Letzte Woche im Sauerland. Familienunternehmen, Maschinenbau, dritte Generation, 180 Leute, Marktführer in seiner Nische. Der Geschäftsführer will KI in der Konstruktion, der IT-Leiter blockiert, der Datenschutzbeauftragte hat eine Liste.
Alle drei haben recht, und genau deshalb passiert seit acht Monaten nichts.
Das ist digitale Souveränität, wie sie im Mittelstand ankommt: als Stillstand. Dabei ist sie das Gegenteil davon. Richtig verstanden ist Souveränität die Erlaubnis für Tempo. Diese Seite erklärt, was der Begriff wirklich heisst, warum er den Mittelstand härter trifft als Konzerne, und womit du in einem halben Tag anfängst.
Was digitale Souveränität heisst, in drei Entscheidungen
Der Begriff klingt nach Brüssel, ist aber eine unternehmerische Frage mit drei Teilen.
Erstens: Du entscheidest, wo deine Daten hingehen. Nicht der Anbieter, nicht die Voreinstellung, nicht der Praktikant mit dem kostenlosen Konto.
Zweitens: Du entscheidest, welches Modell du nutzt. Und du kannst es wechseln, ohne dass das halbe Unternehmen stillsteht.
Drittens: Du hast einen Plan B. Wenn Plan A morgen die Preise verdreifacht, die Nutzungsbedingungen ändert oder aus politischen Gründen abgeschaltet wird, läuft dein Geschäft weiter.
Das klingt selbstverständlich, ist es aber nicht: Die meisten Unternehmen, die ich berate, haben genau eine KI-Strategie: „Wir nutzen ChatGPT.“ Kein Vergleich, kein Fallback, keine Ahnung, was bei einer Preisänderung passiert. Kein erfahrener Einkäufer würde sein Geschäft auf einen einzigen Lieferanten bauen. Bei KI machen es fast alle.
Warum das effizienteste Setup meistens das abhängigste ist
Die grossen US-Plattformen sind aus gutem Grund die erste Wahl. Schnell, bequem, funktioniert am Montagmorgen, und niemand muss ein Rechenzentrum bauen. Der blinde Fleck liegt genau dort: Du baust dein halbes Unternehmen auf eine Infrastruktur, die du nicht kontrollierst, in einer Rechtsordnung, die nicht deine ist.
Dafür gibt es ein Protokoll, kein Bauchgefühl. Im Sommer 2025 sass ein Manager von Microsoft France vor dem französischen Senat. Die Frage: Können Sie garantieren, dass die Daten französischer Kunden nicht an US-Behörden gehen? Die Antwort unter Eid: „Non, je ne peux pas le garantir.“ Der Grund heisst CLOUD Act, ein US-Gesetz, das amerikanischen Behörden Zugriff auf Daten von US-Firmen gibt, egal, wo die Server stehen, auch wenn sie in Frankfurt stehen.
Und das ist keine Theorie geblieben. Der Internationale Strafgerichtshof in Den Haag hat seine Microsoft-Verträge gekündigt und rund 1.800 Arbeitsplätze auf eine offene europäische Lösung umgezogen. Schleswig-Holstein stellt zehntausende Rechner auf Linux und LibreOffice um. Eine niederländische Notenbank wandert von Amazon zu einem europäischen Anbieter. Die Begründung ist in keinem dieser Fälle technisch, sie ist geopolitisch.
Warum es den Mittelstand härter trifft als den Konzern
Ein Konzern hat eine Rechtsabteilung, einen CISO und ein Budget für Multi-Cloud. Der Mittelständler hat einen IT-Leiter, der auch den Drucker macht. Wenn bei ihm der eine KI-Anbieter ausfällt, gibt es keinen zweiten.
Dazu kommt, dass die Daten im Mittelstand oft das ganze Geschäft sind. Die Konstruktionszeichnungen des Maschinenbauers aus dem Sauerland sind sein Wettbewerbsvorteil seit drei Generationen. Der Anwalt hat Mandantenakten, der Zulieferer die Stücklisten seines Kunden. Ein Maschinenbauer aus Stuttgart mit 200 Leuten will seine Zeichnungen nicht durch eine KI jagen, die bei einem US-Cloudanbieter landet, und er hat recht.
Der Reflex darauf ist Verzicht: Der Geschäftsführer wartet, der IT-Leiter blockiert, der Datenschutzbeauftragte hat seine Liste. Acht Monate später hat der Wettbewerber, der weniger vorsichtig war, ein Angebot in zwei Tagen statt zwei Wochen. Wer jetzt keine KI nutzt, verliert nicht gegen die Technologie. Er verliert gegen die, die sie besser nutzen.
Souveränität kostet nicht mehr, sie kostet oft weniger
Der Satz überrascht in jedem Saal. Der Reflex ist: europäisch und souverän, das ist bestimmt teuer. Das stimmt nur nicht, denn dieselbe Nvidia-Hardware kostet bei europäischen Anbietern je nach Setup einen Bruchteil dessen, was die grossen Hyperscaler aufrufen. Teurer wird es nur, wenn du die voll gemanagte Service-Maschine von Amazon oder Microsoft wirklich brauchst. Für deine vertraulichen Daten brauchst du die nicht.
Und für viele Anwendungen brauchst du nicht einmal die Cloud. Ein Mac Mini mit M4 Pro und 64 GB Speicher kostet zwischen 2.000 und 3.500 Euro und lässt Modelle mit bis zu 40 Milliarden Parametern flüssig laufen. Ollama installieren, ein Modell laden, fertig. Kein Internet, keine Cloud, keine Daten, die irgendwohin fliessen. Ein lokales Llama ist nicht so gut wie Claude oder GPT in der Cloud. Für 70 bis 80 Prozent der täglichen Aufgaben ist es gut genug, und die Zeichnungen bleiben im Haus.
Wo du anfängst: die Datenampel
Der Fehler ist die grosse Strategie. Ein Masterplan, der wichtig klingt, lange dauert und am Ende kaum etwas bewegt. Dreh die Frage um, statt „Welche KI brauchen wir?“ lautet sie: „Welche Abhängigkeit würde uns morgen am härtesten treffen?“
Davor steht ein Schritt, den fast niemand gemacht hat: eine Datenampel. Grün darf in jede Cloud, das Marketing-Wording, die öffentliche Preisliste. Gelb braucht eine geschützte Umgebung, also einen API-Vertrag mit Auftragsverarbeitung, Kundenkorrespondenz zum Beispiel. Rot bleibt im Haus: Konstruktion, Kalkulation, Personal, Verträge.
Ein halber Tag Arbeit mit Geschäftsführung, IT und Datenschutz am selben Tisch. Danach weisst du zum ersten Mal, was wo liegen darf. Und der Datenschutzbeauftragte hat keine Liste mehr, sondern eine Ampel, die er selbst mitgebaut hat.
Das Setup in drei Stufen
Nach über hundert Gesprächen mit Mittelständlern empfehle ich dasselbe Muster, weil es fast überall passt.
Stufe eins ist ein lokales Modell für rote Daten. Mac Mini in den Serverraum, Ollama oder LM Studio drauf, ein Modell wie Llama, Mistral oder Qwen, das kostet so viel wie ein gutes Notebook.
Stufe zwei sind bezahlte Cloud-Zugänge für gelbe Daten und schwere Aufgaben. Claude, GPT oder Gemini über die API, mit Vertrag zur Auftragsverarbeitung, ohne Training auf deinen Daten. Ein paar hundert Euro im Monat. Und zwar bei zwei Anbietern, nicht bei einem, damit der Wechsel jederzeit geht.
Stufe drei ist der Vergleich für wichtige Entscheidungen. Andrej Karpathy hat mit LM Council ein Werkzeug gebaut, das dieselbe Frage mehreren Modellen stellt und sie sich gegenseitig bewerten lässt. In meinen Workshops zeige ich das live, und die Antworten sind so unterschiedlich, dass die Teilnehmer erstmal schlucken.
Kein Unternehmen braucht für alles die teuerste Cloud-KI. Und keins sollte für alles nur ein lokales Modell nutzen. Die Mischung macht’s.
Wo ich das Thema sonst noch behandle
Die praktische Anleitung mit Hardware, Software und Modellen steht in LLM-Souveränität: Warum du die Kontrolle über deine KI nicht abgeben solltest. Die Geschichte vom Commerzbank Zukunfts:Talk in Bochum, inklusive der Microsoft-Aussage im Senat, steht in Kontrolle statt Verzicht. Auf der Bühne heisst das Thema Digitale Souveränität, als Keynote mit 45 Minuten oder als Executive-Workshop mit 90. Und im Gremium ist es die Frage, die ich als Digitaler Beirat bei jeder KI-Investition stelle: Was passiert, wenn dieser Anbieter morgen nicht mehr da ist?
Die eine Frage nimmst du am besten gleich mit ins nächste Meeting: Welche Abhängigkeit würde uns morgen am härtesten treffen?
Häufig gestellte Fragen
Drei Dinge: Du entscheidest, wo deine Daten liegen, du entscheidest, welches KI-Modell du nutzt und kannst es wechseln, und du hast einen Plan B, wenn ein Anbieter Preise ändert, Bedingungen anpasst oder abgeschaltet wird.
Meistens nicht. Dieselbe Hardware kostet bei europäischen Anbietern je nach Setup einen Bruchteil, und für vertrauliche Daten reicht oft ein lokales Modell auf einem Rechner für 2.000 bis 3.500 Euro. Teurer wird es nur mit voll gemanagten Diensten, die du für rote Daten nicht brauchst.
Ein US-Gesetz, das amerikanischen Behörden Zugriff auf Daten von US-Firmen gibt, unabhängig vom Serverstandort. Microsoft France konnte 2025 vor dem französischen Senat nicht garantieren, dass europäische Daten davor geschützt sind.
Mit einer Datenampel: Grün darf in jede Cloud, Gelb braucht eine geschützte Umgebung mit Vertrag, Rot bleibt im Haus. Ein halber Tag mit Geschäftsführung, IT und Datenschutz am selben Tisch.
Nein. Es geht um Kontrolle, nicht um Verzicht. Grüne und gelbe Daten dürfen in die Cloud, mit Vertrag und bei mindestens zwei Anbietern. Rote Daten bleiben lokal.
Souveränität ist am Ende die Frage danach, wer im eigenen Haus versteht, was dort läuft. Ich bringe das als Keynote auf die Bühne und prüfe im Beiratsmandat, ob die Antworten auch im Protokoll stehen. Wenn du gerade für ein Familienunternehmen im Maschinenbau suchst: Dafür gibt es eine eigene Seite mit Referenzen aus der Branche.
