Vendor Lock-in, eine schleichende Anbieterabhängigkeit, entsteht selten durch eine große Fehlentscheidung. Meist entwickelt er sich aus vielen kleinen, nachvollziehbaren Schritten: Eine Cloud-Lösung fügt sich gut in die bestehende Umgebung ein, ein KI-Assistent funktioniert ohne großen Aufwand, Daten werden in herstellerspezifischen Formaten gespeichert. Mit der Zeit richten sich Schnittstellen, Prozesse und Schulungen immer stärker auf denselben Anbieter aus. Jede Entscheidung ist für sich genommen rational. In Summe entsteht jedoch eine Abhängigkeit, die sich nur noch mit erheblichem Aufwand auflösen lässt.
Dieses Muster beobachten wir regelmäßig in österreichischen Unternehmen und öffentlichen Einrichtungen. Nicht als Folge schlechter Planung, sondern als Ergebnis pragmatischer Entscheidungen unter Zeit-, Kosten- und Umsetzungsdruck. Lange bleibt die Abhängigkeit unauffällig: Die Systeme laufen, die Prozesse sind eingespielt und die Mitarbeiter:innen mit den Anwendungen vertraut.
Kritisch wird es, wenn sich die Rahmenbedingungen ändern. Preise steigen, Vertragsbedingungen werden angepasst, Funktionen verschwinden oder wandern in teurere Lizenzpakete. Auch neue regulatorische Anforderungen können dazu führen, dass eine bestehende Lösung nicht mehr ausreicht.
Ein Anbieterwechsel bleibt theoretisch möglich, bedeutet in der Praxis aber häufig Datenmigrationen, neue Schnittstellen, Umschulungen und zusätzliche Risiken für den laufenden Betrieb. Wie teuer das werden kann, zeigt der DevOps-Migration-Index 2025: Bei den untersuchten Plattformmigrationen entstanden im Durchschnitt rund USD 315.000 an ungeplanten Mehrkosten pro Projekt.1)
Was ursprünglich wie eine technische Entscheidung wirkte, ist damit längst zu einer strategischen Abhängigkeit geworden. Das Bewusstsein dafür ist vorhanden: In einer aktuellen SUSE-Befragung bezeichneten 98%der IT-Verantwortlichen digitale Souveränität als Priorität. Konkrete Maßnahmen setzen jedoch nur 52% um.2)
Die eigentliche Lücke liegt daher nicht im fehlenden Problembewusstsein, sondern zwischen erkanntem Handlungsbedarf und tatsächlichem Handeln.
Auch wer eine externe KI-Lösung einsetzt, muss wissen, wofür sie verwendet wird, welche Risiken damit verbunden sind und wie eine angemessene menschliche Aufsicht sichergestellt wird. Je nach Einsatzgebiet treffen damit nicht nur den Hersteller, sondern auch die einsetzende Organisation konkrete Pflichten. 3)
Die regulatorischen Fristen wurden zuletzt teilweise angepasst: Ab dem 2.8.2026 greifen weitere Transparenzvorgaben. Die umfassenden Anforderungen für bestimmte Hochrisikosysteme sollen nach dem derzeitigen Zeitplan ab dem 2.12.2027 beziehungsweise – bei in regulierte Produkte eingebetteten Systemen – ab dem 2.8.2028 gelten.
Für Unternehmen ist die genaue Frist allerdings nur ein Teil der Frage. Die organisatorische Vorarbeit beginnt deutlich früher.
Wer nicht weiß,
Relevant ist diese Entwicklung nicht nur für Behörden und öffentliche Einrichtungen. Auch Unternehmen, die den öffentlichen Sektor oder kritische Infrastrukturen beliefern, werden sich künftig stärker mit Fragen der rechtlichen Kontrolle, der betrieblichen Abhängigkeit und der Herkunft ihrer Technologie auseinandersetzen müssen.
Der EU-Data-Act ist bereits einen Schritt weiter: Er gilt seit dem 12.9.2025 und verpflichtet Anbieter von Cloud- und Datenverarbeitungsdiensten unter anderem dazu, technische und vertragliche Hindernisse für einen Anbieterwechsel abzubauen. Auch Portabilität und Interoperabilität erhalten dadurch deutlich mehr Gewicht.5)
Die Richtung ist klar: Wechselbarkeit und Kontrolle werden von einem technischen Detail zu einem festen Bestandteil europäischer Digitalpolitik.
Diese Schlussfolgerung greift zu kurz.
Der physische Speicherort ist wichtig. Er ist aber nur eine Dimension digitaler Souveränität. Ebenso relevant sind die Eigentümerstruktur des Anbieters, die geltende Jurisdiktion, der Zugriff auf Verschlüsselungsschlüssel, die operative Kontrolle und die tatsächliche Möglichkeit, Daten und Systeme wieder zu verlagern.
Der US-amerikanische CLOUD-Act stellt ausdrücklich klar, dass Anbieter unter US-Jurisdiktion im Rahmen rechtmäßiger behördlicher Anordnungen zur Herausgabe von Daten, die sich in ihrem Besitz oder unter ihrer Kontrolle befinden, verpflichtet werden können – unabhängig davon, ob diese innerhalb oder außerhalb der USA gespeichert sind. Gleichzeitig bestehen Verfahren für mögliche Konflikte mit ausländischem Recht.
Wie relevant diese Frage auch für europäische Organisationen ist, zeigte eine Anhörung im französischen Senat im Juni 2025. Ein Vertreter von Microsoft France erklärte dort, nicht garantieren zu können, dass strategische Daten niemals ohne Information der französischen Behörden an US-Stellen übermittelt würden.
Das bedeutet nicht, dass jede Nutzung eines US-Anbieters automatisch problematisch ist. Es bedeutet aber, dass ein europäischer Serverstandort allein noch keine belastbare Souveränitätsstrategie darstellt.6)
Entscheidend ist das Gesamtbild: Wer kontrolliert die Schlüssel? Wer betreibt die Infrastruktur? Welches Recht gilt? Welche Unterauftragnehmer sind beteiligt? Und was passiert, wenn sich die politische, wirtschaftliche oder vertragliche Ausgangslage verändert?
Das ist keine akademische Diskussion. Die Antworten wirken sich unmittelbar auf Risikobewertungen, Beschaffungsentscheidungen und Notfallpläne aus.
Es geht um etwas wesentlich Praktischeres: die Fähigkeit, selbst entscheiden zu können, welche Abhängigkeiten eine Organisation eingeht, unter welchen Bedingungen sie das tut und welche Alternativen ihr im Ernstfall bleiben.
Ein sinnvoller erster Schritt ist deshalb die strukturierte Kategorisierung der eigenen Daten.
Nicht jede Information benötigt dasselbe Schutzniveau. Öffentlich verfügbare Inhalte sind anders zu behandeln als interne Arbeitsunterlagen, vertrauliche Geschäftsdaten, personenbezogene Informationen oder Daten, die für kritische Betriebs- und Versorgungsprozesse benötigt werden.
Eine nachvollziehbare Klassifikation schafft die Grundlage für konkrete Entscheidungen:
Nicht, weil morgen zwingend ein Anbieterwechsel bevorsteht, sondern weil die eigene Entscheidungsfreiheit bereits heute eingeschränkt sein könnte.
Digitale Souveränität bedeutet deshalb nicht Abschottung, sondern bewusste Steuerung: Abhängigkeiten kennen, Risiken realistisch bewerten und dort Alternativen vorbereiten, wo sie für die Handlungsfähigkeit der Organisation entscheidend sind. Gerade in einem regulatorischen Umfeld, das sich laufend verändert, stärkt das nicht nur die Resilienz der IT, sondern auch die Verhandlungsposition gegenüber Anbietern und reduziert spätere Migrationsrisiken.
Bei BDO Digital Advisory nennen wir diesen Einstieg den Souveränitäts-Check: eine strukturierte Reifegradanalyse, die aufzeigt, wo technische, vertragliche und rechtliche Abhängigkeiten bestehen, welche davon tatsächlich kritisch sind und welche nächsten Schritte mit vertretbarem Aufwand umgesetzt werden können.
Dabei geht es nicht um ein weiteres isoliertes IT-Projekt. Es geht um eine belastbare Entscheidungsgrundlage für Geschäftsführung, IT, Einkauf, Risikomanagement und Compliance. Denn digitale Souveränität zeigt sich nicht daran, ob eine Organisation vollständig unabhängig ist, sondern daran, ob sie auch unter veränderten Bedingungen noch selbst entscheiden kann.
1) DevOps Migration Index 2025 – durchschnittliche ungeplante Mehrkosten bei Plattformmigrationen.
2) SUSE Research 2026 – Digital Sovereignty Survey (zitiert in SUSE Digital Sovereignty Report 2026).
3) Verordnung (EU) 2024/1689 – EU AI Act, Phasenplan der Anwendbarkeit; Deployer-Pflichten gemäß Art. 26 AI Act.
4) Europäische Kommission (2026): Proposal for the Cloud and AI Development Act (CADA), veröffentlicht am 3.6.2026.
5) EU Data Act (Verordnung (EU) 2023/2854), vollständig anwendbar ab 12.9.2025.
6) Anhörung im französischen Senat, Juni 2025 – Aussage des Director of Public and Legal Affairs von Microsoft France. Vgl. auch: ITA-Projektbericht Nr. ITA-2026-03, Österreichische Akademie der Wissenschaften, Wien, Juni 2026.
Dieses Muster beobachten wir regelmäßig in österreichischen Unternehmen und öffentlichen Einrichtungen. Nicht als Folge schlechter Planung, sondern als Ergebnis pragmatischer Entscheidungen unter Zeit-, Kosten- und Umsetzungsdruck. Lange bleibt die Abhängigkeit unauffällig: Die Systeme laufen, die Prozesse sind eingespielt und die Mitarbeiter:innen mit den Anwendungen vertraut.
Kritisch wird es, wenn sich die Rahmenbedingungen ändern. Preise steigen, Vertragsbedingungen werden angepasst, Funktionen verschwinden oder wandern in teurere Lizenzpakete. Auch neue regulatorische Anforderungen können dazu führen, dass eine bestehende Lösung nicht mehr ausreicht.
Ein Anbieterwechsel bleibt theoretisch möglich, bedeutet in der Praxis aber häufig Datenmigrationen, neue Schnittstellen, Umschulungen und zusätzliche Risiken für den laufenden Betrieb. Wie teuer das werden kann, zeigt der DevOps-Migration-Index 2025: Bei den untersuchten Plattformmigrationen entstanden im Durchschnitt rund USD 315.000 an ungeplanten Mehrkosten pro Projekt.1)
Was ursprünglich wie eine technische Entscheidung wirkte, ist damit längst zu einer strategischen Abhängigkeit geworden. Das Bewusstsein dafür ist vorhanden: In einer aktuellen SUSE-Befragung bezeichneten 98%der IT-Verantwortlichen digitale Souveränität als Priorität. Konkrete Maßnahmen setzen jedoch nur 52% um.2)
Die eigentliche Lücke liegt daher nicht im fehlenden Problembewusstsein, sondern zwischen erkanntem Handlungsbedarf und tatsächlichem Handeln.
Warum der EU-AI-Act das Thema zusätzlich verschärft
Der EU-AI-Act macht deutlich, dass sich Verantwortung nicht gemeinsam mit einer Softwarelizenz auslagern lässt.Auch wer eine externe KI-Lösung einsetzt, muss wissen, wofür sie verwendet wird, welche Risiken damit verbunden sind und wie eine angemessene menschliche Aufsicht sichergestellt wird. Je nach Einsatzgebiet treffen damit nicht nur den Hersteller, sondern auch die einsetzende Organisation konkrete Pflichten. 3)
Die regulatorischen Fristen wurden zuletzt teilweise angepasst: Ab dem 2.8.2026 greifen weitere Transparenzvorgaben. Die umfassenden Anforderungen für bestimmte Hochrisikosysteme sollen nach dem derzeitigen Zeitplan ab dem 2.12.2027 beziehungsweise – bei in regulierte Produkte eingebetteten Systemen – ab dem 2.8.2028 gelten.
Für Unternehmen ist die genaue Frist allerdings nur ein Teil der Frage. Die organisatorische Vorarbeit beginnt deutlich früher.
Wer nicht weiß,
- welche KI-Systeme bereits eingesetzt werden,
- für welche Entscheidungen sie genutzt werden,
- welche Daten in die Systeme fließen
- und wer intern die Verantwortung trägt,
Technische Abhängigkeit wird damit zunehmend auch zu einem Compliance- und Führungsthema.
Parallel dazu hat die Europäische Kommission am 3.6.2026 den Vorschlag für den Cloud- und AI-Development-Act, kurz CADA, vorgelegt. Vorgesehen ist unter anderem ein EU-weit einheitliches Bewertungsmodell für die Souveränität von Cloud- und KI-Diensten sowie ein Mechanismus für deren Berücksichtigung im öffentlichen Sektor. Der Vorschlag befindet sich derzeit noch im europäischen Gesetzgebungsverfahren.4)Relevant ist diese Entwicklung nicht nur für Behörden und öffentliche Einrichtungen. Auch Unternehmen, die den öffentlichen Sektor oder kritische Infrastrukturen beliefern, werden sich künftig stärker mit Fragen der rechtlichen Kontrolle, der betrieblichen Abhängigkeit und der Herkunft ihrer Technologie auseinandersetzen müssen.
Der EU-Data-Act ist bereits einen Schritt weiter: Er gilt seit dem 12.9.2025 und verpflichtet Anbieter von Cloud- und Datenverarbeitungsdiensten unter anderem dazu, technische und vertragliche Hindernisse für einen Anbieterwechsel abzubauen. Auch Portabilität und Interoperabilität erhalten dadurch deutlich mehr Gewicht.5)
Die Richtung ist klar: Wechselbarkeit und Kontrolle werden von einem technischen Detail zu einem festen Bestandteil europäischer Digitalpolitik.
Die häufigste Fehlannahme: Ein EU-Rechenzentrum macht noch keine souveräne Cloud
„Unsere Daten liegen in einem europäischen Rechenzentrum, damit sind wir souverän.“Diese Schlussfolgerung greift zu kurz.
Der physische Speicherort ist wichtig. Er ist aber nur eine Dimension digitaler Souveränität. Ebenso relevant sind die Eigentümerstruktur des Anbieters, die geltende Jurisdiktion, der Zugriff auf Verschlüsselungsschlüssel, die operative Kontrolle und die tatsächliche Möglichkeit, Daten und Systeme wieder zu verlagern.
Der US-amerikanische CLOUD-Act stellt ausdrücklich klar, dass Anbieter unter US-Jurisdiktion im Rahmen rechtmäßiger behördlicher Anordnungen zur Herausgabe von Daten, die sich in ihrem Besitz oder unter ihrer Kontrolle befinden, verpflichtet werden können – unabhängig davon, ob diese innerhalb oder außerhalb der USA gespeichert sind. Gleichzeitig bestehen Verfahren für mögliche Konflikte mit ausländischem Recht.
Wie relevant diese Frage auch für europäische Organisationen ist, zeigte eine Anhörung im französischen Senat im Juni 2025. Ein Vertreter von Microsoft France erklärte dort, nicht garantieren zu können, dass strategische Daten niemals ohne Information der französischen Behörden an US-Stellen übermittelt würden.
Das bedeutet nicht, dass jede Nutzung eines US-Anbieters automatisch problematisch ist. Es bedeutet aber, dass ein europäischer Serverstandort allein noch keine belastbare Souveränitätsstrategie darstellt.6)
Entscheidend ist das Gesamtbild: Wer kontrolliert die Schlüssel? Wer betreibt die Infrastruktur? Welches Recht gilt? Welche Unterauftragnehmer sind beteiligt? Und was passiert, wenn sich die politische, wirtschaftliche oder vertragliche Ausgangslage verändert?
Das ist keine akademische Diskussion. Die Antworten wirken sich unmittelbar auf Risikobewertungen, Beschaffungsentscheidungen und Notfallpläne aus.
Datenkategorisierung als pragmatischer Ausgangspunkt
Digitale Souveränität bedeutet nicht, sämtliche Systeme selbst zu entwickeln oder grundsätzlich auf leistungsfähige internationale Anbieter zu verzichten.Es geht um etwas wesentlich Praktischeres: die Fähigkeit, selbst entscheiden zu können, welche Abhängigkeiten eine Organisation eingeht, unter welchen Bedingungen sie das tut und welche Alternativen ihr im Ernstfall bleiben.
Ein sinnvoller erster Schritt ist deshalb die strukturierte Kategorisierung der eigenen Daten.
Nicht jede Information benötigt dasselbe Schutzniveau. Öffentlich verfügbare Inhalte sind anders zu behandeln als interne Arbeitsunterlagen, vertrauliche Geschäftsdaten, personenbezogene Informationen oder Daten, die für kritische Betriebs- und Versorgungsprozesse benötigt werden.
Eine nachvollziehbare Klassifikation schafft die Grundlage für konkrete Entscheidungen:
- Welche Daten dürfen in welchem System verarbeitet werden?
- Welche Anbieter und Betriebsmodelle sind für die jeweilige Kategorie vertretbar?
- Wo sind zusätzliche technische oder vertragliche Schutzmaßnahmen erforderlich?
- Welche Daten müssen verschlüsselt werden – und wer sollte die Schlüssel kontrollieren?
- Wo braucht es eine echte Alternative, und wo kann eine Abhängigkeit bewusst akzeptiert werden?
5 Punkte, die jedes Unternehmen klären sollte
In unserer Beratungspraxis beginnen strukturierte Souveränitätsanalysen häufig mit 5 einfachen, aber aufschlussreichen Punkten:- Wissen wir, wo unsere kritischen Daten und Anwendungen liegen?
- Können wir unsere Daten vollständig, zeitnah und in einem nutzbaren Format exportieren?
- Sind Schnittstellen, Datenformate und technische Abhängigkeiten nachvollziehbar dokumentiert?
- Gibt es einen realistischen Exit-Plan – einschließlich Aufwand, Kosten, Dauer und Verantwortlichkeiten?
- Welche Prozesse würden bei einem Ausfall, einem Vertragskonflikt oder einem Anbieterwechsel stillstehen?
Nicht, weil morgen zwingend ein Anbieterwechsel bevorsteht, sondern weil die eigene Entscheidungsfreiheit bereits heute eingeschränkt sein könnte.
Fazit: Machen Sie digitale Souveränität zur Führungsaufgabe
Vendor Lock-in ist kein Versagen. In komplexen IT-Landschaften lassen sich Abhängigkeiten kaum vollständig vermeiden – und genau das muss auch nicht das Ziel sein. Kritisch werden sie dort, wo sie nicht mehr transparent sind oder sich nur noch mit wirtschaftlich und operativ kaum tragbarem Aufwand auflösen lassen.Digitale Souveränität bedeutet deshalb nicht Abschottung, sondern bewusste Steuerung: Abhängigkeiten kennen, Risiken realistisch bewerten und dort Alternativen vorbereiten, wo sie für die Handlungsfähigkeit der Organisation entscheidend sind. Gerade in einem regulatorischen Umfeld, das sich laufend verändert, stärkt das nicht nur die Resilienz der IT, sondern auch die Verhandlungsposition gegenüber Anbietern und reduziert spätere Migrationsrisiken.
Bei BDO Digital Advisory nennen wir diesen Einstieg den Souveränitäts-Check: eine strukturierte Reifegradanalyse, die aufzeigt, wo technische, vertragliche und rechtliche Abhängigkeiten bestehen, welche davon tatsächlich kritisch sind und welche nächsten Schritte mit vertretbarem Aufwand umgesetzt werden können.
Dabei geht es nicht um ein weiteres isoliertes IT-Projekt. Es geht um eine belastbare Entscheidungsgrundlage für Geschäftsführung, IT, Einkauf, Risikomanagement und Compliance. Denn digitale Souveränität zeigt sich nicht daran, ob eine Organisation vollständig unabhängig ist, sondern daran, ob sie auch unter veränderten Bedingungen noch selbst entscheiden kann.
1) DevOps Migration Index 2025 – durchschnittliche ungeplante Mehrkosten bei Plattformmigrationen.
2) SUSE Research 2026 – Digital Sovereignty Survey (zitiert in SUSE Digital Sovereignty Report 2026).
3) Verordnung (EU) 2024/1689 – EU AI Act, Phasenplan der Anwendbarkeit; Deployer-Pflichten gemäß Art. 26 AI Act.
4) Europäische Kommission (2026): Proposal for the Cloud and AI Development Act (CADA), veröffentlicht am 3.6.2026.
5) EU Data Act (Verordnung (EU) 2023/2854), vollständig anwendbar ab 12.9.2025.
6) Anhörung im französischen Senat, Juni 2025 – Aussage des Director of Public and Legal Affairs von Microsoft France. Vgl. auch: ITA-Projektbericht Nr. ITA-2026-03, Österreichische Akademie der Wissenschaften, Wien, Juni 2026.
