringes, erhebliches oder nicht akzeptables Risiko darstellen. Digitale Souveränität lässt sich deshalb sinnvollerweise nicht absolut, sondern nur in Verbindung mit dem Schutzbedarf und der wirtschaftlichen Bedeutung eines Systems messen.

Entscheidend ist nicht die Kündigung, sondern der tatsächliche Exit

Fusion Versicherungs-IT Modernisierung — ChatGPT

Viele Verträge enthalten Regelungen zur Datenherausgabe und zur Unterstützung bei einem Anbieterwechsel. Ob ein Ausstieg tatsächlich funktioniert, zeigt sich dadurch noch nicht. Eine Exit-Klausel ist nur so wertvoll wie die technische und organisatorische Fähigkeit, sie umzusetzen. Für eine belastbare Bewertung müssen Finanzunternehmen daher konkreter fragen: In welchem Format werden die Daten bereitgestellt? Sind darin auch Metadaten, Protokolle, Konfigurationen und Berechtigungen enthalten? Lassen sich die exportierten Informationen ohne unverhältnismäßigen Aufwand in ein anderes System übertragen? Welche Anwendungen müssen während der Migration parallel betrieben werden? Und wie lange könnte das Institut einen Ausfall oder eine eingeschränkte Nutzung verkraften?

Auch die Kosten gehören zwingend in die Betrachtung. Ein Anbieterwechsel kann rechtlich möglich und technisch machbar sein, wirtschaftlich aber dennoch kaum realistisch. Müssen Schnittstellen neu entwickelt, Beschäftigte geschult und große Datenbestände über Monate migriert werden, entsteht ein faktischer Lock-in – selbst wenn der Vertrag jederzeit kündbar ist. Damit wird die Exit-Fähigkeit zu einer der wichtigsten Messgrößen digitaler Souveränität. Sie sollte nicht nur dokumentiert, sondern regelmäßig getestet werden. Vergleichbar mit Notfall- und Wiederanlaufübungen könnten Institute prüfen, ob sich Daten vollständig exportieren, alternative Systeme anbinden und kritische Funktionen zumindest vorübergehend anderweitig betreiben lassen.

Ein Score ist ein temporärer Wert, nicht mehr und nicht weniger

Doch ein einmal ermittelter Score bleibt nicht dauerhaft gültig. Hersteller werden übernommen, Produkte eingestellt, Lizenzmodelle verändert und Schnittstellen geschlossen. Auch politische Rahmenbedingungen und der rechtliche Zugriff auf Daten können sich ändern. Gleichzeitig kann ein Institut durch den Aufbau eigener Kompetenzen, zusätzliche Vertragspflichten oder eine modularere Architektur seinen Souveränitätsgrad verbessern, ohne den Anbieter unmittelbar auszutauschen.

Die Bewertung gehört deshalb nicht ausschließlich in die Produktauswahl. Sie sollte in Architekturmanagement, Auslagerungssteuerung, Informationssicherheit und Beschaffung integriert werden. Bei kritischen Anwendungen empfiehlt sich eine regelmäßige Neubewertung, insbesondere nach größeren Produktänderungen, Unternehmensübernahmen oder Vertragsverhandlungen.“

Die Bewertungsmodelle aus München, vom ZenDiS und dem BSI zeigen, dass sich digitale Souveränität durchaus strukturiert beurteilen lässt. Die Modelle setzen allerdings auf unterschiedlichen Ebenen an: München bewertet konkrete Services, ZenDiS verbindet Technologie mit organisationalen Fähigkeiten und das BSI konzentriert sich auf die Autonomie bei der Nutzung von Cloud-Diensten. Ein allgemeingültiges Gütesiegel lässt sich daraus noch nicht ableiten. Das wäre auch nur bedingt sinnvoll. Denn digitale Souveränität ist kein unveränderliches Produktmerkmal, sondern das Ergebnis aus Technik, Verträgen, Kompetenzen, Marktalternativen und dem jeweiligen Risikokontext.

Für Banken und Versicherer besteht der wichtigste Nutzen der neuen Messmodelle daher nicht darin, jedem Dienst eine abschließende Note zu geben. Sie schaffen vielmehr eine Grundlage, um Abhängigkeiten sichtbar zu machen, Investitionen zu priorisieren und belastbare Exit-Szenarien zu entwickeln. Ein guter Souveränitätsscore beantwortet am Ende nicht die Frage, ob ein System „deutsch“, „europäisch“ oder vollständig unabhängig ist. Er zeigt, wie handlungsfähig ein Institut bleibt, wenn ein wichtiger Anbieter morgen nicht mehr zu denselben Bedingungen zur Verfügung steht.tw