Digitale Souveränität in KMU: Ein Wettbewerbsvorteil, dank Open Source

Dass die Digitalisierung in deutschen KMU stetig vorangetrieben wird, ist inzwischen ein alter Hut. Viel interessanter ist ein Blick darauf, wie sie vorangetrieben wird. Welche Tools, Apps und digitalen Dienstleistungen werden inzwischen für die alltäglichen Prozesse eingesetzt, für die vor einigen Jahren noch Fax-Gerät und Papierakte verwendet wurden?

In den meisten Fällen handelt es sich um cloudbasierte Software-as-a-Service-Angebote (SaaS) großer, internationaler Tech-Konzerne. In vielen Fällen sind die Unternehmen in den USA ansässig. Ihr Code ist nicht einsehbar und die Datenverarbeitung findet in anderen Ländern als Deutschland statt und unterliegt damit den jeweiligen Ländergesetzgebungen. Der US Cloud Act ermöglicht staatlichen Institutionen beispielsweise einen weltweiten Zugriff auf die durch US-Unternehmen verarbeiteten Daten. Was im Anschluss mit den Daten geschieht, ist nicht länger einsehbar oder nachvollziehbar – ein potenziell signifikantes Datenschutzrisiko für KMU.

Die Nutzung dieser Lösungen geht also für Unternehmen mit einem möglichen Verlust der eigenen digitalen Souveränität einher: Das Unternehmen hat nicht länger die volle, uneingeschränkte Kontrolle über seine Systeme, Zugänge und sensiblen oder geschäftskritischen Daten. Die Konsequenzen eines Datenverlustes oder einer Datenschutzverletzung im Rahmen deutscher und europäischer Regulation wie der DSGVO können schwerwiegend sein: Finanzielle und rechtliche Konsequenzen sind hier die eine Seite, aber gerade für KMU wiegen auch Reputations- und Vertrauensverluste bei Kunden, Zulieferern und anderen Partnern schwer.

Digitale Souveränität durch Open Source

Es ist also ein Umdenken notwendig: Unternehmen müssen die eigene digitale Souveränität als eine Art kritische Infrastruktur verstehen. Alle für den Geschäftsalltag notwendigen Anwendungen – von Telefonie, E-Mail, Chat und Videokonferenzen bis hin zu CRM- und ERP-Systemen – sind besonders schützenswert. Alle Anwendungen On-Premise, also in der eigenen digitalen Infrastruktur, zu betreiben ist eine Lösung. Aber abhängig von der Größe und dem Digitalisierungsgrad des Unternehmens nicht immer möglich oder praktikabel.

Sobald aus diesen Gründen ein externer Anbieter hinzugezogen wird, muss zunächst sichergestellt werden, dass dieser seine Anwendungen vertrauenswürdig in Rechenzentren in Deutschland hostet – und dementsprechend die strengen Anforderungen der Datenschutzgrundverordnung (DSGVO) und anderer deutscher und europäischer Datenschutzbestimmungen erfüllt. Um dies sicherzustellen, sollte mit dem Dienstleister ein sogenannter Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden – eine allgemeine Formulierung wie „erfüllt die Anforderungen“ ohne AVV ist nicht ausreichend, auch wenn dies von US-basierten Anbietern oft so dargestellt wird. Weitere Indikatoren, nach denen KMU ihre Dienstleister auswählen können, sind die ISO27001 Zertifizierung für Rechenzentren und – nach Möglichkeit – die C5-Anforderungen für Cloud-Betreiber.

Darüber hinaus ist es sinnvoll, auf Open-Source-Lösungen zu setzen. Dabei handelt es sich um Software, deren Code öffentlich einsehbar ist und dementsprechend auch von unabhängigen Experten auf Schwachstellen oder Hintertüren überprüft werden kann. Auf diese Weise erhalten die Software-Nutzer einen Blick „hinter die Kulissen“ der jeweiligen Anwendungen und können eine informierte Entscheidung dahingehend treffen, ob die Anwendungen ihren Datenschutzansprüchen gerecht werden.

Inzwischen existiert eine breite Auswahl an technisch ausgereiften Open-Source-Lösungen, die ihren Closed-Source-Wettbewerbern hinsichtlich Flexibilität und Benutzerfreundlichkeit in nichts nachstehen. Gleichzeitig vermeiden sie jedoch die „Black Box“-Problematik der etablierten Anwendungen, bei der nicht transparent wird, was, wann und in welchem Umfang mit den eigenen Daten geschieht. Damit sind sie essenziell, um die digitale Souveränität von deutschen Unternehmen – und damit einen wichtigen Wettbewerbsvorteil im internationalen Markt – zu bewahren.

Über den Autor: Peer Heinlein

Peer Heinlein ist Diplom-Jurist, IT- und Open Source-Spezialist sowie Fachautor. Er ist Gründer und Geschäftsführer von Heinlein Support, dem mehrfach ausgezeichneten E-Mail Provider mailbox.org und der modernen und datenschutzkonformen Videokonferenzlösung OpenTalk.