"Entscheidend ist, sich heute nicht ­unnötig festzulegen"

Was hat sich für Schweizer Unternehmen konkret ­so verändert, dass digitale Souveränität heute stärker in den Fokus rückt?

Lukas Hebeisen: Das Thema ist nicht neu, aber die Rahmenbedingungen haben sich verändert. Unternehmen nutzen heute Cloud, digitale Arbeitsplätze und zunehmend künstliche Intelligenz für zentrale Geschäftsprozesse. Damit wachsen auch die Abhängigkeiten von Technologien, Anbietern und Rechtsräumen. Gleichzeitig führen geopolitische Unsicherheiten und regulatorische Anforderungen dazu, dass Unternehmen diese Abhängigkeiten bewusster betrachten. Dabei reicht es nicht, nur zu wissen, wo die Daten liegen. Entscheidend ist auch, wer darauf zugreifen kann, welchem Recht ein Anbieter unterliegt und welche Alternativen bestehen. Genau deshalb ist digitale Souveränität heute keine technische Detailfrage mehr, sondern ein Thema für die Geschäftsleitung.

Woran können Unternehmen eigentlich erkennen, wie souverän sie digital tatsächlich aufgestellt sind?

Ich stelle diese Frage gern ganz konkret: «Ihr wichtigster Cloud-Anbieter schaltet morgen früh einen Dienst ab, den Sie täglich brauchen. Was machen Sie?» Wenn niemand darauf eine klare Antwort hat, lohnt es sich, genauer hinzuschauen. Entscheidend ist zunächst Transparenz: Welche Systeme und Daten hängen von welchem Anbieter ab? Welche davon sind geschäftskritisch? Und welche Alternativen gibt es, wenn ein Dienst nicht mehr verfügbar ist oder ein Anbieter gewechselt werden soll? Wer seine Abhängigkeiten kennt und im Ernstfall handlungsfähig bleibt, ist schon einen wichtigen Schritt weiter.

Wo geraten digitale Souveränität und die Geschwindigkeit technologischer Innovation Ihrer Meinung nach am stärksten in Konflikt?

Besonders deutlich zeigt sich dieses Spannungsfeld derzeit bei künstlicher Intelligenz. Die Fachbereiche wollen neue Möglichkeiten schnell nutzen, gleichzeitig stellen sich Fragen zu Datenschutz, Sicherheit und dem Umgang mit sensiblen Informationen. Das kann schnell den Eindruck erwecken, dass Sicherheit Innovation bremst. Ich sehe es eher umgekehrt: Häufig bremst fehlende Klarheit. Wenn bei jedem Anwendungsfall neu entschieden werden muss, welche Daten mit welchem KI-Dienst verarbeitet werden dürfen, kostet das Zeit. Klare Leitplanken helfen: Öffentliche Informationen können etwa mit gängigen KI-Diensten bearbeitet werden, Konstruktionsdaten oder Produktwissen dagegen nur in einer entsprechend geschützten Umgebung. Solche Regeln bremsen Innovation nicht, sondern schaffen den Rahmen, um KI schneller und sicherer einzusetzen.

Welche Kontrolle über ihre Cloud-Infrastruktur sollten Unternehmen unter keinen Umständen aus der Hand geben?

Ganz zentral ist die Kontrolle über Identitäten und Zugriffsrechte. Ein Unternehmen sollte jederzeit wissen, wer auf welche Daten und Systeme zugreifen kann. Dazu gehören für mich Backups und klare Verantwortlichkeiten für den Ernstfall. Den Betrieb kann durchaus ein Partner übernehmen. Entscheidend ist, dass das Unternehmen selbst handlungsfähig bleibt: Es muss wissen, wie es auf seine Daten zugreifen kann, welche Alternativen bestehen und wer entscheidet, was im Ernstfall zuerst wieder laufen muss.

Was denken Sie: Wann ist ein souveräner Cloud-­Anbieter die bessere Wahl, und wann sprechen gute Gründe für einen internationalen Hyperscaler?

Das lässt sich nicht für die ganze Organisation auf einmal beantworten. Entscheidend ist der konkrete Anwendungsfall: Um welche Daten und Anwendungen geht es? Wie sensibel oder geschäftskritisch sind sie? Und welche regulatorischen Anforderungen gelten? Bei besonders sensiblen Daten wie Patienten- und Kundendaten, bei geschäftskritischen Anwendungen oder bei hohen regulatorischen Anforderungen kann eine souveräne Cloud die bessere Wahl sein, weil die Kontrolle über Daten, Zugriffe und rechtliche Rahmenbedingungen im Vordergrund steht. Hyperscaler wiederum bieten Vorteile, wenn Innovationsgeschwindigkeit, ein breites Serviceangebot und globale Skalierbarkeit entscheidend sind. In der Praxis ist es deshalb selten ein Entweder-oder. Für viele Unternehmen liegt die richtige Antwort in einer Kombination verschiedener Cloud-Modelle.

Wie verändert sich die digitale Souveränität eines ­Unternehmens, wenn es zentrale Sicherheitsfunk­tionen an einen externen Dienstleister auslagert?

Sie kann dadurch sogar steigen. Eine Sicherheitsüberwachung rund um die Uhr mit eigenem Personal aufzubauen, ist für viele Unternehmen schwierig. Ein spezialisierter Partner bringt dafür Erfahrung und entsprechende Fähigkeiten mit. Entscheidend ist aber, dass das Unternehmen nicht auch die Kontrolle auslagert. Es sollte seine eigenen Risiken verstehen, beurteilen können, was der Dienstleister meldet, und im Ernstfall selbst entscheiden können. Wer diese Kompetenz vollständig abgibt, verliert ein Stück seiner digitalen Souveränität.

Welche Fähigkeiten müssen Organisationen selbst behalten, um auch bei einem schwerwiegenden ­Cyberangriff handlungsfähig zu bleiben?

Die Fähigkeit, unter Druck zu entscheiden, was zuerst wieder laufen muss: Produktion, Kundenportal oder Lohnverarbeitung? Darf ein betroffenes System abgeschaltet werden? Wann werden Kundschaft oder Behörden informiert? Ein Sicherheitspartner kann bei solchen Entscheidungen beraten. Die Verantwortung und das Wissen darüber, was für das eigene Geschäft kritisch ist, müssen aber im Unternehmen bleiben.

Wo sehen Sie derzeit die grössten Hürden für Schweizer Unternehmen, die auf souveräne KI-­Lösungen setzen möchten?

Die grösste Hürde ist aus meiner Sicht, für jeden Anwendungsfall das richtige Mass an Souveränität zu bestimmen. Eine Versicherung, die mit vertraulichen Schadensdokumenten arbeitet, hat andere Anforderungen als ein Industrieunternehmen, das sein Konstruktionswissen schützen muss. Entscheidend ist deshalb, Transparenz zu schaffen: Welche Daten fliessen in die KI? Wo werden sie verarbeitet? Wer kann darauf zugreifen? Und welche Abhängigkeiten vom Anbieter entstehen? Erst wenn diese Fragen geklärt sind, lässt sich entscheiden, welche KI-Lösung für einen bestimmten Anwendungsfall geeignet ist.

Wie können Unternehmen KI nutzen, ohne die Kon­trolle über sensible Daten und geschäftskritisches Wissen zu verlieren?

Es braucht beides: klare Leitplanken und gute, sichere Werkzeuge. Mitarbeitende müssen wissen, welche KI-Anwendungen sie nutzen dürfen, welche Daten sie darin verarbeiten können und wo die Grenzen liegen. Gleichzeitig müssen ihnen Unternehmen Lösungen zur Verfügung stellen, die im Arbeitsalltag wirklich funktionieren. Für den Einsatz von KI gibt es verbindliche interne Richtlinien, und Datenschutz sowie Informationssicherheit haben hohe Priorität. Gleichzeitig werden Mitarbeitende regelmässig für Chancen, Risiken und Grenzen von KI sensibilisiert. Denn wenn die sicheren Lösungen zu kompliziert sind, werden sie im Alltag kaum genutzt. Entscheidend ist deshalb, Sicherheit und Benutzerfreundlichkeit zusammenzubringen.

Was sollten Schweizer Firmen heute entscheiden, ­damit sie in fünf Jahren noch selbst über ihre digitale Zukunft bestimmen können?

Entscheidend ist, sich heute nicht unnötig festzulegen. Unternehmen sollten wissen, welche Daten und Systeme für ihr Geschäft wirklich kritisch sind und diese dort betreiben, wo sie die notwendige Kontrolle behalten. Gleichzeitig sollten sie bei der Beschaffung neuer Lösungen darauf achten, dass sie auch morgen noch Wahlmöglichkeiten haben. Dazu gehören beispielsweise offene Schnittstellen, exportierbare Daten und Verträge, die einen Anbieterwechsel ermöglichen. Und sie sollten zentrale Kompetenzen im eigenen Unternehmen behalten. Wer seine Architektur, seine Risiken und seine Abhängigkeiten versteht, kann neue Technologien nutzen, ohne die eigene Handlungsfähigkeit aus der Hand zu geben.